Agence andorrane des données publie règles de conformité pour la vidéosurveillance

L’Agence de protection des données d’Andorre (APDA) a publié des directives détaillées rappelant aux particuliers, entreprises et entités publiques leurs obligations lors de l’installation et de l’exploitation de systèmes de vidéosurveillance dans la Principauté.

La capture d’images ou de sons de personnes identifiables constitue un traitement de données personnelles, de sorte que ces systèmes doivent respecter les règles de protection des données en plus des lois sur la sécurité publique. Avant leur mise en service, les exploitants doivent préciser l’objectif du système – limité à des finalités légitimes comme la protection des personnes, des biens, des bâtiments ou des points d’accès –, justifier sa nécessité, établir la base légale, définir les zones de couverture, mettre en place des contrôles d’accès, fixer les durées de conservation et appliquer des mesures de sécurité.

Toutes les installations doivent respecter les principes de nécessité, de proportionnalité et d’intervention minimale, en utilisant le moins de caméras possible avec le champ de vision le plus étroit, et en évitant des alternatives moins intrusives. Les zones interdites incluent les domiciles privés de tiers, les salles de bains, les vestiaires ou les zones de repos. Les caméras privées ne peuvent filmer les voies publiques qu’en cas exceptionnels et autorisés.

Les démarches administratives varient : une approbation préalable du ministère de l’Intérieur, appuyée par un rapport de la Commission nationale de vidéosurveillance, est requise pour les systèmes couvrant les voies publiques, les espaces publics ou les zones ouvertes au public. Les systèmes limités aux espaces privés nécessitent une notification préalable. Les changements significatifs, comme une extension du champ de vision ou l’ajout d’audio, entraînent de nouvelles notifications ou approbations.

Une signalétique visible doit informer les entrants sur le système, le responsable, l’objectif, la base légale et les modalités d’exercice des droits. L’enregistrement audio reste désactivé par défaut, n’étant activé qu’en cas de nécessité et de proportionnalité strictes, sans options moins intrusives, et jamais pour capter des conversations privées sauf autorisation légale.

Les enregistrements doivent être supprimés au maximum après un mois, sauf s’ils sont liés à des enquêtes policières, des procédures judiciaires ou administratives, ou des infractions à l’ordre public – auquel cas les images pertinentes nécessitent un stockage sécurisé séparé avec accès restreint. L’accès est limité au personnel autorisé via des protocoles internes ; le partage ou la diffusion est interdit hors exceptions légales. Les exploitants doivent utiliser des mots de passe robustes, un chiffrement, des contrôles d’accès et une suppression automatique, plus un journalisation de l’activité, des analyses de risques et des évaluations d’impact sur la protection des données pour les configurations à haut risque.

Les règles s’étendent aux sous-traitants externes, aux droits des travailleurs et aux spécificités du lieu de travail. L’APDA lancera en septembre une campagne de sensibilisation sur les réseaux sociaux, incluant une infographie pour informer citoyens et responsables de ces exigences.