L'une des erreurs les plus fréquentes que nous détectons lors des audits de protection des données est la conservation indéfinie — ou pendant des années — des enregistrements obtenus par des systèmes de vidéosurveillance. Les entreprises croient souvent que plus elles conservent les images longtemps, mieux elles se protègent face à d'éventuelles réclamations. La réalité juridique est tout autre : conserver des enregistrements au-delà de la durée légalement autorisée constitue une infraction à la réglementation sur la protection des données, quelle qu'ait été l'intention.
L'article 22 de la loi organique 3/2018 du 5 décembre relative à la protection des données à caractère personnel et à la garantie des droits numériques (LOPDGDD — Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales) réglemente spécifiquement les systèmes de vidéosurveillance et établit avec précision la durée pendant laquelle les images peuvent être conservées, les circonstances dans lesquelles elles doivent être bloquées plutôt que supprimées, et les exceptions admises. Cet article analyse ce régime avec rigueur normative.
Si vous souhaitez savoir en détail comment configurer et gérer un système de vidéosurveillance conforme au RGPD, l'équipe de Summum Consultoría peut vous accompagner tout au long du processus de mise en conformité.
La règle générale : une durée maximale de conservation d'un mois
L'article 22.3 de la LOPDGDD dispose textuellement que « les données seront supprimées dans un délai maximum d'un mois à compter de leur captation ». Ce délai d'un mois constitue la limite absolue dans des circonstances ordinaires, c'est-à-dire lorsque les images ne sont liées à aucun incident, réclamation ou exigence légale.
La rédaction ne laisse aucune marge d'interprétation : le responsable du traitement — l'entreprise, la copropriété, le travailleur indépendant ou l'entité publique qui exploite le système — est tenu de supprimer les enregistrements avant l'expiration de ce délai. Il ne suffit pas d'avoir configuré un système d'écrasement automatique ; il convient de vérifier périodiquement que l'écrasement fonctionne effectivement et qu'aucune copie de sauvegarde ne prolonge la durée réelle de conservation au-delà d'un mois.
Le règlement (UE) 2016/679 (RGPD — Règlement Général sur la Protection des Données), en son article 5, paragraphe 1, point e), consacre le principe de limitation de la conservation : les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles ont été collectées. La vidéosurveillance a une finalité précise — la sécurité des personnes et des biens ou le contrôle des accès — et cette finalité est satisfaite sans qu'il soit nécessaire de conserver les images indéfiniment. Un mois est la durée que le législateur espagnol a jugée proportionnée et suffisante.
Que se passe-t-il lorsqu'un incident est détecté ? Le blocage des enregistrements
L'article 22.3 de la LOPDGDD lui-même reconnaît une exception d'une grande importance pratique : les images doivent être conservées — et non supprimées — lorsqu'elles ont capté la commission d'actes portant atteinte à l'intégrité des personnes, des biens ou d'autres finalités pour lesquelles le système a été installé.
En pratique, cela se traduit par la notion de blocage : lorsqu'un incident est détecté — un vol, une agression, une entrée non autorisée, un accident du travail — les enregistrements liés à cet incident ne doivent pas suivre le cycle ordinaire d'écrasement ou de suppression. Ils doivent être bloqués, c'est-à-dire préservés de manière contrôlée jusqu'à la clôture des procédures judiciaires, administratives ou de toute autre nature nécessitant ces images comme preuve.
Ce blocage ne prolonge pas indéfiniment la conservation : les images restent à la disposition exclusive des juges et tribunaux, des forces et corps de sécurité de l'État compétents pour l'enquête sur l'incident et, le cas échéant, de l'entreprise aux fins de faire valoir ou de défendre ses droits devant les autorités compétentes. Le responsable ne peut pas continuer à les visionner librement ni les utiliser à des fins autres que celles qui ont justifié le blocage.
L'Agence espagnole de protection des données (AEPD — Agencia Española de Protección de Datos) a précisé dans diverses résolutions et dans son Guide sur la vidéosurveillance que le blocage doit être proportionné : seuls les enregistrements directement liés à l'incident doivent être préservés, et non la totalité des enregistrements du système pendant cette période.
Exceptions au délai d'un mois
Outre le blocage par incident, il existe d'autres cas dans lesquels le délai d'un mois peut être dépassé :
- Réquisitions judiciaires ou policières reçues avant l'expiration du délai. Si, avant l'expiration du mois, l'entreprise reçoit une ordonnance judiciaire ou une réquisition des forces de sécurité demandant la conservation de certaines images, elle devra les conserver même si le délai d'un mois est écoulé ou proche de l'être.
- Exercice d'actions en justice. Lorsque le responsable a connaissance que les images sont nécessaires pour exercer ou se défendre dans une procédure judiciaire, arbitrale ou administrative, il peut les conserver le temps strictement nécessaire à ces fins, avec le blocage et la documentation correspondants.
- Obligations légales sectorielles spécifiques. Certaines réglementations sectorielles — par exemple, celles régissant les établissements de jeux, les entités financières ou les installations critiques — peuvent imposer des durées de conservation supérieures à un mois. Dans ces cas, la réglementation spéciale prévaut sur le régime général de l'article 22 LOPDGDD, à condition que l'habilitation légale soit dûment documentée.
En dehors de ces exceptions limitativement définies, il n'est pas valable de prolonger le délai en invoquant des raisons de convenance (« au cas où un problème surviendrait »), des politiques internes de sécurité ou l'importance de l'investissement dans le système d'enregistrement. Les principes de minimisation des données et de limitation de la conservation du RGPD n'admettent pas ces justifications.
Tableau comparatif : durées de conservation selon le cas
| Cas | Durée de conservation | Base légale | Conditions |
|---|---|---|---|
| Enregistrement ordinaire sans incident | Maximum 1 mois | Art. 22.3 LOPDGDD | Suppression ou écrasement automatique à l'expiration du délai |
| Images liées à un incident (vol, agression, accident) | Pendant la durée des procédures correspondantes | Art. 22.3 LOPDGDD (partie finale) | Blocage immédiat ; accès réservé aux autorités compétentes et à l'exercice des droits |
| Réquisition judiciaire ou policière reçue avant l'expiration du mois | Selon ce que fixe l'autorité requérante | Art. 22.3 LOPDGDD + décision judiciaire | Une copie intégrale non modifiée doit être conservée ; blocage documenté |
| Législation sectorielle spéciale (établissements de jeux, installations critiques, etc.) | Selon ce que fixe la réglementation sectorielle applicable | Législation sectorielle spécifique | L'habilitation légale justifiant la durée prolongée doit être documentée |
| Images sans données à caractère personnel (zones sans présence humaine possible) | La LOPDGDD ne s'applique pas ; critère technique du responsable | RGPD art. 2 (champ d'application matériel) | Évaluer au cas par cas ; l'AEPD peut considérer que des données existent si une identification est possible |
Obligation de suppression sécurisée
La suppression des enregistrements à l'expiration du délai ne peut pas consister à les marquer simplement comme « archivés » ou à les déplacer dans un dossier de corbeille. L'article 5, paragraphe 1, point e), du RGPD exige que les données cessent d'être disponibles et ne puissent pas être raisonnablement récupérées. En termes pratiques, la suppression sécurisée implique :
- L'écrasement effectif des secteurs du disque ou du support sur lequel les enregistrements sont stockés, de sorte qu'ils ne soient pas récupérables avec des outils forensiques conventionnels.
- Si des supports amovibles sont utilisés (disques durs portables, bandes, clés USB), la destruction physique certifiée ou la démagnétisation lorsque le support arrive en fin de vie utile.
- Lorsque le système de vidéosurveillance fonctionne dans le nuage, la vérification contractuelle que le prestataire garantit la suppression effective des données à l'expiration du délai et ne conserve pas de copies dans des systèmes de sauvegarde pour des périodes supérieures à un mois.
- La documentation du processus : enregistrement des dates de suppression, du système ou support concerné et de la personne responsable de l'exécution de la suppression.
Ce dernier point — la documentation de la suppression — n'est pas facultatif. Le principe de responsabilité (accountability) de l'article 5, paragraphe 2, du RGPD oblige le responsable à démontrer qu'il respecte le principe de limitation de la conservation. Si l'AEPD ouvre une enquête, l'entreprise devra prouver non seulement qu'elle a configuré la suppression automatique, mais que cette suppression se produit réellement.
Le registre des activités de traitement et la vidéosurveillance
Tout système de vidéosurveillance captant des images de personnes identifiées ou identifiables doit figurer dans le registre des activités de traitement qu'exige l'article 30 du RGPD. Ce registre doit indiquer, entre autres données, la durée de conservation prévue. Indiquer une durée générique telle que « le nécessaire » ou « jusqu'à la résolution des incidents » n'est pas suffisant : la durée précise doit être spécifiée (un mois, avec les exceptions documentées) ainsi que la procédure de suppression.
De même, si le système de vidéosurveillance implique un traitement à grande échelle, une observation systématique d'une zone accessible au public ou le traitement de catégories particulières de données (par exemple, des données biométriques pour la reconnaissance faciale), il peut être obligatoire de réaliser une Analyse d'Impact relative à la Protection des Données (AIPD) avant la mise en service du système, conformément à l'article 35 du RGPD.
Pour vérifier si votre entreprise gère correctement les durées de conservation de vos enregistrements, vous pouvez consulter notre service de mise en conformité des systèmes de vidéosurveillance au RGPD, présent en Castille-et-León et aux Îles Canaries.
Information active : le panneau de vidéosurveillance
La LOPDGDD, en son article 22.4, oblige à informer de manière claire et visible les personnes qui circulent dans les zones vidéosurveillées. Le contenu minimal qui doit figurer sur le panneau est l'existence du traitement, l'identité du responsable et la possibilité d'exercer les droits reconnus aux articles 15 à 22 du RGPD, en indiquant en outre où des informations plus détaillées peuvent être obtenues.
Ce lieu où obtenir des informations complémentaires constitue la seconde couche d'information : une politique de confidentialité, un formulaire ou tout autre document accessible qui complète ce que le panneau ne peut pas contenir pour des raisons d'espace. C'est dans cette seconde couche — et non sur le panneau lui-même — que doivent figurer la durée de conservation des images et les coordonnées du responsable du traitement ou, le cas échéant, du délégué à la protection des données (DPD), comme le reflète le modèle publié par l'AEPD.
L'omission ou l'insuffisance de l'information active est l'une des infractions les plus fréquentes en matière de vidéosurveillance et peut donner lieu à des procédures sanctionnatrices dans le cadre de l'article 83 du RGPD.
Régime des sanctions applicable
Les infractions liées à la conservation indue d'enregistrements de vidéosurveillance s'inscrivent dans le système de sanctions de l'article 83 du règlement (UE) 2016/679 et de la LOPDGDD (LO 3/2018).
L'article 83, paragraphe 5, du RGPD qualifie d'infraction grave la violation des principes de base du traitement, parmi lesquels figure la limitation de la conservation (art. 5, par. 1, point e, RGPD). Les sanctions pour ce type d'infraction peuvent atteindre 20 000 000 EUR ou 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Pour les infractions de moindre gravité, le seuil est de 10 000 000 EUR ou 2 % du chiffre d'affaires.
L'AEPD tient compte, pour graduer les sanctions, de facteurs tels que la durée du manquement, le nombre de personnes concernées, le fait que le responsable a pris des mesures proactives pour minimiser les dommages ou, au contraire, que la conservation excessive a été négligente ou délibérée. Disposer d'une procédure de suppression documentée — même si elle a failli ponctuellement — réduit significativement l'exposition aux sanctions.
Il convient de rappeler que la LOPDGDD en vigueur est la LO 3/2018, qui a abrogé l'ancienne LO 15/1999 (LOPD). Toute référence à l'« ancienne LOPD » dans des documents ou contrats doit être mise à jour pour refléter le régime actuellement applicable.
Bonnes pratiques recommandées par l'AEPD
Le Guide sur l'utilisation de caméras vidéo à des fins de sécurité et autres finalités publié par l'AEPD recense une série de recommandations opérationnelles qui vont au-delà du respect minimal :
- Configurer la suppression automatique dans le système d'enregistrement lui-même, afin qu'elle ne dépende pas d'une action manuelle périodique susceptible d'être oubliée.
- Réduire la durée en dessous d'un mois lorsque la finalité du système le permet. Si l'objectif est de détecter des accès non autorisés en dehors des heures d'ouverture du local, 7 ou 14 jours peuvent suffire et être plus proportionnés.
- Limiter l'accès aux enregistrements au nombre minimal de personnes, avec un registre indiquant qui y accède, à quel moment et à quelle fin.
- Établir un protocole écrit de gestion des incidents détaillant la procédure de blocage des images, la chaîne de conservation et la personne responsable de la liaison avec les autorités.
- Réviser périodiquement la configuration du système, notamment lors d'un changement de prestataire technologique, d'une mise à jour du logiciel de gestion vidéo ou d'une extension du nombre de caméras.
Questions fréquentes
Le délai d'un mois est-il calculé à partir de l'enregistrement de chaque image ou à partir du début de la session d'enregistrement ?
L'article 22.3 de la LOPDGDD établit que le délai se calcule à partir de la captation de chaque image. En pratique, étant donné que les systèmes de vidéosurveillance enregistrent de manière continue, le mois est compté à partir du moment où chaque enregistrement a été réalisé. Un système configuré pour écraser automatiquement au bout de 30 jours satisfait à ce critère. L'essentiel est qu'aucune image ne reste stockée plus d'un mois depuis sa captation, sauf dans les cas de blocage ou d'exception prévus par la loi.
Que se passe-t-il si le système d'écrasement tombe en panne et que les images sont conservées plus d'un mois à l'insu du responsable ?
Le responsable du traitement n'est pas exonéré par la défaillance technique. Le principe de responsabilité (accountability) du RGPD exige que le responsable adopte des mesures techniques et organisationnelles appropriées pour garantir le respect des durées de conservation. Cela inclut la vérification périodique du bon fonctionnement de l'écrasement automatique. Si une défaillance est détectée, elle doit être corrigée immédiatement, documentée et, si elle a affecté un nombre significatif d'images ou des données de catégories particulières, évaluée pour déterminer si le dépassement de conservation constitue une violation de données devant être notifiée à l'AEPD conformément à l'article 33 du RGPD.
Une copropriété peut-elle conserver les enregistrements plus d'un mois si les copropriétaires en décident ainsi en assemblée générale ?
Non. La décision des copropriétaires en assemblée générale ne peut pas prolonger la durée maximale fixée par la loi. L'article 22.3 de la LOPDGDD établit une limite impérative à laquelle les parties ne peuvent pas déroger. Les copropriétés peuvent fixer une durée inférieure à un mois — ce qui est parfaitement valide et parfois plus proportionné — mais pas une durée supérieure. Pour plus d'informations sur le régime spécifique des copropriétés, vous pouvez consulter l'article sur la vidéosurveillance dans les copropriétés.
Quand est-il obligatoire de bloquer les enregistrements et qui peut y accéder pendant la période de blocage ?
Le blocage est obligatoire dès que le responsable a connaissance que les images ont capté la commission d'un acte illicite ou qu'elles peuvent être pertinentes pour une procédure judiciaire, policière ou administrative en cours. L'accès pendant la période de blocage est réservé aux organes judiciaires et aux forces et corps de sécurité compétents, ainsi qu'au responsable lui-même ou à ses représentants légaux lorsqu'ils ont besoin des images pour faire valoir ou défendre leurs droits. Tout autre accès — y compris par des membres du personnel de l'entreprise non directement impliqués dans la gestion de l'incident — doit être évité et, s'il se produit, doit être documenté.