Vidéosurveillance et RGPD : ce qu'une entreprise doit réellement faire

Deux régimes différents, et c'est la première erreur

Un système de caméras ne relève pas d'un régime unique. Ce qui compte, c'est ce que les caméras regardent.

Si elles filment la voie publique ou un lieu ouvert au public — une surface de vente, une salle de restaurant, un hall d'accueil —, l'installation relève du régime de la vidéoprotection et suppose une autorisation préfectorale préalable. C'est le point que beaucoup de commerçants découvrent après la pose.

Si elles ne filment que des zones fermées au public — une réserve, un atelier, un entrepôt, des bureaux —, il n'y a pas d'autorisation à demander, mais le RGPD s'applique pleinement : information des personnes, inscription au registre des traitements, durée de conservation limitée, accès restreint.

Beaucoup d'établissements sont dans les deux cas à la fois. Nous séparons donc les caméras par zone dès le plan d'implantation : c'est ce document qui sert ensuite au dossier de demande.

Informer, et le prouver

L'information est la première obligation, et la plus simple à tenir. Un affichage visible à chaque entrée concernée, lisible avant d'être filmé, indiquant l'existence du dispositif, la finalité, le responsable, la durée de conservation, les droits des personnes et le moyen de les exercer.

Pour les salariés, l'affichage ne suffit pas : ils doivent être informés individuellement, et les représentants du personnel consultés lorsqu'il en existe. Une installation posée pendant les congés et découverte à la rentrée est le scénario qui finit en contentieux.

Nous fournissons les panneaux et un modèle de note d'information. Ce n'est pas un service annexe : sans ces pièces, un enregistrement se retourne contre celui qui l'a produit.

Filmer des salariés : la proportionnalité

Filmer un poste de travail en continu n'est pas admis. Ce qui est admis, c'est de protéger des biens, des fonds et des personnes — et le cadrage doit le montrer.

Concrètement, sur une caisse, on cadre le tiroir et le tapis, pas le visage de la personne pendant huit heures. Dans un atelier, on couvre les accès et les zones de stockage, pas les établis. Et il n'y a jamais de caméra dans les locaux de pause, les vestiaires, les sanitaires ou les locaux des représentants du personnel.

Cette règle de proportionnalité est aussi la meilleure protection de l'employeur : un dispositif jugé excessif rend les images inutilisables comme preuve, au moment précis où l'on en aurait besoin.

La durée de conservation, réglée dans la machine

La durée doit être limitée à ce qui est nécessaire, et ne dépasse pas un mois dans le cas général. Notre expérience est plus nette : au-delà de deux semaines, personne ne relit jamais. Un incident se constate en quelques jours.

Le point important est ailleurs : la durée doit être réglée dans l'enregistreur, avec un écrasement automatique. Une durée écrite dans un registre mais démentie par la machine, c'est une non-conformité doublée d'un risque — quatre mois d'images que personne n'a demandées et qu'il faudra justifier.

Qui peut regarder, et qui l'a fait

L'accès aux images se limite aux personnes qui en ont besoin, nommément désignées, avec un compte par personne. Le compte partagé « admin » est la règle dans les installations que nous reprenons, et c'est une faute : il rend toute traçabilité impossible.

Nous créons donc des comptes nominatifs, des droits différenciés — voir le direct n'est pas relire l'historique, et relire n'est pas exporter — et nous activons la journalisation des consultations.

Droit d'accès et réquisition

Une personne filmée peut demander à accéder aux images qui la concernent. La demande doit être traitée dans un délai d'un mois, en préservant les droits des tiers apparaissant sur la séquence — donc en floutant ou en cadrant.

Les forces de l'ordre, elles, peuvent demander communication d'enregistrements dans le cadre d'une enquête, sur réquisition. C'est le cas d'usage le plus fréquent, et celui que la plupart des installations ratent : mauvais format, heure fausse, aucune trace de l'extraction.

Nous préparons ce point à la mise en service : export dans un format lisible sans logiciel propriétaire, horloge synchronisée, et registre des extractions.

Le vrai risque n'est pas l'amende

Un manquement expose à une mise en demeure et à une sanction financière de la CNIL, et une plainte de salarié suffit à déclencher un contrôle. Mais dans les faits, les conséquences qui coûtent le plus cher à nos clients sont autres : une preuve écartée, un licenciement fragilisé, une relation sociale abîmée pour une caméra mal orientée.

Ce qui suit reste notre pratique d'installateur. Pour un cas particulier — un dispositif étendu, un site sensible, une situation déjà contentieuse —, la documentation de la CNIL et l'avis de votre conseil habituel primeront toujours sur cette page.