RGPD drone : préparer une captation en entreprise
Drone en entreprise : préparez la mission, limitez les images, informez les personnes et vérifiez la base légale, les prestataires et l’AIPD.
Une inspection de toiture, une vidéo de chantier ou un relevé de site peut capter des salariés, riverains, véhicules et habitudes de déplacement. La conformité se prépare avant le vol : attendre le montage pour flouter les visages laisse entière la question de la collecte initiale. Le premier document utile est une fiche de mission décrivant ce qui sera capté, transmis, conservé et livré.
Distinguer autorisation de voler et traitement des images
Les règles aéronautiques et le RGPD répondent à des questions différentes. Une opération de vol autorisée ne donne pas automatiquement le droit de filmer une personne ou de publier les images. Les règles relatives à la vie privée et à l’image s’ajoutent aussi à l’analyse.
La catégorie ouverte peut concerner des usages professionnels. Les restrictions dépendent notamment du drone, du lieu et des modalités du vol ; en France, le vol en catégorie ouverte dans l’espace public en agglomération est interdit. Consultez le cadre et les restrictions de la mission auprès de la DGAC, sans déduire les obligations du seul mot « professionnel ».
Les régimes propres aux drones utilisés pour la sécurité publique ne constituent pas une autorisation générale de surveillance pour une entreprise privée.
Identifier toutes les données, y compris sans enregistrement
Un visage reconnaissable est une donnée personnelle. Une plaque, une adresse, une trajectoire ou une image de bâtiment peut également se rapporter à une personne identifiable, selon le contexte et les informations disponibles. À l’inverse, toute image de toiture ne devient pas automatiquement personnelle : examinez les possibilités réelles d’identification.
La consultation d’une image en direct peut déjà constituer un traitement, même si le drone ne l’enregistre pas. Décrivez les flux vers la radiocommande, l’application, le stockage local, le prestataire et les éventuels services distants. Le fait de ne conserver que le livrable final n’efface pas les étapes précédentes. Source : Art. 4(1) et 4(2) du RGPD.
Choisir une base légale qui résiste au cas concret
L’intérêt légitime de l’Art. 6(1)(f) peut être envisagé pour certaines opérations privées. Il faut identifier l’intérêt poursuivi, démontrer la nécessité et apprécier les droits et attentes des personnes. L’impossibilité pratique de recueillir un consentement ne constitue pas, en elle-même, une justification de l’intérêt légitime.
Comparez le drone à une prise de vue au sol, une autre heure ou un cadrage excluant les personnes. Si la captation reste disproportionnée, il faut modifier ou abandonner ce volet de la mission. Le guide sur la base légale RGPD aide à documenter ce choix. Source : Art. 6(1)(f).
Un contrat entre le donneur d’ordre et le prestataire ne fournit pas une base contractuelle pour filmer tous les riverains. L’Art. 6(1)(b) suppose un contrat avec la personne concernée ou des mesures précontractuelles prises à sa demande.
Distinguez aussi inspection technique et communication : des images utiles pour constater un défaut ne peuvent pas être publiées automatiquement dans une campagne commerciale. Cette réutilisation appelle une analyse propre, y compris au titre du droit à l’image.
Informer avant la captation
La collecte par observation, notamment vidéo, relève de l’information directe. La CNIL le précise dans sa fiche sur l’information et la transparence. Il ne faut donc pas invoquer l’exception d’efforts disproportionnés de l’Art. 14(5)(b) pour dispenser indistinctement les personnes filmées de toute information.
Prévoyez un dispositif adapté au terrain : panneaux aux accès, information préalable des équipes ou riverains concernés et notice complète facilement accessible. La CNIL cite notamment les panneaux, pictogrammes et campagnes d’information pour les drones. Le survol rapide d’un appareil ne suffit pas à communiquer les finalités, le responsable, la durée et les droits.
Les mentions d’information doivent correspondre à la mission réelle. Si le prestataire intervient pour le compte du donneur d’ordre, identifiez clairement le responsable et le contact pour les demandes. Source juridique : Art. 13 du RGPD.
Réduire les données dès les réglages
| Étape | Décision à documenter |
|---|---|
| Préparation | Zone, horaire, personnes susceptibles d’être filmées, solution moins intrusive |
| Captation | Angle, résolution utile, arrêt de prise de vue, absence de son inutile |
| Transmission | Terminaux et services qui reçoivent le flux ou les fichiers |
| Montage | Personnes habilitées, cadrage, masquage, copies temporaires |
| Livraison | Version utile au client, canal sécurisé, réutilisations permises |
| Suppression | Sort des rushes, copies et exports, avec échéance justifiée |
Le floutage peut réduire l’exposition du livrable. Il ne rend pas rétroactivement licite une captation injustifiée ni ne garantit l’anonymat si d’autres indices permettent d’identifier la personne. La minimisation doit intervenir dès la préparation, conformément à l’Art. 5(1)(c).
Il n’existe pas une durée RGPD universelle pour les rushes de drone. Fixez une période liée à la sélection et à la réalisation du livrable, puis distinguez les éléments conservés pour une finalité de preuve précisément justifiée.
Encadrer le prestataire et décider d’une AIPD
Le prestataire qui filme et monte sur instructions peut relever de la sous-traitance. S’il décide d’utiliser les images pour sa propre promotion ou une autre finalité, cette opération exige une qualification distincte. Un avenant RGPD au contrat existant doit préciser les instructions, accès, fournisseurs, transferts éventuels, incidents et suppressions.
Une AIPD est requise lorsque le traitement est susceptible d’engendrer un risque élevé. L’Art. 35(3)(c) vise notamment la surveillance systématique à grande échelle d’une zone accessible au public. Toute captation ponctuelle par drone n’entre pas automatiquement dans cette hypothèse ; inversement, un dispositif intrusif peut relever d’une autre situation de risque élevé ou d’une liste obligatoire. Examinez les critères, la répétition, les personnes vulnérables et les usages envisagés. Sources : Art. 35 et guide pour déterminer si une AIPD est nécessaire.
Ce qu’il faut retenir
- La permission de voler ne vaut pas permission générale de filmer ou de publier.
- Le direct, les transmissions et les rushes font partie de l’analyse.
- L’information par observation relève de l’Art. 13 ; une difficulté pratique n’efface pas cette obligation.
- Le floutage et l’AIPD ne remplacent pas une captation nécessaire, proportionnée et justifiée.
FAQ
Faut-il demander le consentement de toute personne visible ?
La base légale dépend du traitement. Une autre base peut être pertinente, mais elle doit être démontrée ; le refus de demander un consentement ne justifie pas automatiquement l’intérêt légitime.
Une caméra sans enregistrement échappe-t-elle au RGPD ?
Non si des personnes identifiables sont observées ou si d’autres données personnelles sont traitées. L’enregistrement n’est qu’une des opérations possibles.
Une AIPD est-elle obligatoire pour chaque vol ?
Non. Elle s’apprécie à l’échelle du traitement et des risques, en tenant compte de l’Art. 35 et des listes applicables. Une surveillance répétée ne doit pas être artificiellement divisée en petits vols pour éviter cette analyse.
Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.
Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.