Quelles sont les conditions légales pour installer des caméras dans des zones de travail ?
Réponse courte
L'installation de caméras dans les zones de travail au Luxembourg suppose une finalité légitime explicitement définie (sécurité des biens et des personnes, prévention d'infractions), un test de nécessité et de proportionnalité, et l'exclusion de toute surveillance permanente du comportement à des fins de contrôle des performances. Les zones de vie privée (toilettes, vestiaires, salles de repos) sont totalement interdites, et les bureaux individuels ne peuvent être filmés en continu.
L'employeur doit consulter la délégation du personnel (article L.414-9 pour les entreprises d'au moins 150 salariés, sinon information préalable), réaliser une analyse d'impact si risque élevé (article 35 du RGPD), informer chaque salarié individuellement et collectivement, inscrire le traitement au registre, et limiter la conservation à 8 jours en principe, 30 jours maximum avec justification documentée.
Définition
L'installation de caméras dans les zones de travail constitue un traitement de données à caractère personnel soumis au RGPD et à la loi modifiée du 1er août 2018, dès lors qu'elle permet d'identifier directement ou indirectement des personnes physiques. Elle relève également des règles spécifiques du Code du travail luxembourgeois en matière de surveillance des salariés.
Ce traitement doit s'appuyer sur une base juridique explicite, généralement l'intérêt légitime de l'employeur ou une obligation légale de sécurité, et respecter les principes de transparence et de minimisation des données posés par le RGPD.
Questions fréquentes
Conditions d’exercice
La surveillance permanente du comportement des salariés à leur poste est interdite par principe ; chaque caméra doit être justifiée individuellement par une finalité distincte de la simple évaluation des performances.
| Condition | Exigence concrète |
|---|---|
| Finalité légitime | Sécurité des personnes et des biens, prévention des infractions, contrôle des accès — exclu : surveillance générale du comportement |
| Nécessité | Aucun moyen moins intrusif (contrôle d'accès, alarmes, rondes) ne permet d'atteindre la finalité |
| Proportionnalité | Cadrage limité aux zones strictement nécessaires, exclusion des zones de vie privée |
| Information préalable | Notice individuelle écrite remise à chaque salarié + affichage visible aux accès |
| Consultation | Délégation du personnel (article L.414-9) ou information de l'ITM en l'absence de délégation |
Modalités pratiques
L'AIPD est obligatoire dès qu'il y a surveillance systématique à grande échelle ou de zones accessibles au public ; elle doit être documentée et tenue à disposition de la CNPD avant toute mise en service.
| Démarche | Précision |
|---|---|
| Analyse d'impact (AIPD) | Article 35 du RGPD ; obligatoire en cas de risque élevé pour les droits et libertés |
| Consultation de la délégation | Procès-verbal préalable à l'installation, conformément à l'article L.414-9 |
| Information individuelle | Notice écrite : finalité, base juridique, durée, destinataires, droits |
| Affichage collectif | Pictogramme visible aux entrées avec mention du responsable de traitement |
| Registre des traitements | Article 30 RGPD : finalités, durée, destinataires, sécurité |
| Conservation des images | 8 jours en principe, 30 jours maximum avec justification documentée |
| Habilitation des accès | Liste nominative des personnes autorisées avec traçabilité des consultations |
Pratiques et recommandations
Limiter strictement l'angle de vue aux zones nécessaires à la finalité poursuivie.
Configurer un effacement automatique des images après le délai légal pour éviter toute conservation indue.
Documenter chaque consultation des images dans un registre dédié avec date, motif et identité du consultant.
Désigner un référent ou un DPO chargé du suivi du dispositif et du traitement des demandes.
Encadrer par contrat tout sous-traitant chargé de la maintenance ou du visionnage (article 28 du RGPD).
Réexaminer annuellement la pertinence et la proportionnalité du dispositif avec la délégation.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. L.261-1 du Code du travail | Traitement de données pour surveillance des salariés (loi du 1er août 2018) |
| Art. L.261-2 du Code du travail | Sanctions pénales en cas de violation |
| Art. L.414-9 du Code du travail | Co-décision de la délégation du personnel pour les installations de contrôle |
| Loi modifiée du 1er août 2018 | Protection des personnes à l'égard du traitement des données à caractère personnel |
| Règlement (UE) 2016/679 (RGPD) | Articles 5, 6, 12-13, 28, 30, 32, 35 |
| Lignes directrices CNPD vidéosurveillance | Recommandations pratiques de la Commission nationale (mise à jour 2024) |
Note
Une installation non conforme expose l'employeur à des sanctions administratives RGPD pouvant atteindre 4 % du chiffre d'affaires mondial ou 20 millions d'euros, et à des sanctions pénales L.261-2 (251 € à 125 000 €). Les images obtenues en violation des règles sont irrecevables en justice et toute sanction disciplinaire fondée sur ces images peut être annulée.