Demandes d'accès aux données (DSAR) dans le commerce de détail et les centres commerciaux

Łukasz Bonczol
Publié: 09/11/2025

Les demandes d'accès aux données (DSAR) sont devenues l'un des aspects les plus exigeants de la conformité au RGPD pour les détaillants et les exploitants de centres commerciaux. Ces environnements traitent de grandes quantités de données personnelles, incluant des enregistrements vidéo (CCTV), des analyses Wi-Fi, des bases de marketing, des programmes de fidélité, des systèmes ANPR/LPR, des systèmes de contrôle d’accès et des journaux du service client. Le droit d’accès du RGPD impose aux organisations de fournir aux individus l’accès à leurs données dans des délais stricts [1].

Une vendeuse dans un magasin range les produits sur les étagères, on voit quelques files d'attente, photo en noir et blanc

Qu’est-ce qu’une demande DSAR dans le commerce ?

Avant d’aborder les procédures opérationnelles, il est essentiel de définir ce qu’est une DSAR dans un magasin ou un centre commercial. Une DSAR est toute demande d’une personne identifiable visant à obtenir les données personnelles que l’organisation détient à son sujet.

Canaux de soumission des DSAR

Dans le commerce, les DSAR arrivent généralement par e-mail, formulaires web, réseaux sociaux, tickets d’assistance ou demandes en personne. Les détaillants disposant de programmes de fidélité reçoivent également des demandes par portails clients ou applications mobiles.

Types de données personnelles généralement demandées

Outre les informations de compte et l’historique des achats, les DSAR portent fréquemment sur des données visuelles. Les individus peuvent demander des images CCTV les montrant dans les magasins, les zones communes ou les parkings. Elles peuvent aussi concerner les analyses Wi-Fi, les données ANPR/LPR, les enregistrements d’appels ou les analyses comportementales.

Vue d'ensemble d'un centre commercial à plusieurs niveaux avec des escalators qui se croisent, des sphères suspendues en miroir et des clients sur plusieurs étages.

Obligations et délais de réponse

Les détaillants et gestionnaires de centres commerciaux doivent respecter les exigences du RGPD en matière de transparence, de rapidité et de divulgation sécurisée.

Délais de réponse

Selon les articles 12 et 15 du RGPD [1], les organisations doivent répondre dans un délai d’un mois. Pour les cas complexes, notamment l’extraction et le floutage vidéo, ce délai peut être prolongé de deux mois supplémentaires.

Exigences de vérification d’identité

L’organisation doit vérifier l’identité du demandeur avant de divulguer des données. L’ICO souligne que cela constitue une protection nécessaire contre la divulgation non autorisée [2].

Fournir les données dans un format accessible

Les données doivent être fournies dans un format couramment utilisé, notamment MP4 pour les vidéos. Les enregistrements doivent être floutés pour protéger l’identité des tiers [2].

Intérieur en noir et blanc d'un atrium de centre commercial à plusieurs niveaux avec des escalators diagonaux, des jardinières circulaires surélevées avec des arbres et des personnes en dessous.

Pourquoi les DSAR sont particulièrement complexes dans les centres commerciaux

Les centres commerciaux regroupent de multiples entités, systèmes partagés et responsabilités croisées, rendant la gestion des DSAR plus difficile.

Responsabilité conjointe entre exploitants et enseignes

Les centres commerciaux agissent souvent comme responsables conjoints avec les enseignes. Le CEPD précise que la responsabilité conjointe nécessite une répartition claire des obligations en matière de DSAR [3].

CCTV dans les espaces communs et présence de tiers

Les enregistrements des zones communes montrent en général de nombreuses personnes. Le RGPD interdit la divulgation de données identifiables concernant des tiers, ce qui rend l’anonymisation obligatoire [2].

Volume important de données de vidéosurveillance

Le trafic élevé génère de grandes quantités de données provenant de centaines de caméras. La FRA souligne la complexité et les risques pour la vie privée associés à ces environnements [4].

Allée large de supermarché en noir et blanc avec des étagères garnies de chaque côté, des lumières au plafond et des clients visibles au loin.

Gestion des DSAR impliquant la vidéosurveillance

Les demandes d'accès impliquant la vidéosurveillance sont particulièrement exigeantes. L'organisation doit concilier le droit d'accès avec la protection des tiers visibles dans les images.

Localisation des séquences pertinentes

Le personnel doit déterminer quelles caméras ont pu enregistrer la personne. Cela nécessite l’analyse des horaires, des plans de caméras et des périodes de conservation.

Besoins en floutage pour protéger les tiers

Les séquences ne peuvent être divulguées si des tiers y sont identifiables. Le floutage est donc obligatoire. Des outils automatisés comme Gallio PRO permettent d’anonymiser efficacement les visages, plaques d’immatriculation et éléments sensibles pour respecter les exigences du RGPD.

Politiques de conservation et impact sur les DSAR

De nombreux détaillants conservent la vidéosurveillance pendant 30 à 60 jours. Si la demande arrive après cette période, les données peuvent ne plus être disponibles [1].

Image

Bonnes pratiques pour gérer les DSAR dans le commerce

Une approche structurée facilite la conformité au RGPD et réduit la charge opérationnelle.

Unifier le processus de réception des DSAR

Centraliser les demandes évite les retards. Une boîte mail ou un système unique permet de garantir la traçabilité.

Mettre en place une politique formelle de vérification d’identité

Pour éviter les divulgations non autorisées, une procédure claire est essentielle. L’ICO recommande des vérifications proportionnées selon le type de données demandées [2].

Utiliser des outils automatisés d’anonymisation

Le floutage manuel est lent et sujet à l’erreur. L’automatisation via Gallio PRO améliore la précision et réduit le temps nécessaire à la gestion des DSAR incluant des vidéos.

Définir une gouvernance claire entre exploitants et enseignes

En cas de responsabilité conjointe, des accords formalisés doivent définir les rôles et responsabilités. Le CEPD recommande la mise en place d’accords de partage [3].

Documenter les DSAR et conserver les journaux

La documentation est essentielle pour prouver la conformité. Les journaux doivent inclure la date de la demande, les étapes de vérification, les sources de données et les floutages effectués.

Vue en plongée en noir et blanc d'une gare animée avec des navetteurs flous sur les escalators et des foules se déplaçant dans le hall.

FAQ - DSAR dans le commerce de détail et les centres commerciaux

Les clients peuvent-ils demander des enregistrements CCTV d’eux-mêmes ?

Oui, à condition que leur identité soit vérifiée et que les tiers soient floutés.

Un détaillant peut-il refuser une vidéo si d’autres personnes y apparaissent ?

Non. Il doit anonymiser les tiers au lieu de refuser l’accès.

Peut-on facturer des frais pour le traitement d’une DSAR ?

Uniquement si la demande est excessive, répétitive ou manifestement infondée. Les DSAR standard sont gratuites.

Les DSAR s’appliquent-elles aux données ANPR/LPR ?

Oui. Les plaques d’immatriculation associées à une personne identifiable sont des données personnelles.

Combien de temps conserver les exports vidéo préparés pour une DSAR ?

Uniquement le temps nécessaire pour traiter la demande et documenter la conformité.

Point d'interrogation réfléchissant et vitreux flottant sur un fond gris lisse, projetant une ombre douce.

Liste de références

  1. [1] RGPD - Règlement (UE) 2016/679, Article 15. https://eur-lex.europa.eu/eli/reg/2016/679/oj
  2. [2] UK ICO - Guide vidéosurveillance et données visuelles. https://ico.org.uk/for-organisations/
  3. [3] CEPD - Lignes directrices sur les droits des personnes concernées. https://edpb.europa.eu
  4. [4] FRA - Études sur la surveillance et la protection des données. https://fra.europa.eu/en
  5. [5] National Retail Federation (NRF) - Études sur la sécurité et la confidentialité. https://nrf.com/research