Demandes d'images de vidéosurveillance sous le RGPD : police, assureurs et droit d'accès

Tôt ou tard, quelqu'un vous demande vos images de vidéosurveillance. Cela peut être un officier de police enquêtant sur une effraction, un assureur traitant un sinistre, un avocat construisant un dossier, ou simplement un client qui veut se voir en train de traverser votre magasin. Chacune de ces demandes est régie par une partie différente du RGPD, et l'erreur la plus courante consiste à les traiter toutes de la même façon : remettre le fichier brut et exposer chaque passant qui se trouvait dans le champ.

Avertissement : Ce contenu est fourni à titre d'information générale uniquement et ne constitue pas un conseil juridique. La réglementation et les lignes directrices des autorités de contrôle varient selon les juridictions et évoluent dans le temps. Consultez toujours un professionnel du droit ou de la protection des données qualifié pour un avis adapté à votre situation.

TL;DR

• Demandes de la police : vous pouvez généralement divulguer sans consentement sur une base légale (obligation légale ou intérêt légitime à la prévention des infractions). Obtenez la demande par écrit, ne partagez que la fenêtre pertinente, journalisez. La divulgation du clip complet à la police est généralement acceptable : c'est la vérification qui compte, pas le caviardage.
• Demandes de droit d'accès (article 15) : une personne filmée a le droit d'obtenir une copie des images la concernant elle-même. Vous avez un mois pour répondre. L'article 15, paragraphe 4 vous impose de caviarder chaque autre personne identifiable avant divulgation : c'est le point que les organisations traitent le plus mal.
• Assureurs, avocats et autres parties privées : aucun droit automatique aux images. Il vous faut un consentement, une base de réclamation légitime, ou une ordonnance judiciaire, et vous devriez tout de même minimiser et caviarder les tiers.
• L'export et le caviardage à la main sont là où la plupart des petites organisations bloquent. Anonymisez automatiquement vos images de vidéosurveillance : détectez visages et plaques, gardez la bonne personne visible, pixelisez tout le reste.

Toute demande n'est pas la même demande

Si vous exploitez une caméra captant des personnes identifiables (une entrée de magasin, un hall de bureau, un quai de chargement d'entrepôt, une résidence), vous êtes, sous le RGPD, responsable du traitement pour ces images. Ce statut ne crée pas seulement des obligations sur la façon dont vous enregistrez et conservez la vidéo ; il en crée aussi chaque fois que quelqu'un vous demande de la remettre.

Les trois types de demandes que vous rencontrerez réellement sont :

1. Les forces de l'ordre, enquêtant sur un crime ou un incident.
2. La personne qui apparaît dans les images, exerçant son droit d'accès.
3. Un tiers privé (un assureur, un avocat, un employeur, un voisin) qui veut des images pour une réclamation, un litige, ou une enquête.

La base légale, le délai, et votre obligation de caviardage diffèrent pour chacun. Vous vous trompez de catégorie et vous soit sur-divulguez (exposant illicitement les données de passants), soit sous-divulguez (manquant à une obligation légale). Pour le cadre sous-jacent (base légale, conservation, signalétique et AIPD), consultez notre guide sur les obligations RGPD en matière de vidéosurveillance.

Demandes de la police et des forces de l'ordre

C'est le cas dont les exploitants de systèmes de vidéosurveillance s'inquiètent le plus et qu'ils comprennent le moins. En pratique, c'est généralement le plus simple.

Vous pouvez généralement divulguer des images à la police sans le consentement des personnes filmées, en vous appuyant sur l'une des deux bases légales de l'article 6 du RGPD :

• L'obligation légale (article 6, paragraphe 1, point c) : si une réquisition formelle, un mandat, ou une obligation légale spécifique impose la divulgation, vous devez vous y conformer.
• L'intérêt légitime (article 6, paragraphe 1, point f) : pour une demande d'enquête informelle mais authentique, votre intérêt et celui de la police à prévenir ou enquêter sur une infraction justifient généralement le partage des images pertinentes, à condition que ce soit proportionné.

Bonnes pratiques, au-delà du strict minimum légal :

• Obtenez la demande par écrit, identifiant l'agent demandeur, le numéro de dossier ou de référence, et le motif de la demande.
• Ne partagez que la fenêtre temporelle et la ou les caméras réellement pertinentes : pas l'enregistrement d'une journée entière parce que c'est plus simple à exporter.
• Journalisez la divulgation : date, agent, description des images, base légale invoquée.

Vous n'êtes généralement pas tenu de caviarder les passants avant de remettre des images à la police pour une enquête licite et documentée : un clip complet et non modifié est souvent ce qui en fait une preuve utile. L'obligation qui piège les gens ici n'est pas le caviardage, c'est la vérification : confirmez que la demande est authentique (un appel téléphonique de quelqu'un se disant agent, sans confirmation écrite, ne suffit pas) avant de divulguer quoi que ce soit. Si vous opérez au Royaume-Uni, la même logique s'applique presque à l'identique sous le UK GDPR et les lignes directrices de l'ICO.

Demandes de droit d'accès : quand la personne filmée demande

C'est le type de demande qui cause réellement des maux de tête opérationnels, et il vaut la peine de s'y attarder.

L'article 15 du RGPD donne à toute personne dont vous traitez les données personnelles (y compris toute personne dont le visage apparaît sur votre vidéosurveillance) le droit d'en obtenir une copie. Si un client, un employé ou un passant demande « puis-je avoir les images de moi de mardi après-midi », il s'agit d'une demande de droit d'accès formelle (DDA), qu'il utilise cette expression ou non.

Deux conséquences en découlent :

Le délai d'un mois démarre immédiatement. L'article 12, paragraphe 3 vous donne un mois calendaire pour répondre à compter du jour de réception de la demande, prorogeable de deux mois supplémentaires uniquement pour des demandes complexes ou en grand nombre, et vous devez notifier la prorogation au demandeur dans le premier mois, avec un motif. « On s'en occupera un jour » n'est pas conforme.

L'article 15, paragraphe 4 est l'obligation la plus importante. Le droit d'accès ne doit pas « porter atteinte aux droits et libertés d'autrui ». Un simple clip de vingt minutes d'une caméra de surface de vente peut facilement contenir des dizaines d'autres clients, plus du personnel vaquant à ses occupations, dont aucun n'a consenti à être divulgué à un tiers. Vous ne pouvez pas légalement remettre un clip brut qui les identifie simplement parce qu'une personne y a un droit sur ses propres données.

En pratique, cela signifie : avant de diffuser les images, vous devez localiser et caviarder chaque autre personne identifiable dans le champ (visages, et tout ce qui les identifie), tout en laissant intacte l'image du demandeur. C'est précisément le point où le caviardage manuel devient un véritable goulot d'étranglement. Un export multi-caméras de vingt minutes peut contenir des centaines de passants sur un après-midi chargé ; les flouter un par un, image par image, dans un éditeur vidéo généraliste, représente une journée de travail pour une demande à laquelle vous êtes légalement tenu de répondre en moins d'un mois.

Assureurs, avocats et autres parties privées

Contrairement à la police, un assureur, un avocat de la partie adverse, ou un enquêteur privé n'a aucun droit automatique à vos images de vidéosurveillance. Il vous faut l'un des éléments suivants :

• Le consentement explicite des personnes dont les données seraient divulguées (rarement praticable pour des passants).
• Une réclamation juridique légitime, où le partage des images est nécessaire pour établir, exercer ou défendre cette réclamation.
• Une ordonnance judiciaire ou une procédure légale formelle imposant la divulgation.

Même lorsque l'une de ces conditions s'applique, le même principe de minimisation des données issu de l'article 15, paragraphe 4 constitue aussi une bonne pratique ici : ne partagez que la fenêtre temporelle pertinente, et caviardez toute personne qui n'est pas partie à la réclamation, sauf raison spécifique de la laisser visible (par exemple, il s'agit d'un témoin pertinent pour le litige). Traitez ces demandes avec plus de vigilance qu'une enquête policière, pas moins : une partie privée demandant des images de vidéosurveillance est un vecteur courant pour des personnes en quête d'informations auxquelles elles n'ont aucun droit.

Comment répondre à une demande d'images de vidéosurveillance

Le flux de travail a la même forme quel que soit le demandeur ; seule la décision de caviardage change.

1. Vérifiez l'identité du demandeur et la base légale. Confirmez qui demande et pourquoi avant de toucher à l'enregistreur. Les demandes de la police doivent s'accompagner d'un numéro de dossier ; les DDA nécessitent une vérification d'identité par rapport aux images ; les assureurs et avocats doivent démontrer un consentement, une base de réclamation, ou une ordonnance.
2. Localisez les images et n'exportez que la fenêtre pertinente. Extrayez le canal caméra spécifique et la plage horaire. Un export plus restreint signifie moins de personnes à caviarder et moins d'exposition en cas de problème en aval.
3. Identifiez chaque tiers et chaque détail identifiant dans le champ. Visages, plaques d'immatriculation, badges, écrans, tout ce qui identifie quelqu'un d'autre que le demandeur.
4. Caviardez toute personne qui n'a pas le droit d'apparaître. Pixelisez les passants pour une DDA en gardant le demandeur visible ; caviardez tous les tiers par défaut pour les assureurs, avocats et autres demandes privées.
5. Livrez le fichier de façon sécurisée et journalisez la divulgation. Pas de liens ouverts ni d'email non chiffré pour quoi que ce soit contenant des données personnelles. Enregistrez ce que vous avez partagé, avec qui, sur quelle base, et quand.
6. Appliquez votre politique de conservation aux copies de travail. Une fois la divulgation terminée, supprimez les fichiers exportés et caviardés selon votre durée de conservation documentée : ne laissez pas des exports ponctuels s'accumuler en dehors de vos règles habituelles de stockage vidéosurveillance.

Où Medianonymizer trouve sa place

L'étape 4 est celle qui bloque le plus les petites organisations, parce que « flouter chaque passant sauf une personne, image par image, sur un clip multi-caméras en mouvement » est exactement le genre de tâche qui s'effondre dans un éditeur vidéo généraliste.

L'anonymiseur de vidéosurveillance de Medianonymizer est conçu pour cette tâche précise. Téléversez votre clip exporté dans un format vidéo courant, et l'IA détecte les visages, les plaques d'immatriculation et le texte à l'écran sur chaque image automatiquement. Vous vérifiez les détections dans un aperçu, puis choisissez un caviardage sélectif : garder les mouvements du demandeur intacts et pixeliser tout le reste, ou flouter chaque personne identifiable si la divulgation l'exige. Le résultat est déterministe : les pixels signalés sont ré-encodés et détruits, pas couverts par une superposition que l'on pourrait retirer plus tard, ce qui compte si un régulateur demande un jour comment le caviardage a été réalisé. Aucun compte requis, paiement par fichier (vidéo à partir de 4,99 EUR), et l'outil gère les longs exports (enregistrements allant jusqu'à environ deux heures) sans que vous ayez à toucher une timeline ou une image clé.

Cela ne remplace pas le jugement sur qui a droit à quoi. Cela remplace le masquage manuel image par image qui rend l'obligation de caviardage impossible à tenir dans un délai d'un mois. Pour le même raisonnement appliqué au partage d'images plus largement (avec la presse, dans des divulgations de type droit à l'information, ou pour de la formation), voir comment anonymiser des images de vidéosurveillance.

Intégrez la procédure de demande dans votre politique de vidéosurveillance

Une procédure de demande d'images ne devrait pas s'improviser la première fois que quelqu'un la demande. Elle a sa place dans la même politique de vidéosurveillance qui couvre votre signalétique, votre base légale, et votre durée de conservation : qui reçoit les demandes, comment l'identité et la base légale sont vérifiées, le caviardage par défaut pour chaque type de demande, et où vit le registre des divulgations. Si vous ne l'avez pas encore documenté, notre guide sur les obligations RGPD en matière de vidéosurveillance couvre le cadre complet, et notre comparaison anonymisation contre pseudonymisation explique pourquoi un caviardage irréversible (et non un masque réversible) est ce qui fait réellement sortir une divulgation du champ du RGPD pour son destinataire.

Répondez à votre prochaine demande de vidéosurveillance sans le travail de caviardage manuel

Qu'il s'agisse d'une enquête policière, d'une demande de droit d'accès, ou de la réclamation d'un assureur, la forme du problème est la même : exporter la bonne fenêtre, déterminer qui a droit à quoi, et caviarder tout le reste avant que cela ne quitte votre contrôle.

Anonymiser un export de vidéosurveillance maintenant →