La mise en place d’un système de vidéosurveillance en entreprise ne s’improvise pas. Au-delà du choix du matériel et de l’installation technique, tout responsable d’établissement doit se conformer à un cadre juridique précis, encadré notamment par la Commission Nationale de l’Informatique et des Libertés (CNIL). La déclaration CNIL vidéosurveillance entreprise constitue l’une des obligations centrales de ce dispositif réglementaire, et son non-respect expose l’entreprise à des sanctions significatives. Que vous gériez une grande surface, un commerce de détail, un entrepôt logistique ou des bureaux, comprendre vos obligations est indispensable. Pour une vision d’ensemble des enjeux de sécurité, consultez notre guide complet sur la vidéosurveillance en entreprise avant d’entamer vos démarches de conformité.
Cadre juridique de la vidéosurveillance en entreprise : CNIL, RGPD et loi de 1995
La réglementation applicable à la vidéosurveillance en entreprise repose sur plusieurs textes fondamentaux qui se complètent et s’articulent entre eux. Il est essentiel de les distinguer pour comprendre quelles démarches s’appliquent à votre situation.
La distinction fondamentale : lieux ouverts au public vs. lieux privés
En France, la surveillance par caméra est encadrée par deux régimes juridiques distincts selon la nature des espaces filmés :
- Les lieux ouverts au public (magasins, salles d’attente, espaces d’accueil, parkings accessibles aux clients) : ils relèvent de la loi du 21 janvier 1995 relative à la sécurité, dite « loi Pasqua », et de son décret d’application. L’installation y est soumise à une autorisation préfectorale, et non à une déclaration CNIL.
- Les lieux strictement privés (bureaux, ateliers de production, zones de stockage non accessibles au public) : ils relèvent du RGPD (Règlement Général sur la Protection des Données) et de la loi Informatique et Libertés modifiée. C’est dans ce cadre que s’inscrit la démarche auprès de la CNIL.
La grande majorité des entreprises commerciales se trouve dans une situation hybride, avec des espaces à la fois ouverts au public et réservés au personnel. Chacun de ces espaces doit faire l’objet du traitement réglementaire approprié.
Le RGPD et la vidéosurveillance : un traitement de données personnelles comme les autres
Depuis l’entrée en vigueur du RGPD en mai 2018, les images captées par un système de vidéosurveillance sont explicitement considérées comme des données personnelles lorsqu’elles permettent d’identifier des individus. À ce titre, leur traitement doit respecter les principes fondamentaux du règlement européen : licéité, loyauté, transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation et sécurité.
Concrètement, cela signifie que tout dispositif filmant des salariés ou des visitoyeurs dans des zones non ouvertes au public doit s’inscrire dans un registre des activités de traitement, et que les personnes filmées doivent être informées de manière claire et accessible.
La déclaration CNIL vidéosurveillance entreprise : ce qui a changé depuis 2018
Une idée reçue persiste dans le monde professionnel : beaucoup de dirigeants pensent encore qu’il faut « déclarer ses caméras à la CNIL ». Cette obligation, telle qu’elle existait sous l’ancien régime de la loi Informatique et Libertés de 1978, a été profondément réformée.
La suppression de la déclaration préalable classique
Avant le RGPD, les entreprises devaient effectuer une déclaration préalable auprès de la CNIL avant de mettre en place tout traitement de données, y compris un système de vidéosurveillance. Ce régime déclaratif a été supprimé par le RGPD, entré en application le 25 mai 2018. Il n’existe donc plus de formulaire de déclaration à soumettre à la CNIL pour installer des caméras dans vos locaux privés.
En revanche, les obligations ne disparaissent pas : elles se transforment et se renforcent. Le principe de responsabilisation (accountability) est au cœur de cette nouvelle approche : c’est à l’entreprise de démontrer sa conformité, et non à l’autorité de contrôle de la vérifier a priori.
Les nouvelles obligations qui remplacent la déclaration
En lieu et place de la déclaration préalable, les entreprises doivent désormais :
- Inscrire le traitement dans le registre des activités de traitement : toute entreprise de plus de 250 salariés, ou traitant des données à caractère sensible, doit tenir un registre documentant l’ensemble de ses traitements de données. La vidéosurveillance y figure comme un traitement à part entière.
- Identifier la base légale du traitement : pour les salariés, l’intérêt légitime de l’employeur (sécurité des biens et des personnes) est généralement retenu, sous réserve qu’il soit proportionné et documenté.
- Réaliser une Analyse d’Impact sur la Protection des Données (AIPD) si le traitement présente un risque élevé pour les droits et libertés des personnes — notamment lorsque le système surveille de manière systématique des zones accessibles au public ou implique des technologies avancées.
- Informer les personnes concernées : salariés, clients, visiteurs — chacun doit être informé de l’existence du dispositif, de sa finalité, de la durée de conservation des images et de ses droits.
- Désigner un Délégué à la Protection des Données (DPO) si votre organisation remplit les critères d’obligation (traitement à grande échelle, organisme public, etc.).
Démarches pratiques pour se conformer à la réglementation
Une fois le cadre juridique assimilé, la mise en conformité suit une logique opérationnelle claire. Voici les étapes à suivre pour tout responsable d’établissement souhaitant déployer ou régulariser un système de vidéosurveillance.
Étape 1 : Identifier et cartographier les espaces surveillés
La première action consiste à distinguer précisément les zones filmées et leur statut juridique. Pour chaque espace, il faut déterminer s’il est ouvert au public (nécessitant une autorisation préfectorale) ou strictement réservé au personnel et aux opérations internes (relevant du RGPD). Cette cartographie est la base de toute démarche de conformité cohérente.
Étape 2 : Obtenir l’autorisation préfectorale pour les zones publiques
Pour les espaces ouverts au public — ce qui concerne la grande majorité des surfaces commerciales, des caisses et des allées de magasin — une demande d’autorisation doit être déposée auprès du préfet du département via le service de sécurité intérieure compétent. Ce dossier précise notamment la finalité du système, le nombre de caméras, leur localisation et les conditions d’accès aux images.
Étape 3 : Inscrire le traitement dans le registre RGPD
Pour les zones privées, intégrez le traitement vidéosurveillance à votre registre des activités. Cette fiche de traitement doit mentionner : la finalité (sécurité des biens, protection du personnel), les catégories de données (images, horodatage), les destinataires autorisés (direction, service de sécurité, forces de l’ordre sur réquisition), et la durée de conservation des enregistrements.
Étape 4 : Définir et respecter la durée de conservation des images
La CNIL recommande une durée de conservation des images n’excédant généralement pas 30 jours. Au-delà, la conservation doit être justifiée par un motif précis (enquête en cours, procédure disciplinaire, réquisition judiciaire). Cette durée doit être inscrite dans le registre et techniquement respectée par le système, via un paramétrage d’écrasement automatique.
Si vous souhaitez explorer des solutions techniques permettant une gestion rigoureuse des enregistrements, les systèmes NAS Synology dédiés à la vidéosurveillance offrent des fonctionnalités avancées de gestion du stockage et d’automatisation de la purge des données.
Étape 5 : Informer les personnes filmées
L’obligation d’information est souvent négligée, mais elle est fondamentale. Elle se concrétise par :
- L’affichage de panneaux signalétiques visibles à l’entrée des zones surveillées, mentionnant l’existence du dispositif, la finalité, l’identité du responsable de traitement et les droits des personnes.
- Une note d’information remise aux salariés, idéalement annexée au règlement intérieur ou au contrat de travail, détaillant les conditions de surveillance des locaux de travail.
- La consultation des représentants du personnel (CSE) préalablement à l’installation de caméras dans les espaces de travail — une obligation légale en droit du travail français.
Pour structurer votre démarche documentaire et accéder aux modèles officiels de panneaux et de notes d’information, notre ressource sur la vidéosurveillance en PDF et guides professionnels compile les documents réglementaires indispensables.
Étape 6 : Évaluer la nécessité d’une AIPD
L’Analyse d’Impact sur la Protection des Données est obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits des personnes. La CNIL a publié une liste de traitements nécessitant une AIPD, qui inclut notamment la surveillance systématique à grande échelle d’espaces accessibles au public. Pour les grandes surfaces et les enseignes de retail, cette analyse s’impose fréquemment.
Par ailleurs, si votre système de vidéosurveillance intègre des fonctionnalités d’intelligence artificielle — analyse comportementale, reconnaissance de forme, comptage de personnes — le niveau de risque augmente considérablement et rend l’AIPD quasi systématiquement nécessaire.
Les risques en cas de non-conformité
La conformité réglementaire n’est pas une simple formalité administrative. Les conséquences d’un manquement peuvent être substantielles pour une entreprise.
Les sanctions de la CNIL
La CNIL dispose depuis le RGPD de pouvoirs de sanction considérablement renforcés. En cas de manquement constaté lors d’un contrôle, les amendes administratives peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Au-delà des amendes, la CNIL peut ordonner la mise en conformité sous astreinte, voire l’interruption du traitement.
Les risques en droit du travail
Une vidéosurveillance installée sans information préalable des salariés ni consultation du CSE est illicite. Elle expose l’employeur à ce que les preuves obtenues via ce système soient déclarées irrecevables dans le cadre d’une procédure prud’homale ou disciplinaire. Des jurisprudences récentes ont ainsi annulé des licenciements pour faute grave au motif que les preuves avaient été recueillies au moyen d’un dispositif de surveillance non déclaré.
L’atteinte à l’image et à la confiance
Au-delà des sanctions formelles, une mise en cause publique par la CNIL ou un contentieux social lié à une vidéosurveillance non conforme peut nuire durablement à la réputation d’une enseigne, tant auprès de ses clients que de ses partenaires. Pour un acteur du retail, dont la relation client est un actif stratégique, ce risque ne doit pas être sous-estimé.
Choisir le bon dispositif pour concilier sécurité et conformité
La conformité réglementaire doit être intégrée dès la phase de conception du système de vidéosurveillance, et non ajoutée en cours de route. C’est le principe du privacy by design, inscrit dans le RGPD. Cela implique de choisir des équipements et des solutions qui facilitent nativement la gestion de la conformité.
Les critères à prendre en compte lors du choix de votre infrastructure incluent la gestion automatique des durées de conservation, le chiffrement des enregistrements, les journaux d’accès aux images, et la possibilité de répondre techniquement aux droits d’accès et d’effacement exercés par les personnes concernées. Pour vous aider à structurer ce choix, consultez notre page dédiée au choix d’un système de vidéosurveillance commerciale adapté à vos locaux.
Questions fréquentes
Faut-il encore déclarer ses caméras à la CNIL en 2024 ?
Non, la déclaration préalable classique auprès de la CNIL a été supprimée avec l’entrée en vigueur du RGPD en mai 2018. Cependant, les entreprises doivent désormais inscrire leur traitement de vidéosurveillance dans un registre des activités de traitement, informer les personnes filmées et, dans certains cas, réaliser une Analyse d’Impact sur la Protection des Données (AIPD).
Quelle est la différence entre autorisation préfectorale et déclaration CNIL pour la vidéosurveillance ?
Ces deux régimes s’appliquent à des espaces différents. L’autorisation préfectorale concerne les lieux ouverts au public (magasins, espaces d’accueil) et relève de la loi de 1995 sur la sécurité. La conformité RGPD s’applique aux zones privées non accessibles au public (bureaux, entrepôts) et implique une inscription au registre des traitements, une information des personnes et éventuellement une AIPD.
Combien de temps peut-on conserver les enregistrements de vidéosurveillance en entreprise ?
La CNIL recommande une durée maximale de conservation de 30 jours pour les enregistrements courants. Au-delà, la conservation doit être justifiée par un motif précis et documenté, comme une enquête interne ou une réquisition judiciaire. Cette durée doit être techniquement paramétrée dans le système pour garantir l’effacement automatique des images.
Est-il obligatoire d’informer les salariés de l’existence d’un système de vidéosurveillance ?
Oui, cette obligation est double. D’une part, le RGPD impose d’informer toute personne filmée via un affichage visible et une documentation accessible. D’autre part, le Code du travail exige que le Comité Social et Économique (CSE) soit consulté préalablement à l’installation de caméras dans les espaces de travail, sous peine de voir les preuves issues de ce dispositif déclarées irrecevables.
Quand une Analyse d’Impact sur la Protection des Données (AIPD) est-elle obligatoire pour la vidéosurveillance ?
Une AIPD est obligatoire lorsque le système de vidéosurveillance surveille de manière systématique et à grande échelle des espaces accessibles au public, ou lorsqu’il intègre des technologies avancées comme l’analyse comportementale ou l’intelligence artificielle. La CNIL met à disposition des outils pour aider les entreprises à déterminer si leur traitement nécessite une AIPD.
Quelles sanctions risque-t-on en cas de vidéosurveillance non conforme en entreprise ?
Les sanctions peuvent être de nature administrative — jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial selon le RGPD — mais aussi d’ordre social, avec l’irrecevabilité des preuves collectées dans le cadre de procédures disciplinaires ou prud’homales. Des sanctions pénales peuvent également s’appliquer en cas d’atteinte grave aux libertés individuelles.
Conclusion : faire de la conformité un atout stratégique
Loin d’être une contrainte administrative, la conformité liée à la déclaration et à la réglementation de la vidéosurveillance en entreprise représente une opportunité de structurer sérieusement votre politique de sécurité. Respecter le cadre imposé par la CNIL et le RGPD, c’est protéger votre entreprise contre des risques juridiques et financiers majeurs, mais c’est aussi instaurer un climat de confiance avec vos collaborateurs et vos clients.
À l’heure où les systèmes de vidéosurveillance intègrent des technologies toujours plus avancées — intelligence artificielle, analyse prédictive, reconnaissance de comportements — les enjeux réglementaires ne feront que croître. Anticiper dès aujourd’hui en structurant votre dispositif de conformité est la meilleure décision que vous puissiez prendre pour pérenniser votre démarche de sécurisation des locaux commerciaux. N’hésitez pas à vous faire accompagner par des experts en sécurité électronique et en protection des données pour une mise en conformité rigoureuse et adaptée à la réalité de votre activité.