L'Autorité de Protection des Données fixe les nouvelles règles de la vidéosurveillance

L’Autorité Catalane de Protection des Données remplace son instruction de 2009 par la Circulaire 1/2026, qui fixe les règles du traitement de données à caractère personnel consistant en des images et, le cas échéant, des voix captées par des caméras à des fins de vidéosurveillance. La norme est publiée au Journal Officiel de la Generalitat de Catalogne (DOGC) n° 9775, du 19 octobre 2026, avec la référence officielle CVE-DOGC-A-26287083-2026. Elle entre en vigueur vingt jours après sa publication, c’est-à-dire début novembre.

La circulaire est dictée en vertu de l’article 57.2 de la Loi organique 3/2018, relative à la protection des données à caractère personnel et à la garantie des droits numériques, de l’article 5.e de la Loi 32/2010 de l’Autorité et de l’article 15.1.e du Décret 48/2003. Elle est signée à Barcelone, le 14 octobre 2026, par la directrice Meritxell Borràs Solé. Elle est structurée en six chapitres, une disposition additionnelle, une transitoire, une abrogatoire, une finale et une annexe qui précise le panneau d’information.

Le texte remplace l’Instruction 1/2009, en vigueur depuis dix-sept ans, et l’adapte au Règlement (UE) 2016/679 (RGPD), à la Loi organique 7/2021 et à la Loi 5/2014 sur la sécurité privée. Durant le traitement, le Règlement (UE) 2024/1689 sur l’intelligence artificielle a été approuvé, et la circulaire l’incorpore. Le projet a fait l’objet d’une consultation publique préalable et d’une information publique, avec des rapports du Département de l’Intérieur et de la Sécurité Publique, de l’Institut Catalan des Femmes, du Conseil Consultatif de Protection des Données de Catalogne et de la Commission Juridique Consultative.

Champ d’application : administrations, organismes locaux et entités liées

La circulaire s’applique aux traitements de vidéosurveillance des institutions publiques de Catalogne, l’Administration de la Generalitat, les organismes locaux, les entités autonomes et consortiums, les universités publiques et privées du système universitaire catalan et les corporations de droit public qui agissent exclusivement en Catalogne. Elle oblige également les entités de droit privé lorsque le capital, les revenus ou les organes directeurs dépendent majoritairement de ces organismes publics, ainsi que celles qui prestent des services publics sous toute forme de gestion.

Sont exclues de son champ d’application la vidéosurveillance dans le domaine de la sécurité privée, les images domestiques, les caméras factices, les captations à des fins exclusivement journalistiques et les caméras d’aide à la conduite qui n’enregistrent pas. Pour la Police de la Generalitat - Mossos d’Esquadra et les polices locales, la circulaire s’applique à titre supplétif par rapport à leur réglementation spécifique.

Interdictions : vestiaires, réfectoires, salles de classe et reconnaissance faciale

Le texte déclare illégitime la captation d’images ou de voix dans divers espaces :

• Bains et vestiaires, et lieux de repos ou de détente des travailleurs, tels que les réfectoires et les salles de loisirs.
• Chambres de résidences, auberges, hôtels et établissements similaires.
• Chambres de centres de soins, sauf s’il est nécessaire de protéger un intérêt vital.
• L’intérieur des salles de classe, gymnases ou espaces de loisirs des élèves, sauf intérêt supérieur justifiant le contraire.
• La voie publique, excepté pour les forces et corps de sécurité, les entreprises de sécurité privée, la captation incidente pour surveiller un bâtiment ou la protection d’infrastructures stratégiques.

Il est également considéré comme inapproprié d’utiliser des caméras dans le milieu professionnel dans le but exclusif de contrôler le rendement de manière continue, et de traiter de manière généralisée des images avec des techniques de reconnaissance faciale ou d’analyse biométrique. L’image n’est pas une donnée biométrique en soi, mais elle le devient lorsqu’un traitement technique spécifique permet l’identification univoque. L’enregistrement de la voix n’est admis qu’à titre exceptionnel, lorsqu’il ne s’agit pas de conversations strictement privées et que la finalité ne peut être atteinte uniquement avec l’image.

Un mois de conservation et panneaux jaunes obligatoires

Les enregistrements doivent être supprimés dans un délai maximum d’un mois après la captation, sauf s’il est nécessaire de prouver des actes contre l’intégrité de personnes, de biens ou d’installations, d’engager des responsabilités ou de répondre à des demandes d’accès ou de limitation. S’il existe des indices d’un fait grave, les images doivent être mises à la disposition des autorités compétentes dans un maximum de soixante-douze heures.

Les panneaux d’information passent à un contenu et un design réglementés dans l’annexe :

• Fond jaune, forme rectangulaire et dimensions standard d’environ 21 centimètres de base sur 29,7 de hauteur.
• L’indication « ZONA VIDEOVIGILADA » et le texte « PROTECCIÓ de DADES ».
• Un pictogramme de caméra à l’intérieur d’un rectangle blanc, qui doit refléter la captation de la voix lorsqu’elle existe.
• Identification du responsable, référence aux droits d’accès, de rectification, de limitation, de suppression et d’opposition, et un code QR ou une adresse web pour obtenir plus d’informations.

Les panneaux doivent être installés avant de commencer la captation et, dans les espaces ouverts, à moins de cinquante mètres de la limite extérieure de la zone surveillée. Ceux existants qui sont conformes à l’Instrucció 1/2009 peuvent être maintenus jusqu’à ce qu’ils doivent être remplacés lors de l’entretien ordinaire.

Mémoire préalable, évaluation d’impact et droits

Avant de mettre en œuvre un système, il convient d’élaborer un mémoire avec la justification de la licéité, la finalité, l’emplacement et le champ de vision des caméras, les caractéristiques techniques et les mesures de sécurité. Lorsque la vidéosurveillance implique une observation systématique à grande échelle ou un risque élevé, l’évaluation d’impact remplace ce mémoire et, si le risque persiste, il convient de consulter préalablement l’Autorité.

Pour exercer ses droits, la personne doit indiquer le lieu, la date et l’heure approximative par tranches ne dépassant pas deux heures et fournir une image d’elle-même correspondant à la période. Si l’image ne permet pas de l’identifier, elle dispose de dix jours ouvrables pour y remédier ; le délégué à la protection des données doit répondre dans un délai de deux mois et, en l’absence de réponse, une réclamation peut être déposée auprès de l’Autoritat Catalana de Protecció de Dades.

La disposition additionnelle soumet les systèmes dotés d’intelligence artificielle au Règlement (UE) 2024/1689, en particulier aux pratiques interdites de l’article 5.1 et aux obligations concernant l’identification biométrique à distance en temps réel et a posteriori dans les espaces accessibles au public.

La norme arrive alors que la vidéosurveillance est déjà massive dans les rues, les transports et les équipements, et elle le fait avec un critère commun pour tous ceux qui sont soumis à l’Autorité. Pour les citoyens, le changement le plus visible sera la normalisation des panneaux et la possibilité de demander l’accès aux images via une procédure concrète ; pour les administrations, l’obligation de documenter chaque système et de justifier pourquoi la caméra est indispensable.

Fuente: Diari Oficial de la Generalitat de Catalunya, núm. 9775, 19 d’octubre de 2026, Altres disposicions, pàg. 1-17 (referència oficial: CVE-DOGC-A-26287083-2026).