Vidéosurveillance et RGPD : filmer ses locaux en règle

Installer des caméras pour protéger un entrepôt ou une caisse paraît banal. Pourtant, une image où une personne est reconnaissable est une donnée personnelle et le dispositif, un traitement soumis au RGPD. Les règles de vidéosurveillance RGPD dépendent d'abord d'une question : le lieu filmé est-il ouvert au public ? De la réponse découlent le texte applicable et la formalité préalable.

Deux régimes selon que le lieu est ouvert au public ou non

La CNIL distingue deux situations. Les caméras qui filment un lieu non ouvert au public (réserve, entrepôt, bureaux) relèvent de la vidéosurveillance, encadrée par le RGPD, sans formalité auprès de la CNIL. Celles qui filment un lieu ouvert au public (entrée d'un commerce, surface de vente, caisses) relèvent de la vidéoprotection, encadrée par le Code de la sécurité intérieure et soumise à une autorisation du préfet (préfet de police à Paris).

Un commerce cumule souvent les deux : surface de vente sous autorisation préfectorale, réserve sous le seul RGPD, qui s'applique aux images dans les deux cas. D'après la fiche de la CNIL sur la vidéoprotection, l'autorisation est délivrée après avis d'une commission départementale ; le guide CNIL sur les dispositifs vidéo ajoute qu'elle vaut cinq ans, renouvelable.

Que peut-on filmer dans une entreprise, et que ne peut-on pas filmer ?

L'employeur peut filmer les entrées et sorties, les issues de secours, les voies de circulation et les zones de stockage de biens de valeur. Il ne peut pas placer ses salariés sous surveillance constante : un poste de travail n'est filmé que dans des circonstances particulières, une caisse exposée aux vols par exemple, la caméra visant la caisse plutôt que le caissier. Source : page de la CNIL consacrée à la vidéosurveillance au travail.

Sont à exclure du champ des caméras :

• les postes de travail filmés en continu, hors circonstances particulières ;
• les zones de pause et de repos, les toilettes et, par la même logique d'intimité, les vestiaires ;
• les locaux syndicaux et ceux des représentants du personnel ;
• le son en continu, admis seulement s'il est déclenché par le salarié lors d'un événement tel qu'une agression ;
• la visualisation à distance pour commenter le travail.

Chaque caméra répond à un objectif légitime défini avant l'installation : sécurité des biens et des personnes, dissuasion, identification des auteurs de vols. La base légale est souvent l'intérêt légitime de l'employeur. La proportionnalité, que la CNIL rattache à l'article L1121-1 du Code du travail, sépare une vidéosurveillance RGPD conforme d'une surveillance excessive.

Comment informer les salariés et le public ?

L'information passe par des panneaux affichés en permanence, avec le pictogramme d'une caméra. Les salariés reçoivent en plus une information individuelle, par note de service ou avenant, avant la mise en service. Le comité social et économique est consulté avant la décision.

Mentions minimales des panneaux, selon la CNIL :

• les finalités du dispositif ;
• la durée de conservation des images ;
• le nom ou la qualité et le téléphone du responsable ou du DPO ;
• l'existence des droits Informatique et Libertés ;
• le droit d'introduire une réclamation auprès de la CNIL.

Les autres mentions prévues à l'article 13 du RGPD (base légale, destinataires) peuvent figurer sur un second niveau, par exemple en ligne. L'article L1222-4 du Code du travail interdit de collecter une information concernant personnellement un salarié par un dispositif non porté préalablement à sa connaissance. L'article L2312-38 impose, dans les entreprises d'au moins cinquante salariés, d'informer et de consulter le CSE avant toute décision de mise en œuvre de moyens de contrôle de l'activité des salariés. Sans ces trois niveaux, un dispositif de vidéosurveillance RGPD est irrégulier, même si les caméras sont bien placées.

Combien de temps conserver les images ?

La CNIL indique qu'en principe la durée de conservation des images n'excède pas un mois, et que quelques jours suffisent en général. Pour la vidéoprotection, la durée est inscrite dans l'arrêté préfectoral, dans la même limite d'un mois.

La durée se fixe d'après l'objectif, jamais d'après la seule capacité de l'enregistreur. En cas de procédure disciplinaire ou pénale, les images utiles sont extraites, l'opération consignée dans un cahier spécifique, et les extraits conservés pendant la procédure. L'enregistreur réglé sur sa capacité maximale est le défaut type d'une vidéosurveillance RGPD mal cadrée.

Registre, analyse d'impact et accès aux images

Le dispositif figure dans le registre des traitements, même sans formalité auprès de la CNIL. Une AIPD est obligatoire si les caméras conduisent à une surveillance systématique à grande échelle d'une zone accessible au public. Seules des personnes habilitées et formées accèdent aux images.

Le DPO, s'il existe, est associé dès la conception. L'accès à distance exige un mot de passe robuste et une connexion chiffrée ; un compte administrateur partagé empêche toute traçabilité.

La liste ci-dessous reprend les points qu'un contrôle de vidéosurveillance RGPD examine (sources : décision SAN-2024-021 et décision SAN-2025-008).

À retenir

• Lieu non ouvert au public : vidéosurveillance sous RGPD, sans formalité CNIL. Lieu ouvert au public : vidéoprotection sous autorisation préfectorale valable cinq ans.
• Caméras sur les accès, les circulations et les stocks ; jamais sur les postes de travail en continu, les zones de repos ou les locaux syndicaux.
• Trois niveaux d'information : panneaux, information individuelle, consultation du CSE à partir de cinquante salariés.
• Conservation justifiée par l'objectif, un mois au plus en principe ; accès nominatifs ; pas de son en continu.