L’actualité législative et réglementaire de cette année 2011 est incontestablement marquée par le développement de la vidéosurveillance, ou vidéoprotection. En attestent l’adoption, en mars dernier, de la loi dite LOPSSI 2 venant modifier le régime juridique de la vidéosurveillance, le programme annuel des contrôles effectués par la CNIL, renforçant son action sur les dispositifs de vidéoprotection, et la récente publication d’un décret relatif à la Commission Nationale de la Vidéoprotection.(1)
Les entreprises qui souhaitent mettre en oeuvre de tels dispositifs au sein de leur établissement sont concernées par ces évolutions. La complexité du cadre légal en matière de vidéoprotection nécessite de faire un point sur la réglementation en vigueur.
1. La coexistence de deux régimes juridiques
Les conditions dans lesquelles peut-être installé un système de vidéoprotection, à savoir un système qui enregistre ou transmet des images, sont encadrées par deux régimes juridiques distincts.(2) Il convient de distinguer selon que ce système concerne un lieu privé ou un lieu public.
Un lieu est considéré comme “privé” dès lors que le public ne peut pas y accéder librement, tels que bureaux ou entrepôts d’une entreprise fermés au public. La mise en oeuvre d’un dispositif de vidéosurveillance sur le lieu de travail est réglementée par le Code du travail et la loi Informatique et Liberté ; elle nécessite en principe une déclaration préalable auprès de la CNIL.(3)
Un lieu est considéré comme “public” dès lors qu’il est librement accessible à tous, tels que boutique, hypermarché, ou voie publique. La mise en oeuvre d’un système de vidéoprotection sur la voie publique ou dans des lieux et établissements ouverts au public est régie par la loi de 1995 relative à la sécurité, récemment modifiée par la LOPPSI 2 ; elle nécessite en principe une autorisation préfectorale.(4)
Ces deux régimes juridiques peuvent dans certains cas se cumuler. Il en va ainsi lorsque le dispositif de vidéoprotection se trouve dans un lieu mixte (lieu ouvert au public comportant des zones privées réservées à l’usage du personnel) ou lorsque les caméras vidéos mises en place filment une partie de la voie publique (entrée d’un bâtiment par exemple). Une déclaration à la CNIL et une demande d’autorisation en préfecture sont alors nécessaires.
2. Les règles applicables aux systèmes de vidéoprotection dans les lieux privés
2.1 Les obligations du chef d’entreprise
Le chef d’entreprise est responsable de la conformité de la mise en oeuvre du système de vidéoprotection.
Justification du dispositif - L'installation de caméras vidéos sur le lieu de travail répond généralement à un objectif sécuritaire, tel que contrôle des accès aux locaux, ou risque particulier de vol. Le chef d’entreprise qui envisage de mettre en oeuvre un système de vidéosurveillance doit respecter le principe de proportionnalité, c'est-à-dire être en mesure de justifier le contrôle qu'il exerce sur ses employés par un intérêt légitime. L’installation d’un tel dispositif doit donc s’effectuer de façon adéquate, pertinente, non excessive et strictement nécessaire à l’objectif poursuivi. Tel n’est pas le cas par exemple, si le dispositif a pour seul objectif la mise sous surveillance spécifique d’un employé déterminé.
Visualisation et durée de conservation des images - Les images enregistrées ne peuvent être visionnées que par les seules personnes habilitées à cet effet, dans le cadre de leurs fonctions (direction, responsable sécurité). Elles doivent être conservées pendant une durée limitée à quelques jours et en tout état de cause, conformément aux préconisations de la CNIL, à une durée qui ne saurait excéder un mois.
Information des représentants du personnel et des personnes filmées - Les instances représentatives du personnel doivent être consultées avant le déploiement d’un système de vidéosurveillance et précisément informées des fonctionnalités envisagées. Les employés ou visiteurs doivent être informés, au moyen d’un panneau affiché de façon visible dans les locaux sous vidéoprotection (i) de l’existence du dispositif, (ii) des destinataires des images captées et enregistrées et (iii) des modalités d’exercice de leur droit d’accès aux enregistrements les concernant.
Déclaration préalable à la CNIL - Si le système de vidéosurveillance procède à un traitement informatique de données à caractère personnel (stockage des images sur support numérique), une déclaration auprès de la CNIL sera nécessaire avant la mise en oeuvre effective du dispositif.(5) Cette déclaration n’est pas nécessaire en cas de désignation d’un Correspondant Informatique et Libertés (CIL).
2.2 Les modalités de contrôles et les sanctions
La CNIL peut contrôler la mise en place de dispositifs de vidéoprotection et le cas échéant faire prononcer des sanctions en cas de non-respect de la réglementation par le chef d’entreprise.
Contrôles CNIL - La loi Informatique et Libertés permet aux agents de la CNIL de réaliser des contrôles au sein des locaux professionnels équipés de systèmes de vidéosurveillance associés à des traitements de données personnelles.
Sanctions administratives - La mise en place d'un dispositif de vidéosurveillance, en violation des règles précitées, peut conduire la CNIL à prononcer à l’égard du chef d’entreprise qui méconnaît ses obligations : un avertissement, une mise en demeure, une sanction pécuniaire d’un montant maximum de 150.000€ (300.000€ en cas de récidive) et une injonction de cesser le traitement. A titre d’exemple, la CNIL a récemment sanctionné deux sociétés mettant en oeuvre des dispositifs de vidéosurveillance qui filmaient les salariés dans des espaces de repos et de détente, non ouverts au public et de façon permanente, y compris dans les lieux où aucune marchandise n’était stockée et sans les en avoir informés.(6)
Sanctions pénales - Le manquement à l’obligation de déclarer le traitement ou de faire une demande d’autorisation à la CNIL peut faire l’objet de peines d’emprisonnement (5 ans) et d’amende (300.000€ et 1.500.000€ pour les personnes morales). De plus, l’installation d'un dispositif de vidéosurveillance en violation des règles précitées, peut constituer une atteinte volontaire à l'intimité de la vie privée d'autrui (ex: installation d’un dispositif à l’insu des salariés afin d'entendre leurs conversations) qui expose l'employeur à des peines d’emprisonnement (1 an) et d'amende (45.000€).(7)
Récusation des moyens de preuve - La mise en place d'un dispositif de vidéosurveillance dans des circonstances contraires à la loi peut conduire le juge à écarter l’enregistrement vidéo produit à titre de preuve, notamment pour justifier le licenciement d'un employé (par exemple, licenciement fondé sur un enregistrement vidéo obtenu par le moyen d’une caméra dissimulée dont ni les salariés ni le comité d’entreprise avaient connaissance).
3. Les règles applicables aux systèmes de vidéoprotection dans les lieux publics
Les règles sont différentes lorsque la vidéoprotection est installée sur la voie publique ou dans des lieux et établissements ouverts au public. La loi LOPPSI 2 a modifié le régime juridique applicable et notamment renforcé les contrôles des systèmes de vidéoprotection.
3.1 Les obligations du responsable du dispositif de vidéoprotection
Justifications du dispositif - L’installation de systèmes de vidéoprotection sur la voie publique ou dans des lieux ouverts au public doit répondre à des motifs de préservation de la sécurité et de l’ordre public. A ce titre, la loi fixe une liste des motifs autorisés et les distingue en fonction du type de lieux. Ainsi, les entreprises ont la possibilité de recourir à un dispositif filmant (i) la voie publique uniquement pour assurer la protection des abords immédiats de leurs bâtiments et installations, si ceux-ci sont susceptibles d’être exposés à des actes de terrorisme et (ii) des lieux ouverts au public uniquement pour assurer la sécurité des personnes et des biens, lorsque ces lieux sont exposés à des risques d’agression, de vol ou de terrorisme.
Autorisation préfectorale et conséquences - L’obtention d’une autorisation préfectorale est un préalable nécessaire à l’installation du dispositif ; la demande d’autorisation doit être déposée à la préfecture et être accompagnée d’un dossier administratif et technique. L’autorisation est délivrée pour une durée de cinq ans, renouvelable.
La délivrance de l’autorisation préfectorale impose au responsable du dispositif de respecter un ensemble de prescriptions portant sur des modalités techniques de mise en oeuvre. Les images enregistrées ne peuvent être conservées que pendant un délai maximum d’un mois.
Tout responsable d’un dispositif de vidéoprotection est tenu d’informer de manière claire et permanente le public surveillé de l’existence de ce système et de la personne qui en est responsable. Cette information doit être apportée au moyen de panonceaux et d’affiches. De plus, le responsable du système doit permettre à toute personne intéressée d’obtenir accès aux enregistrements la concernant.
Déclaration CNIL : exception - Si le système de vidéoprotection est associé à des traitements ou fichiers automatisés de données personnelles permettant l’identification, directe ou indirecte, des personnes physiques, la loi Informatique et Libertés a vocation à s’appliquer. En pratique, cela signifie qu’un tel dispositif doit uniquement faire l’objet des formalités préalables auprès de la CNIL, à l’exclusion de.s démarches auprès de la préfecture.(8)
3.2 L’extension des pouvoirs de contrôle et les sanctions
Les Commissions Départementales de Vidéoprotection - Ces commissions disposent d’un pouvoir de contrôle des conditions de fonctionnement des dispositifs autorisés au sein de tous locaux ou établissements professionnels. Elles peuvent émettre des recommandations et proposer au préfet la suspension ou la suppression des dispositifs non autorisés, non conformes ou dont il est fait un usage anormal.
La CNIL - La Commission nationale informatique et libertés est désormais compétente pour contrôler les dispositifs de vidéoprotection, qu'ils soient installés sur la voie publique ou dans des lieux ouverts au public, alors que jusqu’à présent elle ne contrôlait que ceux installés dans les lieux privés. La CNIL peut, à la suite de ces contrôles, prononcer des mises en demeure à l’encontre des responsables des dispositifs si elle constate des manquements aux obligations qui s’imposent à eux et proposer au préfet d’ordonner des mesures de suspension ou de suppression du système contrôlé.
Les sanctions - Le non-respect de la loi et des textes d’application peut faire l’objet, d’une part, de sanctions administratives et d’autre part de sanctions pénales.(9) Le préfet a ainsi la possibilité de retirer une autorisation d’installation en cas de manquement du titulaire à ses obligations. Le non-respect de la loi peut également être sanctionné par des peines d’emprisonnement (3 ans) et d’amende (45.000€). Peuvent constituer des infractions: le fait d’installer ou de maintenir un système sans autorisation, de procéder à la destruction des images hors délais ou de permettre à des personnes non autorisées d’accéder aux images.
En conséquence, il est recommandé aux commerçants et aux entreprises de s’assurer de la conformité de leurs dispositifs de vidéosurveillance à la loi et, à défaut, de prendre toutes mesures nécessaires de mise en conformité.
Les entreprises qui souhaitent mettre en oeuvre de tels dispositifs au sein de leur établissement sont concernées par ces évolutions. La complexité du cadre légal en matière de vidéoprotection nécessite de faire un point sur la réglementation en vigueur.
1. La coexistence de deux régimes juridiques
Les conditions dans lesquelles peut-être installé un système de vidéoprotection, à savoir un système qui enregistre ou transmet des images, sont encadrées par deux régimes juridiques distincts.(2) Il convient de distinguer selon que ce système concerne un lieu privé ou un lieu public.
Un lieu est considéré comme “privé” dès lors que le public ne peut pas y accéder librement, tels que bureaux ou entrepôts d’une entreprise fermés au public. La mise en oeuvre d’un dispositif de vidéosurveillance sur le lieu de travail est réglementée par le Code du travail et la loi Informatique et Liberté ; elle nécessite en principe une déclaration préalable auprès de la CNIL.(3)
Un lieu est considéré comme “public” dès lors qu’il est librement accessible à tous, tels que boutique, hypermarché, ou voie publique. La mise en oeuvre d’un système de vidéoprotection sur la voie publique ou dans des lieux et établissements ouverts au public est régie par la loi de 1995 relative à la sécurité, récemment modifiée par la LOPPSI 2 ; elle nécessite en principe une autorisation préfectorale.(4)
Ces deux régimes juridiques peuvent dans certains cas se cumuler. Il en va ainsi lorsque le dispositif de vidéoprotection se trouve dans un lieu mixte (lieu ouvert au public comportant des zones privées réservées à l’usage du personnel) ou lorsque les caméras vidéos mises en place filment une partie de la voie publique (entrée d’un bâtiment par exemple). Une déclaration à la CNIL et une demande d’autorisation en préfecture sont alors nécessaires.
2. Les règles applicables aux systèmes de vidéoprotection dans les lieux privés
2.1 Les obligations du chef d’entreprise
Le chef d’entreprise est responsable de la conformité de la mise en oeuvre du système de vidéoprotection.
Justification du dispositif - L'installation de caméras vidéos sur le lieu de travail répond généralement à un objectif sécuritaire, tel que contrôle des accès aux locaux, ou risque particulier de vol. Le chef d’entreprise qui envisage de mettre en oeuvre un système de vidéosurveillance doit respecter le principe de proportionnalité, c'est-à-dire être en mesure de justifier le contrôle qu'il exerce sur ses employés par un intérêt légitime. L’installation d’un tel dispositif doit donc s’effectuer de façon adéquate, pertinente, non excessive et strictement nécessaire à l’objectif poursuivi. Tel n’est pas le cas par exemple, si le dispositif a pour seul objectif la mise sous surveillance spécifique d’un employé déterminé.
Visualisation et durée de conservation des images - Les images enregistrées ne peuvent être visionnées que par les seules personnes habilitées à cet effet, dans le cadre de leurs fonctions (direction, responsable sécurité). Elles doivent être conservées pendant une durée limitée à quelques jours et en tout état de cause, conformément aux préconisations de la CNIL, à une durée qui ne saurait excéder un mois.
Information des représentants du personnel et des personnes filmées - Les instances représentatives du personnel doivent être consultées avant le déploiement d’un système de vidéosurveillance et précisément informées des fonctionnalités envisagées. Les employés ou visiteurs doivent être informés, au moyen d’un panneau affiché de façon visible dans les locaux sous vidéoprotection (i) de l’existence du dispositif, (ii) des destinataires des images captées et enregistrées et (iii) des modalités d’exercice de leur droit d’accès aux enregistrements les concernant.
Déclaration préalable à la CNIL - Si le système de vidéosurveillance procède à un traitement informatique de données à caractère personnel (stockage des images sur support numérique), une déclaration auprès de la CNIL sera nécessaire avant la mise en oeuvre effective du dispositif.(5) Cette déclaration n’est pas nécessaire en cas de désignation d’un Correspondant Informatique et Libertés (CIL).
2.2 Les modalités de contrôles et les sanctions
La CNIL peut contrôler la mise en place de dispositifs de vidéoprotection et le cas échéant faire prononcer des sanctions en cas de non-respect de la réglementation par le chef d’entreprise.
Contrôles CNIL - La loi Informatique et Libertés permet aux agents de la CNIL de réaliser des contrôles au sein des locaux professionnels équipés de systèmes de vidéosurveillance associés à des traitements de données personnelles.
Sanctions administratives - La mise en place d'un dispositif de vidéosurveillance, en violation des règles précitées, peut conduire la CNIL à prononcer à l’égard du chef d’entreprise qui méconnaît ses obligations : un avertissement, une mise en demeure, une sanction pécuniaire d’un montant maximum de 150.000€ (300.000€ en cas de récidive) et une injonction de cesser le traitement. A titre d’exemple, la CNIL a récemment sanctionné deux sociétés mettant en oeuvre des dispositifs de vidéosurveillance qui filmaient les salariés dans des espaces de repos et de détente, non ouverts au public et de façon permanente, y compris dans les lieux où aucune marchandise n’était stockée et sans les en avoir informés.(6)
Sanctions pénales - Le manquement à l’obligation de déclarer le traitement ou de faire une demande d’autorisation à la CNIL peut faire l’objet de peines d’emprisonnement (5 ans) et d’amende (300.000€ et 1.500.000€ pour les personnes morales). De plus, l’installation d'un dispositif de vidéosurveillance en violation des règles précitées, peut constituer une atteinte volontaire à l'intimité de la vie privée d'autrui (ex: installation d’un dispositif à l’insu des salariés afin d'entendre leurs conversations) qui expose l'employeur à des peines d’emprisonnement (1 an) et d'amende (45.000€).(7)
Récusation des moyens de preuve - La mise en place d'un dispositif de vidéosurveillance dans des circonstances contraires à la loi peut conduire le juge à écarter l’enregistrement vidéo produit à titre de preuve, notamment pour justifier le licenciement d'un employé (par exemple, licenciement fondé sur un enregistrement vidéo obtenu par le moyen d’une caméra dissimulée dont ni les salariés ni le comité d’entreprise avaient connaissance).
3. Les règles applicables aux systèmes de vidéoprotection dans les lieux publics
Les règles sont différentes lorsque la vidéoprotection est installée sur la voie publique ou dans des lieux et établissements ouverts au public. La loi LOPPSI 2 a modifié le régime juridique applicable et notamment renforcé les contrôles des systèmes de vidéoprotection.
3.1 Les obligations du responsable du dispositif de vidéoprotection
Justifications du dispositif - L’installation de systèmes de vidéoprotection sur la voie publique ou dans des lieux ouverts au public doit répondre à des motifs de préservation de la sécurité et de l’ordre public. A ce titre, la loi fixe une liste des motifs autorisés et les distingue en fonction du type de lieux. Ainsi, les entreprises ont la possibilité de recourir à un dispositif filmant (i) la voie publique uniquement pour assurer la protection des abords immédiats de leurs bâtiments et installations, si ceux-ci sont susceptibles d’être exposés à des actes de terrorisme et (ii) des lieux ouverts au public uniquement pour assurer la sécurité des personnes et des biens, lorsque ces lieux sont exposés à des risques d’agression, de vol ou de terrorisme.
Autorisation préfectorale et conséquences - L’obtention d’une autorisation préfectorale est un préalable nécessaire à l’installation du dispositif ; la demande d’autorisation doit être déposée à la préfecture et être accompagnée d’un dossier administratif et technique. L’autorisation est délivrée pour une durée de cinq ans, renouvelable.
La délivrance de l’autorisation préfectorale impose au responsable du dispositif de respecter un ensemble de prescriptions portant sur des modalités techniques de mise en oeuvre. Les images enregistrées ne peuvent être conservées que pendant un délai maximum d’un mois.
Tout responsable d’un dispositif de vidéoprotection est tenu d’informer de manière claire et permanente le public surveillé de l’existence de ce système et de la personne qui en est responsable. Cette information doit être apportée au moyen de panonceaux et d’affiches. De plus, le responsable du système doit permettre à toute personne intéressée d’obtenir accès aux enregistrements la concernant.
Déclaration CNIL : exception - Si le système de vidéoprotection est associé à des traitements ou fichiers automatisés de données personnelles permettant l’identification, directe ou indirecte, des personnes physiques, la loi Informatique et Libertés a vocation à s’appliquer. En pratique, cela signifie qu’un tel dispositif doit uniquement faire l’objet des formalités préalables auprès de la CNIL, à l’exclusion de.s démarches auprès de la préfecture.(8)
3.2 L’extension des pouvoirs de contrôle et les sanctions
Les Commissions Départementales de Vidéoprotection - Ces commissions disposent d’un pouvoir de contrôle des conditions de fonctionnement des dispositifs autorisés au sein de tous locaux ou établissements professionnels. Elles peuvent émettre des recommandations et proposer au préfet la suspension ou la suppression des dispositifs non autorisés, non conformes ou dont il est fait un usage anormal.
La CNIL - La Commission nationale informatique et libertés est désormais compétente pour contrôler les dispositifs de vidéoprotection, qu'ils soient installés sur la voie publique ou dans des lieux ouverts au public, alors que jusqu’à présent elle ne contrôlait que ceux installés dans les lieux privés. La CNIL peut, à la suite de ces contrôles, prononcer des mises en demeure à l’encontre des responsables des dispositifs si elle constate des manquements aux obligations qui s’imposent à eux et proposer au préfet d’ordonner des mesures de suspension ou de suppression du système contrôlé.
Les sanctions - Le non-respect de la loi et des textes d’application peut faire l’objet, d’une part, de sanctions administratives et d’autre part de sanctions pénales.(9) Le préfet a ainsi la possibilité de retirer une autorisation d’installation en cas de manquement du titulaire à ses obligations. Le non-respect de la loi peut également être sanctionné par des peines d’emprisonnement (3 ans) et d’amende (45.000€). Peuvent constituer des infractions: le fait d’installer ou de maintenir un système sans autorisation, de procéder à la destruction des images hors délais ou de permettre à des personnes non autorisées d’accéder aux images.
En conséquence, il est recommandé aux commerçants et aux entreprises de s’assurer de la conformité de leurs dispositifs de vidéosurveillance à la loi et, à défaut, de prendre toutes mesures nécessaires de mise en conformité.
******************************
(1) Loi n° 2011-267 du 14 mars 2011 d’orientation et de programmation pour la performance de la sécurité intérieure dite LOPPSI 2(voir notamment le Chapitre III, Section 4 «Vidéoprotection») ; Communiqué CNIL du 26 avril 2011 « Programme des contrôles 2011 : une ambition réaffirmée, des compétences élargies » ; et Décret n°2011-877 du 25 juillet 2011 relatif à la commission nationale de la vidéoprotection.
(2) Par exemple, les caméras vidéos installées dans une superette et qui ont pour seule finalité de permettre au responsable du magasin de surveiller, sans le moindre enregistrement, en temps réel le magasin n’a pas besoin de faire l’objet d’une autorisation.
(3) Voir notamment les articles L. 1121-1, L. 1221-9, L.1222-4 et L.2323-32 du Code du travail et les dispositions de la Loi n° 78-17 du 6 janvier 1978, modifiée relative à l’informatique, aux fichiers et aux libertés.
(4) Loi n°95-73 du 21 janvier 1995 d’orientation et de programmation relative à la sécurité (voir notamment articles 10 et 10-2) .
(5) Les systèmes comprenant un dispositif biométrique doivent faire l’objet d’une demande d’autorisation auprès de la CNIL.
(6) Formation contentieuse de la CNIL du 18 janvier 2011 et Délibération CNIL n° 2009-201 du 16 avril 2009 de la formation restreinte prononçant une sanction pécuniaire à l’encontre de la société Jean-Marc Philippe.
(7) Voir notamment articles 226-1, 226-16, 226-24 et 131-38 du Code pénal.
(8) Voir l’article 10-I et II de la Loi du 21 janvier 1995 relative à la sécurité, modifiée
(9) Ces peines sont prononcées sans préjudice de l’application de l’article 226-1 du Code pénal qui sanctionne également de peines d’emprisonnement (un an) et d’amende (45.000€) les atteintes volontaires à l’intimité de la vie privée d’autrui.
Bénédicte DELEPORTE – Avocat
Betty SFEZ – Avocat
Deleporte Wentz Avocat
www.dwavocat.com
Août 2011
Aucun commentaire:
Enregistrer un commentaire