L’employeur peut-il mettre en place une vidéosurveillance dans les locaux de l’entreprise ?
Réponse courte
L’employeur peut mettre en place une vidéosurveillance dans les locaux de l’entreprise au Luxembourg, à condition de poursuivre un objectif légitime (sécurité, protection des biens ou des personnes, prévention d’actes délictueux) et de respecter les principes de nécessité, proportionnalité et respect de la vie privée. La surveillance généralisée ou permanente des salariés à leur poste de travail est interdite, et les zones de vie privée (toilettes, vestiaires, espaces de repos) ne peuvent jamais être surveillées.
Avant toute installation, l’employeur doit consulter la délégation du personnel, informer clairement les salariés, réaliser une analyse d’impact si nécessaire, limiter l’accès aux images aux seules personnes habilitées, et tenir un registre des traitements. La durée de conservation des images ne peut excéder un mois, sauf exception liée à une procédure judiciaire ou à la constatation d’une infraction. Le dispositif doit être documenté et conforme à la législation sur la protection des données.
Définition
La vidéosurveillance en entreprise désigne l’installation de dispositifs permettant l’enregistrement d’images dans les locaux professionnels, à des fins de sécurité, de protection des biens ou des personnes, ou de contrôle de l’activité. Au Luxembourg, la vidéosurveillance constitue un traitement de données à caractère personnel dès lors qu’elle permet d’identifier, directement ou indirectement, des personnes physiques.
Ce traitement est soumis à l’ensemble des règles relatives à la protection des données, notamment en matière de licéité, de transparence, de proportionnalité et de sécurité. La vidéosurveillance ne doit pas porter atteinte à la dignité, à la vie privée ou à l’égalité de traitement des salariés.
Conditions d’exercice
La mise en place d’un système de vidéosurveillance par l’employeur doit répondre à un objectif légitime, tel que la sécurité des personnes, la protection des biens ou la prévention d’actes délictueux. L’employeur doit démontrer la nécessité et la proportionnalité du dispositif au regard de l’objectif poursuivi.
La surveillance ne peut être instaurée que si les finalités ne peuvent être atteintes par d’autres moyens moins intrusifs. La surveillance généralisée ou permanente des salariés à leur poste de travail est interdite, conformément au principe de proportionnalité. Les zones réservées à la vie privée (toilettes, vestiaires, espaces de repos) ne peuvent en aucun cas être placées sous vidéosurveillance.
L’égalité de traitement entre les salariés doit être respectée lors de la mise en place du dispositif. Toute discrimination directe ou indirecte est prohibée.
Modalités pratiques
Avant toute installation, l’employeur doit procéder à une analyse d’impact relative à la protection des données (AIPD) si le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées, conformément à l’article 35 du RGPD et à la loi modifiée du 1er août 2018.
La consultation préalable de la délégation du personnel est obligatoire, conformément à l’article L.414-9 du Code du travail. Cette consultation doit intervenir avant toute décision définitive d’installation du dispositif.
L’employeur doit informer individuellement et collectivement les salariés sur l’existence, les finalités, la durée de conservation des images, les destinataires des données, les modalités d’exercice de leurs droits, ainsi que sur l’identité du responsable du traitement. Cette information doit être claire, accessible et documentée.
Une déclaration préalable à la Commission nationale pour la protection des données (CNPD) n’est plus requise, mais l’employeur doit être en mesure de démontrer la conformité du dispositif à tout moment (principe d’accountability). Les images ne peuvent être conservées au-delà d’un mois, sauf en cas de nécessité liée à la constatation d’une infraction ou à une procédure judiciaire, conformément aux recommandations de la CNPD.
L’accès aux images doit être strictement limité aux personnes habilitées, identifiées et formées à la confidentialité. Un registre des traitements doit être tenu à jour, incluant la description du dispositif de vidéosurveillance.
Pratiques et recommandations
Il est recommandé de limiter l’angle de prise de vue aux seules zones strictement nécessaires à la finalité poursuivie. Les dispositifs doivent être clairement signalés par une information visible à l’entrée des zones surveillées.
L’accès aux images doit être restreint et sécurisé, avec une traçabilité des accès et des consultations. Toute utilisation des images à des fins disciplinaires doit être précédée d’une information claire et préalable aux salariés.
L’employeur doit documenter l’ensemble des mesures prises pour garantir la sécurité et la confidentialité des données collectées. Il est conseillé de désigner un référent ou un délégué à la protection des données (DPO) pour assurer le suivi du dispositif.
Un encadrement humain du dispositif doit être assuré, notamment pour l’analyse des images et la gestion des incidents. Toute sous-traitance doit faire l’objet d’un contrat conforme à l’article 28 du RGPD.
Cadre juridique
- Code du travail luxembourgeois :
- Loi modifiée du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), notamment articles 5, 6, 13, 28, 32, 35
- Recommandations et lignes directrices de la Commission nationale pour la protection des données (CNPD)
- Jurisprudence des juridictions luxembourgeoises en matière de surveillance au travail
Note
L’absence de consultation de la délégation du personnel ou le non-respect des obligations d’information peut entraîner l’illicéité du dispositif et l’irrecevabilité des preuves issues de la vidéosurveillance dans le cadre d’une procédure disciplinaire ou judiciaire. L’employeur s’expose également à des sanctions administratives et pénales en cas de manquement à la législation sur la protection des données.