Vidéosurveillance au travail: l’affaire Hanako écarte le consentement

En bref — Le Garante italien a sanctionné Hanako s.r.l. (12/03/2026) pour un dispositif de vidéosurveillance en magasin sans information « à deux niveaux » et sans autorisation de l’Inspection du travail/accord syndical, alors que des salariés étaient filmés. Message clé: en contexte d’emploi, le consentement n’est pas une base licite opérante; l’intérêt légitime doit être documenté et proportionné. Source: Garante, Provvedimento n. 167, docweb 10240451.

L’affaire

Le 12 mars 2026, le Garante (autorité italienne) a adopté le provvedimento n°167 contre Hanako s.r.l., société de restauration. Constats:

• caméras couvrant plusieurs zones, avec un seul panneau d’information, accès large aux images et usages de contrôle sans garanties suffisantes;
• absence d’autorisation de l’Inspection du travail/accord syndical alors que des salariés pouvaient être filmés;
• manquements aux articles 12–13 RGPD (information) et aux règles nationales sur le contrôle à distance des travailleurs.

Le Garante rappelle l’exigence d’une information par niveau (pictogramme + notice détaillée) et, au travail, des bases juridiques et garanties spécifiques (art. 6 RGPD et droit du travail). Voir la décision officielle: docweb 10240451.

Le raisonnement juridique

• Base légale (art. 6 RGPD) — Tout traitement requiert une base de l’article 6, et l’article 88 autorise des règles spécifiques pour les données des employés. Texte: RGPD — articles 6 et 88.
• Consentement et déséquilibre — Les lignes directrices 05/2020 du CEPD invalidant le consentement en cas de déséquilibre (employeur/employé). Source: EDPB — Guidelines 05/2020 on consent.
• Vidéo et intérêt légitime — Le CEPD admet que l’intérêt légitime (6(1)(f)) est souvent pertinent, sous réserve d’un test de nécessité/proportionnalité. Synthèse: EDPB — Summary Guidelines 3/2019.
• Position CNPD (LU) — Le consentement doit être « libre, spécifique, éclairé et univoque » et n’est pas toujours adapté; d’autres bases (dont l’intérêt légitime) sont souvent préférables. Rappel: CNPD — Rappels sur le consentement.

Conséquence: un employeur ne peut pas « sécuriser » des caméras visant des salariés par des formulaires de consentement. Il doit justifier une finalité légitime, prouver la nécessité et la proportionnalité (angles, masquage, rétention brève, accès restreints), informer clairement (panneau + notice), et respecter le droit du travail local. Référence: Garante 12/03/2026.

Ce que ça change au Luxembourg

• Secteurs exposés — Retail, banques, industries, transports: si des salariés sont dans le champ, oubliez le « consentement RH ». Ancrez-vous sur l’intérêt légitime (6(1)(f)), documentez la mise en balance, et prouvez la minimisation (masquage, zones d’exclusion, rétention 7–30 jours). Un accompagnement par un mandat DPO facilite la formalisation.
• Finalités disciplinaires — Si l’objectif est le contrôle de performance continu, le risque d’illicéité est majeur. Le CEPD et le Garante limitent la preuve/dissuasion à des cas circonscrits, pas un monitoring permanent. Voir EDPB vidéo et Garante 12/03/2026.
• Information à deux niveaux — Pictogramme visible avant l’entrée + notice complète (responsable, finalité, base légale, droits, conservation, destinataires, DPO). C’est l’un des griefs principaux dans Hanako. Réf.: décision du Garante.
• Règles travail — Vérifiez l’obligation d’accord/autorisation avant déploiement (art. 88 RGPD). Ressources RGPD Luxembourg et conformité CNPD et le texte RGPD côté base légale.

Pièges fréquents

1. Le « consentement salarié » — En emploi, le déséquilibre invalide souvent cette base. Préférez un intérêt légitime mis en balance et documenté. Voir EDPB — Consent 05/2020 et CNPD.
2. Panneau unique multi-zones — Insuffisant. L’information doit être visible avant chaque zone filmée et renvoyer à un second niveau. Réf.: Garante 12/03/2026.
3. Caméras braquées sur un poste — En principe disproportionné, sauf cas exceptionnels avec garanties renforcées. Voir EDPB — dispositifs vidéo.
4. Conservation et accès — Au-delà de quelques semaines sans risque avéré et sans journalisation des accès, le test d’intérêt légitime bascule. Voir EDPB — vidéo.
5. Oublier l’articulation RGPD/droit du travail — Art. 88 RGPD + règles nationales (ex. Italie: autorisation/accord). Anticipez pays par pays. Voir EDPB et EUR‑Lex art. 88.

Mini « decision tree » Article 6 (vidéo au travail)

• Finalité = sécurité — Évaluer l’intérêt légitime (6(1)(f)): moyens moins intrusifs? champs évitant postes/lieux sensibles? masquage? conservation minimale? information à deux niveaux, contrôles d’accès, journalisation, AIPD si risque élevé (art. 35), gestion du droit d’opposition; règles travail (accord/autorisation) le cas échéant.
• Finalité = contrôle de performance continu — Risque majeur d’illicéité: revoir finalité et design.
• Consentement salarié? — En pratique non adapté (déséquilibre), cf. EDPB 05/2020. Voir aussi les textes RGPD applicables.

Sources officielles

• Garante — Provvedimento n. 167 (12/03/2026), docweb 10240451
• EDPB — Guidelines 05/2020 on consent
• EDPB — Summary Guidelines 3/2019 (video devices)
• EUR‑Lex — RGPD, art. 6 et 88
• CNPD LU — Rappels « Consentement »

Pour structurer votre conformité et vos analyses de mise en balance, nos équipes peuvent vous accompagner. Contactez-nous via la page contact.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.