Bonne nouvelle pour les exploitants d’écrans : en matière de RGPD, l’affichage dynamique pose rarement problème à l’écran. Un menu, des prix ou une vidéo de marque ne contiennent aucune donnée personnelle. Le sujet protection des données en affichage dynamique se joue ailleurs : dans le logiciel qui pilote votre réseau. Comptes utilisateurs, journaux de diffusion, médias téléversés, hébergement des données… c’est là que naissent les risques. Autrement dit, votre conformité dépend d’abord du choix de votre logiciel d’affichage dynamique et de la façon dont vous le gouvernez. Ce guide vous aide à trancher trois questions. Vos écrans traitent-ils des données personnelles ? Quels critères exiger de votre éditeur ? Quelles actions mener pour sécuriser votre réseau d’écrans dans la durée ?
Le RGPD s’applique-t-il à votre affichage dynamique ?
Le RGPD s’applique à votre affichage dynamique dès qu’une personne peut être identifiée à partir de ce que montre l’écran ou de ce que stocke le logiciel. Ce double test est essentiel. Un écran « neutre » peut cacher un traitement de données dans son back-office.
Les écrans qui ne traitent aucune donnée personnelle
La majorité des contenus diffusés entrent dans cette catégorie. Prix, promotions, menus, horaires d’ouverture, météo, actualités ou vidéos produits ne visent personne. Pour ces usages, l’écran lui-même ne déclenche aucune obligation.
Le CMS d’affichage dynamique, lui, traite toujours un minimum de données. Il connaît les identifiants de vos collaborateurs, leurs adresses e-mail et l’historique de leurs actions. Ces données relèvent du RGPD, quel que soit le contenu affiché.
Les cas où le RGPD s’applique pleinement
Dès qu’un nom, un visage ou une information liée à une personne apparaît, vous traitez des données personnelles. C’est le cas d’un trombinoscope, d’un planning nominatif ou d’un écran d’accueil qui salue un visiteur par son nom. Le tableau suivant résume les situations les plus fréquentes.
| Contenu affiché ou traité | Données personnelles ? | Obligation clé |
|---|---|---|
| Prix, menus, promotions, météo | Non | Aucune pour l’écran |
| Indicateurs d’activité agrégés (KPI d’équipe) | Généralement non | Vérifier que rien n’est individuel |
| Trombinoscope, anniversaires, « employé du mois » | Oui | Informer les salariés, base légale documentée |
| Planning ou tableau de service nominatif | Oui | Limiter aux prénoms ou initiales si possible |
| Accueil visiteurs avec nom et société | Oui | Durée d’affichage courte, suppression rapide |
| Appel des patients en salle d’attente | Oui, contexte de santé | Privilégier un numéro de ticket |
| Caméra de mesure d’audience (âge, genre, attention) | Oui, risque élevé | Analyse d’impact quasi certaine |
Pour l’affichage dynamique en salles d’attente, l’appel par numéro règle l’essentiel du problème : l’information reste utile, mais plus personne n’est identifiable. Une règle simple guide toutes les autres : n’affichez que ce que l’écran doit vraiment montrer.
Logiciel d’affichage dynamique conforme RGPD : les 6 critères à vérifier
Un logiciel d’affichage dynamique conforme au RGPD se reconnaît à six critères vérifiables avant la signature. Chacun réduit un risque précis. Pour chaque critère, nous indiquons la réponse de Proxiscreen.
1. Hébergement et localisation des données
Demandez où tournent la plateforme et ses sauvegardes. Un hébergement dans l’Union européenne évite la question des transferts vers des pays tiers et leurs garanties spécifiques. Un hébergement en France simplifie encore votre dossier. Le choix entre gestion d’écrans connectés en cloud ou en local joue aussi sur la répartition des responsabilités.
Proxiscreen est hébergé chez o2switch, un hébergeur français qui exploite ses propres datacenters à Clermont-Ferrand.
2. Contrat de sous-traitance et sous-traitants ultérieurs
Exigez le DPA avant l’achat. Vérifiez qu’il liste les sous-traitants ultérieurs (hébergeur, outil d’e-mailing, support) et leur pays. Un éditeur qui tarde à l’envoyer vous renseigne déjà sur sa maturité. Proxiscreen fournit un DPA à ses clients.
3. Comptes nominatifs, rôles et authentification à deux facteurs
C’est le critère le plus souvent négligé. Un identifiant partagé entre le marketing, trois responsables de site et une agence ne permet ni traçabilité ni révocation. Or l’article 32 du RGPD impose des mesures de sécurité adaptées au risque.
Le risque n’a rien de théorique. Dans près de 80 % des violations de grande ampleur de 2024 et 2025, l’intrusion venait d’un compte protégé par un simple mot de passe, selon la Banque des Territoires, 2026, d’après le rapport de la CNIL.
Sur un réseau multi-sites, chaque utilisateur doit donc avoir son compte, limité à ses écrans et à ses droits. C’est la condition d’une diffusion multi-écrans maîtrisée. Proxiscreen propose des comptes multi-utilisateurs avec rôles et l’authentification à deux facteurs.
4. Sécurité des players et chiffrement des échanges
Chaque player vissé derrière un écran est un ordinateur connecté. Un bon logiciel de gestion de parc d’écrans chiffre les échanges entre le serveur et les players. Il permet aussi de retirer à distance un écran volé ou mis au rebut. Chez Proxiscreen, les flux entre players et plateforme sont chiffrés.
La cybersécurité pèse lourd dans les contrôles. Près de 30 % des sanctions prononcées en 2025 concernaient des manquements en matière de cybersécurité (selon la CNIL, 2026).
5. Journaux, captures d’écran et durées de conservation
Les journaux de connexion, les preuves de diffusion et les captures d’écran à distance sont utiles. Ils deviennent des données personnelles dès qu’ils renvoient à une personne identifiable. Demandez combien de temps ils sont conservés et faites inscrire ces durées par écrit.
Autre point à vérifier : la présence d’une caméra ou d’un module d’analyse d’audience. Proxiscreen n’en intègre aucun. Votre réseau reste ainsi hors du champ des traitements à risque élevé décrits plus haut.
6. Réversibilité : export et suppression des données
Un contrat se termine un jour. Vous devez pouvoir récupérer vos contenus, puis obtenir la suppression de vos données dans un délai connu. Proxiscreen permet l’export et la suppression des données à la résiliation.
Responsable de traitement ou sous-traitant : qui fait quoi dans votre réseau ?
Dans un projet d’affichage dynamique, l’entreprise qui exploite les écrans est responsable de traitement, et l’éditeur du logiciel agit comme sous-traitant. Cette répartition fixe qui répond de quoi en cas de contrôle ou d’incident.
En tant que responsable de traitement, vous décidez des finalités : quoi afficher, à qui, pendant combien de temps. Vous devez inscrire ces traitements dans votre registre et informer les personnes concernées. Si vous avez désigné un délégué à la protection des données (DPO), associez-le dès le cadrage du projet.
L’éditeur, lui, héberge et traite les données sur vos instructions. L’article 28 du RGPD impose un contrat écrit entre vous : le contrat de sous-traitance, ou DPA (Data Processing Agreement). Il précise les mesures de sécurité, la localisation des données, les sous-traitants ultérieurs et le sort des données en fin de contrat. Signez-le avant le déploiement, pas après le premier audit.
Ce contrat n’a rien d’une formalité. 6 167 violations de données ont été notifiées à la CNIL en 2025, soit 9,5 % de plus qu’en 2024, selon la CNIL, 2026. L’autorité souligne que ces violations impliquent souvent des prestataires.
Un intégrateur ou une agence intervient aussi sur vos écrans ? Précisez son rôle par écrit. S’il accède au logiciel, il devient lui aussi sous-traitant et doit figurer dans la chaîne contractuelle.
Caméras et mesure d’audience : ce que disent la CNIL et l’AI Act
Coupler un écran à une caméra qui analyse le public transforme un projet de communication en traitement à risque élevé. La mesure d’audience par caméra figure parmi les tendances de l’affichage dynamique les plus promues. C’est aussi la plus encadrée.
La position de la CNIL sur les caméras « augmentées »
La CNIL a publié en 2022 sa position sur les caméras dites « augmentées ». Elle vise les dispositifs qui analysent automatiquement les images pour déduire des informations sur les personnes. Les commerces font partie des lieux cités.
Son constat est net : ces caméras limitent fréquemment les droits des personnes filmées. Exercer son droit d’opposition face à une caméra qui estime votre âge en une seconde reste théorique. Un tel dispositif exige donc une base légale solide, une information visible et, presque toujours, une analyse d’impact.
Les contrôles portent aussi sur les écrans internes. 16 organismes ont été sanctionnés en 2025 pour non-respect des règles de vidéosurveillance des salariés, selon la CNIL. Pour tout dispositif capable de contrôler l’activité des salariés, le CSE doit être informé et consulté au préalable (article L2312-38 du Code du travail).
AI Act et AIPD : ce qui est interdit, ce qui est encadré
Depuis le 2 février 2025, l’article 5 du règlement européen sur l’IA interdit la reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement. Seules des raisons médicales ou de sécurité font exception. Un écran de salle de pause qui mesure l’humeur des équipes est donc illégal, consentement ou non.
Hors de ces cas interdits, l’article 35 du RGPD impose une analyse d’impact (AIPD) lorsque le traitement présente un risque élevé. La surveillance systématique d’un lieu ouvert au public en fait partie. Notre conseil : traitez toute caméra comme un projet distinct, avec son propre budget de conformité.
Checklist RGPD pour sécuriser votre réseau d’écrans
Ces 5 étapes permettent la mise en conformité RGPD d’un réseau d’affichage dynamique. Chaque lettre correspond à une action concrète, réalisable sans cabinet spécialisé pour un réseau standard.
- Évaluer les données. Recensez ce que vos écrans affichent et ce que votre logiciel stocke : médias, fichiers importés, comptes, journaux. Classez chaque usage avec le tableau de la première partie. Supprimez les colonnes inutiles avant tout import : un classement commercial n’a pas besoin des adresses e-mail.
- Contractualiser. Signez le DPA avec votre éditeur et, le cas échéant, avec votre intégrateur. Inscrivez le traitement dans votre registre. Pour les écrans internes affichant des données de salariés, informez le personnel et consultez le CSE si un contrôle d’activité est possible.
- Restreindre les accès. Un compte par personne, des droits limités à ses écrans, l’authentification à deux facteurs activée. Révoquez les accès le jour du départ d’un collaborateur ou de la fin d’une mission d’agence.
- Archiver puis purger. Fixez une durée de conservation pour chaque type de donnée. Un média montrant une personne disparaît à la fin de la campagne. Une capture d’écran prise pour un diagnostic est supprimée ensuite. Planifiez une revue de la bibliothèque tous les six mois.
- Notifier et documenter. Préparez votre procédure de violation de données : l’article 33 du RGPD impose de notifier la CNIL dans les 72 heures. Conservez la trace de vos décisions, contrats et revues : c’est la preuve de votre conformité.
Cette checklist RGPD affichage dynamique tient sur une page. Elle se rejoue à chaque nouvel usage : ouverture de site, nouvel écran d’accueil ou intégration d’une source de données.
Les 10 questions à poser à votre éditeur avant de signer
Dix questions suffisent pour évaluer en un échange la maturité RGPD d’un éditeur d’affichage dynamique. Envoyez-les par e-mail et comparez les réponses écrites.
- Dans quel pays la plateforme et ses sauvegardes sont-elles hébergées ?
- Quels sont vos sous-traitants ultérieurs, et dans quels pays opèrent-ils ?
- Pouvez-vous nous transmettre votre contrat de sous-traitance (DPA) avant l’achat ?
- Chaque utilisateur dispose-t-il de son propre compte, avec des rôles paramétrables ?
- L’authentification à deux facteurs est-elle disponible ?
- Les échanges entre les players et la plateforme sont-ils chiffrés ?
- Combien de temps conservez-vous les journaux et les captures d’écran ?
- Votre solution intègre-t-elle une caméra ou un module d’analyse d’audience ?
- Sous quel délai nous alertez-vous en cas de violation de données ?
- Comment récupérons-nous nos données, et sous quel délai sont-elles supprimées à la résiliation ?
Ces questions complètent les critères fonctionnels et budgétaires détaillés dans notre guide pour choisir un logiciel de gestion d’écrans. Une réponse floue sur les questions 1, 3 ou 9 doit vous alerter.
Déployez un affichage dynamique conforme RGPD avec Proxiscreen
Choisir Proxiscreen, c’est piloter tout votre réseau d’écrans depuis une plateforme pensée pour la conformité. Vos données restent en France, chez o2switch. Chaque collaborateur dispose de son compte, de ses droits et de l’authentification à deux facteurs. Les échanges avec les players sont chiffrés, et aucune caméra ne vient alourdir votre dossier.
Vous gardez la main sur l’essentiel : diffuser le bon message, au bon endroit, sur un ou cent écrans. Le DPA est disponible pour chaque client. À la résiliation, vos données sont exportables puis supprimées.
Vous préparez un déploiement ou souhaitez auditer votre réseau actuel ? Découvrez notre logiciel d’affichage dynamique et demandez une démonstration. Nous répondrons à vos questions RGPD affichage dynamique, contrat de sous-traitance à l’appui.