TL;DR : Au Royaume-Uni, on échoue rarement sur le panneau, mais sur la demande d'images. Selon le UK GDPR, le délai est d'un mois, les autres personnes à l'image doivent être protégées et l'enregistrement ne doit pas se perdre. L'ICO a rappelé à l'ordre la police de Manchester après la perte de deux heures d'images demandées. Pour DPO, conformité et IT. Gallio PRO floute automatiquement visages et plaques d'immatriculation. Testez votre installation avec le test de conformité vidéosurveillance : neuf questions, votre résultat directement sur la page, sans adresse e-mail.
À qui s'adresse ce guide
Cet article décrit la situation au Royaume-Uni. Il s'adresse aux entreprises françaises et européennes qui y exploitent des magasins, des entrepôts, des bureaux ou d'autres sites, ainsi qu'à leurs équipes chargées de la protection des données.
Depuis le Brexit, le Royaume-Uni applique sa propre version du RGPD (UK GDPR) et la loi sur la protection des données de 2018 (Data Protection Act 2018, DPA 2018). L'autorité de contrôle est l'Information Commissioner's Office (ICO). Les termes anglais figurent entre parenthèses pour que vous puissiez les retrouver dans les documents locaux et auprès de vos conseils.
La plupart des organisations installent un panneau, fixent une durée de conservation et passent à autre chose.
Le point faible apparaît plus tard, quand un client, un salarié ou une personne placée en garde à vue demande une copie des images. Trois choses doivent alors fonctionner en même temps :
- Retrouver et préserver la bonne séquence avant qu'elle ne soit écrasée
- Protéger toutes les autres personnes qui y apparaissent
- Répondre dans le délai légal
Le cadre juridique général, y compris la base légale et le montant des amendes, est présenté dans notre article sur les règles et réglementations relatives à la vidéosurveillance au Royaume-Uni . Cet article se concentre sur ce qui se passe après une demande d'images.
Les règles de transparence du UK GDPR (article 13) imposent d'informer les personnes au moment de la collecte. Pour les caméras, cela signifie un panneau visible avant d'entrer dans la zone filmée.
Un panneau efficace doit au minimum indiquer :
- Qui exploite les caméras
- Dans quel but
- Comment joindre l'exploitant, y compris pour demander des images
- Où trouver l'information complète sur la protection de la vie privée
Un pictogramme seul signale qu'on est filmé, sans dire à qui s'adresser. Ce manque se traduit ensuite par des retards et des plaintes. La police et les collectivités locales doivent en outre tenir compte du code de bonnes pratiques pour les caméras de surveillance (Surveillance Camera Code of Practice) pris en application du Protection of Freedoms Act 2012.
La demande d'accès : un mois, sans raccourci
Toute personne visible sur un enregistrement peut en demander une copie au titre de l'article 15 du UK GDPR. Les lignes directrices de l'ICO sur la vidéosurveillance sont claires : la réponse doit être rapide et intervenir dans le mois suivant la réception, avec une prolongation possible de deux mois pour les demandes complexes ou multiples.
L'ICO signale aussi un risque pratique. La durée de conservation peut entraîner la suppression des images avant la réponse. Il est donc recommandé d'empêcher l'écrasement des séquences visées par une demande.
Les autres personnes à l'image
Presque chaque séquence montre d'autres personnes que le demandeur. Selon le DPA 2018 (annexe 2, partie 3, paragraphe 16), vous n'êtes pas tenu de communiquer des informations sur d'autres personnes, sauf si elles y consentent ou si la communication sans consentement est raisonnable.
En pratique, obtenir le consentement des passants est rarement réaliste. Les lignes directrices de l'ICO citent l'alternative : flouter, masquer ou recouvrir d'un aplat certaines zones de l'image. L'ICO recommande aussi de supprimer les métadonnées des fichiers si nécessaire et de former le personnel aux outils d'occultation pour respecter les délais légaux.
Les demandes de la police suivent une autre voie
Une demande de la police n'est pas une demande d'accès. Selon l'ICO, communiquer des images aux forces de l'ordre est approprié lorsque le système sert à prévenir et détecter les infractions. Cette communication est en principe volontaire, sauf décision de justice. Consignez ce qui a été remis, à qui et pourquoi.
Pour les demandes internes des salariés et sous-traitants, voir notre article sur la gestion des demandes d'images des salariés et des sous-traitants .
L'affaire de la police de Greater Manchester : un rappel à l'ordre pour des images perdues
Le 29 mai 2025, l'ICO a adressé un rappel à l'ordre (reprimand) à la Greater Manchester Police (GMP) pour sa gestion des images de vidéosurveillance ( source : ICO, en anglais).
Ce qui s'est passé, selon l'ICO :
- En février 2021, une personne a été placée en garde à vue pendant 48 heures alors qu'un système de vidéosurveillance enregistrait.
- Le service des normes professionnelles de la GMP a demandé de conserver les images au-delà de la durée habituelle de 90 jours.
- En répondant à une demande d'accès liée à l'affaire, la GMP a constaté que deux heures d'images manquaient et ne pouvaient pas être récupérées.
- Le 5 septembre 2023, la GMP a elle-même notifié une violation de données à l'ICO.
L'ICO a constaté que la GMP n'avait pas communiqué ses données au demandeur dans les meilleurs délais ni dans le mois, et n'avait pas mis en place de mesures appropriées contre la perte accidentelle des images. Le personnel ignorait qui devait contrôler la qualité des séquences conservées, et aucune procédure ne précisait quand et par qui ces contrôles devaient être faits.
La responsable des enquêtes de l'ICO a déclaré que la GMP avait « montré de graves lacunes dans sa gestion des images de vidéosurveillance ». La GMP a depuis adopté des règles de conservation plus claires et un processus strictement encadré, réservant l'accès au serveur de vidéosurveillance au personnel habilité.
Ce que montre cette affaire :
- Une demande d'images met à l'épreuve toute la chaîne : conservation, préservation, contrôle d'accès et contrôle qualité.
- Un délai dépassé est un manquement en soi, indépendamment des défauts de sécurité.
- Les responsabilités doivent être attribuées à des fonctions précises, pas supposées.
Envers les organismes publics, l'ICO se contente souvent d'un rappel à l'ordre plutôt que d'une amende. Les exploitants privés relèvent du régime complet : jusqu'à 17,5 millions de livres ou 4 % du chiffre d'affaires annuel mondial pour les atteintes aux principes et aux droits des personnes, et jusqu'à 8,7 millions de livres ou 2 % pour les autres manquements. L'ICO indique aussi que ses lignes directrices sur la vidéosurveillance sont en cours de révision à la suite du Data (Use and Access) Act 2025.
Répondre à une demande d'images de vidéosurveillance au Royaume-Uni en 5 étapes
- Enregistrez la demande et gelez les images. Notez la date de réception : le délai d'un mois court à partir de ce jour. Demandez la date, l'heure et le lieu, vérifiez l'identité et empêchez immédiatement l'écrasement de la séquence concernée.
- Exportez par une personne habilitée. Seuls des membres du personnel désignés exportent les extraits depuis le système de gestion vidéo. Vérifiez que l'export est complet et lisible avant que l'original ne soit écrasé.
- Floutez toutes les autres personnes. Chargez l'extrait dans Gallio PRO . Le logiciel détecte automatiquement les visages et les plaques d'immatriculation et les floute. La détection des visages n'identifie personne : elle repère uniquement les zones de l'image qui contiennent un visage. Veillez à ce que le demandeur reste reconnaissable : seuls les tiers sont floutés.
- Retouchez manuellement si nécessaire. Badges nominatifs, écrans, documents et logos ne sont pas détectés automatiquement. Vous les sélectionnez à la main dans l'éditeur intégré de Gallio PRO. Vérifiez aussi les reflets dans les vitres et supprimez les métadonnées trop révélatrices.
- Contrôlez, transmettez, documentez. Visionnez l'intégralité du résultat. Remettez la copie par un canal sécurisé et notez qui a remis quel extrait, quand et ce qui a été occulté.
Gallio PRO fonctionne comme application sous Windows et macOS. Pour les environnements d'entreprise, une version en ligne de commande sur site est disponible pour Linux. Les images n'ont pas besoin d'être envoyées à un service cloud externe.
Liste de contrôle des demandes d'images au Royaume-Uni
Point de contrôle | Base juridique ou source | Fait ? |
Panneau indiquant l'exploitant, la finalité et le contact pour les demandes | UK GDPR, art. 13 | ☐ |
Information complète disponible en ligne ou sur place | UK GDPR, art. 13 | ☐ |
Durée de conservation documentée, fixée selon la finalité | UK GDPR, art. 5, paragraphe 1, point e) | ☐ |
Procédure pour geler les images dès réception d'une demande | Lignes directrices de l'ICO sur la vidéosurveillance | ☐ |
Fonctions désignées pour l'export et le contrôle qualité | UK GDPR, art. 5, paragraphe 1, point f), et art. 32 | ☐ |
Accès au serveur de vidéosurveillance réservé au personnel habilité | UK GDPR, art. 32 | ☐ |
Procédure de demande d'accès avec délai d'un mois | UK GDPR, art. 12 et 15 | ☐ |
Outil d'occultation et personnel formé pour masquer les tiers | DPA 2018, annexe 2, partie 3, par. 16 | ☐ |
Registre de chaque communication, y compris à la police | UK GDPR, art. 5, paragraphe 2 | ☐ |
Questions fréquentes
Peut-on demander les images de vidéosurveillance où l'on apparaît au Royaume-Uni ?
Oui. Toute personne visible sur un enregistrement peut faire une demande d'accès au titre de l'article 15 du UK GDPR. L'exploitant doit répondre dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes.
Que doit indiquer un panneau de vidéosurveillance au Royaume-Uni ?
Le panneau doit être visible avant la zone filmée et indiquer qui exploite les caméras, dans quel but et comment le joindre, avec un renvoi vers l'information complète. Un pictogramme seul n'explique pas comment exercer ses droits.
Faut-il flouter les autres personnes avant de remettre des images ?
Vous n'êtes pas tenu de communiquer les données d'autres personnes, sauf consentement ou si la communication sans consentement est raisonnable (DPA 2018, annexe 2, partie 3, paragraphe 16). L'ICO cite le floutage, le masquage et l'aplat.
Combien de temps conserver les images de vidéosurveillance au Royaume-Uni ?
Il n'existe pas de durée légale fixe. Conservez les images seulement le temps nécessaire à la finalité, documentez cette durée et préservez les séquences visées par une demande en cours.
Une demande de la police est-elle une demande d'accès ?
Non. La communication à la police suit une autre voie. L'ICO la juge appropriée lorsque le système sert à prévenir et détecter les infractions, et elle est en principe volontaire, sauf décision de justice.
Que se passe-t-il si des images disparaissent avant la réponse ?
Cela peut constituer à la fois un délai dépassé et un défaut de sécurité. L'ICO a adressé en 2025 un rappel à l'ordre à la police de Greater Manchester après la perte de deux heures d'images demandées.
Quelles amendes l'ICO peut-il infliger en matière de vidéosurveillance ?
Jusqu'à 17,5 millions de livres ou 4 % du chiffre d'affaires annuel mondial pour les atteintes aux principes et aux droits, et jusqu'à 8,7 millions de livres ou 2 % pour les autres manquements. Les organismes publics reçoivent plus souvent des rappels à l'ordre.
Conclusion
Le panneau ouvre la discussion, mais c'est la demande d'images qui met les exploitants britanniques à l'épreuve. Préservez la séquence, protégez les tiers et répondez dans le mois. L'affaire de la police de Greater Manchester montre à quelle vitesse des responsabilités floues aboutissent à une décision formelle de l'ICO.
Vous avez aussi des sites en France ? Les règles nationales diffèrent d'un pays à l'autre, même là où le RGPD s'applique.
Vérifiez votre installation avec le test de conformité vidéosurveillance : neuf questions, votre résultat directement sur la page, sans adresse e-mail.
