Un magasin peut avoir des caméras dans sa surface de vente, sa réserve et son couloir réservé au personnel. Écrire "vidéosurveillance des locaux" dans une seule ligne ne suffit pas à comprendre le dispositif : les zones ne relèvent pas toutes du même régime, les autorisations ne couvrent pas nécessairement les mêmes usages et les durées peuvent différer.
L'astuce consiste à joindre au registre une matrice caméra–zone–finalité–régime–durée–habilitations, puis à vérifier cette matrice sur les images réellement captées. Les exemples sont fictifs. Cette méthode ne vaut pas autorisation ni attestation de conformité.
1. Qualifier les lieux, et non le propriétaire
Une propriété privée peut être ouverte au public. Une zone soumise à billet peut également l'être ; l'accès n'a pas à être gratuit. À l'inverse, une réserve accessible seulement au personnel n'est pas ouverte au public parce qu'elle appartient à un magasin. Sur un même site, documenter les deux régimes.
| Situation | Qualification de départ | Pièce à rechercher |
|---|---|---|
| Bureau, réserve ou atelier non ouvert au public | Vidéosurveillance, RGPD et loi Informatique et Libertés | Analyse de nécessité, registre et garanties |
| Surface de vente, hall ouvert au public | Vidéoprotection, Code de la sécurité intérieure et régime de protection des données applicable | Autorisation préfectorale et conditions du dispositif |
| Champ captant une rue ou des habitations | Ne pas assimiler à la surveillance intérieure d'une entreprise | Analyse spécifique du droit de filmer ; correction du champ si non justifié |
| Détection algorithmique, reconnaissance faciale, son, caméra-piéton | Hors modèle de caméra fixe ordinaire de cette fiche | Analyse juridique et technique dédiée avant activation |
La fiche CNIL sur la vidéoprotection du 9 mars 2026 explique ces qualifications. Pour la vidéo de sécurité relevant des missions de police d'une autorité compétente, examiner aussi le régime "Police-Justice" : cette fiche employeur ne le traite pas. Ne pas déduire que tous les traitements d'une collectivité relèvent automatiquement de ce régime.
2. Définir une finalité vérifiable et un champ proportionné
"Sécurité" doit devenir une question concrète : empêcher l'accès non autorisé au stock, dissuader des agressions à l'accueil, permettre la vérification d'un incident identifié. Demander quels incidents ou risques motivent chaque caméra et pourquoi éclairage, serrure, alarme ou organisation ne suffiraient pas. Une caméra inutilisée pour un besoin démontré n'est pas rendue nécessaire par son faible coût.
Le contrôle permanent du travail n'est pas un usage ordinaire licite de ces caméras. La CNIL écarte notamment les zones de repos et les toilettes ; sur un poste manipulant de l'argent, l'angle doit viser prioritairement la caisse plutôt que la personne. Les locaux syndicaux et leurs accès exclusifs doivent être protégés. Quelques jours suffisent généralement pour vérifier un incident ; le stockage ne doit pas dicter la durée. CNIL, vidéosurveillance au travail.
Exemple fictif : une caméra protège une porte de stock mais montre aussi un poste administratif huit heures par jour. Le bon correctif n'est pas de changer le titre du traitement. Tester un angle différent, un masque ou un autre emplacement ; joindre au dossier une capture de test sans personne identifiable montrant le résultat.
3. Bases et personnes : ne pas recopier celles de la paie
Pour un employeur privé, la protection de biens et de personnes peut justifier l'examen de l'intérêt légitime, avec une mise en balance réelle. Une obligation légale ne doit être retenue que si un texte applicable impose le traitement en cause. Une autorisation préfectorale ne remplace pas, à elle seule, toute l'analyse de licéité. Pour une autorité publique, rechercher la mission d'intérêt public et son fondement ou l'obligation spécifique ; ne pas utiliser l'intérêt légitime pour l'exécution de ses missions. RGPD, article 6.
Personnes concernées : personnel, visiteurs, prestataires et public réellement susceptibles d'apparaître. Données usuelles : images, horodatage, numéro et emplacement de caméra, métadonnées utiles au fonctionnement. Recenser séparément les traces de consultation et d'extraction. Une image n'est pas automatiquement une donnée biométrique au sens de l'article 9 ; le traitement technique visant l'identification unique change l'analyse. Les images peuvent aussi révéler des informations sensibles selon le contexte : un lieu de soin ou syndical n'est pas anodin.
Ne pas activer le son, l'analyse de comportement, la reconnaissance ou des rapprochements avec la badgeuse comme de simples options de maintenance. Chaque fonction ajoutée doit déclencher une nouvelle analyse avant usage.
4. Autorisations, registre et AIPD : trois objets différents
Pour une zone non ouverte au public, le dispositif ordinaire n'exige pas une déclaration préalable à la CNIL ; cela ne supprime ni registre ni obligations de fond. Pour une zone ouverte au public, vérifier l'autorisation préfectorale, son périmètre et sa validité. CNIL, formalités vidéo au travail.
Attention à l'employeur public : la fiche CNIL de mars 2026 prévoit, pour les autorités publiques, une déclaration préalable de conformité au RU-074 en application de R.253-7 du CSI. Le slogan "aucune formalité CNIL depuis le RGPD" est donc à éviter. La même fiche rappelle une autorisation préfectorale valable cinq ans et renouvelable. CNIL, vidéoprotection, formalités.
Une AIPD est obligatoire pour la surveillance systématique à grande échelle d'une zone accessible au public. Examiner également la liste CNIL obligatoire, notamment les situations de surveillance constante des salariés. Ne pas conclure à l'absence d'AIPD au seul motif qu'il y a peu de caméras ou peu de salariés. Documenter étendue, flux, fréquence, personnes vulnérables et technologies. Une AIPD n'autorise pas un dispositif disproportionné ; un risque résiduel élevé appelle la consultation préalable prévue à l'article 36. CNIL, AIPD, modification du référentiel RH, tableau AIPD.
5. Destinataires : contrôler le direct autant que les enregistrements
Établir la liste des personnes nommément habilitées pour le direct, la relecture, l'export et l'administration ; ce ne sont pas quatre permissions équivalentes. Décrire les destinataires externes éventuels et les conditions de communication, notamment une réquisition ou une procédure documentée. Une transmission aux forces de l'ordre ne fait pas de celles-ci un sous-traitant de l'employeur.
Qualifier l'entreprise de télésurveillance, l'hébergeur et le mainteneur selon ce qu'ils font réellement. L'installateur sans aucun accès ultérieur aux images n'est pas dans la même situation qu'un prestataire disposant d'un compte permanent de supervision. Vérifier le traitement sur instruction, les obligations contractuelles, la chaîne de prestataires et les pays d'accès. RGPD, sous-traitance.
Test proposé : inventorier les téléphones sur lesquels fonctionne l'application du fabricant. Qui peut encore voir le flux après un changement de poste ? Où vont les captures d'écran ? Un enregistreur fermé à clé ne protège pas des comptes mobiles partagés.
6. Durées : séparer images, extraits et traces d'exploitation
| Objet | Règle ou analyse | Traduction pratique proposée |
|---|---|---|
| Images courantes en espace non ouvert au public | Durée strictement nécessaire ; repère CNIL de quelques jours, en principe pas plus d'un mois | Justifier le délai de détection d'incident, configurer et tester la rotation |
| Images en zone ouverte au public | Durée fixée par l'autorisation, sans dépasser un mois | Copier la durée de l'arrêté dans la matrice puis comparer au réglage réel |
| Extrait lié à une procédure | Conservation ciblée selon le besoin de la procédure, distincte du flux courant | Dossier d'extraction avec motif, auteur, destinataire, échéance/réexamen |
| Traces de consultation et d'opérations en vidéoprotection | Régime spécifique R.253-5 CSI, durée maximale de trois ans | Documenter la durée retenue et le contenu du journal, sans appliquer cette durée aux images |
| Sauvegarde, cloud, cache mobile | Recenser l'existence réelle ; ne pas supposer que la rotation locale les purge | Interroger l'éditeur et vérifier des exemples de suppression |
Les deux premières lignes n'ont pas le même statut : en zone non publique, ne pas transformer le repère CNIL d'un mois en une autorisation de garder systématiquement trente jours ; en vidéoprotection, respecter les limites légales et l'arrêté. CNIL, vidéo au travail, CNIL, vidéoprotection.
Pour un extrait, consigner aussi l'intégrité et les accès. Ne pas dupliquer une journée entière quand quelques minutes pertinentes suffisent. Fixer une revue de clôture du dossier : "incident" n'est pas une durée. Les règles applicables aux archives publiques doivent être examinées lorsque l'organisme relève de ce régime.
7. Mesures et transferts : vérifier toute la chaîne
Mesures proposées à adapter : réseau séparé ; mots de passe initiaux remplacés ; comptes nominatifs ; MFA pour l'accès distant lorsque disponible ; mises à jour suivies ; enregistreur protégé ; communications chiffrées ; export réservé à quelques habilités ; journal protégé ; synchronisation de l'heure ; masques contrôlés après maintenance ; absence d'écran visible depuis l'accueil ; formation des opérateurs.
Demander les adresses et pays des services du fabricant, du cloud, du support et des sauvegardes. Une application "peer-to-peer" peut faire intervenir des services tiers : établir le flux plutôt que supposer une liaison directe. Si des données sont rendues accessibles à une autre entité hors EEE, documenter le mécanisme du chapitre V et ses conditions ; une mention "serveur européen" ne clôt pas l'analyse. CNIL, transferts internationaux.
8. Information et droits : tester le parcours d'un visiteur
Poser les panneaux avant l'entrée dans le champ filmé et vérifier qu'une personne puisse comprendre le premier niveau et rejoindre facilement l'information détaillée. Celle-ci doit correspondre au dispositif réel : responsable, finalités, base, destinataires, durée, contact et droits, transferts éventuels. Ne pas laisser l'autocollant générique de l'installateur comme seule information. CNIL, modèles et information vidéoprotection.
Pour le personnel, assurer aussi l'information préalable et la procédure applicable aux instances représentatives. La consultation dépend du régime et des conditions légales : ne pas affirmer qu'un CSE doit toujours être consulté dans toute structure. CNIL, contrôle de l'activité, 9 juillet 2026.
Prévoir un circuit rapide d'accès aux images avant leur écrasement, une vérification d'identité proportionnée et la protection des tiers par masquage ou modalité adaptée. Distinguer refus motivé, images inexistantes et images déjà supprimées selon une politique régulière. Une demande de droits ne doit pas conduire à envoyer un export brut contenant tous les autres visiteurs. Les droits d'effacement et d'opposition dépendent notamment de la base et du régime ; ne pas les promettre sans réserve.
9. Dans DPO SUITE : relier la caméra au contrôle attendu
Les champs de traitement disponibles permettent de décrire finalités, personnes, données, destinataires, justification juridique, logiciels, sous-traitants liés, sécurité et transferts. Les champs documentaires permettent de référencer plan des zones, arrêté le cas échéant, notice et décision AIPD. Renseignez ces éléments à partir du dispositif observé, plutôt qu'à partir de la seule fiche commerciale du fournisseur.
Dans le tableau de conservation, créer des objets séparés "images courantes", "extraits de procédure" et "traces d'exploitation", avec phase, événement déclencheur, durée, justification, emplacement, copies, sort final et preuve de suppression. Comparez ensuite la décision au réglage observé. Le contrôle des angles et de l'effacement reste à réaliser sur le dispositif.
10. Mini-audit : huit contrôles avant d'écrire "vérifié"
| Contrôle | Preuve attendue | Ce que cela ne prouve pas |
|---|---|---|
| Zones qualifiées | Plan et conditions d'accès constatées | Le propriétaire ne détermine pas seul le régime |
| Nécessité caméra par caméra | Risque, alternatives, angle test | Un incident passé ne justifie pas tout champ |
| Formalités applicables | Arrêté valide et périmètre ; RU-074 si requis | Une autorisation ne vaut pas conformité RGPD globale |
| Habilitations et accès mobile | Liste nominative et test de révocation | Un compte désactivé localement peut subsister dans le cloud |
| Durées appliquées | Réglage et recherche d'image ancienne | La rotation locale ne prouve pas l'effacement des exports |
| Extraction contrôlée | Exemple fictif journalisé et fichier protégé | L'extraction ne justifie pas une conservation indéfinie |
| Information et droits | Parcours visiteur, notice, exercice fictif d'accès | Un panneau présent n'est pas forcément lisible |
| AIPD et transferts examinés | Décisions motivées, cartographie et preuves | Une case "non" ne remplace pas l'analyse |
Conserver date, limites du test, responsable de correction et preuve de résolution. Une visite échantillonnée ne couvre pas nécessairement chaque caméra du parc.
Sources et portée
La fiche CNIL vidéo au travail porte la date du 23 juillet 2018 ; les ressources plus récentes mobilisées ici sont la vidéoprotection du 9 mars 2026 et le contrôle de l'activité du 9 juillet 2026. Les règles, les recommandations CNIL et les propositions de tests de cette fiche sont à lire séparément. Revoir l'analyse lors de tout changement de champ, fonction, prestataire, pays ou finalité.
