Clause d’information sur la vidéosurveillance : définition
La clause d’information sur la vidéosurveillance est un ensemble d’informations communiqué aux personnes faisant l’objet d’une surveillance vidéo au sujet du traitement de leurs données à caractère personnel. En pratique, cela concerne avant tout l’image enregistrée sur des vidéos, et dans certains cas également d’autres identifiants visibles dans le contenu, comme les plaques d’immatriculation. Cette obligation d’information découle des articles 12 et 13 du Règlement (UE) 2016/679 du Parlement européen et du Conseil, c’est-à-dire du RGPD, applicable depuis le 25 mai 2018.
Dans le contexte de la vidéosurveillance, la clause d’information adopte généralement une structure en deux niveaux. Le premier niveau correspond à une information brève fournie à l’entrée de la zone placée sous caméra. Le second niveau contient l’ensemble des informations exigées par l’article 13 du RGPD et doit être facilement accessible, par exemple à l’accueil, sur le site internet du responsable du traitement ou via un code QR. Cette approche est conforme aux lignes directrices du Comité européen de la protection des données, énoncées dans les Guidelines 3/2019 on processing of personal data through video devices, adoptées dans leur version finale le 29 janvier 2020.
Dans le cadre de l’anonymisation des photos et des vidéos, la clause d’information ne remplace pas l’obligation de mettre en œuvre des mesures techniques et organisationnelles appropriées. Elle informe sur le traitement lui-même, ses finalités, sa base juridique, sa durée de conservation, ses destinataires ainsi que les droits des personnes filmées. Si le contenu vidéo est ensuite réutilisé, exporté, publié, transmis à un sous-traitant ou anonymisé par floutage des visages ou des plaques d’immatriculation, les informations fournies doivent refléter le processus réel de traitement.
Comment communiquer une clause d’information à proximité des caméras
En matière de vidéosurveillance, il ne suffit pas d’apposer un simple pictogramme de caméra. La personne concernée doit recevoir une information concise, transparente et facilement accessible avant d’entrer dans la zone placée sous enregistrement, ou au plus tard au moment où l’enregistrement commence. Cela découle du principe de transparence prévu à l’article 12 du RGPD ainsi que des lignes directrices du CEPD relatives aux dispositifs vidéo.
Le modèle à deux niveaux est le plus souvent utilisé. Le premier niveau est physiquement placé à l’entrée, au portail, à la barrière, à l’accueil ou dans le champ de vision de la personne qui s’approche de la caméra. Le second niveau contient la clause d’information complète et doit être accessible sans effort excessif.
- Niveau 1 – information abrégée : identité du responsable du traitement, finalité de la vidéosurveillance, information sur les droits, indication du lieu d’accès à la clause complète.
- Niveau 2 – information complète : ensemble des éléments prévus à l’article 13 du RGPD, y compris la durée de conservation, les destinataires des données, les coordonnées du délégué à la protection des données et les informations relatives à la réclamation auprès de l’autorité de contrôle.
- Mode de communication : panneau, autocollant, règlement, site internet, document disponible à l’accueil, code QR. Le canal choisi doit être adapté au lieu d’installation et au profil des personnes filmées.
Pour la vidéosurveillance des véhicules et des parkings, il est essentiel que le message soit lisible à une distance appropriée. Le CEPD indique que le premier niveau d’information doit permettre à la personne de comprendre qui traite ses données et dans quelle finalité. Il ne peut pas s’agir d’une simple mention générale de la sécurité sans identification du responsable du traitement.
Contenu obligatoire de la clause d’information sur la vidéosurveillance
Le contenu de la clause doit correspondre au déroulement réel du traitement des données dans le système de vidéosurveillance, les caméras IP, les enregistreurs ainsi que dans les traitements ultérieurs, tels que la sélection des séquences, l’exportation des enregistrements, le masquage des données ou la transmission des vidéos aux autorités compétentes. Lors de l’anonymisation des photos et des vidéos, il convient de décrire moins l’algorithme lui-même que la finalité et l’étendue du traitement ultérieur.
Élément de la clause | Base juridique | Portée pratique
|
|---|---|---|
Coordonnées du responsable du traitement | Art. 13, § 1, a) du RGPD | La personne filmée doit savoir qui est responsable de la vidéosurveillance. |
Coordonnées du DPO | Art. 13, § 1, b) du RGPD | Facilite l’exercice des droits et la formulation de questions. |
Finalités du traitement | Art. 13, § 1, c) du RGPD | Par exemple : protection des biens, sécurité des personnes, contrôle des accès. |
Base juridique | Art. 13, § 1, c) du RGPD | Le plus souvent l’article 6, § 1, c) ou f) du RGPD, selon le contexte. |
Intérêt légitime | Art. 13, § 1, d) du RGPD | Obligatoire lorsque le traitement repose sur l’article 6, § 1, f) du RGPD. |
Destinataires des données | Art. 13, § 1, e) du RGPD | Par exemple : société de sécurité, prestataire de maintenance, autorités publiques. |
Durée de conservation | Art. 13, § 2, a) du RGPD | Elle doit être précise ou fondée sur un critère clair. |
Droits des personnes concernées | Art. 13, § 2, b)-d) du RGPD | Accès, effacement, limitation, opposition, réclamation. |
Clause d’information et anonymisation des photos et des vidéos
En pratique, dans une logique de conformité, il est essentiel de distinguer l’enregistrement source du contenu préparé pour un usage ultérieur. Si le responsable du traitement envisage d’utiliser des extraits de photos ou de vidéos en dehors de la finalité initiale de sécurité, par exemple pour une publication, des supports de formation, une transmission à un partenaire ou la présentation d’un incident, il doit évaluer si une anonymisation des visages et des plaques d’immatriculation est nécessaire.
Dans des systèmes comme Gallio PRO, le traitement automatique porte sur les visages et les plaques d’immatriculation. Le logiciel n’anonymise pas les silhouettes complètes, ne réalise pas d’anonymisation du flux vidéo et ne fonctionne pas en temps réel. Il ne détecte pas non plus automatiquement les logos, tatouages, badges nominatifs, documents ni les images affichées sur des écrans de contrôle. Ces éléments peuvent être floutés manuellement dans l’éditeur. Cette distinction est importante pour le contenu de la clause d’information, car le responsable du traitement doit décrire l’étendue réelle des opérations effectuées sur les données ainsi que les destinataires du contenu après anonymisation.
Lorsque le floutage des visages repose sur un modèle d’IA, son fonctionnement comprend généralement deux étapes : la détection des objets dans l’image et l’application d’un masque ou d’un filtre de flou. Les modèles de ce type sont élaborés à l’aide de techniques de deep learning, mais la clause d’information n’a pas à révéler l’architecture du modèle. Elle doit en revanche préciser que le contenu peut faire l’objet d’une anonymisation technique afin de réduire le risque d’atteinte aux droits et libertés des personnes physiques.
Paramètres clés et critères de conformité
L’évaluation de la conformité d’une clause d’information ne repose pas sur des déclarations marketing, mais sur des critères formels et opérationnels vérifiables. Pour le DPO et le responsable du traitement, il est essentiel de vérifier si l’information est complète, accessible et conforme au cycle de vie réel des enregistrements.
- Exhaustivité : couverture de tous les éléments exigés par l’article 13 du RGPD.
- Accessibilité : information visible avant l’entrée dans la zone de vidéosurveillance.
- Lisibilité : langage simple, contraste adapté, taille de police appropriée à la distance du panneau.
- Cohérence des traitements : concordance entre la clause, la durée de conservation, le périmètre des caméras, l’exportation des enregistrements et les procédures d’anonymisation.
- Responsabilité démontrable : possibilité de prouver depuis quand et sous quelle forme l’obligation d’information a été respectée.
Un indicateur pratique est également la durée maximale de conservation des enregistrements. En droit polonais, certaines réglementations sectorielles prévoient des limites spécifiques, mais en règle générale, la durée doit être limitée au strict nécessaire et justifiée par la finalité poursuivie. Il ne convient pas d’indiquer une durée arbitraire sans lien avec l’analyse des risques et les procédures de gestion des incidents.
Erreurs les plus fréquentes dans les clauses d’information sur la vidéosurveillance
Les erreurs portent généralement moins sur la présence du panneau lui-même que sur son contenu et sur son lien avec le fonctionnement réel du système. Le fait d’omettre les opérations ultérieures sur le contenu, y compris l’anonymisation ou la communication des enregistrements à des tiers, constitue également un problème fréquent.
- Absence d’identification du responsable du traitement ou coordonnées incomplètes.
- Absence d’indication de la clause complète ou accès difficile à celle-ci.
- Finalité trop générale, par exemple le seul mot « sécurité ».
- Absence d’information sur les destinataires et les sous-traitants.
- Durée de conservation obsolète ou absence de critère pour la déterminer.
- Description non conforme à la pratique, par exemple absence de mention de l’exportation des enregistrements à des fins d’anonymisation.
Références normatives et sources
La définition et la pratique d’utilisation d’une clause d’information sur la vidéosurveillance doivent être fondées sur des sources primaires. En cas de divergence entre la pratique nationale et les positions européennes, le droit de l’Union et son interprétation prévalent.
- Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 – articles 12, 13, 5, § 1, a) et c).
- CEPD, Guidelines 3/2019 on processing of personal data through video devices, version finale du 29 janvier 2020.
- Loi polonaise du 10 mai 2018 relative à la protection des données à caractère personnel.
- Réglementations sectorielles relatives à la vidéosurveillance, lorsqu’elles sont applicables, par exemple le Code du travail ou les règles encadrant la vidéosurveillance dans les établissements scolaires.