Le captage d’images et de sons et leur utilisation dans des fichiers, tombent sous le champ d’application de la loi modifiée du 2 août 2002 dès lors qu’ils permettent d’identifier les personnes.

Bien plus le législateur considère comme un traitement de données comportant des risques particuliers, toute activité qui, opérée au moyen d’instruments techniques, consiste en l’observation, la collecte ou l’enregistrement de manière non occasionnelle des données d’une ou de plusieurs personnes et relatives à des comportements, des mouvements, des communications ou à l’utilisation d’appareils électroniques et informatisés.

Cette définition de la surveillance est donc très large et s’applique notamment à la vidéo surveillance, au contrôle d’accès par lecteurs de badges ou des déplacements via géolocalisation (GPS) et au traçage informatique aux fins de surveillance. En particulier la surveillance des travailleurs par l’employeur (p.ex. surveillance du travail et de la production, des conversations téléphoniques et de l’utilisation d’Internet) est encadrée par des règles légales strictes qui présentent cependant l’avantage de la sécurité juridique (l’employeur et ses salariés peuvent savoir d’avance quelles mesures de surveillance sont licites ou interdites).

La législation luxembourgeoise sur la protection des données précise les cas d’ouverture (conditions de légitimité) qui sont les seuls pour légitimer un traitement de données personnelles à des fins de surveillance (article 10 de la loi modifiée du 2 août 2002, article L.261-1 du Code de Travail), en dehors des traitements de données opérés le cas échéant par la police pour des raisons de sauvegarde de la sécurité publique et de constatations des infractions pénales (article 17 de la loi modifiée du 2 août 2002).

Une autorisation préalable doit être sollicitée auprès de la Commission nationale par le responsable du traitement voulant mettre en place des dispositifs techniques de surveillance rentrant dans cette définition.

Il y a toutefois deux cas d'exception dans lesquels une surveillance ne requiert pas d'autorisation préalable:

• La surveillance de personnes non salariées ne comportant aucun enregistrement (déclaration auprès de la Commission nationale par notification préalable);
• Les traitements relatifs aux activités régaliennes de l’Etat, prévus à l’article 17 de la loi modifiée du 2 août 2002 (ces traitements sont autorisés par voie de règlements grand-ducaux qui fixent les modalités des traitements).

Pour pouvoir octroyer son autorisation, il revient à la Commission nationale de vérifier:

• que le motif invoqué pour recourir à la surveillance correspond bien à un critère de légitimation prévu par la loi,
• que la mesure envisagée est bien nécessaire compte tenu des circonstances concrètes (notamment que les risques que la surveillance vise à prévenir ou combattre sont suffisamment effectifs et substantiels),
• que l’impact de la surveillance sur les libertés et droits fondamentaux, en particulier la vie privée des personnes touchées, reste supportable et ne soit pas excessif (disproportionné) par rapport à la finalité poursuivie et qu’il n’y ait notamment pas de moyens alternatifs permettant d’aboutir au résultat recherché de façon moins intrusive pour la vie privée des personnes exposées à la surveillance,
• que l’utilisation des informations ainsi obtenues reste strictement confidentielle, limitée à la finalité légitime pour laquelle la surveillance est autorisée, que les données soient traitées de façon sécurisée et ce conservées seulement aussi longtemps que vraiment nécessaire.