Informer, conserver, effacer
Une fois les images dans la carte mémoire, les obligations ne s'arrêtent pas : il faut savoir qui prévenir, combien de temps garder, et quoi faire quand le support disparaît. C'est la moitié de la matière que la révision néglige.
À retenir
- Le RGPD ne contient aucune disposition sur le droit à l'image : cette notion relève du droit national de chaque État membre. Elle se révise dans le module national, pas ici.
- Quand les données ne sont pas collectées auprès de la personne concernée (le cas même de la prise de vue aérienne) c'est l'article 14 qui régit l'information, et non l'article 13.
- L'article 14, § 5, point b), écarte cette obligation d'information lorsqu'elle se révèle impossible ou exigerait des efforts disproportionnés. C'est une exception qui se justifie au cas par cas, elle ne se présume pas.
- La conservation obéit à l'article 5, § 1, point e) : les données ne sont gardées, sous une forme permettant l'identification, que pendant la durée nécessaire aux finalités poursuivies. Le RGPD ne fixe AUCUN nombre de jours.
- Deux erreurs symétriques ici : inventer un délai légal qui n'existe pas, ou considérer qu'un stockage hors ligne fait sortir les données du règlement.
- Les personnes concernées gardent des droits opposables au responsable du traitement, dont l'accès à leurs données (art. 15) et leur effacement (art. 17). Des images doivent donc pouvoir être retrouvées, et supprimées.
- Le vol ou la perte d'une carte mémoire est une violation de données au même titre qu'un piratage : l'article 33, § 1, impose la notification à l'autorité de contrôle dans les meilleurs délais et, si possible, sous 72 heures. L'autorité destinataire est celle de la protection des données, jamais celle de l'aviation.
- Une analyse d'impact est requise en cas de risque élevé, et l'article 35, § 3, point c), cite expressément la surveillance systématique à grande échelle d'une zone accessible au public. Le déclencheur est la nature et l'échelle du traitement, pas la présence d'une caméra.
Le piège. Le floutage au montage arrive après la collecte, et c'est la collecte que le RGPD encadre. Il répare l'exposition des images, pas l'illégalité éventuelle de leur enregistrement : surtout face à l'interdiction de principe de l'article 9.
Source
Règlement (UE) 2016/679 (CELEX 02016R0679, consolidé au 04/05/2016) (RGPD), art. 5, § 1, point e), art. 14, § 1 et § 5, point b), art. 15, art. 17, art. 33, § 1, et art. 35, § 1 et § 3, point c)