Droit d'accès aux images
Être filmé donne-t-il accès à toute la séquence ? Peut-on demander une copie des images, identifier un tiers ou les transmettre à son assurance ? Le droit d'accès aux images répond à des règles précises.
Un droit qui concerne de nombreux dispositifs de captation d'images
Vidéoprotection, vidéosurveillance, drone, caméra embarquée, dashcam, caméra individuelle : les dispositifs permettant de capter des images sont aujourd'hui nombreux et répondent à des usages et à des cadres juridiques différents.
Dès lors qu'une personne est identifiable sur ces images et que leur traitement relève de la réglementation relative à la protection des données personnelles, elle dispose de droits sur les données qui la concernent, parmi lesquels figure le droit d'accès.
L'accès aux images est donc un droit, et répondre à une demande d'accès une obligation, mais sa mise en œuvre n'est pas toujours simple.
Que peut réellement demander une personne filmée ? Peut-elle obtenir une copie ? Que faire lorsque d'autres personnes ou véhicules apparaissent sur les images ?
Quel cadre de protection s'applique aux images ?
Le droit d'accès dépend du cadre de protection des données applicable au traitement.
Celui-ci ne dépend pas uniquement du type de caméra utilisé ni de la qualité de son exploitant.
Un traitement d'images peut notamment relever :
- du règlement général sur la protection des données (RGPD), complété par les dispositions du titre II de la loi Informatique et Libertés ;
- du régime prévu par la directive européenne dite « Police-Justice », transposée en droit français au titre III de la loi Informatique et Libertés, lorsqu'il est mis en œuvre par une autorité compétente à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales.
Un même système de vidéoprotection soumis au code de la sécurité intérieure peut donc relever de l'un de ces régimes ou des deux, selon les finalités des traitements mis en œuvre.
Le fait qu'un système soit exploité par une commune ne suffit pas, à lui seul, à le faire relever du titre III.
Sur quelles données porte le droit d'accès ?
Le droit d'accès permet à une personne de savoir si un organisme traite des données à caractère personnel la concernant et, lorsque c'est le cas, d'accéder à ces données.
Dans le cadre de dispositifs de captation d'images, le fait qu'une personne apparaisse sur une séquence ne lui donne donc pas accès à l'ensemble des informations qu'elle contient.
Le droit d'accès porte sur les données à caractère personnel qui la concernent.
Cette distinction est essentielle : une même séquence peut contenir simultanément des données concernant le demandeur et des données concernant d'autres personnes.
Comment exercer son droit d'accès ?
La demande doit être adressée au responsable du traitement ou au service indiqué sur l'information relative au dispositif.
Elle doit permettre d'identifier les images recherchées.
La CNIL propose notamment d'indiquer la date ainsi que la plage horaire concernée.
En pratique, il est également utile de préciser le lieu et le contexte de la demande.
Ces éléments peuvent faciliter la recherche des images et permettre de mieux circonscrire les données concernant le demandeur, tout en limitant l'accès aux données concernant des tiers.
Lorsque l'identité du demandeur fait raisonnablement doute, le responsable du traitement peut demander les informations supplémentaires nécessaires pour la vérifier.
Le droit d'accès a-t-il des limites ?
Le droit d'accès ne constitue pas un droit général permettant d'obtenir l'ensemble des informations détenues par un organisme.
Il porte sur les données à caractère personnel concernant le demandeur et son exercice doit également respecter les droits et libertés d'autrui.
Une demande peut par ailleurs ne pas recevoir de suite lorsqu'elle présente un caractère manifestement infondé ou excessif.
Le responsable du traitement doit toutefois être en mesure de démontrer ce caractère.
La fréquence, l'étendue ou la répétition des demandes doivent donc être appréciées au regard des circonstances propres à chaque situation.
Certains traitements, notamment lorsqu'ils relèvent du titre III de la loi Informatique et Libertés, peuvent également faire l'objet de restrictions particulières.
Les limites opposables à une demande doivent donc être appréciées au regard du cadre de protection effectivement applicable au traitement.
Peut-on utiliser son droit d'accès pour identifier un tiers ?
Le droit d'accès n'a pas vocation à devenir un moyen d'investigation permettant d'obtenir des données concernant un tiers.
Une personne dont le véhicule a été endommagé ne peut ainsi pas exiger, au seul titre de son droit d'accès, la communication de toutes les informations permettant d'identifier l'auteur des faits.
Lorsque l'objectif est précisément d'identifier cet auteur, la victime doit déposer plainte afin que les faits soient portés à la connaissance des autorités compétentes et que les investigations nécessaires puissent être réalisées.
Dans ce cadre, les services de police ou de gendarmerie pourront demander la communication des images selon les règles applicables à la procédure.
Peut-on utiliser son droit d'accès pour son assurance ?
De même, le fait qu'une compagnie d'assurance ait besoin des images pour instruire un sinistre ne lui confère pas, à lui seul, un droit d'accès aux enregistrements. L'assuré peut exercer son droit sur les données qui le concernent et transmettre ensuite à son assureur les éléments dont il dispose.
Un droit à prévoir dans l'exploitation du dispositif
Le droit d'accès ne doit pas être envisagé uniquement lorsqu'une demande est reçue.
Le responsable du traitement doit être en mesure de retrouver les images concernées, de préserver celles nécessaires au traitement de la demande et d'en permettre l'accès tout en préservant les droits et libertés des tiers.
Ces contraintes doivent donc être anticipées dans les procédures d'exploitation mais également dans les choix techniques du dispositif.
Les fonctionnalités de recherche, d'extraction et d'occultation des données permettant d'identifier des tiers peuvent ainsi être examinées lors du choix d'un VMS ou intégrées aux exigences techniques d'un marché.
La conformité ne dépend pas seulement de la manière dont les images sont enregistrées : elle dépend aussi de la capacité du responsable du traitement à exercer concrètement ses obligations lorsqu'une personne fait valoir ses droits.
Comment traiter une demande d'accès ?
La réception d'une demande doit conduire le responsable du traitement à agir rapidement.
Les images étant conservées pendant une durée limitée, attendre l'expiration du délai légal de réponse peut conduire à leur effacement avant même que la demande ait pu être examinée.
Il convient donc d'identifier rapidement les images recherchées et, lorsque cela est nécessaire, de vérifier l'identité du demandeur.
Une fois les images retrouvées, celles nécessaires au traitement de la demande peuvent être extraites afin d'éviter leur effacement automatique, sans modifier pour autant le cycle normal de conservation des autres enregistrements.
Quel délai pour répondre ?
Lorsque le traitement relève du RGPD, la réponse doit intervenir dans les meilleurs délais et au plus tard dans un délai d'un mois.
Ce délai peut être prolongé de deux mois lorsque la complexité ou le nombre de demandes le justifie, sous réserve d'en informer le demandeur et de lui en indiquer les motifs dans le premier mois.
Le titre III de la loi Informatique et Libertés prévoit également une réponse dans les meilleurs délais et au plus tard dans un délai d'un mois, avec une possibilité de prolongation de deux mois lorsque cela est nécessaire compte tenu de la complexité ou du nombre de demandes.
Le délai de réponse ne doit pas être confondu avec la durée de conservation des images. Lorsque celle-ci est plus courte, les images concernées doivent donc être recherchées et préservées sans attendre l'expiration du délai de réponse.
L'extraction éventuellement réalisée pour instruire la demande ne doit elle-même être conservée que pendant la durée nécessaire à son traitement et, le cas échéant, à ses suites.
Sous quelle forme donner accès aux images ?
Le droit d'accès ne doit pas être confondu avec un droit à obtenir systématiquement une copie de la séquence vidéo originale.
Il porte sur les données à caractère personnel concernant le demandeur.
Une séquence constitue le support sur lequel sont enregistrées des données concernant potentiellement plusieurs personnes.
La copie des données prévue dans le cadre du droit d'accès ne signifie donc pas nécessairement la remise à l'identique du fichier vidéo enregistré par le système.
L'accès peut ainsi prendre différentes formes selon la nature des données concernées et le contenu des images : visionnage, remise d'une séquence vidéo après protection des tiers ou, lorsque cela permet de restituer de manière fidèle et intelligible les données concernant le demandeur, communication d'images extraites de l'enregistrement (snapshots).
Et si le système ne permet pas de flouter une vidéo ?
L'absence de fonctionnalité de floutage dans le système de vidéoprotection ou de vidéosurveillance ne constitue pas, à elle seule, un motif permettant d'écarter le droit d'accès.
Elle impose en revanche de rechercher une autre modalité permettant de communiquer les données concernant le demandeur sans porter atteinte aux droits des tiers.
Lorsque la situation s'y prête, une solution peut consister à extraire un ou plusieurs images pertinents de la séquence, puis à les recadrer ou à masquer les personnes, plaques d'immatriculation ou autres éléments permettant d'identifier des tiers.
Le traitement d'une image fixe est généralement beaucoup plus simple que le suivi et l'occultation d'éléments en mouvement sur une séquence vidéo.
Cette solution ne peut toutefois pas être systématisée.
Lorsque le déplacement du demandeur, ses gestes, ses interactions avec d'autres personnes ou la chronologie des événements constituent eux-mêmes des données pertinentes, quelques images peuvent ne pas permettre de restituer de manière suffisamment fidèle et intelligible les données qui le concernent. La production d'une séquence vidéo expurgée peut alors nécessiter l'utilisation d'un logiciel spécialisé ou le recours à un prestataire disposant des moyens techniques adaptés.
Le visionnage ne résout pas nécessairement la question des tiers
Proposer un simple visionnage sur place n'apporte pas nécessairement de solution lorsque la séquence contient des données concernant d'autres personnes.
Si celles-ci restent identifiables lors du visionnage, leurs données sont également rendues accessibles au demandeur.
Le choix entre visionnage, images ou copie vidéo doit donc être effectué au regard du contenu de la séquence, des données concernant effectivement le demandeur et de la nécessité de préserver les droits et libertés des tiers.
Que faire lorsque des tiers apparaissent sur les images ?
La présence d'autres personnes sur une séquence ne permet pas, à elle seule, de refuser une demande.
Le responsable du traitement doit rechercher une solution permettant l'exercice du droit d'accès tout en préservant les droits et libertés des tiers.
Cette protection ne concerne pas uniquement les visages.
Une donnée à caractère personnel peut permettre d'identifier une personne directement, indirectement ou par recoupement avec d'autres informations. Une plaque d'immatriculation, les caractéristiques particulières d'un véhicule, une tenue ou d'autres éléments présents dans la séquence peuvent ainsi, selon le contexte, contribuer à identifier une personne.
Il ne suffit donc pas nécessairement de masquer un visage.
Il convient d'apprécier si les informations restant accessibles permettent encore d'identifier le tiers concerné.
Et les droits de rectification ou d'effacement ?
Le droit d'accès n'est pas le seul droit susceptible de concerner un traitement d'images.
Selon le régime applicable et la situation, une personne peut également disposer notamment de droits de rectification ou d'effacement.
Le droit de rectification ne signifie toutefois pas que l'enregistrement vidéo doit être modifié : il peut concerner des données inexactes associées au traitement. De même, le droit à l'effacement n'est pas absolu et doit être apprécié au regard des conditions et exceptions prévues par le régime applicable.
Sources
Les principaux textes et ressources utilisés pour cette analyse sont notamment :
- Le règlement général sur la protection des données (RGPD), notamment ses articles 12 et 15 ;
- La loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 104 à 111 ;
- Le Code de la sécurité intérieure, notamment l'article R.253-6 ;
- La circulaire du 20 mars 2024 relative à la mise en conformité du régime de la vidéoprotection avec le droit européen relatif à la protection des données ;
- CNIL – La vidéoprotection ;
- CNIL – Le droit d'accès : connaître les données qu'un organisme détient sur vous ;
- CNIL – Le droit de rectification ;
- CNIL – Le droit à l'effacement.
Besoin d'accompagnement ?
VID Conseil accompagne les collectivités, organismes publics et entreprises dans la conception, la mise en conformité et l'exploitation de leurs dispositifs de vidéoprotection et de vidéosurveillance : audit, procédures, AIPD, autorisations, organisation de l'exploitation et assistance à maîtrise d'ouvrage.
Contacter VID Conseil
Partager cet article
Si vous avez trouvé cet article utile, vous pouvez le partager :