La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ;
Etant aussi présents M. Jean-Marie COTTERET, Vice-Président, Mme Marie-Hélène MITJAVILE, MM. Jean-François CARREZ, Claude DOMEIZEL et Dominique RICHARD, membres ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la Directive n°95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2012-023 du 19 juillet 2012 de la Présidente de la Commission nationale de l'informatique et des libertés mettant en demeure le Syndicat des copropriétaires X ;
Vu la décision n° 2012-249C du 21 aout 2012 de la Présidente de la Commission nationale de l'informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès du Syndicat des copropriétaires X ;
Vu le procès-verbal de contrôle 2012-265 du 4 septembre 2012 ;
Vu la plainte n°12006546 du 23 février 2012 ;
Vu le rapport de M. Emmanuel de GIVRY, commissaire rapporteur, adressé par porteur au Syndicat des copropriétaires X, le 04 octobre 2012;
Vu les observations écrites versées par Syndicat des copropriétaires X le 31 octobre 2012, ainsi que les observations présentées oralement lors de la séance de la formation restreinte du 08 novembre 2012;
Vu les autres pièces du dossier.
Ayant entendu, lors de la réunion de la formation restreinte du 08 novembre 2012 :
- M. Emmanuel de GIVRY, commissaire, en son rapport ;
- Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
- M. Edouard GEFFRAY, secrétaire général de la CNIL,

Ce dernier ayant pris la parole en dernier,
A adopté la décision suivante :

FAITS ET PROCÉDURE
Le Syndicat des copropriétaires X (ci-après le syndicat) assure la gestion d'un immeuble à usage mixte d'habitation et commercial sis [...].
Le 23 février 2012, la Commission nationale de l'informatique et des libertés (ci-après la CNIL ou la Commission) a été saisie d'une plainte émanant de plusieurs agents de sécurité affectés à la surveillance du bâtiment du syndicat. Ces agents de sécurité sont employés par la société Y, agence prestataire de sécurité, agissant dans le cadre d'un contrat de prestation de service conclu avec le syndicat.
Aux termes de la plainte, il était reproché l'installation d'un dispositif de vidéosurveillance dans le local du poste de sécurité de l'immeuble qui porterait atteinte à la vie privée des personnes présentes dans ce local en réalisant une mise sous surveillance permanente des personnes.
Lors des échanges avec les services de la Commission, le syndic a indiqué que le dispositif de vidéosurveillance avait pour finalité la sécurité des personnes et des biens. Ce dispositif aurait été installé durant l'année 2010 à la suite des plaintes des habitants de l'immeuble qui auraient constaté un absentéisme des agents de surveillance. Il aurait été procédé à cette installation sur proposition de la société prestataire de sécurité avec l'accord du syndic.
Techniquement le dispositif se compose d'une unique caméra positionnée pour permettre une visualisation du poste de travail des agents, elle est couplée à un enregistreur assurant une conservation des images pour une durée de 30 jours. Les images sont accessibles à la direction de la société de surveillance, au syndic et au chef d'équipe de surveillance.
En outre l'ensemble du bâtiment est équipé d'un système de vidéosurveillance composé de 57 caméras dont les moniteurs de contrôle sont disposés dans le poste de sécurité.
Le 19 juillet 2012 par décision 2012-023 la présidente de la Commission a mis en demeure le Syndicat de supprimer la caméra filmant le poste de sécurité et d'en justifier auprès d'elle. Cette mise en demeure est restée sans effet, le syndic indiquant par courrier du 6 août 2012 contester que le dispositif puisse porter atteinte à la vie privée des salariés et affirmant le caractère nécessaire et proportionné du dispositif au regard de la protection des personnes et des biens.
Par décision n° 2012-249C du 21 août 2012 la Présidente de la Commission nationale de l'informatique et des libertés a chargé le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès du syndicat.
Au vu des éléments constatés, et notamment le maintien du dispositif visée par la décision de mise en demeure, lors de cette mission de contrôle réalisée le 04 septembre 2012, la Présidente de la Commission a désigné le 1er octobre 2012 comme rapporteur M. Emmanuel de GIVRY, Commissaire et Vice-président délégué, membre de la CNIL, sur le fondement de l'article 46 de la loi du 6 janvier 1978 modifiée.
A l'issue de son instruction, considérant que le Syndicat avait manqué à plusieurs obligations lui incombant en application de la loi du 6 janvier 1978 modifiée, le rapporteur a fait notifier au Syndicat par porteur, le 04 octobre 2012, un rapport détaillant les manquements à la loi qu'il estimait constitués en l'espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l'encontre du Syndicat une sanction pécuniaire, dont il sollicitait par ailleurs qu'elle soit rendu publique.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 08 novembre 2012 indiquant au Syndicat qu'il disposait d'un délai d'un mois pour communiquer ses observations écrites.
Le Syndicat a fait connaitre ses observations par courrier reçu le 31 octobre 2012. Il a également présenté ses observations orales lors de la séance de la formation restreinte du 08 novembre 2012.
A l'issue de cette procédure, et après en avoir délibéré, la formation restreinte a adopté la décision dont la teneur suit.

MOTIFS DE LA DÉCISION
1. Sur la qualité de responsable de traitement
L'article 3-I de la loi du 6 janvier 1978 modifiée prévoit que constitue que le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens.
Il importe à la formation restreinte de déterminer préalablement à l'examen du manquement les qualités respectives du Syndicat des copropriétaires X et de son ou ses prestataires relativement à la notion fonctionnelle de responsable de traitement.
La qualité de responsable de traitement est établie par plusieurs éléments concordants.
Il apparait en premier lieu que le système de vidéosurveillance a été installé dans le local du poste de sécurité du bâtiment [...] qui est occupé par les salariés de la société Y, prestataire de sécurité et sous-traitant du Syndicat des copropriétaires gestionnaire du bâtiment.
En deuxième lieu, les coûts afférents à l'installation du système de vidéosurveillance ont été assumés par le syndic qui a donné son accord préalable pour cette installation.
En troisième lieu, malgré un changement de société prestataire de sécurité la caméra n'a pas été désinstallée et le nouveau sous-traitant ne dispose pas de la maitrise matérielle du système.
Enfin, en dernier lieu, le syndic s'est présenté à la Commission comme le responsable unique de sécurité, il a procédé à la déclaration du traitement auprès de la Commission, procédé à l'information des personnes par affichage et au surplus il ne conteste aucunement cette qualité.
La formation restreinte estime donc indubitablement établie la qualité de responsable de traitement du Syndicat.
2. Sur le manquement à l'obligation de proportionnalité du dispositif de vidéosurveillance
Le 3° de l'article 6 de la loi du 6 janvier 1978 modifiée dispose que les données à caractère personnel collectées par un responsable de traitement doivent être adéquates, pertinentes et non-excessives au regard des finalités pour lesquelles elles sont collectées ainsi et de leurs traitements ultérieurs.
L'article L1121-1 du code du travail dispose que Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché.
Par décision 2012-023 en date du 19 juillet 2012, la Présidente de la Commission avait mis en demeure le Syndicat de mettre un terme au manquement constaté à ces dispositions, estimant que le dispositif de vidéosurveillance critiqué devait être considéré comme disproportionné en ce que le traitement plaçait sous surveillance permanente les agents de sécurités présents dans le poste de sécurité du bâtiment géré par le Syndicat
Il appartient à la formation restreinte d'examiner la proportionnalité du dispositif de vidéosurveillance installé dans le local du poste de sécurité du bâtiment.
Le constat a permis d'établir que le local est équipé d'une caméra de vidéosurveillance orientée de telle sorte qu'elle permet de filmer les salariés présents dans le local lorsque ceux-ci sont à leur poste. Il est établi que la caméra filme en continu les fins de semaines et en semaine dans la tranche horaire comprise en dix-huit heures et huit heures ; la caméra ne filme que sur détection de mouvement le reste du temps. Le même constat a permis d'établir qu'il était procédé à l'enregistrement des images captées par la caméra. L'accès aux enregistrements depuis le poste de sécurité est contrôlé par mot de passe et les destinataires des données sont la direction de la société de sécurité, le syndic et le chef d'équipe de sécurité.
Aux termes de la déclaration du traitement à la CNIL, établie par le syndic le 30 août 2012 sous le numéro 1612174, la finalité déclarée pour ce traitement de vidéosurveillance est la sécurité des personnes et des biens.
En sa défense, le Syndicat entend faire valoir que le traitement opéré vise uniquement à assurer la sécurité des personnes et des biens ce qui justifierait la surveillance permanente des salariés du poste de sécurité. Il estime en effet que cette mesure est de nature à s'assurer de l'exécution des taches de surveillance par les agents de sécurité et à lutter contre l'absentéisme des agents.
Pareillement le Syndicat remet en cause l'existence même d'un droit à la vie privée sur le lieu de travail et, il entend faire valoir que c'est tardivement que les salariés se sont plaints de la présence de la caméra litigieuse et, en tout état de cause, après que le contrat avec la première agence prestataire de sécurité a été résilié. Il estime que les causes de la plainte sont à rechercher non pas dans l'atteinte à la vie privée des salariés mais dans un litige du travail interne à la société employeur. Il indique que désormais de nouveaux agents de sécurité sont en poste et que ceux-ci acceptent la présence de la caméra.
Mais, comme le démontrent clairement tant les observations écrites qu'orales présentées par le Syndicat, le traitement litigieux a pour finalité d'assurer non pas la sécurité des agents filmés constamment durant leur présence dans le poste de sécurité mais des occupants de l'immeuble. Si l'objectif de sécurité allégué n'est pas en lui-même critiquable, il ne saurait prospérer pour justifier de la mise sous surveillance constante des salariés affectés à la sécurité sauf à en démontrer la nécessité.
Les causes justificatives d'une telle surveillance ne peuvent se trouver que dans la situation particulière ou le risque particulier auxquels sont exposées les personnes objets de la surveillance et non dans le souci d'assurer la sécurité de tiers ou de leurs biens. En effet, la sécurité des occupants de l'immeuble est assurée par le réseau de caméras positionnées dans le bâtiment.
Au surplus, il importe peu que les salariés ne se soient pas plaints précédemment de l'installation de la caméra et que les nouveaux agents de sécurité en acceptent le principe dès lors que le caractère continu de la surveillance résultant du traitement litigieux n'est pas justifiée par un impératif de sécurité des personnes et des biens mais résulte de la volonté de contrôler l'activité des salariés.
Il en découle nécessairement que le traitement ne peut être regardé comme proportionné. Le Syndicat des copropriétaires X a donc manqué à l'obligation imposée par l'article 6-3° de la loi du 6 janvier 1978 modifiée.

Sur les manquements constatés et la publicité de la décision
Dans ces conditions, la formation restreinte considère que le Syndicat des copropriétaires X en sa qualité de responsable de traitement a manqué à l'obligation lui incombant en application des dispositions susvisées de la loi du 6 janvier 1978 modifiée, ce qui justifie que soit prononcé à son encontre une sanction pécuniaire, dans les conditions prévues à l'article 47, en application de l'article 45-I-1° de la même loi et qu'il soit fait application du pouvoir d'injonction de la formation restreinte pour faire cesser le caractère permanent du traitement, en application de l'article 45-I-2° de la même loi.
Cependant, compte tenu de la nature des tâches à accomplir et de la volonté d'assurer par le moyen du traitement une meilleure protection des biens et des personnes, la formation restreinte décide de limiter le montant de la sanction à un euro.
Mais, en raison de la nature des faits relevés, la formation restreinte décide de rendre publique ces sanctions.
PAR CES MOTIFS
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide :
- De prononcer une sanction pécuniaire à l'encontre du Syndicat des copropriétaires X ;
- De fixer à UN euro le montant de cette sanction pécuniaire ;
- D'enjoindre le responsable de traitement de mettre fin au caractère continu du traitement ;
- De rendre publique sa décision sur le site Internet de la Commission et sur le site Légifrance.
La Présidente
Claire DAVAL