Caméras de surveillance en entreprise et RGPD : ce qui est permis

L’Autorité hellénique de protection des données indique que l’article 10 de la Directive 1/2011 (déclaration) ne s’applique plus et qu’aucune autorisation n’est requise. Le responsable du traitement doit toutefois démontrer la licéité du fonctionnement (principe de responsabilité, art. 5 §2 RGPD).

En règle générale, la base juridique est l’intérêt légitime (art. 6 §1 f RGPD). L’Autorité précise aussi que même une image en direct, sans enregistrement, constitue un traitement de données personnelles.

Concrètement, la responsabilité signifie avoir par écrit : pourquoi chaque caméra existe, ce qu’elle voit, combien de temps les images sont gardées et qui y a accès.

La Directive 1/2011 (art. 2 a) admet comme finalité la protection des personnes et des biens contre les actes illicites. L’article 5 exige la proportionnalité : la caméra doit être adaptée et nécessaire, et le but ne doit pas pouvoir être atteint par des moyens moins intrusifs. La Directive cite des contrôles plus fréquents par le personnel de sécurité existant, une alarme aux entrées et un meilleur éclairage.

La Directive déconseille les caméras pour des infractions mineures. Notez pour chaque caméra le risque qu’elle couvre ; si vous n’y arrivez pas, elle n’est peut-être pas nécessaire.

L’article 6 de la Directive 1/2011 prévoit, pour toute entreprise :

• Rues et trottoirs : pas d’images des rues et trottoirs adjacents ; exceptions seulement pour des lieux à sécurité renforcée (p. ex. distributeurs), et alors au strict nécessaire (§1).
• Voisins : pas d’images des entrées ou de l’intérieur des logements, bâtiments ou locaux voisins (§2).
• Toilettes, vestiaires, douches : jamais (§3).
• Caméras orientables avec zoom : seulement pour une surveillance en temps réel en vue d’intervenir aussitôt, avec masquage des zones inutiles (§4).
• Son : interdit (§5).

Pour les commerces, l’article 19 autorise les caméras aux entrées et sorties, caisses, locaux à fonds, réserves, locaux techniques et parkings. Dans la surface de vente, seulement à titre exceptionnel, dans les grands magasins vendant des articles de grande valeur, en plan large. Jamais dans les espaces de restauration, cabines d’essayage, toilettes ou locaux du personnel fermés au public. Voir aussi notre guide sur la prévention du vol en magasin.

L’Autorité le dit expressément, en renvoyant à l’article 27 de la loi 4624/2019 et à l’article 7 de la Directive. Selon l’article 7 :

• dans un bureau type, les caméras se limitent aux entrées et sorties, sans couvrir bureaux ni couloirs ;
• caisses, coffres ou installations techniques peuvent être filmés si la caméra cible le bien et non les salariés ;
• les images ne peuvent être le seul critère pour évaluer le comportement ou la performance d’un salarié (§2).

Selon l’article 12 de la Directive, toute personne doit être clairement informée avant d’entrer dans le champ du système. Les panneaux sont posés en nombre suffisant et à un endroit visible, et indiquent :

• le responsable du traitement — pour le compte duquel on filme ;
• la finalité ;
• le contact pour l’exercice des droits.

Sur demande, une information plus complète doit être disponible : finalité, description du système, emplacements et champ des caméras, durée de conservation, qui exploite le système et destinataires éventuels. Toute personne filmée a un droit d’accès (art. 13) ; sa gestion est expliquée dans notre guide sur la durée de conservation des vidéos.

Les limites figurent à l’article 8 de la Directive 1/2011. Le réglage de l’enregistreur, ce qui compte comme « incident » et la remise des images à la police sont détaillés dans notre guide sur la durée de conservation des vidéos en Grèce.

L’article 11 §2 de la Directive prévoit que lorsque l’exploitation du système est confiée à un sous-traitant — par exemple une société de sécurité qui surveille les écrans —, la mission est confiée par écrit. L’article 11 §1 met les mesures de sécurité à la charge du responsable : contrôle d’accès à la salle de contrôle et aux archives, personnel adapté et formé, transmission sécurisée des incidents.

1. Qui est le responsable du traitement, qui est le sous-traitant ? Le contrat le dit-il ?
2. Qui a accès aux écrans et aux archives, et comment est-ce tracé ?
3. Qui règle la durée d’effacement, et qui exporte les images après un incident ?
4. Quel nom figure sur le panneau ?

OVIT associe l’équipement de sécurité à l’intervention sur le terrain et à la visibilité dans Guardly. Pour d’autres questions avant de signer, voir les questions à poser à une société de sécurité.