Inductio

Nous initions aujourd’hui le premier partage de décisions publiées de l’Autorité de Protection des Données.

C’est donc la FICHE 1 d’une série de partages et d’analyses de décisions publiées de l’APD.

Nous les résumons à l’aide de fiches d’analyse disponibles en ligne qui articulent en outre les décisions prises sur les même sujets & les articles/thèmes du RGPD.

Le premier sujet concerne les propriétaires et leurs locataires qui partagent des espaces communs :

Le partage de ces décisions a pour but principal d’éduquer au RGPD tout en permettant et facilitant les échanges.

La méthode retenue est donc exclusivement Inductive ou Bottom-up: un Raisonnement qui va du particulier au général.

C’est la méthode qui nous semble la plus adaptée à une matière aussi complexe que la protection de la vie privée ou des données à caractère personnel:

Source: CLUSIF.

Matière que nous proposons d’aborder à l’aide de cas pratiques et plus précisément et exlusivement de décisions publiées par l’Autorité de Protection des Données du Royaume de Belgique.

Les fiches d’analyse de ces décisions posent plusieurs questions pour initier des discussions sur les sujets abordés par la décision. Autant d’occasions d’échanger sur des cas concrets de nos vies digitales (ou non) et percevoir les occasions pour toujours améliorer la protection de nos vies privées et données personnelles.

DECISION QUANT AU FOND ANO 3/2019 DU 2 AVRIL 2019: caméra de surveillance et minimalisation des données

ETAPE 1 : Faits soumis à la décision de l’APD

Objet de la plainte:

L’objet de la plainte concernait l’installation par le propriétaire d’un immeuble à appartements (“kots”) d’une caméra dans la cuisine commune d’un immeuble de chambres d’étudiants.

Point de vue du propriétaire:

Le Responsable du Traitement y affirme qu’un contrat de location a été conclu pour la période du 01/09/2017 au 31/07/2018.

Les caméras ont été installées le samedi 18/08/2018.

Conformément à l’article 8b du contrat de location, le locataire avait informé le propriétaire le 25/06/2018 qu’il voulait utiliser sa chambre d’étudiant les 16/08, 17/08, 21/08 et 22/08 et éventuellement la semaine qui précède (la semaine avant le 16/08/2018).

Au moment de l’installation et du test, personne n’avait le droit d’être présent dans le bâtiment et d’utiliser les hébergements et installations.

Selon le défendeur, l’installation de la caméra dans la cuisine ne peut aucunement être qualifiée d’installation illicite d’une caméra dans un espace privé, étant donné que des visiteurs et des membres de la famille des étudiants ont également accès à cet espace.

Les exigences légales pour la déclaration d’une caméra de surveillance ONT été remplies selon le Responsable du Traitement.

Le propriétaire explique également qu’il a été procédé à l’installation de caméras suite à des actes de vandalisme causés par les occupants des kots et leurs visiteurs.

La date d’installation de la caméra a bien été fixée au 18/08/2018, parce que le propriétaire part du principe qu’à cette date, aucun étudiant ne sera présent dans le bâtiment.

À cette même date, la caméra a été recouverte par l’étudiant, alors que selon le défendeur, il ne pouvait pas être présent.

Le 18/08/2018, les pictogrammes sont affichés, le 20/08/2018, le propriétaire fait la déclaration de caméra de surveillance et en informe les occupants des kots le 21/08/2018.

Par ailleurs, le propriétaire affirme que la caméra a été installée dans la cuisine, qui doit être considérée comme un « lieu fermé non accessible au public » au sens de l’article 7 de la loi du 21 mars 2007 réglant l’installation et l’utilisation de caméras de surveillance.

Toutes les exigences légales à cet égard ont été respectées par le défendeur.

Le propriétaire considère que l’installation de la caméra dans la cuisine est proportionnelle à l’égard de la finalité, à savoir la lutte contre les actes de vandalisme, les dommages et les incivilités.

Le propriétaire répète que l’étudiant ne pouvait pas être présent dans le bâtiment le 18/08/2018 et ne voit pas comment une violation disproportionnée aurait pu être commise à l’encontre de la « vie privée » de l’étudiant.

Point de vue de l’étudiant-locataire:

L’étudiant fait remarquer qu’il ressort clairement de la communication avec le propriétaire que son but était d’utiliser sa chambre pendant la période des examens de seconde session, y compris du 18/08 au 20/08 inclus, et pas uniquement les jours de ses examens.

Par ailleurs, l’étudiant affirme qu’au 18/08/2018, les caméras ne pouvaient pas encore être utilisées, pas même pour lesdits tests, parce que les pictogrammes requis légalement n’étaient pas encore présents et que la notification préalable n’avait pas encore eu lieu.

En outre, l’étudiant estime que l’installation de caméras dans l’espace commun constitue une violation disproportionnée de la vie privée et que le bailleur dispose d’autres possibilités pour atteindre le but.

ETAPE 3: Décision et motivation de l’APD

DECISION

La Chambre Contentieuse de l’Autorité de protection des données, décide, après délibération, d’ordonner, en vertu de l’article 100, § 1, 8° de la loi du 3 décembre 2017 :

• d’ordonner, en vertu de l’article 100, § 1, 8° de la loi du 3 décembre 2017, que le traitement au moyen de la caméra installée dans la cuisine commune soit définitivement interdit;
• Dowden, en vertu de l’article 100, § 1, 10° de la loi du 3 décembre 2017, la suppression des données traitées par cette même caméra dans la cuisine commune;
• de publier la présente décision sur le site Internet de l’Autorité de protection des données, en vertu de l’article 100, § 1, 16° de la loi du 3 décembre 2017, certes après anonymisation.

MOTIVATION

La Chambre contentieuse estime que le simple fait d’installer une caméra de surveillance dans un espace commun où les habitants n’ont pas le choix de ne pas y pénétrer – parce que l’accès à cet espace est tout simplement nécessaire – suffit pour décider qu’une infraction à l’article 5.1. c) du Règlement général sur la protection des données a été commise et qu’il faut prononcer la sanction reprise ci-après.

Article 5

EU RGPD

« Principes relatifs au traitement des données à caractère personnel »

1. Les données à caractère personnel doivent être:(…) c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données)

(…)

Le fait que les exigences légales pour la déclaration d’une caméra de surveillance aient été remplies n’a aucune influence sur le caractère disproportionné de l’installation d’une caméra dans un espace où les personnes concernées sont soumises par la force des choses à une surveillance par caméra pour toute la durée de leur présence dans cet espace.

La Chambre contentieuse ne peut pas accéder à la demande de l’étudiant d’octroyer des dommages-intérêts étant donné qu’elle ne dispose pas de cette compétence.

ETAPE 4 : Questions pour faciliter l’application de la décision à l’organisation

4.1. Comment mettre en place dans mon organisation ce principe de « minimisation des donnée » visés à l’article 5.1.c) RGPD : « Les données à caractère personnel doivent être (…) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) »?

4.2. Quelles implications pratiques dans mon entreprise pour ce principe du RGPD de minimisation des données (article 5.1.c)?

4.3. Comment articuler pratiquement dans mon organisation la loi du 21 mars 2007 réglant l’installation et l’utilisation de caméras de surveillance et le RGPD?

4.4. Quelles mesures techniques et organisationnelles appropriées mon organisation peut-elle implémenter pour s’assurer et être en mesure de démontrer que le traitement est effectué conformément au RGPD (Article 24 EU RGPD « Responsabilité du responsable du traitement »)?

Décision disponible sur le site APD (chambre contentieuse)? OUI X NON

Langue de la décision originaire: FRANÇAIS NEERLANDAIS X

Traduction de la décision en d’autres langues? OUI X NON

(Si OUI, lesquelles – joindre un lien hypertexte par langue): Français

MOTS-CLES : Minimisation des données – Caméra de surveillance – Espace commun où les habitants n’ont pas le choix de ne pas y pénétrer – Interdiction du traitement – suppression des données – publication de la décision – Article 5.1.c) RGPD

Hash-tags: #Minimisationdesdonnées – #Caméradesurveillance – #Espacecommun – #Interdictiondutraitement – #suppressiondesdonnées – #publicationdeladécision – #Article5.1.c)RGPD