La personne concernée est un enfant fréquentant une école gérée par une autorité publique lituanienne (responsable de traitement). Celle-ci a installé un système de vidéosurveillance dans la salle de classe. Ce système était également actif pendant les heures de cours, enregistrant ainsi  en continu les images des enseignants et des élèves.

Le responsable de traitement a fait valoir que cette activité était fondée sur l’article 6(1)(f) du RGPD , car il avait l’intérêt légitime d’assurer la sécurité de ses biens, de ses employés et de ses visiteurs. Il a ajouté devoir utiliser un tel système de vidéosurveillance car les élèves volaient parfois du matériel scolaire ou endommageaient les biens.

L’autorité lituanienne de protection des données (APD ; Valstybinė duomenų apsaugos inspekcija), dans une décision VDAI-3R-741 du 16.07.2024 (présentée, traduite et commentée sur gdprhub : https://gdprhub.eu/index.php?title=VDAI_(Lithuania)_-_3R-741&mtc=today), a d’abord souligné qu’avant de s’appuyer sur la base juridique prévue par l’article 6(1)(f) du RGPD , un responsable de traitement devait effectuer un test de mise en balance des intérêts légitimes en présence, en évaluant si les intérêts de la personne concernée prévalent sur l’intérêt du responsable du traitement. Elle s’est référée à l’ Avis 06/2014 sur la notion d’intérêts légitimes du responsable du traitement au sens de l’article 7 de la directive 95/46/CE  du G29 (https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_en.pdf), à teneur duquel l’impact du traitement sur les intérêts ou les libertés et droits fondamentaux de la personne concernée est le critère déterminant pour effectuer cette mise en balance. Les effets positifs comme les effets négatifs doivent être pris en compte lors de l’évaluation de l’impact du traitement.

L’APD a estimé que, dans le cas d’espèce, le responsable de traitement n’avait pas pris en compte l’impact négatif et les effets sur les mineurs d’une surveillance vidéo continue pendant les heures de cours, bien qu’elle ait pris en compte d’autres risques (cyberattaques, suppression accidentelle de données). En outre, l’APD  a estimé que le fait que le responsable du traitement ait subi des dommages matériels ne constituait pas une raison pour appliquer une mesure extrême de vidéosurveillance pendant les cours, puisque l’intérêt du responsable de traitement ne peut pas l’emporter sur les droits à la vie privée des mineurs. L’APD a aussi souligné avoir contacté d’autres autorités de l’UE qui ont toutes confirmé qu’elles ne considéraient pas possible de s’appuyer sur un intérêt légitime pour autoriser la vidéosurveillance dans les salles de classe pendant les heures de cours.

Me Philippe Ehrenström, avocat, LLM