Durées de conservation des vidéos pour la vidéosurveillance (CCTV) et les bodycams - Comment définir des limites pratiques

Un planning de conservation des vidéos (ou durée de conservation des vidéos) est un ensemble de règles documentées qui définit combien de temps les enregistrements CCTV et bodycam sont conservés avant suppression, ainsi que les conditions dans lesquelles certains extraits peuvent être conservés plus longtemps. Les décisions de conservation sont étroitement liées au fait que les images contiennent ou non des données personnelles identifiables et à la création éventuelle de versions expurgées à l’aide de techniques telles que le floutage des visages ou le floutage des plaques d’immatriculation.

Ce qui rend la conservation des images CCTV et bodycam licite

La conservation est licite lorsqu’elle est limitée à ce qui est nécessaire pour une finalité légitime et clairement définie, et qu’elle est appliquée de manière cohérente. Dans les cadres juridiques de l’UE et du Royaume-Uni, cela se traduit par le principe de limitation de la conservation et par l’obligation plus large d’aligner le traitement sur la finalité et la minimisation des données. Aux États-Unis, il n’existe pas d’équivalent fédéral unique, mais la durée de conservation reste un facteur clé de risque en matière de vie privée et de contentieux, notamment lorsque les images sont utilisées dans un contexte RH, de gestion d’incidents, d’assurance ou de communication externe. Une approche pragmatique consiste à combiner une durée de conservation courte par défaut pour les images brutes avec un processus opérationnel permettant d’expurger rapidement les extraits nécessaires à la formation, à la communication ou à l’archivage à long terme [1][2][3].

Comment l’anonymisation des données visuelles change l’équation de la conservation

Lorsque des images montrent des visages identifiables ou des plaques d’immatriculation, elles contiennent généralement des données personnelles. Si ces identifiants sont supprimés ou transformés de manière irréversible, de sorte que les personnes ne soient plus identifiables compte tenu des moyens raisonnablement susceptibles d’être utilisés, le résultat peut sortir du champ d’application du droit de la protection des données dans l’UE et au Royaume-Uni. En revanche, si le résultat reste seulement pseudonymisé ou faiblement flouté, il peut encore s’agir de données personnelles. C’est pourquoi de nombreuses organisations adoptent une approche à deux niveaux : conservation brève des images brutes pour la sécurité et la qualification des incidents, puis création de versions expurgées destinées à des besoins de plus long terme comme la formation, la communication ou l’analyse [1][3].

Visages : il n’existe pas de règle universelle imposant le floutage systématique des visages. La nécessité de flouter dépend de la finalité, de la base légale, du public visé et des règles nationales applicables à l’utilisation de l’image. En Pologne, la diffusion de l’image d’une personne est souvent appréciée au regard du droit civil et des règles liées au droit d’auteur, le consentement étant généralement requis sauf exception.

Plaques d’immatriculation : dans de nombreux pays d’Europe occidentale, le floutage des plaques lors de la publication ou d’une diffusion large est couramment attendu et, dans la pratique, souvent quasi obligatoire. En Pologne, la situation n’est pas uniforme. Les lignes directrices et les principes européens relatifs à l’identifiabilité tendent à considérer les plaques comme des données personnelles dans de nombreux cas, tandis que certaines décisions nationales ont adopté une approche plus restrictive dans des contextes spécifiques. Pour les organisations opérant à l’international, une approche pragmatique fondée sur le risque consiste à flouter les plaques des tiers lors de la publication ou du partage large, sauf nécessité clairement établie et documentée [1][3].

États-Unis : pourquoi les politiques de conservation sont essentielles même sans loi fédérale unique sur la vie privée

Les organisations américaines ne doivent pas supposer que l’absence du RGPD signifie l’absence d’obligations en matière de conservation. Des durées de conservation longues augmentent les risques au regard des législations étatiques sur la vie privée, des lois biométriques le cas échéant, des obligations liées aux violations de données et des actions fondées sur le droit commun. Pour les programmes CCTV et bodycam, une conservation prolongée accroît également l’exposition lors des procédures de discovery et des litiges avec les employés. Une politique défendable prévoit des durées courtes par défaut, un contrôle strict des extensions et l’utilisation du floutage pour réduire l’identifiabilité lorsque les images doivent être partagées ou conservées plus longtemps [4][5][6].

Méthode pas à pas pour définir des durées de conservation pratiques

Cette méthode vise à produire un planning de conservation utilisable par les équipes de sécurité et défendable pour les équipes conformité et juridiques.

1. Définir les finalités par caméra ou dispositif. Sécurité, enquête d’incident, sécurité du personnel, preuves disciplinaires ou juridiques. Évitez toute dérive de finalité.
2. Classifier les contextes de prise de vue. Entrées, périmètres, zones de production, entrepôts, espaces accueillant du public et bodycams terrain présentent des niveaux de risque et de valeur probante différents.
3. Fixer une durée de conservation courte par défaut pour les images brutes. Beaucoup d’organisations retiennent 24 à 72 heures pour les zones à faible risque et 7 à 30 jours pour les zones plus sensibles. Pour les bodycams, la durée par défaut est souvent très courte sauf signalement. Ces valeurs doivent être justifiées par une analyse documentée.
4. Définir des extensions liées aux incidents. Lorsqu’un extrait est signalé pour enquête ou réclamation, ne conservez que les passages pertinents et alignez la durée sur le cycle de vie du dossier.
5. Mettre en place un workflow de floutage pour les besoins à long terme. Pour la formation, la communication ou le partage contrôlé, créez une copie expurgée (floutage des visages et, si nécessaire, des plaques). Conservez cette version plus longtemps et supprimez l’original brut sauf obligation légale de conservation.
6. Automatiser les suppressions. Implémentez une suppression automatique et cohérente selon le planning, avec un enregistrement minimal des opérations sans données personnelles inutiles.
7. Réviser annuellement. Réévaluez les finalités, les risques et le cadre juridique. L’amélioration des techniques de floutage permet souvent de réduire la conservation brute et d’allonger la conservation expurgée.

Pour mettre en œuvre cette approche avec un outil on‑premise, découvrez Gallio PRO. Le logiciel prend en charge le floutage automatique des visages et des plaques d’immatriculation pour les images et vidéos préenregistrées, ainsi qu’un éditeur manuel simple pour masquer d’autres éléments si nécessaire.

Durées de conservation indicatives pour la vidéosurveillance et les bodycams

Les plages ci-dessous ne constituent pas un avis juridique. Elles reflètent des pratiques courantes observées dans des programmes de conformité et restent dépendantes du contexte. Le choix final doit toujours être lié à des finalités documentées, au contexte des caméras et à l’analyse des risques.

Si des extraits sont nécessaires pour la formation ou la communication, créez rapidement une version expurgée et supprimez la source brute dès qu’elle n’est plus nécessaire. Pour tester concrètement le workflow de floutage, vous pouvez télécharger une version de démonstration.

États-Unis + UE et Royaume-Uni : matrice de décision sur la conservation

Pour éviter de multiplier les tableaux comparatifs UE/Royaume-Uni, la matrice ci-dessous est organisée par point de décision. Elle met en évidence ce qui diffère généralement aux États-Unis et les convergences entre les programmes européens.

Notes technologiques : logiciels on‑premise et workflows contrôlés

Pour des raisons de confidentialité et de bande passante, de nombreuses organisations privilégient des logiciels on‑premise pour traiter les enregistrements CCTV et bodycam. Gallio PRO est un logiciel installé localement qui automatise le floutage des visages et des plaques d’immatriculation pour les photos et vidéos préenregistrées. Il n’anonymise pas les silhouettes complètes, ne fonctionne pas en temps réel et ne floute pas automatiquement les logos, tatouages, badges nominatifs, documents ou contenus affichés à l’écran. Ces éléments peuvent toutefois être masqués via l’éditeur manuel intégré.

Dans une logique de minimisation des données, réduire les métadonnées liées aux éléments identifiables est une bonne pratique. Gallio PRO ne collecte pas de journaux contenant des détections de visages ou de plaques et ne génère pas de logs incluant des données personnelles ou sensibles, ce qui évite la création de nouveaux référentiels de données personnelles.

Notes régionales : visages et plaques lors de la publication d’images

Lors de la publication externe d’images ou de vidéos, le floutage des visages ou un autre mécanisme licite (comme un consentement valide) est couramment utilisé sauf exception légale. Pour les plaques d’immatriculation, les pratiques de conformité dans l’UE et au Royaume-Uni attendent généralement que les contenus publiés ne permettent pas l’identification sans nécessité. En Europe occidentale, le floutage des plaques est largement appliqué et souvent considéré comme quasi obligatoire en pratique. En Pologne, les interprétations ayant varié, de nombreuses organisations appliquent le floutage par prudence et documentent leur analyse au regard du test d’identifiabilité [1][3].

Les équipes qui envisagent des projets de floutage à grande échelle ou en traitement par lots peuvent nous contacter pour discuter des workflows volumétriques et de l’intégration avec leurs mécanismes de conservation et de suppression.

FAQ - Durées de conservation des vidéos CCTV et bodycam

Quelle doit être la durée de conservation par défaut pour la vidéosurveillance ?

Une approche courante consiste à prévoir 24-72 heures pour les zones à faible risque et 7-30 jours pour les zones plus sensibles, sous réserve d’une justification écrite fondée sur la finalité et l’analyse des risques.

Les images floutées peuvent-elles être conservées plus longtemps ?

Souvent oui, si le floutage est suffisamment robuste pour rendre les personnes non identifiables compte tenu des moyens raisonnablement utilisables. Les techniques doivent être validées et revues périodiquement [3].

Les plaques d’immatriculation sont-elles toujours des données personnelles ?

Pas toujours. Elles sont fréquemment considérées comme des données personnelles dans les contextes UE et Royaume-Uni lorsqu’elles permettent une identification directe ou indirecte, d’où le floutage largement pratiqué lors de la publication. En Pologne, les interprétations ont varié, ce qui conduit beaucoup d’organisations à flouter par prudence et à documenter leur décision [1][3].

Qu’en est-il des enregistrements bodycam ?

Les bodycams capturant des personnes à courte distance et parfois dans des contextes sensibles, les durées par défaut sont généralement courtes, avec conservation prolongée uniquement pour les extraits signalés selon la politique interne. Celle-ci doit préciser qui peut signaler, accéder et décider de la suppression.

Le choix de l’outil a-t-il un impact sur la conservation ?

Oui. Un logiciel capable de flouter de manière cohérente les visages et les plaques, complété par un masquage manuel simple, permet souvent de réduire la conservation des images brutes et d’allonger celle des versions expurgées lorsque cela est justifié.

Gallio PRO traite-t-il les données en temps réel ?

Non. Gallio PRO ne réalise pas d’anonymisation en temps réel ni sur des flux vidéo. Il traite des fichiers et automatise le floutage des visages et des plaques.

Les logos, tatouages ou badges peuvent-ils être floutés automatiquement ?

Non automatiquement. Ces éléments peuvent être masqués à l’aide de l’éditeur manuel intégré.