Les caméras augmentées aux caisses automatiques sous haute surveillance

Les enseignes souhaitant déployer des caisses automatiques nouvelle génération, équipées d'une caméra, pour détecter les cas de fraude doivent respecter les obligations du Règlement général sur la protection des données (RGPD). C'est ce que rappelle la Commission nationale de l'informatique et des libertés, ce mardi 6 mai 2025.

Les données ne sont pas anonymes

Dans la grande majorité des cas, les données personnelles traitées par l'algorithme analysant les images de la caméra ne sont pas anonymes. En effet, explique l'autorité, même si les visages sont floutés ou masqués, les personnes sont "ré-identifiables", soit par l'intermédiaire du système vidéo, soit parce qu'une intervention sera réalisée auprès d'elles. Autrement dit, le RGPD doit être respecté.

Première obligation : sélectionner une base légale. L'intérêt légitime peut être mobilisé, d'après la Cnil, car ces enseignes souhaitent légitimement limiter la perte de revenus causée par les erreurs ou les vols aux caisses automatiques. Dans ce cadre, le dispositif doit être proportionné à l'objectif poursuivi et ne doit pas porter une atteinte disproportionnée aux droits des personnes.

Privilégier des solutions moins intrusives

La Commission recommande ainsi de privilégier par défaut des solutions moins intrusives, comme la pesée des articles scannés, le marquage RFID des produits, le contrôle aléatoire ou encore les tickets de sortie. Si elle préfère recourir aux caméras augmentées, l’enseigne devra alors documenter le fait que ces alternatives ne peuvent être mises en place ou ne sont pas suffisantes au regard de l’objectif, précise la Cnil.

Les enseignes doivent, par ailleurs, mettre en place des garanties fortes pour limiter les risques pour les personnes, parmi lesquelles restreindre le périmètre de captation au niveau des caisses, limiter la durée de captation, proposer une information claire ainsi que ne conserver aucune donnée à des fins de preuve ou pour créer une liste de personnes ayant fait l'objet d'un signalement.

Une expérimentation est la bienvenue

Pour la Cnil, la règle est claire : il faut mener une expérimentation pour vérifier que le cadre légal est bien respecté. Ce qui permet de mesurer les performances techniques du dispositif, de vérifier les résultats obtenus au regard des besoins opérationnels et des impacts sociétaux. Les services juridiques, opérationnels et commerciaux doivent être associés à ce test, préconise l'institution. Si elles ne respectent pas le RGPD, les enseignes risquent une amende pouvant aller jusqu'à 4% de leur chiffre d'affaires annuel mondial.

Sélectionné pour vous

Lyft déploie timidement ses premiers "taxis autonomes" avec May Mobility à Atlanta

Mitsubishi Electric rachète Nozomi Networks pour se renforcer dans la cybersécurité industrielle

Google Cloud assis sur une mine d'or grâce à l'IA