Vidéosurveillance et RGPD : ce que dit la loi
Installer des caméras dans un commerce, un entrepôt ou un bureau n’est pas anodin. La vidéosurveillance traite des données personnelles (images de personnes identifiables) et tombe donc sous le RGPD (Règlement Général sur la Protection des Données) et la loi Informatique et Libertés.
La CNIL est claire : toute installation de vidéosurveillance dans un lieu accueillant du public ou filmant des employés doit respecter un cadre strict. Les sanctions peuvent aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires (article 83 du RGPD).
En pratique, la CNIL a déjà sanctionné des commerçants pour des caméras mal positionnées ou un affichage manquant. En 2023, une mise en demeure a visé une enseigne du Sud de la France pour absence d’information des clients (source : CNIL).
Les 6 obligations à respecter
1. Définir une finalité précise
Vous devez justifier pourquoi vous installez des caméras. Les finalités acceptées par la CNIL :
- Sécurité des biens et des personnes
- Prévention des vols et dégradations
- Protection contre les agressions
Ce qui est interdit : surveiller la productivité des employés, filmer en continu un poste de travail, placer une caméra dans les vestiaires, toilettes ou salles de pause.
2. Informer les personnes filmées
C’est l’obligation la plus souvent négligée. Vous devez afficher un panneau visible à l’entrée de la zone filmée contenant :
- Un pictogramme de caméra
- L’identité du responsable du traitement (votre entreprise)
- La finalité du traitement (« sécurité des biens et des personnes »)
- La durée de conservation des images
- Les droits des personnes (accès, effacement)
- Un contact pour exercer ces droits (email ou adresse)
Un simple autocollant « Souriez, vous êtes filmé » ne suffit pas. La CNIL a publié un modèle d’affiche conforme.
3. Limiter la durée de conservation
Les images ne peuvent pas être stockées indéfiniment. La CNIL recommande :
- Maximum 30 jours dans la plupart des cas
- 72 heures suffisent pour la majorité des commerces
- Au-delà de 30 jours : justification spécifique obligatoire
Votre enregistreur (NVR ou DVR) doit être configuré pour écraser automatiquement les images les plus anciennes. Pas de suppression manuelle « quand on y pense ».
4. Limiter l’accès aux images
Seules les personnes habilitées doivent pouvoir visionner les enregistrements :
- Le dirigeant de l’entreprise
- Le responsable sécurité désigné
- Les forces de l’ordre sur réquisition judiciaire
L’accès à l’application de visionnage doit être protégé par mot de passe individuel. Pas de compte partagé « admin/admin » sur votre NVR (une erreur fréquente).
5. Ne pas filmer n’importe où
Le positionnement des caméras est encadré :
- Autorisé : entrées/sorties, caisses, zones de stockage, parking privé
- Interdit : toilettes, vestiaires, salles de pause, poste de travail en continu
- Attention : la voie publique ne peut être filmée que par les autorités. Si votre caméra capte le trottoir, elle doit être masquée sur cette zone (masque de confidentialité)
Les caméras professionnelles (Hikvision, Dahua) intègrent nativement des masques de confidentialité paramétrables : zones noires qui cachent les parties interdites du champ de vision.
6. Tenir un registre des traitements
Le RGPD impose de documenter votre système de vidéosurveillance dans un registre des traitements (article 30). Ce registre doit contenir :
- Les finalités du traitement
- Les catégories de données (images, métadonnées)
- Les destinataires (qui a accès)
- La durée de conservation
- Les mesures de sécurité (chiffrement, accès restreint)
Pas besoin de déclarer à la CNIL depuis le RGPD (2018), mais le registre doit être disponible en cas de contrôle.
Lieu public vs lieu privé : quelle autorisation ?
La distinction est importante :
- Lieu privé non ouvert au public (entrepôt, bureau fermé) : pas d’autorisation préfectorale, RGPD uniquement
- Lieu ouvert au public (commerce, restaurant, hôtel) : autorisation préfectorale obligatoire en plus du RGPD. Demande à déposer en préfecture du Var (formulaire Cerfa n°13806*03)
L’autorisation préfectorale est valable 5 ans et doit être renouvelée. Sans elle, votre installation est illégale, même si les caméras sont bien positionnées.
Les sanctions en cas de non-conformité
- CNIL : mise en demeure, puis amende jusqu’à 20 M€ ou 4 % du CA
- Code pénal : filmer des personnes dans un lieu privé sans consentement = jusqu’à 1 an d’emprisonnement et 45 000 € d’amende (article 226-1)
- Préfecture : fermeture administrative possible pour un ERP non conforme
En pratique, les PME reçoivent d’abord un avertissement ou une mise en demeure. Mais les contrôles existent, notamment sur signalement de clients ou d’employés.
Checklist conformité vidéosurveillance RGPD
- ☐ Finalité du système documentée et légitime
- ☐ Panneau d’information complet affiché à l’entrée
- ☐ Durée de conservation définie (≤ 30 jours)
- ☐ Suppression automatique configurée sur le NVR
- ☐ Accès aux images restreint et protégé par mot de passe
- ☐ Masques de confidentialité sur les zones interdites
- ☐ Registre des traitements à jour
- ☐ Autorisation préfectorale obtenue (si lieu ouvert au public)
- ☐ Pas de caméra dans les zones interdites (toilettes, vestiaires)
- ☐ Employés informés par écrit (avenant au contrat ou note de service)
Installation conforme dans le Var
HiTek Services installe des systèmes de vidéosurveillance conformes RGPD à Toulon, Hyères, La Garde, La Seyne-sur-Mer et dans tout le Var (83). On configure les masques de confidentialité, la durée de conservation, et on vous fournit le panneau d’affichage conforme CNIL.
Contactez-nous pour un audit de conformité gratuit de votre installation — intervention sous 24/48h.
Découvrez aussi nos services d’alarme et vidéosurveillance, de cybersécurité entreprise et de formation en sécurité informatique dans le Var.