184 LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL Considérant que les mesures de sécurité doivent couvrir les données stockées sur des supports papiers et celles qui le sont sur supports informatiques ; Considérant qu'à l'issue du contrôle, l'Autorité de protection a constaté que : - l'ordinateur qui fait office de moniteur pour les caméras, ne dispose pas de mots de passe ; - le système de vidéosurveillance est installé en mode local ; - l'ordinateur est installé dans un bureau dont la porte est fermée à clé. Considérant que la société Afrique Émergence Technologie, sous-traitant qui a procédé à l'installation du dispositif de vidéosurveillance, ne dispose pas d'autorisation de traitement des données personnelles ; Dès lors ce sous-traitant n'apporte pas les garanties suffisantes au regard des mesures de sécurité technique et d'organisation relatives aux traitements à effectuer. L'Autorité de protection considère que les mesures de sécurité logique et physique nécessaires sont insuffisantes. Au regard de tout ce qui précède, l'Autorité de protection considère qu'il y a eu plusieurs manquements : - Illégitimité du traitement - Détournement de finalité des données collectées à des fins d'identification ; - Absence d'autorisation pour l'installation d'un système de vidéosurveillance ; - Dispositif de vidéosurveillance portant atteinte à la vie privée des clients et des employés ; - Absence de correspondant à la protection ; - Non-respect du principe de la proportionnalité ; - Non-respect du principe de transparence ; - Non-respect du droit des personnes concernées ; - Non-conformité du sous-traitant à la loi sur la protection des données personnelles. Après en avoir délibéré,