RGPD et données personnelles sur les photos de baies

Sommaire

1. Ce que la plateforme traite réellement
2. Ce qu’une photo peut capter malgré vous
3. Minimiser dès la prise de vue
4. Qui est responsable du traitement
5. Ce que la plateforme apporte pour vous aider

Ce que la plateforme traite réellement

La plateforme a besoin de deux choses pour produire un relevé : une photo de face de la baie entière et, si vous l’utilisez, l’inventaire de cette baie dans NetBox. L’analyse cherche des équipements sur la façade, leur famille, leur position en U et un niveau de confiance. Elle ne cherche ni visage, ni nom, ni information sur une personne.

Les seules données personnelles nécessaires au fonctionnement sont celles des comptes utilisateurs : un nom, un identifiant et un rôle. Elles servent à ouvrir une session et à tracer qui a fait quoi dans le journal des actions.

Une photo reste toutefois une photo. Prise dans une salle, elle peut contenir des éléments que personne n’a cherché à capter. C’est ce point qu’il faut traiter avec soin.

Ce qu’une photo peut capter malgré vous

Sur le terrain, les situations les plus fréquentes sont simples à anticiper :

• Un visage ou une silhouette : un collègue dans l’allée, un reflet sur une porte vitrée ou sur la façade d’un équipement.
• Un badge porté ou posé sur un équipement, avec un nom et parfois une photo d’identité.
• Une étiquette nominative : nom d’un responsable, numéro de téléphone direct, adresse e-mail collée sur un châssis ou une porte.
• Un document oublié sur le dessus d’une baie : bon d’intervention, planning, feuille de passage.

Ces éléments n’apportent rien à l’inventaire. Les éviter dès la prise de vue est la mesure la plus efficace, car une donnée qui n’a jamais été collectée n’a pas à être protégée ni supprimée.

Minimiser dès la prise de vue

Le principe de minimisation du RGPD (article 5) demande de ne collecter que ce qui est nécessaire. Pour un relevé de baie, cela se traduit par quelques consignes à donner aux équipes terrain :

1. Cadrer la baie, rien que la baie

   Une photo de face, la baie entière dans le cadre, les montants visibles. Inutile d’élargir sur l’allée ou sur les baies voisines.

2. Vérifier l’allée avant de déclencher

   Attendre qu’aucune personne ne passe dans le champ et éviter les angles qui produisent des reflets.

3. Retirer ce qui n’a rien à faire là

   Badge, document, carnet posés sur un équipement : on les déplace le temps de la photo.

4. Reprendre plutôt que garder

   Si une photo capte malgré tout une personne ou une information nominative, on la reprend, de préférence avant l’envoi ; une photo déjà envoyée se signale à un administrateur, qui la fait retirer.

Ces consignes peuvent figurer dans la fiche de passage remise aux techniciens au lancement d’une campagne.

Qui est responsable du traitement

La plateforme est installée sur vos serveurs, en conteneurs. Les photos, les relevés et les comptes sont stockés sur votre infrastructure. Vous décidez de l’usage qui en est fait : vous êtes donc, en règle générale, responsable du traitement au sens du RGPD.

Concrètement, cela signifie que plusieurs éléments vous reviennent :

• La base légale du traitement (article 6) : pour l’inventaire de votre propre parc, l’intérêt légitime ou l’exécution d’une mission interne sont souvent envisagés. Le choix appartient à votre DPO.
• L’inscription au registre des activités de traitement (article 30), avec les catégories de données (comptes utilisateurs, photos de salles) et leurs durées de conservation.
• L’information des personnes concernées : les utilisateurs de la plateforme et, le cas échéant, le personnel présent dans les salles.
• L’analyse d’impact (article 35), si votre DPO l’estime nécessaire. Un inventaire d’équipements ne vise pas des personnes, mais l’évaluation vous appartient.

Si un accompagnement de notre part implique un accès à vos données, ce point se cadre dans le contrat, au titre de l’article 28. Il est à préciser dans le cadre du projet.

Ce que la plateforme apporte pour vous aider

Plusieurs choix de conception vont dans le sens de la protection des données :

• Les photos restent sur vos serveurs : aucun service en ligne n’est requis pour analyser une photo.
• Les comptes sont créés par un administrateur, avec des rôles distincts : chacun ne voit que ce que son rôle permet.
• Le journal des actions trace qui a analysé, validé ou écrit quoi, et quand : utile pour répondre à une demande ou à un contrôle.
• Les comptes ne contiennent que le strict nécessaire : nom, identifiant, rôle.

Pour toute question, ou pour recevoir la description des traitements dans le cadre d’un projet, écrivez-nous.

Cette page décrit le produit et la manière dont il est conçu. Elle ne constitue pas un avis juridique : validez son application à votre contexte avec votre DPO, votre RSSI ou votre conseil.