Une agence de sécurité privée collecte des données à chaque ronde, chaque badge scanné, chaque incident consigné. Pourtant le RGPD reste souvent le grand oublié du plan de sûreté. Voici les traitements à cartographier avant qu’un contrôle ne les révèle.
Quelles données une agence de sécurité manipule-t-elle vraiment ?
Une agence de gardiennage n’est pas seulement un prestataire de terrain. C’est un collecteur de données permanent.
Vos agents génèrent des informations à chaque prise de poste. Les tiers filmés, contrôlés ou consignés en produisent tout autant.
Le premier réflexe consiste à recenser chaque traitement dans un registre. Sans cette base, aucune conformité sérieuse n’est possible.
- Fichiers RH et plannings des agents
- Cartes professionnelles CNAPS et habilitations
- Badges d’accès et journaux de pointage
- Mains courantes et rapports d’intervention
- Images de vidéosurveillance sur les sites clients
- Géolocalisation des rondes et des véhicules
Ce recensement structure toute la démarche. Notre guide pour créer et tenir un registre des traitements détaille la méthode fiche par fiche.
La main courante électronique est-elle soumise au RGPD ?
Oui, sans aucun doute. Une main courante consigne des noms, des comportements, parfois des faits précis.
Ces mentions décrivent des personnes identifiées. Elles relèvent donc pleinement du règlement.
Certaines entrées touchent même aux données dites sensibles : origine supposée, état de santé apparent, appartenance présumée. Ces informations exigent une vigilance renforcée, encadrée par l’article 9 du RGPD sur les catégories particulières.
La règle d’or reste la minimisation. Consignez les faits utiles à la mission, jamais les jugements de valeur.
Comment gérer les cartes CNAPS et les badges des agents ?
La carte professionnelle et le numéro d’autorisation CNAPS sont indispensables à votre activité.
Vous devez les conserver, mais pas indéfiniment. Fixez une durée liée à la relation de travail et à vos obligations de contrôle.
Les badges d’accès posent une autre question. Chaque scan crée un journal horodaté des déplacements.
Ce suivi ne doit jamais servir à mesurer la productivité des agents. Sa finalité reste la sûreté du site, ce qui détermine sa base légale.
Informez systématiquement vos salariés de ces traitements. La transparence conditionne leur licéité.
Cartographier ces traitements, fixer les durées et sécuriser les mains courantes demande une méthode continue. Un DPO externalisé qui pilote votre conformité de bout en bout comble l’angle mort entre exigences CNAPS et obligations RGPD. Vous gardez le terrain, il tient la preuve.
Vidéosurveillance chez le client : qui est responsable de traitement ?
La confusion est fréquente sur ce point. L’agence installe ou exploite les caméras, mais rarement pour son propre compte.
Le plus souvent, le client donneur d’ordre reste responsable de traitement. L’agence agit alors comme sous-traitant.
Ce statut impose un contrat écrit précisant les obligations de chacun. Sans lui, les responsabilités deviennent floues. Notre article sur les obligations du sous-traitant et le contrat DPA pose le cadre.
Les règles d’affichage, de durée et d’accès aux images s’appliquent intégralement. Trente jours constituent le plafond habituel, comme le rappellent les règles de conformité pour les caméras.
Que faire en cas de perte d’un carnet de rondes ou d’une tablette ?
Un agent égare une tablette contenant des mains courantes. C’est une violation de données personnelles.
Vous disposez alors de 72 heures pour évaluer le risque et, si nécessaire, notifier la CNIL, selon les règles officielles à suivre.
Anticipez ces incidents. Chiffrez les supports mobiles, limitez les exports, formez les équipes aux bons réflexes.
Une procédure écrite fait gagner un temps précieux le jour où l’incident survient. Improviser coûte toujours plus cher.
FAQ
Une agence de sécurité doit-elle nommer un DPO ?
La désignation n’est pas toujours obligatoire, mais le suivi régulier et à grande échelle des personnes filmées ou consignées la rend très souvent recommandée. Beaucoup d’agences choisissent un pilotage externe pour couvrir à la fois les exigences RGPD et les contrôles propres à leur secteur réglementé.
Combien de temps conserver une main courante ?
Aucune durée unique n’existe. Fixez un délai proportionné à la finalité : quelques semaines pour un simple suivi opérationnel, davantage si un litige ou une procédure l’exige. Documentez ce choix dans votre registre et purgez automatiquement les entrées devenues inutiles à la mission de sûreté.
Peut-on géolocaliser les agents pendant leurs rondes ?
Oui, si la finalité est légitime, comme la sécurité des personnels isolés ou le contrôle des rondes. Le dispositif doit rester proportionné, désactivable hors service et connu des agents. Il ne peut pas servir de surveillance permanente de leur activité ni suivre leurs déplacements privés.
Les images de vidéosurveillance peuvent-elles être transmises à la police ?
Oui, sur réquisition ou dans le cadre d’une plainte. La transmission doit être tracée et limitée aux séquences utiles. Le responsable de traitement, généralement le client, encadre cet accès. L’agence sous-traitante applique la procédure définie au contrat, sans conserver de copie au-delà du nécessaire.
