Une nouveauté dans la loi caméras
Jusqu’à présent, en ce qui concerne l’information vis-à-vis de l’Autorité de protection des données (la Commission de la protection de la vie privée), la loi caméras prévoyait une déclaration. Cette obligation de déclaration était prévue à l’image de ce qui était prévu par la loi vie privée pour tout autre traitement de données à caractère personnel.
Le GDPR (Règlement européen de protection des données) a changé cela : cette réglementation qui remplace la loi vie privée, ne prévoit plus de déclaration à l’Autorité de protection des données, mais elle prévoit que le responsable du traitement tienne un registre pour les activités de traitement relevant de sa responsabilité. Ce registre doit être mis à la disposition de l’Autorité de protection des données, sur demande, afin de lui permettre d’effectuer sa mission de contrôle.
Afin que, en ce qui concerne cette obligation, le lien soit clair entre le GDPR et la loi caméras, l’obligation de tenir un registre a été reprise expressément dans la loi caméras, et le contenu de ce registre a été déterminé par un arrêté royal (AR du 8 mai 2018).
Ce que la loi prévoit
La loi prévoit que le responsable du traitement pour les caméras de surveillance (peu importe le type de caméras et le type de lieu concernés) tienne un registre des activités de traitement d’images mises en œuvre sous sa responsabilité.
- Cette obligation de tenir un registre ne doit pas être confondue avec la déclaration des caméras aux services de police. Ce sont deux obligations différentes.
Ce registre se présente sous une forme écrite, électronique ou non.
- Au niveau de la forme, le seul critère déterminé par la loi est la forme écrite. Le registre peut se présenter sous format papier ou électronique, du moment qu’il est écrit.
- Pour un modèle, vous pouvez vous inspirer de celui qui a été mis en ligne par l'Autorité de protection des données sur son site internet.
Lorsque l’Autorité de protection des données le demande, le registre doit lui être mis à disposition. Les services de police peuvent également demander d’accéder à ce registre.
Ce registre doit être tenu à jour. Le responsable du traitement doit donc faire en sorte que les données qu’il contient soient toujours exactes.
Enfin, il doit être conservé aussi longtemps que le responsable du traitement effectue un traitement d’images au moyen de caméras de surveillance.
Les informations obligatoires du registre - données visées à l’article 30 §1er du GDPR
L’arrêté royal du 8 mai 2018 détermine le contenu du registre des activités de traitement d’images. Ce contenu a été déterminé en se basant sur l’article 30, paragraphe 1er, du GDPR et en tenant compte des spécificités de la surveillance par caméras.
Ces données sont les suivantes :
Le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint du traitement, du représentant du responsable du traitement et du délégué à la protection des données;
- Le responsable du traitement est la personne qui a décidé d’installer des caméras de surveillance et qui détermine les finalités de celles-ci.
- Si plusieurs personnes sont responsables du traitement, il faut mentionner les noms de ces différents responsables.
- Si un délégué à la protection des données à été désigné (cf. GDPR, articles 37 à 39), cela doit aussi être mentionné.
Les finalités du traitement ;
- Les caméras de surveillance visées par la loi caméras sont installées et utilisées dans un but de "surveillance et contrôle " pour les finalités visées à l’article 3 de la loi caméras. Mentionnez les finalités visées par vos caméras de surveillance.
Une description des catégories de personnes concernées et des catégories de données à caractère personnel;
- Les caméras de surveillance permettent de traiter (collecter et enregistrer) des images. Les personnes concernées sont celles qui apparaissent sur ces images.
Les catégories de destinataires des données à caractère personnel, y compris les destinataires dans des pays tiers ou des organisations internationales;
- Mentionnez les personnes à qui les données peuvent être transmises (par exemple, les services de police).
Le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l'article 49, paragraphe 1, deuxième alinéa, du règlement général sur la protection des données, les documents attestant de l'existence de garanties appropriées;
Les délais prévus pour l'effacement des différentes catégories de données, à savoir le délai de conservation des données, si les images sont enregistrées ;
- La loi caméras prévoit que le délai de conservation est de un mois maximum (3 mois maximum pour les lieux présentant un risque particulier pour la sécurité, déterminés par l'article 3 de l'arrêté royal du 6 décembre 2018), sauf si les images permettent d’apporter une preuve ou une identification.
Une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 32, paragraphe 1, du règlement général sur la protection des données, dont les mesures de sécurité prises pour empêcher l'accès par des personnes non habilitées et celles qui sont prises dans le cadre de la communication de données à des tiers.
Décrivez les mesures prises au niveau de
- la politique de sécurité,
- l’organisation et des aspects humains de la sécurité (engagement de confidentialité, classification de l’information,…)
- la sécurité physique et de l’environnement (sécurisation des accès, système de backup,…),
- la sécurisation des réseaux,
- la sécurisation logique des accès (système d’authentification, liste du personnel concerné…,
- la journalisation, le traçage et l’analyse des accès,
- la surveillance et la maintenance,
- la gestion des incidents de sécurité et la continuité.
Les informations obligatoires du registre - données spécifiques à la législation sur les caméras
La base légale du traitement ;
- Il s’agit de la loi du 21 mars 2007 réglant l’installation et l’utilisation de caméras de surveillance.
L’indication du type de lieu ;
- Lieu ouvert ou lieu fermé (accessible ou non accessible au public) + adresse
La description technique des caméras de surveillance, ainsi que, s’il s’agit de caméras de surveillance fixes, leur emplacement, le cas échéant indiqué sur un plan ;
- Caméras fixes, fixes temporaires ou mobiles
- Description technique de ces caméras (modèle, marque, résolution,…)
- Emplacement de ces caméras (éventuellement plan caméras) s’il s’agit de caméras fixes
S’il s’agit de caméras de surveillance temporaires ou mobiles, la description des zones surveillées par ces caméras de surveillance et les périodes d’utilisation.
- Description du périmètre d’utilisation des caméras temporaires et des caméras mobiles, ainsi que la période d’utilisation (pour les caméras de surveillance mobiles, il peut s’agir de plages horaires)
Le mode d'information au sujet du traitement ;
- Déclaration aux services de police
- Pictogramme réglementaire (AR du 10/02/2008)
- Autres modes d’information (pour les caméras ANPR mobiles dans les lieux ouverts, c’est obligatoire)
Le lieu du traitement des images ;
- Précisez où sont traitées les images(visionnage, conservation) : à l’adresse où sont placées les caméras ou ailleurs ?
Le fait qu’un visionnage en temps réel est organisé ou non et le cas échéant, la manière dont il est organisé.
- Est-ce que des personnes surveillent de manière continue le lieu en visionnant les images ? Si oui, mentionnez le et expliquez comment cela est organisé (Qui ? quand ? où ?)
Lorsqu’il s’agit de la surveillance par caméra d’un lieu ouvert ou de caméras de surveillance dirigées vers le périmètre d’un lieu fermé conformément à l’article 8/2 de la loi du 21 mars 2007, le registre contient aussi, le cas échéant, l'avis positif du conseil communal compétent.
La loi prévoit l’obtention d’un avis positif préalable du conseil communal dans plusieurs cas :
- Caméras de surveillance fixes et fixes temporaires dans un lieu ouvert
- Exception : le lieu ouvert est une voirie non communale ou une autoroute (dans ce cas, il faut uniquement consulter le service de police concerné) ;
- Caméras de surveillance mobiles ANPR dans un lieu ouvert ;
- Caméras dirigées vers le périmètre des lieux déterminés par l'article 2 de l'arrêté royal du 6 décembre 2018.
Cet avis doit être repris dans le registre.
Les exceptions à l’obligation de tenir un registre
La loi caméras prévoit une exception pour :
- Le responsable du traitement personne physique qui installe, à l’intérieur de son habitation privée, des caméras de surveillance à des fins personnelles et domestiques ;
- Le responsable personne physique qui utilise des caméras de surveillance mobiles à des fins personnelles ou domestiques, dans un lieu fermé non accessible au public (propriété privée).
Arrêté royal du 8 mai 2018 relatif aux déclarations d’installation et d'utilisation de caméras de surveillance et au registre d’activités de traitement d’images de caméras de surveillance.