Délibération n° 2015-33 du 25 mars 2015 portant recommandation sur les traitements automatisés d’informations nominatives ayant pour finalité « Vidéo-protection du domicile » exclusivement mis en œuvre par les personnes physiques ayant recours à des personnels de maison ou des prestataires non occasionnels
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la Recommandation du Conseil de l’Europe n° R (89) 2 du 19 janvier 1989 sur la protection des données à caractère personnel utilisées à des fins d’emploi ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2010-13 du 3 mai 2010 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les dispositifs de vidéosurveillance mis en œuvre par les personnes physiques ou morales de droit privé ;
Vu le Code civil ;
Vu le Code pénal ;
La Commission de Contrôle des Informations Nominatives,
Conformément à l’article 1er alinéa 1 de la loi n° 1.165 du 23 décembre 1993, les traitements automatisés ou non automatisés d’informations nominatives ne doivent pas porter atteinte aux libertés et droits fondamentaux consacrés par le titre III de la Constitution.
La Commission de Contrôle des Informations Nominatives, Autorité Administrative Indépendante, a pour mission de veiller au respect de ces dispositions. A ce titre, elle est notamment habilitée à formuler toutes recommandations entrant dans le cadre des missions qui lui sont conférées par la loi.
Par la présente recommandation, la Commission estime opportun de préciser les principes de protection des informations nominatives applicables aux traitements automatisés d’informations nominatives ayant pour finalité « Vidéo-protection du domicile » exclusivement exploités par les personnes physiques ayant recours à des employés de maison ou des prestataires non occasionnels, afin d’orienter les demandeurs, soumis aux dispositions de l’article 6 de la loi dont s’agit, dans leurs démarches auprès d’elle.
I. Dispositions générales
De nombreux particuliers ont de plus en plus recours à des systèmes de vidéo-protection afin, par exemple, de se prémunir contre les cambriolages, notamment grâce à un effet dissuasif en cas d’absence du propriétaire ou du locataire des lieux d’habitation. Ces systèmes utilisent des moyens, plus ou moins complexes, nécessitant le recours à des outils numériques et informatiques, voire à des systèmes de communications électroniques.
Si l’utilisation d’un tel système n’est pas problématique en soi, le recours à ce dernier en cas de présence dans le domicile d’employés de maison ou de prestataires non occasionnels nécessite certaines précautions particulières.
En effet, ces systèmes permettent la collecte de données nominatives au sens de l’article 1er de la loi n° 1.165, modifiée, à savoir l’image des personnes, et dans certains cas leurs voix.
Utilisés sans discernement, de tels systèmes peuvent conduire à une surveillance abusive des habitudes de vie ou du comportement des personnes concernées, portant ainsi atteinte à leur vie privée.
En outre, les systèmes de vidéo-protection peuvent converger avec d’autres technologies qui font naître de nouvelles préoccupations relatives à la protection de la vie privée et des données nominatives. Elles comprennent, par exemple, les enregistrements sonores ou le transfert plus aisé des données par le biais de réseaux informatiques sans fil et à haute vitesse.
Par conséquent, en l’absence de dispositions législatives ou réglementaires encadrant l’exploitation de la vidéo-protection, la Commission estime nécessaire de retenir les principes fondamentaux ci-après exposés, afin de veiller à la conformité de ces traitements avec les dispositions de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives.
II. Champ d’application
Les principes consacrés par la présente délibération s’appliquent à tout traitement automatisé d’informations nominatives afférent à l’exploitation par un particulier d’un dispositif de vidéo-protection situé sur le territoire monégasque, dès lors que des employés ou des prestataires non occasionnels de cette personne interviennent à son domicile.
Les personnes concernées par ces traitements sont par conséquent les employés (majordome, nounou, femme de ménage…) et les prestataires non occasionnels (infirmière à domicile…) des particuliers.
III. Légitimité et justification d’un traitement de vidéo-protection
Aux termes de l’article 10-1 de la loi n° 1.165, modifiée, les informations nominatives doivent être collectées loyalement et licitement.
De plus, en application de l’article 10-2 de ladite loi, la Commission considère que les traitements automatisés d’informations nominatives relatifs aux dispositifs de vidéo-protection installés au domicile de particuliers peuvent être justifiés lorsqu’ils sont mis en œuvre aux seules fins de permettre la réalisation d’un intérêt légitime poursuivi par le responsable de traitement, à la condition de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.
Par conséquent, la Commission estime que si le propriétaire ou le locataire peut décider de la mise en œuvre d’un tel traitement, cela ne peut se faire au détriment du respect des droits et libertés des employés ou prestataires non occasionnels.
IV. Les fonctionnalités du traitement
La Commission considère que, compte tenu du caractère intrusif des dispositifs de vidéo-protection traitant les informations nominatives et des informations qui peuvent y être associées, la mise en œuvre de tels dispositifs n’est admissible que dans le cadre des fonctionnalités suivantes :
- assurer la protection des personnes ;
- assurer la protection des biens ;
- permettre le contrôle d’accès ;
- permettre la constitution de preuve en cas d’infraction.
La Commission appelle l’attention des demandeurs sur le fait que ces systèmes ne peuvent donner lieu à d’autres utilisations. Il n’est notamment pas possible de filmer le domaine public ou d’exercer une quelconque activité de surveillance, relevant des dispositions de l’article 11-1 de la loi n° 1.165, modifiée.
Elle souhaite également préciser que l’implantation des caméras devra être réalisée de manière à ne filmer que les espaces privés concernés, en veillant tout particulièrement à ce que le voisinage (par les fenêtres, baies vitrées…) ne soit pas exposé à ladite vidéo-protection.
La communication des données personnelles enregistrées par une caméra est interdite sauf dans les cas prévus ou autorisés par la loi.
En outre, elle considère que le dispositif de vidéo-protection ne doit pas :
- permettre de contrôler le travail ou le temps de travail d’un salarié ;
- conduire à un contrôle permanent et inopportun des personnes concernées.
Ainsi, la Commission observe que le recours à un accès à distance, notamment afin de visionner les images en temps réel, à partir d’un ordinateur, d’une tablette, d’un smartphone ou de tout autre appareil alors qu’un employé de maison est présent sur son lieu de travail n’est pas conforme aux exigences susmentionnées.
Enfin, elle estime que l’installation de dispositif de vidéo-protection est strictement interdite dans les lieux mis à la disposition des salariés tels que :
- les vestiaires, les cabinets d’aisance, les salles de bains ;
- les bureaux, les chambres ainsi que dans tous lieux privatifs mis à la disposition des employés de maison à des fins de détente ou de pause déjeuner.
V. L’information de la personne concernée
La Commission rappelle que l’existence d’un système de vidéo-protection doit être portée à la connaissance des personnes concernées, conformément à l’article 14 de la loi n° 1.165, modifiée.
Ainsi aux termes dudit article cette information doit comporter :
- l’identité du responsable de traitement et le cas échéant, celle de son représentant à Monaco ;
- la finalité du traitement ;
- l’identité des destinataires ou des catégories de destinataires des informations ;
- l’existence d’un droit d’accès aux informations les concernant.
La Commission estime donc que les personnes concernées doivent être informées de l’ensemble de ces mentions par tous moyens qu’il appartient au responsable de traitement de déterminer.
Ainsi, s’agissant des employés cela peut se faire par exemple au moyen d’une mention dans le contrat de travail, d’un avenant ou d’une note d’information.
Concernant les prestataires occasionnels ou non (livreur, plombier, infirmière à domicile, …) la Commission considère qu’a minima une information orale devra être dispensée à ces derniers au moment de leur entrée dans les locaux d’habitation soumis à vidéo-protection.
VI. Les catégories d’informations traitées
Conformément aux principes relatifs à la qualité des informations nominatives, la Commission estime que seules les catégories d’informations suivantes peuvent être collectées et traitées :
- informations relatives à l’identification de la personne concernée : image, visage, silhouette, voix ;
- informations temporelles ou horodatage : lieux, identification des caméras, date et heure de la prise de vue ;
- données d’identification électronique : logs de connexion des personnels habilités à avoir accès aux images et au traitement.
S’agissant plus particulièrement de la voix ou plus généralement du son, la Commission considère qu’eu égard au caractère sensible de cette collecte, seule une justification spécifique traduisant une nécessité impérieuse du responsable de traitement permettra son exploitation dans le cadre de la mise en œuvre du système de vidéo-protection.
VII. Les personnes ayant accès aux informations et les destinataires
La Commission estime que l’accès aux informations nominatives traitées doit être limité aux seules personnes qui, dans le cadre de leurs fonctions, peuvent légitimement en avoir connaissance au regard de la finalité du dispositif.
Les Autorités Judiciaires et Policières peuvent être destinataires des informations nominatives traitées dans le cadre des missions qui leur sont légalement et réglementairement conférées en cas de recherche de preuve ou de constatation d’infraction.
VIII. Les mesures de sécurité
La Commission considère que le responsable de traitement doit prendre toutes précautions utiles pour préserver la sécurité des informations dans le respect des dispositions de l’article 17 de la loi n° 1.165.
Dans ce sens, elle rappelle que doivent être mises en place, « des mesures techniques et d’organisation appropriées pour protéger les informations nominatives contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisé », et que ces mesures doivent « assurer un niveau de sécurité adéquat au regard des risques présentés par le traitement et de la nature des données à protéger ».
A ce titre, elle demande notamment que les personnes affectées à l’exploitation du système reçoivent des consignes strictes qui garantissent le respect de la confidentialité.
La Commission admet, qu’en raison de circonstances particulières tenant à la nécessité de prévenir ou de réprimer des atteintes aux personnes ou aux biens, des données puissent être extraites et/ou copiées afin d’être conservées sur un support distinct en vue de la communication des images et éléments d’identification aux Autorités Judiciaires ou Policières légalement habilitées à en recevoir délégation.
A ce titre, la Commission demande que ce support et les informations qui y sont inscrites soient, jusqu’à sa destruction ou l’effacement des informations, protégés par des dispositifs et procédures de sécurité permettant d’une part, de chiffrer le support afin d’assurer la sécurité de l’accès aux informations aux seules personnes habilitées à y avoir accès et d’autre part, de garantir l’authenticité, la fiabilité et la lisibilité des données, en tenant compte de l’état de l’art.
IX. La durée de conservation
La Commission rappelle que les informations ne peuvent être conservées sous une forme permettant l’identification de la personne concernée que pendant une durée n’excédant pas celle nécessaire à la réalisation de la finalité pour laquelle elles ont été collectées.
Ainsi, au regard des fonctionnalités énumérées au point IV de la présente recommandation, la Commission estime qu’une durée de conservation d’un mois paraît proportionnée.
La durée de conservation des logs de connexion ne peut être supérieure à un mois sauf justification du responsable de traitement.
Elle estime par ailleurs que les informations copiées sur un support aux fins de communication aux Autorités Judiciaires et Policières peuvent être conservées jusqu’à la fin de la procédure judiciaire.
Après en avoir délibéré, la Commission
Rappelle que :
- l’exploitation d’un système de vidéo-protection du domicile en présence de salariés ou de prestataires non occasionnels constitue un traitement automatisé d’informations nominatives au sens de l’article 1er de la loi n° 1.165, modifiée ;
- la mise en œuvre de ce traitement requiert l’accomplissement des formalités déclaratives, conformément à l’article 6 de la loi dont s’agit ;
- tous les traitements ainsi exploités devront remplir les conditions fixées par la loi n° 1.165 du 23 décembre 1993, modifiée, telles que précisées dans le cadre de la présente délibération.
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la Recommandation du Conseil de l’Europe n° R (89) 2 du 19 janvier 1989 sur la protection des données à caractère personnel utilisées à des fins d’emploi ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2010-13 du 3 mai 2010 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les dispositifs de vidéosurveillance mis en œuvre par les personnes physiques ou morales de droit privé ;
Vu le Code civil ;
Vu le Code pénal ;
La Commission de Contrôle des Informations Nominatives,
Conformément à l’article 1er alinéa 1 de la loi n° 1.165 du 23 décembre 1993, les traitements automatisés ou non automatisés d’informations nominatives ne doivent pas porter atteinte aux libertés et droits fondamentaux consacrés par le titre III de la Constitution.
La Commission de Contrôle des Informations Nominatives, Autorité Administrative Indépendante, a pour mission de veiller au respect de ces dispositions. A ce titre, elle est notamment habilitée à formuler toutes recommandations entrant dans le cadre des missions qui lui sont conférées par la loi.
Par la présente recommandation, la Commission estime opportun de préciser les principes de protection des informations nominatives applicables aux traitements automatisés d’informations nominatives ayant pour finalité « Vidéo-protection du domicile » exclusivement exploités par les personnes physiques ayant recours à des employés de maison ou des prestataires non occasionnels, afin d’orienter les demandeurs, soumis aux dispositions de l’article 6 de la loi dont s’agit, dans leurs démarches auprès d’elle.
I. Dispositions générales
De nombreux particuliers ont de plus en plus recours à des systèmes de vidéo-protection afin, par exemple, de se prémunir contre les cambriolages, notamment grâce à un effet dissuasif en cas d’absence du propriétaire ou du locataire des lieux d’habitation. Ces systèmes utilisent des moyens, plus ou moins complexes, nécessitant le recours à des outils numériques et informatiques, voire à des systèmes de communications électroniques.
Si l’utilisation d’un tel système n’est pas problématique en soi, le recours à ce dernier en cas de présence dans le domicile d’employés de maison ou de prestataires non occasionnels nécessite certaines précautions particulières.
En effet, ces systèmes permettent la collecte de données nominatives au sens de l’article 1er de la loi n° 1.165, modifiée, à savoir l’image des personnes, et dans certains cas leurs voix.
Utilisés sans discernement, de tels systèmes peuvent conduire à une surveillance abusive des habitudes de vie ou du comportement des personnes concernées, portant ainsi atteinte à leur vie privée.
En outre, les systèmes de vidéo-protection peuvent converger avec d’autres technologies qui font naître de nouvelles préoccupations relatives à la protection de la vie privée et des données nominatives. Elles comprennent, par exemple, les enregistrements sonores ou le transfert plus aisé des données par le biais de réseaux informatiques sans fil et à haute vitesse.
Par conséquent, en l’absence de dispositions législatives ou réglementaires encadrant l’exploitation de la vidéo-protection, la Commission estime nécessaire de retenir les principes fondamentaux ci-après exposés, afin de veiller à la conformité de ces traitements avec les dispositions de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives.
II. Champ d’application
Les principes consacrés par la présente délibération s’appliquent à tout traitement automatisé d’informations nominatives afférent à l’exploitation par un particulier d’un dispositif de vidéo-protection situé sur le territoire monégasque, dès lors que des employés ou des prestataires non occasionnels de cette personne interviennent à son domicile.
Les personnes concernées par ces traitements sont par conséquent les employés (majordome, nounou, femme de ménage…) et les prestataires non occasionnels (infirmière à domicile…) des particuliers.
III. Légitimité et justification d’un traitement de vidéo-protection
Aux termes de l’article 10-1 de la loi n° 1.165, modifiée, les informations nominatives doivent être collectées loyalement et licitement.
De plus, en application de l’article 10-2 de ladite loi, la Commission considère que les traitements automatisés d’informations nominatives relatifs aux dispositifs de vidéo-protection installés au domicile de particuliers peuvent être justifiés lorsqu’ils sont mis en œuvre aux seules fins de permettre la réalisation d’un intérêt légitime poursuivi par le responsable de traitement, à la condition de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.
Par conséquent, la Commission estime que si le propriétaire ou le locataire peut décider de la mise en œuvre d’un tel traitement, cela ne peut se faire au détriment du respect des droits et libertés des employés ou prestataires non occasionnels.
IV. Les fonctionnalités du traitement
La Commission considère que, compte tenu du caractère intrusif des dispositifs de vidéo-protection traitant les informations nominatives et des informations qui peuvent y être associées, la mise en œuvre de tels dispositifs n’est admissible que dans le cadre des fonctionnalités suivantes :
- assurer la protection des personnes ;
- assurer la protection des biens ;
- permettre le contrôle d’accès ;
- permettre la constitution de preuve en cas d’infraction.
La Commission appelle l’attention des demandeurs sur le fait que ces systèmes ne peuvent donner lieu à d’autres utilisations. Il n’est notamment pas possible de filmer le domaine public ou d’exercer une quelconque activité de surveillance, relevant des dispositions de l’article 11-1 de la loi n° 1.165, modifiée.
Elle souhaite également préciser que l’implantation des caméras devra être réalisée de manière à ne filmer que les espaces privés concernés, en veillant tout particulièrement à ce que le voisinage (par les fenêtres, baies vitrées…) ne soit pas exposé à ladite vidéo-protection.
La communication des données personnelles enregistrées par une caméra est interdite sauf dans les cas prévus ou autorisés par la loi.
En outre, elle considère que le dispositif de vidéo-protection ne doit pas :
- permettre de contrôler le travail ou le temps de travail d’un salarié ;
- conduire à un contrôle permanent et inopportun des personnes concernées.
Ainsi, la Commission observe que le recours à un accès à distance, notamment afin de visionner les images en temps réel, à partir d’un ordinateur, d’une tablette, d’un smartphone ou de tout autre appareil alors qu’un employé de maison est présent sur son lieu de travail n’est pas conforme aux exigences susmentionnées.
Enfin, elle estime que l’installation de dispositif de vidéo-protection est strictement interdite dans les lieux mis à la disposition des salariés tels que :
- les vestiaires, les cabinets d’aisance, les salles de bains ;
- les bureaux, les chambres ainsi que dans tous lieux privatifs mis à la disposition des employés de maison à des fins de détente ou de pause déjeuner.
V. L’information de la personne concernée
La Commission rappelle que l’existence d’un système de vidéo-protection doit être portée à la connaissance des personnes concernées, conformément à l’article 14 de la loi n° 1.165, modifiée.
Ainsi aux termes dudit article cette information doit comporter :
- l’identité du responsable de traitement et le cas échéant, celle de son représentant à Monaco ;
- la finalité du traitement ;
- l’identité des destinataires ou des catégories de destinataires des informations ;
- l’existence d’un droit d’accès aux informations les concernant.
La Commission estime donc que les personnes concernées doivent être informées de l’ensemble de ces mentions par tous moyens qu’il appartient au responsable de traitement de déterminer.
Ainsi, s’agissant des employés cela peut se faire par exemple au moyen d’une mention dans le contrat de travail, d’un avenant ou d’une note d’information.
Concernant les prestataires occasionnels ou non (livreur, plombier, infirmière à domicile, …) la Commission considère qu’a minima une information orale devra être dispensée à ces derniers au moment de leur entrée dans les locaux d’habitation soumis à vidéo-protection.
VI. Les catégories d’informations traitées
Conformément aux principes relatifs à la qualité des informations nominatives, la Commission estime que seules les catégories d’informations suivantes peuvent être collectées et traitées :
- informations relatives à l’identification de la personne concernée : image, visage, silhouette, voix ;
- informations temporelles ou horodatage : lieux, identification des caméras, date et heure de la prise de vue ;
- données d’identification électronique : logs de connexion des personnels habilités à avoir accès aux images et au traitement.
S’agissant plus particulièrement de la voix ou plus généralement du son, la Commission considère qu’eu égard au caractère sensible de cette collecte, seule une justification spécifique traduisant une nécessité impérieuse du responsable de traitement permettra son exploitation dans le cadre de la mise en œuvre du système de vidéo-protection.
VII. Les personnes ayant accès aux informations et les destinataires
La Commission estime que l’accès aux informations nominatives traitées doit être limité aux seules personnes qui, dans le cadre de leurs fonctions, peuvent légitimement en avoir connaissance au regard de la finalité du dispositif.
Les Autorités Judiciaires et Policières peuvent être destinataires des informations nominatives traitées dans le cadre des missions qui leur sont légalement et réglementairement conférées en cas de recherche de preuve ou de constatation d’infraction.
VIII. Les mesures de sécurité
La Commission considère que le responsable de traitement doit prendre toutes précautions utiles pour préserver la sécurité des informations dans le respect des dispositions de l’article 17 de la loi n° 1.165.
Dans ce sens, elle rappelle que doivent être mises en place, « des mesures techniques et d’organisation appropriées pour protéger les informations nominatives contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisé », et que ces mesures doivent « assurer un niveau de sécurité adéquat au regard des risques présentés par le traitement et de la nature des données à protéger ».
A ce titre, elle demande notamment que les personnes affectées à l’exploitation du système reçoivent des consignes strictes qui garantissent le respect de la confidentialité.
La Commission admet, qu’en raison de circonstances particulières tenant à la nécessité de prévenir ou de réprimer des atteintes aux personnes ou aux biens, des données puissent être extraites et/ou copiées afin d’être conservées sur un support distinct en vue de la communication des images et éléments d’identification aux Autorités Judiciaires ou Policières légalement habilitées à en recevoir délégation.
A ce titre, la Commission demande que ce support et les informations qui y sont inscrites soient, jusqu’à sa destruction ou l’effacement des informations, protégés par des dispositifs et procédures de sécurité permettant d’une part, de chiffrer le support afin d’assurer la sécurité de l’accès aux informations aux seules personnes habilitées à y avoir accès et d’autre part, de garantir l’authenticité, la fiabilité et la lisibilité des données, en tenant compte de l’état de l’art.
IX. La durée de conservation
La Commission rappelle que les informations ne peuvent être conservées sous une forme permettant l’identification de la personne concernée que pendant une durée n’excédant pas celle nécessaire à la réalisation de la finalité pour laquelle elles ont été collectées.
Ainsi, au regard des fonctionnalités énumérées au point IV de la présente recommandation, la Commission estime qu’une durée de conservation d’un mois paraît proportionnée.
La durée de conservation des logs de connexion ne peut être supérieure à un mois sauf justification du responsable de traitement.
Elle estime par ailleurs que les informations copiées sur un support aux fins de communication aux Autorités Judiciaires et Policières peuvent être conservées jusqu’à la fin de la procédure judiciaire.
Après en avoir délibéré, la Commission
Rappelle que :
- l’exploitation d’un système de vidéo-protection du domicile en présence de salariés ou de prestataires non occasionnels constitue un traitement automatisé d’informations nominatives au sens de l’article 1er de la loi n° 1.165, modifiée ;
- la mise en œuvre de ce traitement requiert l’accomplissement des formalités déclaratives, conformément à l’article 6 de la loi dont s’agit ;
- tous les traitements ainsi exploités devront remplir les conditions fixées par la loi n° 1.165 du 23 décembre 1993, modifiée, telles que précisées dans le cadre de la présente délibération.
Le Président de la Commission
de Contrôle des Informations Nominatives.