Correction Exercice 1 :

1. Faux. La vidéosurveillance des employés sur leur poste de travail est très encadrée et généralement interdite sauf cas exceptionnels et justifiés, dans le respect des libertés individuelles.
2. Vrai. L'information des personnes filmées est une obligation légale. Des panneaux clairs et visibles doivent être installés.
3. Faux. Les images de vidéosurveillance ne peuvent pas être conservées indéfiniment. Leur durée de conservation doit être proportionnée à l'objectif poursuivi et ne doit pas excéder un mois en règle générale, sauf procédure judiciaire.
4. Vrai. La Commission Nationale de l'Informatique et des Libertés (CNIL) est l'autorité de contrôle en France qui s'assure que les données personnelles (dont les images) sont utilisées dans le respect de la loi.

Correction Exercice 2 :

1. Le règlement européen qui encadre la protection des données personnelles est le RGPD (Règlement Général sur la Protection des Données).
2. Les systèmes de vidéosurveillance installés dans les lieux ouverts au public doivent être autorisés par la Préfecture.
3. Un système de contrôle d'accès permet de gérer et de restreindre l'accès à certaines zones.
4. Les personnes filmées ont un droit d'accès aux enregistrements les concernant.

Correction Exercice 3 :

1. Caméra de vidéosurveillance -> A. Permet de visualiser et enregistrer ce qui se passe dans une zone.
2. Lecteur de badge -> B. Autorise ou refuse l'entrée d'une personne à partir d'une identification.
3. Portail automatique -> C. Ouvre ou ferme physiquement un accès en fonction d'une commande.
4. Interphone vidéo -> D. Établit une communication audio-visuelle avant d'autoriser l'accès.

Correction Exercice 4 :

Le client dispose principalement des droits suivants, conformément au RGPD et à la loi Informatique et Libertés :

1. Droit d'accès : Il peut demander à voir les images sur lesquelles il apparaît.
2. Droit de rectification : Si les images le concernant sont inexactes ou incomplètes (bien que moins pertinent pour des images brutes), il peut demander leur rectification.
3. Droit à l'effacement (ou "droit à l'oubli") : Il peut demander l'effacement des images, à condition que leur conservation ne soit plus nécessaire pour le motif initial (ex: preuve d'un délit). Cependant, en cas d'incident, ce droit peut être limité.

Il a également un droit à l'information (signalétique visible) et un droit de déposer une plainte auprès de la CNIL en cas de non-respect de ses droits.

Correction Exercice 5 :

L'entreprise doit effectuer plusieurs démarches et respecter des limites strictes :

Démarches légales obligatoires :

1. Déclaration auprès de la Préfecture : Pour les caméras filmant des lieux ouverts au public (comme l'entrée de l'usine si elle est accessible au public ou aux visiteurs).
2. Information du personnel : Informer les employés et leurs représentants (CSE) de la mise en place du système, de ses finalités, de la durée de conservation des images, et des droits des personnes filmées.
3. Respect du RGPD : L'entreprise doit tenir un registre des activités de traitement (vidéosurveillance), désigner éventuellement un Délégué à la Protection des Données (DPO), et réaliser une analyse d'impact sur la protection des données (AIPD) si le système présente un risque élevé pour les droits et libertés des personnes.
4. Affichage : Placer des panonceaux clairs et visibles informant de la présence de caméras, des finalités et des droits.

Limites au projet de l'entreprise :

• Filmer les postes de travail des employés pour la productivité : C'est très limité, voire interdit. La vidéosurveillance ne peut pas être utilisée pour surveiller de manière constante la productivité des employés. Elle est généralement autorisée pour la sécurité des biens et des personnes, la lutte contre le vol ou la prévention des accidents. Filmer les employés sur leur poste de travail est une atteinte disproportionnée à leur vie privée et est rarement justifiable. Les zones de pause, vestiaires, toilettes sont strictement interdites.
• Finalité des caméras : Chaque caméra doit avoir une finalité précise et légitime (sécurité des biens, sécurité des personnes, prévention du vol). La "productivité" est rarement acceptée comme seule finalité.

L'entreprise doit donc revoir son projet, notamment concernant la surveillance des postes de travail, pour se conformer à la législation.

Correction Exercice 6 :

1. Technologie : Lecteurs de badges (RFID, NFC)
   • Avantage : Facilité d'utilisation, gestion centralisée des droits d'accès, traçabilité des entrées/sorties.
   • Inconvénient : Le badge peut être perdu, volé ou prêté, ce qui compromet la sécurité. Coût de remplacement des badges.
2. Technologie : Biométrie (empreinte digitale, reconnaissance faciale, iris)
   • Avantage : Sécurité élevée car l'identification est liée à la personne elle-même, impossible de perdre ou de prêter son "accès".
   • Inconvénient : Coût d'installation plus élevé, préoccupations concernant la protection des données biométriques (RGPD), acceptation sociale variable, et parfois problèmes de fiabilité (doigt sale, mauvaise lumière pour le visage).
3. Technologie : Claviers à codes (digicodes)
   • Avantage : Coût faible, pas de support physique à gérer (pas de badge), facile à changer de code.
   • Inconvénient : Le code peut être oublié, divulgué ou intercepté, faible niveau de sécurité pour les zones sensibles, pas de traçabilité individuelle des accès.

Correction Exercice 7 :

Implications légales et pratiques :

• Qualité des images : Si l'image est floue, elle peut ne pas être recevable comme preuve en justice, ce qui limite l'efficacité du système pour son objectif de prévention et de constatation des délits. Cela peut aussi entraîner des contestations si des droits sont remis en cause par ces images.
• Caméra débranchée et éclairage défaillant : Cela révèle un manquement aux obligations de maintenance et de bon fonctionnement du système. En cas de préjudice subi par un utilisateur (ex: vol), l'entreprise pourrait être tenue responsable pour faute de surveillance ou de moyens, car elle n'a pas mis en œuvre tous les moyens raisonnables pour assurer la sécurité. Elle ne respecte pas les conditions pour lesquelles l'autorisation préfectorale a été délivrée.
• Crédibilité : Ces défaillances nuisent à la crédibilité du système de sécurité et peuvent encourager d'autres actes de malveillance.

Mesures à prendre pour être en conformité et efficace :

1. Maintenance proactive : Mettre en place un programme de maintenance régulier et documenté pour vérifier le bon fonctionnement de toutes les caméras, enregistreurs, câblages et éclairages. Des tests réguliers sont indispensables.
2. Contrôle qualité des images : S'assurer que les caméras sont correctement réglées, propres et offrent une résolution suffisante pour l'identification. Remplacer les équipements défectueux.
3. Vérification des zones de couverture : S'assurer que toutes les zones sensibles sont bien couvertes par la vidéosurveillance, et que les angles morts sont minimisés.
4. Formation du personnel : Former le personnel de sécurité à la vérification quotidienne du bon fonctionnement du système et à la procédure à suivre en cas de défaillance.
5. Mise à jour de l'autorisation : Si le système est modifié (ajout de caméras, changement d'angle), vérifier si une nouvelle autorisation préfectorale est nécessaire.

Un système de vidéosurveillance n'est efficace que s'il est pleinement opérationnel et conforme à la législation.

Correction Exercice 8 :

L'installation d'un système de contrôle d'accès biométrique par reconnaissance faciale soulève des enjeux éthiques et des défis majeurs en matière de protection des données, notamment au regard du RGPD :

Enjeux éthiques :

• Atteinte à la vie privée : La reconnaissance faciale est une donnée biométrique unique et permanente. Son utilisation constante peut créer un sentiment de surveillance généralisée et une atteinte à la liberté individuelle des employés.
• Discrimination et biais : Les algorithmes de reconnaissance faciale peuvent parfois présenter des biais (selon l'origine ethnique, le genre), pouvant entraîner des difficultés d'accès injustes pour certaines personnes.
• Détournement d'usage : Risque que le système soit utilisé à d'autres fins que le simple contrôle d'accès (ex: suivi des déplacements, analyse de l'humeur), sans le consentement ou à l'insu des employés.

Défis liés à la protection des données (RGPD) :

• Données sensibles : Les données biométriques sont considérées comme des données sensibles par le RGPD. Leur traitement est en principe interdit, sauf exceptions très spécifiques (consentement explicite, motif d'intérêt public substantiel, etc.).
• Nécessité et proportionnalité : L'entreprise doit démontrer que ce système est strictement nécessaire et proportionné à l'objectif de sécurité. Existe-t-il des alternatives moins intrusives (badges, empreintes digitales) qui permettraient d'atteindre le même niveau de sécurité ?
• Consentement : Obtenir un consentement libre, spécifique, éclairé et univoque des employés est complexe, surtout dans un contexte de subordination où le consentement peut être jugé non libre.
• Sécurité des données : Comment les données faciales sont-elles stockées et sécurisées ? Le risque de fuite ou de piratage de ces données, irréversibles, est très élevé et pourrait avoir des conséquences désastreuses pour les individus concernés.
• Analyse d'impact sur la protection des données (AIPD) : Une AIPD est obligatoire pour un tel système, qui doit évaluer les risques et proposer des mesures pour les atténuer.

En pratique, la CNIL est très restrictive sur l'utilisation de la reconnaissance faciale pour le contrôle d'accès en entreprise, privilégiant des solutions moins intrusives et exigeant des garanties de sécurité et de respect des droits des personnes très élevées.