Qui a le droit de visionner les images de votre vidéosurveillance ?
Un nombre restreint de personnes nommément désignées, et personne d’autre, sauf dans trois situations précises qui obéissent chacune à ses propres règles.
L’accès aux images n’appartient pas à tous ceux qui ont un intérêt à les voir : il appartient aux personnes que le responsable de traitement a expressément habilitées, en nombre limité, et dont les consultations peuvent être tracées. Trois autres situations existent, à ne pas confondre avec cette habilitation : la demande d’une personne filmée qui exerce son droit d’accès, la remise d’un extrait à la demande d’une autorité judiciaire, et l’intervention technique d’un prestataire sur le système. Chacune appelle une réponse différente, et chacune devrait être écrite avant de se poser.
Habiliter quelqu’un va plus loin que lui donner un mot de passe
Une habilitation comporte trois éléments : une personne nommément désignée, une étendue d’action (quelles caméras, quelles plages horaires, quel type d’opération) et une traçabilité. Retirez l’un des trois, il ne reste rien. C’est pourquoi la liste des habilités ne se confond jamais avec la liste de ceux qui connaissent l’identifiant.
Différenciez cette étendue selon les opérations. Consulter le direct, relire un enregistrement et exporter un fichier n’ont pas les mêmes conséquences : l’export fait sortir la donnée du système. Un réglage laissé par défaut ouvre l’export à tous les comptes, alors qu’il peut être réservé à une ou deux personnes.
Reste le point le plus terre à terre : la liste des habilités doit suivre les départs. Un compte resté actif après un départ est un écart banal, et difficile à justifier.
Un salarié demande à voir les images : que devez-vous faire ?
Le RGPD ouvre à toute personne un droit d’accès aux données la concernant. Une séquence vidéo où une personne est identifiable en fait partie. La demande n’a donc pas à être motivée, et elle ne peut pas être écartée au motif que le demandeur est un salarié.
La difficulté réelle est celle des tiers. Une séquence montre rarement une seule personne : la remettre telle quelle reviendrait à communiquer les données d’autres individus. Trois solutions existent selon les cas : extraire une plage strictement limitée, flouter les tiers, ou organiser un visionnage encadré en présence d’un responsable plutôt que de remettre un fichier.
Deux points à prévoir à l’avance : le délai de réponse, fixé par le RGPD, et le cas où les images n’existent plus. Répondre que la séquence a été effacée conformément à la durée de conservation en vigueur est recevable, à condition de pouvoir montrer cette durée. Tout renvoie donc au paramétrage de la conservation.
La remise d’un extrait aux autorités suit ses propres règles
Une demande émanant des services de police ou de la justice s’inscrit dans une procédure. Elle ne relève pas de la même logique qu’une consultation interne, et elle justifie la conservation de l’extrait au-delà du cycle d’effacement habituel : le code de la sécurité intérieure réserve expressément les besoins d’une procédure pénale.
Trois réflexes évitent les difficultés ultérieures. Identifier le demandeur et le fondement de sa demande. Limiter l’extrait à la plage utile plutôt que de remettre une journée entière. Consigner la remise (date, plage extraite, destinataire, support) dans le registre d’extraction.
Une entreprise n’a pas à trancher seule une qualification pénale. Son rôle se limite à produire un extrait fiable, tracé, et à ne pas altérer la séquence d’origine.
L’accès technique d’un prestataire obéit à d’autres règles
Un installateur ou un mainteneur peut avoir besoin d’accéder au système pour diagnostiquer une panne, mettre à jour un firmware ou vérifier un réglage. Cet accès est technique : il n’a pas pour objet le visionnage et ne doit pas ouvrir les mêmes droits qu’un compte d’exploitation.
Il se borne de trois manières. Par un compte distinct, identifiable comme tel. Par une activation à la demande plutôt qu’un accès permanent, en particulier pour les connexions distantes. Par un encadrement contractuel écrit précisant la finalité strictement technique, l’interdiction de tout usage propre et les obligations de confidentialité.
Le point sensible est la fin d’intervention : un accès distant ouvert pour un dépannage et resté ouvert constitue l’une des portes les plus faciles à oublier sur un système de vidéosurveillance.
La procédure d’accès tient en une page
- Qui est habilité, nommément, et pour quelles opérations.
- Dans quels cas une consultation est légitime, et qui l’autorise.
- Qui peut exporter une séquence, et où l’export est stocké.
- Qui reçoit une demande d’accès d’une personne filmée, et sous quel délai il répond.
- Comment les tiers sont protégés dans une séquence communiquée.
- Comment une remise aux autorités est tracée.
- Comment un accès prestataire est ouvert, puis refermé.
- Qui relit cette liste, et à quelle fréquence.
Ce document n’a d’intérêt que s’il est court et connu. Une procédure interminable rangée dans un classeur protège moins qu’une page affichée près du poste de visionnage.
Le compte unique partagé par toute l’équipe
Rien de délibéré dans ce cas de figure : l’enregistreur est livré avec un compte administrateur, l’installation se fait dans l’urgence, et ce compte devient celui de tout le monde. Le système fonctionne, la conformité apparente est sauve : la liste des habilités existe sur le papier.
Sauf que cette liste ne veut plus rien dire. Le journal du système enregistre des connexions d’un compte unique : impossible de savoir qui a consulté, qui a exporté, à quel moment. L’habilitation devient déclarative, et la traçabilité disparaît au moment précis où elle servirait, quand quelqu’un conteste un usage.
La correction ne coûte rien d’autre qu’une heure de paramétrage : créer un compte par personne, différencier les droits de consultation et d’export, activer la journalisation et désactiver le compte générique. C’est la mesure la plus rentable d’un dossier d’accès.
Questions fréquentes sur le droit de visionner les images
Un dirigeant peut-il consulter les images quand il le souhaite ?
Être responsable de traitement ne dispense pas de la règle de finalité. Une consultation se rattache à un motif précis, un incident signalé ou une vérification de sécurité, jamais à une curiosité de gestion. Un visionnage régulier sans motif se rapproche d’une surveillance continue de l’activité, finalité qui n’est pas admise.
Un responsable d’équipe peut-il être habilité ?
Rien ne l’interdit par principe, mais c’est le cas où la vigilance doit être la plus forte : la même personne évalue les salariés et accède aux images qui les montrent. Réserver l’habilitation à une fonction sûreté ou à la direction évite précisément cette confusion des rôles.
Peut-on remettre une séquence à un assureur ?
La communication à un tiers doit reposer sur un motif identifié et documenté, et se limiter à la séquence utile. Elle n’est pas automatique du seul fait qu’un sinistre est déclaré. Le destinataire, en tant que catégorie, doit par ailleurs figurer au registre des traitements : c’est un point facile à oublier.
Faut-il conserver la trace de chaque visionnage ?
La journalisation des consultations est la contrepartie de l’habilitation : sans elle, la liste des personnes autorisées reste déclarative. Un enregistreur professionnel journalise nativement les connexions et les exports ; encore faut-il que ces journaux soient activés, conservés et relus de temps en temps.
Que faire si un salarié demande la suppression des images le concernant ?
Le droit à l’effacement n’est pas absolu : il se concilie avec la finalité de sécurité et, le cas échéant, avec une procédure en cours. La réponse doit être motivée par écrit, dans les délais du RGPD, jamais laissée sans suite. En pratique, un système correctement paramétré règle le sujet de lui-même : les images concernées sont effacées peu après.
À lire aussi