Suite à une plainte la CNIL avait en premier lieu adressé un courrier au centre commercial afin d’obtenir de plus ample informations sur le dispositif en cause, puis en second lieu procédé à un contrôle sur place par, lequel révélait des écarts entre la réponse du centre commercial au courrier de la CNIL et la réalité.

En l’espèce, la mise en demeure rendue publique sur le site de la CNIL fait état de plusieurs manquements à la loi Informatique et Libertés et notamment :

 le caractère disproportionné et attentatoire aux libertés des personnes concernées (les salariés en l’occurrence) d’une partie du dispositif en raison de l’installation de caméras qui avaient pour conséquence de filmer :
 en permanence les salariés (sans que soit présenté des justifications exceptionnelles telles que le traitement de fonds),
 des zones telles que les accès aux sanitaires, aux espaces de pause des salariés du centre et au cabinet médical.
 l’absence de définition d’une durée conservation pour les enregistrements des images issues du dispositif, de sorte que certaines étaient stockées depuis près de 19 mois au lieu et place des 30 jours recommandés par la CNIL.
 une information lacunaire des personnes concernées (visiteurs du centre commercial et salariés). En effet, à titre d’exemple, l’information des salariés insérée dans le règlement intérieur ne comportait que la finalité et les emplacements des caméras sans préciser l’ensemble des mentions prévues à l’article 32 de la Loi Informatique et Libertés, telles que : l’identité du responsable de traitement, les droits de personnes concernées, les destinataires, etc.
 détournement de la finalité du dispositif par l’utilisation des images afin de surveiller le respect des horaires par les salariés.

Cette mise en demeure enjoint le centre commercial à se conformer à la loi dans le délai imparti (délai de trois mois à compter de la notification de la décision). A défaut celui-ci court le risque que la CNIL prononce une des sanctions visée à l’article 45 de la Loi Informatique et Libertés..

Ainsi, rappelez-vous que, lorsque vous mettez en place des systèmes de vidéosurveillance, vous devez vous assurer que :
  votre dispositif de vidéosurveillance est conforme aux recommandations de la CNIL et notamment en ce qui concerne l’information des personnes et la proportionnalité du dispositif ;
  vous ne détournez pas la finalité de votre système de vidéosurveillance ;
  la durée de conservation des données ne dépasse pas un mois et que les données sont définitivement supprimées à l’issue de cette durée ;
  les mesures de sécurité des données sont suffisantes afin de limiter l’accès aux seules personnes habilitées dans le cadre de leurs fonctions.