Le panneau d’information de vidéosurveillance est une signalisation placée à l’entrée d’une zone sous surveillance vidéo. Son objectif est de fournir à la personne filmée les informations essentielles sur le traitement des données personnelles avant même qu’elle n’entre dans le champ de la caméra. En pratique, il s’agit du premier niveau de l’obligation d’information prévue aux articles 12 et 13 du Règlement (UE) 2016/679 du Parlement européen et du Conseil, c’est-à-dire le RGPD. Dans le contexte des photos et des enregistrements vidéo, ce panneau n’est pas un élément technique du système de caméras, mais un élément de conformité organisationnelle et juridique de l’ensemble du processus de traitement de l’image.
Pour le Délégué à la protection des données, l’importance du panneau est très concrète. La signalisation doit être visible, compréhensible et placée au bon endroit. Elle doit également orienter vers la notice d’information complète. Le simple affichage d’un pictogramme de caméra sans les mentions requises ne satisfait généralement pas à l’exigence de transparence. C’est ce que confirment les lignes directrices de l’autorité polonaise de protection des données (UODO) ainsi que celles du Comité européen de la protection des données concernant l’obligation d’information en plusieurs niveaux dans le cadre de la vidéosurveillance.
Panneau d’information de vidéosurveillance : définition
Dans une logique de conformité, un panneau d’information de vidéosurveillance est un support d’information physique ou numérique placé avant la zone surveillée, qui indique qu’un enregistrement d’images est effectué, identifie le responsable du traitement et permet d’accéder à une information plus détaillée sur le traitement. Son utilisation découle du principe de licéité, de loyauté et de transparence prévu à l’article 5, paragraphe 1, point a), du RGPD, ainsi que de l’obligation de fournir des informations à la personne concernée conformément à l’article 13 du RGPD.
En matière de vidéosurveillance, les données personnelles comprennent avant tout l’image du visage ainsi que tout autre élément permettant d’identifier une personne. Dans certains cas, il peut aussi s’agir de la plaque d’immatriculation d’un véhicule, si, dans les circonstances données, elle permet d’identifier une personne physique. C’est pourquoi le panneau d’information conserve toute son importance même lorsque la vidéo fait ensuite l’objet d’une anonymisation, par exemple par floutage automatique des visages et des plaques d’immatriculation dans les fichiers vidéo ou sur les photos. L’anonymisation après l’enregistrement ne supprime pas automatiquement l’obligation d’informer sur le simple fait que l’image est captée.
Quelles informations doit contenir un panneau d’information de vidéosurveillance ?
Les lignes directrices de l’UODO et du CEPD retiennent une approche en couches. Cela signifie que le panneau doit présenter les informations les plus importantes, tandis que la notice d’information complète est mise à disposition dans un second niveau, par exemple sur le site web, à l’accueil, dans un règlement intérieur ou dans un document papier distinct. Le contenu du premier niveau doit être bref, mais précis.
- l’information selon laquelle la zone est placée sous vidéosurveillance,
- l’identité du responsable du traitement,
- les finalités de la vidéosurveillance,
- l’indication de l’endroit où consulter la notice d’information complète,
- au moins un moyen de contact facilement accessible avec le responsable du traitement ou le DPO, s’il a été désigné.
En pratique, le panneau doit être rédigé dans un langage simple. Il convient d’éviter les abréviations incompréhensibles pour la personne qui visite les lieux. Le pictogramme de caméra est utile, mais il ne remplace pas le texte. Dans ses Lignes directrices 3/2019 sur le traitement des données à caractère personnel au moyen d’appareils vidéo, le CEPD souligne que l’information de premier niveau doit permettre d’identifier rapidement le responsable du traitement, la finalité poursuivie ainsi que la manière d’obtenir des informations complémentaires.
Dimensions, lisibilité et emplacement du panneau de vidéosurveillance
La réglementation polonaise ne prévoit ni modèle unique obligatoire de panneau, ni format imposé en centimètres. L’UODO insiste toutefois sur l’exigence d’efficacité de la signalisation. Cela signifie que le panneau doit être visible avant que la personne n’entre dans le champ de la caméra. Une signalisation placée seulement derrière une porte ou dans un endroit masqué peut être considérée comme insuffisante.
En pratique, il convient de retenir les critères d’évaluation suivants :
- le panneau doit être placé avant l’entrée dans la zone surveillée, et non seulement au milieu de celle-ci,
- la hauteur d’installation doit permettre la lecture par un utilisateur moyen,
- le contraste des couleurs et la taille de police doivent être adaptés à la distance de lecture,
- la signalisation doit être répétée en cas de multiples accès et dans les zones étendues,
- des panneaux complémentaires sont recommandés lorsque la vidéosurveillance couvre des parkings, portails, réceptions et zones de circulation.
Si le gestionnaire du site souhaite adopter une norme technique interne, il peut appliquer une règle simple de conception fondée sur la lisibilité de la signalisation :
Paramètre | Portée pratique
|
|---|---|
Distance de lecture | Plus la distance est grande, plus le pictogramme et la police doivent être grands |
Contraste | Un contraste élevé améliore la visibilité en cas de faible éclairage |
Nombre d’entrées | Chaque accès à la zone surveillée doit être signalé séparément |
Conditions extérieures | À l’extérieur, une résistance aux UV, à l’humidité et aux salissures est nécessaire |
L’absence de dimensions fixées par la loi ne signifie pas qu’il existe une liberté totale. En cas de contrôle, la question essentielle sera de savoir si la personne a réellement pu prendre connaissance de l’information avant d’entrer dans le périmètre de la vidéosurveillance.
Panneau d’information et anonymisation des photos et vidéos
Dans l’environnement du traitement d’image, le panneau d’information de vidéosurveillance et l’anonymisation remplissent des fonctions différentes. Le panneau permet de satisfaire à l’obligation d’information au moment de la collecte des données. L’anonymisation ou la pseudonymisation réduit les risques à un stade ultérieur de l’utilisation du contenu, par exemple avant la transmission de l’enregistrement à un tiers, la publication du matériel ou son utilisation à des fins de formation ou de preuve.
Si un enregistrement doit être exporté ou communiqué, une pratique conforme au principe de minimisation des données consiste à flouter les visages et, selon la finalité et le contexte juridique, également les plaques d’immatriculation. Pour ce type d’opérations, on utilise des modèles de détection d’objets et de suivi d’objets entre les images. Dans le cas des visages, des modèles fondés sur le deep learning sont généralement employés : ils sont entraînés sur de grands ensembles d’images, puis utilisés pour détecter les visages dans le contenu source. Ce n’est qu’après la détection que le système applique un masque de floutage ou de pixellisation. Toutefois, ce processus n’a aucune incidence sur l’obligation de signaler correctement l’endroit où l’image a été initialement enregistrée.
Il convient aussi de distinguer le périmètre des fonctionnalités. Gallio PRO détecte et floute automatiquement les visages et les plaques d’immatriculation sur les photos et les enregistrements stockés dans des fichiers. Il n’effectue pas d’anonymisation en temps réel ni d’anonymisation de flux vidéo. Il ne détecte pas non plus automatiquement les logos, tatouages, badges, documents ou contenus affichés sur les écrans de moniteurs. Ces éléments peuvent être masqués manuellement dans l’éditeur. Du point de vue de la conformité, cela signifie que le panneau d’information de vidéosurveillance reste obligatoire, quel que soit le niveau de masquage appliqué ultérieurement au contenu.
Principaux risques de conformité et paramètres d’évaluation
L’évaluation d’un panneau d’information peut être menée comme un contrôle ponctuel du processus de conformité. Il ne s’agit pas d’esthétique, mais d’efficacité mesurable du message. Pour le DPO, des critères d’audit simples sont particulièrement utiles.
Critère | Question de contrôle | Risque en cas d’absence
|
|---|---|---|
Visibilité | L’information est-elle accessible avant l’entrée dans le champ de la vidéosurveillance ? | Violation du principe de transparence |
Contenu minimal | Le responsable du traitement, la finalité et la source de la notice complète sont-ils indiqués ? | Obligation d’information incomplète |
Lisibilité | Une personne moyenne peut-elle lire le panneau sans effort ? | Respect purement formel de l’obligation |
Cohérence | Le panneau correspond-il à l’étendue réelle de la vidéosurveillance ? | Information erronée sur le traitement |
Actualisation | Les données du responsable du traitement et les finalités sont-elles toujours à jour ? | Non-conformité documentaire |
Références normatives et interprétatives
La base juridique du panneau d’information de vidéosurveillance repose avant tout sur les règles de l’Union européenne ainsi que sur les lignes directrices des autorités de protection des données. Pour l’analyse, il est recommandé de s’appuyer sur les sources primaires et les interprétations officielles.
- RGPD - Règlement (UE) 2016/679, en particulier les articles 5, 12 et 13, applicable depuis le 25 mai 2018.
- CEPD, Lignes directrices 3/2019 sur le traitement des données à caractère personnel au moyen d’appareils vidéo - document adopté dans sa version finale le 29 janvier 2020.
- Documents et recommandations du Président de l’UODO relatifs à la signalisation des lieux sous vidéosurveillance et à l’obligation d’information en plusieurs niveaux.
En ce qui concerne les plaques d’immatriculation, il existe des divergences d’interprétation. En Pologne, une partie de la jurisprudence a parfois considéré qu’une plaque d’immatriculation, à elle seule, ne constitue pas toujours une donnée à caractère personnel. En revanche, l’approche des autorités de protection des données et la pratique européenne sont plus prudentes et considèrent souvent le numéro d’immatriculation comme une information pouvant conduire à l’identification d’une personne dans un contexte donné. C’est pourquoi, pour les contenus vidéo, l’approche la plus sûre du point de vue de la conformité consiste à analyser la finalité et le risque, puis, lorsque cela est justifié, à masquer les plaques avant toute communication ultérieure.