Votre projet vidéo demande une AIPD : ce que cela change avant le devis

Le RGPD impose une AIPD avant un traitement susceptible de créer un risque élevé pour les droits et libertés. Il vise notamment la surveillance systématique à grande échelle d’une zone accessible au public. La taille du bâtiment ou le seul nombre de caméras ne constituent donc pas notre règle de décision. [1]

La liste de la CNIL comprend aussi des traitements de surveillance constante de l’activité des employés, avec des exemples de manipulation d’argent ou d’entrepôt de biens de valeur. Cette liste ne rend pas toute surveillance légitime. Faites examiner votre finalité réelle et les alternatives ; aucune AIPD ne donne un droit général de filmer les salariés. [2]

Un devis mentionnant huit caméras et un disque ne décrit pas le traitement. Pour l’étude, nous situons les scènes envisagées, les personnes susceptibles d’apparaître, les fonctions effectivement proposées et les zones à préserver. Le responsable précise de son côté le besoin et le fonctionnement quotidien attendu.

Le dossier technique indique où les images seraient enregistrées, quels services distants interviendraient et quels profils pourraient lire, exporter ou administrer. Les inconnues restent visibles. L’analyse doit porter sur le projet réellement proposé ; une fiche commerciale « conforme RGPD » ne décrit pas votre organisation.

Prenons une situation de projet : une caméra générale de réserve montrerait aussi un poste occupé toute la journée. Nous pouvons comparer un autre champ centré sur l’accès, une protection physique du rangement ou une détection d’intrusion hors présence. Chaque variante décrit son résultat et sa limite ; aucune n’est choisie seulement pour conserver le nombre d’appareils initial.

La personne chargée de l’analyse peut demander de revoir une fonction, un flux distant ou une durée. Le devis précise alors la version étudiée, les options écartées et les dépendances encore à résoudre. Commander une fonction puis promettre de la laisser inactive ne remplace pas une décision comprise sur son usage.

Nous préparons des essais correspondant au projet retenu : scène neutre dans le champ utile, zones exclues, consultation par un profil habilité et refus du profil sans droit. Recherche, export et suppression programmée sont vérifiés selon le périmètre commandé. Les constats techniques alimentent le dossier ; ils ne clôturent pas à eux seuls l’analyse.

La CNIL demande de commencer l’AIPD en amont et de la maintenir pendant la vie du traitement. Le responsable prévoit donc les changements à réexaminer : nouvelles vues, analyse ajoutée ou nouveau service distant. L’AIPD reste distincte de l’autorisation préfectorale applicable à la vidéoprotection et des autres démarches du projet. [3][4]

Le devis de sécurité sépare étude technique, matériel, configuration, stockage, essais et formation. La mission du DPO ou d’un conseil, lorsqu’elle intervient, possède son propre responsable et son propre périmètre. Demandez qui fournit les informations manquantes et qui décide avant la mise en service.

Achat et location éventuelle se comparent à périmètre égal, sur le coût total de la même solution. Précisez l’entretien, les licences et l’assistance inclus ou séparés. Une location reste soumise à l’accord du financeur, avec durée ferme et conditions de fin ou de sortie écrites. Son acceptation ne vaut pas validation de l’AIPD.