La Cour de la Justice de l'Union Européenne :Le régime juridique des caméras vidéo installées dans les lieux privés

La cour de justice a rendu un arrêt qui clarifie le régime juridique des caméras vidéo installées dans les lieux privés : la loi sur les données à caractère personnel s'applique à la caméra de surveillance installée sur une maison familiale et dirigée vers la voie publique.
La directive permet néanmoins d’apprécier l’intérêt légitime de cette personne à protéger ses biens, sa santé et sa vie ainsi que ceux de sa famille La directive sur la protection des données à caractère personnel ne permet, en principe, de traiter de telles données que si la personne concernée a donné son accord. Néanmoins, elle ne s’applique pas au traitement de données effectué par une personne physique pour l’exercice d’activités exclusivement personnelles ou domestiques.

Les faits

M. R. et sa famille ont fait l’objet d’attaques plusieurs fois par un inconnu et, en outre, les fenêtres de leur maison ont été brisées à différentes reprises. En réponse à ces agressions, M. R. a installé sur la maison de sa famille une caméra de surveillance qui filmait l’entrée de celle-ci, la voie publique ainsi que l’entrée de la maison d’en face.

Au cours de la nuit du 6 au 7 octobre 2007, une fenêtre de cette maison a été brisée par un tir de projectile au moyen d’une fronde. Les enregistrements de la caméra de surveillance remis à la police ont permis d’identifier deux suspects contre lesquels des procédures pénales ont été engagées.

L’un des suspects a toutefois contesté auprès de l’Office tchèque pour la protection des données à caractère personnel la légalité du traitement des données enregistrées par la caméra de surveillance de M. R. L’Office a constaté que M. R. avait effectivement violé les règles en matière de protection des données à caractère personnel et lui a infligé une amende. À cet égard, l’Office a relevé, entre autres, que les données du suspect avaient été enregistrées sans son consentement alors qu’il était sur la voie publique, c’est-à-dire dans la portion de la rue située devant la maison de M. R.

Saisi en pourvoi du litige opposant M. R. à l’Office, le Nejvyšší správní soud (Cour suprême administrative, République tchèque) demande à la Cour de justice si l’enregistrement réalisé par M. R. en vue de protéger sa vie, sa santé et ses biens (c’est-à-dire l’enregistrement de données à caractère personnel d’individus attaquant sa maison depuis la voie publique) constitue un traitement de données non couvert par la directive, au motif que cet enregistrement est effectué par une personne physique pour l’exercice d’activités exclusivement personnelles ou domestiques.

Il y a bel et bien un traitement de données personnelles

Dans son arrêt , la Cour rappelle, en premier lieu, que la notion de « données à caractère personnel » au sens de la directive englobe toute information concernant une personne physique identifiée ou identifiable. Est réputée identifiable toute personne qui peut être identifiée, directement ou indirectement, par référence à un ou plusieurs éléments spécifiques, propres à son identité physique. Par conséquent, l’image d’une personne enregistrée par une caméra constitue une donnée à caractère personnel, car elle permet d’identifier la personne concernée.

De même, la vidéosurveillance comprenant l’enregistrement et le stockage de données à caractère personnel relève du champ d’application de la directive, puisqu’elle constitue un traitement automatisé de ces données.

Jusque là, la règle n’est pas franchement neuve. Plusieurs décisions européennes et nationales avaient déjà tranché ce point.

Le traitement est-il domestique ?

La seconde question était plus novatrice et revient à savoir jusqu’où porte l’exception en faveur des traitements dits domestiques.

Après avoir énoncé que la directive (et donc les lois nationales de transposition) s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier, l’article 3 de la dite directive exclu toutefois de son champ d’application les traitements dits domestiques : « La présente directive ne s'applique pas au traitement de données à caractère personnel (…) effectué par une personne physique pour l'exercice d'activités exclusivement personnelles ou domestiques. »

Le considérant 12 explique l’exception comme suit : « doit être exclu le traitement de données effectué par une personne physique dans l'exercice d'activités exclusivement personnelles ou domestiques, telles la correspondance et la tenue de répertoires d'adresses ».

Dans son arrêt, la Cour constate que l’exemption prévue par la directive au sujet du traitement de données effectué par une personne physique pour l’exercice d’activités exclusivement personnelles ou domestiques doit être interprétée de manière stricte.

Pour la Cour, il s’en déduit que « une vidéosurveillance qui s’étend à l’espace public et qui, de ce fait, est dirigée en dehors de la sphère privée de la personne traitant les données ne peut pas être considérée comme une activité exclusivement personnelle ou domestique ». La loi s’applique donc dans ce cas.

On peut par contre probablement déduire de l’arrêt, a contrario, qu’une vidéosurveillance qui ne s’étend pas à l’espace public et qui, de ce fait, est confinée à la sphère privée de la personne traitant les données, peut être considérée comme une activité exclusivement personnelle ou domestique.

Tout est donc question de lieu de fixation de la caméra et de périmètre filmé. Les installateurs et leurs clients privés devront donc être attentifs à ceci.

Le traitement est-il illégal pour autant ?

Le pauvre M. R. qui ne peut pas invoquer l’exception de traitement privé dans la mesure où la caméra filmait aussi le voie publique, n’avait pas pris en compte la loi et se trouvait donc sur la sellette.

Le traitement est-il illégal ?

La réponse est importante pour M. R. mais aussi pour son voisin victime d'une agression, dont l'auteur a été identifié grâce à l'enregistrement réalisé par M. R.
La Cour apporte une réponse toute en nuance.

Elle explique d’abord « qu’en appliquant la directive, la juridiction nationale doit, dans le même temps, prendre en compte que ses dispositions permettent d’apprécier l’intérêt légitime du responsable du traitement à protéger ses biens, sa santé et sa vie ainsi que ceux de sa famille. »

C’est qu’on l’oublie souvent, mais le consentement n’est pas toujours obligatoire. En matière de vidéosurveillance, on se doute bien qu’il serait du reste délicat de demander au voleur filmé de donner son consentement … La cour le rappelle, soulignant que « le traitement de données à caractère personnel peut être effectué sans le consentement de la personne concernée, notamment lorsqu’il est nécessaire à la réalisation de l’intérêt légitime du responsable du traitement. »

Par ailleurs, la personne qui pénètre dans une zone filmée et dont on ne connait pas souvent l’identité ne peut pas être informée des finalités, de son droit d’accès et de rectification, etc. Est-ce grave ? Non. La cour le rappelle aussi : « une personne ne doit pas être informée du traitement de ses données, si l’information de celle-ci se révèle impossible ou implique des efforts disproportionnés. » C'est pour cette raison que l'on conseille d'apposer un autocollant signalant que les lieux sont filmés : cela suffit à informer les personnes qui entrent dans une zone filmée.

Enfin, la cour formule un dernier rappel : « les États membres peuvent limiter la portée des obligations et des droits prévus par la directive, lorsqu’une telle limitation est nécessaire pour sauvegarder la prévention, la recherche, la détection et la poursuite d’infractions pénales ou la protection des droits et libertés d’autrui. »