Beslissing ten gronde nr. 187/2022

1/17 Chambre Contentieuse Décision quant au fond 187/2022 du 21 décembre 2022 Numéro de dossier: DOS-2020-01650 Objet : Plainte relative à l’installation de caméras de surveillance dans le cadre d’un conflit de voisinage La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur Hielke Hijmans, président, et de Monsieur Yves Poullet et Monsieur Christophe Boeraeve, membres, reprenant l’affaire en cette composition ; Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après RGPD ; Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données, (ci-après LCA) ; Vu la Loi du 21 mars 2007 réglant l'installation et l'utilisation de caméras de surveillance (ciaprès la Loi caméras) ; Vu le Règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ; Vu les pièces du dossier ; A pris la décision suivante concernant : Le plaignant : Monsieur X, Ci-après « le plaignant » Les défendeurs : Monsieur Y1 et Madame Y2, Décision quant au fond 187/2022 - 2/17 Représentés par leur conseil, Maître Marjorie Detourbe, avocate, dont le cabinet est établi à 7130 Binche, rue Marie de Hongrie, 15. Ci-après « les défendeurs » I. 1. Objet de la plainte et rétroactes de procédure Le 1er avril 2020, le plaignant dépose plainte auprès de l’Autorité de protection des données (APD). Sa plainte a trait au placement de caméras par les défendeurs. 2. Le plaignant et les défendeurs sont voisins. Le plaignant dénonce le placement par les défendeurs de caméras extérieures filmant notamment la clôture entre leurs deux propriétés respectivement établies […] et ce, depuis le 3 février 2020. Plus précisément, le plaignant pointe 3 caméras qu’il voit depuis sa propriété et qui sont, selon lui, dirigées vers la sienne. L’une d’elle filmait le passage latéral de sa propriété jusqu’au-dessus de la haie (aujourd’hui une palissade). 3. Le plaignant indique avoir fait appel à la police locale le 4 février 2020 afin de vérifier la conformité de cette installation. Il indique aux termes de sa plainte que la police n’a pas dressé de procès-verbal de cette visite. Au cours de l’audition qui s’est tenue le 8 avril 2022 devant la Chambre Contentieuse (point 14 ci-dessous), le plaignant a précisé que seule une capture d’écran de ce que filmait la caméra litigieuse lui a été montrée par la police, capture d’écran sur laquelle sa propriété était apparente et donc filmée. Les défendeurs rapportent quant à eux qu’à la suite de cette intervention, la caméra litigieuse a été réorientée (point 14 ci-dessous). 4. Le 2 mars 2020, le plaignant écrit aux défendeurs et leur demande d’être informé « de la date d’approbation de la déclaration de mise en service ainsi que des éléments constitutifs de leur installation tels que repris dans cette déclaration obligatoire et préalable à la mise en service de ce matériel ». Il indique également vouloir exercer son droit à consulter les images enregistrées et en conserver une capture d’écran. Enfin, il invite les défendeurs à rediriger, voire à déplacer les caméras installées pour réduire le champ de vision de celles-ci à ce qui est autorisé, à l’exclusion de toute partie de sa propriété. 5. Le plaignant indique que cette lettre est restée sans réponse de la part des défendeurs. 6. La plainte du plaignant est déclarée recevable le 29 avril 2020 par le Service de Première Ligne (SPL) de l’APD et transmise à la Chambre Contentieuse. 7. Lors de sa séance du 16 juillet 2020, la Chambre Contentieuse décide qu’en vertu de l’article 95.1, 1° et de l’article 98 de la LCA, la plainte peut être traitée sur le fond. Décision quant au fond 187/2022 - 3/17 8. A cette même date, les parties sont invitées à faire valoir leurs arguments sous la forme de conclusions dans les délais fixés par la Chambre Contentieuse sur la base des articles 98 et 99 de la LCA , soit pour les 26 août 2020 (conclusions en réponse) et 8 octobre 2020 (conclusions en réplique) pour les défendeurs d’une part et pour le 16 septembre 2020 pour le plaignant (conclusions en réponse) d’autre part. 9. Le jour même, le plaignant fait immédiatement savoir à la Chambre Contentieuse qu’ « il n’ y a aucune modification visible de l'installation litigieuse si ce n'est qu’elle est toujours bel et bien en service, toujours dans la même configuration puisque sa localisation offre peu de possibilités de réorientation de l'angle de prise de vue ailleurs que sur ma propriété ». Le 15 décembre 2020, le plaignant s’enquiert de l’état d’instruction de sa plainte et confirme le statu quo de la situation par rapport aux caméras placées par les défendeurs. 10. Le 14 janvier 2021, constatant qu’elle ne dispose pas de preuve de l’envoi de l’invitation à conclure adressée aux défendeurs en même temps qu’au plaignant (point 8 ci-dessus), la Chambre Contentieuse accorde, dans le doute et aux fins du respect des droits de la défense, un délai ultime aux défendeurs pour faire valoir leurs arguments et ce jusqu’au 10 février 2021. 11. Le 10 février 2021, le conseil des défendeurs adresse à la Chambre Contentieuse une note rédigée par ses clients qui explicite le contexte dans lequel le conflit lié à l’installation de caméras par les défendeurs intervient. Il ressort de cette note que les parties sont en conflit de voisinage depuis de nombreuses années pour différents motifs tels que le déplacement de piquets de bornage délimitant les propriétés, l’opposition à un projet de rénovation, le défaut d’entretien des arbres situés le long de la clôture séparant les terrains, la détérioration de cette clôture et les propos mensongers du plaignant quant à l’attitude des défendeurs. Certains de ces différends ont été soumis à l’arbitrage du juge de paix compétent. 12. Aux termes de ce courrier, les défendeurs demandent par ailleurs à être entendus par la Chambre Contentieuse. 13. Le 14 février 2022, la Chambre Contentieuse invite les parties à comparaitre à l’audition fixée le 8 avril 2022. 14. De l’audition du 8 avril 2022 il résulte ce qui suit : - Quant au plaignant : il confirme la teneur de sa plainte dénonçant le placement de 3 caméras indûment dirigées vers sa propriété et dénonce également l’absence de pictogramme visible depuis la rue. Il ressort également de son exposé que, comme le soulignaient déjà les défendeurs dans leur note communiquée à la Chambre Contentieuse le 10 février 2021 (point 11), ce conflit lié aux caméras s’inscrit dans le prolongement de plusieurs différends existant entre lui-même et ses voisins. Décision quant au fond 187/2022 - 4/17 - Quant aux défendeurs : ils précisent avoir placé 61 caméras au total. Quatre caméras sont situées à chaque angle de la maison de manière à filmer le hangar, l’allée de jardin, la terrasse, …, soit les endroits où la défenderesse se rend à l’extérieur de sa maison. L’objectif déclaré des défendeurs est de filmer leur propriété et non celle de leur voisin. Les défendeurs répètent que l’installation des caméras s’inscrit dans le contexte des troubles de voisinage existant avec le plaignant et visent à cet égard à dissuader ce dernier de toute invective, attitude et propos malveillants à l’égard de la défenderesse en particulier. Ces caméras sont également destinées à garantir la sécurité de leur propriété. En effet, de nombreux vols ont régulièrement lieu dans le quartier, facilités par la proximité des champs ; toutes les propriétés voisines de celle des défendeurs ayant été cambriolées à l’exception de celle des défendeurs grâce, selon toute vraisemblance selon ces derniers, à la protection par les caméras. Les défendeurs indiquent que les caméras ont été déclarées aux services de police compétents. En revanche, ils mentionnent qu’il n’existe pas de registre de traitement. Les défendeurs ajoutent qu’une seule des 4 caméras aurait pu poser un problème à l’époque mais que l’orientation de celle-ci a été modifiée à la suite du passage de la police (point 3). Ils montrent des photos attestant de la réorientation de la caméra jugée litigieuse (photo du 6 avril 2020 après le passage de la police). Quant à l’absence de réponse au courrier du 2 mars 2020 du plaignant (point 4), les défendeurs reconnaissent n’avoir pas répondu. Dès lors que ce courrier faisait immédiatement suite à l’intervention des services de la police (point 3) et qu’à la suite de cette intervention, la caméra litigieuse filmant le côté latéral avait été réorientée sans qu’aucune autre remarque n’ait été formulée par les services de police, les défendeurs ont pensé que tout étant désormais en ordre, il n’était pas/plus nécessaire qu’ils réagissent au courrier du plaignant. Quant aux pictogrammes, les défendeurs précisent que deux pictogrammes sont installés aux fenêtres avant de la propriété sans être, comme l’affirme le plaignant, visibles depuis la voie publique. Les défendeurs se disent prêts à déplacer lesdits pictogrammes, à réorienter les caméras et à en bloquer l’orientation de manière qu’elles ne filment pas la propriété du plaignant si telle devait être la décision de la Chambre Contentieuse. 15. Les parties n’ont émis aucune observation à l’égard du procès-verbal d’audition qui leur a été communiqué. 1 Deux caméras intelligentes sont destinées à pouvoir attester de la livraison de colis. Elles ne font pas l’objet de la plainte. Décision quant au fond 187/2022 - 5/17 II. Motifs de la décision 2.1. Quant à la compétence de la Chambre Contentieuse et à l’applicabilité du RGPD et de la Loi caméras2 16. L’article 4.1. premier alinéa de la LCA dispose que « l’Autorité de protection des données est responsable du contrôle du respect des principes fondamentaux de la protection des données à caractère personnel dans le cadre de la présente loi et des lois contenant des dispositions relatives à la protection du traitement des données à caractère personnel ». 17. L’exposé des motifs de la LCA a clairement précisé l’interprétation à donner à l’article 4 LCA et ce dans les termes suivants: « Art. 4 : L’Autorité de protection des données est compétente pour exercer les missions et mandats de contrôle du respect des principes fondamentaux de protection des données à caractère personnel tels qu’établis dans le Règlement 2016/679. L’Autorité de protection des données agit en ce qui concerne la règlementation qui contient des dispositions relatives au traitement de données à caractère personnel telles que, par exemple, la loi instituant un registre national, la loi relative à la banque-carrefour de la sécurité sociale, la loi relative à la banque carrefour des entreprises, etc. (...) »3. La Loi caméras fait également partie de ces législations. 18. La Cour de justice de l’Union européenne (CJUE) a précédemment confirmé que la prise d’images de personnes (par des caméras de surveillance) relevait de la notion de « données à caractère personnel » au sens des normes de droit européen en matière de protection des données 4. La surveillance à l’aide d’enregistrements vidéo de personnes est un traitement automatisé de données à caractère personnel au sens de l’article 2.1. du RGPD5. Les traitements de données dans ce contexte doivent donc bénéficier de la protection offerte par le RGPD. 19. Les caméras (de surveillance) qui font l’objet de la plainte ont été installées par les défendeurs sur leur propriété privée6. Comme la Chambre Contentieuse l’a précédemment souligné, « pour l’application du RGPD, on peut souligner que l’installation de caméras de surveillance sur un domaine privé et l’utilisation de ces caméras de 2 Voy. la décision 138/2022 de la Chambre Contentieuse : https://www.autoriteprotectiondonnees.be/publications/decisionquant-au-fond-n-138-2022.pdf 3 Exposé des motifs de la Loi du 3 décembre 2017 portant création de l’Autorité de protection des données (LCA - APD), Chambre des représentants, DOC 54 2648/001, page 13 sous article 4. Voy. par exemple la décision 48/2021 de la Chambre Contentieuse sur l’application de l’article 4 LCA. 4 Arrêt CJUE du 11 décembre 2014, František Ryneš c. Úřad pro ochranu osobních údajů, C-212/13, ECLI:EU:C:2014:242 ; (ci-après : l’arrêt Ryneš), par. 22. 5 6 Compar. l'analyse dans l'arrêt Ryneš de la norme juridique remplacée mutatis mutandis, par. 25. Voy. infra point X : Un domaine privé est un "lieu fermé non accessible au public" au sens de l'article 2, 3° de la Loi caméras. L’article est énoncé comme suit : "lieu fermé non accessible au public : tout bâtiment ou lieu délimité par une enceinte, destiné uniquement à l'usage des utilisateurs habituels”. Décision quant au fond 187/2022 - 6/17 surveillance filmant des personnes ne signifie pas, par définition, qu’il s’agit d’une activité « strictement personnelle ou domestique » au sens de l’article 2.2.

1. c)du RGPD ». La Chambre Contentieuse rappelle ici que les traitements de données opérés à des fins strictement personnelle ou domestique sont en effet exclus du champ d’application matériel du RGPD. 20. Dans ses Lignes directrices 03/20197 relatives aux traitements de données à caractère personnel par des dispositifs vidéo, le Comité européen de la protection des données (CEPD) précise que cette « exemption dans le cadre d’une activité domestique », doit être lue de manière restrictive dans le contexte de la vidéosurveillance. Par conséquent, comme l’a estimé la CJUE, elle doit « être interprétée comme visant uniquement les activités qui s’insèrent dans le cadre de la vie privée ou familiale des particuliers (..) ». 21. Lorsque le système de vidéosurveillance couvre par exemple l’espace public ou le domaine privé d’autres personnes, même partiellement, et qu’il dépasse ainsi la sphère privée des personnes qui traitent des données au moyen de ce système, ces traitements ne constituent pas des « traitements réalisés exclusivement à des fins personnelles ou domestiques »8 au sens de l’article 2.2.
2. c)du RGPD précité. En agissant de la sorte, il est en effet possible de réaliser des images de personnes physiques et d'identifier celles-ci.9 22. En l’espèce, les traitements de données mis en cause par le plaignant résultant de l’utilisation par les défendeurs de caméras (de surveillance) filmant la propriété du plaignant, la Chambre Contentieuse est habilitée à exercer sa compétence et à statuer sur les faits dénoncés. 23. Il ressort des déclarations des défendeurs que les caméras litigieuses (soit 3 des 4 caméras placées à chaque angle de la propriété des défendeurs) sont notamment destinées à préserver la sécurité de leur propriété contre le vol. 24. A ce titre, elles sont, outre le RGPD, soumises aux dispositions spécifiques de la Loi caméras dont le champ d’application (article 3, 1°) précise qu’elle s’applique à l’installation et à l’utilisation de caméras de surveillance - dans les lieux visés à l’article 2 - ayant pour finalité de prévenir, constater ou déceler des infractions contre les personnes ou les biens. S’agissant du lieu concerné, les caméras sont installées dans un lieu fermé non accessible au public (défini comme « tout bâtiment ou lieu délimité par une enceinte destiné uniquement à l'usage des utilisateurs habituels ») au sens de l’article 2, 3° de la Loi caméras. 7 https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_fr.pdf 8 Compar. avec arrêt Ryneš, par. 32. 9 Compar. arrêt CJUE du 24 novembre 2011, Asociación Nacional de Establecimientos Financieros de Credito en Federación de Comercio Electrónico y Marketing Directo c. Administración des Estado, C-468-9/10, ECLI:EU:C:2011:777 (ci-après : l'arrêt Asociación Nacional), par. 35. Décision quant au fond 187/2022 - 7/17 25. La finalité qui consiste à se préserver d’attitudes jugées déplacées, d’invectives ou autres propos injurieux de ses voisins, ne tombe pas à strictement parler sous le régime de la Loi caméras dès lors qu’il n’est pas, à strictement parler toujours, question de prévenir ou de déceler des infractions. Une conception large de la protection des personnes pourrait englober une telle finalité ; une acception plus étroite basée sur la notion « d’infraction » qui renvoie au droit pénal l’en exclurait et considérerait davantage que le placement de telles caméras vise à se ménager des preuves dans le cadre d’actions civiles. Toutefois, dès lors que les caméras litigieuses poursuivent en toute hypothèse une finalité de prévention contre le vol, la Loi caméras s’applique incontestablement. 26. L’évaluation juridique à laquelle la Chambre Contentieuse procèdera se fera donc en premier lieu à l’aune des dispositions du RGPD. A cet égard, la question se pose de savoir dans quelle mesure le traitement de données à caractère personnel était licite, conformément entre autres aux articles 5 et 6 du RGPD. 27. Par ailleurs, ainsi qu’il vient d’être démontré, la Loi caméras et les arrêtés royaux qui la complètent10 imposent également des obligations supplémentaires qui sont pertinentes pour plusieurs aspects des traitements de données du présent dossier. La Chambre Contentieuse en appréciera également le respect. La Chambre Contentieuse souligne toutefois que l’application du RGPD, en tant que règlement de l’Union européenne, prévaut sur la législation nationale précitée11. 28. Eu égard à la nature du lieu (qualifié ainsi qu’il vient d’être rappelé de « lieu fermé non accessible au public »), l’article 7 de la Loi caméras doit plus particulièrement être respecté. La Chambre Contentieuse en rappelle ci-dessous le contenu : - Le responsable du traitement notifie la décision d'installer une ou plusieurs caméras de surveillance dans un lieu fermé non accessible au public aux services de police. Il le fait au plus tard la veille du jour de la mise en service de la ou des caméras de surveillance. - Le responsable du traitement tient un registre reprenant les activités de traitement d'images de caméras de surveillance mises en oeuvre sous sa responsabilité, sauf s'il s'agit d'une personne physique qui installe et utilise une caméra de surveillance à des fins personnelles ou domestiques - ce qui n’est en l’espèce pas le cas comme démontré 10 Arrêté royal du 8 mai 2018 relatif aux déclarations d'installation et d'utilisation de caméras de surveillance et au registre d'activités de traitement d'images de caméras de surveillance, M.B., 23 mai 2018 ; Arrêté royal du 10 février 2018 définissant la manière de signaler l'existence d'une surveillance par caméra, M.B., 21 février 2008 ; Arrêté royal du 6 décembre 2018 déterminant les lieux où le responsable du traitement peut diriger ses caméras de surveillance vers le périmètre entourant directement le lieu, conserver les images des caméras de surveillance pendant trois mois et donner accès en temps réel aux images aux services de police, M.B., 18 décembre 2018. 11 Voir entre autres l'Arrêt CJUE 5 février 1963, NV Algemene Transport- en Expeditie Onderneming van Gend & Loos c. Nederlandse Administratie der Belastingen, C-26-62, ECLI:EU:C:1963:1; CJUE, Arrêt du 15 juillet 1964, Flaminio Costa c. E.N.E.L., C-6-64, ECLI:EU:C:1964:66 ; en ce qui concerne la protection juridique de citoyens sur la base du droit de l'Union et des principes d' ‘action directe’ et de ‘primauté’, voir C. BARNARD, The Substantive Law of the EU: The Four Freedoms, Oxford (5e éd.), 2016, 17. Décision quant au fond 187/2022 - 8/17 aux points 19-22 - à l'intérieur d'une habitation privée. Ce registre se présente sous une forme écrite, électronique ou non. - Le responsable du traitement appose à l'entrée du lieu fermé non accessible au public, un pictogramme signalant l'existence d'une surveillance par caméra. Ce pictogramme n'est pas apposé pour la ou les caméras de surveillance installées et utilisées par une personne physique à des fins personnelles ou domestiques, à l'intérieur d'une habitation privée ce qui, comme il vient d’être mentionné, n’est pas le cas en l’espèce. - Le responsable du traitement s'assure que la ou les caméras de surveillance ne sont pas dirigées spécifiquement vers un lieu pour lequel il ne traite pas lui-même les données. En cas de surveillance d'une entrée d'un lieu fermé non accessible au public, située à front d'un lieu ouvert ou d'un lieu fermé accessible au public, la ou les caméras de surveillance est ou sont orientée(
3. s)de manière à limiter la prise d'images de ce lieu à son strict minimum. - Le visionnage de ces images en temps réel n'est admis que dans le but de permettre une intervention immédiate en cas d'infraction, de dommage, d'incivilité ou d'atteinte à l'ordre public. - L'enregistrement d'images n'est autorisé que dans le but de réunir la preuve d'incivilités, de faits constitutifs d'infraction ou générateurs de dommages, de rechercher et d'identifier les auteurs des faits, les perturbateurs de l'ordre public, les témoins ou les victimes. Si ces images ne peuvent contribuer à apporter la preuve d'une infraction, d'un dommage ou d'une incivilité ou ne peuvent permettre d'identifier un auteur des faits, un perturbateur de l'ordre public, un témoin ou une victime, elles ne peuvent être conservées plus d'un mois. - Toute personne filmée a un droit d'accès aux images. Elle adresse à cet effet une demande au responsable du traitement, conformément à la réglementation relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (article 15 du RGPD). Cette demande comporte des indications suffisamment détaillées pour permettre de localiser les images concernées de manière précise. - Le responsable du traitement conserve les images faisant l'objet de la demande d'accès le temps nécessaire au traitement de celle-ci, sans que le délai de conservation ne dépasse les délais autorisés (articles 5, § 4, alinéa 5, 6, § 3, alinéa 3, 7, § 3, alinéa 3, et 7/3, § 4, alinéa 2, selon le cas de la Loi caméras). Lorsque la personne filmée peut prétendre au droit d'obtenir une copie conformément à l'article 15, paragraphe 3, du RGPD, le Décision quant au fond 187/2022 - 9/17 responsable du traitement peut répondre à la demande d'accès en faisant visionner à la personne filmée les images où elle apparaît, sans lui fournir une copie des données, afin de garantir:1° les droits et libertés d'autrui, comme prévu par l'article 15, paragraphe 4, du RGPD ou 2° la sécurité publique ou la prévention et la détection d'infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, en application de l'article 23, paragraphe 1er,
4. c)et d), du RGPD. 2.2. Quant au respect des articles 5 et 6 du RGPD 29. Un système de vidéosurveillance tel celui mis en place via les caméras litigieuses des défendeurs relevant des dispositions du RGPD, le traitement de données qui en résulte doit toujours être conforme aux principes énoncés en son article 5. 2.2.1. Article 5. 1
5. a)du RGPD – principe de « licéité, de loyauté et de transparence » 2.2.1.
6. a)Principe de licéité 30. Le principe de base de l’article 5.1.
7. a)du RGPD est que les données à caractère personnel ne peuvent être traitées que de manière licite. Cela signifie qu’une des bases de licéité telle que listée à l’article 6.1. du RGPD doit fonder le traitement de données (principe de licéité). 31. La Chambre Contentieuse relève qu’en l’espèce, les défendeurs déclarent opérer les traitements de donnés via caméras pour la réalisation d’intérêts qui leur sont personnels, soit la préservation de la sécurité de leur bien et pour se prémunir d’attitudes indésirables du plaignant. Il appartient dès lors à la Chambre Contentieuse de vérifier si les exigences du fondement de l’article 6.1.
8. f)du RGPD sont respectées. L’article 6.1.
9. f)autorise en effet le responsable (en l’espèce les défendeurs) à opérer, moyennant le respect de toutes les autres dispositions du RGPD applicables, « des traitements nécessaires aux fins des intérêts légitimes qu’il poursuit ou qui sont poursuivis par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant ». 32. Selon la CJUE12, cette vérification comprend 3 étapes, le responsable de traitement devant démontrer que : 12 Voir également l’Arrêt Asociación Nacional, 24 novembre 2011, C-468/10. Décision quant au fond 187/2022 - 10/17 - le ou les intérêts qu’il poursuit par les traitements peuvent être reconnus comme légitimes (test de finalité) ; - le traitement envisagé est nécessaire à la réalisation de cet ou ces intérêts (test de nécessité) ; - la pondération de cet ou ces intérêts par rapport aux intérêts, libertés et droits fondamentaux des personnes concernées penche en faveur du responsable de traitement ou du tiers (test de pondération). Quant au test de finalité 33. Conformément au considérant 47 du RGPD, « l’existence d’un intérêt légitime devrait faire l’objet d’une évaluation attentive, notamment afin de déterminer si une personne concernée peut raisonnablement s’attendre, au moment et dans le cadre de la collecte des données à caractère personne, à ce que celles-ci fassent l’objet d’un traitement à une fin donnée ». 34. En l’espèce, les défendeurs ont installé des caméras en tant que personne privées et ainsi qu’il a déjà été mentionné, décrivent que le placement de ces caméras vise à préserver la sécurité de leur propriété contre les vols et à dissuader leur voisin, le plaignant, de comportements inadéquats. 35. Le Comité européen de la protection des données (ci-après CEPD) a précédemment indiqué que l’effraction, le vandalisme et le vol étaient des exemples de situations pouvant justifier la vidéosurveillance de même que la protection de son intégrité physique 13. En l’espèce, il est établi pour la Chambre Contentieuse que le traitement de données aux fins poursuivies par les défendeurs s’appuie sur des intérêts légitimes. Quant au test de nécessité 36. La CJUE a souligné dans le cadre de systèmes de surveillance par caméra que la condition de nécessité devait être examinée conjointement avec le principe de « minimisation des données » consacré à l’article 5.1.
10. c)du RGPD aux termes duquel les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées 14. L’article 7.2. alinéa 7 de la Loi caméras contextualise cette obligation en exigeant que le responsable du traitement s'assure que la ou les caméras de surveillance ne soi(en)t pas dirigée(
11. s)spécifiquement vers un lieu pour lequel il ne traite pas lui-même les données. 37. Les défendeurs ne contestent pas qu’à l’époque des faits, une partie de la propriété du plaignant était filmée par l’une des caméras et qu’à la suite de l’intervention des services 13 Lignes directrices du CEPD 3/2019 déjà citées, par. 1. 14 Arrêt Asociación Nacional, 24 novembre 2011, C-468/10, par. 48. Décision quant au fond 187/2022 - 11/17 de police, celle-ci a été réorientée (points 3 et 14). Une telle situation ne répondait donc pas au principe de minimisation. Le fait de filmer (en permanence) le jardin (ou une partie de celui-
12. ci)et (une partie
13. de)la propriété du plaignant, voisin des défendeurs, ne peut être considéré ni « pertinent » ni « nécessaire » pour préserver les intérêts légitimes précités des défendeurs. 38. Certes la caméra a été réorientée depuis et la Chambre Contentieuse en tiendra compte dans l’appréciation de la juste sanction qui s’impose en l’espèce. Si tel ne devait pas être le cas, la Chambre Contentieuse invite par ailleurs les défendeurs à orienter de manière permanente les autres caméras de manière à ne pas filmer la propriété du plaignant. 39. Quant à la question de savoir si le placement de 4 caméras est effectivement nécessaire à la réalisation des intérêts légitimes des défendeurs, la Chambre Contentieuse n’est pas à même de trancher cette question en l’espèce, faute d’éléments suffisants. Elle renvoie dès lors les défendeurs au principe « d’ accountability » prévu aux articles 5.2. et 24 du RGPD. Il leur appartient en effet, tout au long de la durée des traitements de données (images) opérés par leurs caméras, d’être en mesure de démontrer la conformité de ceuxci au RGPD, en ce compris donc quant à la proportionnalité du placement du nombre de caméras. Plus celles-ci sont nombreuses, plus nombreux aussi sont les traitements de données réalisés et plus grande est l’intrusion potentielle dans la vie privée du plaignant. La Chambre Contentieuse rappelle ainsi les défendeurs, sans que cette invitation ne constitue une mesure correctrice ou une sanction prévue à l’article 100 de la LCA, à leurs obligations et à évaluer ainsi à intervalles réguliers la pertinence du maintien d’autant de caméras et ce, sans préjudice de l’exigence que celles-ci soient, de façon permanente, orientées de manière à ne pas filmer la propriété du plaignant mais bien exclusivement la leur. Quant au test de pondération 40. Même si le résultat du test de nécessité ci-dessus suffit pour établir que le traitement de données personnelles était en l’espèce illicite, l’une des conditions (test de nécessité) de l’article 6.1.
14. f)du RGPD n’étant pas remplie, la Chambre Contentieuse examine également si les droits et libertés fondamentaux des personnes concernées (soit du plaignant en l’espèce) prévalent ou non sur les intérêts légitimes des défendeurs. 41. Cette pondération dépend des circonstances particulières du cas concret et des droits du plaignant concerné en vertu des articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne portant sur la protection de la vie privée et la protection des données15. En ce sens, il convient de tenir compte de la gravité de l’éventuelle violation des droits et libertés du plaignant comme élément essentiel de l’analyse 16. A cet égard, la 15 Arrêt Asociación Nacional, 24 novembre 2011, C-468/10 ; par. 52; Lignes directrices CEPD 3/2019, par. 32-35. 16 Arrêt Asociación Nacional, 24 novembre 2011, C-468/10, par. 56. Décision quant au fond 187/2022 - 12/17 Chambre Contentieuse est d’avis que la captation (en permanence) d’images de propriétés privées de voisins constitue une violation grave de leurs droits et libertés fondamentaux. C’est d’autant plus le cas lorsqu’un autre traitement de données moins invasif s’est révélé possible, à savoir par l’orientation de la caméra en manière telle qu’elle ne filme que la propriété des défendeurs (ce qui de leur propre aveu est leur seul objectif) à l’exclusion de celle du plaignant. La Chambre Contentieuse souligne également que les personnes concernées ne peuvent objectivement pas s’attendre à ce qu’une caméra soit placée de la sorte, de manière à filmer (en permanence) une partie de leur domaine privé alors même que la finalité déclarée du placement de la/des caméras est de sécuriser la propriété de leurs voisins à l’exclusion de la leur17. La Chambre Contentieuse en conclut que le traitement litigieux n’était pas prévisible pour le plaignant. 42. En conclusion, il y a en l’espèce violation de l’article 6.1.
15. f)du RGPD dès lors que la caméra litigieuse a, avant sa réorientation faisant suite à l’intervention de la police (point 3), traité de manière illicite des images contenant des données à caractère personnel (ce que les défendeurs reconnaissent implicitement en ayant modifié ladite orientation). Même si les défendeurs poursuivent un intérêt légitime au sens de cet article 6.1.
16. f)du RGPD, les traitements concrets dénoncés n’étaient pas nécessaires à la réalisation de cet intérêt et les droits et libertés fondamentaux du plaignant prévalaient sur cet intérêt. 2.2.1.
17. b)Principes de loyauté et de transparence 43. Le traitement de données à caractère personnel doit également être loyal (article 5.1.
18. a)du RGPD - principe de loyauté). 44. Enfin, les finalités du traitement doivent être claires tout comme doit l’être la manière dont les données sont traitées (article 5.1.
19. a)- principe de transparence). 45. En exécution de ces principes, l’article 8 de la Loi caméras interdit toute utilisation cachée de caméras de surveillance : « Est considérée comme utilisation cachée, toute utilisation de caméras de surveillance qui n’a pas été autorisée au préalable par la personne filmée. Le fait de pénétrer dans un lieu où un pictogramme signale l’existence d’une surveillance par caméras vaut autorisation préalable ». 46. Ainsi qu’il a été rappelé, l’article 7.2., alinéa 6 de la Loi caméras dispose que le responsable du traitement appose un pictogramme à l’entrée du lieu fermé non accessible au public signalant l’existence d’une surveillance par caméra. Le pictogramme joue donc un rôle informatif et est obligatoire en vue de la transparence du traitement de données personnelles. Son importance est fondamentale et celui-ci doit non seulement être placé, mais plus encore, placé de manière telle que les personnes filmées soient à même d’en prendre connaissance avant de pénétrer dans le champ filmé par ladite caméra. 17 En ce qui concerne ces ‘attentes objectives’, voir Lignes directrices CEPD 3/2019, par. 36. Décision quant au fond 187/2022 - 13/17 47. La Loi caméras prévoit un modèle uniforme de pictogramme de sorte que la personne concernée sache toujours clairement qu’elle est filmée. L’article 3 de l’arrêté royal du 10 février 2008 définissant la manière de signaler l’existence d’une surveillance par caméra définit les exigences auxquelles ce pictogramme doit répondre. Ainsi le pictogramme doit être apposé à l’entrée du lieu fermé non accessible au public. Sur ce pictogramme doivent obligatoirement figurer certaines mentions comme, notamment, l’identité du responsable de traitement. De cette manière, la personne concernée a directement accès aux informations relatives au traitement et au responsable de traitement. 48. En l’espèce, le plaignant ne dénonce pas l’absence de pictogramme ou l’absence de mentions obligatoires18 mais le fait qu’il ne soit pas suffisamment visible depuis la rue, soit avant l’entrée dans la propriété des défendeurs. Ces derniers indiquent pour leur part qu’ils sont prêts à déplacer ce pictogramme. La Chambre Contentieuse en prend acte et renvoie aux points 60 et suivants relatifs aux mesures correctrices et sanctions. Faute de preuves suffisantes, elle n’est pas à même d’apprécier si manquement il y a quant au lieu du placement des pictogrammes. 2.2.2. Article 5, paragraphe 1 c). du RGPD – principe de minimisation des données 49. Selon le principe de minimisation des données prévu à l’article 5.1.
20. c)du RGPD, les données à caractère personnel traitées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Il en résulte que les dites données ne peuvent être traitées que si la finalité du traitement ne peut être raisonnablement atteinte par d’autres moyens. 50. Sur ce point, la Chambre Contentieuse renvoie à la démonstration qu’elle a faite aux points 36-37 ci-dessus pour conclure à une violation de l’article 5.1.
21. c)du RGPD : des données non nécessaires à la poursuite de la finalité poursuivie par les défendeurs ont en effet été traitées. 2.3. Quant à l’absence de réponse des défendeurs au courrier du plaignant du 2 mars 2020 51. L’article 12.3. du RGPD énonce que « le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le 18 La Chambre Contentieuse ajoute que l’article 14 du RGPD précise les informations qui doivent être fournies par le responsable de traitement Décision quant au fond 187/2022 - 14/17 responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande ». 52. En l’espèce, les défendeurs ne contestent pas ne pas avoir répondu au courrier du 2 mars 2020 du plaignant aux termes duquel ce dernier demandait notamment à accéder aux données filmées et à en obtenir une copie (article 15 du RGPD) (point 4). 53. Ainsi qu’il a été mentionné dans l’exposé des faits, les défendeurs indiquent qu’au vu des assurances reçues quant à la conformité de la nouvelle orientation de la caméra litigieuse et l’absence de remarques pour le surplus de la part des services de police, ils ont cru en toute bonne foi qu’il ne leur était plus nécessaire de répondre audit courrier (point 14). 54. Cet argument ne peut être retenu par la Chambre Contentieuse. En effet, les exceptions à l’article 12.3 prévues à l’article 12.5. du RGPD ne sont pas d’application in casu. Il n’est en effet pas question de demande manifestement infondée ou excessive de la part du plaignant. La Chambre Contentieuse peut toutefois entendre qu’au vu du contexte, les défendeurs pouvaient penser ne plus être tenus de répondre. Il n’y en a pas moins eu manquement à l’article 12.3. du RGPD. La Chambre Contentieuse tiendra toutefois compte du contexte dans l’appréciation de la sanction appropriée. 2.4. Quant à l’absence de registre de traitement 55. L’article 30 du RGPD prévoit que chaque responsable du traitement tient un registre des activités de traitement effectuées sous sa responsabilité. Ce registre comporte toutes les informations suivantes :
22. a)le nom et les coordonnées du responsable de traitement (et le cas échéant celles du responsable conjoint, du représentant et du délégué à la protection des données),
23. b)les finalités du traitement,
24. c)une description des catégories de personnes concernées et des catégories de données à caractère personnel,
25. d)les catégories de destinataires auxquels les données à caractère personnel sont ou ont été communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales,
26. e)le cas échéant les transferts de données vers un pays tiers ou à une organisation internationale y compris l’identification de ce pays tiers ou de cette organisation internationale et, dans le cas de transferts visés à l’article 49.1. deuxième alinéa, les documents attestant de l’existence de garanties appropriées,
27. f)dans la mesure du possible, les délais prévus pour l’effacement des différentes catégories de données et
28. g)dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l’article 32.1. du RGPD19. 19 Commission de la protection de la vie privée, Recommandation 06/2017 du 14 juin 2017 relative au registre des activités de traitements (article 30 du RGPD) : https://www.autoriteprotectiondonnees.be/sites/privacycommission/files/documents/recommandation_06_2017.pdf Dès 2017, soit pendant la période séparant l’entrée en vigueur du RGPD de son entrée en application, la Commission de la protection de la vie privée a publié une recommandation explicitant la manière dont il convenait de compléter le registre. Décision quant au fond 187/2022 - 15/17 56. L’article 30.5. du RGPD prévoit une exemption de registre pour autant que les traitements concernés ne soient pas susceptibles de comporter un risque pour les droits et libertés des personnes concernées. La Chambre Contentieuse a déjà indiqué plus avant que le traitement d’images par caméras de surveillance comportait de tels risques (point 41). L’exception prévue à l’article 30.5. du RGPD n’est donc pas applicable en l’espèce20. 57. L’article 7.2. alinéa 5 de la Loi caméras prévoit par ailleurs une obligation de registre spécifique aux traitements d’images par caméras. L’exception en cas de traitement d’images réalisés à des fins strictement personnelles ou domestiques ne trouve pas plus à s’appliquer ici. Le contenu du registre est défini par l’arrêté royal du 8 mai 2018 relatif aux déclarations d'installation et d'utilisation de caméras de surveillance et au registre d'activités de traitement d'images de caméras de surveillance déjà cité . 21. 58. En l’espèce, les défendeurs reconnaissent ne pas disposer d’un tel registre. 59. Il y a donc manquement dans leur chef à l’article 30 du RGPD et à l’article 7.2. alinéa 5 de la Loi caméras. III. Mesures correctrices et sanctions 60. Aux termes de l’article 100 de la LCA, la Chambre Contentieuse a le pouvoir de: 1° classer la plainte sans suite; 2° ordonner le non-lieu; 3° prononcer une suspension du prononcé; 4° proposer une transaction; 5° formuler des avertissements ou des réprimandes; 6° ordonner de se conformer aux demandes de la personne concernée d'exercer ses droits; 7° ordonner que l'intéressé soit informé du problème de sécurité; 8° ordonner le gel, la limitation ou l'interdiction temporaire ou définitive du traitement; 9° ordonner une mise en conformité du traitement; 10° ordonner la rectification, la restriction ou l'effacement des données et la notification de celles-ci aux récipiendaires des données; 11° ordonner le retrait de l'agréation des organismes de certification; 12° donner des astreintes; 13° donner des amendes administratives; 14° ordonner la suspension des flux transfrontières de données vers un autre Etat ou un organisme international; 20 WORKING PARTY 29 POSITION PAPER on the derogations from the obligation to maintain records of processing activities pursuant to Article 30