Une caméra en entreprise traite des images de salariés, visiteurs et parfois clients. Le RGPD ne se résume pas à poser un panneau. L'entreprise doit pouvoir expliquer pourquoi chaque zone est filmée, qui consulte les images, combien de temps elles restent disponibles et comment une personne exerce ses droits. Le dispositif doit aussi être distingué selon que le lieu est ou non ouvert au public.
Définir une finalité précise
La CNIL cite la sécurité des personnes et des biens parmi les finalités possibles. Une formule générale comme surveiller l'activité ne justifie pas un cadrage continu des postes de travail.
Écrivez une finalité par caméra et reliez-la à un risque concret. Si deux appareils ont exactement la même phrase mais pas la même zone, la description est probablement trop vague.
Prouver la proportionnalité
Les entrées, sorties, circulations et zones où des biens de valeur sont stockés peuvent répondre à un besoin de sécurité. Les toilettes, espaces de pause et locaux syndicaux appellent une protection particulière. Le cadrage doit éviter le contrôle permanent d'une personne.
Faites valider le plan par la personne responsable du traitement et conservez les raisons de chaque implantation.
Informer avant la collecte
Le panneau de premier niveau doit présenter la finalité, le responsable, la durée, les droits et le moyen d'obtenir l'information complète. Les personnes employées doivent aussi être informées individuellement selon le contexte.
Parcourez le site comme un visiteur et vérifiez que l'information est visible avant d'entrer dans la zone filmée.
Limiter les destinataires
Seules les personnes habilitées pour la finalité doivent consulter les images. Le compte générique partagé à toute l'équipe empêche de contrôler les accès et de retirer un droit individuellement.
Tenez une liste d'habilitations, activez les journaux et testez la révocation d'un compte. Les prestataires doivent avoir un périmètre et une durée.
Fixer une conservation justifiée
La CNIL indique que les images sont en général conservées quelques jours et que la durée ne devrait pas dépasser un mois lorsque l'objectif est de permettre des vérifications après un incident. Ce plafond ne transforme pas un mois en durée automatique.
Partez du délai réel de découverte d'un incident. Configurez la purge et vérifiez une semaine plus tard que les images anciennes ont disparu.
Documenter et consulter
La fiche de la CNIL consacrée au contrôle de l'activité rappelle la justification, la proportionnalité, l'information préalable et, selon les cas, la consultation des représentants du personnel. Le registre, l'analyse de risque et parfois une analyse d'impact complètent le dossier.
N'attendez pas l'installation physique pour réunir ces pièces. Une caméra déjà en service rend chaque correction plus coûteuse.
La décision utile avant d'acheter
Écrivez votre besoin en une phrase, puis confrontez chaque fonction à ce besoin. Un équipement qui ne change ni la détection, ni la vérification, ni la réaction ajoute surtout de la complexité. Le bon dispositif est celui dont vous savez expliquer le rôle, le mode dégradé et la personne qui recevra l'alerte.
Gardez enfin une trace de la configuration retenue, des accès créés et des essais réalisés. Ce document devient la base de la maintenance, du remplacement d'un appareil et de toute discussion avec un installateur.
Constituer un dossier qui suit le dispositif
Le dossier associe le plan, la finalité de chaque caméra, les personnes filmées, les destinataires, la durée, les mesures de sécurité et les supports d'information. Il indique aussi la base de la décision et les éventuelles formalités selon le lieu. Ce dossier évolue avec l'installation : un nouvel angle, un accès distant ou un prestataire supplémentaire modifient l'analyse. La cohérence entre le document et la configuration réelle est plus importante qu'une formule juridique copiée.
Vérifier le traitement dans le sens d'une personne filmée
Entrez dans la zone comme un visiteur, cherchez l'information, identifiez le contact et demandez comment une séquence serait retrouvée sans exposer les autres personnes. Puis regardez le système comme un administrateur : comptes actifs, journaux, export, purge et révocation. Cette double lecture montre les écarts que le seul plan ne révèle pas. Conservez une preuve datée du contrôle et prévoyez sa répétition après toute mise à jour, modification de cadrage ou changement de durée.
Garder le choix videosurveillance rgpd entreprise vérifiable
Notez la date de configuration, l'emplacement, le compte responsable, le mode de transmission, le stockage et le résultat du dernier essai. Cette fiche ne contient aucun secret ; elle indique où les accès sont conservés et qui peut les révoquer. Photographiez le cadrage ou la pose finale pour détecter une dérive après des travaux, un choc ou une mise à jour.
Programmez ensuite un test qui reproduit l'usage réel, pas seulement le voyant de diagnostic. Une fonction rarement utilisée se vérifie plus souvent qu'une fonction quotidienne, car personne ne remarquera spontanément sa panne. Si le test échoue, corrigez une cause à la fois et consignez le nouveau résultat. Cette trace rend le choix transmissible et évite de remplacer du matériel quand le défaut vient d'un réglage, d'un accès oublié ou d'une procédure absente.
Commentaires
No comments yet