Exercice du droit d'accès aux enregistrements d'un système de vidéosurveillance

I. Le droit d'accès aux systèmes de vidéosurveillance

Les systèmes de vidéoprotection sont des traitements de données à caractère personnel au sens de l'article L. 251-1 du code de la sécurité intérieure (CSI).

Suivant l'article L. 251-2 du CSI :

" Des systèmes de vidéoprotection peuvent également être mis en ?uvre dans des lieux et établissements ouverts au public aux fins d'y assurer la sécurité des personnes et des biens lorsque ces lieux et établissements sont particulièrement exposés à des risques d'agression ou de vol ".

L'installation d'un système de vidéoprotection est subordonnée à l'obtention d'une autorisation délivrée par le préfet de département (article L. 252-1 du CSI) et doit être renouvelée tous les cinq ans (article L. 252-4 du CSI).

Les enregistrements ne peuvent pas être conservés plus d'un mois (article L. 252-5 du CSI).

L'autorisation préfectorale vise les personnes chargées de l'exploitation du système de vidéoprotection, ainsi que leurs obligations (article L. 252-2 du CSI).

L'article 105 de la loi n°78-17 du 6 janvier 1978, relative à l'informatique, aux fichiers et aux libertés, donne droit à la personne concernée d'accéder aux données " la concernant " enregistrées par un système de vidéosurveillance / vidéoprotection.

Ce droit d'accès comprend non seulement les images, mais aussi les informations suivantes :

• les finalités du traitement ainsi que sa base juridique ;
• les catégories de données à caractère personnel concernées ;
• les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été communiquées ;
• lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, à défaut lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ;
• l'existence du droit de demander au responsable de traitement la rectification ou l'effacement des données à caractère personnel, et l'existence du droit de demander une limitation du traitement de ces données ;
• le droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés et les coordonnées de la commission ;
• la communication des données à caractère personnel en cours de traitement ainsi que toute information disponible quant à leur source.

II. La saisine du responsable du traitement

1. Saisine du responsable du traitement

Lorsqu'un particulier a été filmé dans un établissement privé ouvert au public, il doit dans un premier temps identifier le

responsable du traitement, en recherchant cette mention dans l'établissement ou

sur son site internet.

La personne concernée par l'enregistrement doit ensuite exercer son droit d'accès aux enregistrements souhaités, en écrivant au responsable du traitement par lettre ou courrier électronique, en sollicitant pour l'une ou l'autre solution un accusé de réception.

La CNIL propose sur son site internet un modèle de courrier à personnaliser[1], destiné à la saisine du responsable de traitement.

[1]https://www.cnil.fr/fr/modele/courrier/acceder-des-images-video-vous-concernant

2. Délais de réponse du responsable de traitement

En application des dispositions combinées des articles 12.3 et 15.3 du RGPD, le responsable du traitement doit fournir une copie des

données à caractère personnel faisant l'objet d'un traitement, " dans les meilleurs délais et en tout état de cause dans un délai d'un mois à

compter de la réception de la demande ".

L'article 12.4 du RGPD précise que :

" Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. "

III. Le traitement de la réclamation auprès de la CNIL

1. Introduction d'une réclamation auprès de l'autorité de contrôle

En cas de refus du responsable de traitement, ou de transmission erronée ou incomplète, il est possible d'adresser une plainte à

la Commission nationale de l'informatique et des libertés (CNIL).

La plainte devra notamment comporter toutes les informations utiles sur la situation rencontrée et une copie des pièces

indispensables à sa compréhension (échanges de courriers avec le responsable du traitement?).

La plainte peut être déposée en ligne via " le service de plainte en ligne "[1] ou par courrier, à l'adresse postale suivante :

Commission nationale de l'informatique et des libertés

Service des plaintes

3 Place de Fontenoy

TSA80715

75334 PARIS CEDEX 07

La CNIL n'impose pas de délais pour déposer cette plainte. Toutefois une démarche amiable auprès du responsable de traitement

doit obligatoirement avoir été tentée.

Si la plainte est déposée par une autre personne que la personne concernée par le système de vidéoprotection, le dépôt de plainte doit

être accompagné d'un mandat écrit.

[1]https://www.cnil.fr/fr/plaintes

2. Examen de la plainte par la CNIL

La CNIL va dans un premier temps s'adresser au responsable du traitement concerné, pour vérifier que la plainte est fondée.

La Commission s'engage à informer le demandeur dans un délai minimum de 3 mois de la suite réservée à sa demande, à compter de son

dépôt.

Dans un deuxième temps, la CNIL va procéder à des contrôles pouvant porter sur l'existence et la validité de l'autorisation préfectorale concernant le dispositif, le respect de sa finalité, les modalités d'information et de droit d'accès des personnes filmées, la qualité des

personnels autorisés à visualiser les images, les mesures permettant d'assurer la sécurité du traitement ou encore le respect de la durée de conservation autorisée des images.

Enfin, dans un troisième temps, si des manquements sont constatés, la CNIL peut adresser à l'organisme concerné une mise en

demeure de prendre les mesures permettant au système de vidéoprotection d'être conforme aux règles de protection des données.

En cas notamment de manquement grave ou persistant, ou d'organisme de mauvaise foi, la formation restreinte de la CNIL ou son

président peuvent prononcer des sanctions à l'égard du responsable de traitement (rappel à l'ordre, limitation temporaire ou définitive du traitement, sanction pécuniaire).

IV. Les voies de recours

1.Recours contre la décision de la CNIL

Si la personne concernée par les enregistrements n'est pas satisfaite de l'issue donnée à sa plainte par la CNIL, elle peut former un

recours gracieux par courrier postal à l'attention de Madame la Présidente de la CNIL, dans les deux mois suivant la décision de clôture.

Si la réponse faite au recours gracieux n'est toujours pas satisfaisante, la personne concernée peut saisir le Conseil d'État, en

application des règles de contentieux administratif de droit commun et sous réserve de son intérêt à agir.

2. Recours juridictionnel contre le responsable du traitement

En parallèle, la personne concernée par les enregistrements peut également former un recours juridictionnel contre le

responsable du traitement, pour violation du droit à l'image ou de la vie privée.