Vidéosurveillance et loi 09-08 : les points clés avant de déployer l’analyse vidéo

Pourquoi l’analyse vidéo est concernée

Dès lors qu’une caméra filme des personnes identifiables, les images constituent des données à caractère personnel. Au Maroc, leur traitement est encadré par la loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, sous le contrôle de la CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel).

Ajouter de l’intelligence artificielle à des caméras ne change pas cette réalité, mais modifie la nature du traitement : on ne se contente plus d’enregistrer, on analyse. C’est pourquoi un projet d’analyse vidéo doit être préparé sous l’angle juridique autant que technique.

Avertissement : cet article présente des points de vigilance d’ordre général. Il ne constitue pas un conseil juridique et ne remplace pas l’analyse de votre situation par un juriste ou un avocat, ni la consultation des textes et des orientations publiées par la CNDP.

Définir la finalité et les rôles

Tout commence par une question simple : à quoi sert le dispositif ? Sécurité des biens, mesure de la fréquentation, gestion des files d’attente, sécurité d’une zone de travail… Chaque finalité doit être déterminée, explicite et légitime. Les images ne doivent pas être réutilisées ensuite pour un objectif incompatible.

Il faut aussi clarifier les rôles. L’entreprise qui installe les caméras et décide de leur usage est le responsable du traitement. Le fournisseur de la solution ou l’intégrateur peut intervenir pour son compte : son rôle et ses obligations, notamment en matière de sécurité et de confidentialité, doivent être précisés dans le contrat.

Ce contrat mérite une attention particulière : qui a accès aux images et aux résultats, où les données sont-elles traitées et stockées, quelles mesures de sécurité sont mises en œuvre, que deviennent les données à la fin de la prestation ? Des réponses écrites et précises à ces questions facilitent également vos démarches auprès de la CNDP.

Les formalités auprès de la CNDP

La loi n° 09-08 prévoit des formalités préalables à la mise en œuvre d’un traitement : selon les cas, une déclaration ou une demande d’autorisation. La CNDP a publié des orientations et des formulaires dédiés à la vidéosurveillance, qu’il convient de consulter sur son site officiel.

En pratique, avant de déployer de l’analyse vidéo, posez-vous les questions suivantes :

• le dispositif de vidéosurveillance existant a-t-il fait l’objet d’une formalité, et pour quelles finalités ?
• l’ajout d’une analyse (comptage, files d’attente, durées) constitue-t-il une nouvelle finalité à déclarer ou à faire autoriser ?
• des données sont-elles transférées hors du Maroc, par exemple vers un service cloud, ce qui peut appeler des formalités spécifiques ?
• qui, dans l’entreprise, est chargé de suivre ces démarches et de conserver les justificatifs ?

Informer les personnes filmées

Les clients, visiteurs et salariés doivent savoir qu’ils peuvent être filmés. Le moyen le plus courant est une signalétique visible, placée avant l’entrée dans la zone couverte. Elle indique généralement l’existence du dispositif, l’identité du responsable et la manière d’exercer ses droits d’accès, de rectification et d’opposition.

Lorsqu’une analyse est réalisée, il est de bonne pratique d’en mentionner la nature, par exemple la mesure de fréquentation, et de tenir à disposition une information plus complète, sur un document affiché ou une page dédiée.

Prévoyez aussi la façon dont vous traiterez les demandes des personnes qui souhaitent exercer leurs droits : à qui la demande est adressée, comment l’identité du demandeur est vérifiée, et comment les droits des autres personnes visibles sur les mêmes images sont préservés.

Proportionnalité et durée de conservation

Le dispositif doit être proportionné à son objectif. Ce principe rejoint une logique simple : ne collecter que ce dont on a réellement besoin. Pour mesurer la longueur d’une file d’attente ou le taux d’occupation d’une salle, il n’est pas nécessaire de conserver les images ni de savoir qui sont les personnes présentes ; un compteur suffit. Concrètement, cela implique de :

• limiter le champ des caméras aux zones nécessaires, et masquer les parties non pertinentes (voie publique, vitrines voisines, postes de travail) ;
• exclure absolument les espaces relevant de l’intimité : toilettes, vestiaires, salles de repos ;
• privilégier les traitements qui ne conservent que des résultats agrégés, sans images ni identification ;
• écarter la reconnaissance faciale et l’identification biométrique lorsqu’elles ne sont pas indispensables, ces traitements faisant l’objet d’un encadrement renforcé ;
• fixer à l’avance une durée de conservation des images limitée au strict nécessaire, et prévoir leur effacement automatique.

Les salariés : un point d’attention particulier

Sur un lieu de travail, l’employeur doit informer les salariés de l’existence des caméras et de leurs finalités, et consulter les représentants du personnel lorsque cela est prévu. Le Code du travail et la loi n° 09-08 s’appliquent ensemble. Lorsque des caméras installées à l’origine pour la sécurité se voient ajouter une finalité d’analyse, il est de bonne pratique d’en informer à nouveau le personnel.

Un dispositif vidéo ne doit pas devenir un outil de surveillance permanente d’un salarié à son poste, ni servir à évaluer individuellement sa productivité. Les analyses portant sur des flux et des processus, comme le temps d’attente moyen d’une file ou l’occupation d’une zone, sont bien plus faciles à justifier que celles qui ciblent des personnes.

Sécurité et accès aux images

Le responsable du traitement doit protéger les images et les résultats contre l’accès non autorisé. Les mesures de base sont connues mais trop souvent négligées : modifier les mots de passe par défaut des caméras et enregistreurs, isoler le réseau vidéo, mettre à jour les équipements, restreindre l’accès aux images à quelques personnes habilitées et tracer les consultations.

Avant la mise en service, une courte vérification permet d’éviter les oublis : finalités décrites par écrit, formalité auprès de la CNDP accomplie, signalétique installée, salariés informés, zones de masquage configurées, durée de conservation paramétrée, liste des personnes habilitées arrêtée et contrat avec le prestataire signé.

Le traitement sur site (Edge AI), qui évite de faire circuler les flux vidéo hors des locaux, contribue à réduire les risques. Pour aller plus loin, notre page « Vidéosurveillance & protection des données » détaille l’approche de VIDEO.MA. Nous pouvons vous accompagner dans la préparation de votre projet, en complément de l’avis de votre conseil juridique.