La vidéosurveillance en milieu professionnel est l'un des domaines où les questions de conformité se posent le plus fréquemment. L'employeur a un intérêt légitime à protéger ses locaux et ses actifs, mais les travailleurs conservent des droits fondamentaux — en particulier le droit à la vie privée et à la protection de leurs données personnelles — même pendant les heures de travail. L'article 89 de la loi organique 3/2018 relative à la protection des données personnelles et à la garantie des droits numériques (LOPDGDD) encadre cet équilibre de façon spécifique pour le contexte professionnel, en complément des obligations générales du règlement (UE) 2016/679 (RGPD).
Nous répondons ci-dessous, une par une, aux questions que les entreprises de Castille-et-León et des îles Canaries nous posent le plus souvent lors de l'installation ou de la révision de leurs systèmes de caméras.
L'employeur peut-il installer des caméras dans l'entreprise ?
Oui, mais sous conditions. L'article 89 LOPDGDD reconnaît que les employeurs peuvent traiter les images obtenues par des caméras de vidéosurveillance dans le but de contrôler la relation de travail, à condition de respecter les garanties prévues par le RGPD. La base juridique habituelle est l'intérêt légitime de l'employeur (article 6, paragraphe 1, point f) du RGPD) ou, le cas échéant, le respect d'une obligation légale (article 6, paragraphe 1, point c) du RGPD), notamment celle découlant de la législation sur la sécurité privée.
Pour que cette base juridique soit solide, le traitement doit satisfaire au test de proportionnalité : la mesure doit être adéquate au regard de l'objectif poursuivi, nécessaire (aucune alternative moins intrusive ne doit être tout aussi efficace) et proportionnée au sens strict (l'avantage pour l'employeur ne doit pas être disproportionné par rapport à la restriction qu'elle impose aux droits du travailleur). Installer des caméras sans avoir évalué ces trois conditions constitue un risque juridique réel.
Quelles informations doivent être communiquées aux travailleurs ?
C'est là que se situe l'une des erreurs les plus fréquentes. L'article 89 LOPDGDD établit une obligation d'information par deux voies :
- Information de base via un panneau d'avertissement : un panneau suffisamment visible doit être apposé pour informer les travailleurs de l'existence de caméras et du fait que les images sont traitées à des fins de contrôle professionnel. L'AEPD a publié un modèle de panneau indiquant, au minimum, l'identité du responsable du traitement et la possibilité d'exercer les droits reconnus par le RGPD.
- Information complète accessible : indépendamment du panneau, le travailleur a le droit d'accéder aux informations détaillées requises par l'article 13 du RGPD (finalité, base juridique, durée de conservation, destinataires, droits des personnes concernées et coordonnées du responsable du traitement ou du délégué à la protection des données s'il en existe un).
L'apposition du panneau ne requiert pas le consentement explicite du travailleur pour le traitement : l'information suffit. Mais si le panneau est absent ou insuffisant, le traitement peut être illicite même si les caméras sont techniquement bien configurées.
Où les caméras peuvent-elles être placées, et où est-il interdit d'en installer ?
La loi n'interdit pas la vidéosurveillance dans les zones de travail, mais exige que le placement soit proportionné à la finalité déclarée. En pratique, l'AEPD a constamment précisé qu'il est interdit d'installer des caméras dans :
- Les toilettes, vestiaires, salles de repos et autres espaces destinés à l'hygiène personnelle ou au repos des travailleurs.
- Les espaces où les travailleurs exercent leur droit à la liberté syndicale ou de réunion.
- Tout espace où la surveillance constante n'est pas liée à la finalité légitime invoquée.
Il n'est pas non plus proportionné d'orienter les caméras de façon à capter systématiquement les écrans d'ordinateur ou les conversations personnelles, même si la caméra se trouve techniquement dans une zone autorisée.
Quelle est la durée maximale de conservation des images ?
L'article 22, paragraphe 3, LOPDGDD — également applicable par renvoi dans le contexte professionnel — fixe la durée maximale de conservation des images à un mois à compter de leur captation, sauf si elles doivent être conservées pour établir la commission d'actes illicites par des travailleurs ou des tiers. Dans ce cas, les images sont conservées le temps nécessaire pour en informer les forces de l'ordre ou la juridiction compétente.
Ce délai d'un mois est impératif : conserver des images au-delà de cette durée sans justification constitue un traitement excessif et illicite. Il convient de vérifier que les systèmes d'enregistrement suppriment automatiquement les fichiers à l'expiration de ce délai.
L'entreprise doit-elle réaliser une analyse d'impact relative à la protection des données (AIPD) ?
Selon la portée du système, une AIPD peut être obligatoire. L'article 35 du RGPD impose une analyse d'impact relative à la protection des données (AIPD) lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. La liste des activités présumées à risque élevé publiée par le Comité européen de la protection des données inclut la surveillance à grande échelle de zones accessibles au public. Dans le contexte professionnel, un système de caméras couvrant l'ensemble d'un atelier de production, intégrant la reconnaissance faciale ou enregistrant en permanence des espaces de travail est susceptible de nécessiter une AIPD.
Si vous devez évaluer si votre système nécessite une AIPD, Summum Consultoria accompagne les entreprises dans la mise en conformité de leurs systèmes de vidéosurveillance avec les exigences du RGPD et de la LOPDGDD.
Que se passe-t-il en cas d'incident de sécurité lié aux images ?
Si les images captées par les caméras font l'objet d'une violation de données — par exemple, accès non autorisé, perte ou vol des supports d'enregistrement, ou divulgation illicite —, le responsable du traitement doit agir conformément aux articles 33 et 34 du RGPD :
- Article 33 RGPD : notification à l'Agence espagnole de protection des données (AEPD) dans un délai de 72 heures à compter du moment où le responsable en a pris connaissance, sauf si la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes physiques.
- Article 34 RGPD : communication aux personnes concernées — en l'occurrence, les travailleurs dont les images ont été compromises — lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.
En pratique, une fuite d'images de vidéosurveillance professionnelle implique généralement un risque élevé (elle peut révéler des habitudes de vie, des relations personnelles ou d'autres données sensibles), de sorte que la double obligation de notification à l'AEPD et de communication aux personnes concernées constitue la règle plutôt que l'exception.
La désignation d'un délégué à la protection des données (DPD) est-elle obligatoire ?
La désignation d'un DPD est obligatoire dans les cas prévus par l'article 37 du RGPD : autorités publiques, responsables ou sous-traitants dont les activités principales consistent en des opérations de traitement qui exigent un suivi régulier et systématique à grande échelle des personnes concernées, ou un traitement à grande échelle de catégories particulières de données. Pour une entreprise privée disposant d'un système de vidéosurveillance interne de dimensions ordinaires, l'obligation n'est pas automatiquement déclenchée par la seule existence de caméras.
Néanmoins, les fonctions du DPD (articles 38 et 39 du RGPD) — informer, surveiller la conformité et servir de point de contact avec l'autorité de contrôle — sont particulièrement précieuses pour les activités à risque élevé telles que la vidéosurveillance professionnelle. Pour les entreprises qui ne sont pas tenues de désigner un DPD interne, la figure du délégué à la protection des données externe offre les mêmes garanties avec une structure de coûts plus flexible.
Quelles conséquences le non-respect peut-il entraîner ?
L'AEPD est l'autorité de contrôle compétente en Espagne et dispose d'un pouvoir de sanction. Le cadre des sanctions prévu par l'article 83 du RGPD distingue deux niveaux :
- Infractions de niveau supérieur : jusqu'à 20 000 000 EUR ou, si ce montant est plus élevé, 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent.
- Infractions de niveau inférieur : jusqu'à 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial total.
Le manquement à l'obligation d'information (panneau absent ou insuffisant), le dépassement de la durée de conservation ou l'installation dans des zones interdites peuvent faire l'objet d'une procédure de sanction. Par ailleurs, les travailleurs peuvent exercer leurs droits auprès de l'AEPD et, le cas échéant, réclamer des dommages et intérêts devant les tribunaux.
Chez Summum Consultoria, nous ne garantissons pas la conformité au nom d'une entreprise — cette responsabilité incombe toujours au responsable du traitement —, mais nous accompagnons le processus d'adaptation pour que l'entreprise dispose des mesures techniques et organisationnelles exigibles. Si vous souhaitez faire réviser votre système actuel, notre équipe en protection des données réalise une première évaluation sans engagement.
Questions fréquentes
L'entreprise peut-elle utiliser les images pour sanctionner un travailleur ?
Oui, à condition que le système de vidéosurveillance ait été correctement mis en place (panneau d'information, base juridique valide, proportionnalité) et que les images aient été obtenues de manière licite. L'article 89 LOPDGDD autorise expressément l'utilisation des images à des fins disciplinaires. Cependant, si le traitement est illicite à la source — par exemple, la caméra se trouvait dans un vestiaire ou aucun panneau n'était apposé —, les images ne pourront pas être utilisées comme preuve et l'entreprise pourrait se voir infliger une sanction supplémentaire pour collecte illicite de données.
Le système de vidéosurveillance doit-il être déclaré auprès d'un organisme officiel ?
Il n'existe pas en Espagne de registre obligatoire des systèmes de vidéosurveillance auprès de l'AEPD. Ce qui est obligatoire, en revanche, c'est d'inclure le traitement dans le registre des activités de traitement que tout responsable doit tenir en vertu de l'article 30 du RGPD, avec la description des finalités, de la base juridique, des catégories de personnes concernées et des délais de suppression.
Qu'en est-il des caméras dans les véhicules de l'entreprise ?
Les caméras installées dans les véhicules de l'entreprise (dashcams) qui capturent des images du conducteur ou des passagers sont soumises aux mêmes principes du RGPD et de l'article 89 LOPDGDD. La finalité habituelle — sécurité routière et contrôle de l'activité professionnelle — peut justifier le traitement, mais exige une information préalable du conducteur et une proportionnalité dans la portée de la captation. Les images de la voie publique captées de façon incidente peuvent être soumises en outre à la législation sur la sécurité privée.