La fiche 6 du guide CNIL pour les SPST décrit l’information que le service doit aux personnes dont il traite les données. Lorsque les données ne sont pas collectées auprès de la personne elle-même, ou qu’elles le sont sans son intervention active, l’information doit être organisée par le service de manière à être effectivement reçue.
La déclaration du Comité européen de la protection des données du 13 octobre 2026 sur les lunettes connectées rappelle une exigence simple : une personne filmée par un appareil porté doit pouvoir le savoir. Le raisonnement vaut pour tout équipement de captation utilisé en visite d’entreprise.
Ce qui change
Dans sa déclaration 1/2026, le CEPD relève que les lunettes connectées rendent la captation peu visible. Il attend des signaux perceptibles par les personnes présentes : voyant lumineux, signal sonore, information préalable. L’utilisateur professionnel de l’appareil, responsable du traitement des images, doit s’en assurer.
La déclaration s’appuie sur les articles 12, 13 et 14 du RGPD. Ces articles exigent une information concise, transparente et accessible, donnée au moment de la collecte ou, à défaut, dans un délai raisonnable. Une captation que personne ne remarque ne permet aucune de ces formes d’information.
Le CEPD rappelle également que le fabricant ne peut pas reporter sur l’utilisateur ses propres obligations, notamment pour les données que l’appareil transmet de lui-même.
Ce que cela implique pour un SPST
En visite d’entreprise, les préventeurs et les médecins du travail filment ou photographient des postes de travail, des gestes, des situations. Les personnes captées sont les salariés de l’entreprise adhérente, parfois des intérimaires, des sous-traitants ou des visiteurs. Elles n’ont pas toujours été prévenues par l’employeur.
- La mention d’information des actions en milieu de travail doit prévoir le cas d’une captation d’images ou de sons : finalité, destinataires, durée de conservation, droits des personnes et contact.
- L’information doit être donnée sur place, avant la captation. Une annonce orale au début de l’étude de poste, appuyée par un document court remis ou affiché, répond à l’exigence.
- L’employeur adhérent peut relayer l’information en amont ; le service reste responsable de la captation qu’il réalise et de l’information qui l’accompagne.
- Une personne qui refuse d’être filmée doit pouvoir être exclue du cadre. Le préventeur adapte son mode opératoire, par exemple en photographiant le poste sans l’opérateur.
- Les appareils utilisés doivent signaler visiblement l’enregistrement. Un équipement qui ne le permet pas pose une difficulté d’information à traiter avant son utilisation.
Le compte rendu d’étude de poste remis à l’employeur peut contenir des images. Si une personne y est reconnaissable, l’information doit l’avoir précisé, et la diffusion doit être limitée à ce qui est nécessaire.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des traitements la fiche des actions en milieu de travail. Dans les catégories de données, ajoutez les images et enregistrements sonores ; dans les catégories de personnes, les salariés des adhérents et les tiers présents sur le site. Précisez dans les mesures de sécurité les modalités d’information sur place, puis soumettez la fiche à validation.
Dans le module des procédures, créez ou complétez la procédure « Captation d’images en visite d’entreprise » : annonce orale, document d’information, gestion du refus, transfert et effacement des fichiers. Faites-la approuver et suivez sa diffusion aux préventeurs dans le plan de tâches. Le document d’information remis sur place reste dans votre environnement ; rattachez-le comme preuve depuis le drive du client connecté.
Si un appareil en service ne signale pas l’enregistrement, créez une non-conformité et une action corrective (remplacement ou restriction d’usage). ALIX peut proposer une première version de la mention d’information à partir de la fiche du traitement ; relisez-la avant de la retenir.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 12, 13 et 14 du RGPD
- Déclaration du CEPD 1/2026 du 13 octobre 2026 sur les lunettes connectées
- Guide CNIL SPST, fiche 6
