Protection des données et caméras : à quoi veiller en entreprise

Installer des caméras dans une entreprise est un travail technique. Conserver les images conformément à la loi est une responsabilité distincte, et elle incombe à l’employeur qui exploite le système, non à la société qui l’a installé.

Ce qui suit n’est pas un avis juridique mais une synthèse des sujets que nous rencontrons le plus souvent sur le terrain. Consultez votre conseil juridique pour une évaluation propre à votre site.

Qui est responsable de traitement

L’entreprise qui exploite le système de caméras est le responsable de traitement. La société qui l’installe ou l’entretient est, selon le contrat, sous-traitant. L’essentiel des obligations pèse sur le responsable.

Obligation d’information

Aux accès des zones sous caméras doit figurer une information visible sur la surveillance. Cette information ne doit pas se limiter à la mention « sous vidéosurveillance » : elle doit indiquer l’identité du responsable et comment accéder au texte d’information détaillé.

Pour les salariés, une information écrite est en outre attendue, via les documents d’embauche ou le règlement intérieur.

Où les caméras n’ont pas leur place

En vertu du principe de limitation des finalités, on ne surveille pas là où la finalité de sécurité ne l’exige pas. Vestiaires, toilettes, salles de pause et lieux de culte en font partie. Les installations où un salarié est filmé en continu en gros plan, se transformant en mesure de productivité, sortent également de la finalité.

Un champ de vision débordant sur une parcelle voisine ou l’espace public pose un problème distinct ; une limitation d’angle ou un masquage doit être prévu lors de la visite.

Durée de conservation

Les enregistrements ne doivent pas être conservés plus longtemps que la finalité de sécurité ne l’exige. En pratique, une plage de 15 à 30 jours est évoquée pour la plupart des entreprises ; si une réglementation sectorielle impose une durée plus longue, c’est elle qui prime.

Le lien technique compte : la durée détermine la capacité disque. L’approche « conservons tant qu’on peut » conduit à une rétention inutile et à des suppressions imprévisibles. Décider d’abord la durée, dimensionner ensuite.

Habilitations d’accès

Il faut définir qui peut accéder aux enregistrements et appliquer techniquement cette définition dans le système. Le manque le plus fréquent : tous les responsables partagent le même compte tout-puissant ; impossible alors de savoir qui a téléchargé un enregistrement.

Dans une bonne installation, les utilisateurs sont définis individuellement, les droits de téléchargement restent limités et les accès sont journalisés.

Quand une demande arrive

Une personne concernée peut demander des informations sur les enregistrements la concernant. Une telle demande peut exiger le masquage d’autres personnes. La capacité logicielle du système à le faire doit être évaluée à l’installation, pas après réception de la demande.

Courte liste de contrôle

• Y a-t-il une information visible aux accès ?
• Les salariés ont-ils été informés par écrit ?
• Les zones privées sont-elles exclues et les débordements masqués ?
• La durée de conservation est-elle décidée et le disque dimensionné en conséquence ?
• Les utilisateurs sont-ils individualisés, les téléchargements limités, les accès journalisés ?