La vidéo corporelle est un outil puissant : elle protège le personnel, fournit des preuves fiables et renforce la confiance. Mais en l’absence d’une politique claire, elle peut devenir un handicap. Ce blog présente des étapes pratiques pour assurer la conformité avec le GDPR et au-delà.
Étape 0 : Établir votre base juridique et la transparence
En vertu du GDPR, vos motifs légaux peuvent inclure :
- Obligation légale ou statutaire – par exemple, dans le cadre de l’application de la loi ou de la réglementation.
- Intérêts légitimes – tels que la protection du personnel ou la prévention du vol (nécessite une évaluation des intérêts légitimes).
- Intérêts vitaux – protection des personnes en cas d’urgence.
Le consentement n’est généralement pas pratique. Il est essentiel de faire preuve de transparence par le biais d’une signalisation, de séances d’information et d’avis sur la protection de la vie privée.
Étape 1 : Définir votre cadre juridique
Clarifiez :
- Périodes de conservation minimales/maximales
- Obligations sectorielles
- Qui peut autoriser la rétention prolongée ?
Réalisez et examinez une DPIA qui documente les garanties : calendriers de suppression, contrôles d’accès, rédaction, réaction en cas de violation et engagement des parties prenantes.
Étape 2 : Fixer des délais de conservation adaptés à la réalité
- Images de routine : 14 à 30 jours
- Images liées à un incident : 6 à 12 mois
- Images à valeur probante : Jusqu’à la fin de la procédure
Appliquez des règles de suppression automatisées pour réduire les erreurs humaines.
Étape 3 : Contrôler l’accès et préserver la chaîne de possession
- Contrôle d’accès basé sur les rôles (RBAC) : Limitez l’accès en fonction du rôle et de l’objectif
- Journaux d’audit : Suivi de la visualisation, de la modification et de l’exportation
- Chaîne de contrôle : Maintenez l’authenticité grâce à des journaux et des hachages.
- Cryptage : Protégez en transit et au repos
Étape 4 : Élaborer un flux de travail de rédaction
- Flouter/masquer les visages, les plaques, les adresses
- Désactiver les sons sensibles
- Enregistrer toutes les expurgations
Ceci est essentiel pour la conformité au GDPR, en particulier à l’article 15(4).
Étape 5 : Prise en compte des droits des personnes et de l’obligation de rendre des comptes
- Droit d’accès : Répondre dans un délai d’un mois (2 pour les cas complexes)
- Droit à l’effacement : peut s’appliquer dans des cas spécifiques
- Droit d’opposition : Doit être évalué au cas par cas
Nommer un DPD ou un responsable. Former le personnel. Impliquer les parties prenantes.
Étape 6 : Entreprises de traitement et transferts internationaux
Signez des contrats de sous-traitance conformes à l’article 28 du GDPR et incluez les sous-traitants secondaires et les droits d’audit. Pour les transferts en dehors de l’EEE, utilisez des clauses contractuelles types (CCN) et procédez à des évaluations des risques.
Étape 7 : Examen, audit et documentation
Révisez régulièrement votre politique pour tenir compte des nouvelles lois, de la technologie et des leçons tirées de l’expérience. Incluez des protocoles et une documentation sur les violations pour assurer la responsabilité.
Faire des caméras corporelles un outil de confiance et de conformité
Une politique claire garantit une utilisation légale, un traitement sécurisé et la confiance du public. ZEPCAM propose des systèmes sécurisés et conformes, ainsi que des conseils d’experts pour vous accompagner à chaque étape.
📌 Foire aux questions (FAQ)
- 1. Combien de temps la vidéo portée sur le corps peut-elle être conservée ?
- Dans le cadre du GDPR, seulement le temps nécessaire. Les images de routine sont souvent supprimées au bout de 14 à 30 jours ; les éléments de preuve sont conservés jusqu’à la fin de la procédure judiciaire.
- 2. Qu’est-ce qu’une chaîne de contrôle ?
- Il s’agit d’une trace documentée montrant comment les images sont traitées, y compris les horodatages, les journaux d’accès et les hachages pour vérifier l’authenticité.
- 3. Comment traiter les demandes d’accès des personnes concernées ?
- Les organisations doivent répondre dans un délai d’un mois (ou deux pour les cas complexes), en expurgeant les données des tiers avant de les divulguer.
- 4. Que se passe-t-il en cas de violation de données ?
- Une violation doit être évaluée et enregistrée. Si elle présente un risque élevé, notifiez-la aux autorités dans les 72 heures et informez les personnes concernées.
- 5. Quelles sont les mesures de sécurité requises ?
- Le cryptage (en transit et au repos), le RBAC, les contrôles à l’exportation, le hachage pour la vérification et les tests réguliers sont autant de bonnes pratiques.
