Une caméra surveillant une propriété privée, mais débordant sa curiosité sur l’espace public est-elle légalement installée lorsque les personnes filmées n’ont pas donné leur consentement ? C'est cette question qu'a examiné aujourd'hui la Cour de Justice de l'Union européenne. 

Dans une affaire née en République Tchèque, un certain M. Ryne, quelque peu agacé que les vitres de sa maison soient sans cesse caillassées, avait installé un dispositif de caméras de surveillance à son domicile. Les flux étaient stockés sur son disque dur à partir d’une caméra fixe scrutant l’entrée de sa maison, mais également une partie de la voie publique. Une nuit d’octobre 2007, nouveau vandalisme. Peu après, il remet les fichiers à la police qui parvient à identifier des suspects.

Cependant, saisie par l’un d’eux, la CNIL tchèque va condamner le responsable de cette caméra à une amende. En effet, les enregistrements ont été effectués sans le consentement des personnes se trouvant sur la voie publique. L’affaire remonte devant les juridictions administratives puis devant la CJUE qui a ausculté la légalité de cette décision au regard du droit européen encadrant les données personnelles.

La vidéosurveillance est par définition un traitement automatisé de données perso

Dans son arrêt rendu ce matin (PDF), la Cour de Luxembourg juge d’abord que « l’image d’une personne enregistrée par une caméra constitue une donnée à caractère personnel (…) dans la mesure où elle permet d’identifier la personne concernée ». De même, la vidéosurveillance est par définition un traitement automatisé puisqu’elle prévoit les enregistrement et stockage des flux.

On se retrouve donc bien dans le périmètre de la directive du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. Les suites naturelles devraient donc exiger le consentement préalable de la personne filmée.

La vidéosurveillance débordant sur la voie publique n'est plus exclusivement privée

Ceci est d’autant plus vrai que la CJUE va évacuer une des possibles exemptions à laquelle pouvait prétendre M. Ryne : la directive ne s’applique pas lorsque le traitement est effectué « pour l’exercice d’activités exclusivement personnelles ou domestiques » (ex. : rédaction d’un carnet d’adresses sur un ordinateur, etc.). Sur ce point, les juges européens considèrent que l’exemption doit recevoir une interprétation stricte puisqu’elle est susceptible de porter atteinte à la vie privée des personnes. Or, ici, dans la mesure où une vidéosurveillance en cause ici s’étend à l’espace public, en dehors de la sphère privée, « elle ne saurait être considérée comme une activité exclusivement «personnelle ou domestique» ».

Mais d'autres paramètres peuvent justifier l'absence de consentement

L’amende infligée M. Ryne semble donc bien justifiée… cependant, la CJUE estime que d'autres paramètres peuvent renverser cette logique mécanique : celui d’abord des intérêts légitimes du responsable du traitement, « consistant (…) à protéger les biens, la santé et la vie de ce responsable ainsi que ceux de sa famille ». De même, résument les services de la juridiction, « une personne ne doit pas être informée du traitement de ses données, si l’information de celle-ci se révèle impossible ou implique des efforts disproportionnés ». Enfin, « les États membres peuvent limiter la portée des obligations et des droits prévus par la directive, lorsqu’une telle limitation est nécessaire pour sauvegarder la prévention, la recherche, la détection et la poursuite d’infractions pénales ou la protection des droits et libertés d’autrui ». Chacune de ces hypothèses permet d'éviter le passage par le sacro-saint consentement préalable.

Aux juges nationaux donc de peser les intérêts en présence en fonction des faits, pour confirmer ou au contraire renverser l’amende infligée à ce citoyen.