La Commission nationale de l’informatique et des libertés,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (« loi informatique et libertés »), notamment son article 8-I-2°-b) ;

Après avoir entendu le rapport de M. Philippe Latombe, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,

Adopte une recommandation relative à la mise en place de dispositifs de vidéosurveillance au sein des chambres des établissements accueillant des personnes âgées.

Article 1^er : Le contexte

À la suite de la médiatisation de cas de maltraitance au sein d’établissements d’hébergement pour personnes âgées dépendantes (EHPAD), certains organismes sociaux et médico-sociaux ont interrogé la CNIL concernant la possibilité et les conditions d’’installation de dispositifs de vidéosurveillance au sein des chambres des résidents.

L’installation de caméras au sein des chambres de personnes hébergées dans des EHPAD soulève, en revanche, de nombreuses interrogations juridiques et éthiques. Un tel dispositif est en effet susceptible de porter atteinte tant aux droits des salariés qu’à ceux des personnes hébergées pour lesquelles la chambre représente le seul espace d’intimité dans lequel elles peuvent poursuivre leur vie affective et familiale.

La présente recommandation a vocation à encadrer les dispositifs de vidéosurveillance mis en place par les seuls EHPAD (les établissements médicaux étant confrontés à des contraintes différentes) et non par les proches des résidents. Ces derniers sont invités à se rapprocher des directions d’établissements, dans l’hypothèse où ils envisageraient l’installation d’une caméra pour assurer la sécurité du membre de leur famille. Seul l’établissement peut en principe mettre en place le dispositif, afin que celui-ci soit le plus respectueux des droits et libertés de chacun.

Article 2 : Les enjeux

2.1 – Le nécessaire respect de la vie privée et de l’intimité des personnes hébergées

La question essentielle pour toute structure souhaitant installer des caméras dans les chambres des résidents repose sur l’équilibre à trouver entre la sécurité offerte par ce système aux personnes hébergées et le respect de leur vie privée et de leur intimité (art. 8 de la Convention européenne des droits de l’Homme, art. 7 de la Charte des droits fondamentaux, art. 9 du code civil).

Le déploiement de tels dispositifs est susceptible de priver les personnes hébergées de la possibilité de pouvoir vivre dans leur chambre sans être l’objet d’une surveillance, et notamment d’une surveillance permanente, ce qui constitue une atteinte à leurs droits fondamentaux.

L’installation de caméras doit en conséquence répondre à un réel besoin et être mis en œuvre sous réserve du respect de conditions strictes du RGPD et de la loi « informatique et libertés ».

2.2. La proportionnalité du contrôle d’activité des salariés

Chacun a droit au respect de sa vie privée, y compris les salariés sur leur lieu de travail et pendant leur temps de travail.

Si le pouvoir de surveillance de l’employeur est légitime puisqu’il est conduit à contrôler le travail réalisé, à l’évaluer et à donner des directives sur celui à effectuer, ce pouvoir comporte des limites tenant à la transparence de la mesure, à sa légitimité et à sa proportionnalité par rapport au but poursuivi.

Ainsi, les dispositifs de vidéosurveillance sur les lieux de travail, qui sont notamment légitimes dès lors qu’ils visent à assurer la sécurité des biens et des personnes hébergées, doivent veiller à ne pas porter une atteinte disproportionnée aux droits et libertés fondamentaux des salariés.

Une telle atteinte serait constituée si les salariés étaient surveillés en continu sur leur poste de travail ou pendant l’exercice de leur activité professionnelle, sauf à justifier de circonstances particulières justifiant cette atteinte.

Article 3 : Les conditions de mise en œuvre de tels dispositifs

3.1 – Pour assurer la sécurité des personnes hébergées

Un dispositif de vidéosurveillance installé à des fins de prévention des incidents de sécurité dans la chambre d’une personne hébergée apparaît en principe disproportionné dans la mesure où :

• il porte une atteinte particulièrement forte à la dignité des personnes hébergées, filmées en permanence dans leur lieu de vie ;
• il est susceptible de placer les salariés sous surveillance continue.

Les organismes devraient étudier la possibilité de mettre en œuvre des moyens alternatifs moins intrusifs pour assurer la sécurité des personnes hébergées (par exemple un bouton d’appel d’urgence sans fil, des procédures internes de détection des événements indésirables, des procédures de signalement et de suivi d’événements préoccupants, la création d’équipes de travail afin de permettre l’intervention des soignants en binôme).

Toutefois, en cas de suspicions fortes de maltraitance à l’encontre d’une personne hébergée, basées sur un faisceau d’indices concordants (hématomes, changements comportementaux, etc.) malgré l’existence de dispositifs alternatifs et d’échecs des procédures d’enquêtes internes, un organisme doit pouvoir installer ponctuellement un dispositif de vidéosurveillance dans la chambre des seules personnes concernées. Dans une telle situation, le responsable de traitement doit cependant apporter des garanties appropriées et notamment :

• limiter l’activation dans le temps ;
• désactiver le dispositif de vidéosurveillance lors des visites de proches sauf si le soupçon de maltraitance porte sur ces derniers ;
• établir et appliquer un cadre en interne, quant aux conditions justifiant l’installation de ce type de dispositifs (il doit par exemple s’agir d’une demande émanant des proches de la personne hébergée à l’établissement faisant suite à des cas de suspicions fortes et avérées de maltraitance, etc.). Cette procédure devrait avoir été préalablement présentée au Conseil de la vie sociale (CVS), qui pourra formuler des propositions ;
• informer les salariés de manière individuelle (p. ex. : lors de la signature du contrat de travail) et de manière collective (p. ex. : affiches) quant à la possibilité que des dispositifs de vidéosurveillance soient installés au sein des chambres des résidents ;
• " flouter ", dans la mesure du possible, les parties intimes de la personne concernée dès lors que les soins qui lui sont apportés sont réalisés dans son lit. S’agissant de la prise d’images dans les lieux d’intimité (toilettes, douches), celle-ci doit être proscrite sauf circonstances exceptionnelles (c’est-à-dire lorsque les procédures d’enquêtes internes et le dispositif de vidéosurveillance installé au sein de la chambre n’ont pas permis de détecter une situation de maltraitance mais qu’il subsiste une forte suspicion quant à la possibilité que ces actes soient réalisés au sein de ces lieux) ;
• insérer au sein du règlement intérieur la possibilité qu’un dispositif de vidéosurveillance soit mis en place dans la chambre d’un résident en cas de suspicions fortes de maltraitance et y faire notamment figurer les modalités de visionnage (accès aux images strictement limité au seul personnel habilité ; conditions d’accès aux images par la famille ; etc.) ;
• lorsque la demande émane de la famille ou des proches, l’installation d’un tel dispositif devrait être réalisée en concertation avec l’établissement, tenant compte des procédures d’enquête interne, de prévention et d’alerte ; du respect du cadre interne en matière de faisceaux d’indices ; de l’information du personnel, le cas échéant ;
• sensibiliser et former le personnel chargé de gérer et de mettre en œuvre ces dispositifs.

SCH É MA R É CAPITULATIF

Vous pouvez consulter ce schéma dans l’ extrait du Journal officiel électronique authentifié.

Le responsable de traitement devra par ailleurs s’assurer de la conformité de son traitement au RGPD et aux dispositions de la loi « informatique et libertés » (durée de conservation limitée à quelques jours si les images ne révèlent pas de maltraitance à l’égard du résident ou, dans le cas contraire, à la durée de la procédure contentieuse ; respect des droits des personnes concernées ; sécurité et confidentialité des données ; etc.). Il devra également informer les personnes concernées préalablement à l’installation des caméras :

• pour les résidents, cela peut se faire en insérant dans le contrat d’hébergement une clause indiquant l’éventuelle mise en œuvre de ce traitement. Cette dernière devrait notamment préciser qu’un tel dispositif ne devrait être mis en place que par l’établissement d’hébergement et non par la famille ;
• pour les salariés, en insérant, par exemple, dans le règlement intérieur de la structure préalablement présenté au comité social et économique, une mention indiquant la possibilité d’installer des dispositifs de vidéosurveillance dans les chambres des résidents pour lesquels il existe une suspicion grave de maltraitance.

L’établissement doit par ailleurs en principe s’assurer que les résidents et salariés ont été informés individuellement de manière effective au moment de la mise en place des caméras (par courriel, affichage, etc.), sauf si cette information apparaît incompatible avec les objectifs de l’enquête et la protection des droits des personnes victimes de mauvais traitements.

3.2 – La nécessité de réaliser une analyse d’impact relative à la protection des données (AIPD)

Au regard des risques élevés qu’est susceptible d’engendrer ce traitement pour les droits et libertés des personnes concernées, l’organisme mettant en œuvre ce dispositif de vidéosurveillance devra réaliser une analyse d’impact relative à la protection des données (AIPD). Une telle AIPD ne pouvant être réalisée en urgence, cela implique d’avoir réfléchi à la possibilité d’utilisation d’un tel dispositif à l’avance, en cas de suspicion de maltraitance.

L’AIPD permettra de définir des conditions de mise en œuvre du dispositif de vidéosurveillance limitant autant que possible les risques pour les personnes concernées d’une part, et de démontrer la conformité du traitement au RGPD en cas de contrôle, d’autre part.

Cette analyse, qui pourra s’appuyer sur l’ensemble des garanties énoncées au sein de la présente recommandation afin d’en simplifier sa réalisation, devra contenir une description détaillée du traitement mis en œuvre, tant sur les aspects techniques qu’opérationnels. L’organisme mettant en œuvre le dispositif devra plus particulièrement insister sur :

• les raisons l’ayant conduit à considérer que des moyens alternatifs moins intrusifs s’avéraient inefficaces ;
• les garanties qu’il met en œuvre pour ne pas mettre sous surveillance continue les salariés travaillant dans l’établissement ;
• les mesures pour assurer la confidentialité des données ;
• les précautions prises pour protéger la vie privée des personnes hébergées.

S’il apparait que le niveau de risque résiduel reste élevé, l’AIPD devra faire l’objet d’une transmission à la CNIL.

Article 4 : Publication au Journal officiel de la République française

La présente délibération sera publiée au Journal officiel de la République.

La présidente

M.-L. Denis