PiiBlur

Le règlement général sur la protection des données traite les photographies et les vidéos de la même manière que toute autre donnée personnelle : si une personne peut être identifiée à partir d'une image, le RGPD s'applique. Pour les entreprises qui capturent, traitent ou publient du contenu visuel, cela crée des obligations que de nombreuses équipes négligent jusqu'à ce qu'un audit ou une plainte soulève le problème.

Ce guide couvre le côté pratique : ce que dit le RGPD à propos des images, ce qui peut déclencher des obligations de confidentialité et comment intégrer la rédaction dans vos opérations. Il s’agit d’orientations opérationnelles et non de conseils juridiques. Consultez un professionnel du droit qualifié pour votre situation spécifique.

Comment le RGPD définit les données personnelles dans les images

L'article 4 du RGPD définit les données personnelles comme « toute information relative à une personne physique identifiée ou identifiable ». Le considérant 51 va plus loin en précisant que les photographies sont admissibles lorsqu'elles sont "traitées par un moyen technique spécifique permettant l'identification ou l'authentification unique d'une personne physique".

En clair : si une photo ou une vidéo contient un visage, une plaque d'immatriculation, une carte d'identité ou tout autre élément permettant d'identifier une personne, le RGPD la traite comme une donnée personnelle.

Un répartition complète des catégories visuelles de PII couvre les 13 types d'informations identifiables qui apparaissent dans les images - des codes QR aux tatouages en passant par les panneaux de signalisation révélant l'emplacement.

Quand le RGPD s'applique à vos images

Le RGPD s'applique chaque fois que vous traitez des images contenant des informations identifiables sur les résidents de l'UE. Le « traitement » couvre un large éventail d'activités :

Capture d'images avec des caméras de sécurité, des drones ou des téléphones
Stockage de photos ou de vidéos sur des serveurs, un stockage cloud ou des appareils
Partage d'images avec des partenaires, des clients ou le public
Publication de contenu visuel sur des sites Web, des annonces ou des réseaux sociaux
Analyser des images avec des outils de vision par ordinateur ou d'IA

Si votre entreprise effectue l'une de ces opérations avec des images contenant des personnes ou des données identifiables, vous avez des obligations en matière de RGPD.

Les six bases juridiques du traitement des données visuelles

Le RGPD exige une base légale pour chaque activité de traitement. Pour les images, les bases les plus pertinentes sont :

Consentement. La personne concernée a accepté le traitement spécifique. Pour la photographie publique, il est rarement pratique d’obtenir le consentement de chaque personne photographiée.

Intérêt légitime. Votre entreprise a un besoin réel qui ne prime pas sur les droits de l'individu. Les images des caméras de sécurité tombent souvent ici, mais vous devez effectuer et documenter une évaluation de l'intérêt légitime (LIA).

Obligation légale. La loi vous oblige à traiter les images (par exemple, la tenue de registres réglementaires dans certains secteurs).

Tâche publique. Le traitement est nécessaire à une mission d'intérêt public. Cela s'applique principalement aux pouvoirs publics.

Pour la plupart des utilisations commerciales (systèmes de surveillance, images au niveau de la rue, photographie de propriété) le consentement n'est pas pratique à grande échelle. L'intérêt légitime constitue la base habituelle, mais il est assorti de conditions : vous devez démontrer que le traitement est nécessaire, proportionné et équilibré par rapport aux droits de la personne concernée à la vie privée.

Le moyen le plus simple de respecter cet équilibre consiste à supprimer les informations identifiables avant de publier ou de partager des images.

Étapes pratiques pour la conformité des images au RGPD

1. Auditez votre pipeline d'images

Cartographiez chaque point où votre organisation capture, stocke, traite ou partage des images. Identifiez les images susceptibles de contenir des données personnelles. Sources courantes : caméras de sécurité, caméras montées sur des véhicules, images de drones, photographies d'employés et contenu téléchargé par les utilisateurs.

2. Établir une base légale

Pour chaque catégorie de traitement d’images, documentez votre base juridique. Si vous comptez sur un intérêt légitime, remplissez et conservez une évaluation de l’intérêt légitime.

3. Mettre en œuvre la rédaction avant la publication

Supprimez les informations identifiables (visages, plaques d'immatriculation, cartes d'identité et autres informations personnelles visuelles) avant que les images ne quittent vos systèmes internes. La rédaction automatisée gère cela à grande échelle, sans goulots d'étranglement en matière de révision manuelle.

PiiBlur détecte 13 catégories de PII dans les images et vidéos et applique automatiquement le flou ou la pixellisation. Intégrez-le via l'API dans votre pipeline existant ou utilisez le tableau de bord pour un traitement ad hoc.

4. Minimisez la conservation des données

Le principe de minimisation des données du RGPD s'applique également aux images. Ne conservez pas les images non expurgées plus longtemps que nécessaire. Définissez des périodes de conservation et appliquez-les.

5. Gérer les demandes des personnes concernées

Les individus ont le droit d'accéder, de rectifier et de demander l'effacement de leurs données personnelles, y compris les images. Créez un processus pour localiser et répondre à ces demandes dans le délai de 30 jours.

6. Documentez vos processus

Conservez des enregistrements de vos activités de traitement (article 30), y compris les types d'images traitées, les bases juridiques, les périodes de conservation et les procédures de rédaction. Cette documentation constitue votre première ligne de défense lors d’un audit.

Le coût d'une erreur

Les amendes du RGPD pour les violations liées à l’image sont réelles. Les régulateurs de l’UE ont imposé des sanctions pour :

Publication d'images de style Street View sans rédaction adéquate
Exploitation de systèmes de vidéosurveillance sans signalisation appropriée ni base légale
Partager des photos d'employés sans consentement
Conserver les images de sécurité au-delà des périodes justifiées

Les amendes atteignent 4 % du chiffre d'affaires mondial annuel ou 20 millions d'euros, le montant le plus élevé étant retenu. Au-delà des amendes, les mesures coercitives nuisent à la confiance des clients et perturbent les opérations.

Intégrez la rédaction à votre flux de travail

La conformité des images au RGPD n’est pas un projet ponctuel. Chaque nouvelle image capturée par votre organisation peut contenir des données personnelles. La seule approche durable est la rédaction automatisée intégrée à votre pipeline d'images : elle détecte et supprime les informations identifiables avant qu'elles n'atteignent des systèmes de publication, de stockage ou tiers.

L'API de PiiBlur traite les images et les vidéos en masse, détecte les 13 catégories PII et renvoie une sortie rédigée. Le niveau gratuit comprend 100 images et 5 minutes de vidéo par mois, vous pouvez donc le tester par rapport à votre contenu réel avant de vous engager dans un plan.