Décision de l’Autorité de protection des données concernant la surveillance par des “caméras intelligentes” pour des motifs d’intérêt public.

par | Mar 3, 2021 | Protection des données à caractère personnel

L’Autorité de protection des données belge évalue un traitement de données effectué par des caméras intelligentes placés par une régie autonome afin de fournir un décompte des passants à des endroits spécifiques afin de limiter les rassemblements l’épidémie de Covid-19.

Dans cette décision, l’Autorité examine en particulier si ce traitement se justifie par une bases légale adéquate et si les principes de protection des données dès la conception et par défaut sont respectés.

L’Autorité examine également si une information suffisamment transparente concernant ce traitement est fournie aux personnes concernées.

Les faits :

1 / La défenderesse est une régie autonome créée par la province de Flandre Occidentale dans le secteur du tourisme.

2 / Cette entité a décidé de placer des caméras intelligentes afin de fournir un décompte des passants à des endroits précis (sur la digue) dans le cadre des mesures prises pour combattre l’épidémie Covid-19.

3 / Pour atteindre cet objectif, la défenderesse a lancé un marché public pour le compte des communes côtières qui a été attribué le 9 juin 2020 à la société X, qui fait office de sous-traitant (au niveau de la protection des données à caractère personnel.).

4 / Suite à une réclamation, une enquête a été ouverte par le service d’inspection de l’Autorité de protection des données car il existe des risques sérieux que l’utilisation de caméras intelligentes par la défenderesse puisse donner lieu à une violation des principes fondamentaux de la protection des données à caractère personnel.

Controverse :

La question se pose relative aux exigences qui doiven être remplies par le responsable du traitement concernant la licéité du traitement des données à caractère personnel via un système de caméras intelligentes au sens de l’article 6 du RGPD. 

La seconde question est de savoir si sur le plan technique, quelles sont les conditions pour qu’un système intelligent de caméras qui implique un système de comptage des passants respecte les principes de protection des données par défaut et dès la conception (article 25 du RGPD) ?

Constatations de la Chambre Contentieuse :

 La base juridique est suffisante pour le traitement envisagé.

Un examen complet de la base juridique n’est pas effectué par la Chambre Contentieuse qui conclut que la partie défenderesse fait valoir de manière plausible que le traitement est nécessaire à l’accomplissement d’une mission d’intérêt public.

La Chambre Contentieuse précise que c’est principalement la tâche des autorités à la demande desquelles les traitements sont effectués – dans ce cas, la province de Flandre occidentale et les communes côtières concernées- de veiller à ce qu’une base légale en vigueur réponde aux exigences de l’article 6.3 du RGPD.

Par contre la Chambre Contentieuse rappelle qu’il incombe responsable du traitement, en tant que partie défenderesse de vérifier dans quelle mesure une base légale adéquate est fournie pour justifier le traitement. Dans cette décision, la Chambre du Contentieuse se limite à ces considérations générales la base légale du traitement.

Le traitement est proportionnel et nécessaire pour remplir la finalité

La partie défenderesse prouve que le traitement répond aux principes de nécessité et de proportionnalité en vue de sa mise en œuvre et de sa finalité en ce que la partie défenderesse réussit à démontrer l’absence d’un système alternatif moins intrusif qui atteindrait également les mêmes objectifs. 

 Protection des données par défaut et dès la conception:

La Chambre Contentieuse conclut que la partie défenderesse a inclus la protection des données par défaut et dès la conception à un stade précoce de la conception des opérations de traitement, notamment, grâce à l’inclusion de mesures techniques et organisationnelles appropriées dès le lancement du marché public.

En pratique la partie défenderesse (via le sous-traitant qui a remporté le marché public) a opté pour un système autonome, non connecté à un réseau, dans lequel le traitement des données personnelles au moyen d’un équipement vidéo est réduit au minimum et aucunes autres données à caractère personnel ne sont traitées.(Les personnes sont floutées après une très courte période de temps ce qui rend leur identification difficile.)

 Transparence du traitement :

La politique de confidentialité et le registre de la partie défenderesse ne sont pas entièrement complets, mais compte tenu de la coopération de la partie défenderesse et de la modification de sa déclaration de confidentialité au cours de la procédure, la Chambre Contentieuse ne juge pas nécessaire d’infliger une sanction mais ordonne à la partie défenderesse de se mettre en conformité.

Plus d’informations :

APD/GBA – 24/2021 – GDPRhub

Sources :

Nl_Advies.dotm (autoriteprotectiondonnees.be)