La durée de conservation des données vidéo RGPD constitue l’un des points de conformité les plus critiques pour tout établissement commercial équipé d’un système de vidéosurveillance. Entre obligations légales, risques de sanctions et enjeux opérationnels, les professionnels du retail et de la grande distribution doivent maîtriser avec précision les règles qui encadrent la rétention des enregistrements vidéo. Une mauvaise gestion de ces délais expose l’entreprise à des mises en demeure de la CNIL, voire à des amendes pouvant atteindre plusieurs millions d’euros. Pour aller plus loin sur l’ensemble des exigences réglementaires applicables à votre installation, consultez notre guide complet sur la vidéosurveillance en entreprise. Dans cet article, nous détaillons les règles en vigueur, les exceptions admises et les bonnes pratiques à mettre en place dès aujourd’hui.
Comprendre le cadre légal encadrant la durée de conservation des données vidéo RGPD
Le Règlement Général sur la Protection des Données (RGPD), entré en application le 25 mai 2018, établit des principes fondamentaux applicables à toutes les données à caractère personnel, y compris les images captées par des caméras de surveillance. Une image qui permet d’identifier une personne physique est, par définition, une donnée personnelle. À ce titre, elle est soumise au principe de limitation de la conservation, inscrit à l’article 5, paragraphe 1, point e) du règlement.
En France, ce cadre européen se superpose à la législation nationale. La loi du 21 janvier 1995, modifiée par la loi LOPSI et ses décrets d’application, encadre spécifiquement la vidéoprotection dans les espaces ouverts au public. Le Code de la sécurité intérieure complète ce dispositif pour les établissements recevant du public et les commerces.
Le principe de minimisation et de finalité
Le RGPD impose que les données personnelles ne soient conservées que le temps strictement nécessaire à la finalité pour laquelle elles ont été collectées. Dans le contexte d’un système de vidéosurveillance en commerce, la finalité principale est généralement la protection des biens et des personnes, la prévention des actes malveillants et la gestion des incidents. Cette finalité doit être documentée dans le registre de traitements de l’entreprise, conformément à l’article 30 du RGPD.
Il est donc interdit de conserver des enregistrements vidéo à des fins indéterminées ou « au cas où ». Chaque jour de conservation supplémentaire doit se justifier par un besoin opérationnel ou légal démontrable.
Le rôle de la CNIL dans la définition des délais
La Commission Nationale de l’Informatique et des Libertés (CNIL) joue un rôle central dans la définition des durées de conservation acceptables. Ses lignes directrices et recommandations constituent la référence pratique pour les professionnels. La CNIL dispose également d’un pouvoir de contrôle et de sanction, et mène régulièrement des inspections dans les établissements commerciaux.
Quelle durée de conservation des données vidéo est conforme au RGPD ?
La question que se posent la plupart des responsables de sécurité et directeurs de magasin est simple : combien de temps puis-je légalement conserver mes enregistrements vidéo ? La réponse varie selon le contexte, mais des références précises existent.
La règle générale : un mois maximum pour les commerces
Selon les recommandations de la CNIL, la durée de conservation des enregistrements vidéo dans les lieux privés ouverts au public, comme les commerces, les centres commerciaux ou les grandes surfaces, ne devrait pas excéder un mois. Cette limite est considérée comme proportionnée à la finalité de sécurité des biens et des personnes. Au-delà de ce délai, la conservation doit être justifiée par des circonstances exceptionnelles.
Dans la pratique, de nombreux établissements optent pour des durées plus courtes — entre 7 et 15 jours — lorsque l’infrastructure technique et les besoins opérationnels le permettent. Cette approche démontre un effort de conformité supplémentaire et réduit les risques en cas de contrôle.
Les exceptions légitimes à la durée standard
Certaines situations justifient le maintien des données au-delà du délai habituel d’un mois :
- Incidents identifiés : si un vol, une dégradation ou une agression est constaté avant l’expiration du délai, les séquences concernées peuvent être extraites et conservées le temps nécessaire à la procédure judiciaire ou à la remise aux forces de l’ordre.
- Réquisition judiciaire : une autorité judiciaire (police, gendarmerie, juge d’instruction) peut requérir la conservation d’enregistrements dans le cadre d’une enquête. Dans ce cas, l’établissement est tenu de répondre à cette injonction.
- Contentieux en cours : si une procédure disciplinaire, civile ou pénale est engagée, les données peuvent être conservées comme éléments de preuve, sous réserve de le documenter formellement.
- Secteurs spécifiques : certains secteurs d’activité, comme les établissements financiers ou les sites sensibles, peuvent bénéficier de délais spécifiques encadrés par des textes sectoriels.
Dans tous ces cas, la prolongation de conservation doit être tracée, justifiée et limitée dans le temps. Elle ne saurait constituer une pratique systématique.
Les délais applicables aux lieux publics et aux administrations
Pour les systèmes de vidéoprotection installés dans les espaces publics ou gérés par des autorités publiques, le Code de la sécurité intérieure fixe un délai maximal de 30 jours, avec la possibilité pour l’autorité préfectorale d’accorder des dérogations dans des cas précis. Ces règles s’appliquent notamment aux dispositifs mis en place par les collectivités territoriales ou les gestionnaires de transports.
Obligations techniques et organisationnelles pour respecter les délais
Définir une durée de conservation conforme ne suffit pas. Encore faut-il disposer des outils techniques et des procédures organisationnelles permettant de la faire respecter effectivement. La CNIL insiste sur le fait que la conformité doit être démontrée, et non simplement déclarée.
Paramétrer l’effacement automatique des enregistrements
Les systèmes de vidéosurveillance modernes permettent de configurer des cycles d’écrasement automatique des données au terme du délai défini. Cette fonctionnalité est disponible sur la plupart des enregistreurs numériques (DVR/NVR) et des solutions de stockage réseau. Par exemple, les solutions Vidéosurveillance Synology permettent une gestion fine des durées de rétention directement depuis l’interface d’administration, avec des politiques de suppression programmées et vérifiables.
Il est vivement recommandé de vérifier régulièrement que ces paramétrages sont actifs et correctement appliqués. Un simple bug informatique ou une saturation du stockage peuvent perturber le cycle d’effacement et entraîner une conservation involontaire des données au-delà du délai légal.
Restreindre les accès aux enregistrements
Le RGPD impose également que l’accès aux données vidéo soit limité aux personnes qui en ont strictement besoin dans le cadre de leurs fonctions. Dans un commerce, cela signifie qu’un caissier ou un employé de rayon n’a pas vocation à consulter les enregistrements. Les droits d’accès doivent être documentés, nominatifs et révisés régulièrement.
Toute consultation des images doit idéalement être tracée : qui a visionné quoi, à quelle date et pour quelle raison. Cette traçabilité est un élément clé en cas d’audit ou de contrôle de la CNIL.
Documenter les traitements dans le registre RGPD
Chaque traitement de données vidéo doit figurer dans le registre des activités de traitement de l’entreprise, avec mention explicite de la durée de conservation retenue et de sa justification. Ce document, requis par l’article 30 du RGPD, doit être tenu à jour et présenté en cas de contrôle réglementaire.
Pour les entreprises qui souhaitent disposer d’une documentation structurée sur leurs obligations, notre sélection de ressources PDF dédiées à la vidéosurveillance professionnelle propose des modèles et guides pratiques téléchargeables.
Affichage, transparence et droits des personnes filmées
La conformité au RGPD ne se limite pas à la gestion interne des données. Elle implique également d’informer les personnes filmées de l’existence du dispositif, de sa finalité et de leurs droits. Cette obligation d’information est inscrite aux articles 13 et 14 du RGPD.
L’obligation d’affichage dans les commerces
Tout établissement commercial utilisant un système de vidéosurveillance est tenu d’en informer les personnes présentes sur les lieux par un panneau d’information visible et lisible. Ce panneau doit mentionner, au minimum, la finalité du traitement, l’identité du responsable de traitement et les droits des personnes concernées (accès, rectification, effacement). Pour en savoir plus sur les mentions obligatoires et les modèles conformes, consultez notre page dédiée aux obligations légales liées aux panneaux de vidéosurveillance.
Le droit d’accès aux images et les délais de réponse
Toute personne filmée dispose d’un droit d’accès à ses propres images. Elle peut en faire la demande auprès du responsable de traitement. Ce dernier dispose d’un délai d’un mois pour y répondre. La difficulté pratique est que les images ne doivent pas être communiquées si elles contiennent des données personnelles de tierces personnes identifiables, ce qui nécessite souvent un traitement de floutage préalable.
Il est donc essentiel de disposer d’une procédure opérationnelle claire pour gérer ces demandes, d’autant que le délai légal de réponse peut être difficile à tenir si les enregistrements sont déjà supprimés. C’est une raison supplémentaire pour que la durée de conservation soit suffisamment longue pour permettre l’exercice de ce droit, sans pour autant dépasser le délai maximal réglementaire.
Les risques de non-conformité et les sanctions encourues
La CNIL a démontré ces dernières années qu’elle n’hésite pas à sanctionner les manquements relatifs aux systèmes de vidéosurveillance, y compris dans le secteur du commerce. Les infractions les plus fréquemment relevées lors des contrôles concernent précisément la durée de conservation excessive des données.
Des sanctions proportionnées mais significatives
Le RGPD prévoit deux niveaux de sanctions administratives :
- Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel pour les violations des obligations de base (dont le non-respect des durées de conservation).
- Jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour les violations les plus graves portant atteinte aux droits fondamentaux des personnes.
Outre les amendes financières, la CNIL peut prononcer des mises en demeure, des avertissements publics ou ordonner la suspension du traitement. Pour une enseigne retail, une publicité négative liée à une sanction CNIL peut avoir des conséquences réputationnelles durables.
Les contrôles en magasin : à quoi s’attendre
Les inspecteurs de la CNIL peuvent se rendre dans un établissement commercial, avec ou sans préavis, pour vérifier la conformité du dispositif de vidéosurveillance. Ils examinent notamment : la durée effective de conservation des enregistrements, la présence et le contenu des panneaux d’information, le registre des traitements, les droits d’accès paramétrés sur les systèmes, et la documentation des procédures internes. Une préparation rigoureuse en amont est donc indispensable.
Questions fréquentes
Combien de temps peut-on légalement conserver des enregistrements vidéo dans un commerce ?
La CNIL recommande une durée maximale d’un mois pour les enregistrements vidéo dans les commerces et lieux privés ouverts au public. Une durée plus courte, entre 7 et 15 jours, est souvent privilégiée dans les établissements soucieux de minimiser leur exposition réglementaire. Au-delà d’un mois, la conservation doit être justifiée par une circonstance exceptionnelle documentée.
Que se passe-t-il si un incident est détecté avant la fin du délai de conservation ?
En cas d’incident identifié (vol, agression, dégradation), il est possible — et recommandé — d’extraire et de sécuriser les séquences vidéo concernées avant leur effacement automatique. Ces images peuvent ensuite être conservées le temps nécessaire à la procédure judiciaire ou à la transmission aux autorités compétentes. Cette extraction doit être tracée et justifiée dans le registre des traitements.
La durée de conservation des données vidéo RGPD est-elle la même pour toutes les entreprises ?
Non. Si la règle générale d’un mois s’applique à la majorité des commerces, certains secteurs d’activité disposent de règles spécifiques, et des dérogations peuvent être accordées dans des contextes particuliers (sites sensibles, établissements financiers, etc.). Il est conseillé de consulter la documentation de la CNIL ou un conseiller juridique spécialisé pour valider la durée applicable à votre situation.
Un employé peut-il visionner les enregistrements vidéo à tout moment ?
Non. L’accès aux enregistrements vidéo doit être strictement limité aux personnes habilitées, définies au préalable par le responsable de traitement. Cette habilitation doit être documentée et les accès tracés. Un accès non autorisé constitue une violation du RGPD susceptible d’engager la responsabilité de l’employeur.
Comment s’assurer que les enregistrements sont bien effacés après le délai prévu ?
La méthode la plus fiable consiste à paramétrer l’effacement automatique directement sur le système d’enregistrement (NVR, DVR ou solution cloud), avec un cycle de réécriture correspondant à la durée de conservation définie. Il convient ensuite de vérifier régulièrement que ce paramétrage est actif et correctement appliqué, et de consigner ces vérifications dans un journal de bord.
Faut-il afficher la durée de conservation sur le panneau d’information vidéosurveillance ?
Oui. Le panneau d’information apposé dans l’établissement doit contenir les éléments essentiels du traitement, dont la durée de conservation des images. Cette mention participe au respect du principe de transparence inscrit dans le RGPD et peut être vérifiée lors d’un contrôle de la CNIL.
Conclusion : faites de la conformité une priorité opérationnelle
Maîtriser la durée de conservation des données vidéo conforme au RGPD est bien plus qu’une formalité administrative : c’est une obligation légale à part entière, dont le non-respect expose votre établissement à des sanctions concrètes et mesurables. En tant que professionnel du retail ou de la grande distribution, vous êtes directement concerné par ces règles dès lors que votre commerce est équipé de caméras de surveillance. La solution passe par une triple démarche : définir des délais de conservation proportionnés à vos finalités réelles, déployer des outils techniques permettant l’effacement automatique et sécurisé des données, et documenter l’ensemble de vos procédures dans un registre RGPD rigoureux. IA Secure accompagne les professionnels dans la mise en conformité de leurs dispositifs de sécurité vidéo, en intégrant dès la conception les exigences réglementaires en matière de rétention des enregistrements. Contactez-nous pour un audit de conformité de votre installation existante.