La fiche 2 du guide CNIL pour les SPST explique comment identifier le responsable d’un traitement : celui qui détermine pourquoi et comment les données sont traitées. Pour un service, la question se pose dès qu’un professionnel utilise un équipement qui capte des informations sur des personnes.
Le 13 octobre 2026, le Comité européen de la protection des données a adopté une déclaration sur les lunettes connectées. Elle tranche la question du responsable de traitement pour les images et les sons captés par ces appareils, et son raisonnement s’étend à tout équipement de captation porté par un professionnel.
Ce qui change
Selon la déclaration 1/2026 du CEPD, la personne qui porte des lunettes connectées dans un cadre professionnel est responsable du traitement des images qu’elle capte, ou l’organisme pour lequel elle agit. L’exemption domestique prévue par l’article 2.2.c du RGPD ne s’applique qu’à un usage strictement privé.
Le CEPD précise que le fabricant ne peut pas transférer ses propres obligations à l’utilisateur. Chacun répond de sa part : le fabricant pour ce que l’appareil collecte et transmet de lui-même, l’utilisateur professionnel pour l’usage qu’il en fait.
La déclaration applique les articles 4.7 et 24 du RGPD à une catégorie d’appareils qui se diffuse, et donne aux autorités de contrôle une lecture commune.
Ce que cela implique pour un SPST
Les intervenants en prévention des risques professionnels, les ergonomes, les techniciens et parfois les médecins du travail utilisent en visite d’entreprise des équipements qui filment ou enregistrent : caméras portées pour une étude de poste, lunettes connectées, enregistreurs vocaux, smartphones. Les personnes filmées sont des salariés de l’entreprise adhérente, parfois des tiers.
Le service est responsable de ces captations dès lors qu’elles sont faites pour ses missions. Plusieurs conséquences en découlent.
- L’usage doit figurer au registre, rattaché au traitement des actions en milieu de travail ou à une fiche dédiée.
- La finalité doit être précise (étude de poste, analyse d’une situation de travail) et la captation limitée à ce qu’elle exige : cadrage sur le geste plutôt que sur le visage, pas d’enregistrement sonore s’il n’est pas utile.
- Les fichiers doivent être transférés vers un espace du service et effacés de l’appareil ; leur durée de conservation doit être fixée.
- Si l’appareil synchronise automatiquement les images vers un service en ligne du fabricant, ce flux doit être identifié et, le plus souvent, désactivé.
- Un appareil personnel utilisé en visite pose les mêmes questions, avec moins de maîtrise. Le service doit l’encadrer ou l’exclure.
Le premier travail consiste à savoir quels appareils sont utilisés. Dans beaucoup de services, cette information n’existe pas : chaque préventeur s’équipe selon ses besoins.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des traitements la fiche des actions en milieu de travail, ou créez une fiche « Captation d’images et de sons en visite d’entreprise ». Renseignez la finalité, la base légale (mission légale du service), les catégories de personnes (salariés des adhérents, tiers présents), les destinataires, la durée de conservation et les mesures de sécurité, puis soumettez-la à validation.
Dans le registre des logiciels, inscrivez les applications associées aux appareils et rattachez-les au traitement et au sous-traitant éventuel. Si le fabricant stocke des images dans son propre cloud, créez ou complétez sa fiche dans le registre des sous-traitants avec la localisation cloud déclarée. Dans le registre des délais de conservation, qualifiez le document « Vidéos et photos d’étude de poste » et faites valider le délai par le responsable du pôle prévention.
Créez enfin une procédure d’usage des équipements de captation, faites-la approuver par la direction et suivez son déploiement auprès des équipes dans le plan de tâches. Un appareil utilisé sans cadre se traite comme une non-conformité, avec son action corrective.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 2.2.c, 4.7, 5.1.c et 24 du RGPD
- Déclaration du CEPD 1/2026 du 13 octobre 2026 sur les lunettes connectées
- Guide CNIL SPST, fiche 2
