Le principe de minimisation des données dans la vidéosurveillance : combien de caméras, quels emplacements, pendant combien de temps ?

Le principe de minimisation des données dans la vidéosurveillance consiste à concevoir un système de caméras qui n’enregistre que les images réellement nécessaires à une finalité précise, dans la mesure la plus limitée possible sur les plans spatial, fonctionnel et temporel. En pratique, l’article 5, paragraphe 1, point c), du RGPD impose de répondre à trois questions : cette caméra est-elle nécessaire, couvre-t-elle le bon emplacement et l’architecture du système n’entraîne-t-elle pas une captation excessive d’images [1] ? Dans le contexte de la publication de photos et d’enregistrements, une exigence supplémentaire s’ajoute : il est utile de prévoir dès la phase de conception la visual data anonymization, c’est-à-dire la préparation technique des contenus en vue d’une utilisation sûre en dehors du système de vidéosurveillance.

Pour les équipes compliance, IT et la direction, l’essentiel est de comprendre que la minimisation ne commence pas au moment de supprimer des enregistrements déjà réalisés. Elle commence plus tôt, au stade où l’on décide combien de caméras installer, quels cadrages choisir, quelles zones exclure de l’observation et si les contenus devront ensuite faire l’objet d’un face blurring ou d’un license plate blurring avant publication. Cette approche correspond à la logique du privacy by design prévue à l’article 25 du RGPD [1].

La minimisation des données en vidéosurveillance ne signifie pas seulement réduire le nombre de caméras

L’erreur la plus fréquente consiste à assimiler la minimisation au simple slogan « moins il y a de caméras, mieux c’est ». C’est une simplification excessive. En général, les organisations devraient évaluer non pas le seul nombre d’équipements, mais la relation entre la finalité poursuivie et l’étendue des images captées. Une caméra grand angle peut être plus intrusive que trois caméras à champ étroit, configurées avec précision. Dans ses lignes directrices sur le traitement des données par des dispositifs vidéo, l’EDPB souligne que la vidéosurveillance doit être adéquate, pertinente et limitée à ce qui est nécessaire [2].

En pratique, cela signifie que la justification du périmètre de surveillance devrait être préparée comme une véritable décision de conception. Une affirmation générale relative à la sécurité ne suffit pas. Il faut décrire la finalité, le risque et la zone concernée. Si l’objectif est de sécuriser l’entrée d’une salle serveur, il est généralement difficile de justifier que la caméra couvre l’ensemble d’un couloir social. Si l’objectif est de documenter l’accès à un parking, il convient d’examiner si un cadrage complet des passants et des propriétés voisines ne dépasse pas ce qui est nécessaire.

Chaque caméra est-elle vraiment nécessaire ? Le test de nécessité en pratique

Une pratique de conformité raisonnable commence par un test simple. Premièrement, il faut définir la finalité de chaque caméra séparément. Deuxièmement, il convient d’expliquer pourquoi l’image est nécessaire et non simplement commode. Troisièmement, il faut préciser si le même objectif peut être atteint avec un cadrage plus étroit, un autre emplacement d’installation ou sans enregistrer certaines personnes. Quatrièmement, il est utile de vérifier si les images ont une fonction uniquement probatoire ou également opérationnelle, car cela influence l’architecture de l’ensemble du système [1][2].

Cette approche est également importante lorsqu’une organisation prévoit une réutilisation ultérieure d’enregistrements ou d’images fixes dans sa communication externe. Plus le matériau source est large et peu contrôlé, plus le besoin d’anonymisation avant publication est élevé. Dans de tels scénarios, Gallio PRO peut faire partie de la conception du processus, car cet outil permet de préparer des photos et des vidéos en vue de leur diffusion grâce à la détection automatique et au floutage des visages et des plaques d’immatriculation, et non des silhouettes entières.

Comment justifier le périmètre de la vidéosurveillance : la documentation doit décrire le cadrage, pas seulement la finalité

Dans de nombreuses organisations, la justification de la vidéosurveillance se limite à la formule « assurer la sécurité des personnes et des biens ». C’est insuffisant. Une bonne documentation de conception devrait répondre aux questions suivantes : pourquoi la caméra se trouve-t-elle à cet endroit, quelle zone couvre-t-elle, quelles zones ont été volontairement exclues de l’observation, qui apparaît dans le cadre et existe-t-il un risque de réutilisation secondaire des contenus, par exemple pour une publication ou une formation ? C’est précisément à ce stade que la minimisation rencontre l’anonymisation des données visuelles.

Si l’organisation prévoit qu’une partie des contenus pourra être utilisée en marketing, en relations publiques, en communication de crise ou dans le cadre de réponses à des demandes d’accès à l’information publique, il est judicieux de concevoir l’architecture de manière à obtenir des contenus source aussi épurés que possible. Cela passe par la limitation des zones inutiles, puis par la mise en place d’une procédure de face blurring et de license plate blurring. Ce flux de travail peut être évalué concrètement en téléchargeant la version de démonstration et en vérifiant si des contenus provenant d’un site donné peuvent être préparés pour publication sans charge manuelle excessive.

Les zones sensibles : vestiaires, sanitaires et salles de pause

Ce sont précisément ces espaces qui montrent le mieux si une organisation applique réellement le principe de minimisation. Les lignes directrices de l’EDPB indiquent que la surveillance dans des lieux où les personnes s’attendent à un niveau de vie privée particulièrement élevé nécessite une justification très solide et sera souvent tout simplement inadmissible [2]. Cela concerne en particulier les toilettes, les vestiaires et les zones similaires.

S’agissant des toilettes, la réponse pratique est généralement simple : une caméra à l’intérieur du local ne devrait, en principe, pas être installée. Une éventuelle surveillance peut porter sur l’entrée, si cela est réellement justifié et si le cadrage ne montre pas l’intérieur. Il en va de même pour les vestiaires. L’enregistrement de personnes en train de se changer, qu’il s’agisse de salariés, de visiteurs ou de clients, est difficilement conciliable avec les principes de proportionnalité et de minimisation [2][3].

Les salles de pause exigent une évaluation plus nuancée, mais elles constituent elles aussi des zones à haut risque pour la vie privée. Ce sont des lieux de repos, de conversations privées et d’activités sans lien direct avec le contrôle d’accès ou la protection des biens. Les organisations concluent souvent qu’une surveillance de cet espace va trop loin, sauf lorsqu’il s’agit d’une portion très limitée, par exemple l’entrée d’un local de stockage séparé contenant du matériel de valeur. Dans ce cas, la caméra ne devrait pas couvrir l’ensemble de la salle de pause, mais uniquement le point d’accès concerné.

Tableau d’évaluation de la nécessité d’une caméra selon le type d’emplacement

Pendant combien de temps ? Une question d’architecture, pas seulement de conservation

La question « pendant combien de temps ? » figurant dans le titre ne renvoie pas uniquement à la politique de suppression des enregistrements. Au stade de la conception du système, il s’agit avant tout de savoir si l’architecture impose un enregistrement permanent et intégral des images, ou si elle permet de limiter la durée et l’étendue de la captation. La minimisation peut signifier le choix de caméras activées par événement, la définition de zones de détection de mouvement, la réduction des plages horaires de fonctionnement ou la suppression d’un enregistrement continu inutile. Ce sont des décisions techniques qui influencent la conformité avant même la création de la première archive [1][2].

Du point de vue de la publication de contenus visuels, cela a des effets concrets. Moins le système collecte d’images superflues, plus l’ampleur de la revue ultérieure et de l’anonymisation diminue. Cela réduit le risque, même si le niveau d’économies de temps et de coûts dépend toujours de l’environnement concerné, de la qualité des contenus et du processus retenu.

La visual data anonymization comme élément de conception de la vidéosurveillance

La visual data anonymization ne remplace pas la minimisation. Elle la complète. Si une organisation sait dès le départ que des images issues de la vidéosurveillance pourront être utilisées en dehors de leur finalité initiale, par exemple dans la communication avec les médias, dans des supports de formation ou dans des publications en ligne, elle devrait prévoir dès le début la manière de limiter l’identifiabilité des personnes et des véhicules. En pratique, cela signifie le plus souvent recourir au face blurring et au license plate blurring.

Il convient toutefois de garder une précision technique. Gallio PRO floute automatiquement uniquement les visages et les plaques d’immatriculation. Il ne détecte pas automatiquement les logos d’entreprise, les tatouages, les badges nominatifs, les documents ni les images affichées sur des écrans. Ces éléments peuvent être floutés manuellement dans l’éditeur intégré à l’outil. Le logiciel n’effectue pas d’anonymisation en temps réel ni d’anonymisation de flux vidéo ; son rôle concerne donc la préparation des contenus après enregistrement, et non le filtrage des images « en direct ».

Pour les projets exigeant un contrôle infrastructurel plus poussé, y compris les déploiements locaux et les environnements soumis à des exigences de sécurité renforcées, il est utile de contacter l’équipe afin de discuter du modèle on-premise software et de la manière d’intégrer l’anonymisation dans l’architecture de vidéosurveillance existante.

Visages et plaques d’immatriculation : ce qu’il faut réellement anticiper dès la phase de conception

Dans la pratique de la publication de contenus visuels, le visage constitue le plus souvent une donnée à caractère personnel, et sa divulgation nécessite une base légale ou le recours à une anonymisation. L’obligation de flouter une image avant publication ne découle pas automatiquement du seul RGPD ; elle dépend de la base légale du traitement, de la finalité de la publication ainsi que des règles distinctes applicables à la diffusion de l’image d’une personne. En principe, le consentement n’est pas requis lorsque la personne a reçu une rémunération convenue pour poser et n’a pas formulé de réserve contraire, ou lorsqu’il s’agit d’une personne publiquement connue, photographiée dans l’exercice de fonctions publiques, sociales ou professionnelles, ou encore lorsque l’image ne constitue qu’un détail d’un ensemble tel qu’un rassemblement, un paysage ou un événement public.

Les plaques d’immatriculation constituent une question plus complexe. Au regard du RGPD, il n’existe pas de règle selon laquelle leur floutage serait toujours requis dans toute l’Europe occidentale, ni qu’il résulterait de « recommandations européennes » formant une norme juridique uniforme. L’appréciation dépend du contexte et de la question de savoir si, dans les circonstances considérées, la plaque permet d’identifier une personne physique. En Pologne également, la situation n’est pas totalement univoque. Une pratique organisationnelle prudente conduit donc souvent à privilégier le license plate blurring avant la publication de contenus accessibles au public.

Minimisation, journaux et traces système

Bien que le sujet de cet article porte sur l’image, les décisions d’architecture concernent également les informations techniques laissées par l’outil d’anonymisation lui-même. Du point de vue de la vie privée, il est raisonnable de limiter aussi les traces susceptibles de révéler indirectement des données visuelles. Dans ce contexte, il est important de noter que Gallio PRO n’enregistre pas de logs contenant des données de détection ni des données à caractère personnel.

La conclusion essentielle pour la direction, le DPO et le responsable IT

Un système de vidéosurveillance conforme au principe de minimisation n’est pas un système « volumineux parce que plus sûr », mais un système précis. Chaque caméra devrait avoir une justification distincte. Chaque cadrage devrait être délibérément limité. Chaque lieu dans lequel l’attente de vie privée est plus élevée devrait être traité comme une zone d’exception et non comme la norme. Si les contenus doivent avoir une seconde vie en dehors du système de vidéosurveillance, la visual data anonymization doit être intégrée dès l’architecture de la solution, et non seulement après un incident ou juste avant publication.

FAQ - principe de minimisation des données en vidéosurveillance

La minimisation des données signifie-t-elle simplement installer moins de caméras ?

Non. Ce qui compte avant tout, c’est l’adéquation du cadrage à la finalité. Une seule caméra mal positionnée peut porter davantage atteinte à la vie privée que plusieurs dispositifs conçus avec précision [1][2].

Peut-on installer une caméra dans un vestiaire ?

En général non. Les vestiaires font partie des lieux où l’attente de vie privée est très élevée. Une approche conforme au principe de minimisation conduit généralement à exclure l’intérieur de cette zone de la vidéosurveillance [2][3].

Les toilettes peuvent-elles être placées sous surveillance ?

En principe non. En pratique, les organisations peuvent tout au plus envisager la surveillance de l’entrée, à condition que le cadrage ne montre pas l’intérieur et qu’il existe une justification concrète liée à la sécurité [2].

Une salle de pause exclut-elle toujours la vidéosurveillance ?

Pas toujours, mais il s’agit d’un lieu à haut risque pour la vie privée. Il est généralement difficile de justifier la surveillance de l’ensemble d’une salle de pause. Dans certains cas, seul un point d’accès très étroit vers une zone technique distincte peut être envisagé.

Gallio PRO anonymise-t-il l’ensemble de l’image ou les silhouettes ?

Non. Gallio PRO floute automatiquement uniquement les visages et les plaques d’immatriculation. Les autres éléments, tels que les documents, badges, logos, tatouages ou images affichées sur des écrans, nécessitent une intervention manuelle dans l’éditeur.

Gallio PRO fonctionne-t-il en temps réel sur le flux des caméras ?

Non. Le logiciel n’effectue ni anonymisation en temps réel ni anonymisation de flux vidéo. Il sert à préparer des contenus déjà enregistrés en vue d’une utilisation ultérieure.

Faut-il toujours flouter les plaques d’immatriculation avant publication ?

Pas toujours. L’évaluation dépend du contexte, de la finalité de la publication et de la question de savoir si, dans les circonstances données, la plaque peut conduire à identifier une personne physique. En pratique, par précaution, de nombreuses organisations choisissent néanmoins de les flouter avant de publier des contenus accessibles au public.