Photos, vidéos et données salariés en audit QHSE : ce que la loi vous autorise vraiment

Quand vous réalisez un audit de sécurité, un diagnostic ergonomique ou l'analyse d'un poste de travail, vous repartez rarement les mains vides. Vous emportez des photos de postes, des vidéos de gestes répétitifs, des relevés de mesures, le registre des accidents du travail, parfois les fiches d'aptitude transmises par le médecin du travail. Vous ne le formulez probablement pas ainsi, mais vous venez de procéder à une collecte de données personnelles, et parfois de données particulièrement sensibles.

Le règlement général sur la protection des données (RGPD) qualifie de donnée personnelle toute information se rapportant à une personne physique identifiée ou identifiable. Une photo où un salarié est reconnaissable, une vidéo de son geste de travail, son nom dans un registre d'accidents : tout cela est concerné. Et dès lors qu'apparaissent des informations sur l'état de santé — une restriction médicale, une déclaration d'accident, une maladie professionnelle — vous touchez aux données sensibles de l'article 9 du RGPD, dont le traitement est par principe interdit, sauf exceptions strictement encadrées.

Beaucoup de consultants QHSE découvrent ce cadre le jour où un salarié, un représentant du personnel ou un CSE conteste l'usage d'une image. Mieux vaut l'anticiper.

La première question à clarifier sur chaque mission : qui décide des finalités et des moyens du traitement ? La réponse détermine votre statut RGPD et vos obligations.

Dans la grande majorité des missions QHSE, c'est votre client qui définit pourquoi les données sont collectées (améliorer sa prévention, se conformer à ses obligations). Vous agissez alors comme sous-traitant au sens de l'article 28 du RGPD : vous traitez les données pour le compte du responsable de traitement, qui est l'entreprise auditée.

Ce statut emporte une conséquence pratique trop souvent négligée : un contrat de sous-traitance écrit est obligatoire. Il doit préciser l'objet, la durée, la nature et la finalité du traitement, le type de données, et vos engagements (sécurité, confidentialité, suppression en fin de mission). En l'absence de ce contrat, c'est vous comme votre client qui êtes en infraction.

Dans certains cas — par exemple si vous constituez votre propre base de benchmark anonymisée à partir de plusieurs clients — vous pouvez devenir responsable de traitement pour cette finalité-là. Le statut peut donc varier au sein d'une même activité. À chaque mission, posez-vous la question.

C'est le point qui génère le plus de litiges concrets. Photographier ou filmer un salarié à son poste n'est pas anodin. Le droit à l'image, fondé sur l'article 9 du Code civil, impose en principe le consentement de la personne pour la captation et la diffusion de son image.

En contexte professionnel d'audit, plusieurs principes doivent guider votre pratique :

• Finalité strictement limitée : les images servent l'analyse de prévention, rien d'autre. Pas de réutilisation pour une plaquette commerciale, un site internet ou un exemple de formation sans accord explicite.
• Minimisation : ne captez que ce qui est nécessaire. Pour analyser un geste, le visage du salarié est rarement utile — cadrez sur les mains, le poste, l'outil.
• Floutage : dès que possible, anonymisez les visages et signes distinctifs dans vos livrables. Un rapport d'audit illustré de salariés reconnaissables est un risque inutile.
• Information : les personnes concernées doivent être informées de la captation, de sa finalité et de leurs droits. Le CSE est généralement à associer.

Une vidéo de geste prise pour une analyse ergonomique légitime peut devenir un contentieux si elle se retrouve, visage non flouté, dans une présentation diffusée largement.

Le réflexe à adopter : traiter chaque image comme une donnée à durée de vie limitée, dédiée à une seule finalité, et supprimée une fois la mission close.

Une fois les données collectées, elles vivent sur votre ordinateur portable, votre smartphone, votre cloud, vos sauvegardes. C'est là que se matérialise un risque très opérationnel : la fuite ou la perte de données.

Imaginez : votre ordinateur, contenant les registres d'accidents et les analyses de postes de trois clients industriels, est volé dans votre voiture. Ou un rançongiciel chiffre vos fichiers. Ou vous adressez par erreur le rapport d'un client à un autre. Dans chacun de ces cas, vous êtes face à une violation de données qui peut, si elle présente un risque pour les personnes, devoir être notifiée à la CNIL sous 72 heures et, dans certains cas, communiquée aux personnes concernées.

Les bonnes pratiques sont connues mais rarement toutes appliquées : chiffrement des disques, mots de passe robustes et authentification renforcée, séparation stricte des données par client, suppression en fin de mission, sauvegardes maîtrisées. Elles réduisent le risque sans l'annuler.

C'est pourquoi une assurance cyber a tout son sens pour un consultant QHSE : elle prend en charge l'assistance technique en cas d'incident, les frais de notification, la gestion de crise et les éventuelles réclamations de tiers consécutives à une atteinte aux données. Couplée à une RC Professionnelle couvrant vos manquements de conseil, elle ferme l'angle mort numérique de votre métier.

Collecter proprement ne suffit pas : encore faut-il savoir combien de temps vous conservez les données et comment vous gérez les demandes des personnes concernées. Deux obligations passent souvent à la trappe chez les consultants.

La durée de conservation limitée. Le RGPD interdit de garder des données au-delà de ce qui est nécessaire à la finalité. Concrètement, les photos et vidéos d'un audit n'ont pas vocation à dormir indéfiniment sur votre disque dur. Une fois le rapport remis et la mission close, la règle est la suppression — ou, si vous souhaitez conserver des éléments pour un usage statistique, leur anonymisation irréversible. Garder « au cas où » des images de salariés reconnaissables pendant des années est précisément le genre de pratique qui se retourne contre vous lors d'un contrôle ou d'une plainte.

Les droits des personnes. Un salarié photographié peut exercer ses droits : accès, rectification, effacement, opposition. Même si la demande transite généralement par votre client (responsable de traitement), vous devez être en mesure de répondre techniquement — retrouver les données concernant une personne, les supprimer, en attester. Un système où les fichiers sont éparpillés sans organisation rend cette obligation impossible à honorer.

La capacité à retrouver et supprimer rapidement les données d'une personne n'est pas un confort : c'est une obligation légale dont le manquement engage votre responsabilité.

Adoptez une organisation par mission, datée, avec une politique de purge claire. Cette discipline vous protège autant qu'elle protège les salariés que vous observez.

Pour transformer ces principes en réflexes, voici les points à verrouiller systématiquement avant de poser le pied sur un site client :

1. Statut clarifié : suis-je sous-traitant ou responsable de traitement pour cette mission ?
2. Contrat de sous-traitance signé : ai-je un accord écrit conforme à l'article 28 quand je suis sous-traitant ?
3. Finalités définies : pourquoi je collecte chaque type de donnée, et est-ce strictement nécessaire ?
4. Information des personnes : les salariés et le CSE sont-ils informés de la captation d'images ?
5. Sécurisation : mes supports sont-ils chiffrés et mes accès protégés ?
6. Durée et suppression : ai-je prévu la suppression des données en fin de mission ?

Cette discipline n'alourdit pas votre prestation : elle la professionnalise et vous distingue. Sur un métier qui touche à la sécurité et à la santé des personnes, la rigueur sur les données est un prolongement naturel de votre expertise.