À l'heure où les débats se concentrent fréquemment sur le traitement des données personnelles effectué par les multinationales, un arrêt rendu par la Cour de justice de l'Union européenne le 11 décembre 2014 (CJUE aff. C-212/13) a attiré notre attention. En l'espèce, le traitement des données personnelles était le fait d'un particulier et non d'une entreprise. La haute juridiction européenne précise dans cet arrêt que la directive sur la protection des données à caractère personnel s'applique aux caméras de surveillance qu'un particulier installe pour protéger son domicile et qui filment également une partie de la voie publique.
La Cour de justice de l'Union européenne (CJUE) a été amenée à préciser le champ d'application de la directive sur la protection des données à caractère personnel (ci-après «la Directive») à l'occasion d'un litige entre un particulier et l'Office tchèque pour la protection des données à caractère personnel (ci-après «l'Office»).
En voici les faits: ayant fait l'objet d'attaques pendant plusieurs années par une personne non identifiée (les fenêtres de son domicile avaient notamment été brisées à plusieurs reprises), un particulier a pris l'initiative d'installer une caméra de surveillance sous le toit de son domicile afin de filmer l'entrée de sa maison, la voie publique et l'entrée d'une maison voisine. Grâce aux enregistrements du système de surveillance mis en place, deux personnes ont par la suite été identifiées et une procédure pénale a été ouverte dans laquelle les enregistrements ont été produits à titre de preuve.
L'une des personnes identifiées ayant contesté la légalité du système de surveillance décrit cidessus, l'Office a constaté que le particulier qui avait installé la caméra avait commis plusieurs infractions au regard de la loi tchèque ayant transposé la Directive (absence de consentement et d'information des personnes concernées et absence de notification du traitement à l'Office).
À la suite du rejet par une première juridiction du recours formé par ce particulier, la Cour administrative suprême de République tchèque a été saisie. Celle-ci a décidé de surseoir à statuer et de demander à la CJUE si l'exploitation d'une caméra de surveillance dans les circonstances précitées correspondait à un des cas où la Directive ne s'applique pas, à savoir lorsque le traitement de données à caractère personnel est effectué par une personne physique pour l'exercice d'activités exclusivement personnelles ou domestiques.
La CJUE répond avec clarté que la Directive s'applique à un tel traitement de données dès lors que «l'exploitation d'un système de caméra, donnant lieu à un enregistrement vidéo des personnes stocké dans un dispositif d'enregistrement continu tel qu'un disque dur, installé par une personne physique sur sa maison familiale afin de protéger les biens, la santé et la vie des propriétaires de la maison, ce système surveillant également l'espace public, ne constitue pas un traitement des données effectué pour l'exercice d'activités exclusivement personnelles ou domestiques».
Cet arrêt de la Cour de justice de l'Union européenne est intéressant à divers titres. En premier lieu, le traitement de données à caractère personnel qui est analysé en l'espèce est effectué par un particulier et non par une entreprise, fait assez rare pour être souligné. Ensuite, la CJUE profite de cette affaire pour rappeler que l'image d'une personne enregistrée
par une caméra constitue une donnée à caractère personnel au sens de la Directive. Cela n'a rien d'étonnant dès lors que l'image d'une personne est un élément propre à son identité physique et permet de l'identifier.
La CJUE rappelle également que les dérogations à l'application de la Directive s'interprètent restrictivement en ce qu'elles sont susceptibles de porter atteinte au droit fondamental à la vie privée. En outre, la lettre même de la disposition prévoyant une dérogation à la Directive atteste du caractère exceptionnel que doit prendre cette dérogation: la Directive requiert un traitement de données effectué par une personne physique pour l'exercice d'activités exclusivement personnelles ou domestiques.
Dans l'affaire en cause, l'espace public étant en partie filmé par la caméra de surveillance, la dérogation ne peut s'appliquer et le particulier doit être vu comme un «responsable du traitement» soumis aux obligations de la Directive transposées en droit national.
Enfin, et c'est à notre sens l'intérêt majeur de l'arrêt, la Cour de justice de l'Union européenne admet (sans se prononcer néanmoins directement dès lors que cette question ne lui était pas posée) que la protection des biens, de la santé et de la vie d'un particulier et de sa famille - notamment dans les circonstances de la présente affaire - puisse constituer un intérêt
légitime nécessitant le traitement de données à caractère personnel sans le consentement de la personne concernée. En cas de litige, il appartiendra à la juridiction nationale de mettre en balance les droits fondamentaux du responsable du traitement et ceux des personnes faisant l'objet du traitement et d'apprécier lesquels de ces droits doivent primer. Mais cette pondération doit se faire dans le cadre de la Directive.
En conclusion, si à la suite du cambriolage de son domicile ou en présence de menaces concrètes visant sa personne ou ses biens, un résident luxembourgeois souhaite installer une caméra de surveillance dont le champ de vision est dirigé en partie vers la voie publique, il prendra garde de demander au préalable l'autorisation de la Commission nationale pour la protection des données (CNPD) pour ce faire et en cas d'autorisation, d'informer les tiers de la présence de cette caméra par un panneau. À défaut, et malgré l'existence au Luxembourg de certaines décisions favorables à l'admission comme éléments de preuve d'enregistrements de systèmes de vidéosurveillance non préalablement autorisés (voir l'arrêt de la Cour de cassation du 22 novembre 2007 et celui de la Cour d'appel du 26 février2008), il prendrait le risque de devenir l'arroseur arrosé!
