- L’EDSA met l’accent sur la proportionnalité et exige un examen au cas par cas ainsi que des exigences élevées en matière d’intérêts légitimes en cas de vidéosurveillance, conformément à l’article 6, paragraphe 1, point f) du RGPD.
- Les données biométriques et les données sensibles relèvent strictement de l’article 9 du RGPD ; la collecte, le stockage ou la comparaison de modèles nécessitent généralement un consentement explicite.
Le Comité européen de la protection des données (CEPD/EDPB) a adopté, après le Projet a publié la version définitive de ses lignes directrices sur la vidéosurveillance (Lignes directrices 3/2019 sur le traitement des données à caractère personnel par le biais d’appareils vidéo) en date du 29 janvier 2020 (pour l’instant uniquement disponibles en anglais). Les lignes directrices expliquent sur près de 30 pages, entre autres, la licéité de la vidéosurveillance (bases juridiques), la communication à des tiers, le traitement de catégories particulières de données personnelles, les droits des personnes concernées en relation avec les enregistrements vidéo, l’information des personnes concernées, la conservation des enregistrements, les mesures de sécurité nécessaires et les analyses d’impact sur la protection des données.
Proportionnalité
L’EDSA met l’accent sur la Proportionnalité des mesures, ce qui exige à chaque fois un examen au cas par cas. Il pose en outre des exigences relativement élevées en ce qui concerne l’intérêt légitime concret du responsable, dans la mesure où celui-ci se fonde sur l’article 6, paragraphe 1, point f), du RGPD (cf. à ce sujet CJUE, Rs. C‑708/18).
Données personnelles sensibles
Les explications relatives aux données personnelles sensibles sont intéressantes. Le CEPD confirme ici l’avis général selon lequel les enregistrements qui montrent des caractéristiques potentiellement particulièrement délicates (p. ex. des lunettes comme date potentielle de santé) ne sont pas en soi des données sensibles. Ce n’est que lorsque ces déclarations délicates sont extraites des enregistrements que des données personnelles sensibles sont traitées :
Toutefois, si la séquence vidéo est traitées pour déduire des catégories spéciales de données L’article 9 s’applique.
Cela ne s’applique pas seulement aux données de santé, mais aussi à d’autres catégories :
La vidéosurveillance d’une église ne relève pas en soi de l’article 9.
Toutefois, les données personnelles potentiellement sensibles sont délicates, raison pour laquelle le principe de proportionnalité revêt ici une importance particulière.
Données biométriques
Les explications concernant les données biométriques sont également remarquables. Données biométriques au sens de l’article 4, point 14, du RGPD ne sont traitées que si
- Les données se rapportent à des caractéristiques physiques, physiologiques ou comportementales. Caractéristiques se réfèrent,
- qui a été créé avec de l’eau obtenue par des procédés techniques spéciaux être et les
- être utilisé pour identifier une personne être clairement identifié.
Ce n’est pas le cas, par exemple, lorsqu’une caméra dans un magasin reconnaît automatiquement le sexe ou l’âge d’une personne, tant que le système ne peut pas procéder à une identification.
Toutefois, si le système est un modèle biométrique dans le but de reconnaître une personne déterminée, cela doit constituer un traitement de données biométriques – même si la personne concernée n’est pas nommément connue ; avec pour conséquence que l’article 9 du RGPD est applicable. Ici, l’AESD s’appuie – sans le dire – sur la notion de SingularisationLe texte de l’article est une liste d’identification, qui semble être l’équivalent d’une identification ici :
Si un contrôleur souhaite détecter un sujet de données qui revient dans la zone ou qui entre dans une autre zone (par exemple pour projeter une publicité personnalisée continue), le but serait alors d’identifier de manière unique une personne physique, ce qui signifie que l’opération tomberait dès le début sous le coup de l’article 9. Cela pourrait être le cas si un contrôleur stockait des modèles générés pour fournir une publicité personnalisée continue sur plusieurs panneaux d’affichage à différents endroits à l’intérieur du magasin. Étant donné que le système utilise des caractéristiques physiques pour détecter des individus spécifiques revenant dans le champ de la caméra (comme les visiteurs d’un centre commercial) et de les suivre, il s’agirait d’une méthode d’identification biométrique parce qu’elle vise à la reconnaissance par l’utilisation d’un traitement technique spécifique.
L’AESP a toutefois une position encore plus stricte : les données biométriques ne sont pas traitées uniquement pour les personnes pour lesquelles un modèle a été créé, mais aussi pour les personnes qui ne sont pas concernées par le modèle. également pour toutes les personnes dont les caractéristiques sont comparées au modèle. Si, par exemple, les caractéristiques faciales des VIP sont enregistrées dans un hôtel afin qu’ils soient immédiatement reconnus lors de l’enregistrement, le consentement des VIP n’est pas le seul requis, mais également celui de tous les autres clients dont le visage est scanné, bien que ces clients ne puissent pas être identifiés faute de modèles propres :
Un hôtel utilise la vidéosurveillance pour alerter automatiquement le gérant de l’hôtel de l’arrivée d’un VIP lorsque le visage du client est reconnu. Ces VIP ont préalablement donné leur consentement explicite à l’utilisation de la reconnaissance faciale avant d’être enregistrés dans une base de données établie à cet effet. Ces systèmes de traitement des données biométriques seraient illégaux. sauf si tous les autres invités surveillés (afin d’identifier les VIP) ont donné leur accord au traitement conformément à l’article 9 (2) (a) du GDPR.
L’AESP s’exprime également sur le caractère volontaire du consentement requis et sur la minimisation des données dans les systèmes biométriques.
Droits des personnes concernées
Il existe également un droit d’accès aux enregistrements vidéo. Toutefois, le responsable ne doit pas nécessairement être contraint de remettre des copies d’enregistrements si des tiers y figurent également. Le responsable n’est en tout cas pas tenu d’acquérir des systèmes permettant par exemple de pixelliser d’autres personnes. L’EDSA ne précise pas de quelle manière il doit fournir des informations dans ce cas ; les images fixes (éditées) entrent en ligne de compte (cf. Lignes directrices de l’autorité de surveillance irlandaise). Le CEPD aborde également la question de l’identification de la personne qui demande des informations et des autres droits des personnes concernées.
Transparence
Pour l’information des personnes concernées, l’AESD recommande de manière assez détaillée une procédure échelonnée avec une indication près des caméras et les autres informations, par exemple à une réception ou autre. L’EDSA recommande le panneau d’information suivant :
Durée de stockage
Les enregistrements vidéo doivent être effacés lorsqu’ils ne sont plus nécessaires. L’EDSA recommande une conservation de 1 à 2 jours pour les systèmes de sécurité, car les actes de vandalisme, par exemple, sont généralement découverts après 1 ou 2 jours. Si la durée est plus longue, la nécessité de la conservation doit être justifiée :
En tenant compte des principes de l’article 5 (1) (c) et (e) du RGPD, à savoir la minimisation des données et la limitation de leur stockage, les données personnelles devraient dans la plupart des cas (par exemple, dans le but de détecter le vandalisme) être supprimé, idéalement automatiquement, après quelques jours. Plus la période de stockage est longue (en particulier lorsque au-delà de 72 heures), plus l’argumentation en faveur de la légitimité de l’objectif et de la nécessité du stockage doit être fournie.