Vidéosurveillance dans les immeubles de bureaux et les espaces de coworking : conformité pour les gestionnaires d’immeubles et les locataires

Dans les immeubles de bureaux et les espaces de coworking, l’anonymisation visuelle des données consiste à préparer des photos et des enregistrements vidéo de manière à ce qu’avant leur transmission ou leur publication, ils ne permettent pas d’identifier des personnes ni des véhicules au-delà de ce qui est nécessaire à la finalité d’utilisation du contenu. En pratique, il s’agit surtout du face blurring et du license plate blurring, c’est-à-dire du floutage des visages et des plaques d’immatriculation. Dans ce domaine, la question essentielle n’est pas seulement de savoir si la vidéosurveillance est légale, mais aussi qui est responsable d’un enregistrement donné et à quel moment l’anonymisation doit intervenir.

Dans les immeubles de bureaux et les espaces de coworking, au moins deux acteurs interviennent souvent en parallèle : le propriétaire ou le gestionnaire de l’immeuble, et le locataire. Ces deux entités peuvent être des responsables du traitement distincts si elles déterminent de manière autonome les finalités et les moyens d’utilisation des photos ou des enregistrements. C’est précisément cette logique de split governance qui détermine le plus souvent qui doit anonymiser le contenu avant sa communication à l’autre partie.

Qui est responsable du traitement des enregistrements dans un immeuble de bureaux ou un espace de coworking

Le modèle le plus fréquent est le suivant. Le propriétaire ou le gestionnaire de l’immeuble exploite les caméras dans les parties communes : entrées, hall, ascenseurs, garages ou réception. Le locataire contrôle ses propres caméras dans les bureaux loués, à l’entrée de son local ou dans un espace événementiel utilisé pour son activité. Si chacune de ces entités définit indépendamment la finalité de la vidéosurveillance, la durée de conservation et les règles de communication, elle agit en principe comme responsable du traitement distinct.

Cette distinction a des effets concrets. Le propriétaire de l’immeuble n’assume pas automatiquement la responsabilité de chaque enregistrement réalisé par le locataire. De son côté, le locataire ne peut pas non plus considérer que, parce que l’immeuble applique une politique de sécurité commune, il est possible de transmettre des vidéos brutes sans analyse préalable des risques ni examen du besoin d’anonymisation.

Des règles organisationnelles communes sont nécessaires, mais elles ne remplacent pas la séparation des rôles. Une bonne pratique de conformité consiste à décrire dans le bail, la politique de vidéosurveillance ou une annexe opérationnelle au moins les quatre points suivants :

• qui est responsable du traitement pour chaque système de caméras ;
• dans quels scénarios la communication du contenu est possible ;
• qui réalise l’anonymisation visuelle des données ;
• qui documente la base juridique ou la justification de cette action.

Pourquoi l’anonymisation visuelle est au cœur du partage des responsabilités

Les photos et enregistrements issus des immeubles de bureaux contiennent presque toujours l’image de personnes. Ils peuvent aussi inclure des plaques d’immatriculation sur les parkings et les voies d’accès. Si le contenu doit être utilisé au-delà d’un simple visionnage interne à des fins de sécurité, la question de la minimisation des données au sens de l’article 5 du RGPD et celle de la licéité de l’utilisation ultérieure se posent [1].

En pratique, cela signifie que la transmission d’un enregistrement complet non anonymisé à un autre responsable du traitement devrait être une exception, et non la norme. Si la finalité peut être atteinte après floutage des visages et des plaques d’immatriculation, les organisations retiennent souvent ce modèle, jugé plus sûr sur le plan opérationnel.

Il convient ici de distinguer deux usages. Le premier concerne un élément de preuve transmis aux autorités ou utilisé dans le cadre d’un incident. Le second concerne un contenu échangé à des fins métier entre le propriétaire et le locataire, par exemple pour analyser un événement, préparer une communication ou publier un contenu. Dans le second cas, le besoin d’anonymisation apparaît beaucoup plus souvent.

Workflow : quand le locataire doit anonymiser avant de transmettre au propriétaire

Le locataire doit commencer par s’interroger sur la finalité de la communication. Si le propriétaire de l’immeuble demande un enregistrement provenant de la réception du locataire uniquement pour confirmer le déroulement d’un incident technique, les visages bruts des personnes tierces ne sont généralement pas nécessaires. Dans ce type de scénario, une approche fréquente en matière de conformité consiste à transmettre une version après face blurring et, si des véhicules apparaissent dans le champ, également après license plate blurring.

Si le contenu doit être communiqué à un autre locataire, le besoin d’anonymisation est encore plus fort. Le partage d’enregistrements entre locataires sans floutage des visages ni des plaques d’immatriculation doit être considéré comme une solution à haut risque. Il faut d’abord évaluer si la finalité peut être atteinte à partir d’un contenu anonymisé. Dans la majorité des litiges opérationnels, la réponse est oui.

Un bon workflow peut se décrire en quatre étapes :

• Premièrement, le locataire identifie la finalité et le destinataire.
• Deuxièmement, il évalue si un contenu brut est réellement nécessaire pour atteindre cette finalité.
• Troisièmement, il prépare une copie de travail après anonymisation visuelle.
• Quatrièmement, il documente l’étendue de la communication.

Un tel modèle limite la divulgation excessive d’images de personnes et met mieux en œuvre le principe de minimisation [1].

Si le locataire a besoin d’une solution pour traiter les contenus en local, Gallio PRO peut constituer un choix pertinent comme logiciel on-premise. C’est particulièrement important lorsque l’organisation ne souhaite pas transférer les enregistrements vers des services externes et veut garder la maîtrise de la circulation des fichiers. Selon la documentation produit, le logiciel floute automatiquement uniquement les visages et les plaques d’immatriculation, et non les silhouettes entières ; il ne fonctionne pas en temps réel et ne réalise pas l’anonymisation d’un flux vidéo. Il ne détecte pas automatiquement les logos d’entreprise, les tatouages, les badges nominatifs, les documents ni le contenu affiché sur les écrans, mais ces éléments peuvent être masqués manuellement dans l’éditeur intégré. Le logiciel n’enregistre pas non plus de journaux contenant des données à caractère personnel.

Workflow : quand le propriétaire de l’immeuble doit anonymiser avant de transmettre au locataire

Le même mécanisme fonctionne dans l’autre sens. Si le gestionnaire de l’immeuble transmet à un locataire un enregistrement du hall, de l’ascenseur ou du parking, il ne devrait pas, par défaut, envoyer l’intégralité du contenu avec les visages de tous les visiteurs. Le locataire n’a généralement besoin que d’un extrait de l’événement et uniquement des informations strictement nécessaires à sa finalité métier ou de sécurité.

L’exemple est simple. Un locataire signale une dégradation matérielle à l’entrée de ses locaux. Le gestionnaire dispose de caméras couvrant le couloir et les surfaces voisines. Si l’objectif est de confirmer le déroulement de l’incident, une version après floutage des personnes tierces sera généralement suffisante. Un enregistrement brut ne peut être nécessaire que dans des situations particulières, selon le contexte et la base juridique applicable.

Du point de vue du gestionnaire, il est également important de distinguer le contenu opérationnel du contenu de communication. Le fait qu’un enregistrement ait été collecté légalement à des fins de sécurité ne signifie pas automatiquement qu’il peut être transmis au locataire pour des usages de relations publiques, de marketing ou de publication. Toute utilisation ultérieure requiert une analyse distincte.

Répartition des responsabilités en pratique : tableau pour les gestionnaires et les locataires

Publication de photos et d’enregistrements provenant d’un immeuble de bureaux : quand faut-il flouter les visages

L’obligation d’anonymiser les visages ne découle pas automatiquement d’un seul texte, mais d’une analyse de la base de traitement des données personnelles, de la protection des droits de la personnalité et des règles applicables à la diffusion de l’image. Le RGPD, le Code civil et le droit d’auteur revêtent ici une importance particulière. Le droit d’auteur prévoit des exceptions à l’exigence d’autorisation pour la diffusion de l’image, notamment lorsque :

• il s’agit d’une personne connue du public et que l’image a été réalisée dans l’exercice de ses fonctions publiques, notamment politiques, sociales ou professionnelles ;
• la personne ne constitue qu’un détail d’un ensemble tel qu’un rassemblement, un paysage ou un événement public ;
• la personne a reçu une rémunération convenue pour poser, sauf réserve expresse contraire.

Dans les immeubles de bureaux et les espaces de coworking, ces exceptions doivent être appliquées avec prudence. Un événement professionnel organisé dans un espace de coworking ne constitue pas toujours un événement public au sens des pratiques du droit d’auteur. De même, le fait qu’une personne soit un intervenant reconnu ne légalise pas automatiquement la publication du visage de tous les participants visibles en arrière-plan. C’est pourquoi le face blurring reste une solution fréquente pour les contenus promotionnels, les comptes rendus d’événements et la communication de crise.

Plaques d’immatriculation sur les parkings et voies d’accès

Dans les contenus issus des parkings et des zones de livraison, une difficulté supplémentaire apparaît. Il n’existe pas de règle générale selon laquelle le floutage des plaques d’immatriculation serait toujours obligatoire dans toute l’Europe occidentale sur la base de recommandations européennes uniformes. L’évaluation dépend du contexte d’utilisation du contenu et du point de savoir si, dans les circonstances considérées, la plaque permet d’identifier une personne. En Pologne, les positions ne sont pas non plus entièrement uniformes : dans la pratique de la protection des données, les plaques d’immatriculation sont parfois considérées comme des données à caractère personnel ou comme des données permettant une identification indirecte, même si certaines décisions juridictionnelles ont également retenu une approche plus restrictive.

Pour les gestionnaires d’immeubles de bureaux, cela implique une chose : si le contenu doit être communiqué au-delà du cercle strict des destinataires nécessaires ou être publié, le license plate blurring constitue une pratique raisonnable pour limiter le risque de divergence d’interprétation. Cette approche est particulièrement justifiée pour les sites internationaux, où les standards de groupe sont parfois plus exigeants que le minimum local.

Comment mettre en place une procédure de

Le modèle opérationnel le plus efficace est souvent le plus simple. Dans les contrats et procédures, il est utile d’indiquer que chaque partie est responsable de l’anonymisation des contenus provenant de son propre système de caméras avant leur transmission à l’autre partie, sauf s’il existe un besoin documenté de transmettre un contenu brut. Une telle clause simplifie la pratique quotidienne et réduit le nombre de conflits de compétence.

Le deuxième élément est l’outil. Dans les sites dotés d’un grand nombre de caméras et d’exports fréquents d’enregistrements, la capacité à traiter plusieurs fichiers et à déployer la solution en local est essentielle. Si l’organisation souhaite vérifier ce workflow en pratique, elle peut le faire en téléchargeant la version de démonstration. D’après la documentation de Gallio PRO, la détection automatique couvre uniquement les visages et les plaques d’immatriculation, tandis que les autres éléments visuels nécessitent un traitement manuel.

Le troisième élément est un circuit d’exception. Si l’immeuble présente une structure locative complexe, un SOC centralisé, plusieurs parkings ou des exigences enterprise pour un logiciel on-premise, il peut être pertinent de contacter l’équipe afin d’adapter le processus au modèle réel de responsabilité. Cela concerne en particulier les situations dans lesquelles le contenu circule entre le gestionnaire, les locataires et des prestataires externes.

L’erreur la plus fréquente : confondre accès technique et rôle de responsable du traitement

Le fait que le propriétaire de l’immeuble ait la possibilité technique de télécharger un enregistrement ne signifie pas encore qu’il devient responsable du traitement de tous les contenus du locataire. De même, le simple fait qu’un locataire puisse recevoir une copie issue des caméras des parties communes ne fait pas de lui un responsable conjoint du système du gestionnaire. Le rôle dépend avant tout de celui qui détermine la finalité et les moyens du traitement [1].

C’est précisément pourquoi le split governance exige non seulement des clauses contractuelles, mais aussi une discipline opérationnelle. Chaque partie devrait anonymiser le contenu à la source avant de le transmettre à l’autre, sauf s’il existe une raison concrète et documentée de ne pas le faire.

FAQ - vidéosurveillance dans les immeubles de bureaux et les espaces de coworking

Le gestionnaire de l’immeuble et le locataire sont-ils toujours responsables conjoints du traitement ?

Non. Dans les immeubles de bureaux, le modèle de responsables du traitement distincts est plus fréquent lorsque chaque entité définit de manière autonome les finalités et les moyens de sa propre vidéosurveillance. Une responsabilité conjointe peut exister, mais elle suppose une décision commune sur les finalités et les moyens du traitement [1].

Le locataire peut-il transmettre au propriétaire un enregistrement brut provenant de ses propres bureaux ?

Cela dépend de la finalité et de la base de la communication. En pratique, une approche fréquente de conformité consiste à procéder d’abord à une anonymisation visuelle, si le propriétaire n’a pas besoin de visages identifiables ni de plaques d’immatriculation pour atteindre une finalité précise.

Les enregistrements peuvent-ils être transmis entre locataires sans floutage des visages ?

En principe, cela ne devrait pas être la norme. En cas de communication entre locataires, l’anonymisation constitue généralement la première étape, car chaque destinataire supplémentaire élargit la portée de la divulgation des données visuelles.

Gallio PRO anonymise-t-il l’intégralité de l’image et toutes les données personnelles visibles dans l’enregistrement ?

Non. Gallio PRO floute automatiquement uniquement les visages et les plaques d’immatriculation. Il ne détecte pas automatiquement les logos d’entreprise, les tatouages, les badges nominatifs, les documents ni les écrans. Ces éléments peuvent toutefois être masqués manuellement dans l’éditeur.

Gallio PRO fonctionne-t-il en temps réel sur un flux provenant des caméras ?

Non. Selon la documentation produit, le logiciel ne réalise ni anonymisation en temps réel ni anonymisation de flux vidéo.

Faut-il toujours flouter les plaques d’immatriculation ?

Pas toujours. L’évaluation dépend de la finalité d’utilisation du contenu et du contexte d’identification. En cas de transmission ou de publication, le license plate blurring reste toutefois une pratique de conformité fréquente et prudente.

L’outil enregistre-t-il des journaux contenant des informations sur les visages et plaques détectés ?

Selon la documentation de Gallio PRO, le logiciel n’enregistre pas de journaux contenant des données à caractère personnel.