Vidéosurveillance au Luxembourg : ce que la CNPD impose, en pratique

Un particulier qui filme uniquement l’intérieur de sa maison ou son jardin clos, pour un usage strictement personnel, reste dans l’« exception domestique » du RGPD. Dès que la caméra capte, même partiellement, la voie publique, un trottoir, l’entrée d’un voisin ou une partie commune, cette exception tombe : la Cour de justice de l’Union européenne l’a jugé en 2014 (arrêt Ryneš, C-212/13), et les règles ci-dessous s’appliquent entièrement.

Une entreprise, un commerce, un restaurant, un cabinet ou une association sont toujours concernés, quelle que soit leur taille. Une copropriété qui équipe ses parties communes l’est aussi : elle devient responsable du traitement, représentée par son syndic.

La CNPD demande de définir précisément la ou les finalités poursuivies avant l’installation, et de ne pas détourner ensuite le système vers un autre usage sans en informer les personnes. Les finalités admises sont concrètes : sécuriser les accès au bâtiment, assurer la sécurité du personnel et des clients, détecter des comportements suspects ou dangereux, protéger les biens (bâtiments, installations, matériel, marchandises, liquidités), faciliter l’intervention des secours.

La base légale est presque toujours l’intérêt légitime (article 6.1 f du RGPD), à trois conditions cumulatives : un intérêt réel (par exemple protéger le stock contre le vol), la nécessité (aucune solution moins intrusive raisonnablement disponible) et des droits des personnes filmées qui ne l’emportent pas. Le consentement n’est pas une base adaptée : on ne peut pas le recueillir auprès de tous les passants.

Une caméra qui surveille un accès doit se limiter à la surface strictement nécessaire. Les caméras extérieures ne doivent capter ni la voie publique ni les propriétés voisines ; quand c’est inévitable, il faut masquer ou flouter les zones qui débordent — la plupart des caméras IP le permettent dans leur paramétrage, et c’est réglé à la mise en service.

Certains lieux sont exclus par principe, parce qu’on s’attend légitimement à ne pas y être filmé : vestiaires, sanitaires, douches, salles de pause et kitchenettes, postes de travail permanents (bureaux, ateliers, intérieur des cuisines), salles de consommation des restaurants et cafés, locaux de la délégation du personnel.

Le son est exclu : la vidéosurveillance porte sur les images seulement, et enregistrer aussi le son est jugé disproportionné. La surveillance continue et permanente des salariés est également à éviter.

La CNPD recommande une information à deux niveaux. Premier niveau : un panneau de taille suffisante, affiché en permanence aux entrées et sorties principales de la zone filmée, lisible à hauteur de tête, avec un pictogramme. Il indique l’identité et les coordonnées du responsable, la ou les finalités, l’existence des droits des personnes, et renvoie au second niveau (lien, code QR, numéro de téléphone).

Second niveau : une notice complète reprenant toutes les informations de l’article 13 du RGPD (durée de conservation, destinataires, droits, réclamation à la CNPD…), disponible dans un endroit facilement accessible — à l’accueil, sur papier et pas seulement en ligne. Pour les salariés, une information spécifique s’ajoute (voir plus bas).

La vidéosurveillance doit figurer dans le registre des traitements prévu par l’article 30 du RGPD, avec toutes les mentions exigées : finalités, catégories de personnes et de données, destinataires, durée de conservation, mesures de sécurité. C’est le premier document à présenter en cas de contrôle ou de plainte. Nous remettons un modèle pré-rempli avec chaque installation.

Les images peuvent être conservées en principe jusqu’à 8 jours. Le responsable peut exceptionnellement les conserver 30 jours, à condition de documenter les raisons dans le registre. Au-delà de 30 jours, la conservation est généralement jugée disproportionnée.

En cas d’incident ou d’infraction, les images concernées peuvent être conservées au-delà, dans le cadre de leur transmission aux autorités judiciaires compétentes. Le responsable doit veiller à la destruction des images à l’échéance : la CNPD recommande un effacement automatique, que nous programmons dans l’enregistreur.

L’accès aux images doit être limité aux seules personnes qui, dans le cadre de leurs fonctions, ont légitimement besoin d’y accéder : mots de passe robustes, identifiants individuels, journalisation des accès pour savoir qui a consulté quoi, mesures techniques et organisationnelles de l’article 32 du RGPD.

Si un prestataire intervient sur le système — installateur, société de télésurveillance —, un contrat de sous-traitance conforme à l’article 28 est requis. Si les images sont stockées hors de l’Union européenne, y compris via un service cloud, les règles de transfert international s’appliquent.

Toute personne filmée peut demander l’accès aux images qui la concernent (article 15 du RGPD) ; la réponse est due dans le mois, en protégeant les tiers qui apparaissent à l’image. Les images ne se publient jamais sur les réseaux sociaux, même après un vol : elles se remettent à la police ou à la justice.

Quand des salariés peuvent apparaître à l’image, la vidéosurveillance est un traitement « à des fins de surveillance dans le cadre des relations de travail », régi par l’article L.261-1 du Code du travail. L’employeur doit informer au préalable la délégation du personnel, en plus de chaque salarié : description détaillée de la finalité, modalités de mise en œuvre, durée ou critères de conservation, et engagement formel de ne pas utiliser les images à d’autres fins.

La délégation du personnel ou, à défaut, les salariés concernés peuvent, dans les 15 jours suivant cette information, demander à la CNPD un avis préalable sur la conformité du projet ; la CNPD répond dans le mois et la demande suspend la mise en œuvre pendant ce délai. Un salarié peut aussi introduire une réclamation auprès de la CNPD, et aucune réclamation ne peut justifier un licenciement.

Trois finalités relèvent en plus de la codécision entre l’employeur et la délégation du personnel (articles L.211-8, L.414-9 et L.423-1 du Code du travail) : la sécurité et la santé des salariés, le contrôle de la production ou des prestations lorsque c’est le seul moyen de déterminer le salaire exact, et l’organisation du travail selon un horaire mobile.

Une analyse d’impact relative à la protection des données est obligatoire quand le traitement est susceptible d’engendrer un risque élevé pour les personnes, et l’article 35.3 du RGPD vise expressément la surveillance systématique à grande échelle d’une zone accessible au public. Selon la CNPD, une AIPD sera nécessaire « dans de nombreux cas de recours à la vidéosurveillance » ; les critères européens retiennent notamment la présence de personnes vulnérables (salariés, enfants, personnes âgées), l’échelle, le caractère systématique et les technologies innovantes.

En pratique : pour une maison ou un petit commerce avec deux ou trois caméras sur ses accès, le risque est faible ; pour un magasin ouvert au public avec de nombreuses caméras, ou dès que des salariés sont filmés, l’analyse doit au minimum être documentée.

La CNPD instruit les plaintes, mène des enquêtes et peut prononcer des amendes administratives (article 83 du RGPD), en plus d’ordonner la mise en conformité ou le retrait de caméras. Elle publie ses décisions, et plusieurs concernent précisément des systèmes de vidéosurveillance — par exemple des caméras filmant des postes de travail ou des zones de pause, l’absence de panneau ou une conservation trop longue. Ses lignes directrices de 2024 en tiennent compte.