Les traitements de données à caractère personnel par dispositifs vidéo

Le Comité européen de la protection des données (CEPD) a adopté le 29 janvier 2020 des lignes directrices qui expliquent comment appliquer les principes du règlement général sur la protection des données (RGPD) dans le contexte des captations vidéo de personnes. Nous vous présentons notre analyse de ces orientations.

A noter : les lignes directrices abordent également la question particulière de l’encadrement juridique des traitements de données biométriques qui ne sont pas traitées ici (voir sur ce point notre article Comprendre le traitement de données biométriques à l'heure du Covid-19).

L’application du RGPD à un enregistrement vidéo

Les traitements de données à caractère personnel par le biais de dispositifs vidéo concernent principalement les dispositifs de vidéosurveillance installés pour assurer la sécurité des personnes et des biens. Ils peuvent également servir à des fins de prospection commerciale ou encore de suivi des performances des employés.

En principe, quelle qu’en soit la finalité, le RGPD trouve pleinement application lorsque des dispositifs vidéo enregistrent l’image d’individus identifiables. En effet, la captation d’images a pour effet de traiter un certain nombre de données identifiantes qui ont trait à l’apparence d’une personne filmée, ainsi qu’à sa présence et à son comportement, par exemple, ses allées et venues. Ces dernières peuvent avoir une signification particulière selon le contexte, l’heure et le lieu de l’enregistrement. Ainsi, dans certains cas, des données sensibles peuvent être extraites des enregistrements vidéo. Elles relèveraient alors du régime d’interdiction de principe du traitement des données prévu à l’article 9 (1) du RGPD. Dans cette hypothèse, le responsable de traitement devra, d’une part, justifier d’un motif lui permettant de déroger à l’interdiction de principe et, d’autre part, établir une base légale appropriée conformément à l’article 6 (1) du RGPD.

Par exception, les lignes directrices précisent que le RGPD ne s’applique pas si la vidéo :

• ne peut pas permettre d’identifier, directement ou indirectement, la personne ; et/ou
• est réalisée par une personne physique dans le cadre d'une activité exclusivement personnelle ou domestique, cette situation étant toutefois appréciée de façon stricte dans le contexte de la vidéosurveillance.

Les bases légales pertinentes pour les traitements de données à caractère personnel par vidéo

Les lignes directrices détaillent en outre les conditions d’évaluation, de choix et d’application des bases légales qui sont le plus susceptibles d’être utilisées dans le contexte de captations vidéo, à savoir celles relatives :

• aux intérêts légitimes poursuivis par le responsable du traitement ou par un tiers (article 6 (1) (f) RGPD), lesdits intérêts devant être réels et actuels, évalués en fonction d’un contexte particulier et mis en balance par rapport à l’impact qu’aurait le traitement sur les droits et les libertés des personnes filmées ;
• à la nécessité d’exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement (article 6 (1) (e) RGPD) ;
• au consentement libre, spécifique, informé et dénué d’ambiguïté de la personne (article 6 (1) (a) RGPD), bien que les cas où ce motif pourra être utilisé semblent devoir se présenter plus rarement.

La divulgation des enregistrements vidéo à des tiers

La divulgation de séquences vidéo contenant des données à caractère personnel est constituée en cas de transmission individuelle à un tiers ou de publication à l’attention du public, surtout via Internet. Chaque divulgation constitue un traitement différent de l’enregistrement et nécessite qu’une base légale propre à la divulgation soit définie par l’émetteur, mais aussi par le tiers destinataire des informations.

En fonction de la base légale choisie, lorsque la divulgation n’est pas fondée sur le consentement de la personne concernée ou sur une obligation légale, le responsable de traitement devra déterminer si les finalités de la divulgation sont compatibles avec les finalités initiales de collecte, c’est-à-dire de l’enregistrement. Le risque d’utilisation des données recueillies à des fins qui n’étaient pas prévues lors de la collecte constitue l’un des enjeux principaux de ce type d’opération et le responsable de traitement doit y porter une attention particulière car des finalités incompatibles ne font pas bon ménage : la divulgation serait illégale.

En cas de communication des données aux forces de l’ordre, la divulgation se fonde sur le respect d’une obligation légale à laquelle le responsable de traitement est soumis en vertu des règles du droit pénal national. Il n’est dans ce cas précis pas nécessaire de justifier le changement de finalité du traitement. Le traitement de ces données par les forces de l’ordre est ensuite réalisé conformément à la directive 2016/680 relative au traitement de données à caractère personnel par les autorités compétentes en matière pénale.

Lorsque la divulgation est réalisée vers des pays tiers à l’Espace économique européen ou vers des organisations internationales, elle doit faire l’objet de garanties de protection spécifiques prévues aux articles 44 et suivants du RGPD.

Les droits et l’information des personnes faisant l’objet d’un traitement par captation vidéo

Compte tenu de la nature spécifique du traitement vidéo, les droits des personnes dont les données à caractère personnel sont traitées sont nécessairement adaptés. En matière de droit d’accès aux données, une demande émanant d’une personne concernée pourrait être refusée, sous certaines réserves, si elle est susceptible de porter atteinte aux droits des autres personnes figurant sur la vidéo enregistrée, ou si le responsable de traitement n’est pas en mesure de rechercher l’image de la personne compte tenu du volume trop important des données.

Le responsable de traitement doit également tenir compte de la spécificité des enregistrements vidéo pour mettre en œuvre en pratique le droit à l’effacement et le droit d’opposition. Ainsi, par exemple, le fait de flouter de manière irréversible l’image d’une personne enregistrée par un dispositif de vidéosurveillance est considéré comme un effacement valable au sens du RGPD.

Par ailleurs, afin de se conformer à son obligation d’information des personnes, le responsable du traitement doit mettre en place un premier niveau d’information, par exemple en affichant un panonceau dont le contenu peut être limité aux informations essentielles. Ce panonceau doit faire référence à un second niveau d’information, lequel doit fournir l’ensemble des informations requises par l’article 13 du RGPD, sous formats numériques et non numériques (téléphone, bureau d’information sur place, affichage détaillé sur place). Quel que soit son niveau, l’information doit être accessible sans que l’individu n’ait à entrer dans la zone filmée.

La sécurisation des traitements relatifs aux captations vidéo

Le responsable de traitement doit mettre en place des mesures organisationnelles et techniques destinées à assurer la sécurité physique et numérique des données enregistrées et à en contrôler l’accès, dans le respect des principes de Privacy by design et Privacy by default.

Il n’est en droit de conserver les images que pour une durée qui n’excède pas celle nécessaire au regard des finalités pour lesquelles elles ont été enregistrées, dans le strict respect des règles de droit national en la matière.

Actualité du Droit de la propriété intellectuelle :

Cet article a été publié dans notre Lettre Propriétés Intellectuelles de juillet 2020. Découvrez les autres articles de cette lettre.

Technologie, Media et Communication dans notre cabinet d’avocats :

Si les avancées technologiques constituent de formidables opportunités, elles sont également un vecteur de risques pour les entreprises. Dans cet environnement évolutif, notre cabinet d’avocats met à votre disposition sa fine compréhension des nouvelles technologies, son expertise reconnue en matière de propriété intellectuelle ainsi que sa parfaite maîtrise du droit des contrats.

A propos de notre cabinet d'avocats

Expertise : Technologie, Media et Communication

Nous contacter