TL;DR : Les entreprises qui filment en Allemagne doivent afficher un panneau avant la zone filmée et répondre sous un mois aux demandes d'accès (article 15 du RGPD), sans montrer d'autres personnes sur la copie. Volkswagen a payé 1,1 million d'euros, notamment faute de signalisation. Guide pour DPO, conformité et IT. Gallio PRO floute automatiquement visages et plaques d'immatriculation. Testez votre installation avec le test de conformité vidéosurveillance : neuf questions, votre résultat directement sur la page, sans adresse e-mail.
À qui s'adresse ce guide
Cet article décrit la situation en Allemagne. Il s'adresse aux entreprises françaises et européennes qui exploitent en Allemagne des magasins, des entrepôts, des bureaux ou des flottes, ainsi qu'à leurs équipes chargées de la protection des données.
Le RGPD s'applique dans toute l'UE. La manière dont les autorités allemandes l'interprètent, et les règles nationales qui l'accompagnent, sont propres à l'Allemagne. Les termes allemands figurent entre parenthèses pour que vous puissiez les retrouver dans les documents locaux et auprès de vos conseils.
Trois obligations sur lesquelles la plupart des entreprises échouent
Les autorités de contrôle allemandes inspectent rarement la caméra elle-même. Elles regardent ce qui se passe avant et après.
Avant : la personne est-elle informée avant d'entrer dans la zone filmée ?
Après : que se passe-t-il quand quelqu'un demande à voir ses images ?
Entre les deux se pose la question de la preuve. La plupart des amendes visent précisément ces trois points.
Quelle base légale s'applique aux entreprises en Allemagne ?
Pour les entreprises et les autres organismes privés, la base légale est l'article 6, paragraphe 1, point f), du RGPD, c'est-à-dire l'intérêt légitime. La Cour administrative fédérale allemande (Bundesverwaltungsgericht, BVerwG) a jugé le 27 mars 2019 (affaire 6 C 2.18) que l'article 4 de la loi fédérale sur la protection des données (BDSG) ne s'applique plus à la vidéosurveillance réalisée par des organismes privés.
Concrètement, vous devez documenter une mise en balance entre votre intérêt et ceux des personnes filmées. Les finalités typiques sont la protection contre le vol, le vandalisme et l'effraction. Une caméra qui filme tout « au cas où » passe rarement ce test.
L'article 13 du RGPD exige que les personnes soient informées au moment de la collecte de leurs données. Pour les caméras, cela signifie que le panneau doit être visible avant que la personne n'entre dans le champ d'enregistrement. Les lignes directrices 3/2019 du Comité européen de la protection des données (CEPD) recommandent une information en deux niveaux.
Premier niveau, le panneau lui-même :
- Nom et coordonnées du responsable du traitement
- Coordonnées du délégué à la protection des données, s'il a été désigné
- Finalité de la vidéosurveillance et base légale
- L'intérêt légitime, si vous vous fondez sur l'article 6, paragraphe 1, point f)
- Durée de conservation
- Mention des droits des personnes et de l'endroit où trouver l'information complète
Second niveau : l'information complète prévue par l'article 13 du RGPD, par exemple affichée à l'accueil, sur une page de votre site ou via un QR code sur le panneau.
La Conférence allemande de la protection des données (Datenschutzkonferenz, DSK), qui réunit les autorités fédérale et régionales, a publié un modèle pour ce type de panneau. Un simple pictogramme ne suffit pas.
Obligation 2 : la demande d'accès fondée sur l'article 15 du RGPD
Toute personne filmée peut demander l'accès à ses données et en obtenir une copie (article 15, paragraphes 1 et 3, du RGPD). Le délai de réponse est d'un mois à compter de la réception. Pour les demandes complexes, il peut être prolongé de deux mois, à condition d'en informer la personne dans le premier mois (article 12, paragraphe 3, du RGPD).
C'est là que commence le vrai problème. Presque chaque enregistrement montre aussi d'autres personnes : clients, salariés, passants et leurs véhicules.
L'article 15, paragraphe 4, du RGPD précise que le droit d'obtenir une copie ne doit pas porter atteinte aux droits et libertés d'autrui. Les lignes directrices 3/2019 du CEPD citent expressément l'édition d'image, comme le masquage ou le brouillage, pour protéger les tiers.
Vous ne pouvez donc pas refuser la demande au seul motif que d'autres personnes sont visibles. Vous devez les rendre méconnaissables, puis remettre la copie.
Obligation 3 : pouvoir le prouver
Selon l'article 5, paragraphe 2, du RGPD, vous devez être en mesure de démontrer votre conformité. Pour la vidéosurveillance en Allemagne, cela suppose au minimum :
- Une mise en balance documentée par caméra ou par zone
- Une inscription au registre des activités de traitement (article 30 du RGPD)
- Une durée de conservation définie. La DSK retient 72 heures comme valeur de référence.
- Des contrats de sous-traitance avec chaque prestataire ayant accès aux images (article 28 du RGPD)
- Un registre de chaque communication d'images : qui, quand, quel extrait, ce qui a été flouté
L'affaire Volkswagen : 1,1 million d'euros pour une signalisation absente
En juillet 2022, la commissaire à la protection des données de Basse-Saxe (Landesbeauftragte für den Datenschutz Niedersachsen) a infligé une amende de 1,1 million d'euros à Volkswagen AG. Volkswagen a accepté la décision ( source : LTO, en allemand).
Tout est parti d'un contrôle de police en Autriche en 2019. Un véhicule d'essai VW filmait la circulation environnante pour analyser les erreurs d'un système d'aide à la conduite. Les panneaux magnétiques signalant les caméras manquaient sur le véhicule, et les usagers filmés n'avaient pas reçu les informations exigées par l'article 13 du RGPD. Il n'existait pas non plus de contrat de sous-traitance avec l'entreprise qui réalisait les trajets d'essai.
Au total, l'autorité a relevé quatre manquements. Chacun a été jugé mineur. Ensemble, ils ont abouti à une amende à sept chiffres.
Ce que montre cette affaire :
- L'obligation d'information couvre aussi les enregistrements réalisés depuis des véhicules, pas seulement les caméras fixes. Si vous collectez des images de véhicules pour développer des systèmes d'aide à la conduite, consultez notre page sur l'anonymisation des jeux de données ADAS .
- Tout prestataire qui traite des images a besoin d'un contrat de sous-traitance. Cela vaut aussi pour les services cloud sur lesquels vous chargez des vidéos pour les retoucher.
- Les manquements aux obligations d'information et aux droits des personnes relèvent de l'article 83, paragraphe 5, du RGPD : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Répondre à une demande d'accès aux images de vidéosurveillance en 5 étapes
- Enregistrez la demande et le délai. Notez la date de réception. Le délai d'un mois court à partir de ce jour. Vérifiez l'identité du demandeur et demandez le lieu, la date et l'heure approximative pour retrouver la bonne séquence.
- Sécurisez l'extrait. Exportez la séquence concernée depuis votre système de gestion vidéo avant l'expiration du délai de suppression habituel. Indiquez dans votre registre pourquoi l'enregistrement est conservé plus longtemps.
- Floutez les tiers. Chargez l'extrait dans Gallio PRO . Le logiciel détecte automatiquement les visages et les plaques d'immatriculation et les floute. La détection des visages n'identifie personne : elle repère uniquement les zones de l'image qui contiennent un visage. Veillez à ce que le demandeur reste reconnaissable : seuls les tiers sont floutés.
- Retouchez manuellement si nécessaire. Les badges nominatifs, écrans, documents et logos ne sont pas détectés automatiquement. Vous les sélectionnez à la main dans l'éditeur intégré de Gallio PRO. Vérifiez aussi les reflets dans les vitres et les vitrines.
- Contrôlez, transmettez, documentez. Visionnez l'intégralité du résultat, pas seulement des extraits. Remettez la copie et inscrivez la communication dans votre registre.
Gallio PRO fonctionne comme application sous Windows et macOS. Pour les environnements d'entreprise, une version en ligne de commande sur site est disponible pour Linux. Les images n'ont pas besoin d'être envoyées à un service cloud externe.
Liste de contrôle pour la vidéosurveillance en Allemagne
Point de contrôle | Base juridique | Fait ? |
Panneau avant la zone filmée, avec responsable, finalité et durée de conservation | Article 13 du RGPD | ☐ |
Information complète disponible en second niveau | Article 13 du RGPD | ☐ |
Mise en balance documentée pour chaque zone | Article 6, paragraphe 1, point f), du RGPD | ☐ |
Durée de conservation définie et appliquée techniquement | Article 5, paragraphe 1, point e), du RGPD | ☐ |
Procédure de traitement des demandes d'accès avec délai d'un mois | Articles 12 et 15 du RGPD | ☐ |
Outil pour flouter les tiers avant toute communication | Article 15, paragraphe 4, du RGPD | ☐ |
Contrats de sous-traitance avec tous les prestataires | Article 28 du RGPD | ☐ |
Inscription au registre des activités de traitement | Article 30 du RGPD | ☐ |
Vous avez aussi des caméras en France ? Qui peut accéder aux enregistrements et à qui les communiquer : nous le détaillons dans notre article sur la conformité RGPD des systèmes de vidéosurveillance .
Questions fréquentes
Le panneau de vidéosurveillance est-il obligatoire en Allemagne ?
Oui. L'article 13 du RGPD impose d'informer les personnes lors de la collecte de leurs données. Pour les caméras, cela passe par un panneau visible avant la zone filmée. Un pictogramme sans autre mention ne suffit pas.
Que doit contenir un panneau de vidéosurveillance en Allemagne ?
Au minimum : le responsable du traitement et ses coordonnées, le délégué à la protection des données s'il a été désigné, la finalité et la base légale, l'intérêt légitime, la durée de conservation et l'endroit où trouver l'information complète.
L'article 4 du BDSG s'applique-t-il à la vidéosurveillance des entreprises ?
Non. Depuis l'arrêt de la Cour administrative fédérale du 27 mars 2019 (6 C 2.18), la vidéosurveillance réalisée en Allemagne par des organismes privés relève de l'article 6, paragraphe 1, point f), du RGPD.
Dois-je remettre une copie des images de vidéosurveillance ?
Oui, si le demandeur apparaît sur les images et que l'enregistrement existe encore. Le délai est d'un mois et peut être prolongé de deux mois dans les cas justifiés.
La copie peut-elle montrer d'autres personnes ?
Non. Selon l'article 15, paragraphe 4, du RGPD, la copie ne doit pas porter atteinte aux droits d'autrui. Les visages et les plaques d'immatriculation des tiers doivent être floutés avant la communication.
Combien de temps conserver les images de vidéosurveillance en Allemagne ?
Seulement le temps nécessaire à la finalité. La DSK retient 72 heures comme valeur de référence. Une durée plus longue doit être justifiée, par exemple par l'analyse d'un incident en cours.
Quel est le montant maximal d'une amende pour vidéosurveillance non conforme ?
Pour les manquements aux obligations d'information et aux droits des personnes : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (article 83, paragraphe 5, du RGPD). Volkswagen a payé 1,1 million d'euros en 2022 pour quatre manquements jugés mineurs.
Conclusion
Un panneau coûte quelques euros. Une demande d'accès restée sans réponse, ou traitée avec d'autres personnes visibles sur la copie, peut déclencher une procédure devant une autorité de contrôle allemande. L'affaire Volkswagen montre que des lacunes formelles deviennent coûteuses dès qu'elles s'accumulent.
Vérifiez votre installation avec le test de conformité vidéosurveillance : neuf questions, votre résultat directement sur la page, sans adresse e-mail.
