puis-je conserver des images de surveillance des clients dans mon magasin

La conservation d'images de vidéosurveillance est autorisée, mais pas de manière illimitée

Les images de vidéosurveillance de clients peuvent être conservées, à condition qu'un objectif clairement défini soit poursuivi et que les images ne soient pas conservées plus longtemps que nécessaire pour atteindre cet objectif. L'objectif courant dans un magasin est la sécurité : prévenir les vols, les cambriolages ou la violence contre le personnel et pouvoir enquêter après coup. Pour cet objectif, la pratique impose une durée de conservation courte — une surveillance qui n'a pas donné lieu à la mise à part d'images après quelques semaines doit en règle générale être supprimée. Les images de vidéosurveillance sont des données à caractère personnel dès lors qu'un client y est reconnaissable, et dès lors leur enregistrement, leur conservation et leur consultation relèvent du RGPD, tout comme un fichier clients ou un dossier de candidature.

Ce que la caméra enregistre doit aussi être proportionné à l'objectif. Une caméra qui filme la caisse et l'entrée à titre de sécurité repose sur un fondement différent d'une caméra constamment braquée sur le personnel pour contrôler les performances — ce dernier cas poursuit un objectif différent et exige une évaluation différente. Il en va aussi ainsi : les clients et le personnel doivent pouvoir savoir qu'il y a des caméras, généralement au moyen d'un panneau clairement visible à l'entrée, et que les images ne sont pas utilisées à un objectif autre que celui pour lequel elles ont été installées. Celui qui, en sus des images de sécurité, enregistre également d'autres données clients, par exemple pour une infolettre ou un fichier clients, ferait bien d'évaluer séparément ces traitements — le fondement et la durée de conservation peuvent différer selon le type de données.

Fondement juridique et limitation de la durée de conservation selon le RGPD

L'exigence d'un fondement juridique valide pour l'enregistrement de clients découle de l'article 6 du RGPD, qui décrit les conditions du traitement licite ; pour la sécurité d'un magasin, on se fonde généralement sur l'intérêt légitime de l'entreprise. Le fait que les images ne puissent être conservées plus longtemps que nécessaire pour atteindre cet objectif découle du principe de limitation de la durée de conservation énoncé à l'article 5 du RGPD. Ces règles s'appliquent partout dans l'UE directement, car le RGPD est un règlement ; ce qui varie, c'est l'autorité de contrôle qui en surveille l'application dans un État membre et l'éventuelle explication supplémentaire que cette autorité fournit — aux Pays-Bas, il s'agit de l'Autorité néerlandaise de protection des données, qui publie également des lignes directrices pratiques sur la vidéosurveillance. Pour la question plus large de savoir quelles entreprises relèvent de ces règles, voir le RGPD s'applique aussi aux travailleurs indépendants et aux petites entreprises; et celui qui se demande quel fondement juridique s'applique exactement à un traitement spécifique trouvera les possibilités exposées dans quand puis-je traiter des données à caractère personnel.