Affiche vidéosurveillance RGPD : contenu obligatoire

La vidéosurveillance par caméras de sécurité est une pratique courante dans les commerces, bureaux, communautés de copropriétaires, locaux industriels et espaces à usage public. Cependant, installer des caméras sans informer correctement les personnes susceptibles d'être filmées constitue une infraction au Règlement général sur la protection des données (RGPD, Règlement UE 2016/679) et à la Loi organique 3/2018 du 5 décembre relative à la protection des données à caractère personnel et à la garantie des droits numériques (LOPDGDD). L'instrument principal de cette information est l'affiche d'information sur la vidéosurveillance, dont le contenu minimal, l'emplacement et les conditions d'utilisation sont spécifiquement réglementés. Cet article répond de manière systématique aux questions les plus fréquentes que nous recevons chez Summum Consultoría sur cet élément — apparemment simple, mais trop souvent mal mis en œuvre.

Quelle est la base légale régissant l'affiche de vidéosurveillance ?

L'obligation d'informer par voie d'affiche découle de l'application conjointe de plusieurs textes :

• Article 13 du RGPD : établit les informations que le responsable du traitement doit fournir aux personnes concernées au moment où leurs données sont collectées. Les images captées par des caméras constituent des données à caractère personnel lorsqu'elles permettent d'identifier une personne physique.
• Article 22 de la LOPDGDD (vidéosurveillance) : réglemente spécifiquement le traitement d'images dans les espaces publics et les espaces privés ouverts au public, en établissant l'obligation d'un dispositif d'information visible et accessible, et en fixant le délai maximal de conservation des images à un mois en règle générale.
• Article 89 de la LOPDGDD (vidéosurveillance dans le cadre du travail) : reconnaît la faculté de l'employeur d'installer des systèmes de captation d'images pour le contrôle de l'activité professionnelle, sous réserve que les travailleurs et leurs représentants aient été préalablement informés.

Ces textes sont complétés par l'Instruction 1/2006 du 8 novembre de l'AEPD, qui, bien qu'antérieure au RGPD, demeure la référence technique pour la conception de l'affiche, ainsi que par le modèle indicatif publié par l'AEPD sur son bureau électronique.

Quelles informations l'affiche de vidéosurveillance doit-elle contenir ?

L'affiche doit remplir la fonction de couche d'information de base ou condensée — ce que l'AEPD appelle «information par couches» — de sorte que la personne concernée puisse accéder immédiatement aux données essentielles et, si elle le souhaite, obtenir des informations plus complètes via un second niveau (politique de confidentialité complète, formulaire, notice détaillée, etc.).

Les éléments minimaux que l'affiche doit inclure sont les suivants :

Le modèle indicatif publié par l'AEPD inclut tous ces éléments et peut servir de base, adapté aux données du responsable concerné. L'AEPD n'impose pas l'utilisation de son modèle spécifique, mais elle avertit que l'omission de l'un des éléments minimaux peut constituer une infraction à l'obligation de transparence.

Où l'affiche doit-elle être placée ?

L'emplacement de l'affiche est aussi important que son contenu. L'article 22 de la LOPDGDD exige que le dispositif d'information soit visible et accessible. L'AEPD a interprété cette exigence dans de nombreuses résolutions :

• L'affiche doit être placée dans un endroit en amont de l'accès à la zone surveillée, de sorte que la personne concernée dispose de l'information avant d'entrer, et non une fois qu'elle a déjà été filmée.
• Elle doit être lisible depuis la distance d'approche habituelle de la zone. Des affiches de taille excessivement réduite ou placées à une hauteur non visible ont fait l'objet de procédures de sanction.
• Dans les espaces disposant de plusieurs points d'accès, une affiche doit être placée à chaque accès pertinent.
• Lorsque la zone surveillée est l'intérieur d'un établissement auquel on accède depuis la rue, une affiche sur la porte ou la vitrine est la pratique habituelle et généralement suffisante, à condition qu'elle soit visible depuis l'extérieur avant d'entrer.

Dans le cadre du travail, l'obligation d'information préalable de l'article 89 de la LOPDGDD est généralement satisfaite par une clause informative intégrée au contrat de travail ou par un document spécifique remis au salarié. L'affiche dans la zone surveillée complète cette information mais ne la remplace pas : l'AEPD a indiqué que l'information aux travailleurs doit être préalable et individualisée, et non simplement ambiante.

Combien de temps les images peuvent-elles être conservées ?

Le délai de conservation est l'un des aspects qui génère le plus fréquemment des manquements. La règle générale établie à l'article 22.3 de la LOPDGDD est claire :

«Les images seront supprimées dans un délai maximal d'un mois à compter de leur captation, sauf lorsqu'elles doivent être conservées pour attester la commission d'actes portant atteinte à l'intégrité des personnes, des biens ou des installations.»

En pratique, cela signifie :

• Délai ordinaire : un mois. Passé ce délai, les images doivent être supprimées de manière sécurisée et irréversible si aucun incident ne justifie leur conservation.
• Exception en cas d'incident : si au cours de la période d'enregistrement survient un fait nécessitant de mettre les images à la disposition des forces de l'ordre ou des autorités judiciaires, le responsable peut les conserver jusqu'à la clôture de la procédure correspondante. L'AEPD recommande de documenter la raison de cette conservation exceptionnelle.
• Contexte professionnel : il n'existe pas de délai différencié explicite pour les caméras de contrôle du travail, mais le principe de minimisation du RGPD et la doctrine de l'AEPD indiquent que les images ne doivent pas non plus être conservées au-delà de ce qui est nécessaire à la finalité déclarée, ce qui ne dépasse généralement pas un mois sauf si une procédure disciplinaire ou judiciaire est en cours.

Le non-respect du délai de conservation est l'une des causes les plus fréquentes de procédures de sanction en matière de vidéosurveillance. La configuration d'une suppression automatique — fonctionnalité standard dans les systèmes d'enregistrement numériques (DVR/NVR) — est la mesure technique la plus simple pour respecter cette exigence.

Quelles différences entre espace privé, espace ouvert au public et contexte professionnel ?

Que se passe-t-il si l'affiche est absente ou insuffisante ?

L'absence d'affiche d'information ou l'omission d'éléments essentiels peut conduire à des procédures de sanction de l'AEPD. Les infractions liées au non-respect de l'obligation d'information sont qualifiées d'infractions graves à l'article 83.4 du RGPD — avec des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel — ou d'infractions très graves à l'article 83.5 si l'absence d'information est liée à l'absence de base juridique pour le traitement.

Le cadre général des sanctions du RGPD (article 83) fixe des plafonds de jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les infractions les plus graves, bien que le montant concret de chaque dossier dépende des critères de modulation de l'article 83.2 (intentionnalité, mesures prises pour réduire le dommage, niveau de coopération, etc.).

Si vous avez des interrogations sur la conformité de votre système de vidéosurveillance au RGPD et à la LOPDGDD, Summum Consultoría réalise un diagnostic de conformité en matière de vidéosurveillance incluant la vérification de l'affiche, l'analyse du registre des activités de traitement, le contrôle des délais de conservation et, le cas échéant, la rédaction de la documentation complémentaire. Nous accompagnons les entreprises de Castille-et-León et des îles Canaries dans leur mise en conformité avec la réglementation sur la protection des données, sans jamais se substituer au rôle de l'AEPD en tant qu'autorité de contrôle.

Quand une violation de données impliquant des images de vidéosurveillance doit-elle être notifiée ?

Si un incident de sécurité affecte des images enregistrées — accès non autorisé aux enregistrements, vol du système de stockage, piratage à distance du NVR, diffusion non autorisée d'images, etc. — le responsable du traitement est tenu de le notifier à l'AEPD dans un délai maximum de 72 heures à compter du moment où il en a connaissance, conformément à l'article 33 du RGPD.

Si la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées — par exemple des images à caractère intime, des images révélant des informations sensibles sur des comportements, ou une diffusion massive — le responsable doit également communiquer la violation aux personnes concernées sans retard injustifié, conformément à l'article 34 du RGPD.

Liste de vérification : affiche de vidéosurveillance conforme au RGPD

1. L'affiche inclut le pictogramme de caméra normalisé.
2. Le responsable du traitement est identifié (nom ou dénomination sociale).
3. La finalité du traitement est indiquée (sécurité, contrôle des accès, contrôle du travail).
4. Le droit des personnes concernées d'accéder à l'information complète et d'exercer leurs droits est mentionné.
5. Un canal de contact ou une référence à la politique de confidentialité complète est fourni.
6. L'affiche est placée dans un endroit visible avant d'entrer dans la zone surveillée.
7. La taille et l'emplacement permettent de la lire dans des conditions normales d'accès.
8. Le système d'enregistrement est configuré pour une suppression automatique dans un délai d'un mois ou moins.
9. Les caméras ne captent pas la voie publique au-delà de la frange minimale strictement nécessaire.
10. Dans un contexte professionnel, les travailleurs ont reçu une information préalable et individualisée.
11. Le traitement de vidéosurveillance est documenté dans le registre des activités de traitement (RAT) du responsable.
12. Une procédure interne existe pour la gestion des violations de données et leur notification à l'AEPD dans les 72 heures lorsque cela est requis.

Questions fréquentes

Une seule affiche à l'entrée d'un commerce disposant de plusieurs caméras intérieures est-elle suffisante ?

En principe, oui, à condition que l'affiche soit visible depuis l'extérieur avant d'entrer et que l'espace soit ouvert ou que l'accès mène directement à la zone surveillée. Si l'établissement comporte des zones distinctes avec des caméras accessibles par des entrées différentes — par exemple une zone de chargement et déchargement avec accès indépendant — une affiche doit être placée à chaque accès pertinent. La règle est qu'aucune personne ne doit être filmée sans avoir eu la possibilité de voir l'affiche au préalable.

Une communauté de copropriétaires peut-elle installer des caméras dans les parties communes ?

Oui, à condition que l'assemblée générale l'approuve avec les majorités requises par la loi espagnole sur la propriété horizontale et que les exigences du RGPD et de la LOPDGDD soient respectées : affiche d'information aux accès des zones surveillées, conservation maximale d'un mois, interdiction d'orienter des caméras vers la voie publique ou les parties privatives des copropriétaires, et documentation du traitement dans le RAT de la communauté. La communauté agit en tant que responsable du traitement et doit désigner un représentant pour exercer ce rôle.

L'employeur peut-il utiliser des images de vidéosurveillance comme preuve dans une procédure disciplinaire ?

La jurisprudence espagnole — y compris les arrêts du Tribunal Suprême et du Tribunal Constitutionnel — a admis l'utilisation d'images de vidéosurveillance au travail comme preuve dans les procédures disciplinaires, à condition que les travailleurs aient été informés au préalable de l'existence des caméras et de la possibilité d'utiliser les images à cette fin. L'arrêt du Tribunal Suprême du 21 juillet 2021 (rcud 4877/2018) a consolidé cette doctrine dans le cadre de l'article 89 de la LOPDGDD. Si cette information préalable n'a pas été fournie, la preuve peut être illicite et inadmissible dans la procédure prud'homale ou pénale.