Que faire des données collectées lorsqu'un dispositif de surveillance est désactivé ?
Réponse courte
À la désactivation d'un dispositif de surveillance (vidéosurveillance, géolocalisation, cybersurveillance), les données collectées doivent être supprimées de manière sécurisée dès qu'elles ne sont plus nécessaires à la finalité poursuivie, en respectant les règles de durée de conservation des images. La conservation au-delà de la cessation est admise uniquement pour les délais légaux prévus (procédure judiciaire en cours, prescription d'une obligation légale, contentieux RH ouvert).
L'employeur documente la suppression dans le registre des traitements (date, périmètre, méthode), informe la délégation du personnel de la cessation du dispositif et adapte la notice d'information remise aux salariés ; cette obligation s'étend au sous-traitant chargé du contrôle d'activité. Toute conservation injustifiée constitue une violation du principe de limitation (article 5 du RGPD) sanctionnée par la CNPD.
Définition
La désactivation d'un dispositif de surveillance désigne l'arrêt définitif ou temporaire d'un système de collecte de données (caméras éteintes, géolocalisation interrompue, logiciel désinstallé). Elle peut résulter d'un changement de stratégie, d'une réorganisation, d'une décision CNPD ou de la fin d'une enquête interne.
Le principe de limitation de la conservation (article 5(1)(e) du RGPD) impose que les données ne soient pas conservées au-delà de la durée nécessaire à la finalité, ce qui inclut la phase de cessation du traitement.
Questions fréquentes
Conditions d’exercice
La règle est la suppression par défaut dès la cessation effective ; toute conservation prolongée doit s'appuyer sur un délai légal identifiable ou une procédure contentieuse ouverte, jamais sur la simple commodité.
| Condition | Exigence |
|---|---|
| Suppression par défaut | Effacement sécurisé dès la cessation effective de la finalité |
| Conservation justifiée | Maintien possible uniquement pour délais légaux ou procédures en cours |
| Documentation | Trace écrite de la décision de cessation, de la suppression et des données conservées |
| Information | Communication à la délégation du personnel et aux salariés |
| Sécurité | Méthode de suppression empêchant la reconstruction des données (effacement cryptographique) |
| Mise à jour du registre | Modification du registre des traitements et de l'AIPD le cas échéant |
Modalités pratiques
L'attestation de suppression du sous-traitant et la cartographie des sauvegardes sont les deux points où les contrôles CNPD relèvent le plus souvent des manquements résiduels.
| Étape | Précision |
|---|---|
| Décision formelle | Décision écrite précisant la date, la portée et la cause de la cessation |
| Inventaire des données | Cartographie des données issues du dispositif (volumes, supports, sauvegardes) |
| Identification des conservations | Détermination des données soumises à conservation légale ou contentieuse |
| Suppression sécurisée | Effacement irréversible des données non conservées (overwrite, destruction physique des supports) |
| Conservation isolée | Mise en archive sécurisée et restreinte des données conservées |
| Notification du sous-traitant | Demande de suppression chez le prestataire avec attestation écrite |
| Mise à jour documentaire | Registre des traitements, AIPD, notice salariés, charte informatique |
Pratiques et recommandations
Décider par écrit la cessation avec mention de la date, du périmètre et du motif — sans cette trace, l'audit de conformité devient impossible.
Documenter la suppression effective avec attestation horodatée précisant la méthode utilisée (overwrite, destruction physique, certification du prestataire).
Notifier explicitement le sous-traitant et exiger une attestation écrite de suppression chez lui et chez ses sous-traitants ultérieurs (article 28 du RGPD).
Justifier précisément toute conservation prolongée par référence à un délai légal identifié ou à une procédure contentieuse en cours.
Informer la délégation du personnel et les salariés de la cessation du dispositif et du sort des données collectées, dans la note d'information actualisée.
Mettre à jour le registre des traitements et l'AIPD en intégrant la cessation et la stratégie de suppression.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. 5(1)(e) du RGPD | Principe de limitation de la conservation |
| Art. 17 du RGPD | Droit à l'effacement (right to be forgotten) |
| Art. 28 du RGPD | Sous-traitance : suppression à la fin de la prestation |
| Art. 30 du RGPD | Tenue du registre des traitements |
| Art. L.261-1 du Code du travail | Encadrement luxembourgeois des traitements pour surveillance |
| Loi modifiée du 1er août 2018 | Cadre national de protection des données |
Note
La conservation injustifiée des données après cessation d'un dispositif est un manquement au principe de limitation, sanctionné par la CNPD jusqu'à 4 % du chiffre d'affaires mondial. Le salarié peut exercer son droit à l'effacement et obtenir des dommages-intérêts en cas de refus.