Vidéosurveillance au travail: sanction du Garante et leçons pour le Luxembourg

Fait vérifiable — Le 26 mars 2026, le Garante italien a infligé 2 000 € à un commerce pour vidéosurveillance sans affichage d’information ni autorisation de l’inspection du travail, alors que des salariés étaient présents. Décision: Doc. web n° 10246082; mesures correctrices imposées (panneaux sous 30 jours; interdiction d’activer pendant les horaires d’ouverture tant que l’autorisation n’est pas obtenue). Source officielle: décision du 26/03/2026.

Enseignement pour le Luxembourg — La CNPD et l’article L.261‑1 du Code du travail exigent proportionnalité, information visible en deux niveaux, et souvent une AIPD avant mise en service.

L’affaire

Le Garante a constaté des violations des articles 5(1)(a) et 13 RGPD (transparence/information) et de l’article 88 RGPD, en lien avec l’art. 4 de la loi italienne n° 300/1970. Décision: Provvedimento du 26 mars 2026 (Doc. web 10246082). Les Lignes directrices 3/2019 de l’EDPB sur les dispositifs vidéo (information « en 2 niveaux ») sont expressément rappelées: EDPB 3/2019.

Le raisonnement juridique

• Base légale et transparence (art. 5(1)(a), 6, 13 RGPD): filmer salariés et clients est un traitement qui requiert une base licite (souvent l’intérêt légitime, art. 6(1)(f)) et une information claire avant l’entrée dans la zone filmée. Les Lignes directrices 3/2019 imposent un « premier niveau » sur panneau (responsable, finalité, base, droits clés, contact DPO) et un « second niveau » facilement accessible. Voir aussi les obligations du RGPD.
• Contexte travail (art. 88 RGPD): en Italie, l’art. 4 de la loi 300/1970 exige accord syndical ou autorisation de l’inspection du travail pour tout dispositif de contrôle indirect des salariés; à défaut, le traitement est illicite. Le Garante fonde l’amende sur ce cumul.
• Transposition luxembourgeoise: au Luxembourg, l’article L.261‑1 encadre strictement la surveillance en relation de travail: information préalable de la délégation (ou des salariés), possibilité de saisine CNPD pour avis sous 15 jours, et respect des obligations du RGPD (art. 12–13 information, art. 30 registre, art. 35 AIPD). Références CNPD (vidéosurveillance; L.261‑1).
• Durées de conservation: la CNPD admet « en principe » jusqu’à 8 jours, sauf justification documentée; au‑delà de 30 jours, c’est généralement disproportionné.

Ce que ça change concrètement

• Filmer des salariés sans cadre travail rend tout le traitement illicite, même pour une finalité « sécurité ». Au Luxembourg, la démarche L.261‑1 et une documentation complète sont incontournables; un mandat DPO certifié peut sécuriser la conformité opérationnelle.
• L’affichage n’est pas cosmétique: absence de panneau = manquement art. 13 RGPD. Les panneaux doivent être visibles avant l’entrée, contenir les éléments clés et renvoyer à une notice complète (QR code, URL, accueil). Référence: EDPB 3/2019.
• Pas d’activation sauvage: en Italie, activation limitée aux heures de fermeture tant que l’autorisation n’est pas obtenue. Au Luxembourg, un projet non conforme L.261‑1 expose à réclamation CNPD et mesures correctrices; visez une conformité CNPD au Luxembourg avant mise en service.
• DPIA quasi systématique: vidéosurveillance en milieu de travail = forte probabilité d’AIPD (surveillance systématique, déséquilibre employeur/salarié, zones publiques). Voir la page EDPB sur l’AIPD.
• Conservation courte et justifiée: paramétrer 8 jours « par défaut », tracer toute extension motivée (incident avéré), et éviter les usages disciplinaires sans base claire et information préalable.

Exemples d’application immédiats

• Magasins, banques, sites industriels: enclencher L.261‑1 (information délégation; éventuel avis CNPD) avant installation, afficher dès l’entrée, conduire une AIPD étayée (nécessité, zones masquées, horaires, purge).
• Bureaux multi‑locataires: éviter le filmage continu des postes; privilégier la protection périmétrique, le masquage des zones non nécessaires; documenter l’intérêt légitime et la mise en balance.
• Caméras « intelligentes » (comptage, analyse comportementale): risque accru; AIPD approfondie, minimisation stricte, consultation préalable de la CNPD si risque résiduel élevé (art. 36 RGPD). Référence EDPB 3/2019.

Pièges fréquents

1. Oublier l’ancrage « travail » (L.261‑1) et la possibilité de saisine CNPD.
2. Panneaux génériques ou invisibles: un logo « caméra » ne suffit pas à l’art. 13.
3. Pas d’AIPD: déploiement sans évaluer les risques (surveillance permanente, microphonie, IA).
4. Conservation trop longue: 30–90 jours « par défaut » sans justification; la CNPD fixe 8 jours « en principe ».
5. Couverture excessive: postes en continu, zones de repos/sanitaires, espace public hors accès privé.

Sources officielles

• Garante — décision du 26/03/2026 (Doc. web 10246082): lien.
• EDPB — Lignes directrices 3/2019 sur les dispositifs vidéo: lien.
• CNPD Luxembourg — Dossier « Vidéosurveillance »: lien.
• CNPD — Limitation de la conservation (8 jours « en principe »): lien.
• CNPD — Article L.261‑1 du Code du travail: lien.
• Guichet.lu/ITM — Information et co‑décision: lien.
• EDPB — DPIA (AIPD): lien.

Besoin d’un cadrage rapide ou d’un second avis avant installation? N’hésitez pas à nous contacter.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.