Caméras vidéo dans les écoles et les établissements d'enseignement : répondre aux demandes de séquences vidéo en vertu de la loi sur la protection de la vie privée

Sous lois sur la protection des données et la vie privée, les gens peuvent demander l'accès aux vidéos capturées par Caméras de vidéosurveillance et de surveillance. Cela peut constituer un domaine juridique difficile pour les écoles, qui doivent réagir d’une manière conforme à la loi, respectueuse des droits des parents et protège la vie privée des étudiants.

Cet article explore certaines des questions les plus courantes posées par les écoles concernant partager des images de surveillance vidéo avec les parents. Nous allons regarder ce que dit la loi dans l'UE, le Royaume-Uni et les États-Unis, y compris si vous devez utiliser logiciel pour flouter les visages dans des vidéos avant de les partager avec les parents.

Les enregistrements de vidéosurveillance sont-ils couverts par tLe « droit d’accès » du RGPD ?

Oui, Les enregistrements de vidéosurveillance sont couverts par le droit d’accès du RGPD s'ils contiennent des données personnelles. 

Voici les principes de base concernant le droit d’accès et de vidéosurveillance dans les écoles et autres établissements d'enseignement :

• À quelques exceptions près, le RGPD exige que les responsables du traitement des données (y compris les établissements d'enseignement) donner aux gens accès à une copie de leurs données personnelles sur demande. 
• Ce processus est parfois appelé un Demande d'accès à la personne concernée (DSAR), et cela est couvert par l’article 15 du RGPD.
• « Données personnelles » désigne informations relatives à une personne identifiable. Les données personnelles incluent une vidéo mettant en scène des écoliers ou d’autres personnes si vous pouvez savoir qui figure dans la vidéo. 
• Un responsable du traitement peut refuser une demande qui est «manifestement infondée ou excessive.» Cette exception place la barre haute et s’applique rarement à une demande concernant une séquence spécifique de vidéosurveillance.
• Les contrôleurs doivent répondre à un DSAR dans un mois de recevoir une demande. Sous certaines conditions, un responsable du traitement peut prolonger ce délai de deux mois supplémentaires.
• Lorsque vous fournissez à quelqu’un une copie de la vidéo d’une caméra de sécurité, vous ne devez pas porter atteinte aux droits d’autrui. Cela signifie que vous devriez généralement évitez de fournir des vidéos qui représentent d'autres personnes.

Pour éviter de violer le RGPD, les écoles et universités peuvent brouiller les visages de toute personne ne faisant pas l’objet d’une demande d’accès avant de donner accès à la vidéo.

Les parents peuvent-ils demander des images de vidéosurveillance de leur enfant ?

En général, les parents peuvent faire des demandes de visite au nom de leurs enfants. Il s’agit cependant d’un domaine complexe qui n’est pas directement couvert par le RGPD et qui est souvent traité dans le cadre des lois ou réglementations nationales sur la protection des données.

Les responsables du traitement ne devraient généralement permettre aux parents d’accéder aux données personnelles de leurs enfants que si cela est dans l’intérêt supérieur de l’enfant. Mais les écoles devraient vérifier les lois locales et les directives réglementaires pour s’assurer qu’elles font les choses correctement (nous verrons ci-dessous comment le Royaume-Uni gère cela).

Que se passe-t-il si les images de vidéosurveillance montrent plus d’un enfant ?

L'article 15, paragraphe 4, du RGPD stipule que vous ne devez pas « porter atteinte aux droits et libertés d'autrui » lorsque vous répondez à une DSAR. 

« Porter atteinte aux droits d’autrui » peut inclure révéler des données personnelles sur des personnes autres que la personne qui fait la demande (la « personne concernée »).

Cette règle est particulièrement importante dans les écoles, puisque le RGPD souligne que «les enfants méritent une protection spécifique en ce qui concerne leurs données personnelles.»

Alors, que devriez-vous faire si un parent ou un élève demande une vidéo mettant en vedette d'autres enfants ou d'autres identifiants en général ? Par exemple, des images d’un couloir d’école montrant les visages d’autres étudiants ou une vidéo d’un parking universitaire révélant les plaques d’immatriculation d’autres personnes.

Comment les écoles peuvent répondre à une demande de séquence vidéo RGPD

Pour éviter d'enfreindre le RGPD lorsqu'ils répondent aux demandes de séquences vidéo, les responsables du traitement peuvent utiliser un logiciel d’anonymisation pour brouiller les images d’autres personnes.

Cette approche est approuvée dans certains directives officielles du Comité européen de la protection des données (EDPB), qui représente tous les régulateurs de protection des données de l'EEE. 

L’EDPB affirme que pour éviter de violer les droits des personnes, un contrôleur doit généralement ne pas fournir de séquences vidéo incluant d’autres personnes concernées en réponse à un DSAR. 

Cependant, l’EDPB affirme que ce n’est pas « une excuse » pour rejeter une demande valable. Le responsable du traitement devrait plutôt utiliser des « mesures techniques » pour supprimer les données personnelles d'autres personnes de la vidéo. 

Voici une citation des lignes directrices de l’EDPB sur l’enregistrement vidéo :

« … le contrôleur ne devrait pas, dans certains cas, distribuer des séquences vidéo où d'autres personnes concernées peuvent être identifiées. La protection des droits des tiers ne doit cependant pas être utilisé comme excuse pour empêcher les demandes légitimes d'accès de la part de particuliers, le responsable du traitement devrait dans ces cas mettre en œuvre des mesures techniques pour répondre à la demande d’accès (par exemple, retouche d’image telle que masquage ou brouillage)… »

Les mesures techniques visant à protéger les droits d’autrui peuvent inclure flouter la séquence vidéo en utilisant un logiciel d'anonymisation. 

L’EDPB fait référence à cette méthode de flou dans un exemple hypothétique de DSAR impliquant des images de vidéosurveillance :

« Si d’autres personnes concernées peuvent être identifiées… le matériel doit être anonymisé (par exemple en floutant la copie ou des parties de celle-ci) avant de remettre la copie à la personne concernée qui a déposé la demande.

L'EDPB déclare que brouiller les identifiants dans une vidéo efface efficacement les données personnelles:

Pour la vidéosurveillance, il convient de noter qu'en rendant par exemple l'image floue sans effet rétroactif

possibilité de récupérer les données personnelles contenues précédemment dans l'image, les données personnelles sont

considérée comme effacée conformément au RGPD.

Le RGPD ne couvre pas les données anonymes, donc une fois que les visages d'autres personnes (et d'autres identifiants, tels que les plaques d'immatriculation) sont floutés dans une vidéo, c'est sûr de partager (du moins en ce qui concerne la législation sur la protection des données).

Les écoles peuvent répondre aux recommandations de l’EDPB en utilisant logiciel de montage vidéo pour flouter les visages avant de donner accès à la vidéo dans le cadre d’un DSAR.

Écoles et accès aux séquences vidéo dans le cadre du RGPD britannique

La version britannique du RGPD, le RGPD Royaume-Uni, est sensiblement la même que la version originale de l’UE. La loi sur la protection des données de 2018 (DPA 2018) complète le RGPD britannique et en relie une partie à d'autres lois britanniques.

La loi britannique prévoit deux voies permettant aux parents d'accéder aux données personnelles de leurs enfants :

• Un DSAR en vertu du RGPD britannique
• Une demande d’accès au dossier scolaire d’un élève en vertu de la réglementation en matière d’éducation

Le RGPD britannique est certainement le processus le plus pertinent pour demander des images de surveillance vidéo enregistrées par une école.

Le Bureau du commissaire à l’information (ICO) conseils sur la vidéosurveillance et la vidéosurveillance explique comment les contrôleurs doivent gérer les DSAR lorsque des séquences vidéo représentent d'autres personnes. 

L'ICO affirme que les organisations devraient pouvoir expurger les séquences vidéo, y compris en le « floutant (ou) masquant », Où il faut.

Vous devez vous assurer que vos systèmes ont la capacité de caviarder les images si des tiers doivent être floues ou masquées… Les techniques disponibles incluent le flou, le masquage ou l'utilisation d'un remplissage solide pour masquer complètement des parties de la séquence.

En tant que telles, les règles sont effectivement les mêmes au Royaume-Uni que dans les pays de l’EEE. Le RGPD britannique prévoit le même processus DSAR et impose les mêmes obligations aux écoles et autres responsables du traitement pour protéger données personnelles concernant des tiers en réponse à un DSAR.

États-Unis : Family Educational Rights and Privacy Act (FERPA)

Le Loi sur les droits éducatifs de la famille et la vie privée (FERPA) est une loi fédérale américaine qui permet aux parents et aux étudiants éligibles de accéder aux dossiers scolaires (entre autres dispositions).

Voici comment les règles d’accès aux dossiers scolaires en vertu de la FERPA se rapportent à caméras de vidéosurveillance dans les écoles, universités et autres établissements d'enseignement à travers les États-Unis.

Un enregistrement de caméra de sécurité peut-il être un « dossier éducatif » en vertu de la FERPA ?

En vertu de la FERPA, toute information qui est « directement lié à un étudiant » et conservé par un établissement d’enseignement (ou un tiers agissant en son nom) compte comme un « dossier scolaire ». 

Les dossiers éducatifs peuvent inclure des vidéos de caméras de sécurité, ce qui signifie que les parents ont souvent le droit d'exiger des enregistrements de leurs enfants.

Le fait qu’une vidéo soit « directement liée à un élève » – et donc à un dossier scolaire – dépend du contexte. Le ministère américain de l'Éducation dit les vidéos sont probablement des dossiers éducatifs de la FERPA s'ils, par exemple :

• Se concentrer sur un élève en particulier
• Montrez un étudiant enfreignant la loi
• Montrer un élève attaqué, victime ou ayant un problème de santé
• Contenir autrement des informations personnellement identifiables (PII) contenues dans un dossier scolaire

UN vidéo utilisée à des fins disciplinaires fera généralement partie d'un dossier scolaire et pourrait être le dossier scolaire de l'auteur et de la victime de l'incident, selon la personne présentée dans la vidéo.

Les écoles ne sont généralement pas tenues de distribuer des copies des vidéos aux parents, mais les parents ont le droit d'inspecter ou de revoir les vidéos qui font partie du dossier scolaire de leur enfant. Une école peut partager en toute sécurité une copie de la vidéo ou inviter les parents à visionner la vidéo en personne.

Enregistrements vidéo mettant en vedette plusieurs étudiants sous FERPA

Si un enregistrement vidéo présente plusieurs étudiants, il peut s’agir des dossiers scolaires de plusieurs élèves. Les districts scolaires et autres entités couvertes par la FERPA devraient éviter de divulguer le dossier scolaire d’un élève à un autre élève ou aux parents d’un autre élève.

Selon le ministère de l'Éducation, la FERPA signifie qu'un établissement d'enseignement doit expurger la vidéo s'il peut raisonnablement le faire:

« Si l’agence ou l’établissement d’enseignement peut raisonnablement expurger ou séparer les parties de la vidéo directement liées aux autres étudiants, sans détruire la signification du document, l'agence ou l'établissement d'enseignement serait alors tenu de le faire avant de donner accès au parent ou à l’élève admissible.»

Donc, s’il est « raisonnable » de caviarder une vidéo pour protéger les droits des autres élèves en vertu de la FERPA, une école doit le faire avant de montrer la vidéo aux parents. Si l’établissement d’enseignement ne peut raisonnablement caviarder la vidéo sans la détruire, les parents ont toujours le droit de visionner la vidéo non caviardée.

Est-ce que « caviarder ou séparer » une vidéo est « raisonnable » en vertu de la FERPA ?

Dans le passé, les processus manuels de rédaction vidéo étaient longs et coûteux, et la rédaction d’images de vidéosurveillance n’aurait peut-être pas été jugée « raisonnable » en vertu de la FERPA. 

Cela a été évoqué dans une correspondance de 2017 entre le ministère de l'Éducation et un École de Pennsylvanie à propos d'une demande de visionnage d'une vidéo impliquant plusieurs étudiants. L’école a fait valoir qu’elle ne disposait pas des ressources nécessaires pour flouter les visages des autres élèves dans une vidéo demandée par les parents.

Cependant, les logiciels d’anonymisation ont considérablement progressé depuis cette correspondance de 2017. Les écoles peuvent accéder à des applications permettant de flouter automatiquement les visages dans les vidéos de manière beaucoup plus efficace et à un coût bien inférieur. 

Maintenant que les écoles ont accès à un moyen simple de flouter les visages dans les vidéos, expurger des vidéos en brouillant les visages des autres élèves est de plus en plus susceptible d'être considéré comme une erreur. « raisonnable » et donc requis en vertu de la FERPA.

United States: State Laws

États-Unis : lois des États

En tant que loi fédérale, la FERPA s'applique aux districts scolaires et aux établissements d'enseignement à travers les États-Unis. Les États ne peuvent pas limiter les droits des parents ou des étudiants accordés par la FERPA.

Toutefois, certains États ont adopté des lois exiger des caméras vidéo dans les salles de classe fournissant des services d’éducation spécialisée. Ces lois visent à lutter contre les éventuels abus envers les enfants ayant des besoins éducatifs spéciaux.

De telles lois ont été promulguées dans les États suivants :

• Alabama: SB 56, qui passé en 2023
• Floride, comté de Broward: Un programme pilote à cet effet court de juillet 2021 à juin 2024
• Virginie occidentale: Article 18-20-11 du Code de Virginie-Occidentale, promulgué en 2019.

En vertu de chacune de ces lois, les districts scolaires doit donner accès aux enregistrements vidéo aux employés, aux parents et aux autres parties impliquées dans les enquêtes sur les allégations d'abus et d'autres comportements inappropriés.

Fondamentalement, chacune de ces lois exige que les districts scolaires prennent « les précautions nécessaires pour dissimuler l’identité de tout élève qui apparaît dans un enregistrement vidéo ou audio et qui n’est pas personnellement impliqué », y compris «brouiller le visage de tout étudiant non impliqué.»

Ces lois prévoient une règle similaire à celle de la FERPA, mais sont plus explicites : lorsqu'ils répondent aux demandes d'images de caméras de surveillance en vertu de ces nouvelles lois, les écoles doivent dissimuler l’identité de tous les élèves non impliqués, notamment en floutant leurs visages.

Comment les écoles doivent répondre aux demandes d’accès aux images des caméras de vidéosurveillance et de surveillance

Bien que le RGPD et la FERPA soient des lois très différentes, ils fournissent des principes généraux similaires aux établissements d'enseignement lorsqu'ils fournissent des enregistrements à partir de caméras de surveillance :

• Les écoles et autres établissements d'enseignement doivent généralement respecter les demandes des parents d'accéder aux images de vidéosurveillance relatives à leurs enfants. Les étudiants peuvent également être éligibles pour faire une telle demande.
• Les écoles doivent tenir compte de toutes les lois pertinentes lorsqu’elles répondent à une demande. Cela inclut les réglementations éducatives ainsi que les lois sur la protection des données ou la vie privée.
• Les séquences vidéo fournies à un parent ou à un élève ne doivent généralement pas montrer d’autres élèves identifiables.
• Dans la mesure du possible, les écoles et autres établissements d'enseignement doivent utiliser un logiciel d'anonymisation pour flouter les visages des personnes qui ne font pas l'objet de la demande.

L’installation de caméras de sécurité dans une école nécessite une réflexion extrêmement minutieuse. Nous avons examiné comment gérer les demandes d'accès aux images de la caméra, mais rappelez-vous que la loi sur la protection des données et la vie privée s'applique à l'ensemble du processus. 

Si des personnes demandent à accéder à des enregistrements les représentant, les écoles doivent pouvoir garantir que les clips vidéo ne portent pas atteinte à la vie privée d’autrui. Maintenant qu'il y a un moyen simple de flouter les visages dans les vidéos, il n’y a aucune raison de négliger cette étape cruciale.