Manquements au RGPD en vidéosurveillance : ce qui arrive en cas d'erreur
La vidéosurveillance fait partie des standards des concepts de sécurité modernes. Les entreprises protègent ainsi bâtiments, installations de production, zones de stockage ou surfaces de vente contre le vol, le vandalisme et le sabotage. Mais la pression réglementaire s'accroît : les exploitants doivent s'assurer que leur vidéosurveillance respecte les exigences du règlement général sur la protection des données (RGPD) et de la loi fédérale allemande sur la protection des données (BDSG). Des erreurs de conception, d'installation ou d'exploitation peuvent non seulement provoquer des plaintes et des atteintes à l'image, mais aussi entraîner des amendes considérables.
La vidéosurveillance en Allemagne fait souvent naître une tension entre intérêt sécuritaire et droits de la personnalité. Car tout enregistrement vidéo de données à caractère personnel porte potentiellement atteinte aux droits des personnes concernées.
Bases juridiques : quand la vidéosurveillance est-elle autorisée ?
En droit de la protection des données s'applique en principe le régime de « l'interdiction sous réserve d'autorisation ». Le traitement de données à caractère personnel est en principe interdit tant qu'aucune base légale n'existe. Dès lors que des personnes sont identifiables sur les enregistrements – par leur visage, leurs vêtements ou une plaque d'immatriculation –, il s'agit de données à caractère personnel.
En pratique, les exploitants fondent le plus souvent leur vidéosurveillance sur :
- L'art. 6, par. 1, point f, du RGPD (« intérêt légitime »)
- Le § 4 du BDSG pour les espaces accessibles au public
- Dans certains cas, sur des consentements au titre de l'art. 6, par. 1, point a, du RGPD
La base la plus importante pour les exploitants professionnels est l'art. 6, par. 1, point f, du RGPD. Selon cette disposition, un traitement est licite s'il est nécessaire à la sauvegarde d'intérêts légitimes et qu'aucun intérêt prépondérant des personnes concernées ne s'y oppose.
Intérêts légitimes typiques
- Protection contre l'effraction et le vol
- Exercice du droit de propriété sur les lieux
- Protection des collaborateurs
- Préservation des preuves en cas d'infraction
- Sécurisation d'infrastructures critiques
Obligations des exploitants : que faut-il respecter ?
Les exploitants doivent non seulement démontrer l'existence d'une base juridique licite, mais aussi satisfaire à d'importantes obligations d'information, de documentation et de protection. De nombreux manquements au RGPD ne résultent pas de la caméra elle-même, mais d'un manque de transparence ou de processus organisationnels défaillants.
Obligations de transparence au titre des art. 12 et 13 du RGPD
Les personnes concernées doivent pouvoir constater qu'une vidéosurveillance est en place avant même de pénétrer dans la zone surveillée. Les informations obligatoires comprennent notamment :
- Le responsable de traitement : nom et coordonnées de l'entreprise
- La finalité de la surveillance : mention concrète telle que « prévention des vols » ou « protection contre le vandalisme »
- La base juridique : le plus souvent l'art. 6, par. 1, point f, du RGPD ou le § 4 du BDSG
- La durée de conservation : par exemple « conservation pendant 72 heures » ou « suppression automatique après trois jours »
- Les droits des personnes concernées : droit d'accès, droit à l'effacement, droit d'opposition
Panneaux d'information : mentions obligatoires pour les exploitants
Le panneau classique signalant la présence de caméras demeure un élément central d'une vidéosurveillance conforme au RGPD. Il doit être apposé de manière que les personnes puissent constater la surveillance avant d'entrer dans la zone surveillée.
Les mentions obligatoires typiques d'un panneau conforme au RGPD sont :
- Un pictogramme de caméra bien visible
- Le nom du responsable de traitement
- La finalité concrète de la surveillance
- Les coordonnées de contact
- Un renvoi vers des informations détaillées sur la protection des données
De nombreuses entreprises utilisent en complément des QR codes ou des URL courtes permettant aux personnes concernées d'accéder à l'information complète.
Durées de conservation et exigences techniques
Le RGPD pose à son article 5, par. 1, point e, le principe de limitation de la conservation. Les données à caractère personnel ne peuvent être conservées que le temps nécessaire à la finalité poursuivie. En pratique, des durées de 48 à 72 heures servent souvent de repère. Aucun délai légal rigide n'existe toutefois.
Des durées de conservation plus longues doivent être justifiées de manière compréhensible, par exemple par des situations de week-end, de jours fériés ou des risques de sécurité particuliers. Une routine d'effacement documentée, avec écrasement automatique ou concepts d'effacement définis, est essentielle.
Où les caméras peuvent-elles être installées ?
Toutes les zones ne peuvent pas être surveillées. La vidéosurveillance est régulièrement illicite dans les sanitaires, les vestiaires, les salles de pause ou les zones de sommeil et de repos. Les droits de la personnalité des personnes concernées y prévalent presque toujours.
Dans les zones d'entrée, les parkings couverts ou les surfaces de vente, la vidéosurveillance est en principe possible dès lors qu'elle est nécessaire et transparente. Les caméras ne peuvent couvrir que la zone effectivement nécessaire.
Particularités des caméras-piétons
Les caméras-piétons sont de plus en plus utilisées dans différents domaines. La Deutsche Bahn en équipe le personnel d'accompagnement des trains et les agents de sécurité afin de protéger les collaborateurs dans des situations conflictuelles. Les caméras ne sont en règle générale activées qu'en cas de besoin.
Le secteur de la santé les expérimente également : le Klinikum Dortmund teste par exemple leur usage dans les services d'urgence pour protéger le personnel contre les agressions. L'utilisation est volontaire et n'est activée que dans des situations conflictuelles concrètes – jamais pendant les soins ou des entretiens confidentiels.
Sur le plan juridique, leur usage par des sociétés de sécurité privées ainsi que dans de nombreux domaines civils relève du RGPD et du BDSG. L'art. 6, par. 1, point f, du RGPD (intérêt légitime) est souvent invoqué comme base juridique, mais il est soumis à des exigences strictes de proportionnalité, de limitation des finalités et de transparence.
Conseils pratiques pour une mise en œuvre conforme au RGPD
Pour une vidéosurveillance juridiquement sûre, les exploitants devraient suivre les étapes suivantes :
- Documenter la mise en balance des intérêts : la surveillance est-elle vraiment nécessaire ? Existe-t-il des moyens moins intrusifs ?
- Modèle d'information à deux niveaux : un panneau synthétique sur place et des informations détaillées accessibles par QR code
- Routines d'effacement automatiques : mettre en place des concepts d'effacement définis
- Utiliser les fonctions de confidentialité : recourir au masquage de zones ou aux fonctions d'occultation
- Tenir une documentation : maintenir à jour le registre des activités de traitement
Perspectives : des exigences de conformité croissantes
La pression réglementaire sur les exploitants de vidéosurveillance augmente continuellement. Les autorités de protection des données vérifient de plus en plus si les processus ont été documentés de manière compréhensible. Dans certains cas, une analyse d'impact relative à la protection des données (AIPD) devient nécessaire, en particulier en cas de surveillance étendue d'espaces accessibles au public ou d'analyse vidéo intelligente.
Les entreprises devraient donc solliciter un conseil juridique de manière précoce et vérifier régulièrement la conformité de leurs concepts de vidéosurveillance au RGPD. Une planification soignée évite des mises à niveau coûteuses et des amendes.
