Enquête en coursCombien facture un télépilote pro en 2026 ? 5 min, anonymeParticiper →
Aéronote
Verticale

Dossier RGPD d'une mission de surveillance drone

Les quatre documents à produire avant une mission de surveillance par drone : fiche de qualification, registre, clauses de sous-traitance, mention d'information. Trame de chacun et test AIPD.

Par Ianis M.17 min de lecture

Notre dossier sur le cadre applicable à la surveillance par drone pour le privé se terminait sur une condition : si tu n'es pas prêt à documenter une base légale, à rédiger une note d'information et à parler à un DPO, cette verticale n'est pas pour toi.

Reste à savoir à quoi ressemblent ces documents. C'est l'objet de celui-ci. Tu y trouveras les quatre pièces à produire avant une mission de surveillance, la trame de chacune, et l'article du RGPD qui l'impose. Trois des quatre se réutilisent d'une mission à l'autre : l'essentiel de l'effort est sur la première.

D'abord : tu es sous-traitant, ou responsable ?

Tout le reste en découle, et c'est la question que la plupart des prestataires ne se posent jamais.

Le critère est unique : qui décide des finalités et des moyens du traitement (RGPD, articles 4.7 et 4.8). Le responsable de traitement décide pourquoi et comment les données sont traitées. Le sous-traitant traite pour le compte de ce responsable, dans le cadre d'une prestation.

Le test de rôle, trois questions de même sens : un seul NON suffit à te faire sortir du statut de sous-traitant.

QuestionOUINON
Le client définit-il ce qu'il veut surveiller et pourquoi ?sous-traitantresponsable
Le client fixe-t-il le périmètre et les créneaux de la mission ?sous-traitantresponsable
Pour cette mission, exécutes-tu ses instructions documentées, sans en fixer toi-même la finalité ?sous-traitantresponsable

Les trois questions portent sur le même objet, celui de l'article 4.7 (qui décide des finalités et des moyens), sur le même périmètre (la mission commandée, et elle seule) et dans le même sens : le OUI désigne le client comme décideur, donc te place en sous-traitant. Répondre NON à l'une d'elles, c'est dire que tu décides à sa place sur la mission. Cette homogénéité n'est pas un détail de présentation : c'est ce qui rend le test utilisable sans erreur.

Ce que ce test ne dit pas, volontairement : rien de ce que tu fais des images après la remise. Ce n'est pas un oubli, c'est le point qui fait dérailler la plupart des grilles de ce genre. Réutiliser une séquence pour ton portfolio ne te retire pas le statut de sous-traitant sur la mission, et tu restes donc tenu de réclamer à ton client l'annexe de sous-traitance du Document 3. Mais attention à la lecture inverse, qui est le vrai piège : cet usage n'est pas un simple traitement de plus à déclarer dans ton coin. Le tableau suivant dit à quelles conditions.

Les bascules, à traiter séparément : elles ne changent pas ton rôle sur la mission, mais elles ouvrent un traitement dont tu deviens responsable pour cet usage précis. Et ce basculement n'est pas une option qu'il suffirait de documenter : l'article 28.10 ne décrit pas une coexistence paisible, il tire les conséquences d'un manquement. Sa lettre est sans ambiguïté, « si, en violation du présent règlement, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement ». Le Comité européen le dit dans les mêmes termes au paragraphe 81 de ses lignes directrices 07/2020 : le sous-traitant qui commence à poursuivre ses propres finalités viole le règlement et s'expose à des sanctions.

UsageEffetCe qu'il faut avoir AVANT
Tu réutilises des images pour ta communication, ton entraînement, tes statistiquesresponsable pour cet usageautorisation écrite, préalable et spécifique du client
Tu conserves un enregistrement « au cas où », de ta propre initiativeresponsable pour cet usagemême exigence, sinon c'est un traitement sans instruction (art. 28.3 a)

Les trois conditions, telles que la CNIL les pose. L'autorisation du responsable de traitement initial doit être écrite (le format électronique suffit) ; elle doit être spécifique à cette réutilisation, une autorisation générale et par avance n'étant pas légale ; et le responsable doit avoir vérifié que la nouvelle finalité est compatible avec celle de la collecte d'origine. À quoi s'ajoute l'information des personnes filmées, qui incombe en principe au responsable initial.

Le sort matériel des fichiers en fin de prestation n'est pas un test de rôle : ne pas restituer ou effacer les images est un manquement à l'article 28.3 g, pas un changement de qualification.

Le cas nominal d'une mission de sécurisation de site est celui du sous-traitant : le client sait ce qu'il veut protéger, tu exécutes. Le piège est dans le second tableau : garder une séquence pour ton portfolio te fait basculer en responsable de traitement pour cet usage précis, avec toutes les obligations qui vont avec. Et ce n'est licite qu'avec l'autorisation écrite et spécifique du client, obtenue avant : sans elle, l'usage n'est pas seulement à documenter, il est irrégulier. La demande se fait au moment du devis, pas après le vol.

Sur les montages moins évidents, responsabilité conjointe ou chaîne de sous-traitance, les lignes directrices du Comité européen font autorité et donnent des exemples concrets par situation.

Document 1 : la fiche de qualification de la mission

Une page, remplie avant le devis. C'est elle qui décide si la mission est vendable.

MISSION : ................................  CLIENT : ................................
1. Finalité précise ....................................................................
   (« sécurisation du site X hors horaires ouvrés », pas « surveillance »)
2. Base légale retenue .................................................................
   (le plus souvent l'intérêt légitime du client, à confirmer au cas par cas)
3. Périmètre survolé ...................................................................
   Le client contrôle-t-il l'accès à ce périmètre ?              OUI / NON
   Toutes les personnes présentes sont-elles informables ?       OUI / NON
   Le survol évite-t-il les propriétés et voies alentour ?       OUI / NON
4. Données captées .....................................................................
   Personnes identifiables ?  OUI / NON     Plaques ?  OUI / NON     Son ?  OUI / NON
5. Conservation : durée .......... justifiée par ......................................
6. Destinataires des images ............................................................
7. Mon rôle :  sous-traitant / responsable / les deux (préciser pour quel usage)
8. Décision :  mission acceptée / à recadrer / refusée      Motif : ...................

Les trois sous-questions de la ligne 3 sont formulées dans le même sens : un seul NON suffit à disqualifier la mission en l'état. C'est volontaire, parce que c'est le point qui fait échouer le montage juridique le plus souvent, et parce qu'une trame dont les réponses n'ont pas toutes la même polarité finit par être remplie de travers.

Ce n'est pas une formalité administrative : c'est le document qui te permet de refuser proprement, en expliquant pourquoi.

Document 2 : ton entrée de registre

L'article 30 du RGPD impose un registre des activités de traitement. En tant que sous-traitant, ton registre ne décrit pas les finalités du client : il décrit les traitements que tu effectues pour son compte (article 30.2).

Ce que le texte impose, complété par la lecture qu'en donne la CNIL :

  • ton identité et tes coordonnées, celles de ton représentant le cas échéant, et celles de ton délégué à la protection des données si tu en as désigné un (article 30.2 a) ;
  • l'identité de chaque client responsable de traitement pour lequel tu interviens (article 30.2 a) ;
  • les catégories de traitements effectués pour chacun (article 30.2 b) ;
  • les transferts éventuels vers un pays tiers, avec les garanties associées (article 30.2 c) ;
  • une description générale de tes mesures de sécurité (article 30.2 d) ;
  • les sous-traitants auxquels tu recours toi-même. Cette dernière entrée ne figure pas dans le texte de l'article : c'est une recommandation de la CNIL, et elle est utile, parce qu'elle documente d'avance ce que l'article 28.3 d t'oblige à faire autoriser.

Ne compte pas sur la dispense des moins de 250 salariés. L'article 30.5 la retire dès que le traitement est non occasionnel, présente un risque pour les droits et libertés des personnes, ou porte sur des données sensibles au sens des articles 9 et 10. Une prestation de surveillance récurrente coche la première condition et le plus souvent la deuxième : la dispense tombe. La CNIL recommande d'ailleurs d'inscrire en cas de doute.

Une ligne par client suffit. Le registre entier d'un prestataire de trois personnes tient sur un tableur.

Document 3 : les huit clauses que ton contrat doit contenir

Si tu es sous-traitant, le contrat qui te lie au client doit prévoir huit points. Ils ne sont pas négociables : c'est l'article 28.3 du RGPD qui les énumère, de a à h.

Réf.Ce que le contrat doit prévoirVérifié
aTu ne traites que sur instruction documentée du client, transferts hors UE compris☐
bLes personnes autorisées à accéder aux images sont tenues à la confidentialité☐
cTu appliques les mesures de sécurité de l'article 32☐
dTu ne recrutes pas de sous-traitant ultérieur sans autorisation préalable du client☐
eTu aides le client à répondre aux demandes des personnes concernées☐
fTu l'aides à respecter ses obligations des articles 32 à 36, dont l'AIPD☐
gÀ la fin de la prestation, tu supprimes ou restitues les données, copies comprises☐
hTu mets à disposition les informations nécessaires et tu permets les audits☐

Le point g est celui qui se néglige le plus, et c'est le plus facile à tenir : une procédure d'effacement datée après remise du livrable, tracée dans ton registre. Le point d est celui qui piège les prestataires qui sous-traitent leur post-production ou stockent chez un tiers.

Concrètement, tu n'as pas besoin de rédiger un contrat : la plupart des clients structurés ont leur propre annexe de sous-traitance. Ton travail consiste à la lire avec cette grille et à réclamer ce qui manque. Si le client n'a rien, propose une annexe reprenant ces huit points, et fais-la relire.

Document 4 : la mention d'information

Notre article sur le cadre applicable classait déjà l'information des personnes parmi les obligations qui font échouer un montage. Elle relève de l'article 13 du RGPD et incombe au client, mais c'est toi qu'on regardera si rien n'est affiché le jour du vol. Prépare-la, fais-la valider, et conditionne le décollage à sa mise en place.

Deux supports, deux textes.

Panneau à l'entrée du site :

SITE SOUS SURVEILLANCE PAR DRONE
Responsable de traitement : [raison sociale du client]
Finalité : [sécurisation du site, levée de doute...]  Base légale : [à compléter]
Créneaux : [jours et horaires]      Conservation des images : [durée]
Vos droits : accès, rectification, effacement, limitation, opposition
             [+ portabilité UNIQUEMENT si la base légale est le consentement ou le contrat]
Contact du responsable de traitement, et de son DPO s'il en a désigné un : [coordonnées]
Vous avez le droit d'introduire une réclamation auprès de la CNIL.
Information complète : [URL de la notice, ou affichage à l'accueil]

La ligne des droits se compose, elle ne se recopie pas. Le droit à la portabilité de l'article 20 n'existe que si le traitement repose sur le consentement ou sur un contrat, et qu'il est automatisé. Or la base légale nominale d'une mission de sécurisation est l'intérêt légitime du client : dans ce cas de figure, qui est le plus fréquent, la portabilité ne s'applique pas et l'annoncer sur le panneau promet aux personnes filmées un droit qu'elles n'ont pas. L'article 13.2 b n'impose d'informer d'un droit que lorsque ce droit existe. Même logique pour le retrait du consentement, qui n'a de sens que si la base légale est le consentement.

Un panneau ne peut pas tout porter : c'est le premier niveau d'information, et il doit renvoyer à une notice complète accessible (une URL, un affichage à l'accueil, la note de service ci-dessous). C'est ce dispositif en deux temps qui satisfait l'article 13, pas le panneau seul.

Note de service pour les salariés du client, à diffuser avant la première mission : mêmes mentions, plus les modalités concrètes (qui pilote, comment sont stockées les images, qui peut y accéder). Sur un site avec du personnel, cette note conditionne la licéité de l'ensemble.

Le test qui décide si une AIPD est obligatoire

Il y a trois portes d'entrée, et elles ne se valent pas.

Porte 1, le texte lui-même. L'article 35.3 c du RGPD rend l'analyse d'impact obligatoire d'office pour « la surveillance systématique à grande échelle d'une zone accessible au public ». Attention à ne pas surinterpréter : un site industriel clos dont le client contrôle l'accès n'est pas une zone accessible au public. Cette porte se referme sur la plupart des missions nominales, et s'ouvre grand dès qu'on touche à un parking ouvert, à un abord de voirie ou à un site en libre accès.

Porte 2, la liste de la CNIL. Elle recense quatorze types d'opérations pour lesquelles une AIPD est requise, indépendamment de tout décompte. La consulter prend deux minutes et ne se remplace pas par un raisonnement.

Porte 3, la règle des deux critères. C'est la position de la CNIL, reprise des lignes directrices du groupe de travail « article 29 » (WP248 rev.01) : un traitement qui remplit au moins deux des neuf critères suivants est, dans la plupart des cas, présumé à risque élevé, donc soumis à AIPD. Ce n'est pas un couperet arithmétique : le WP248 rev.01 précise (p. 13) qu'un traitement ne remplissant qu'un seul critère peut requérir une analyse, et recommande de la mener en cas de doute.

☐ évaluation ou scoring ☐ décision automatisée à effet juridique ☐ surveillance systématique ☐ données sensibles ou à caractère hautement personnel ☐ données traitées à grande échelle ☐ croisement de données ☐ personnes vulnérables ☐ usage innovant ou application de nouvelles solutions technologiques ☐ exclusion du bénéfice d'un droit ou d'un contrat

Une mission de surveillance récurrente coche le critère de surveillance systématique par construction. Tout se joue donc sur un éventuel critère supplémentaire, et c'est là qu'il faut être honnête plutôt que rapide : selon la mission, ce sera le volume de données traité, la présence de personnes vulnérables, ou le caractère innovant du dispositif. Ce dernier point se discute et n'est tranché par aucun texte : le drone est une technologie récente appliquée à une finalité ancienne, et personne ne peut affirmer que la CNIL le qualifierait d'innovant dans l'absolu.

Ce qui compte, en pratique : si tu ne trouves pas de second critère, écris pourquoi, et ne t'en sers pas comme d'un feu vert. Un critère unique mais lourd, une surveillance systématique à grande échelle ou la présence de personnes vulnérables, suffit à justifier l'analyse, et le doute se tranche en la faisant. Une absence d'AIPD documentée se défend ; une absence d'AIPD par oubli, non.

Et quand elle est due, l'AIPD n'est pas ton document : elle est à la charge du responsable de traitement, donc du client. Mais l'article 28.3 f t'oblige à l'y aider, et dans les faits c'est toi qui détiens la moitié des informations techniques dont il a besoin (altitude, capteur, résolution au sol, zone couverte, stockage). Anticipe : une AIPD réclamée trois jours avant le vol fait glisser la mission.

La checklist avant décollage

Onze lignes, à passer une fois par mission, pas une fois par client.

  1. ☐ Fiche de qualification remplie et mission acceptée
  2. ☐ Rôle tranché : sous-traitant ou responsable, et pour quel usage
  3. ☐ Si tu comptes réutiliser des images (portfolio, entraînement, statistiques) : autorisation écrite, préalable et spécifique du client obtenue, sinon l'usage est irrégulier
  4. ☐ Annexe de sous-traitance signée, les huit points de l'article 28.3 vérifiés
  5. ☐ Entrée de registre créée ou mise à jour
  6. ☐ AIPD faite par le client, ou motif écrit de son absence
  7. ☐ Panneau en place à l'entrée du site, photo horodatée dans le dossier de mission
  8. ☐ Note de service diffusée aux salariés, accusé conservé
  9. ☐ Plan de vol validé avec le client et conforme au périmètre de la fiche de qualification
  10. ☐ Durée de conservation paramétrée, procédure d'effacement datée
  11. ☐ Droit de voler vérifié séparément : zones, hauteur, zones temporaires actives

La ligne 11 rappelle une chose qu'il vaut mieux ne pas confondre : le droit de voler et le droit de capter sont deux régimes distincts. Le premier se vérifie avec notre guide sur les zones réglementées et les ZRT, le second avec celui sur les ZICAD. Un dossier RGPD irréprochable ne rend pas un vol légal, et l'inverse est tout aussi vrai.

Ce que ce dossier ne fait pas

Il ne remplace pas un conseil juridique. Sur une mission sensible, périmètre ouvert, présence de tiers ou captation récurrente, le réflexe reste celui que décrivait notre article sur le cadre : faire valider le montage par le DPO du client.

Il ne couvre pas non plus le cas du prestataire qui deviendrait responsable de traitement à titre principal, par exemple en exploitant un service de surveillance pour son propre compte. Ce montage existe, il est plus lourd, et il sort du cadre de cet article.

Mon analyse

Ces quatre documents ont un coût réel la première fois. Ils ont aussi une valeur commerciale que la plupart des prestataires sous-estiment complètement.

Quand un responsable sécurité reçoit deux devis pour la même ronde, l'un moins cher et l'autre plus élevé mais accompagné d'une annexe de sous-traitance conforme, d'une mention d'information prête à afficher et d'une fiche de qualification signée, ce n'est plus le même achat. Le second lui épargne un aller-retour avec son DPO, et surtout il lui évite de porter seul une non-conformité. C'est le genre d'écart qui pèse souvent plus lourd que le prix quand il s'agit de reconduire une prestation.

Ma conviction, sur cette verticale, n'a pas changé : la compétence juridique y pèse plus lourd que la compétence de pilotage. La différence, c'est qu'elle se documente une fois et se réutilise ensuite. Un prestataire qui arrive avec son dossier prêt ne vend pas un vol, il vend une mission montée. Sur ce segment, c'est de loin le meilleur argument que j'aie vu fonctionner.

Sources