Un planning de conservation des vidéos (ou durée de conservation des vidéos) est un ensemble de règles documentées qui définit combien de temps les enregistrements CCTV et bodycam sont conservés avant suppression, ainsi que les conditions dans lesquelles certains extraits peuvent être conservés plus longtemps. Les décisions de conservation sont étroitement liées au fait que les images contiennent ou non des données personnelles identifiables et à la création éventuelle de versions expurgées à l’aide de techniques telles que le floutage des visages ou le floutage des plaques d’immatriculation.
Ce qui rend la conservation des images CCTV et bodycam licite
La conservation est licite lorsqu’elle est limitée à ce qui est nécessaire pour une finalité légitime et clairement définie, et qu’elle est appliquée de manière cohérente. Dans les cadres juridiques de l’UE et du Royaume-Uni, cela se traduit par le principe de limitation de la conservation et par l’obligation plus large d’aligner le traitement sur la finalité et la minimisation des données. Aux États-Unis, il n’existe pas d’équivalent fédéral unique, mais la durée de conservation reste un facteur clé de risque en matière de vie privée et de contentieux, notamment lorsque les images sont utilisées dans un contexte RH, de gestion d’incidents, d’assurance ou de communication externe. Une approche pragmatique consiste à combiner une durée de conservation courte par défaut pour les images brutes avec un processus opérationnel permettant d’expurger rapidement les extraits nécessaires à la formation, à la communication ou à l’archivage à long terme [1][2][3].
Lorsque des images montrent des visages identifiables ou des plaques d’immatriculation, elles contiennent généralement des données personnelles. Si ces identifiants sont supprimés ou transformés de manière irréversible, de sorte que les personnes ne soient plus identifiables compte tenu des moyens raisonnablement susceptibles d’être utilisés, le résultat peut sortir du champ d’application du droit de la protection des données dans l’UE et au Royaume-Uni. En revanche, si le résultat reste seulement pseudonymisé ou faiblement flouté, il peut encore s’agir de données personnelles. C’est pourquoi de nombreuses organisations adoptent une approche à deux niveaux : conservation brève des images brutes pour la sécurité et la qualification des incidents, puis création de versions expurgées destinées à des besoins de plus long terme comme la formation, la communication ou l’analyse [1][3].
Visages : il n’existe pas de règle universelle imposant le floutage systématique des visages. La nécessité de flouter dépend de la finalité, de la base légale, du public visé et des règles nationales applicables à l’utilisation de l’image. En Pologne, la diffusion de l’image d’une personne est souvent appréciée au regard du droit civil et des règles liées au droit d’auteur, le consentement étant généralement requis sauf exception.
Plaques d’immatriculation : dans de nombreux pays d’Europe occidentale, le floutage des plaques lors de la publication ou d’une diffusion large est couramment attendu et, dans la pratique, souvent quasi obligatoire. En Pologne, la situation n’est pas uniforme. Les lignes directrices et les principes européens relatifs à l’identifiabilité tendent à considérer les plaques comme des données personnelles dans de nombreux cas, tandis que certaines décisions nationales ont adopté une approche plus restrictive dans des contextes spécifiques. Pour les organisations opérant à l’international, une approche pragmatique fondée sur le risque consiste à flouter les plaques des tiers lors de la publication ou du partage large, sauf nécessité clairement établie et documentée [1][3].
États-Unis : pourquoi les politiques de conservation sont essentielles même sans loi fédérale unique sur la vie privée
Les organisations américaines ne doivent pas supposer que l’absence du RGPD signifie l’absence d’obligations en matière de conservation. Des durées de conservation longues augmentent les risques au regard des législations étatiques sur la vie privée, des lois biométriques le cas échéant, des obligations liées aux violations de données et des actions fondées sur le droit commun. Pour les programmes CCTV et bodycam, une conservation prolongée accroît également l’exposition lors des procédures de discovery et des litiges avec les employés. Une politique défendable prévoit des durées courtes par défaut, un contrôle strict des extensions et l’utilisation du floutage pour réduire l’identifiabilité lorsque les images doivent être partagées ou conservées plus longtemps [4][5][6].
Méthode pas à pas pour définir des durées de conservation pratiques
Cette méthode vise à produire un planning de conservation utilisable par les équipes de sécurité et défendable pour les équipes conformité et juridiques.
- Définir les finalités par caméra ou dispositif. Sécurité, enquête d’incident, sécurité du personnel, preuves disciplinaires ou juridiques. Évitez toute dérive de finalité.
- Classifier les contextes de prise de vue. Entrées, périmètres, zones de production, entrepôts, espaces accueillant du public et bodycams terrain présentent des niveaux de risque et de valeur probante différents.
- Fixer une durée de conservation courte par défaut pour les images brutes. Beaucoup d’organisations retiennent 24 à 72 heures pour les zones à faible risque et 7 à 30 jours pour les zones plus sensibles. Pour les bodycams, la durée par défaut est souvent très courte sauf signalement. Ces valeurs doivent être justifiées par une analyse documentée.
- Définir des extensions liées aux incidents. Lorsqu’un extrait est signalé pour enquête ou réclamation, ne conservez que les passages pertinents et alignez la durée sur le cycle de vie du dossier.
- Mettre en place un workflow de floutage pour les besoins à long terme. Pour la formation, la communication ou le partage contrôlé, créez une copie expurgée (floutage des visages et, si nécessaire, des plaques). Conservez cette version plus longtemps et supprimez l’original brut sauf obligation légale de conservation.
- Automatiser les suppressions. Implémentez une suppression automatique et cohérente selon le planning, avec un enregistrement minimal des opérations sans données personnelles inutiles.
- Réviser annuellement. Réévaluez les finalités, les risques et le cadre juridique. L’amélioration des techniques de floutage permet souvent de réduire la conservation brute et d’allonger la conservation expurgée.
Pour mettre en œuvre cette approche avec un outil on‑premise, découvrez Gallio PRO. Le logiciel prend en charge le floutage automatique des visages et des plaques d’immatriculation pour les images et vidéos préenregistrées, ainsi qu’un éditeur manuel simple pour masquer d’autres éléments si nécessaire.
Durées de conservation indicatives pour la vidéosurveillance et les bodycams
Les plages ci-dessous ne constituent pas un avis juridique. Elles reflètent des pratiques courantes observées dans des programmes de conformité et restent dépendantes du contexte. Le choix final doit toujours être lié à des finalités documentées, au contexte des caméras et à l’analyse des risques.
Cas d’usage | Finalité typique | Conservation par défaut (images brutes) | Quand prolonger | Conservation des versions expurgées |
|---|
CCTV - entrée de bureaux | Sécurité des accès, qualification d’incident | 24-72 heures | Incident signalé - conserver l’extrait pertinent jusqu’à clôture | Si nécessaire pour la formation ou le reporting, conserver une version floutée plus longtemps avec revue annuelle |
CCTV - commerce ou périmètre à risque élevé | Prévention du vol, sécurité | 7-30 jours | Demande des autorités ou assurance - extraits pertinents uniquement | Créer une version floutée pour le partage contrôlé et supprimer le brut dès que possible |
CCTV - zone de production ou entrepôt | Sécurité, intégrité des processus | 3-14 jours | Accident ou audit - selon le protocole | Les extraits de formation floutés peuvent être conservés plus longtemps avec revue périodique |
CCTV - transports publics | Sécurité des passagers | 3-7 jours | Signalement d’incident - segment pertinent uniquement | Version floutée conservée pour enquête ou formation selon documentation |
Bodycam - activité courante | Sécurité du personnel, responsabilité | Durée courte, souvent 24-72 h sauf signalement | Plainte ou incident - selon la politique et les règles applicables | Conserver des extraits floutés pour la formation plutôt que les images brutes |
Bodycam - incident critique | Enquête | Extrait signalé conservé | Jusqu’à la fin de la procédure disciplinaire ou judiciaire | Une version floutée peut être utilisée en interne pour la formation si justifiée |
Si des extraits sont nécessaires pour la formation ou la communication, créez rapidement une version expurgée et supprimez la source brute dès qu’elle n’est plus nécessaire. Pour tester concrètement le workflow de floutage, vous pouvez télécharger une version de démonstration.
États-Unis + UE et Royaume-Uni : matrice de décision sur la conservation
Pour éviter de multiplier les tableaux comparatifs UE/Royaume-Uni, la matrice ci-dessous est organisée par point de décision. Elle met en évidence ce qui diffère généralement aux États-Unis et les convergences entre les programmes européens.
Point de décision | Référence commune UE/Royaume-Uni | Référence pratique États-Unis | Conseil de mise en œuvre |
|---|
Durée par défaut | Conserver uniquement le temps nécessaire à la finalité déclarée et documenter le planning [1][2] | Durées courtes pour réduire l’exposition aux litiges et à la discovery | Durée brute courte et extension uniquement en cas d’incident |
Extensions liées aux incidents | Limiter aux extraits pertinents et aligner sur le cycle du dossier [1][3] | Même bonne pratique, avec discipline de litigation hold | Extraire les segments utiles et contrôler les accès |
Réutilisation pour formation/communication | Privilégier les versions floutées si l’identification n’est pas nécessaire [1][3] | Réduire les risques de plaintes et de litiges RH | Créer un fichier maître flouté et supprimer le brut |
Publication d’images | Minimiser l’identifiabilité ; floutage des visages et plaques souvent attendu en pratique [1][3] | Pas de règle nationale unique, mais le floutage est une protection forte | Adopter un principe de divulgation minimale |
Cas biométriques | Les règles biométriques s’appliquent en cas d’identification unique, pas du simple fait qu’un visage apparaisse [1] | Certaines lois étatiques accroissent le risque en cas d’identification | Éviter toute identification faciale non justifiée |
Notes technologiques : logiciels on‑premise et workflows contrôlés
Pour des raisons de confidentialité et de bande passante, de nombreuses organisations privilégient des logiciels on‑premise pour traiter les enregistrements CCTV et bodycam. Gallio PRO est un logiciel installé localement qui automatise le floutage des visages et des plaques d’immatriculation pour les photos et vidéos préenregistrées. Il n’anonymise pas les silhouettes complètes, ne fonctionne pas en temps réel et ne floute pas automatiquement les logos, tatouages, badges nominatifs, documents ou contenus affichés à l’écran. Ces éléments peuvent toutefois être masqués via l’éditeur manuel intégré.
Dans une logique de minimisation des données, réduire les métadonnées liées aux éléments identifiables est une bonne pratique. Gallio PRO ne collecte pas de journaux contenant des détections de visages ou de plaques et ne génère pas de logs incluant des données personnelles ou sensibles, ce qui évite la création de nouveaux référentiels de données personnelles.
Notes régionales : visages et plaques lors de la publication d’images
Lors de la publication externe d’images ou de vidéos, le floutage des visages ou un autre mécanisme licite (comme un consentement valide) est couramment utilisé sauf exception légale. Pour les plaques d’immatriculation, les pratiques de conformité dans l’UE et au Royaume-Uni attendent généralement que les contenus publiés ne permettent pas l’identification sans nécessité. En Europe occidentale, le floutage des plaques est largement appliqué et souvent considéré comme quasi obligatoire en pratique. En Pologne, les interprétations ayant varié, de nombreuses organisations appliquent le floutage par prudence et documentent leur analyse au regard du test d’identifiabilité [1][3].
Les équipes qui envisagent des projets de floutage à grande échelle ou en traitement par lots peuvent nous contacter pour discuter des workflows volumétriques et de l’intégration avec leurs mécanismes de conservation et de suppression.
FAQ - Durées de conservation des vidéos CCTV et bodycam
Quelle doit être la durée de conservation par défaut pour la vidéosurveillance ?
Une approche courante consiste à prévoir 24-72 heures pour les zones à faible risque et 7-30 jours pour les zones plus sensibles, sous réserve d’une justification écrite fondée sur la finalité et l’analyse des risques.
Les images floutées peuvent-elles être conservées plus longtemps ?
Souvent oui, si le floutage est suffisamment robuste pour rendre les personnes non identifiables compte tenu des moyens raisonnablement utilisables. Les techniques doivent être validées et revues périodiquement [3].
Les plaques d’immatriculation sont-elles toujours des données personnelles ?
Pas toujours. Elles sont fréquemment considérées comme des données personnelles dans les contextes UE et Royaume-Uni lorsqu’elles permettent une identification directe ou indirecte, d’où le floutage largement pratiqué lors de la publication. En Pologne, les interprétations ont varié, ce qui conduit beaucoup d’organisations à flouter par prudence et à documenter leur décision [1][3].
Qu’en est-il des enregistrements bodycam ?
Les bodycams capturant des personnes à courte distance et parfois dans des contextes sensibles, les durées par défaut sont généralement courtes, avec conservation prolongée uniquement pour les extraits signalés selon la politique interne. Celle-ci doit préciser qui peut signaler, accéder et décider de la suppression.
Le choix de l’outil a-t-il un impact sur la conservation ?
Oui. Un logiciel capable de flouter de manière cohérente les visages et les plaques, complété par un masquage manuel simple, permet souvent de réduire la conservation des images brutes et d’allonger celle des versions expurgées lorsque cela est justifié.
Gallio PRO traite-t-il les données en temps réel ?
Non. Gallio PRO ne réalise pas d’anonymisation en temps réel ni sur des flux vidéo. Il traite des fichiers et automatise le floutage des visages et des plaques.
Les logos, tatouages ou badges peuvent-ils être floutés automatiquement ?
Non automatiquement. Ces éléments peuvent être masqués à l’aide de l’éditeur manuel intégré.
