Vidéosurveillance et réseaux sociaux : le piège du RGPD

Introduction

Publier sur les réseaux sociaux l’image d’un client soupçonné de vol, extraite de son propre système de vidéosurveillance, semble une réaction spontanée pour de nombreux commerçants. Une décision récente rappelle pourtant que ce réflexe expose à une sanction pour violation du RGPD.

Les faits à l’origine de la sanction

Une commerçante avait extrait des images de son système de vidéosurveillance et les avait partagées publiquement sur les réseaux sociaux, dans le but d’identifier un client soupçonné de vol, en appelant les internautes à témoigner.

Les violations du RGPD identifiées

Plusieurs manquements ont été retenus. Sur le principe de minimisation des données, d’abord : l’une des caméras était orientée vers la voie publique, au-delà de ce qui était nécessaire pour protéger le commerce. Sur le détournement de finalité, ensuite : les enregistrements collectés pour la sécurité du magasin ont été réutilisés à une fin incompatible, la publication constituant un avis de recherche public que la personne filmée ne pouvait anticiper.

Le régime renforcé des données sensibles

Les images identifiant une personne comme auteur présumé d’une infraction relèvent des données relatives aux infractions, une catégorie de données sensibles bénéficiant d’une protection particulière au titre du RGPD. Aucune information préalable n’avait par ailleurs été donnée à la personne concernée.

Une mesure jugée disproportionnée

Transmettre simplement les images aux services de police aurait constitué une mesure nettement moins intrusive qu’une publication massive sur les réseaux sociaux, mieux proportionnée à l’objectif de sécurité réellement poursuivi par la commerçante.

La sanction prononcée

L’autorité de protection des données compétente a sanctionné la commerçante par une amende de 1 500 euros.

Encadrer juridiquement l’usage de sa vidéosurveillance

Définir précisément les finalités autorisées de son système de vidéosurveillance, et connaître les voies légitimes de signalement en cas d’incident, permet d’éviter ce type de sanction. Notre expertise en droit du numérique accompagne cette mise en conformité.

En résumé

• Publier une image de vidéosurveillance sur les réseaux sociaux constitue un détournement de finalité.
• Les images identifiant un auteur présumé d’infraction relèvent des données sensibles protégées.
• Une caméra orientée vers la voie publique dépasse déjà la stricte nécessité de sécurité.
• La transmission aux services de police reste la voie proportionnée à privilégier.