Rondes de surveillance : preuve de passage et traçabilité

Quand un client conteste une prestation, la première pièce demandée est l'historique des rondes. Encore faut-il savoir ce que cet historique prouve, ce qu'il ne prouve pas, et dans quelles conditions une autorité, un assureur ou un client le jugera crédible. Cet article pose les distinctions utiles, puis le cadre applicable aux données qu'une ronde produit.

Le vocabulaire des rondes mélange trois notions qu'il vaut mieux séparer, parce qu'elles n'engagent pas les mêmes responsabilités.

La preuve de passage établit qu'un agent, ou au moins son appareil, s'est trouvé à un endroit précis à un instant donné. C'est un fait ponctuel : le point « local technique, niveau -1 » a été validé à 02 h 14.

La traçabilité est plus large. Elle désigne la capacité de reconstituer, après coup, qui a fait quoi, où, quand, avec quel support, et si le résultat a été modifié depuis. Une preuve de passage isolée n'est qu'une ligne ; la traçabilité est l'ensemble cohérent de ces lignes, de leur ordre et de leur historique.

La preuve de contrôle, enfin, voudrait établir que l'agent a réellement observé quelque chose. Aucun support de validation ne l'établit à lui seul. Un identifiant lu en trois secondes ne dit rien de ce qui a été regardé. Promettre davantage que le passage horodaté, c'est exposer l'agence au premier litige.

Votre société de sécurité souhaite utiliser ShieldOne au quotidien ? Inscrivez-la : ShieldOne l'examine et vous appelle.

Un historique de rondes n'a de valeur que s'il résiste à la contradiction. Cinq propriétés font la différence entre un tableau décoratif et une pièce exploitable.

L'horodatage fiable. L'heure du geste doit être enregistrée au moment du geste, puis comparée à l'heure de réception par le serveur. Un téléphone dont l'horloge a été réglée à la main ne doit pas pouvoir réécrire la nuit ; l'écart entre les deux heures doit rester visible plutôt que corrigé en silence.

L'identification de l'auteur. Chaque validation est rattachée à une personne nommée, pas à un poste partagé ou à un compte commun. Sans cela, la preuve établit qu'un passage a eu lieu, pas qui en répond.

L'immuabilité apparente. Une validation ne s'efface pas et ne se réécrit pas. Si une correction est nécessaire, elle s'ajoute avec son auteur, sa date et son motif, et l'entrée d'origine reste lisible.

L'exhaustivité. Une ronde manquante doit apparaître comme manquante. Un historique qui ne montre que les rondes réussies ne prouve rien : c'est l'absence assumée qui donne sa valeur à la présence.

La cohérence. Les intervalles entre points doivent correspondre au temps de marche réel du site. Six validations en quarante secondes sont le signe d'un geste qui n'a pas accompagné un parcours, et un lecteur averti le verra sans outil particulier.

Le support de validation ne fait pas la preuve, mais il en limite la fragilité. Une puce NFC se lit à quelques centimètres, ne demande ni lumière ni surface propre, et résiste aux salissures ; elle suppose un téléphone compatible, ce qui se vérifie avant de poser deux cents plaques. Le comparatif détaillé des supports est traité dans l'article consacré au choix entre NFC et QR.

Une règle simple vaut pour tous les supports : le dispositif doit prévoir ses propres échecs. Une plaque arrachée, un téléphone déchargé ou une zone sans réseau ne doivent pas fabriquer une ronde « manquante » qui n'a jamais manqué. Le travail hors ligne avec synchronisation différée, et un repli par saisie manuelle du code assorti d'un motif, évitent que l'agent doive choisir entre l'exactitude et la complétude.

Ce repli a une contrepartie : une validation saisie à la main n'a pas la même force qu'un passage lu sur la plaque. Elle doit donc être marquée comme telle dans l'historique, pour que le lecteur sache ce qu'il regarde.

Une ronde produit des données sur une personne identifiable : un nom, des lieux, des heures, parfois une position. Ce sont des données personnelles au sens de la loi fédérale sur la protection des données (nLPD, RS 235.1, en vigueur depuis le 1er septembre 2023). L'agence en est le plus souvent responsable du traitement à l'égard de ses employés, et doit pouvoir justifier ce qu'elle collecte.

Trois idées, issues des principes généraux de la loi, guident la pratique. La proportionnalité : on collecte ce qui sert à établir le passage et à reconstituer la prestation, pas davantage. La transparence : l'agent sait ce qui est enregistré, dans quel but, et pendant combien de temps. La limitation de la durée : un historique de rondes se conserve le temps nécessaire à la prestation et aux éventuels litiges, puis il est supprimé ou anonymisé.

Le Préposé fédéral à la protection des données et à la transparence (PFPDT, edoeb.admin.ch) publie des explications pratiques, notamment sur la surveillance des travailleurs. La sécurité des données elle-même, c'est-à-dire l'accès restreint, la journalisation des consultations et la sauvegarde, relève du même cadre.

Cet article n'est pas un avis juridique. Le texte de la loi, les dispositions du concordat applicable à l'activité de surveillance et les règles du canton d'exercice restent la référence, et leur lecture à jour est à la charge de chaque agence.

Une preuve se prépare avant le litige, pas pendant. Une routine mensuelle d'une demi-heure suffit à garder un historique défendable.

Commencez par tirer au sort quelques rondes et vérifier de bout en bout qu'elles se reconstituent : auteur, heures, ordre des points, écarts entre l'heure du geste et celle de réception. Contrôlez ensuite que les rondes non effectuées figurent bien avec leur motif, et que les validations saisies à la main restent identifiables.

Relisez aussi la liste des personnes qui consultent les données de rondes. Chacune doit avoir une raison de le faire, et les accès d'anciens collaborateurs doivent être retirés. Vérifiez enfin que la durée de conservation annoncée est bien celle qui s'applique, et que les rondes arrivées à échéance sont effectivement traitées.

Ces quatre vérifications ne démontrent pas qu'un agent a regardé chaque porte. Elles démontrent autre chose, de plus solide pour un client ou un assureur : que l'agence sait ce que dit son historique, et qu'elle ne lui fait pas dire plus qu'il ne peut.

ShieldOne enregistre les rondes avec l'heure du geste et l'heure de réception, y compris hors ligne, et conserve les rondes non effectuées avec leur motif. Les sociétés de sécurité intéressées trouveront la présentation sur la page d'accueil du logiciel, destinée aux entreprises de sécurité.