Vidéosurveillance et RGPD : vos obligations
Le RGPD porte sur l’usage que vous faites des images, pas sur le matériel qui les produit. La conformité se construit dans quatre documents.
Un système de vidéosurveillance constitue un traitement de données à caractère personnel : il entre donc dans le champ du RGPD, quel que soit le nombre de caméras. Quatre obligations en découlent pour le responsable de traitement. Inscrire le système au registre. Réaliser une analyse d’impact lorsque l’article 35 l’exige. Traduire la règle dans les réglages de l’enregistreur : durée de conservation, comptes nominatifs, journalisation. Informer les personnes filmées et savoir répondre à leurs demandes. Aucune de ces quatre obligations ne se règle par l’achat d’un matériel.
Une caméra ne « filme » pas : elle crée un traitement de données
Le basculement de vocabulaire est utile. Tant qu’on parle de caméras, on raisonne en équipements ; dès qu’on parle de traitement, on raisonne en finalité, en durée et en destinataires, c’est-à-dire en termes que le RGPD reconnaît. Une image sur laquelle une personne est identifiable est une donnée personnelle. Un journal d’accès nominatif l’est également.
Les principes applicables sont ceux du règlement : une finalité déterminée et légitime, la minimisation (ne capter que le nécessaire à cette finalité), une durée de conservation limitée, des mesures de sécurité proportionnées, l’information des personnes et le respect de leurs droits d’accès et d’opposition.
La minimisation est le principe le plus opérationnel, et le plus facile à perdre de vue au moment de la conception. Elle se joue au choix de l’objectif et à l’orientation, pas dans un document. Une caméra grand angle installée « pour voir large » collecte plus que nécessaire par construction ; aucune procédure écrite ne rattrape ensuite ce surplus.
Le registre, champ par champ
Le registre des traitements est le document que l’on vous demandera en premier. Pour une installation de vidéosurveillance, il décrit au minimum la finalité poursuivie, les catégories de personnes concernées (salariés, visiteurs, clients, prestataires), les zones couvertes, les destinataires des images, la durée de conservation retenue et les mesures de sécurité appliquées.
Deux erreurs de rédaction guettent. Décrire l’équipement au lieu du traitement : « douze caméras IP en 4 mégapixels » n’est pas une finalité. Puis figer le registre le jour de la mise en service. Une caméra ajoutée, une zone réorientée, un nouveau destinataire : chacune de ces évolutions se répercute dans le registre, faute de quoi le document décrit un système qui n’existe plus.
Quand une analyse d’impact devient obligatoire
L’analyse d’impact relative à la protection des données n’est pas systématique. Elle s’impose dans les cas prévus par l’article 35 du RGPD, notamment lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. La CNIL vise explicitement la surveillance systématique à grande échelle d’une zone accessible au public.
Trois montages doivent alerter : un parc dense couvrant en continu un espace où le public circule ; un croisement de la vidéo avec d’autres données, par exemple des journaux de badge permettant de reconstituer les déplacements d’une personne ; enfin tout traitement embarquant une analyse automatique du contenu des images.
L’AIPD sert à démontrer que l’installation est proportionnée. Un projet incapable de produire cette démonstration a un problème de conception avant d’avoir un problème de paperasse.
Du principe RGPD au réglage de l’enregistreur
| Principe | Ce qu’il implique | Ce que cela donne dans la configuration |
|---|---|---|
| Finalité déterminée | Un usage écrit, unique et légitime | Orientation et champ pensés pour cet usage, pas pour « voir large » |
| Minimisation | Ne capter que le nécessaire | Choix d’objectif, masquage des zones hors finalité |
| Durée limitée | Une durée justifiée, pas la capacité du disque | Effacement automatique paramétré et vérifié |
| Sécurité | Protéger l’accès aux images | Comptes nominatifs, mots de passe individuels, flux distants chiffrés |
| Traçabilité | Savoir qui a consulté quoi | Journalisation des connexions et des exports |
| Information | Rendre le système visible et compréhensible | Affichage à chaque accès, note interne, mention au registre |
Les mesures techniques qui traduisent réellement la règle
Le document et la réalité se séparent d’abord sur un mot : le compte partagé. Un identifiant unique utilisé par plusieurs personnes rend la journalisation inutilisable et vide l’habilitation de son contenu. Passer à des comptes nominatifs coûte peu et structure tout le reste du dossier.
Trois autres réglages méritent d’être vérifiés à la mise en service, puis relus une fois par an : la durée d’effacement réellement appliquée par l’enregistreur, l’état des accès distants (mots de passe par défaut, ports ouverts, comptes de prestataires restés actifs) et la liste des personnes habilitées, qui doit suivre les départs.
Ces vérifications relèvent de l’exploitation courante. Elles ne demandent pas de matériel supplémentaire, seulement une revue périodique inscrite quelque part.
Répondre à une demande d’accès sans improviser
Une personne filmée peut demander l’accès aux données la concernant. La difficulté est pratique avant d’être juridique : la demande n’attend pas votre calendrier, et la séquence demandée peut déjà être effacée. Une procédure écrite en deux pages suffit à traiter le sujet.
Elle fixe qui reçoit la demande, sous quel délai la réponse doit partir, comment la personne est identifiée, et comment les droits des tiers filmés sont préservés : extraction ciblée, floutage, ou visionnage encadré plutôt que remise d’un fichier brut. Elle prévoit enfin le cas où les images n’existent plus, qui doit être documenté et non éludé.
Le détail des situations d’accès (habilitations internes, autorités, prestataires) est traité dans notre guide qui peut visionner les images.
L’idée fausse : croire qu’un matériel peut être « conforme RGPD »
L’expression figure sur des fiches produits et dans des propositions commerciales. Elle n’a pas de sens juridique. Le RGPD encadre un traitement et désigne un responsable : c’est l’organisation qui exploite les images qui répond, non la caméra qui les produit.
Un équipement peut en revanche faciliter la conformité : effacement automatique paramétrable, gestion fine des comptes, journalisation des accès, masquage de zones, chiffrement des flux. Ce sont des fonctions utiles, et il est légitime de les exiger d’un fournisseur. Elles ne transfèrent aucune responsabilité.
La conséquence pratique est simple : aucun installateur, y compris nous, ne peut vous vendre une mise en conformité. Nous fournissons les éléments techniques (durées paramétrées, gestion des accès, journalisation) et le relevé des champs réellement couverts par vos caméras. La responsabilité du traitement reste la vôtre.
Questions fréquentes sur le RGPD appliqué à la vidéosurveillance
Une petite entreprise doit-elle vraiment tenir un registre pour trois caméras ?
Le nombre de caméras ne change pas la nature du traitement. Le registre reste court : pour une installation simple, il tient sur une page (finalité, catégories de personnes filmées, zones couvertes, destinataires, durée de conservation, mesures de sécurité). L’écrire prend peu de temps ; le retrouver le jour où on le demande en prend davantage.
Faut-il désigner un délégué à la protection des données pour installer des caméras ?
La désignation d’un DPO répond à ses propres critères et ne découle pas de la seule présence de caméras. En revanche, si un DPO existe dans l’entreprise, il doit être associé au dossier : c’est lui qui portera la réponse en cas de demande d’accès ou de contrôle. En son absence, un responsable identifié doit être nommé dans l’affichage.
Le RGPD s’applique-t-il aussi au contrôle d’accès par badge ?
Oui. Un badge nominatif qui journalise les passages produit des données personnelles au même titre qu’une image. Le raisonnement est identique : finalité, minimisation, durée de conservation des journaux, habilitations, information des personnes. Le fait que la donnée soit une ligne de log et non une vidéo ne change pas le régime.
Peut-on conserver plus longtemps une séquence utile à un litige ?
Une séquence extraite pour une procédure sort du cycle d’effacement automatique et se conserve le temps de cette procédure. Deux conditions : l’extraction doit être tracée, et la séquence stockée séparément avec un accès restreint. Allonger la durée générale du système au motif qu’un litige pourrait survenir un jour reste en revanche inadmissible.
Un prestataire de maintenance qui accède au système est-il un sous-traitant ?
Dès qu’un prestataire accède aux images ou aux journaux pour votre compte, la relation doit être encadrée par écrit : étendue de l’accès, finalité strictement technique, interdiction de tout usage propre, sécurité et confidentialité. Cet encadrement est distinct de l’habilitation d’exploitation accordée à vos propres équipes.
À lire aussi