Caméra limitée à l’accueil : construire la fiche registre champ par champ

DPO FRANCE • Une méthode champ par champ pour DPO SUITE

"Voir qui arrive" et "retrouver qui est venu" n'impliquent pas le même dispositif. Le premier besoin peut être satisfait par un affichage ponctuel sans conservation. Le second suppose une mémoire des passages et demande une justification supplémentaire. Avant de compléter les cases du registre, il faut choisir ce que l'organisation cherche réellement à faire.

Ce référentiel éditorial DPO FRANCE accompagne la construction, la discussion et la vérification d'une fiche. Il ne constitue pas un référentiel officiel de la CNIL, une autorisation préfectorale ou une certification. Les règles juridiques sont sourcées ; les exemples de paramétrage et les tests proposés sont des méthodes à adapter.

Cas fil conducteur : une PME fictive, sans nom ni secteur. Elle envisage une caméra uniquement à l'accueil. Elle n'a pas encore démontré qu'un enregistrement est nécessaire. Les exemples ci-dessous conservent cette incertitude au lieu de transformer le projet en traitement déjà conforme. Aucun nom d'installateur ou de fournisseur n'est prescrit.

1. Choisir le traitement avant de choisir le titre

Trois réponses possibles au même besoin exprimé

Il ne suffit pas d'ajouter "sécurité" à un projet de surveillance pour le rendre licite. Si le seul motif est la curiosité sur les visiteurs, la difficulté demeure. Le DPO peut recommander de ne pas installer ou de modifier le dispositif. Une fiche complète sert aussi à rendre visible cette décision.

Un accueil n'est pas automatiquement un lieu ouvert au public. Examiner les conditions réelles d'accès : toute personne peut-elle entrer, éventuellement sous une condition accessible à tous, ou faut-il une autorisation individuelle ? Ne pas qualifier le régime en fonction du seul caractère privé du propriétaire. Un changement d'accès peut modifier le régime du dispositif. CNIL, vidéoprotection, 9 mars 2026.

Vérifier les formalités avant l'installation

Si la caméra filme un lieu ouvert au public, une autorisation préfectorale est nécessaire avant l'installation. Le choix d'un simple visionnage sans enregistrement ne dispense pas, à lui seul, de cette autorisation. Sa validité est de cinq ans, renouvelable ; vérifier le périmètre et les conditions de l'arrêté. Pour le dispositif ordinaire filmant un lieu non ouvert au public, il n'y a pas de déclaration préalable à la CNIL, mais les obligations de fond demeurent. Ces deux vérifications sont distinctes de la décision sur l'AIPD. CNIL, formalités vidéo au travail et vidéoprotection.

Documenter la décision de périmètre

Préparer une courte note avec : besoin métier, zone envisagée, alternatives testées, personnes susceptibles d'apparaître, direct ou enregistrement, raisons du choix et réserves. Un plan très simple peut suffire s'il montre la porte, le comptoir, le poste de travail et l'emplacement de l'écran. Ajouter la date et la version : le déplacement ultérieur du comptoir peut changer toute l'analyse.

Exemples de preuves : compte rendu d'entretien avec l'accueil ; essai d'une sonnette ; plan annoté ; capture de configuration sur un espace vide ; photo de l'écran vu depuis l'entrée ; relevé d'incidents expurgé. Une facture de caméra prouve un achat, pas la nécessité du traitement.

2. Le socle du registre et les compléments DPO SUITE

L'article 30 du RGPD distingue notamment l'identité et les coordonnées des responsables concernés, les finalités, les catégories de personnes et de données, les destinataires, les transferts, les délais d'effacement envisagés et une description générale des mesures de sécurité lorsque possible. Les mentions relatives au représentant ou au DPO dépendent du cas. Certaines informations peuvent être portées au niveau de l'organisme plutôt que répétées dans chaque fiche. RGPD, article 30.

Les champs de base légale, référent métier, logiciel, analyse de nécessité, décision AIPD, procédure de droits et suivi de validation rendent le dossier exploitable. Ils ne doivent pas tous être présentés comme des rubriques textuellement énumérées par l'article 30. Les obligations de licéité, d'information ou de sécurité existent néanmoins indépendamment de la forme du registre.

L'ordre ci-dessous suit les douze sections de la notice DPO SUITE "Traitements et données". Des fonctions ou libellés peuvent évoluer. Le raisonnement reste utilisable même si l'écran change.

3. Informations générales

Nom de la fiche traitement

À saisir : un objectif et un périmètre. Pour un projet sans enregistrement : "Vérification visuelle des arrivées à l'accueil". Pour un enregistrement justifié : "Sécurisation de l'accueil et examen des incidents enregistrés". Ces intitulés sont des variantes, pas deux finalités à copier systématiquement.

Pourquoi : "Caméra" décrit un équipement ; "Surveillance" est trop large pour décider qui peut consulter quoi. Un nom précis facilite la recherche, la revue et le rapprochement avec la notice d'information.

À exclure : une marque, un numéro de caméra utilisé comme seul titre ou une promesse "sécurité optimale". La référence technique peut rester dans un inventaire lié.

Preuves : note de cadrage approuvée ; concordance entre titre, panneau et finalité du contrat de maintenance.

Département ou service en charge

Choisir la fonction qui exploite réellement le dispositif : accueil, moyens généraux ou fonction sécurité selon l'organisation. Ce choix désigne un pilote opérationnel. Il ne remplace pas la personne morale responsable du traitement et n'attribue pas automatiquement le rôle au service informatique.

Exemple : le pilote métier définit le besoin ; la personne chargée de l'informatique gère les comptes ; la direction arbitre. Un même collaborateur peut cumuler ces tâches dans une petite structure, mais la répartition doit rester compréhensible.

Traitement utilisant un système d'IA

Une caméra classique n'utilise pas nécessairement d'IA. L'aide IA à la rédaction de la fiche n'est pas, à elle seule, une IA du dispositif filmant l'accueil. Examiner les fonctions actives : identification biométrique, analyse comportementale ou détection intelligente éventuelle. Une fonctionnalité commercialement disponible mais désactivée ne décrit pas l'usage actuel.

Preuves : liste des options souscrites ; paramètres ; réponse technique décrivant les analyses réellement opérées. Si un traitement algorithmique est découvert, il faut reprendre le périmètre et les règles applicables, pas simplement cocher une case.

Description du traitement

Rédiger le parcours de l'image : captation dans la zone, transmission, affichage, éventuel enregistrement, consultation, extraction, effacement. Indiquer ce qui se produit hors horaires de présence et en cas de panne.

Exemple adaptable : "Une caméra orientée vers le point d'entrée transmet l'image à un écran réservé à la fonction d'accueil. Le projet étudié prévoit un affichage ponctuel sans enregistrement. L'absence de stockage local, de cache durable et de copie dans un service distant reste à vérifier avant mise en service. Aucun son ni identification biométrique ne sont prévus."

La description expose ici un projet, pas une configuration testée. Après installation, remplacer les hypothèses par des faits vérifiés et conserver les réserves restantes.

Personne référente et référence interne

Le référent sait expliquer l'utilisation du dispositif et obtenir les éléments techniques. Saisir sa fonction et un canal professionnel effectivement suivi ; ne pas publier ses coordonnées privées dans une ressource pédagogique. Le DPO conseille et contrôle selon sa mission, sans devenir automatiquement exploitant de la caméra.

La référence interne sert à retrouver la fiche et ses pièces. Conserver l'identifiant attribué par l'outil sans inventer un code réglementaire. Le plan peut associer une référence de caméra à la fiche, pour suivre un remplacement ou un déplacement.

4. Finalités et justification juridique

Finalité principale et détail

Écrire le résultat recherché, puis ce qui rend les opérations nécessaires. Pour la variante directe : expliquer pourquoi identifier visuellement une arrivée aide l'accueil et pourquoi une solution moins intrusive n'est pas suffisante. Pour la variante enregistrée : préciser le risque et l'usage prévu lors d'un incident.

Éviter une formule qui couvre par avance toutes les utilisations : horaires, évaluation du travail, comptage marketing, reconnaissance des habitués et vérification des litiges. Ces extensions doivent être examinées séparément. Les images ne deviennent pas un instrument de contrôle de productivité parce qu'elles existent déjà. CNIL, contrôle de l'activité, 9 juillet 2026.

Finalité secondaire

Une finalité secondaire n'est pas une case de confort. Si la direction veut réutiliser les images pour vérifier les retards, documenter cette demande comme un projet distinct à analyser, pas comme une option neutre. Évaluer la compatibilité, l'information et la proportionnalité ; ne pas considérer qu'un avenant au registre régularise automatiquement l'usage.

Base légale principale et justification détaillée

Pour la PME privée du cas fictif, examiner l'intérêt légitime si l'intérêt poursuivi est réel, le traitement nécessaire et la mise en balance favorable au regard des garanties. Ce choix n'est pas acquis par le seul intitulé "sécurité". Ne pas choisir l'obligation légale sans texte applicable imposant précisément l'opération. Le consentement demandé à chaque personne entrant dans l'accueil ne résout pas un dispositif excessif. RGPD, articles 5 et 6.

Trame de justification : intérêt poursuivi ; éléments qui le rendent concret ; solutions alternatives ; données et champ indispensables ; effets sur salariés et visiteurs ; attentes raisonnables ; garanties ; conclusion et réserves. Joindre une note de mise en balance adaptée plutôt qu'une phrase "intérêt légitime de l'entreprise".

Preuves attendues : risque décrit sans liste nominative inutile ; test d'angle ; décision sur l'enregistrement ; méthode d'accès ; information prévue. Un copier-coller de l'argumentaire du fabricant ne répond pas aux faits de la PME.

5. Personnes concernées et sous-catégories

Les personnes concernées sont les personnes physiques dont les images ou autres données sont traitées. Les cases ne sont pas la liste de toutes les relations de l'entreprise.

Salarié ou employé ? "Salarié" décrit le lien de travail ; "employé" peut être utilisé dans le langage courant ou désigner une classification professionnelle particulière. Pour cette fiche, une catégorie générale "salariés" avec précision des populations réellement exposées est souvent plus claire qu'une catégorie ambiguë "employés" qui pourrait sembler exclure des cadres ou des apprentis.

Preuves : parcours d'une personne fictive ; constat des accès réels ; échange avec le métier sur les visiteurs occasionnels ; plan montrant les circulations. Le registre contient les catégories, jamais un trombinoscope des personnes filmées.

6. Données traitées

Nom des données et catégories

Décrire "image des personnes dans le champ", "date et heure", "identifiant de la caméra", "trace des consultations et extractions", selon les fonctions réelles. Séparer les images des journaux d'administration : les personnes, les finalités de sécurité et les durées peuvent différer.

Ne pas renseigner le nom d'un visiteur réel dans le champ "Nom des données". Il sert à désigner un type d'information. L'identification visuelle n'implique pas qu'un fichier nominatif soit constitué ; si l'image est rapprochée du registre de visiteurs, cette opération doit être explicitée.

Données à ne pas ajouter par défaut

Pas de son, de numéro de téléphone, d'identité officielle ou de plaque d'immatriculation si le dispositif ne les traite pas. Ne pas enrichir une image avec les informations du CRM simplement parce que le visiteur est un client connu. Exclure le contenu des écrans et documents visibles sur le comptoir en ajustant le cadrage.

Une photographie n'est pas automatiquement une donnée biométrique de l'article 9. Une reconnaissance technique destinée à identifier une personne de façon unique appelle une autre qualification. Le contexte ou les informations visibles peuvent cependant révéler des éléments sensibles. Examiner le contenu réellement exposé, sans cocher toutes les catégories particulières "par sécurité". RGPD, définition biométrique, article 4 et article 9 et principes.

Preuves : liste de données exportées par le système ; exemple intégralement fictif ; vérification du son désactivé ; test de masquage sur une zone vide ; liste des événements enregistrés dans le journal. Une brochure qui annonce une fonction ne prouve ni son activation ni sa désactivation.

7. Destinataires, sous-traitants et outils

Services internes concernés et autre destinataire

Distinguer les droits de voir en direct, revoir un enregistrement, extraire et administrer. Une personne chargée de l'accueil peut n'avoir besoin que du direct. Un responsable habilité peut consulter un extrait sur incident. L'administrateur technique n'a pas automatiquement besoin d'un accès quotidien aux images.

La direction n'est pas un destinataire illimité du fait de sa position hiérarchique. Une communication à une autorité ou à un conseil doit avoir un motif et un périmètre précis. Qualifier séparément le rôle du destinataire ; ne pas créer systématiquement une fiche de sous-traitant pour toute communication.

Ajouter ou relier un sous-traitant

Les catégories possibles sont l'intégrateur ayant un accès de maintenance, l'opérateur d'hébergement distant, le prestataire de télésurveillance ou le support intervenant sur les données. Un vendeur qui livre un équipement sans traiter de données pour le compte de la PME n'est pas qualifié sous-traitant pour cette seule vente.

L'analyse se fait par prestation : quelles instructions, quelles opérations, quels accès, quelle autonomie, quels intervenants ultérieurs ? Les noms commerciaux ne remplacent pas cette analyse. L'encadrement de l'article 28 doit correspondre au service concerné. RGPD, article 28.

Logiciels et outils utilisés

Recenser caméra, enregistreur éventuel, application de consultation et service distant utile. Un outil n'est pas une personne destinataire. La liste doit permettre de comprendre les copies et les accès, pas de présenter un catalogue technique sans rapport avec le traitement.

Mini-audit du prestataire à répartir dans DPO SUITE

DPO SUITE permet de créer un audit et d'adresser tout ou partie des questions au client ou au prestataire. Pour cette caméra, envoyer au métier les questions d'usage et au prestataire celles de configuration, puis rapprocher les réponses.

Éviter de demander un lot de vraies images pour vérifier un réglage. Une démonstration dans une zone vide et une preuve expurgée peuvent suffire. Une réponse "oui, conforme RGPD" ne documente aucun de ces contrôles.

8. Transferts internationaux

Le champ produit "hors Union européenne" appelle une qualification juridique tenant compte de l'EEE. Demander les pays de stockage, de secours et d'accès par les entités de support. L'étiquette "serveur européen" ne répond pas à la question d'une consultation à distance par une autre entité établie hors EEE.

Pour chaque flux identifié, renseigner pays, destinataire, catégories de données, finalité et mécanisme applicable. Vérifier les conditions de validité du mécanisme, ses limites et les mesures complémentaires nécessaires. Un outil proposant "clauses contractuelles" ne constate pas que les bonnes clauses sont conclues et appliquées. Les dérogations ne sont pas une solution de commodité pour tous les transferts récurrents.

Si le flux reste inconnu : mentionner l'incertitude et la demande de vérification. Ne pas transformer l'absence de réponse en "aucun transfert". Les notes complémentaires et le suivi permettent de conserver cette réserve. CNIL, cadre général des transferts.

Preuves : schéma contractuel des entités ; liste des pays du service ; garanties contractuelles pertinentes ; analyse des accès ; résultats d'un test autorisé. Un test réseau ponctuel seul ne démontre pas l'absence de tous les transferts.

9. Conservation et sort final

La bonne unité dépend de l'objet

Pour un flux réellement affiché sans enregistrement, décrire l'absence de conservation des images et vérifier les éventuelles mémoires techniques. Ne pas cocher "pas de délais de conservation" pour signifier conservation illimitée ou absence d'analyse. Les journaux techniques éventuels demandent une règle distincte.

Pour des images enregistrées, la durée doit résulter de la finalité et du délai nécessaire aux vérifications. La CNIL donne le repère de quelques jours généralement suffisants et, en principe, pas plus d'un mois en vidéosurveillance au travail. Pour la vidéoprotection, l'autorisation préfectorale fixe la durée dans la limite légale d'un mois. Les durées ne se choisissent pas selon la capacité du disque. CNIL, vidéo au travail et vidéoprotection.

Expliquer l'archivage intermédiaire

Il n'est pas nécessaire de copier tout le flux dans une archive après la durée active. Pour un incident, extraire le segment utile et l'associer à un dossier séparé, avec accès et motif. Un besoin probatoire doit être concret ; "au cas où" ne justifie pas un double archivage indéfini.

Exemples de réserves à écrire : "rotation locale vérifiée, copies mobiles non inventoriées" ; "durée de l'extrait à revoir à l'issue de la procédure" ; "journaux distincts des images, réglage à confirmer". Ces formulations sont plus utiles qu'un statut général de conformité.

Modalités de purge et vérification

Décrire le mécanisme appliqué sur chaque emplacement et son responsable. DPO SUITE conserve le raisonnement et les références de preuve ; la suppression réelle doit être contrôlée dans le système concerné. Une capture du réglage démontre une configuration à un instant donné. Un test de disparition d'un fichier démontre un résultat limité à l'échantillon observé. Leur combinaison renforce le dossier sans établir une garantie absolue.

10. Sécurité, habilitations et information

Mesures techniques et organisationnelles

Cocher seulement les mesures réellement présentes. Pour chaque mesure, ajouter son périmètre et une preuve : comptes nominatifs, protection des accès distants, restriction d'export, mises à jour, protection de l'enregistreur, journalisation, confidentialité de l'écran. Les mesures proposées doivent être distinguées des mesures mises en œuvre.

Ne pas cocher "sauvegarde" comme un bien en soi si elle crée une copie d'images non nécessaire. Interroger le besoin, la restauration et l'effacement de cette copie. De même, un chiffrement ne compense pas un mot de passe partagé entre toutes les personnes habilitées.

Matrice d'habilitations

Cette matrice est un exemple à adapter, pas un jeu de droits déjà appliqué. Associer les rôles à la fiche ne modifie pas les comptes de l'enregistreur. Les droits effectifs doivent être testés, notamment après un départ ou une fin de contrat.

Preuves détaillées : compte de démonstration dont l'export est refusé ; journal d'une intervention ; retrait d'un accès mobile ; écran inaccessible à un visiteur ; preuve de remplacement du mot de passe initial sans divulguer le nouveau ; procédure d'intervention signée ; compte rendu de sensibilisation des personnes habilitées. Ne jamais verser les mots de passe eux-mêmes dans les pièces du registre.

Information et droits

Prévoir l'information avant que la personne entre dans la zone filmée, avec accès simple à une notice complète. Le panneau et le second niveau doivent correspondre à la configuration, notamment direct seul ou enregistrement, finalité, responsable, durée, accès et droits. Pour les salariés, assurer l'information et les démarches auprès des instances représentatives selon les règles applicables. CNIL, formalités et contrôle d'activité.

Le registre décrit un canal suivi et une procédure opérationnelle. Le délai RGPD de principe est exprimé en mois, pas en trente jours automatiques. Une recherche d'images doit cependant être organisée rapidement compte tenu de leur rotation. Vérifier l'identité de manière proportionnée et protéger les tiers avant de communiquer. Si aucune image n'a été conservée, expliquer ce fait plutôt que fabriquer un extrait. RGPD, articles 12 et 15.

Exercice fictif : une personne indique une heure de passage et demande ses images. Qui reçoit la demande ? Qui peut rechercher ? Qui décide du masquage des tiers ? Où est conservée la réponse ? Le test doit utiliser des volontaires ou données de démonstration selon un cadre approprié, sans déclencher un véritable envoi à un visiteur.

11. Documentation, AIPD et validation

Documents à lier

Lier les documents utiles et existants : cadrage, plan, qualification du lieu, justification de la base, information, matrice de droits, contrat pertinent, règles de durée, tests, procédure d'extraction et analyse AIPD. Ne pas cocher "AIPD" parce qu'elle serait souhaitable mais n'a pas été réalisée. Une pièce en projet doit être identifiée comme telle.

Conserver les preuves sensibles dans un espace à accès maîtrisé et référencer leur version. Un lien "accessible à toute personne disposant du lien" n'est pas une mesure de confidentialité. La fiche de registre doit pouvoir être comprise sans exposer des images de visiteurs.

Examiner la nécessité d'une AIPD

La surveillance systématique à grande échelle d'une zone accessible au public impose une AIPD. Pour les autres situations, appliquer les listes et critères pertinents ; une petite caméra n'est pas, à elle seule, une dispense. Considérer notamment la surveillance des salariés, les populations vulnérables et les croisements de données. Une AIPD ne rend pas proportionné un dispositif qui ne l'est pas. CNIL, AIPD.

Documenter la conclusion, ses faits déterminants, la date et les changements qui imposeraient de la revoir. Ne pas mettre "non" seulement parce que la fonctionnalité est désactivée dans le formulaire.

Statut, validateur et commentaires

"En cours", "Validée", "Archivée" ou "À revoir" servent au suivi de la fiche. La validation documentaire doit être distinguée d'une réception technique et d'une autorisation administrative. Indiquer qui a réellement relu, quelles réserves subsistent et ce qui doit être revu lors d'un changement de champ, de prestataire ou d'usage.

Exemple de conclusion utile : "Description du projet relue. Installation non autorisée à ce stade dans le scénario ; qualification de l'accès à l'accueil et nécessité de l'enregistrement à confirmer. Une preuve de configuration et une revue d'habilitations seront nécessaires avant clôture des réserves."

12. Exemple de fiche synthétique et points à résoudre

Laisser ces inconnues explicites est un choix de rigueur. Ce modèle est entièrement renseigné sur ce qui est connu, mais il n'affirme pas que l'installation est licite ou opérationnelle. Il aide à préparer les questions nécessaires pour parvenir à une décision documentée.

13. Revue finale du DPO

• Le besoin justifie-t-il une image, puis éventuellement son enregistrement ?
• Le champ évite-t-il le poste de travail et les informations inutiles ?
• Le statut d'ouverture au public est-il établi et les formalités applicables traitées ?
• Les personnes filmées et celles qui accèdent aux images sont-elles distinguées ?
• Chaque copie a-t-elle une règle de durée et un responsable ?
• Le support et les accès mobiles sont-ils compris dans l'analyse ?
• Les limites de preuve sont-elles visibles et les actions attribuées ?
• Les informations publiques et le registre décrivent-ils le même dispositif ?

Prolonger la démonstration dans DPO SUITE

Le parcours guidé de création du registre permet de préparer le travail à partir des pratiques déclarées. Une proposition générée doit être confrontée au dispositif réel : champ de la caméra, destinataires, copies et preuves. Décrire uniquement une PME fictive pour une démonstration publique ; ne pas transmettre d'images de visiteurs.

Sources et actualisation

Les propositions de contrôle et exemples sont des développements pédagogiques DPO FRANCE. La notice produit sert à l'ordre des champs, non à déterminer le droit applicable. Revoir la fiche en cas de changement de configuration ou de règle pertinente.