Combien de temps puis-je conserver les images de vidéosurveillance de mon entreprise ?
Le RGPD lui-même ne fixe pas de durée précise pour les images de vidéosurveillance. Le règlement stipule que les données à caractère personnel ne sont conservées que pendant le temps nécessaire à la réalisation de la finalité pour laquelle elles ont été collectées, et laisse à l'organisation elle-même le soin de déterminer cette durée et de pouvoir l'expliquer.
Pour la surveillance par caméra sur le lieu de travail, en magasin ou dans un bâtiment commercial, l'Autorité de protection des données pose dans ses lignes directrices comme principe une durée de conservation d'environ quatre semaines, sauf s'il existe une raison concrète de conserver les images plus longtemps. Ce principe n'est pas explicitement énoncé dans la loi, mais c'est la manière dont l'autorité de contrôle applique le principe de minimisation des données à cette situation spécifique. Quiconque conserve systématiquement les images pendant trois mois ou plus sans raison valable s'écarte de ce principe.
Pourquoi quatre semaines et pas plus ?
La finalité de la surveillance par caméra est généralement la sécurité : prévenir les vols, élucider les cambriolages, pouvoir reconstituer des incidents impliquant du personnel ou des visiteurs. Dès que cette finalité n'existe plus, la raison de conserver les images disparaît également. Quatre semaines est considéré comme la période pendant laquelle un incident est normalement détecté et signalé : une différence de caisse, une réclamation, un sinistre. Si vous conservez systématiquement les images plus longtemps, vous devez être en mesure d'expliquer pourquoi cela est nécessaire pour votre situation, par exemple parce que les contrôles ne se font qu'après un cycle plus long.
Quand une durée de conservation plus longue peut-elle être justifiée
Il existe des situations où une durée de conservation plus longue peut être justifiée. Pensez à des images faisant partie d'une enquête en cours sur un vol, un différend avec un fournisseur où les images de vidéosurveillance servent de preuve, ou une demande de la police dans le cadre d'une affaire pénale. Dans ces cas, vous ne conservez pas l'ensemble des images plus longtemps, mais vous isolez le fragment pertinent et supprimez le reste selon la durée normale. Cette sélection, et la raison de celle-ci, est mieux documentée au moment même, et non rétroactivement.
Les caméras doivent également figurer dans le registre des activités de traitement
La surveillance par caméra est un traitement de données à caractère personnel comme tout autre, et doit donc figurer comme élément distinct dans le registre des activités de traitement : avec la finalité, la durée de conservation, qui a accès aux images et si une surveillance s'effectue vers l'extérieur (avec risque de capturer des images de la voie publique, ce qui demande une attention particulière). De nombreux entrepreneurs oublient cet élément parce qu'il ne s'agit pas d'un outil SaaS ou d'un prestataire, mais d'un système propre. Dans la base de connaissances où les durées de conservation ont été examinées situation par situation la surveillance par caméra figure comme sujet distinct à côté d'autres durées de conservation fréquemment posées.
Que faire si un collaborateur ou un client demande les images
Une personne concernée qui apparaît sur les images peut demander l'accès. Ce n'est pas une demande exceptionnelle : elle relève des droits ordinaires des personnes concernées. En pratique, cela signifie que vous devez être capable de montrer ou de remettre les images sur lesquelles le demandeur apparaît, avec les autres personnes sur les images rendues méconnaissables. Plus courte est votre durée de conservation, moins probable est la nécessité d'organiser cela rétroactivement sur une grande quantité de matériel.
Images de vidéosurveillance et violation de données
Un point distinct, mais pertinent : si un disque dur contenant des images de vidéosurveillance est volé, un système est piraté ou les images sont accidentellement largement accessibles, c'est en principe une violation de données comme toute autre. La question de savoir si elle doit être signalée à l'Autorité de protection des données dépend du risque pour les personnes sur les images. Si vous en doutez, vous pouvez en cinq questions pour voir où vous en êtes vérifier.
Sécurité des images elles-mêmes
Outre la durée de conservation, il importe aussi de savoir qui peut accéder aux images. Un système accessible à tous les membres du personnel avec un seul mot de passe ne s'accorde pas bien avec le principe selon lequel l'accès doit être limité à ceux qui en ont vraiment besoin. Pour en savoir plus sur ce qui est habituel à cet égard, lisez ci-dessous comment les données telles que les images de caméra doivent être sécurisées.
Que votre durée de conservation actuelle et vos règles d'accès conviennent à votre situation spécifique est une question que vous discuteriez au mieux avec un juriste ou, en cas de doute sur l'obligation de notification, avec l'Autorité pour la protection des données elle-même. Si vous souhaitez d'abord avoir une idée de la place que la vidéosurveillance occupe dans votre registre et votre documentation, vous pouvez effectuer l'analyse rapide gratuite ou consulter les sujets relatifs aux données de personnel et aux caméras.