Publication d'images de voleur présumé : une sanction RGPD pour non-respect des principes de finalité et de minimisation

Une fleuriste autrichienne a été sanctionnée par l’autorité de protection des données locale pour avoir publié, sur un réseau social, des photographies extraites de son système de vidéosurveillance, montrant un client présumé d’un vol commis dans son magasin. L’appel à témoins lancé en ligne a été jugé incompatible avec les exigences du Règlement général sur la protection des données (RGPD).

Contexte et dispositif de surveillance

La commerçante avait installé un système de vidéosurveillance dans son établissement afin de prévenir les vols et les dégradations. À la suite d’un incident, elle avait extrait deux images de l’enregistrement et les avait diffusées sur son profil public d’un réseau social, accompagnées d’un message incitant les internautes à identifier et signaler l’individu à la police. La publication incluait la mention « Merci de partager ».

Violations identifiées par l’autorité de contrôle

L’autorité autrichienne a retenu deux manquements distincts au RGPD :

• Principe de minimisation non respecté : l’une des caméras du dispositif était orientée vers le trottoir, captant ainsi des données personnelles en dehors de l’espace strictement nécessaire à la sécurité du commerce.
• Détournement de finalité : la réutilisation des images pour un appel à témoins public constituait une utilisation incompatible avec la finalité initiale de collecte, qui était la protection des biens de l’établissement.

Analyse des éléments aggravants

L’autorité a souligné plusieurs aspects aggravants dans sa décision :

• Les images publiées permettaient d’identifier une personne comme auteur présumé d’une infraction, ce qui les qualifie de données relatives aux infractions au sens de l’article 10 du RGPD.
• La diffusion sur un réseau social a transformé l’appel à témoins en une recherche publique, exposant l’individu à une atteinte à sa réputation et à une diffusion incontrôlée de son identité.
• Aucune information n’a été délivrée à la personne concernée avant la publication, et la mesure adoptée n’était pas la moins intrusive, une transmission directe aux autorités policières aurait suffi.

Sanction et enseignements

En conséquence, l’autorité a infligé une amende de 1 500 euros à la fleuriste. Cette décision rappelle l’importance de respecter, dans le cadre de l’utilisation de dispositifs de surveillance, les principes fondamentaux du RGPD, notamment la finalité, la minimisation et la proportionnalité des traitements de données personnelles.

Source : Derriennic