Vidéosurveillance sur le lieu de travail

Depuis le 25 mai 2018, le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après : « le RGPD »), a abrogé la modifiée du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel.
Depuis cette entrée en vigueur, il n’est plus nécessaire de demander l’autorisation préalable de la CNPD pour installer un système de vidéosurveillance.
Les responsables du traitement sont cependant obligés de tenir un registre des traitements de données à caractère personnel qui sont effectués sous leur responsabilité et ce, conformément à l’article 30 du RGPD. Le traitement de données à caractère personnel découlant de la vidéosurveillance devra dès lors y figurer et inclure les informations exigées par l’article 30 du RGPD.

La CNPD reprend 4 grands principes fondamentaux que l’on peut résumer comme suit :

1) Principe de licéité du traitement

Aux termes de l’article 6, le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
1. la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques;
2. le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci;
3. le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis;
4. le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique;
5. le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement;
6. le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

La condition de licéité la plus appropriée sera, de façon générale, que le traitement est nécessaire aux fins des intérêts légitimes du responsable de traitement, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la ou des personne(s) soumise(s) à la vidéosurveillance (article 6.1, f) du RGPD).

L’employeur qui souhaite installer une vidéosurveillance devra veiller au respect des règles spécifiques de l’article L. 261-1 du Code du travail.
La nouvelle version de l’article L. 261-1 du Code de travail autorise les traitements de données à caractère personnel uniquement sur base d’une des conditions de licéité limitativement énumérées à l’article 6, point 1, lettres a) à f) du RGPD.
Le nouvel article L. 261-1 du Code de travail prévoit tout d’abord une obligation d’information collective préalable à l’égard de la représentation du personnel, en plus de l’information individuelle des salariés découlant de l’article 13 du RGPD. Cette information doit contenir une description détaillée de la finalité du traitement envisagé, des modalités de mise en œuvre du système de surveillance, et le cas échéant, la durée ou les critères de conservation des données, de même qu’un engagement formel de l’employeur sur la non-utilisation des données collectées pour une finalité autre que celle prévue explicitement dans l’information préalable.
La nouvelle version de l’article L. 261-1 du Code de travail prévoit que la vidéosurveillance doit faire l’objet d’une codécision entre l’employeur et la délégation du personnel et ce, conformément aux articles L. 211-8, L.414-9 et L. 423-1 du Code de travail, lorsqu’elle est mise en œuvre pour les finalités suivantes :
1. pour les besoins de sécurité et de santé des salariés, ou
2. pour le contrôle de production ou des prestations du salarié, lorsqu’une telle mesure est le seul moyen pour déterminer le salaire exact, ou
3. dans le cadre d’une organisation de travail selon l’horaire mobile conformément au Code du travail.
La délégation du personnel, ou à défaut les salariés concernés, peuvent, dans les 15 jours suivant l’information préalable mentionnée ci-dessus, soumettre une demande d’avis préalable relative à la conformité du projet de traitement à la Commission nationale pour la protection des données, qui doit se prononcer dans le mois de la saisine. La demande a un effet suspensif pendant ce délai.
Enfin, la nouvelle version de l’article L. 261-1 du Code de travail rappelle que les salariés concernés ont toujours le droit d’introduire une réclamation auprès de la Commission nationale en cas d’atteinte à leurs droits, une telle réclamation ne constituant ni un motif grave, ni un motif légitime de licenciement.

2) Principe de finalité du traitement
Les données à caractère personnel doivent être, traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence).
Elles doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités.
Enfin elles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données).
Avant l’installation d’un système de vidéosurveillance, le responsable du traitement devra définir, de manière précise, la ou les finalités qu’il souhaite atteindre en recourant à un tel système, et ne pourra pas l’utiliser ensuite à d’autres fins.

3) Principe de transparence

Tout responsable du traitement est obligé d’informer les personnes concernées du traitement de données à caractère personnel qu’il met en œuvre. Cette information doit répondre aux exigences des articles 12 et 13 du RGPD. Elle peut notamment être communiquée par l’apposition de panneaux d’affichages et de pictogrammes aux endroits soumis à la vidéosurveillance, en plus d’une notice d’information plus détaillée publiée, par exemple, sur le site internet du responsable du traitement.

Des mesures de surveillance cachées ne peuvent jamais être mises en œuvre par un responsable du traitement.

4) Principe de nécessité et de proportionnalité (minimisation des données)

Le principe de minimisation des données en matière de vidéosurveillance implique qu’il ne doit être filmé que ce qui apparait strictement nécessaire pour atteindre la/les finalité(s) poursuivie(s) (« données adéquates, pertinentes et limitées à ce qui est nécessaire ») et que les opérations de traitement ne doivent pas être disproportionnées.

Il y a lieu d’effectuer une analyse de la situation au cas par cas afin d’analyser la nécessité et la proportionnalité d’une vidéosurveillance, notamment au regard de critères tels que, par exemple, la nature du lieu à placer sous vidéosurveillance, sa situation, sa configuration ou sa fréquentation.
Sur le lieu de travail, les salariés ont en principe le droit de ne pas être soumis à une surveillance continue et permanente.
En effet, le respect du principe de proportionnalité implique que l’employeur doit recourir aux moyens de surveillance les plus protecteurs de la sphère privée du salarié. Le respect de ce principe exige que, par exemple, doivent être évitées les surveillances automatiques et continues des salariés.