Vidéosurveillance au travail: l’AIPD avant toute caméra (Coccaglio)

Extrait — Le Garante italien a infligé 6 000 € au Comune di Coccaglio pour vidéosurveillance de salariés sans AIPD probante et usage disciplinaire des images. Enseignement direct au Luxembourg: l’AIPD est déclenchée et formalisée avant toute caméra visant des travailleurs.

L’affaire

Le 12 février 2026, l’autorité italienne (Garante) a sanctionné le Comune di Coccaglio pour un dispositif de caméras installé dans et autour d’un entrepôt municipal visant des salariés, utilisé notamment à des fins disciplinaires, sans AIPD adéquate et sans information conforme. Le Garante retient des violations des articles 5(1)(a)-(b), 6(1)(c), 12(1), 13, 35 et 88 du RGPD ainsi que du droit national du travail, et fixe l’amende à 6 000 €, avec publication de la décision. Référence: Provvedimento del 12 febbraio 2026 – Comune di Coccaglio, doc. web n. 10226611 (Garante). Voir la décision intégrale, notamment §§ 232–241 et 275–283. garanteprivacy.it.

Pourquoi cette affaire intéresse immédiatement le Luxembourg? Parce qu’un dispositif visant des salariés déclenche, sauf exception très étroite, une AIPD préalable et des obligations de consultation et d’information renforcées. Le Code du travail luxembourgeois (art. L. 261‑1) impose, en plus du RGPD, une information collective de la délégation du personnel et, le cas échéant, une demande d’avis préalable à la CNPD dans les 15 jours suivant cette information. CNPD — art. L. 261‑1.

Le raisonnement juridique

• Déclenchement de l’AIPD. L’article 35(1) RGPD impose une AIPD lorsque le traitement est « susceptible d’engendrer un risque élevé ». Les lignes directrices WP29/EDPB WP248 rev.01 citent le monitoring systématique d’une zone accessible au public et la surveillance d’employés (intéressés vulnérables) comme critères déclencheurs; le cumul de critères rend l’AIPD obligatoire. WP248 rev.01 (version endossée: EDPB).
• Portée des dispositifs vidéo. Les lignes directrices 3/2019 du CEPD exigent une base légale adaptée (souvent l’intérêt légitime), une stricte proportionnalité (angles, zones de pause, son, etc.) et une information visible et complète. Guidelines 3/2019 et résumé 2026.
• Constats du Garante à Coccaglio. Absence d’AIPD avant mise en œuvre; AIPD ultérieure non datée et incohérente (bases légales erronées); non‑consultation effective du DPO (art. 35(2)); usage disciplinaire sans fondement clair; manquements aux principes de licéité, transparence et minimisation (art. 5). Montant: 6 000 €, avec publication. Décision Garante.
• Spécificités luxembourgeoises. Outre le RGPD (art. 5, 6, 13, 35 et 36 — consultation préalable si « risque élevé résiduel »), l’article L. 261‑1 du Code du travail impose: (i) information préalable de la délégation du personnel; (ii) information individuelle des salariés; (iii) dans les 15 jours, possibilité de saisine pour avis préalable de la CNPD (avis sous un mois). CNPD — L. 261‑1 ; EUR‑Lex art. 35–36.

Ce que ça change concrètement

Organisations exposées

Toutes les entreprises et administrations qui envisagent des caméras susceptibles de capter des salariés (bureaux, guichets, entrepôts, ateliers, comptoirs, zones de pause, véhicules utilitaires équipés de dashcams). La présence de microphones, la captation continue ou l’usage disciplinaire aggravent le risque.

Pratiques sanctionnables sans AIPD

• Installer des caméras « rapides » pour sécuriser un stock sans AIPD formelle, sans consultation du DPO et sans information visible à deux niveaux.
• Étendre l’usage à des finalités disciplinaires sans base légale claire ni test de nécessité/mise en balance.
• Filmer des zones de pause/repas ou enregistrer le son en continu.
• Conserver des images « au cas où » au‑delà du strict nécessaire.

Décision tree minimal

1. Finalité légitime et définie? Sécurité des biens/personnes documentée par incidents/risques; exclure la surveillance de la performance. Base légale: intérêt légitime (art. 6(1)(f)), ou obligation légale spécifique si applicable. EDPB — bases légales.
2. AIPD requise? Oui si au moins un critère fort (surveillance systématique; salariés vulnérables; traitement intrusif), a fortiori si critères cumulés. EDPB — DPIA WP248.
3. AIPD avant déploiement et DPO consulté (art. 35(2)); si « risque élevé résiduel » persiste, consulter l’autorité (art. 36). EUR‑Lex art. 35–36.
4. Encadrement interne: registre art. 30, politique caméra, contrôles d’accès, conservation justifiée, journalisation, gestion des droits.
5. Spécifique Luxembourg: information de la délégation du personnel; dans les 15 jours, possibilité d’avis préalable CNPD; intégrer le retour avant mise en production. CNPD — L. 261‑1.

Alignement transfrontalier

• Belgique: RGPD combiné avec Loi caméras/CCT n° 68; recadrages réguliers. APD — vidéosurveillance travail.
• France: captation continue des postes et surtout du son très rarement proportionnée; sanctions en hausse. CNIL — sanctions simplifiées 2026.
• Allemagne/Espagne: application cohérente de WP248 et des Guidelines 3/2019; même logique de risque élevé et de proportionnalité.

Pièges fréquents

1. AIPD postérieure et symbolique: non datée, sans cartographie des zones ni scénarios d’abus/mesures de réduction (masquage, privacy zones, désactivation audio). Décision Garante.
2. Base légale mal choisie: le consentement salarié est rarement valable; l’obligation légale doit être précise; sinon, intérêt légitime avec test documenté. EDPB — bases légales.
3. Non‑consultation du DPO: l’avis du DPO (art. 35(2)) doit être tracé dans le dossier. Garante — Coccaglio.
4. Usage disciplinaire non prévu: réutiliser les images sans finalité annoncée ni base légale claire viole les principes (art. 5(1)(a)-(b)).
5. Oubli des règles locales: ignorer l’art. L. 261‑1 fragilise le dispositif, indépendamment de la conformité RGPD de fond. CNPD — L. 261‑1.

En synthèse

Caméra = AIPD préalable quand des salariés peuvent être filmés; DPO consulté; finalités cadrées; information complète; minimisation technique; et, au Luxembourg, respect strict de l’article L. 261‑1. Les dirigeants, DPO et RSSI doivent exiger une AIPD robuste avant tout achat/installation.

Pour sécuriser votre gouvernance, vous pouvez structurer un mandat DPO avec consultation systématique lors des AIPD, et cadrer vos obligations via nos ressources sur les articles clés du RGPD. Si vous préparez un projet au Luxembourg, voyez notre approche conformité CNPD, puis contactez-nous pour un cadrage express.

Sources officielles

• Garante — Provvedimento du 12/02/2026 (Comune di Coccaglio)
• EDPB — Guidelines 3/2019 (vidéo) et résumé 2026
• EDPB — DPIA (page endossée) et WP248 rev.01
• EUR‑Lex — RGPD art. 35 et 36 ; art. 6 ; art. 5
• CNPD (Luxembourg) — Article L. 261‑1
• CNIL — sanctions simplifiées 2026
• APD (Belgique) — vidéosurveillance au travail

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.