Souriez, vous êtes filmé !

Depuis 2007, la « loi caméras » règlemente l’usage de la vidéosurveillance afin d’assurer qu’elle n’empiète pas de façon excessive sur la vie privée des citoyens. La loi du 21 mars 2018 a modifié substantiellement la « loi caméras », mais que change-t-elle pour les particuliers et les entreprises qui utilisent une caméra de surveillance ? Comment cette législation se combine-t-elle avec le Règlement général sur la protection des données ?

Pictogramme

L’exigence du pictogramme règlementaire à l’entrée du lieu surveillé est maintenue. Un simple panneau du type « Souriez, vous êtes filmé » n’est toujours pas suffisant.

Aux mentions actuelles sur le pictogramme signalant l’existence d’une surveillance par caméra s’ajoutent désormais depuis le 11 décembre 2018 également votre numéro de téléphone et, le cas échéant, les cordonnées de votre délégué à la protection des données et le site web où les personnes concernées peuvent consulter toutes les informations concernant le traitement d’images.

Déclaration préalable

Alors qu’avant le 25 mai 2018 le placement d’une caméra devait être signalé préalablement à la Commission de protection de la vie privée, aujourd’hui seuls les services de police doivent être informés. Les modifications ultérieures de l’installation de vidéosurveillance (ajout d’une seconde caméra par exemple) doivent aussi être signalées.

Cette déclaration aux services de police se fait en ligne, via le guichet électronique centralisé de déclaration des systèmes de surveillance par caméras, mis à disposition par le Service public fédéral Intérieur. Il est possible de charger l’installateur du système d’effectuer les démarches nécessaires, comme cela se fait lors du placement d’un système d’alarme.

Registre à tenir

Le registre public tenu par la Commission de protection de la vie privée disparaît par conséquent, mais est remplacé par une obligation pour le responsable du système de vidéosurveillance de tenir un registre (éventuellement électronique) reprenant les activités de traitement d’images de caméras de surveillance mises en œuvre sous sa responsabilité. Ce registre doit être conservé aussi longtemps que des images de caméras sont traitées et pouvoir être présenté sur simple demande aux services de police et à l’Autorité de protection des données.

Dès lors que les caméras de surveillance devaient déjà être recensées dans le registre imposé par le Règlement général sur la protection des données, il ne s’agit pas d’une réelle nouveauté. Toutefois, il doit contenir des informations supplémentaires par rapport à celles prévues par le RGPD :

• la base de licéité du traitement,
• l’indication du type de lieu,
• la description technique des caméras,
• leur emplacement (éventuellement sur un plan),
• s’il s’agit de caméras de surveillance temporaires ou mobiles, la description des zones surveillées par ces caméras de surveillance et les périodes d’utilisation,
• le mode d’information des personnes filmées au sujet du traitement,
• le lieu du traitement des images,
• s’il y a ou non un visionnage en temps réel et la manière dont il est organisé,
• l’avis positif du conseil communal (pour les lieux ouverts ou les caméras dirigées vers le périmètre d’un lieu fermé).

Exception pour l’utilisation d’une caméra de surveillance à des fins personnelles ou domestiques

Avant, les particuliers étaient dispensés de déclarer la présence d’une caméra de surveillance utilisée dans un espace clôturé non accessible au public à des fins personnelles et domestiques. Ils continuent à bénéficier de cette exemption pour autant que la caméra soit placée à l’intérieur de l’habitation. C’est aux mêmes conditions qu’ils sont dispensés de tenir un registre et de placer un pictogramme.

Les caméras qui surveillent l’extérieur d’un bâtiment doivent donc toujours être précédées par un pictogramme. Elles doivent aussi être signalées aux services de police et figurer dans un registre.

Conservation des images

Concernant la vidéosurveillance par les particuliers et les entreprises, la durée de conservation des images (un mois si les images ne sont pas utilisées dans le cadre d’une enquête) demeure inchangée.

Faut-il régulariser les caméras déjà placées ?

Les caméras de surveillance installées conformément à la législation en vigueur au moment de leur installation devront être notifiées aux services de police avant le [31 décembre 2021]. Le registre doit toutefois être en place depuis le 25 mai 2018.

On le voit, les modifications votées le 8 mars 2018 n’impactent pas significativement les utilisateurs professionnels de caméras de surveillance. Cependant, des utilisations issues d’une pratique jusqu’ici illégale sont désormais encadrées :

Caméra témoin dans un magasin

Le visionnage des images enregistrées par les caméras de surveillance est et reste très encadré. Toutefois, il est désormais autorisé de placer, à proximité d’une caméra de surveillance, un écran diffusant en temps réel les images collectées par la caméra de surveillance auprès de laquelle il est installé. Cette pratique, visant à renforcer l’effet dissuasif d’une caméra, est donc légale depuis le 25 mai 2018, pour autant qu’elle respecte le principe de proportionnalité.

Caméras mobiles (éventuellement sur un drone)

Les drones équipés de caméras ou les bodycams n’étaient pas autorisés pour les acteurs privés. Depuis le 25 mai 2018, ces équipements peuvent être utilisés à l’intérieur d’un bâtiment ou dans un espace clôturé, mais uniquement dans trois cas :
• par des agents de gardiennage dans les parties non accessibles au public des aéroports, gares internationales, sites nucléaires, etc.
• dans les lieux fermés où personne n’est supposé être présent (par exemple une usine ou un magasin durant la nuit),
• par un particulier pour la surveillance d’une grande propriété non accessible au public, si l’étendue du terrain justifie d’utiliser des caméras de surveillance mobiles pour en assurer le contrôle. Cela suppose également de respecter la réglementation applicable aux drones.

Caméras intelligentes

Les caméras capables de traiter les images recueillies (reconnaissance des visages ou des plaques d’immatriculation) ne sont toujours pas autorisées pour les acteurs privés. La seule extension prévue par la loi du 21 mars 2018 concerne la reconnaissance automatique des plaques d’immatriculation des véhicules par les administrations communales. Elles peuvent ainsi systématiser la constatation d’infraction de stationnement ou d’accès à une zone réservée.

Caméras sur le lieu de travail

La surveillance par caméras sur le lieu de travail, destinée à garantir la sécurité et la santé, la protection des biens de l’entreprise, le contrôle du processus de production et le contrôle du travail du travailleur est et demeure régie par la CCT n° 68, et non par la « loi caméras ».

Toutefois, il arrive souvent qu’un seul système de caméras soit utilisé à la fois pour la surveillance du personnel et des clients. Il suffit de penser aux caméras placées dans les grandes surfaces. Les deux corps de règles doivent alors être respectés.

Coexistence avec le Règlement Général européen sur la Protection des données

Puisque les images où figurent des individus identifiables sont des données à caractère personnel, la « loi caméras » et le RGPD doivent fréquemment être appliqués en parallèle. Les principes régissant le traitement des données à caractère personnel doivent donc être respectés (proportionnalité, prise des mesures de sécurité nécessaires…).

Si la caméra ne vise pas la prévention d’infraction, mais par exemple le monitoring de patients en soins intensifs dans un hôpital, il ne s’agit pas d’une caméra « de surveillance ». La « loi caméras » ne s’applique pas et seul le RGPD doit être appliqué.

Quelles sont les obligations découlant du RGPD qui s’ajoutent à la « loi caméras » ?

Tout d’abord, la surveillance par caméras s’analyse fréquemment comme exigeant d’une part la réalisation d’une analyse d’impact et d’autre part la désignation d’un délégué à la protection des données. Les entreprises doivent donc examiner ces questions et documenter leur décision, si elles estiment ne pas être soumises à ces obligations. Ensuite, l’obligation de notification s’applique en cas de brèche de sécurité.

Par ailleurs, les droits offerts par le RGPD aux personnes concernées concernent aussi les images filmées à leur sujet. Il leur est ainsi permis d’accéder aux images, de les faire rectifier, effacer ou de limiter leur traitement. Elles ne doivent pas motiver leur désir d’accéder aux images, mais donner des indications suffisamment détaillées pour permettre au responsable du traitement de retrouver les images.

Lorsque la personne filmée peut prétendre au droit d’obtenir une copie, le responsable du traitement peut répondre à la demande d’accès en faisant visionner à la personne filmée les images où elle apparaît, sans lui fournir une copie des données, afin de garantir:
1° les droits et libertés d’autrui,
2° la sécurité publique ou la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales.

Ces droits ne concernent toutefois que les images sur lesquelles la personne concernée apparait. Le RGPD ne peut pas être invoqué pour visionner des images qui ont été enregistrées avant ou après le passage de la personne filmée. Une personne qui oublie un sac sur un quai de gare ne pourra donc pas demander à voir les images prises après le départ de son train. De même, lorsqu’un cambriolage a eu lieu pendant les vacances des propriétaires, seuls les services de police peuvent visionner les caméras des immeubles voisins.

Coexistence des sanctions

Les amendes administratives mises en place par le RGPD seront certainement plus appliquées, et donc plus dissuasives, que les sanctions pénales de la « loi caméras ». La perspective de ces amendes administratives poussera probablement les utilisateurs de caméras de surveillance à respecter plus scrupuleusement qu’avant la « loi caméras ».