Le Comité européen de la protection des données a publié un avis daté du 10 juillet 2019. Projet de lignes directrices sur la vidéosurveillance (“Guidelines 3/2019 on processing of personal data through video devices”). Le projet a été mis en consultation publique jusqu’au 9 septembre 2019.
Les lignes directrices s’expriment entre autres sur les thèmes suivants :
- applicabilité matérielle du RGPD (mais pas l’applicabilité internationale). La question de savoir quand l’enregistrement d’une masse de personnes conduit à des données personnelles reste ouverte. En Suisse, il faudrait répondre à cette question sur la base des critères Logistep. Le CEPD part probablement du principe qu’il s’agit de données personnelles.
- Base juridique au sens des articles 6 et 9 du RGPD (indications détaillées du FEPD)
- Transmission d’enregistrements à des tiersLes autorités publiques sont également concernées ;
- Traitement de catégories particulières de données personnelles.
- Il est bienvenu de préciser à nouveau qu’une photographie d’une personne portant des lunettes ou même en fauteuil roulant ne constitue pas en soi une catégorie particulière de données personnelles, mais seulement à ce moment-là, lorsque les enregistrements sont utilisés pour en tirer des conclusions pertinentes (“if the video footage is processed to deduce special categories of data”). Cela rejoint la position du PFPDT selon laquelle la qualification d’une donnée abstraitement sensible comme particulièrement estimable ou comme profil de la personnalité dépend également du contexte d’utilisation.
- Il en va de même pour les données biométriques. Les enregistrements vidéo ne sont pas en soi des données biométriques.
- Droits des personnes concernées:
- Explications sur les droits des personnes concernées ; également sur les motifs d’exception, par exemple lorsque plusieurs données personnelles concernées se trouvent sur des enregistrements vidéo et que l’enregistrement ne peut donc éventuellement pas être remis ;
- Le DFPD confirme qu’une “suppression” au sens du droit à la suppression peut être effectuée par une pixellisation irréversible. (Ce que confirme d’ailleurs la Point de vue selon lequel l’anonymisation est un équivalent de la suppression(c’est-à-dire qu’elle correspond en principe à une suppression d’un point de vue juridique).
- TransparenceL’EDSA réitère ici sa recommandation de travailler avec plusieurs niveaux d’information (“layered approach”) ;
- Conservation et suppression;
- Mesures de sécurité y compris privacy by default et by design.