Conformité au RGPD des systèmes de vidéosurveillance. Qui peut légalement accéder et partager les images de surveillance

La prolifération des systèmes de vidéosurveillance dans les espaces publics, les lieux de travail et les propriétés privées a créé des défis juridiques complexes concernant l'accès aux enregistrements de surveillance. Avec environ 5,2 millions de caméras de vidéosurveillance au Royaume-Uni seulement, la question de savoir qui peut visionner et partager ces images est devenue une préoccupation majeure dans le cadre du RGPD et de la législation sur la protection des données.

Comme la vidéosurveillance capture des données personnelles sous forme d'images identifiables, les organisations qui exploitent ces systèmes doivent respecter des exigences légales strictes pour éviter des amendes considérables pouvant atteindre 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial. Cet article offre une vue d'ensemble complète des réglementations régissant l'accès et le partage des images de vidéosurveillance, vous permettant de comprendre vos droits et responsabilités, que vous soyez une organisation gérant des caméras ou une personne filmée.

Quelles sont les exigences de base du RGPD pour l'utilisation de la vidéosurveillance ?

Selon le Règlement Général sur la Protection des Données, les images de vidéosurveillance contenant des personnes identifiables constituent des données personnelles et doivent être traitées conformément à la législation sur la protection des données. Les organisations qui installent et exploitent des systèmes de vidéosurveillance doivent établir une base légale pour le traitement de ces données, comme les intérêts légitimes, l'obligation légale ou l'intérêt public.

La CNIL (Commission Nationale de l'Informatique et des Libertés) exige que les organisations utilisant la vidéosurveillance soient transparentes concernant leurs pratiques de surveillance. Cela inclut une signalisation claire indiquant que ""Ce site est sous vidéosurveillance"", l'objectif de la surveillance et les coordonnées du responsable du traitement. De plus, les organisations doivent déclarer leur traitement de données personnelles via la vidéosurveillance.

Les organisations doivent également mettre en œuvre des mesures de sécurité appropriées pour protéger les enregistrements, tenir des registres des activités de traitement et s'assurer qu'elles ne conservent pas les enregistrements plus longtemps que nécessaire pour l'objectif déclaré.

Qui est légalement autorisé à visionner les images de vidéosurveillance ?

L'accès aux images de vidéosurveillance doit être strictement limité au personnel autorisé au sein d'une organisation. Généralement, seuls les opérateurs de vidéosurveillance désignés, le personnel de sécurité et les cadres supérieurs ayant une raison légitime de visionner les enregistrements devraient y avoir accès. Tout membre du personnel autorisé à visionner ces images doit recevoir une formation appropriée sur la protection des données.

Les forces de l'ordre peuvent demander l'accès aux images à des fins de prévention et d'enquête criminelle. Cependant, les organisations doivent vérifier la légitimité de ces demandes et documenter le processus de divulgation.

Les personnes concernées (individus filmés) ont le droit d'accéder aux enregistrements les concernant par le biais d'une demande d'accès, bien que ce droit doive être équilibré avec les droits des autres personnes identifiables qui pourraient apparaître sur les mêmes images.

Mon employeur peut-il visionner les images de vidéosurveillance au travail sans me prévenir ?

Les employeurs doivent être transparents concernant la vidéosurveillance sur le lieu de travail. L'utilisation de la surveillance secrète est rarement justifiée et ne devrait être envisagée que dans des circonstances exceptionnelles, comme lors d'une enquête en cours sur une activité criminelle ou une faute grave, et même dans ce cas, pour une durée limitée.

Les employeurs doivent clairement communiquer leur politique de vidéosurveillance à tous les employés, y compris l'emplacement des caméras, les objectifs de la surveillance, les périodes de conservation et qui peut accéder aux images. Ces informations devraient figurer dans les contrats de travail, les manuels du personnel ou les politiques spécifiques de vidéosurveillance.

Bien que les employeurs aient des intérêts légitimes à protéger les biens, assurer la sécurité du lieu de travail et surveiller la productivité, ces intérêts doivent être équilibrés avec le droit à la vie privée des employés. Une surveillance continue du personnel effectuant ses tâches serait généralement considérée comme disproportionnée et potentiellement illégale selon les réglementations sur la protection des données.

Quelle est la procédure appropriée pour traiter une demande d'accès aux images de vidéosurveillance ?

Lorsqu'une organisation reçoit une demande d'accès pour des images de vidéosurveillance, elle dispose généralement d'un mois pour répondre selon le RGPD. Le demandeur doit fournir suffisamment d'informations pour aider à localiser les images pertinentes, comme la date, l'heure et le lieu.

Avant de partager les images, les organisations doivent tenir compte des droits des tiers qui pourraient apparaître dans les enregistrements. Cela peut nécessiter des techniques comme le floutage ou la pixellisation des visages d'autres personnes pour protéger leur vie privée, sauf si elles ont consenti à la divulgation.

Les organisations peuvent facturer des frais raisonnables pour les coûts administratifs si la demande est manifestement infondée, excessive ou répétitive. Elles doivent également vérifier l'identité du demandeur pour s'assurer qu'elles fournissent des données personnelles à la bonne personne.

Puis-je partager des images de vidéosurveillance avec mon voisin si elles montrent sa propriété ?

Le partage d'images de vidéosurveillance avec un voisin nécessite une considération attentive des principes de protection des données. Si votre caméra capture des images de la propriété d'un voisin ou du voisin lui-même, cela constitue un traitement de ses données personnelles.

Vous pouvez partager des images si vous avez une base légale, comme le consentement du voisin ou un intérêt légitime qui l'emporte sur ses droits à la vie privée (par exemple, partager des preuves de dommages criminels à sa propriété). Cependant, vous devez limiter la divulgation à ce qui est nécessaire et pertinent.

Quand les forces de l'ordre peuvent-elles accéder aux images de vidéosurveillance commerciale ?

Les forces de l'ordre peuvent demander l'accès aux images de vidéosurveillance commerciale pour la prévention, l'enquête, la détection ou la poursuite d'infractions pénales. Les organisations ont généralement une base légale pour partager des images avec la police en vertu des dispositions d'""intérêt public"" ou d'""obligation légale"" du RGPD.

Cependant, les organisations doivent vérifier la légitimité des demandes de la police, idéalement en obtenant une documentation écrite détaillant les images spécifiques demandées et l'objectif. Il est conseillé de documenter toutes les divulgations, y compris qui a demandé les images, quand elles ont été partagées et la base légale du partage.

Pour les demandes non urgentes, les forces de l'ordre peuvent utiliser des voies officielles comme une ordonnance du tribunal ou une demande écrite formelle. Dans les situations d'urgence où il existe un risque immédiat de préjudice, des demandes verbales peuvent être acceptées, bien qu'elles devraient être suivies d'une documentation formelle.

Est-il légal de partager des images de vidéosurveillance sur les réseaux sociaux ?

La publication d'images de vidéosurveillance sur les plateformes de réseaux sociaux n'est généralement pas conforme aux réglementations sur la protection des données, sauf si vous disposez d'une base légale solide. Partager des images qui identifient des individus sans leur consentement pourrait entraîner des amendes substantielles des autorités de régulation comme la CNIL.

Il existe des exceptions limitées où l'intérêt public pourrait l'emporter sur les droits à la vie privée, comme le partage d'images pour aider à identifier les auteurs de crimes graves, mais cela devrait idéalement se faire par les canaux appropriés comme les forces de l'ordre plutôt que les réseaux sociaux.

Si vous vous sentez obligé de partager des images publiquement, vous devriez envisager de les anonymiser en floutant les visages et autres caractéristiques identifiables. N'oubliez pas que la publication d'images identifiables sans base légale pourrait non seulement violer la loi sur la protection des données, mais aussi potentiellement constituer du harcèlement ou de la diffamation.

Quelles sont les amendes potentielles pour le partage inapproprié d'images de vidéosurveillance ?

Les organisations qui ne respectent pas le RGPD lors du traitement d'images de vidéosurveillance s'exposent à des sanctions importantes. Les violations graves peuvent entraîner des amendes allant jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial, selon le montant le plus élevé. La CNIL détermine les sanctions en fonction de facteurs incluant la nature et la gravité de l'infraction, les violations antérieures et le niveau de coopération.

Au-delà des sanctions financières, les organisations peuvent subir des dommages réputationnels dus aux avis d'application publics. Les individus dont les droits à la vie privée ont été violés peuvent également poursuivre des demandes d'indemnisation par le biais de litiges civils.

Il convient de noter que les alternatives mentionnées ci-dessus ne s’appliquent que dans les situations où l’enregistrement ne contient pas l’image de la personne qui en demande l’accès. Si cette personne apparaît sur l’enregistrement, il n’est pas possible de lui refuser une copie de celui-ci. Cette obligation est imposée par l’article 15 du RGPD. En cas de non-respect de cette obligation, l’autorité nationale de protection des données peut infliger une amende importante au responsable du traitement. Les cas où de telles amendes ont été imposées sont décrits dans cet article.

Dans les cas où les images de vidéosurveillance sont partagées avec malveillance ou dans l'intention de causer de la détresse, des accusations criminelles pourraient s'appliquer en vertu d'autres législations comme les lois sur le harcèlement, pouvant entraîner des sanctions pénales.

Comment les organisations peuvent-elles s'assurer que les systèmes de vidéosurveillance fonctionnent légalement ?

Les organisations devraient effectuer une Analyse d'Impact relative à la Protection des Données (AIPD) avant d'installer des systèmes de vidéosurveillance, en particulier dans les zones sensibles. Cette évaluation aide à identifier et minimiser les risques pour la vie privée tout en documentant la base légale de la surveillance.

La mise en œuvre d'une politique claire de vidéosurveillance est essentielle, couvrant des aspects tels que les objectifs de la surveillance, les zones surveillées, les périodes de conservation, les mesures de sécurité, les contrôles d'accès et les procédures pour traiter les demandes d'accès et les divulgations.

Une formation régulière du personnel garantit que ceux qui sont responsables de la gestion des systèmes de vidéosurveillance comprennent leurs obligations en matière de protection des données. De plus, des examens périodiques des systèmes existants aident à vérifier qu'ils restent nécessaires, proportionnés et conformes aux réglementations actuelles.

Quelles sont les meilleures pratiques pour utiliser la vidéosurveillance de manière responsable ?

Les organisations devraient suivre le principe de minimisation des données en capturant uniquement ce qui est nécessaire pour atteindre leurs objectifs légitimes. Cela inclut le positionnement des caméras pour éviter une couverture excessive et l'examen de la possibilité d'utiliser des mesures alternatives, moins intrusives pour la vie privée, qui pourraient atteindre les mêmes objectifs.

La mise en œuvre de mesures de sécurité techniques et organisationnelles appropriées protège les enregistrements contre l'accès non autorisé, la perte accidentelle ou la destruction. Cela peut inclure le chiffrement, la journalisation des accès, le stockage sécurisé et des audits de sécurité réguliers.

L'établissement de calendriers de conservation clairs garantit que les images ne sont conservées que le temps nécessaire à leur objectif spécifié. Les systèmes de suppression automatique peuvent aider à appliquer ces politiques de manière cohérente.

Si vous recherchez des solutions complètes pour gérer les images de vidéosurveillance conformément au RGPD, découvrez Gallio Pro pour une gestion vidéo sécurisée, une édition automatique et des capacités de partage conformes.

FAQ

Combien de temps les organisations peuvent-elles légalement conserver les images de vidéosurveillance ?

Il n'y a pas de période de conservation prescrite dans le RGPD, mais les organisations ne devraient conserver les images que le temps nécessaire à leur objectif déclaré. Les périodes de conservation typiques varient de 14 à 31 jours pour la surveillance générale. Les organisations doivent documenter leur politique de conservation et justifier la durée en fonction de leurs besoins spécifiques et de leur évaluation des risques.

Puis-je demander des images de vidéosurveillance me concernant à n'importe quelle organisation ?

Oui, en vertu du droit d'accès du RGPD, vous pouvez soumettre une demande d'accès à toute organisation qui pourrait vous avoir capturé sur sa vidéosurveillance. Vous devriez fournir des détails précis sur quand et où vous avez été enregistré pour aider à localiser les images. L'organisation doit répondre dans un délai d'un mois, bien qu'elle puisse avoir besoin de flouter les images d'autres personnes.

Dois-je déclarer mon système de vidéosurveillance domestique à la CNIL ?

Si votre système de vidéosurveillance domestique ne capture que votre propriété privée, vous bénéficiez probablement de l'exemption domestique et n'avez pas besoin de le déclarer à la CNIL. Cependant, si vos caméras capturent des zones au-delà de votre limite, comme des chemins publics ou des propriétés voisines, vous traitez des données personnelles et devriez vous déclarer comme responsable du traitement auprès de la CNIL.

Les employeurs peuvent-ils utiliser des images de vidéosurveillance comme preuves dans des procédures disciplinaires ?

Oui, les employeurs peuvent utiliser des images de vidéosurveillance dans des procédures disciplinaires si la surveillance a été menée légalement (avec notification appropriée aux employés) et si l'utilisation est proportionnée au problème abordé. Les employés doivent être informés que les images peuvent être utilisées à cette fin dans la politique de vidéosurveillance de l'organisation.

Le consentement est-il toujours requis pour partager des images de vidéosurveillance ?

Non, le consentement n'est qu'une des bases légales pour partager des images de vidéosurveillance. Les organisations peuvent également s'appuyer sur des intérêts légitimes, une obligation légale ou l'intérêt public, selon les circonstances. Cependant, elles doivent toujours se conformer aux principes de protection des données tels que la transparence, la limitation des finalités et la minimisation des données.

Que dois-je faire si je découvre un partage non autorisé d'images de vidéosurveillance me concernant ?

Si vous découvrez que votre image provenant d'une vidéosurveillance a été partagée sans autorisation appropriée, vous devriez d'abord contacter l'organisation responsable des images pour déposer une plainte. Si vous ne recevez pas de réponse satisfaisante, vous pouvez déposer une plainte auprès de votre autorité nationale de protection des données (comme la CNIL en France). Dans les cas graves, vous pourriez également envisager de consulter un avocat concernant d'éventuelles demandes d'indemnisation.