En clair
Ce que décide cette délibération, en clair
La CNIL a mis en demeure (procédure demandant de corriger des manquements dans un délai donné, sans être une sanction) une société gérant un établissement d'enseignement supérieur, car son système de vidéosurveillance était excessif : il filmait en continu toutes les salles de cours et les lieux de vie (détente, restauration), plaçant étudiants, enseignants et salariés sous surveillance constante, sans autorisation préalable pour la vidéoprotection. La société disposait d'un délai de deux mois à compter de la notification pour faire cesser ces manquements. Le bureau de la CNIL a aussi décidé de rendre publique cette mise en demeure, notamment pour informer les personnes concernées et sensibiliser le secteur de l'enseignement supérieur face à la hausse des plaintes liées à la vidéosurveillance.
À retenir
- La CNIL a retenu plusieurs manquements : vidéoprotection sans autorisation préalable, surveillance filmée en continu de tous les lieux de vie et de cours (caractère excessif), sécurité insuffisante des données issues de la vidéosurveillance, et information des personnes filmées incomplète ou inexistante.
- La société avait un délai de deux mois à compter de la notification pour se mettre en conformité ; si elle corrige tout, la procédure s'arrête là, sinon elle peut faire l'objet d'une sanction.
- La mise en demeure elle-même a été rendue publique, ce qui est une mesure distincte : cela permet d'informer les personnes concernées du risque d'atteinte à leur vie privée et d'alerter les établissements similaires.
- Pour les personnes filmées (étudiants, enseignants, salariés), cela signifie qu'elles doivent être mieux informées sur la vidéosurveillance et que le dispositif doit être limité aux besoins réels de sécurité, non une surveillance permanente et généralisée.
Résumé rédigé par Loilà à partir de la décision ci-dessous, qui seule fait foi.
Texte intégral
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 12 juillet 2018 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Étaient aussi présents Madame Marie-France MAZARS, Vice-présidente déléguée, et Monsieur Éric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, abrogée par le règlement (UE) 2016/679 du Parlement européen et du conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° MED 2018-024 du 2 juillet 2018 de la Présidente de la Commission mettant en demeure la société X.
A adopté la délibération suivante :
Par décision du 2 juillet 2018, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, décidé de mettre en demeure la société X sise […], de faire cesser sous un délai de deux mois à compter de la notification de ladite décision, les manquements constatés à cette même loi, notamment ceux relatifs à la mise en œuvre d’un dispositif de vidéoprotection sans autorisation préalable et d’un système de vidéosurveillance.
En application du dernier alinéa du II de l’article 45 de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 12 juillet 2018.
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par la nature du manquement constaté à savoir le caractère excessif du système de vidéosurveillance qui filme en continu l’ensemble des salles de cours et des lieux de vie de l’établissement (espaces de détente et de restauration), plaçant ainsi étudiants, enseignants et salariés sous une surveillance constante.
En outre, le bureau note que le dispositif d’enregistrement et de visionnage des images issues de la vidéosurveillance ne permettent pas d’assurer la sécurité des données et que l’information diffusée aux personnes filmées est, soit incomplète, soit inexistante.
Le bureau considère aussi que la publicité de la mise en demeure a vocation à informer les personnes concernées de l’existence de systèmes de vidéosurveillance dans les établissements scolaires d’enseignement supérieur et du risque d’atteinte à la vie privée.
Enfin, d’une manière générale, le bureau souhaite sensibiliser les professionnels du secteur sur cette difficulté alors que le nombre de plaintes relatives à l’usage de la vidéosurveillance connaît une forte croissance et révèle ainsi une préoccupation grandissante des personnes.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision no 2018-024 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. À ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
La Présidente
Isabelle FALQUE-PIERROTIN