Panneau de vidéosurveillance en Grèce : ce qu’il doit indiquer

L’Autorité hellénique de protection des données fixe les informations obligatoires de premier niveau :

• la finalité du traitement ;
• l’identité du responsable du traitement et/ou de son représentant ;
• une mention des droits des personnes concernées ;
• un renvoi vers l’information détaillée : l’Autorité recommande un lien web (URL ou QR) ; sans site, indiquez où la trouver ;
• les coordonnées du DPO, s’il a été désigné.

Si le traitement sort de l’ordinaire, par exemple un transfert hors de l’UE ou une conservation au-delà des durées de la Directive 1/2011, il faut l’indiquer sur le panneau lui-même. La police et les autorités judiciaires sont des destinataires attendus (art. 9 de la Directive).

L’article 12 de la Directive 1/2011 impose d’informer la personne avant qu’elle n’entre dans le champ du système, de manière visible et compréhensible, par des panneaux bien lisibles, en nombre suffisant et à un endroit apparent. L’Autorité précise qu’ils doivent être visibles depuis tous les points d’entrée possibles.

• Un panneau à chaque entrée piétons et véhicules, pas seulement à l’entrée principale.
• À hauteur des yeux et hors du champ de la caméra, pour être lu avant d’être filmé.
• Dans les parkings et les cours, là où entrent les véhicules.

L’annexe de la Directive précise que la taille et la forme peuvent varier, pourvu que chacun soit informé avant d’entrer. Un pictogramme de caméra peut être utilisé.

L’annexe de la Directive 1/2011 propose un texte indicatif : « Les lieux sont surveillés par un circuit fermé de télévision pour la protection des personnes et des biens », avec un renvoi au droit d’accès de l’article 12 de la loi 2472/1997 et un champ « Responsable du traitement ». L’annexe précise elle-même que le modèle peut être adapté et que la mention « en vertu de la loi 2472/1997 » n’est pas correcte.

La loi 2472/1997 a été abrogée par l’article 84 de la loi 4624/2019, à l’exception de quelques dispositions qui n’incluent pas l’article 12. L’Autorité applique la Directive avec le RGPD et la loi 4624/2019, et publie depuis 2020 de nouveaux modèles de panneaux en quatre versions : avec ou sans QR code, avec ou sans coordonnées du DPO.

Si votre panneau mentionne encore « article 12 de la loi 2472/1997 », remplacez-le par une mention des droits prévus par le RGPD et un renvoi vers l’information détaillée.

La structure ci-dessous couvre les mentions obligatoires de l’Autorité. C’est un exemple, pas un texte officiel ; pour le panneau définitif, partez des modèles de l’Autorité.

1. VIDÉOSURVEILLANCE, avec un pictogramme de caméra.
2. Finalité : protection des personnes et des biens.
3. Responsable du traitement : [raison sociale], [adresse], [téléphone ou e-mail].
4. Délégué à la protection des données : [e-mail], seulement s’il a été désigné.
5. Vos droits : vous disposez de droits au titre du RGPD (p. ex. accès, limitation, opposition, effacement).
6. Information complète : [URL] ou [QR code] ou [endroit sur place où elle est disponible].
7. Seulement si c’est le cas : conservation au-delà des durées de la Directive 1/2011, ou transfert hors de l’UE.

L’Autorité indique que, pour les systèmes courants, s’appliquent surtout les droits d’accès, de limitation, d’opposition et d’effacement. Le traitement d’une demande d’accès aux images est expliqué dans le guide sur la durée de conservation des images.

La Directive 1/2011 (art. 12 b) ne prévoyait une information détaillée que sur demande. L’Autorité souligne qu’avec le RGPD, elle est fournie sans demande. Elle comprend :

• l’identité complète et les coordonnées du responsable, et du DPO s’il existe ;
• la finalité et la base juridique, et l’intérêt légitime lorsque la base est l’art. 6, par. 1, f) du RGPD ;
• les destinataires, y compris ceux qui exploitent le système ;
• un éventuel transfert hors de l’UE ;
• la durée de conservation ;
• les modalités d’exercice des droits et le droit d’introduire une réclamation auprès de l’Autorité.

L’article 12 de la Directive définit le responsable comme « la personne pour le compte de laquelle la vidéosurveillance est effectuée ». Lorsque l’exploitation est confiée à un tiers, la mission doit être donnée par écrit (art. 11 §2). L’Autorité demande que l’information détaillée cite les destinataires, y compris ceux qui exploitent le système.

Où les caméras sont permises, ce qui s’applique aux salariés et qui est responsable : voir vidéosurveillance et RGPD en entreprise. OVIT associe l’équipement de sécurité à l’intervention sur le terrain et à la visibilité dans Guardly.