Vidéosurveillance dans les ascenseurs et les parties communes d’un immeuble : obligations de l’administrateur de biens

La vidéosurveillance dans les ascenseurs et les parties communes d’un immeuble implique le traitement de l’image, c’est-à-dire de données qui permettent très souvent d’identifier une personne précise. Du point de vue de la conformité, la question essentielle pour le gestionnaire n’est pas : « peut-on filmer ? », mais plutôt : « que faut-il mettre en place pour gérer les images légalement et les communiquer en toute sécurité ? ». En pratique, cela suppose avant tout de bien déterminer qui est le responsable du traitement, de limiter la finalité du dispositif, de contrôler l’accès aux enregistrements et d’anonymiser les données visuelles avant de remettre une copie à d’autres personnes ou entités.

Dans les immeubles d’habitation collective et les bâtiments de bureaux, le sujet est particulièrement concret. Une caméra dans l’ascenseur enregistre les visages de près. Une caméra dans le parking souterrain capte souvent aussi les plaques d’immatriculation. Une caméra dans le hall montre non seulement les résidents ou les salariés, mais aussi les visiteurs, les livreurs et les techniciens. Toute communication de ce type de séquence exige donc une évaluation distincte des risques et de la finalité poursuivie.

Qui est responsable du traitement pour la vidéosurveillance des parties communes

Le responsable du traitement est l’entité qui détermine les finalités et les moyens du traitement des images. Dans un immeuble résidentiel, il s’agira le plus souvent de la copropriété, d’une coopérative de logement ou du propriétaire de l’immeuble agissant par l’intermédiaire du gestionnaire. Dans un immeuble de bureaux, le responsable du traitement peut être le propriétaire, la société de gestion ou le locataire, si celui-ci a mis en place la vidéosurveillance de manière autonome dans les locaux loués.

Le gestionnaire immobilier n’est pas toujours, à lui seul, responsable du traitement. S’il agit exclusivement sur la base d’un contrat et suit les instructions du propriétaire ou de la copropriété, il intervient plus souvent comme sous-traitant. En revanche, s’il décide de manière autonome de l’emplacement des caméras, de la durée de conservation, des règles de communication des images et des finalités du système, il peut être qualifié de responsable du traitement ou de responsable conjoint. Cette appréciation dépend du modèle organisationnel retenu.

En pratique, pour sécuriser la conformité, le plus prudent est de formaliser ce rôle par écrit. À défaut, il devient difficile de répondre correctement à la demande d’un résident souhaitant accéder à un enregistrement, de respecter l’obligation d’information et de décrire la base juridique du traitement conformément aux articles 5, 6, 12 et 13 du RGPD [1].

Ce que l’administrateur doit faire pour que la vidéosurveillance soit conforme à la loi

L’approche de conformité la plus courante repose sur cinq étapes. Premièrement, il faut définir clairement la finalité de la vidéosurveillance, par exemple la sécurité des personnes et des biens, le contrôle d’accès aux zones communes ou l’analyse d’incidents. Deuxièmement, le champ capté doit être limité au strict nécessaire au regard de cette finalité. Une caméra dans un ascenseur ne devrait pas filmer des zones sans lien avec la sécurité. Troisièmement, il faut fixer une durée de conservation des enregistrements et ne pas les conserver plus longtemps que nécessaire. Quatrièmement, l’accès aux images doit être réservé à un nombre limité de personnes. Cinquièmement, il convient de mettre en place une procédure de communication des copies d’enregistrements à des tiers.

C’est précisément au moment de la communication des enregistrements qu’apparaît le plus souvent la nécessité d’anonymiser les images. Si une séquence doit être transmise à un résident, à un locataire, à une société de sécurité, à un assureur ou à un cabinet chargé du dossier, le responsable du traitement doit généralement vérifier si l’enregistrement contient les visages d’autres personnes ou les plaques d’immatriculation de véhicules sans lien avec la demande. Dans ce cas, la pratique habituelle consiste à flouter les visages et les plaques avant de remettre la copie.

Visages et plaques d’immatriculation : que faut-il anonymiser avant de communiquer un enregistrement ?

L’image d’une personne figurant sur un enregistrement de vidéosurveillance constitue très souvent une donnée à caractère personnel. Cela résulte de la conception large de l’identifiabilité au sens du RGPD et de l’approche constante des autorités de contrôle concernant les images issues de caméras [1][2][3]. C’est pourquoi, lors de la transmission d’un enregistrement à un autre résident ou à un organisme externe, les organisations appliquent fréquemment le principe selon lequel tous les visages de tiers visibles à l’écran doivent être anonymisés.

L’obligation d’anonymiser les visages avant de communiquer des enregistrements découle avant tout des principes du RGPD, en particulier de la minimisation des données et de la protection des droits et libertés des autres personnes. Les règles du droit civil et du droit d’auteur relatives au droit à l’image relèvent d’un autre contexte et ne constituent pas, à elles seules, une base autonome régissant la communication d’enregistrements de vidéosurveillance. Les exceptions connues en droit d’auteur, telles qu’une personne publique ou une image accessoire dans un ensemble, ne permettent en principe pas de trancher les obligations du responsable du traitement lorsqu’il répond à une demande d’accès à un enregistrement. Dans le contexte de la vidéosurveillance des immeubles, elles seront de toute façon rarement applicables.

S’agissant des plaques d’immatriculation, la situation n’est pas entièrement univoque en Pologne. D’un côté, les lignes directrices des autorités de protection des données et une approche de précaution militent en faveur de leur floutage lors de la communication d’enregistrements à des tiers. De l’autre, la jurisprudence administrative a parfois retenu que la plaque d’immatriculation, à elle seule, ne constitue pas toujours une donnée à caractère personnel. Pour un administrateur d’immeuble, la conclusion pratique est simple : lors de la communication d’un enregistrement provenant d’un garage ou d’une rampe d’accès, il est plus sûr de considérer le floutage des plaques comme la règle.

Dans quels cas un résident peut-il obtenir un enregistrement de vidéosurveillance ?

Le résident dont l’image a été enregistrée peut demander l’accès à ses données dans les conditions prévues par le RGPD. Cela ne signifie toutefois pas qu’il faille lui remettre automatiquement le fichier vidéo brut. Le responsable du traitement doit d’abord vérifier si le demandeur agit bien en tant que personne concernée, si la demande porte sur un événement déterminé et si son exécution ne porte pas atteinte aux droits et libertés d’autres personnes [1].

En pratique, le modèle d’action le plus fréquent est le suivant. On identifie d’abord l’extrait correspondant à l’événement indiqué. On vérifie ensuite si des tiers ou les véhicules d’autres usagers apparaissent dans le champ. Si tel est le cas, une copie est préparée après anonymisation des visages et des plaques. Ce n’est qu’ensuite que le fichier peut être remis au demandeur, à condition qu’aucun autre obstacle juridique ou factuel ne s’y oppose.

Si un résident demande l’enregistrement « pour voir qui passait dans le couloir », une telle demande n’est pas toujours justifiée. Le responsable du traitement ne devrait pas révéler les images d’autres habitants sans base claire. Il en va de même pour les demandes émanant d’entreprises externes, par exemple un assureur, une société de nettoyage ou un prestataire chargé de la maintenance des ascenseurs. La finalité doit être précise et la quantité de données limitée.

Comment organiser concrètement l’anonymisation des données visuelles

Dans les immeubles résidentiels et les bâtiments de bureaux, deux types d’anonymisation sont le plus souvent nécessaires : le floutage des visages et celui des plaques d’immatriculation. Cette approche est conforme au principe de minimisation des données. Le responsable du traitement ne devrait pas communiquer davantage d’images que ce qui est nécessaire à la réalisation d’une finalité légitime [1].

Lorsque le nombre de demandes augmente, l’organisation du travail devient elle aussi déterminante. Un logiciel comme Gallio PRO aide à préparer les séquences avant leur communication dans un modèle on-premise, ce qui peut compter pour certains gestionnaires et certaines copropriétés lorsqu’ils évaluent la sécurité opérationnelle. Il faut toutefois préciser clairement les limites fonctionnelles. Gallio PRO floute automatiquement uniquement les visages et les plaques d’immatriculation. Il ne masque pas les silhouettes entières, ne réalise pas d’anonymisation en temps réel et n’anonymise pas le flux vidéo en direct. Il ne détecte pas automatiquement les logos d’entreprise, les tatouages, les badges nominatifs, les documents ni les images affichées sur des écrans de contrôle. Ces éléments peuvent en revanche être masqués manuellement dans l’éditeur intégré à l’outil.

Cette distinction a une importance juridique et organisationnelle. Si un enregistrement du hall montre un livreur avec un badge, un écran d’accueil ou un document tenu en main, la détection automatique des visages et des plaques ne suffit pas. Avant toute communication, il faut visionner la séquence et, si nécessaire, compléter l’anonymisation manuellement.

Un workflow pratique peut se présenter ainsi :

• extraire l’extrait de l’enregistrement lié à l’incident ;
• appliquer un floutage automatique des visages et des plaques ;
• contrôler la vidéo image par image ;
• masquer manuellement les autres éléments visibles dans le cadre ;
• exporter la copie destinée à être remise.

Ce processus peut être testé gratuitement sur des séquences de travail avant le déploiement de la procédure à l’ensemble du parc immobilier.

Communication des enregistrements à la police, à l’assureur et aux entreprises externes

Tous les destinataires n’exigent pas le même mode opératoire. Si un enregistrement est conservé pour les besoins des autorités répressives sur la base des dispositions applicables, l’étendue de l’anonymisation peut nécessiter une évaluation distincte. La situation est différente lorsque la séquence doit être transmise à un autre résident, à un locataire commercial ou à une société privée. Dans ce cas, l’approche de conformité habituelle suppose qu’avant la remise d’une copie, les données des personnes non concernées soient supprimées de l’image, en particulier les visages et les plaques d’immatriculation.

En pratique, il est utile de disposer d’une matrice décisionnelle simple.

Dans des environnements plus complexes, par exemple un portefeuille de plusieurs immeubles, un service conformité centralisé ou une exigence de déploiement local, il peut être utile de contacter l’équipe afin de définir le modèle de travail, les droits des utilisateurs et les règles de fonctionnement de la solution on-premise.

Pourquoi l’absence de journaux excessifs est importante

Pour les outils d’anonymisation, le résultat final ne suffit pas : la trace opérationnelle compte aussi. Du point de vue de la minimisation des données, il est préférable qu’un système ne crée pas de jeux de données supplémentaires contenant des informations sur la détection des visages et des plaques. Selon les informations produit de Gallio PRO, le logiciel n’enregistre pas de logs contenant des données de détection, des données à caractère personnel ni des données relevant de catégories particulières. Pour l’administrateur de biens, c’est un élément important dans l’évaluation des risques, car cela réduit le nombre d’endroits où peuvent apparaître des données secondaires sur les résidents ou les usagers de l’immeuble.

L’erreur la plus fréquente des gestionnaires : remettre l’enregistrement brut

Le modèle le plus risqué consiste à transmettre l’enregistrement complet sans sélection ni anonymisation. Dans un ascenseur, cela signifie révéler le visage de nombreuses personnes. Dans un garage, cela peut en outre conduire à divulguer des plaques d’immatriculation, les heures d’entrée et de sortie ainsi que les déplacements au sein du site. Un tel contenu peut dépasser la finalité de la demande et porter atteinte aux droits d’autrui.

Une approche fondée sur trois questions est beaucoup plus sûre. Premièrement, qui demande la séquence et dans quel but ? Deuxièmement, quel extrait de l’enregistrement est réellement nécessaire ? Troisièmement, quels éléments faut-il masquer dans l’image avant de remettre une copie ? Pour l’administrateur de biens, c’est généralement le chemin le plus court vers la réponse à la question essentielle : que dois-je faire pour être en conformité avec la loi ?

FAQ - vidéosurveillance dans les ascenseurs et les parties communes d’un immeuble

Une copropriété peut-elle installer des caméras dans un ascenseur ?

En principe, oui, si elle est en mesure de démontrer une finalité légitime, de limiter le périmètre de la surveillance au strict nécessaire et de mettre en place des règles d’accès aux enregistrements conformes au RGPD [1]. L’évaluation dépend toujours des circonstances propres à l’immeuble concerné.

Un résident a-t-il le droit d’obtenir une copie d’un enregistrement de vidéosurveillance ?

Il peut disposer de ce droit en tant que personne concernée, mais cela ne signifie pas qu’il ait automatiquement droit au fichier brut. Le responsable du traitement doit généralement d’abord évaluer les droits des autres personnes et préparer une version anonymisée des visages et, si nécessaire, des plaques d’immatriculation.

Faut-il flouter le visage des autres résidents avant de communiquer un enregistrement ?

Dans la pratique, le plus souvent oui. Le floutage des visages des tiers constitue une mesure standard de réduction du risque d’atteinte aux droits et libertés d’autres personnes lors du traitement d’une demande d’accès.

Faut-il toujours flouter les plaques d’immatriculation dans un parking souterrain ?

En Pologne, la question n’est pas totalement tranchée, mais une approche de précaution plaide en faveur du floutage des plaques avant la remise d’une copie à des particuliers ou à des entreprises externes.

Gallio PRO anonymise-t-il les silhouettes entières ?

Non. Gallio PRO floute automatiquement uniquement les visages et les plaques d’immatriculation. Il ne masque pas les silhouettes entières et ne réalise pas d’anonymisation en temps réel.

Gallio PRO détecte-t-il automatiquement les badges, les tatouages et les documents visibles dans l’image ?

Non. Le logiciel ne détecte pas automatiquement les logos d’entreprise, les tatouages, les badges nominatifs, les documents ni les images visibles sur les écrans de contrôle. Ces éléments peuvent être masqués manuellement dans l’éditeur.

Pour l’anonymisation d’enregistrements de vidéosurveillance, un logiciel on-premise est-il préférable ?

Pour certains responsables de traitement, oui, notamment lorsque les séquences concernent des événements survenus dans des immeubles résidentiels ou de bureaux et que l’organisation souhaite limiter le cercle des destinataires. Cela reste toutefois une décision qui dépend de l’architecture du système, des procédures internes et de l’évaluation des risques.