La Cour de justice de l’UE, saisie d’une question préjudicielle par la Cour administrative suprême de République tchèque, était appelée à se prononcer sur le sujet de la vidéosurveillance domestique, apportant une pierre supplémentaire à sa jurisprudence très constructive de l’année passée, relative à la protection des données à caractère personnel.

M. Ryneš avait installé sur sa maison familiale une caméra de vidéosurveillance, fixe, dirigée vers son portail, et au-delà vers la rue et le portail de la maison d’en face. Lui-même et sa famille avaient été victimes en effet plusieurs fois d’attaques de la part d’un inconnu qui n’avait pu être démasqué, et les fenêtres de la maison familiale avaient été brisées à plusieurs reprises. Le système enregistrait les images et les stockait sur un disque dur et, une fois la capacité maximale atteinte, écrasait l’enregistrement existant par un nouvel enregistrement. Une nuit d’octobre 2007, une fenêtre de la maison a été brisée par un tir de projectile, et grâce au système de vidéosurveillance, dont les enregistrements avaient été confiés à la police, deux suspects ont pu être identifiés. L’un des deux a alors contesté l’usage de la caméra de vidéosurveillance, au motif que M. Ryneš n’avait pas respecté les dispositions de la loi tchèque mettant en œuvre la directive 95/46/CE relative à la protection des données à caractère personnel. Etait contesté notamment le fait que des données personnelles avaient été recueillies sans le consentement des personnes intéressées, et que ces dernières n’avaient pas été informées du traitement de ces données, ni de l’étendue et des objectifs de celui-ci. M. Ryneš estimait pour sa part que son activité relevait de l’exception de l’article 3, § 2 second tiret de la directive, relative aux activités personnelles ou domestiques. Suite à l’échec de son recours devant la Cour municipale de Prague, il s’est pourvu en cassation devant la Cour suprême administrative, qui a alors formulé une question préjudicielle à la CJUE. Il s’agissait de savoir si l’article 3 § 2 second tiret de la directive 95/46 doit être interprété en ce sens que l’exploitation du système de caméra, donnant lieu à un enregistrement vidéo des personnes stocké dans un dispositif d’enregistrement continu tel qu’un disque dur, installé par une personne physique sur sa maison familiale afin de protéger les biens, la santé et la vie des propriétaires de la maison, ce système surveillant également l’espace public, constitue un traitement des données effectué pour l’exercice d’activités exclusivement personnelles ou domestiques, au sens de cette disposition.

La Cour a tout d’abord noté que l’image d’une personne enregistrée par une caméra constitue bien une donnée à caractère personnel au sens de la directive, puisqu’elle permet d’identifier la personne concernée. Elle rappelle ensuite qu’aux termes mêmes de la directive (considérants 15 et 16), la vidéosurveillance relève, en principe, du champ d’application de celle-ci, dans la mesure où elle constitue un traitement automatisé. Il restait à savoir si l’activité en question pouvait relever de l’exception de l’article 3 précité (activités personnelles ou domestiques). Après avoir souligné que l’objectif de la directive est de garantir un niveau élevé de protection des libertés et des droits fondamentaux, et en faisant référence aux importants arrêts Google Spain du 13 mai 2014 (aff. C-131/12), et Digital Rights Ireland du 8 avril 2014 (aff. C-293/12 et C-594/12), la Cour s’appuie sur les articles 7 et 8 de la Charte des droits fondamentaux de l’Union (relatifs respectivement au droit au respect de la vie privée et à la protection des données à caractère personnel) pour estimer que la directive doit être interprétée à la lumière des droits fondamentaux inscrits dans la Charte, ce qui implique que la dérogation prévue à l’article 3 § 2 second tiret de cette dernière doit recevoir une interprétation stricte (§ 29 de l’arrêt).

Suivant en cela les conclusions de l’avocat général Niilo Jääskinen, la Cour juge que « dans la mesure où une vidéosurveillance telle que celle en cause s’étend, même partiellement, à l’espace public et, de ce fait, est dirigée vers l’extérieur de la sphère privée de celui qui procède au traitement des données par ce moyen, elle ne saurait être considérée comme une activité ‘personnelle ou domestique’ au sens de l’article 3, paragraphe 2, second tiret de la directive 95/46 ».

L’élément déterminant ici est donc que la vidéosurveillance s’étende à  l’espace public, ce qui lui enlève automatiquement tout caractère domestique. La Cour aurait pu au demeurant se référer à son arrêt Lindqvist du 6 novembre 2003 (C-101/01), qui rappelle comme exemples d’exception recevable la correspondance ou la tenue de répertoires d’adresses à usage personnel, ce qu’elle n’a pas fait.

Toutefois, dès l’instant où la Cour reconnaissait que les activités de M. Ryneš relevaient du champ d’application de la directive, cela revenait à conclure implicitement mais nécessairement à la violation par celui-ci des exigences minimales posées par celle-ci et par la loi de transposition. Eu égard aux faits, la solution aurait pu paraître contraire à l’équité…C’est probablement la raison pour laquelle la Cour se livre, dans sa réponse à la question préjudicielle, à une analyse de la directive, indiquant clairement la voie à suivre à la juridiction de renvoi. Elle note en effet sans détours que des dispositions des articles 7 et 13^[1] de la directive permettent « le cas échéant de tenir compte (…) des intérêts légitimes du responsable du traitement, consistant notamment, comme dans l’affaire au principal, à protéger les biens, la santé et la vie de ce responsable ainsi que ceux de sa famille » (§ 34).

Dans la mesure où M. Ryneš avait installé le système de vidéosurveillance dans un contexte d’insécurité (avéré par de multiples agressions), la Cour de justice invite donc très clairement le juge tchèque à reconnaître un « intérêt légitime » à la victime, qui va par conséquent primer sur le droit à la protection des données de l’agresseur.

Cette solution, qui gomme le caractère choquant qu’aurait pu avoir le constat pur et simple d’application de la directive, qui disqualifiait dès lors les activités de vidéosurveillance en question, n’est cependant qu’un cas d’espèce. Elle laisse donc en suspens un certain nombre de questions. Par exemple sur le point de savoir si un dispositif installé à des fins préventives (sans agression actualisée) pourrait être également validé de la sorte. Ou de manière plus générale encore, si des dispositifs (utilisés par des autorités policières par exemple) tels des drones, des caméras GoPro ou des Google Glasses, susceptibles d’enregistrer dans l’espace public un certain nombre de données à caractère personnel échappent ou non aux contraintes de la directive en matière de protection des données à caractère personnel. Les développements technologiques n’en finissent pas de poser de nouvelles questions en matière de protection des données, auxquelles le juge de Luxembourg s’attache à répondre avec autant de fermeté que d’équité, l’arrêt étudié en constitue un parfait exemple.

Notes de bas de page

• L’article 7 est relatif à la « réalisation de l’intérêt légitime poursuivi par le responsable du traitement », qui légitime un traitement de données à caractère personnel, l’article 13 légitime quant à lui les limites aux droits garantis si la mesure est « nécessaire pour sauvegarder (…) la prévention, la recherche, la détection et la poursuite d’infractions pénales ».