Le RGPD dispose que les données à caractère personnel doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Pour ce qui est de la vidéosurveillance, la CNPD estime que les images peuvent être conservées en principe jusqu’à 8 jours.
Le responsable du traitement peut exceptionnellement conserver les images pour une durée de 30 jours. Toutefois, il y a lieu d’indiquer les raisons qui justifient une telle durée de conservation dans le registre des traitements.
Une durée de conservation supérieure à 30 jours est généralement considérée comme étant disproportionnée[1].
En cas d’incident ou d’infraction, les images peuvent être conservées au-delà des délais susmentionnés, dans le cadre de la transmission des données aux autorités judiciaires compétentes et aux autorités répressives compétentes pour constater ou pour poursuivre des infractions pénales.
Pour finir, le responsable du traitement doit veiller à ce que les images soient détruites après l’écoulement du délai de conservation. La mise en place d’un effacement automatique est recommandée par la CNPD.
-------------------------------------------------------------------------------------
[1] cf. la décision 14FR/2021 du 12 mai 2021 de la formation restreinte de la Commission nationale pour la protection des données, point 38.