Une entreprise peut-elle être sanctionnée pour vidéosurveillance illégale des salariés ?

Réponse courte

Oui, une entreprise peut être sanctionnée pour vidéosurveillance illégale des salariés au Luxembourg.

Les sanctions encourues incluent :

Des amendes administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, prononcées par la Commission nationale pour la protection des données (CNPD).
Des sanctions pénales prévues par la loi du 1er août 2018, notamment des peines d’amende et d’emprisonnement en cas de traitement illicite de données à caractère personnel (art. 48 et suivants).
Les salariés concernés peuvent saisir les juridictions compétentes pour obtenir réparation du préjudice subi.

Le non-respect des obligations d’information, de proportionnalité, de consultation préalable de la délégation du personnel (art. L.414-9 Code du travail), ou de sécurisation des données constitue une violation caractérisée et expose l’employeur à ces sanctions.

Définition

La vidéosurveillance des salariés désigne l’installation de dispositifs permettant la captation, l’enregistrement ou la transmission d’images sur les lieux de travail, dans le but de surveiller l’activité des employés. Au Luxembourg, cette pratique est strictement encadrée afin de garantir le respect de la vie privée et des droits fondamentaux des salariés. Toute utilisation de la vidéosurveillance en dehors du cadre légal est qualifiée d’illégale et expose l’employeur à des sanctions administratives et pénales. La vidéosurveillance permanente des postes de travail est interdite, sauf circonstances exceptionnelles dûment justifiées (art. L.261-1 Code du travail).

Conditions d’exercice

La mise en place d’un système de vidéosurveillance sur le lieu de travail n’est licite que si elle répond à un objectif légitime, tel que la sécurité des personnes et des biens, la prévention des infractions ou la protection d’informations sensibles. L’employeur doit démontrer la nécessité et la proportionnalité du dispositif au regard de l’objectif poursuivi. La surveillance ne peut en aucun cas porter sur des zones réservées à la vie privée des salariés (vestiaires, sanitaires, espaces de pause). L’information préalable et individuelle des salariés est obligatoire. Cette information doit mentionner :

L’identité et les coordonnées du responsable du traitement.
La base légale du traitement.
La finalité du dispositif.
La durée de conservation des images.
Les destinataires des données.
Les modalités d’exercice des droits d’accès, de rectification, d’opposition et d’effacement.
L’existence d’un droit d’introduire une réclamation auprès de la CNPD.
L’existence d’une prise de décision automatisée, le cas échéant (art. 13 RGPD et art. 41 loi du 1er août 2018).

La consultation préalable de la délégation du personnel, lorsqu’elle existe, est une obligation légale (art. L.414-9 Code du travail).

Modalités pratiques

Avant toute installation, l’employeur doit effectuer une analyse d’impact relative à la protection des données (AIPD) lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées. Depuis l’entrée en vigueur du RGPD et de la loi du 1er août 2018, il n’existe plus d’obligation de notification préalable systématique à la CNPD ; seule l’AIPD est requise en cas de risque élevé. L’information des salariés doit être claire, précise et accessible, incluant toutes les mentions obligatoires. Le non-respect de ces obligations constitue une violation caractérisée. La consultation de la délégation du personnel doit être réalisée avant la mise en place du dispositif.

Pratiques et recommandations

Il est recommandé de limiter la vidéosurveillance aux seules zones strictement nécessaires et d’éviter toute surveillance généralisée ou permanente des postes de travail, sauf circonstances exceptionnelles dûment justifiées (art. L.261-1 Code du travail). L’employeur doit veiller à la confidentialité des images et à la sécurisation des accès. Les images ne doivent être conservées que pour la durée strictement nécessaire à la réalisation de la finalité poursuivie ; la CNPD recommande généralement un mois, mais la durée doit toujours être justifiée et proportionnée à la finalité. Toute utilisation des images à des fins disciplinaires doit respecter la finalité initiale du dispositif et les droits de la défense du salarié. L’utilisation des images à d’autres fins que celles initialement déclarées est illicite.

Cadre juridique

Le régime applicable résulte principalement :

De la loi modifiée du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel (notamment art. 41, 48 et suivants).
Du Code du travail (notamment art. L.261-1 et L.414-9).
Des lignes directrices et décisions de la CNPD.

Les sanctions encourues en cas de vidéosurveillance illégale incluent :

Des amendes administratives prononcées par la CNPD pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.
Des sanctions pénales (amende et emprisonnement) prévues par la loi du 1er août 2018 (art. 48 et suivants).
Les salariés concernés peuvent également saisir les juridictions compétentes pour obtenir réparation du préjudice subi.

Note

La mise en œuvre d’une vidéosurveillance sans respect des obligations d’information, de proportionnalité et de consultation préalable de la délégation du personnel expose l’employeur à des sanctions lourdes, tant administratives que pénales. Il est impératif de documenter chaque étape du processus, notamment l’analyse d’impact et la consultation de la délégation du personnel, et de solliciter, le cas échéant, l’avis d’un spécialiste en protection des données avant toute installation.