Installer des caméras dans son entreprise n'a rien d'illégal — mais le faire n'importe comment expose à une sanction, et surtout à des images inutilisables le jour où elles compteraient vraiment. Voici les règles, sans jargon.
Non, il n'y a plus de déclaration à faire à la CNIL
Commençons par lever une idée reçue tenace. Depuis l'entrée en application du RGPD en mai 2018, la déclaration préalable à la CNIL a disparu. Elle a été remplacée par un principe de responsabilité : c'est à vous de documenter votre installation et de prouver, en cas de contrôle, que vous respectez les règles.
Attention toutefois à ne pas confondre deux régimes distincts :
- Caméras filmant des espaces privés (bureaux, entrepôt, réserve, atelier) : régime RGPD. Aucune démarche préalable, mais inscription au registre des traitements et respect des obligations ci-dessous.
- Caméras filmant la voie publique ou un lieu ouvert au public (surface de vente, hall d'accueil, parking accessible à tous) : régime de la vidéoprotection, qui exige une autorisation préfectorale préalable. C'est une démarche distincte, toujours obligatoire, et souvent oubliée par les commerçants.
Un commerce a donc fréquemment besoin des deux : autorisation préfectorale pour la surface de vente, conformité RGPD pour la réserve et les bureaux.
Les cinq obligations à respecter
1. Une finalité légitime et proportionnée
Vous devez pouvoir expliquer pourquoi vous filmez. Sécurité des biens, prévention des vols, protection des personnes : ce sont des finalités valables. En revanche, surveiller le travail des salariés en continu ne l'est pas. C'est le motif de sanction le plus fréquent.
Concrètement, il est interdit de placer une caméra braquée en permanence sur un poste de travail, une caisse enregistreuse avec le visage de l'employé, ou l'entrée d'un local syndical.
2. Des zones interdites, sans exception
- Les toilettes et vestiaires — jamais, sous aucun prétexte.
- Les salles de pause et réfectoires.
- Les locaux syndicaux et leurs accès.
- Le domaine public et les propriétés voisines : votre caméra extérieure ne doit filmer que votre terrain. Si l'angle déborde sur le trottoir ou le jardin du voisin, il faut le corriger — masquage numérique ou réorientation.
3. Informer, avant d'installer
L'information est double.
Pour le public : un panneau visible à chaque entrée de la zone filmée, mentionnant l'existence des caméras, le nom du responsable, la durée de conservation et les modalités d'exercice des droits.
Pour les salariés, l'exigence est plus forte : information individuelle et écrite — note de service, avenant, mention au règlement intérieur — précisant la finalité, les zones filmées, la durée de conservation et leurs droits d'accès. S'il existe un CSE, il doit être informé et consulté avant l'installation. Une installation mise en service sans cette consultation peut être jugée illicite, et les images écartées en cas de contentieux prud'homal.
Une caméra installée sans information préalable des salariés produit des images qui ne pourront pas être utilisées contre eux. Le dispositif devient inutile au moment précis où l'on en aurait besoin.
4. Une durée de conservation limitée
La CNIL considère qu'un mois est un maximum, et recommande en pratique de ne pas dépasser 30 jours. Dans la grande majorité des cas, une semaine à quinze jours suffisent : si un incident survient, on s'en aperçoit rapidement.
Au-delà de cette durée, il faut une justification précise et documentée. Conserver « au cas où » pendant six mois est une non-conformité caractérisée.
En pratique, cette durée se règle directement dans l'enregistreur, qui écrase automatiquement les plus anciennes séquences. Nous paramétrons systématiquement ce point lors de la mise en service.
5. Sécuriser l'accès aux images
- Accès réservé à un nombre restreint de personnes nommément désignées.
- Mots de passe individuels et robustes — jamais les identifiants d'usine du constructeur.
- Traçabilité des consultations.
- Enregistreur placé dans un local fermé.
Un point trop souvent négligé : de nombreux enregistreurs sont exposés sur internet avec le mot de passe par défaut. C'est une faille de sécurité majeure — et une non-conformité RGPD doublée d'un risque réel d'intrusion informatique.
Les documents à tenir prêts
En cas de contrôle, on vous demandera :
- Votre registre des traitements, avec une fiche décrivant le dispositif vidéo.
- La preuve de l'information des salariés et de la consultation du CSE.
- Le plan d'implantation des caméras avec leurs champs de vision.
- La liste des personnes habilitées à consulter les images.
- Le paramétrage de la durée de conservation.
- Le cas échéant, l'autorisation préfectorale.
Une analyse d'impact (AIPD) devient par ailleurs nécessaire pour les dispositifs de grande ampleur ou couplés à des traitements sensibles.
Ce que vous risquez
Les sanctions administratives de la CNIL peuvent théoriquement atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Dans les faits, pour une PME, les mises en demeure et les amendes de quelques milliers d'euros sont bien plus fréquentes que les sanctions spectaculaires.
Mais le risque le plus concret est ailleurs : des images inexploitables. Un dispositif non conforme ne pourra pas servir de preuve, ni face à un salarié, ni parfois face à un tiers. Vous aurez payé une installation qui ne vous protège pas quand vous en avez besoin.
Notre pratique
Nous intégrons la conformité dès l'étude : choix des angles pour éviter le domaine public, masquage numérique des zones interdites, paramétrage de la durée de conservation, création de comptes utilisateurs distincts, changement systématique des mots de passe d'usine.
Nous vous remettons également un plan d'implantation et un modèle de note d'information au personnel — les deux documents qui vous seront demandés en premier en cas de contrôle.
Une installation vidéo conforme, dès la conception
Étude, implantation, paramétrage et documentation RGPD. Devis gratuit sur nos six départements.
Sources : Commission nationale de l'informatique et des libertés (CNIL), fiches « La vidéosurveillance – vidéoprotection au travail » ; Règlement général sur la protection des données (RGPD) ; code de la sécurité intérieure pour le régime d'autorisation préfectorale.