La CNPD doit-elle être consultée avant la mise en place d’un système de vidéosurveillance ?
Réponse courte
La CNPD doit être consultée avant la mise en place d’un système de vidéosurveillance uniquement si l’analyse d’impact relative à la protection des données (AIPD) révèle un risque élevé pour les droits et libertés des personnes concernées qui ne peut pas être atténué par des mesures appropriées.
En dehors de ce cas, il n’est pas nécessaire de consulter la CNPD avant l’installation du dispositif, mais l’employeur doit respecter toutes les autres obligations légales, notamment l’information des salariés, la tenue d’un registre des traitements et la consultation de la délégation du personnel si nécessaire.
Définition
La vidéosurveillance en entreprise désigne l’installation de dispositifs permettant la captation, l’enregistrement et le traitement d’images dans les locaux professionnels. Au Luxembourg, la vidéosurveillance constitue un traitement de données à caractère personnel dès lors que les images permettent d’identifier, directement ou indirectement, des personnes physiques.
Ce traitement est soumis à des règles strictes encadrées par la loi modifiée du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel, ainsi que par le Code du travail luxembourgeois, notamment en matière de respect de la vie privée et d’égalité de traitement.
Conditions d’exercice
La mise en place d’un système de vidéosurveillance doit répondre à une finalité déterminée, explicite et légitime, telle que la sécurité des biens et des personnes, la prévention des vols ou la protection des installations sensibles.
Le recours à la vidéosurveillance doit être proportionné à l’objectif poursuivi et ne peut porter atteinte de manière excessive aux droits et libertés des personnes concernées, notamment au respect de leur vie privée (article L.261-1 du Code du travail). L’employeur doit privilégier les moyens les moins intrusifs et justifier l’impossibilité de recourir à des mesures alternatives moins attentatoires à la vie privée.
L’égalité de traitement entre les salariés doit être respectée lors de la mise en œuvre du dispositif, conformément à l’article L.241-1 du Code du travail.
Modalités pratiques
Avant toute installation, l’employeur doit informer individuellement et collectivement les salariés concernés, en précisant la finalité, la durée de conservation des images, les destinataires des données et les modalités d’exercice des droits d’accès, de rectification et d’opposition (articles 13 et 14 de la loi du 1er août 2018).
Les zones de captation doivent être clairement signalées par une information visible. Il est interdit de filmer les lieux réservés à la vie privée des salariés (toilettes, vestiaires, salles de repos), conformément à l’article L.261-1 du Code du travail.
La durée de conservation des images ne doit pas excéder un mois, sauf nécessité particulière dûment justifiée. L’accès aux images doit être strictement limité aux personnes habilitées. L’employeur doit tenir un registre des activités de traitement (article 30 de la loi du 1er août 2018) et veiller à la sécurité des données collectées.
Une analyse d’impact relative à la protection des données (AIPD) doit obligatoirement être réalisée lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées, notamment en cas de surveillance systématique à grande échelle ou de surveillance de zones accessibles au public (article 35 de la loi du 1er août 2018).
Si l’AIPD révèle que le risque ne peut être atténué par des mesures appropriées, l’employeur est alors tenu de consulter la CNPD avant la mise en œuvre du dispositif (article 36 de la loi du 1er août 2018). En dehors de ce cas, la CNPD n’exige pas de déclaration préalable ni d’autorisation pour la vidéosurveillance, mais elle peut exercer un contrôle a posteriori.
Pratiques et recommandations
Il est recommandé de documenter l’ensemble des démarches (analyse d’impact, information des salariés, mesures de sécurité) afin de pouvoir justifier la conformité du dispositif en cas de contrôle ou de litige.
L’employeur doit associer la délégation du personnel à la procédure d’information et de consultation, conformément à l’article L.414-3 du Code du travail, lorsque la vidéosurveillance est susceptible d’affecter l’organisation, la gestion ou la surveillance du travail.
La traçabilité des accès aux images et la limitation des droits d’accès doivent être assurées. Il est conseillé de désigner un responsable du traitement et de prévoir un encadrement humain pour toute prise de décision automatisée liée à la vidéosurveillance.
Les lignes directrices et recommandations de la CNPD, régulièrement mises à jour, constituent des références opérationnelles pour les employeurs.
Cadre juridique
- Loi modifiée du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel :
- Article 13 et 14 (information des personnes concernées)
- Article 30 (registre des activités de traitement)
- Article 35 (analyse d’impact relative à la protection des données)
- Article 36 (consultation préalable de la CNPD)
- Code du travail luxembourgeois :
- Jurisprudence luxembourgeoise (Cour administrative)
- Lignes directrices et recommandations de la CNPD
Note
La consultation préalable de la CNPD n’est obligatoire que si l’analyse d’impact démontre un risque élevé non atténuable. Il est essentiel de respecter l’ensemble des obligations d’information, de documentation et de consultation du personnel pour garantir la conformité du dispositif.