Masquage des images de vidéosurveillance : définition
Le masquage des images de vidéosurveillance est le processus technique consistant à dissimuler les données à caractère personnel visibles sur des enregistrements de vidéosurveillance avant leur communication, leur exportation, leur analyse ou leur archivage secondaire. En pratique, cela concerne surtout les visages et les plaques d’immatriculation, car ce sont précisément ces éléments qui permettent souvent d’identifier une personne physique, directement ou indirectement. Dans le contexte de la protection des données, il ne s’agit pas d’une retouche esthétique, mais d’une réduction de l’identifiabilité dans le contenu vidéo ou sur les images fixes.
Du point de vue du RGPD, un enregistrement CCTV contenant l’image reconnaissable d’une personne peut constituer une donnée à caractère personnel si cette personne est identifiable. Cela découle de l’article 4, point 1, du règlement (UE) 2016/679 ainsi que de la jurisprudence de la CJUE, notamment de l’affaire C-212/13 Ryneš, dans laquelle la vidéosurveillance a été reconnue comme un traitement de données à caractère personnel. Le masquage du contenu ne constitue pas une exception autonome aux obligations du responsable du traitement, mais une mesure technique soutenant les principes de minimisation des données, de limitation des finalités ainsi que d’intégrité et de confidentialité visés à l’article 5 du RGPD.
En pratique, le masquage vidéo CCTV consiste le plus souvent à appliquer un flou, une pixellisation, un masquage ou un occultement permanent à certaines zones du cadre sur toutes les images où l’objet concerné apparaît. Si ce traitement vise à réduire le risque d’identification, il doit être appliqué de manière cohérente dans le temps, y compris lorsque changent la position de l’objet, son échelle, son angle ou l’éclairage.
Le rôle du masquage des images de vidéosurveillance dans la conformité au RGPD
Le masquage des enregistrements de vidéosurveillance est particulièrement important lorsque le responsable du traitement communique un contenu à un tiers, à un sous-traitant, à un assureur, au conseil d’une partie ou à une autorité qui n’a pas besoin de l’ensemble des données. Dans ce cas, l’étendue des informations divulguées doit être adéquate au regard de la finalité poursuivie. Il s’agit d’une application concrète du principe de minimisation des données.
S’agissant des visages, l’obligation de communication prudente découle non seulement du RGPD, mais aussi des règles relatives à la protection des droits de la personnalité et à la diffusion de l’image. En principe, l’image d’une personne devrait être floutée avant la transmission de l’enregistrement à une entité qui n’a pas besoin de connaître l’identité de toutes les personnes visibles dans le cadre. Les exceptions sont limitées et concernent principalement la personne connue du public dans l’exercice de fonctions publiques, l’image apparaissant comme un détail d’un ensemble plus large, ainsi que la situation dans laquelle la personne a perçu la rémunération convenue pour poser.
En ce qui concerne les plaques d’immatriculation, la situation en Pologne n’est pas totalement uniforme. Les lignes directrices des autorités de protection des données et la pratique européenne tendent à considérer les numéros d’immatriculation comme une information susceptible de conduire à l’identification. À l’inverse, une partie de la jurisprudence polonaise estime qu’une plaque d’immatriculation ne constitue pas toujours, à elle seule, une donnée à caractère personnel. Le responsable du traitement doit donc apprécier le contexte, la finalité de la communication et le risque d’identification, et adopter une approche prudente lors de tout transfert du contenu en dehors de son organisation.
Comment fonctionne techniquement le masquage des enregistrements CCTV
Un masquage vidéo efficace suppose la combinaison de la détection d’objet, du suivi inter-images et de l’application permanente d’un masque sur le fichier de sortie. Dans les systèmes modernes, la détection des visages et des plaques est généralement assurée par des modèles de deep learning. Le réseau neuronal est d’abord entraîné sur des jeux de données correctement annotés, puis utilisé pour l’inférence, c’est-à-dire pour l’identification automatique des zones à flouter dans un enregistrement donné.
Pour les contenus CCTV, l’élément clé est qu’un simple détecteur ne suffit pas. Des mécanismes de suivi d’objet entre les images sont également nécessaires, car un visage ou une plaque peut être partiellement occulté, incliné, flou en raison du mouvement ou visible seulement pendant une fraction de seconde. Une erreur sur une seule image peut entraîner une divulgation de données.
- Détection - localisation du visage ou de la plaque sur l’image.
- Tracking - maintien de l’identification de l’objet sur les images suivantes.
- Rendu du masquage - application d’un masque, d’un flou, d’une pixellisation ou d’un noircissement.
- Export - enregistrement du fichier final sans possibilité simple de rétablir les données masquées.
Gallio PRO floute automatiquement les visages et les plaques d’immatriculation dans les vidéos et sur les photos. Le logiciel ne réalise pas d’anonymisation en temps réel ni d’anonymisation de flux vidéo. Il ne masque pas automatiquement les silhouettes entières, les logos, les tatouages, les badges nominatifs, les documents ni les images affichées sur les écrans de contrôle. Ces éléments peuvent être dissimulés manuellement à l’aide de l’éditeur intégré.
Paramètres et métriques clés du masquage des images de vidéosurveillance
L’évaluation de la qualité du masquage ne devrait pas se limiter au constat qu’un contenu a été flouté. Des paramètres mesurables sont nécessaires pour évaluer le risque d’omissions ainsi que l’utilité du processus opérationnel.
Paramètre | Signification | Impact pratique
|
|---|---|---|
Recall | Proportion des visages ou plaques réellement présents détectés par le système | Un recall faible augmente le risque de divulgation de données |
Precision | Proportion de détections correctes parmi l’ensemble des détections | Une precision faible augmente le nombre de masques erronés |
Couverture image par image | Pourcentage d’images sur lesquelles l’objet a été correctement masqué | Critique pour les contenus avec mouvement et changement de cadrage |
Latence de traitement | Temps nécessaire pour analyser et exporter le contenu | Influe sur le traitement des demandes et le respect des délais |
Taux de revue manuelle | Part du contenu nécessitant une vérification humaine | Influe sur les coûts et l’organisation du travail |
Dans l’évaluation des risques, il convient de distinguer les false negatives et les false positives. Du point de vue de la conformité, le false negative, c’est-à-dire le cas où un visage ou une plaque n’est pas détecté, est plus critique. Le false positive dégrade la qualité d’usage du contenu, mais n’entraîne généralement pas de violation de la confidentialité.
Défis et limites du masquage des images de vidéosurveillance
Les enregistrements de vidéosurveillance sont souvent de qualité inférieure à celle des vidéos produites en studio. Ils subissent compression, faible luminosité, reflets, occultations et angles inhabituels. Cela a un impact direct sur la qualité de détection et sur la stabilité du suivi des objets. C’est pourquoi le floutage des visages et le floutage des plaques d’immatriculation automatisés devraient être complétés par un contrôle humain, en particulier avant toute communication du contenu à l’extérieur de l’organisation.
Il est également important de distinguer l’anonymisation de la pseudonymisation. Si les données peuvent être restaurées, ou s’il existe une possibilité réelle de réidentification à partir du contexte de la scène, des vêtements, du temps et du lieu, il s’agit plutôt d’une limitation de l’exposition des données que d’une anonymisation complète. Les lignes directrices européennes soulignent que l’évaluation doit prendre en compte tous les moyens d’identification raisonnablement susceptibles d’être mis en œuvre.
Applications pratiques du masquage des images de vidéosurveillance
Le scénario d’utilisation le plus fréquent consiste à préparer une copie d’un enregistrement pour une personne ayant signalé un incident ou exerçant ses droits en tant que personne concernée. Le responsable du traitement ne devrait alors transmettre que la partie de l’image strictement nécessaire. Si des tiers ou des véhicules sans lien avec l’affaire apparaissent sur l’enregistrement, leurs visages et leurs plaques devraient être floutés.
Un deuxième cas typique est la transmission du contenu à un cabinet d’avocats, à un auditeur, à un assureur ou à un partenaire contractuel. Dans cette situation, le masquage limite la divulgation excessive de données et soutient le principe du need-to-know. Dans de nombreuses organisations, il s’agit d’un élément standard de la procédure de sécurité de l’information.
Références normatives et sources
L’importance du masquage des images de vidéosurveillance doit être appréciée sur la base des textes applicables et des lignes directrices, et non sur la seule pratique technique. Les principales sources sont les actes du droit de l’Union, la jurisprudence et les positions des autorités de contrôle.
- Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 - articles 4, 5, 25 et 32.
- CJUE, C-212/13, František Ryneš contre Úřad pro ochranu osobních údajů, arrêt du 11 décembre 2014.
- CEPD, Guidelines 3/2019 on processing of personal data through video devices, version adoptée après consultation le 29 janvier 2020.
- Groupe de travail Article 29, Opinion 05/2014 on Anonymisation Techniques, 10 avril 2014.
- Positions de l’UODO relatives à la communication des enregistrements de vidéosurveillance.
- Jurisprudence administrative polonaise concernant la qualification des plaques d’immatriculation comme données à caractère personnel, avec mention des divergences d’interprétation existantes.
En pratique, le responsable du traitement devrait documenter la base juridique de la communication, l’étendue du masquage, la personne ayant validé le contenu ainsi que le fait de savoir si le système conserve des journaux contenant des données à caractère personnel résultant de la détection des visages et des plaques. Un tel modèle réduit le risque de traitement secondaire des données au cours même du processus d’anonymisation.