Anonymisation vidéo en direct : rendre le streaming conforme au RGPD

Un office religieux diffusé à des paroissiens à l'étranger. Une session de conférence archivée sur YouTube. Un cours de sport diffusé en direct pour que les membres puissent le suivre à distance. Le flux de vidéosurveillance d'un commerce transmis sur le téléphone d'un responsable. Chacun de ces cas capture des visages, des voix, des badges nominatifs ou du contenu affiché à l'écran identifiables dès que la caméra commence à tourner. Sous le RGPD, il s'agit d'un traitement de données à caractère personnel, et « c'était en direct » n'est une exemption que personne ne peut invoquer.

Cet article constitue une information générale, pas un conseil juridique.

TL;DR

• La vidéo en direct est un traitement de données personnelles dès la première frame : visages, voix et texte à l'écran identifiables déclenchent le RGPD au moment même de leur captation, que le flux soit diffusé, enregistré, ou les deux.
• Le RGPD exige une base légale (article 6), une transparence avant l'entrée dans le champ (articles 13/14), et une minimisation des données (article 5, paragraphe 1, point c) : le cadrage de la caméra et la signalétique comptent autant que n'importe quel document de politique.
• Un véritable floutage de visages en temps réel est coûteux et fragile. Pour la plupart des équipes, les contrôles réalistes en direct sont le positionnement de la caméra et la minimisation, pas le floutage automatisé.
• L'essentiel du risque RGPD se trouve dans l'enregistrement, pas dans la diffusion. La solution consiste à anonymiser le flux enregistré avant qu'il ne soit archivé, republié ou découpé en clips.

Ce que capture réellement une diffusion en direct

Un flux en direct capture rarement uniquement ce que vous aviez prévu de montrer. Dès qu'une caméra tourne pendant la durée d'un événement ou d'un service, elle accumule des données identifiables presque incidemment :

• Visages : participants, fidèles, joueurs, employés, passants qui entrent dans le champ.
• Voix : tout ce qui est prononcé près d'un micro allumé, y compris des noms, des questions du public, ou des conversations en arrière-plan.
• Badges nominatifs et pièces d'identité visibles : badges de conférence, uniformes, badges du personnel.
• Contenu affiché à l'écran : une diapositive partagée par un intervenant avec le nom d'un client, un tableau de score avec le nom d'un participant, un écran d'ordinateur portable visible derrière une webcam.
• Plaques d'immatriculation : pour les événements en extérieur, le sport, ou tout flux avec un parking ou une rue dans le champ.

Rien de tout cela n'a besoin d'être associé à un nom pour constituer une donnée personnelle. Sous le RGPD, une personne qui peut être distinguée par son apparence, sa voix ou le contexte est identifiable, et l'identifiabilité est le seuil, pas l'identification effective. Le même critère d'identifiabilité qui régit les caméras fixes et la vidéosurveillance s'applique à une caméra en direct pointée sur une salle, une scène ou une rue.

Ce que le RGPD exige réellement pour la vidéo en direct

Une base légale avant d'appuyer sur « en direct »

Toute diffusion en direct captant des personnes identifiables a besoin d'une base au titre de l'article 6. En pratique, la plupart des organisations s'appuient sur l'une de ces deux bases :

• Le consentement (article 7) : libre, spécifique, éclairé et révocable. Praticable pour de petites audiences contrôlées (un webinaire avec des participants inscrits), impraticable pour des événements ouverts où vous ne pouvez pas obtenir le consentement de toute personne susceptible d'entrer dans le champ.
• L'intérêt légitime (article 6, paragraphe 1, point f) : exige une finalité réelle, une nécessité, et un test de mise en balance documenté pesant votre intérêt face aux droits et attentes raisonnables des personnes concernées. Une conférence publique diffusée à des participants inscrits et informés du tournage est plus facile à justifier qu'une diffusion clandestine d'une salle d'attente.

La transparence avant qu'une personne n'entre dans le champ

Les articles 13 et 14 exigent que les personnes soient informées, avant ou au moment de la collecte, qu'elles sont enregistrées, pourquoi, et par qui. Pour la vidéo en direct, cela signifie généralement une signalétique aux entrées, une annonce orale au début d'un événement, ou une notification visible à l'écran pour les webcams, pas une clause enfouie dans une politique de confidentialité que personne ne lit en plein direct. C'est la même exigence que celle couverte dans filmer dans un lieu public sous le RGPD : le lieu ne supprime pas l'obligation de transparence, et le fait que la caméra soit en direct plutôt que fixe non plus.

Minimisation : cadrer moins, pas plus

L'article 5, paragraphe 1, point c) exige de ne pas traiter plus de données personnelles que la finalité ne l'exige. Pour la vidéo en direct, la minimisation est une décision de caméra et de cadrage, pas seulement une décision de politique :

• Orientez la caméra pour exclure les salles d'attente, les vestiaires, ou les espaces dont la diffusion n'a pas besoin.
• Évitez les plans larges sur le public quand un plan sur la scène ou l'intervenant suffirait.
• Coupez ou détournez les micros captant des conversations sans rapport.

Les enfants et l'exemption domestique

Les diffusions susceptibles de capter des enfants (événements scolaires, sport pour jeunes, réunions familiales partagées publiquement) imposent une vigilance accrue, quelle que soit la base légale utilisée. Et l'exemption domestique (article 2, paragraphe 2, point c), qui couvre l'usage strictement personnel et non publié, ne s'étend pas à ce qui est diffusé publiquement ou utilisé commercialement : l'appel vidéo privé d'une famille est exempté ; les mêmes images diffusées en direct sur une chaîne publique ne le sont pas. Les lignes directrices 3/2019 du CEPD sur le traitement de données personnelles via des dispositifs vidéo appliquent ce raisonnement de manière cohérente, en direct comme en captation enregistrée.

L'anonymisation « en temps réel » est-elle vraiment possible ?

Il vaut la peine d'être honnête là-dessus, car les fournisseurs ne le sont pas toujours : un floutage de visage véritablement parfait, image par image et en temps réel, est difficile, et largement hors de portée des outils grand public et petites entreprises.

Ce qui existe réellement :

• Les pipelines à délai de diffusion : un décalage volontaire (de quelques secondes à quelques minutes) entre la captation et la transmission, suffisant pour qu'une détection automatisée s'exécute et qu'un opérateur intervienne avant que le flux n'atteigne les spectateurs. C'est ainsi que la télévision en direct gère un contenu à l'antenne imprévu, et le même schéma peut couvrir les visages, mais il nécessite une infrastructure dédiée et du personnel.
• Le masquage à région fixe : des outils comme OBS peuvent flouter en permanence une zone définie de l'image (une fenêtre, une porte, un siège précis). Cela ne fonctionne que si le sujet sensible reste fiablement dans cette zone ; une personne qui se déplace n'est pas couverte.
• Le matériel caméra conçu pour la confidentialité dès la conception : certains systèmes de vidéosurveillance et de visioconférence d'entreprise exécutent la détection de visage sur l'appareil et floutent directement dans le pipeline vidéo, avant que le signal ne quitte la caméra. Efficace, mais spécialisé et coûteux.

Ce qui n'existe pas encore de manière fiable : un outil prêt à l'emploi qui surveille un flux en direct quelconque et floute chaque visage, à chaque image, sans aucune détection manquée. Une seule image manquée dans un contexte en direct est une fuite en direct. Il n'y a aucune chance de la rattraper avant qu'un spectateur ne la voie. Si votre événement exige réellement ce niveau de contrôle, budgétez pour un outillage de diffusion de niveau entreprise et un opérateur humain, pas une application grand public. Pour presque tous les autres cas, les contrôles pratiques en temps réel sont les décisions de minimisation et de cadrage évoquées ci-dessus, combinées à l'anonymisation de l'enregistrement par la suite.

Le schéma pratique : minimiser en direct, anonymiser l'enregistrement

Compte tenu de cette contrainte honnête, le flux de travail qui tient réellement la route ressemble à ceci :

1. Minimiser ce que la caméra en direct capture : cadrage, angle et signalétique, comme ci-dessus. Cela réduit l'exposition pendant la diffusion elle-même, là où la rédaction automatisée est la moins fiable.
2. Restreindre l'audience en direct quand c'est possible : un public de webinaire inscrit est moins risqué qu'un flux public ouvert ; une diffusion réservée aux membres est moins risquée qu'une diffusion intégrée sur une page publique.
3. Anonymiser l'enregistrement avant sa publication, son archivage ou sa réutilisation. C'est là que se concentre la véritable exposition RGPD, car l'enregistrement subsiste, est découpé en temps forts, mis en ligne en vidéo à la demande, repris sur les réseaux sociaux, ou réutilisé comme support de formation. Chaque réutilisation est un nouveau traitement, et l'enregistrement est le seul artefact sur lequel vous avez un contrôle total et tout le temps nécessaire pour le traiter correctement.

Cette troisième étape est celle où la plupart des organisations soit ne font rien (l'enregistrement reste intact, avec chaque visage et badge nominatif visible), soit le font manuellement, image par image, ce qui ne passe pas à l'échelle au-delà de quelques clips.

Comment anonymiser l'enregistrement avec Medianonymizer

Medianonymizer est conçu exactement pour cette étape : vous téléversez l'enregistrement après l'événement, pas pendant, et récupérez une version dont le contenu identifiant a été supprimé de manière irréversible.

Le pipeline :

• Téléversez l'enregistrement : vidéo jusqu'à environ deux heures, y compris les fichiers source en 4K.
• La détection automatique couvre les visages, les têtes et les plaques d'immatriculation dans l'image ; le texte à l'écran qui révèle des DCP (badges nominatifs, diapositives, documents présentés à la caméra) ; et les DCP orales dans la piste audio.
• Un caviardage déterministe et irréversible : les visages et les plaques sont pixelisés ou masqués directement dans la vidéo par ré-encodage, pas superposés comme une couche amovible ; les DCP orales dans l'audio sont bipées ou réduites au silence sur la forme d'onde. Rien n'est caché derrière un interrupteur qu'un spectateur pourrait désactiver.
• Téléchargez le fichier propre. Aucun compte requis, paiement par fichier, et le prix est affiché avant paiement : l'anonymisation vidéo démarre à 4,99 EUR, l'audio à 2,99 EUR.

Le même flux de travail d'anonymisation orienté RGPD s'applique que la source soit l'enregistrement d'une diffusion en direct, une archive d'événement, ou des images de vidéosurveillance récupérées pour un incident précis.

Ce sur quoi il ne faut pas compter

Quelques raccourcis reviennent régulièrement, et aucun ne tient la route :

• La modération automatique de la plateforme. Les plateformes de streaming modèrent les violations de leurs règles, pas la conformité RGPD. Elles ne détectent ni ne caviardent les données personnelles dans vos images.
• « On le supprimera plus tard. » La suppression est une décision de conservation, pas une décision d'anonymisation, et elle ne fait rien pour la fenêtre entre la publication et la suppression, qui est précisément le moment où l'enregistrement a le plus de chances d'être visionné, partagé ou découpé en clips.
• La basse résolution comme protection. Des visages petits ou flous restent souvent identifiables dans leur contexte, associés à un badge nominatif, une légende, un lieu reconnaissable ou une voix identifiable. La résolution ne remplace pas le caviardage.
• La coupure du son seule. Retirer la piste audio ne supprime pas les noms qui apparaissent dans des sous-titres générés automatiquement, des transcriptions de chat, ou une description de vidéo rédigée à partir de l'enregistrement.

Anonymisez votre enregistrement avant qu'il n'aille plus loin

Vous ne pouvez pas flouter de manière fiable des visages sur une caméra en direct avec des outils grand public, et prétendre le contraire crée une fausse confiance. Ce que vous pouvez contrôler, c'est ce qui arrive à l'enregistrement une fois la diffusion terminée : minimisez ce que la caméra en direct capture, puis anonymisez le fichier avant qu'il ne soit archivé, découpé en clips ou republié.

Flouter les visages dans votre vidéo enregistrée →