Une prestation de sécurité manipule beaucoup de données personnelles : images de vidéo, noms des visiteurs, plaques d’immatriculation, badges, comptes rendus d’incident. Dans la grande majorité des cas, c’est vous, le client, qui restez responsable de ces traitements, et votre société de sécurité agit pour votre compte. Le RGPD s’applique donc à votre site, même quand ce sont les agents du prestataire qui tiennent le registre ou regardent les écrans.
Qui est responsable de quoi au sens du RGPD ?
Le RGPD distingue deux rôles :
- le responsable de traitement, qui décide pourquoi et comment les données sont collectées ;
- le sous-traitant, qui traite les données pour le compte du responsable et selon ses instructions.
Lorsque vous installez des caméras sur votre site, imposez un registre d’accueil ou un contrôle par badge, c’est vous qui fixez la finalité : vous êtes en principe responsable de traitement. La société de sécurité qui exploite ces outils pour vous est, sur ce périmètre, votre sous-traitant au sens du RGPD. Attention, ce terme n’a rien à voir avec la sous-traitance commerciale entre sociétés de sécurité : il désigne seulement la place de chacun vis-à-vis des données.
Cette répartition a une conséquence directe : l’article 28 du RGPD impose qu’un contrat ou une clause écrite encadre ce que le sous-traitant a le droit de faire des données. Nous y revenons plus bas.
Le prestataire reste, lui, responsable de ses propres traitements : la gestion de son personnel, ses plannings, ses fichiers clients.
La vidéo : distinguer vidéoprotection et vidéosurveillance
Les caméras sont le sujet le plus sensible. Deux régimes coexistent.
Les lieux ouverts au public et la voie publique
Les caméras qui filment un lieu ouvert au public (hall d’accueil, surface de vente, parking accessible aux clients) relèvent de la vidéoprotection, encadrée par le code de la sécurité intérieure. Elles supposent une autorisation préfectorale préalable. La voie publique, elle, ne peut en principe être filmée que par les autorités publiques, et un système privé doit éviter de la capter au-delà des abords immédiats.
Les lieux non ouverts au public
Les caméras installées dans des zones réservées (entrepôt, bureaux, zones techniques, quais) relèvent du RGPD. Pas d’autorisation préfectorale, mais des obligations précises :
- une finalité légitime et déterminée, par exemple la protection des biens contre le vol ;
- des caméras qui ne filment ni les postes de travail en continu, ni les zones de pause, ni les toilettes ;
- l’information des personnes par des panneaux visibles, complétée par une information plus détaillée ;
- l’information et, selon la taille de l’entreprise, la consultation des représentants du personnel avant la mise en place ;
- une durée de conservation limitée : la CNIL recommande, en règle générale, de ne pas garder les images plus d’un mois, sauf incident qui justifie de les extraire.
Dans les deux cas, l’accès aux images doit être réservé aux personnes habilitées. Les agents qui exploitent vos écrans en font partie s’ils y sont désignés, mais ils n’ont pas à copier des images, à les filmer avec un téléphone ou à les transmettre à un tiers en dehors de la procédure prévue (une réquisition des forces de l’ordre, par exemple).
Le registre des visiteurs et le contrôle d’accès
Le registre d’accueil, papier ou numérique, est un fichier de données personnelles comme un autre. Quelques règles simples :
- ne collecter que l’utile : nom, société, personne visitée, heures d’arrivée et de départ suffisent souvent. Le numéro de pièce d’identité n’est justifié que par un besoin réel et documenté ;
- ne pas laisser le registre ouvert à la vue de chaque visiteur suivant : une feuille où chacun lit les noms des précédents est une fuite de données ;
- fixer une durée de conservation et la respecter, plutôt que d’archiver des années de cahiers ;
- encadrer les badges : l’historique des passages permet de reconstituer les déplacements des salariés, il ne doit servir qu’à la sécurité.
Pour aller plus loin sur l’organisation du filtrage, voir Contrôle d’accès en entreprise : badges, registre et filtrage.
La main courante et les rapports d’incident
La main courante consigne les événements du poste : rondes, ouvertures, anomalies, incidents. Elle contient souvent des noms (un salarié resté tard, un visiteur refoulé, une personne appréhendée en flagrant délit). Elle doit donc rester factuelle, sans jugement ni commentaire sur les personnes, et accessible aux seules personnes qui en ont besoin. Un rapport d’incident n’est pas un dossier sur un individu.
Ce que votre contrat doit prévoir
La clause de protection des données liant le client et la société de sécurité précise notamment :
- l’objet et la durée du traitement confié, les catégories de données et de personnes concernées ;
- l’obligation de n’agir que sur instruction écrite du client ;
- la confidentialité imposée aux agents ;
- les mesures de sécurité (accès aux écrans, rangement du registre, mots de passe) ;
- l’assistance du prestataire en cas de demande d’accès ou de violation de données ;
- le sort des données en fin de contrat : restitution ou destruction.
Ces points trouvent naturellement leur place dans les clauses essentielles du contrat de prestation.
Les droits des personnes filmées ou enregistrées
Toute personne peut demander à accéder aux données qui la concernent, y compris aux images où elle apparaît, dans les limites prévues par les textes (protection des tiers notamment). Ces demandes arrivent chez vous, le responsable. Votre prestataire doit vous alerter s’il en reçoit une et vous aider à y répondre, sans décider seul.
Les règles évoluent et dépendent de la configuration de chaque site : la CNIL publie des fiches pratiques sur la vidéo au travail et dans les commerces, et la préfecture (celle du Bas-Rhin pour un site strasbourgeois) reste l’interlocuteur pour la vidéoprotection. En cas de doute, faites valider votre dispositif par votre délégué à la protection des données ou un conseil.
En résumé
En sécurité privée, le client est généralement responsable des traitements (vidéo, registre, badges) et la société de sécurité agit comme sous-traitant au sens du RGPD, ce qui impose une clause écrite. Les caméras filmant un lieu ouvert au public demandent une autorisation préfectorale, les autres relèvent du RGPD : finalité claire, information, conservation limitée, accès restreint. Le registre et la main courante doivent rester sobres et protégés.
À Strasbourg, dans le Bas-Rhin et le Grand Est, Prestige Sécurité forme ses agents de sécurité à la confidentialité et formalise avec vous les règles d’usage de vos outils. Devis sous 24 h ouvrées.