Comment préparer la documentation d’anonymisation des enregistrements pour un auditeur RGPD : modèle de rapport et de registre

TL;DR : Pour un auditeur RGPD, le fichier anonymisé ne suffit pas : ce qui compte, c’est la documentation permettant d’établir qui a pris la décision, quel était l’objectif de la publication, ce qui a été flouté, ce qui ne l’a pas été, et sur quelle base. Deux documents sont nécessaires : un rapport d’anonymisation pour chaque contenu et un registre d’anonymisation centralisé, tous deux tenus par le responsable du traitement. Une solution comme Gallio PRO réalise l’anonymisation - automatiquement pour les visages et les plaques d’immatriculation, puis manuellement dans l’éditeur pour les autres éléments - mais ne remplace pas un registre de conformité. Vous trouverez ci-dessous des modèles prêts à copier pour documenter votre processus.

L’anonymisation des données visuelles consiste à réduire durablement l’identifiabilité des personnes et des véhicules sur les photos et les vidéos avant leur publication - en pratique, le plus souvent par floutage des visages et floutage des plaques d’immatriculation. Pour un auditeur, l’utilisation d’un outil ne suffit pas. La documentation est souvent le maillon faible : une organisation peut avoir préparé correctement ses contenus, mais sans registre ni rapport, elle ne pourra pas démontrer le respect du principe de responsabilité prévu à l’article 5, paragraphe 2, du RGPD [1]. Cet article porte exclusivement sur les éléments de preuve attendus par un auditeur et sur un modèle de registre d’anonymisation.

Que vérifie un auditeur RGPD lors de la publication de photos et de vidéos ?

Un auditeur ne commence généralement pas par demander quelles sont les fonctionnalités du logiciel. Il cherche d’abord à savoir si le responsable du traitement peut démontrer que la décision de publication respecte les principes de licéité, de minimisation des données et de responsabilité [1]. Dans le cas des contenus visuels, cela implique trois niveaux de contrôle.

Premier niveau : la base de publication. Si le contenu montre une personne identifiable, les organisations s’appuient généralement sur le consentement, l’intérêt légitime ou des exceptions relatives à la diffusion de l’image. L’obligation de flouter les visages ne découle pas automatiquement d’une disposition unique : elle résulte de l’analyse de la base du traitement et du risque d’atteinte aux droits de la personne, en tenant compte du RGPD, du Code civil et du droit d’auteur. Le droit d’auteur prévoit des exceptions à l’exigence d’autorisation pour la diffusion de l’image, notamment lorsque : (1) il s’agit d’une personne connue du public et que l’image a été prise dans le cadre de l’exercice de fonctions publiques ; (2) la personne ne constitue qu’un détail d’un ensemble, tel qu’un rassemblement, un paysage ou un événement public ; (3) la personne a reçu une rémunération convenue pour poser et n’a pas formulé de réserve contraire. Chaque exception doit être décrite dans la documentation, et non présumée automatiquement.

Deuxième niveau : le périmètre de l’anonymisation. L’auditeur vérifie si l’organisation a défini les catégories d’éléments visuels devant être masquées. Dans le cas de Gallio PRO, la détection automatique couvre uniquement les visages et les plaques d’immatriculation. L’outil ne floute pas les silhouettes entières, ne réalise pas d’anonymisation en temps réel ni d’anonymisation de flux vidéo, et ne détecte pas automatiquement les logos d’entreprise, tatouages, badges nominatifs, documents ou contenus affichés sur des écrans. Ces éléments peuvent être masqués manuellement dans l’éditeur, ce qui doit être reflété dans le rapport de traitement.

Troisième niveau : les preuves d’exécution. L’auditeur attend une trace de la décision : il faut démontrer que le contenu a été examiné, et pas seulement passé dans un outil. C’est particulièrement important pour les photos d’événements, les supports promotionnels, les vidéos tournées dans l’espace public et les enregistrements montrant des véhicules.

Pourquoi le fichier anonymisé ne suffit-il pas comme preuve ?

Dans un audit RGPD, le résultat final ne suffit pas : il faut aussi pouvoir reconstituer le processus décisionnel. Le fichier flouté montre le résultat, mais il ne répond pas aux questions suivantes : qui a approuvé la publication, quelle était la base juridique, les exceptions relatives au droit à l’image ont-elles été vérifiées, un contrôle manuel a-t-il été effectué et le risque de ré-identification a-t-il été pris en compte ?

C’est pourquoi une bonne pratique consiste à préparer deux documents : un rapport d’anonymisation pour le contenu concerné et un registre d’anonymisation permettant d’organiser toutes les opérations dans le temps. Le registre doit être tenu par le responsable du traitement. Son importance est probatoire : Gallio PRO ne remplace pas un registre de conformité et ne documente pas à lui seul la base de publication, les exceptions relatives à l’image ou les décisions du responsable du traitement. Le registre est établi du côté du responsable du traitement.

À quoi doit ressembler la documentation d’anonymisation des enregistrements pour un auditeur ?

Le modèle le plus efficace est généralement simple : un rapport par contenu et un registre centralisé. Le rapport sert à évaluer une photo, un ensemble de photos ou un fichier vidéo. Le registre permet à l’auditeur de parcourir rapidement l’ensemble des publications d’une période donnée.

Modèle de rapport d’anonymisation : champs prêts à copier

Le rapport doit rester aussi simple que possible. En pratique, il est recommandé d’utiliser les champs suivants :

• Identifiant du rapport : numéro unique relié au registre.
• Date d’évaluation du contenu : jour de l’examen avant publication.
• Personne responsable de l’évaluation : nom, prénom ou fonction.
• Description du contenu visuel : par exemple « vidéo promotionnelle d’un événement municipal, 2 min 15 s » ou « galerie de 12 photos d’une conférence ».
• Objectif de la publication : par exemple marketing, relations publiques, information du public, compte rendu d’événement.
• Lieu de publication prévu : site web, réseaux sociaux, chaîne vidéo, intranet.
• Base de publication ou exception : consentement, intérêt légitime, personne connue du public, détail d’un ensemble, rémunération convenue pour poser.
• Résultat de l’examen automatique : indication que la détection automatique a porté sur les visages et les plaques d’immatriculation.
• Résultat de l’examen manuel : indication des autres éléments floutés manuellement, par exemple un document sur un bureau ou l’image d’un écran.
• Périmètre de l’anonymisation appliquée : nombre de visages, nombre de plaques, étendue des corrections manuelles.
• Évaluation du risque de ré-identification : courte note indiquant si, après anonymisation, le contenu peut encore permettre une identification.
• Décision de publication : publication, publication après corrections, suspension de la publication.
• Date d’approbation : jour de validation finale.
• Commentaires d’audit : champ réservé aux observations du DPO ou de l’équipe conformité.

Chaque champ a une valeur probatoire. L’identifiant et la date créent une trace d’audit ; la description du contenu et l’objectif de publication fournissent le contexte ; le champ relatif à la base ou à l’exception montre que la décision n’a pas été prise au hasard. La rubrique consacrée à l’examen manuel est particulièrement importante, car la détection automatique ne couvre pas toutes les catégories d’informations visibles dans l’image.

Modèle de registre d’anonymisation : la structure réellement attendue par un auditeur

Le registre doit être centralisé, à jour et facile à filtrer. Le format le plus pratique est un tableur ou un système de registre comprenant les colonnes suivantes :

Un tel registre ne doit pas être construit uniquement à partir des journaux techniques de l’outil, mais à partir des décisions du responsable du traitement. Si l’organisation utilise un logiciel installé localement, sous forme de solution on-premise, il est plus facile de décrire le contrôle de l’environnement et de l’accès aux contenus. Dans les cas plus complexes - notamment pour les environnements d’entreprise, les configurations on-premise ou les exigences de conformité spécifiques - il est recommandé de contacter l’équipe afin de définir un modèle de travail adapté au cas de conformité concerné.

Flux de travail recommandé : du contenu à l’entrée dans le registre, étape par étape

1. Identifiez le contenu et l’objectif de publication, puis désignez la personne responsable de l’évaluation.
2. Importez le contenu dans Gallio PRO et lancez la détection automatique : Gallio PRO floute les visages et les plaques d’immatriculation, qui sont les deux seuls éléments détectés automatiquement. Gallio PRO travaille sur des fichiers, et non sur un flux en direct.
3. Effectuez un examen manuel et masquez dans l’éditeur intégré les éléments non détectés automatiquement - documents, écrans, plaques nominatives, tatouages, logos - s’ils sont visibles.
4. Complétez le rapport d’anonymisation : base ou exception, résultat de l’examen automatique et manuel, périmètre, évaluation du risque de ré-identification.
5. Ajoutez une entrée au registre, du côté du responsable du traitement, et reliez-la à l’identifiant du rapport.
6. Validez la décision de publication et publiez uniquement le fichier final approuvé. Gallio PRO ne remplace pas le registre de conformité et n’enregistre pas de journaux contenant des données personnelles.

Comment décrire les visages et les plaques d’immatriculation dans la documentation ?

Il est préférable d’éviter les formulations vagues comme « les données personnelles ont été anonymisées ». Un auditeur attend des éléments concrets. Une formulation plus précise serait : « un floutage des visages a été appliqué aux personnes susceptibles d’être reconnues, ainsi qu’un floutage des plaques d’immatriculation visibles dans le contenu ».

Pour les plaques d’immatriculation, il est utile de décrire la logique de conformité retenue. Dans la pratique européenne, leur floutage avant publication est souvent traité comme une mesure de précaution, mais l’évaluation dépend du contexte et du droit national. En Pologne, la situation reste nuancée : une partie de la jurisprudence et de la pratique considère qu’un numéro d’immatriculation peut constituer une donnée personnelle s’il permet d’identifier une personne par des moyens raisonnablement susceptibles d’être utilisés ; dans d’autres affaires, il a été indiqué qu’une plaque seule n’identifie pas toujours une personne physique. Dans la documentation, il est recommandé de noter que l’organisation adopte un modèle de publication prudent et applique donc le floutage des plaques d’immatriculation comme pratique de conformité. Il ne s’agit pas d’un conseil juridique, mais d’une approche courante visant à réduire les risques.

Comment démontrer l’exhaustivité de l’examen sans créer une bureaucratie excessive ?

La meilleure documentation est concise, mais vérifiable. Pour l’auditeur, l’essentiel est de pouvoir suivre le parcours du contenu depuis la décision jusqu’à la publication. Dans chaque rapport, trois étapes suffisent généralement : (1) identification du contenu et de l’objectif de publication ; (2) indication des éléments couverts par la reconnaissance automatique et de ceux ayant nécessité une correction manuelle ; (3) validation finale accompagnée d’une justification.

Si vous souhaitez tester ce flux de travail sur vos propres contenus, vous pouvez vérifier le processus en pratique en téléchargeant la version de démonstration. Dès la phase de test, il est utile de construire votre propre registre du côté du responsable du traitement, car l’outil ne remplit pas la fonction de registre de conformité.

Les lacunes les plus fréquentes relevées lors d’un audit

Le problème le plus fréquent n’est pas l’absence d’anonymisation, mais l’absence de description des exceptions relatives à l’image. Certaines organisations publient des photos d’événements en supposant qu’une scène large suffit toujours à écarter toute évaluation supplémentaire. C’est parfois une conclusion trop rapide : si le cadrage met en avant une personne précise, la simple présence d’une foule ne résout pas le problème. La deuxième lacune fréquente est l’omission de l’examen manuel : puisque la détection automatique ne couvre que les visages et les plaques, d’autres éléments permettant l’identification peuvent rester visibles. La troisième est l’absence d’attribution claire des responsabilités : l’auditeur doit pouvoir voir qui a évalué le contenu et qui l’a autorisé à être publié.

Comment décrire l’outil dans la documentation d’audit ?

La description de l’outil doit être précise et mesurée. Il est utile d’indiquer qu’il s’agit d’un logiciel on-premise d’anonymisation des données visuelles pour photos et vidéos, qui floute automatiquement uniquement les visages et les plaques d’immatriculation, tandis que les autres éléments peuvent être masqués manuellement dans l’éditeur. Il ne faut pas déclarer des fonctionnalités que le logiciel ne possède pas. Pour Gallio PRO, il est particulièrement important de préciser qu’il ne floute pas les silhouettes entières, ne fonctionne pas en temps réel et ne remplace pas le registre de conformité tenu par le responsable du traitement. Une telle description est plus crédible que des raccourcis marketing : les auditeurs apprécient les limites de responsabilité clairement définies. L’outil soutient l’anonymisation du contenu, mais la décision de publication et l’obligation de tenir un registre relèvent du responsable du traitement.

FAQ : documentation d’anonymisation des enregistrements pour un auditeur RGPD

Un auditeur RGPD exige-t-il un registre séparé d’anonymisation des photos et vidéos ?

Ce n’est pas toujours explicitement imposé par un texte, mais c’est une pratique de conformité fréquente et rationnelle. Le registre facilite la démonstration de la responsabilité, de l’objectif de publication, du périmètre du floutage et de la personne ayant approuvé la publication.

Faut-il établir un rapport d’anonymisation pour chaque photo individuelle ?

Cela dépend de l’échelle et du niveau de risque. En pratique, il est possible de regrouper les contenus en ensembles logiques, par exemple une galerie issue d’un même événement, à condition que la description reste claire et vérifiable.

Une simple mention indiquant que le contenu est passé par un logiciel de floutage suffit-elle ?

Non. L’auditeur attend généralement une preuve de l’examen, le périmètre de l’anonymisation, la base de publication et la décision finale. Le simple fait d’utiliser un outil ne met pas fin aux obligations du responsable du traitement.

Faut-il toujours flouter les plaques d’immatriculation avant publication ?

Il n’est pas toujours possible de présenter cette mesure comme une obligation absolue. En pratique, de nombreuses organisations adoptent une approche prudente et floutent les plaques afin de réduire les risques, surtout pour les publications accessibles au public.

Gallio PRO tient-il un registre d’anonymisation pour les besoins de l’audit ?

Non. Le registre doit être tenu par le responsable du traitement. Cela correspond au principe selon lequel l’outil ne remplace ni la documentation de conformité ni les décisions de publication prises du côté du responsable du traitement.

L’outil détecte-t-il automatiquement tous les éléments sensibles dans l’image ?

Non. La détection automatique couvre uniquement les visages et les plaques d’immatriculation. Les logos, tatouages, badges nominatifs, documents et contenus affichés sur des écrans nécessitent une évaluation et, le cas échéant, un floutage manuel.

La documentation d’anonymisation est-elle également nécessaire pour les publications marketing ?

Oui, si la publication montre des personnes susceptibles d’être reconnues ou des véhicules avec des plaques visibles. C’est précisément en marketing et en relations publiques qu’il faut souvent démontrer que la décision de publication était consciente et documentée.

Ressources associées

• Anonymisation vidéo avec Gallio PRO
• Télécharger la version de démonstration gratuite
• Comment rédiger une procédure de gestion des enregistrements CCTV dans une organisation : modèle de document pour le DPO
• Checklist DPO : que vérifier avant de déployer un système de vidéosurveillance dans une organisation

Texte préparé par l’équipe Gallio PRO : spécialistes de la protection des données et de l’ingénierie vidéo, créateurs d’un logiciel d’anonymisation utilisé dans la sécurité, le secteur public et les médias. Ce contenu est fourni à titre informatif et ne constitue pas un conseil juridique.

Construisez votre documentation d’audit dès le premier contenu : téléchargez la version de démonstration gratuite de Gallio PRO →