Vidéosurveillance et RGPD : obligations d'affichage des pros

En bref : ce que le RGPD impose à l'entreprise qui filme

Une entreprise peut installer des caméras si elle poursuit un objectif légitime — la sécurité des biens et des personnes — et si le dispositif reste proportionné. Elle doit, avant la mise en service, consulter le CSE, informer chaque salarié, inscrire le dispositif à son registre des traitements, poser un panneau dans chaque zone filmée et limiter la conservation des images, en principe à un mois au plus.

Le double cadre juridique de la vidéosurveillance

Le Code de la sécurité intérieure (CSI)

Les articles L.251-1 à L.255-1 du CSI encadrent la vidéoprotection de la voie publique et des lieux ouverts au public (commerces, parkings, halls d'accueil) (article L.251-2). Toute installation doit être autorisée par le préfet après avis de la commission départementale de vidéoprotection (article L.252-1). L'information du public est précisée par l'article R.253-6 : affiches ou panonceaux comportant un pictogramme représentant une caméra.

Le RGPD et la loi Informatique et Libertés

Le règlement européen 2016/679 (RGPD) et la loi n°78-17 du 6 janvier 1978 modifiée s'appliquent dès lors que les images permettent d'identifier des personnes physiques. Les articles 12 à 14 du RGPD imposent une information transparente, intelligible et aisément accessible.

Les recommandations de la CNIL et du CEPD

La CNIL détaille ces règles dans sa fiche « La vidéosurveillance dans les commerces » (publiée en 2018 et signalée par la CNIL comme en cours de mise à jour). Au niveau européen, les lignes directrices 3/2019 du Comité européen de la protection des données (CEPD) sur les dispositifs vidéo recommandent une information en deux niveaux : un panneau qui donne l'essentiel, et une notice complète accessible sans entrer dans la zone filmée.

Les mentions obligatoires sur le panneau d'affichage

Premier niveau d'information (panneau visible)

Dans un lieu ouvert au public, l'article R.253-6 du CSI impose au minimum sur le panneau l'identité du responsable du système, les finalités du traitement et les droits des personnes, avec un pictogramme représentant une caméra ; les autres informations peuvent être données par un autre moyen. La CNIL recommande d'y faire figurer aussi la durée de conservation et le contact pour exercer ses droits. Un panneau complet comporte donc :

• Le pictogramme de vidéosurveillance — Une représentation claire d'une caméra, conforme aux usages (pas de norme spécifique, mais le pictogramme doit être immédiatement compréhensible).
• La finalité du traitement — « Sécurité des personnes et des biens », « Prévention des atteintes aux biens », « Protection des salariés », etc.
• L'identité du responsable de traitement — Nom de l'entreprise ou de l'organisme.
• La durée de conservation des images — Un mois au maximum pour un système autorisé par le préfet (article L.252-5) ; ailleurs, une durée limitée au strict nécessaire. Selon la CNIL, elle n'excède pas un mois en principe, et quelques jours suffisent souvent pour vérifier un incident.
• Les droits des personnes — Droit d'accès aux images les concernant, droit de réclamation auprès de la CNIL.
• Les coordonnées du contact — DPO (délégué à la protection des données) ou personne à contacter pour exercer ses droits.
• La base légale du traitement — Intérêt légitime (article 6.1.f du RGPD) pour la sécurité des biens et des personnes.

Second niveau d'information

Le panneau doit renvoyer vers une information détaillée accessible par :

• Un QR code — Renvoyant vers la politique de confidentialité en ligne.
• Une URL — Page dédiée sur le site web de l'entreprise.
• Un document disponible à l'accueil — Notice d'information détaillée.

Ce second niveau détaille : les catégories de données collectées, les destinataires des images, les transferts éventuels hors UE, la durée de conservation précise, les modalités d'exercice des droits (accès, effacement, limitation, opposition), le droit de réclamation auprès de la CNIL.

Emplacement et dimensionnement des panneaux

Le panneau doit être affiché en permanence et de façon visible dans les lieux filmés (CNIL). Le CEPD recommande de le placer de sorte que les personnes sachent qu'elles vont être filmées avant d'entrer dans la zone surveillée.

• Entrée du commerce ou de l'établissement — À hauteur des yeux (1 400 à 1 700 mm du sol), à côté ou au-dessus de la porte d'entrée.
• Parking — À chaque entrée véhicule et piétonne.
• Locaux intérieurs avec caméras — À l'entrée de chaque zone surveillée (entrepôt, atelier, salle des coffres).

Nos modèles de panneau vidéo surveillance signalent la présence de caméras. La fiche CNIL demande que le panneau porte, outre un pictogramme de caméra, les finalités du traitement, la durée de conservation des images, le nom ou la qualité et le numéro de téléphone du responsable ou du délégué à la protection des données, l'existence des droits « Informatique et Libertés » et le droit d'introduire une réclamation auprès de la CNIL, avec ses coordonnées. Les modèles standard existent en Vinyle adhésif, PVC rigide 3 mm et Aluminium Dibond 3 mm, du 75 × 50 au 600 × 400 mm selon le modèle, et en bandeau 250 × 100 ou 500 × 200 mm. Pour imprimer vos propres mentions (responsable, contact, finalité, durée) : panneau vidéosurveillance RGPD personnalisé ; avec votre logo, en A4, A3 ou A2 : affichette vidéoprotection RGPD personnalisée.

Pour une simple alarme, sans caméra, aucune mention n'est obligatoire : un sticker alarme suffit à signaler la protection.

Ce qu'il faut selon le lieu filmé

Lieu	Autorisation	Affichage	À retenir
Commerce, établissement ou parking ouvert au public	Autorisation du préfet (L.252-1)	Panneau à chaque entrée, mentions de l'article R.253-6	Images conservées un mois au maximum (L.252-5)
Bureaux, atelier, entrepôt non ouverts au public	Pas d'autorisation préfectorale : le RGPD s'applique	Panneau dans les zones filmées et information individuelle des salariés	CSE informé et consulté avant la mise en service
Parties communes d'une copropriété	Décision de l'assemblée générale	Panneau à chaque entrée et dans les parkings filmés	Le panneau peut porter le nom de la copropriété
Abords d'un commerce sur la voie publique	Information du maire et autorisation (L.251-2)	Panneau visible depuis la voie	Limité aux abords immédiats, dans les lieux exposés aux agressions ou aux vols

Les cas particuliers

Vidéosurveillance en entreprise (lieux non ouverts au public)

Les salariés doivent être informés individuellement avant la mise en service du système. L'affichage dans les locaux ne suffit pas : l'information doit figurer dans une note de service, le règlement intérieur ou un avenant au contrat de travail. Le CSE est informé et consulté avant la décision de mise en œuvre (article L.2312-38 du code du travail), et aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance (article L.1222-4).

Attention : les caméras ne peuvent pas filmer en continu les postes de travail des salariés, sauf circonstances exceptionnelles justifiées (manipulation de fonds, travail isolé dangereux) : toute restriction aux libertés des salariés doit être justifiée et proportionnée (article L.1121-1). La CNIL sanctionne régulièrement les entreprises qui filment leurs salariés de manière disproportionnée.

Sur le lieu de travail : ce que l'employeur peut filmer, et ce qu'il ne peut pas

La CNIL détaille les règles dans sa fiche « La vidéosurveillance – vidéoprotection au travail ». Le dispositif de vidéosurveillance doit respecter la vie privée des salariés : il protège des lieux, il ne sert pas au contrôle permanent du travail.

Peut être filmé	Ne doit pas être filmé
Entrées et sorties des bâtiments, issues de secours, voies de circulation	Les postes de travail en continu — par exemple, pour une caisse, la caméra vise le tiroir-caisse, pas la personne
Zones de stockage de marchandises ou de biens de valeur	Les zones de pause et de repos, les toilettes
Distributeurs automatiques, cadrés sur la machine	Les locaux syndicaux ou des représentants du personnel, et les accès qui ne mènent qu'à ces locaux

Seules les personnes habilitées par l'employeur, dans le cadre de leurs fonctions (le responsable sécurité, par exemple), peuvent visionner les images ; l'accès à distance doit être sécurisé, et la consultation en direct ne doit pas servir à surveiller le travail d'un salarié. La capacité de stockage ne justifie jamais une durée de conservation plus longue : quelques jours suffisent le plus souvent.

Mise en place d'un dispositif de vidéosurveillance : les étapes

1. Définir la finalité — protection des biens et des personnes, prévention des vols ou des agressions. Elle conditionne l'emplacement des caméras et la durée de conservation.
2. Vérifier les formalités — autorisation du préfet si la caméra filme un lieu ouvert au public ; inscription au registre des traitements et association du DPO s'il existe ; analyse d'impact pour une surveillance systématique à grande échelle d'une zone accessible au public.
3. Consulter le CSE avant la décision de mise en œuvre.
4. Informer chaque salarié individuellement (note de service, règlement intérieur ou avenant au contrat).
5. Poser les panneaux à l'entrée de chaque zone filmée, avec les mentions décrites plus haut.
6. Organiser l'accès aux images — liste des personnes habilitées, mots de passe, durée de conservation paramétrée dans l'enregistreur.

Vidéosurveillance en copropriété

L'installation de caméras dans les parties communes est décidée en assemblée générale des copropriétaires. Les panneaux doivent être installés à chaque entrée de la copropriété et dans les parkings ; le panneau RGPD personnalisé peut porter le nom de la copropriété comme responsable. Voir aussi notre guide signalétique de copropriété.

Les sanctions en cas de non-conformité

Infraction	Sanction	Autorité
Absence de panneau d'information	Mise en demeure, puis sanction CNIL dans la limite de 20 M€ ou 4 % du CA mondial : c'est le plafond de l'article 83 du RGPD pour l'ensemble des manquements à l'information, le montant étant fixé selon la gravité et la taille de l'organisme	CNIL
Panneau incomplet (mentions manquantes)	Mise en demeure avec délai de mise en conformité	CNIL
Absence d'autorisation préfectorale (lieu ouvert au public)	Mise en demeure, puis fermeture de l'établissement pour trois mois et injonction de démonter le système (article L.253-4)	Préfet
Non-information des salariés	Images contestables comme preuve devant le juge et sanction CNIL possible	Prud'hommes / CNIL
Durée de conservation excessive	Mise en demeure puis amende	CNIL