La mise en place d’un système de vidéosurveillance soulève des questions cruciales sur la protection des données. Avec le RGPD, les entreprises et collectivités doivent garantir une utilisation légale et transparente des caméras.
En 2018, la CNIL a sanctionné l’entreprise ITIC pour non-respect des règles. Les amendes peuvent atteindre 1,5 million d’euros. Cela montre l’importance d’une bonne sécurité et d’une conformité RGPD rigoureuse.
Ce guide vous aidera à comprendre les obligations légales. Vous y trouverez une checklist pratique pour éviter les erreurs courantes.
Points Clés à Retenir
- Le RGPD encadre strictement l’usage des caméras.
- Les sanctions peuvent être très lourdes.
- Les entreprises et collectivités sont concernées.
- Un cas réel montre les risques encourus.
- Une checklist simplifie la mise en conformité.
Introduction : Pourquoi le RGPD s’applique à la vidéosurveillance ?
Filmer des individus sans cadre légal expose à des risques juridiques. Le règlement général protection des données encadre ce procédé depuis 2018.
Les images capturées sont considérées comme des données personnelles dès qu’une personne est reconnaissable. Cela inclut :
- Les visages
- Les plaques d’immatriculation
- Les comportements identifiables
Il existe une nuance importante entre :
- Vidéosurveillance : usage privé (ex : magasin)
- Vidéoprotection : usage public (ex : rue)
La CNIL joue un rôle central. Elle a traité plus de 1000 plaintes en 2018 liées à la vie privée. Son pouvoir de sanction s’applique aux erreurs courantes.
Exemple : un commerce qui filme la voie publique sans autorisation. Ce type d’erreur peut coûter cher. Le traitement données doit toujours être justifié et sécurisé.
Les bases légales du RGPD pour la vidéosurveillance
Toute collecte d’images impliquant des personnes doit respecter des bases légales précises. Le RGPD définit les obligations pour les données personnelles, y compris les enregistrements vidéo.
Qu’est-ce qu’une donnée personnelle selon le RGPD ?
Une donnée personnelle est toute information permettant d’identifier directement ou indirectement une personne. Cela inclut :
- Les caractéristiques biométriques (visage, démarche)
- Les comportements enregistrés
- Les plaques d’immatriculation
Exemple : Un système reconnaissant les visages dans un centre commercial traite des données sensibles. Le cryptage est alors obligatoire pour protéger ces informations.
Les acteurs impliqués : responsables et sous-traitants
Le responsable du traitement (ex : une entreprise) doit tenir un registre détaillant :
- La finalité des caméras
- La durée de conservation des images
- Les sous-traitants impliqués (ex : prestataire cloud)
Les clauses contractuelles RGPD sont indispensables avec les partenaires techniques. Un DPO (Délégué à la Protection des Données) peut être nommé pour superviser le traitement données.
Vidéosurveillance et RGPD : les principes clés à respecter
L’utilisation de caméras implique des principes fondamentaux pour rester conforme. Ces règles garantissent un équilibre entre sécurité et protection des données. Voici les piliers à maîtriser.
Proportionnalité et finalité légitime
Le nombre de caméras doit être justifié par des risques concrets. Par exemple, un parking souterrain peut nécessiter plus d’appareils qu’un hall d’entrée. La proportionnalité évite les excès.
Une analyse préalable est essentielle. Elle doit prouver que le système répond à un besoin précis, comme la prévention des vols. Les solutions alternatives (ex : alarmes) doivent être évaluées.
Information des personnes filmées
Un affichage visible est obligatoire à chaque point d’entrée. Il indique :
- La finalité (ex : sécurité des biens)
- Le responsable du traitement
- La durée conservation des images (15 jours maximum en général)
- Les droits des personnes (accès, suppression)
Les employés doivent aussi être informés via l’intranet ou le règlement intérieur. Un modèle type de panneau, d’au moins 20×30 cm, est recommandé par la CNIL.
Durée de conservation des images
Les enregistrements ne peuvent être stockés indéfiniment. La limite varie selon les secteurs :
- 72 heures pour un supermarché (sans incident)
- 1 mois maximum pour les lieux sensibles
- Jusqu’à 6 mois en cas d’enquête pénale
Un cas pratique : une enseigne a réduit sa durée conservation à 3 jours après une analyse des risques. Cette démarche proactive limite les données inutiles.
Vidéosurveillance dans les lieux publics : autorisations et règles
Installer des caméras dans les espaces partagés nécessite une approche réglementaire précise. Les lieux publics comme les centres commerciaux ou les cinémas ont des obligations spécifiques pour lutter contre les abus.
Demande d’autorisation préfectorale
Le formulaire CERFA n°13839*01 est obligatoire pour les Établissements Recevant du Public (ERP). La demande doit inclure :
- Un plan des zones filmées
- La justification de chaque caméra
- Les modalités d’accès aux enregistrements
Le délai moyen de traitement est de 2 mois. Un refus peut survenir si les caméras couvrent des espaces disproportionnés. « Une boutique ne peut pas filmer toute la rue devant sa vitrine », précise un expert CNIL.
Zones filmées et restrictions
La cartographie doit respecter des limites strictes :
- Autorisé : entrées, caisses, parkings
- Interdit : toilettes, salles de pause, locaux syndicaux
Exemple : un cinéma parisien a dû désactiver 3 caméras sur 10 après contrôle. Elles filmaient inutilement le bar et non les caisses. Les sanctions peuvent aller jusqu’à 3 ans d’interdiction d’installation.
L’équilibre entre sécurité et vie privée guide toujours les décisions préfectorales.
Vidéosurveillance au travail : droits des employés et obligations
Les employeurs doivent concilier sécurité et respect de la vie privée des employés. L’installation de caméras sur le lieu de travail suit des règles strictes pour protéger les droits de chacun.
Postes de travail et lieux interdits
Certaines zones ne peuvent pas être filmées. La loi interdit strictement les caméras dans :
- Les locaux syndicaux
- Les infirmeries
- Les salles de pause
Une exception existe pour les postes travail manipulant des espèces. Exemple : un guichet bancaire peut être filmé, mais les écrans doivent être floutés.
Rôle des instances représentatives
Le CSE doit être consulté avant toute installation. La procédure inclut :
- Un délai de réponse de 15 jours
- Une analyse des risques partagée
- Une charte interne validée par le CHSCT
Les employés ont aussi un droit d’accès à leurs images sous 48 heures. Un refus peut entraîner un contentieux devant les instances représentatives.
Les commerces et la vidéoprotection sous le RGPD
Les boutiques et magasins doivent adapter leurs systèmes de sécurité aux exigences légales. Une approche équilibrée permet de lutter contre les vols tout en protégeant les droits des clients.
Sécuriser les zones sensibles
Certains rayons nécessitent une vigilance accrue :
- Les bijouteries et pharmacies
- Les espaces alcools et cosmétiques
- Les entrées/sorties non surveillées
Une étude récente montre que les commerces conformes réduisent de 40% les vols. L’emplacement des caméras doit cibler précisément ces zones à risque.
Respecter les obligations d’information
L’affichage est un élément clé de conformité. 80% des litiges proviennent d’une signalisation incorrecte.
Les règles à suivre :
- Panneaux visibles à l’entrée et en caisse
- Pictogrammes normalisés (20×30 cm minimum)
- Mentions claires sur la finalité et les droits
Un audit trimestriel des enregistrements permet de vérifier la bonne application des règles.
Les caméras cachées sont strictement interdites. Même les dispositifs innovants comme les « fausses montres » peuvent entraîner des sanctions.
Établissements scolaires et immeubles d’habitation
Les établissements scolaires et les immeubles d’habitation doivent concilier sécurité et protection des données. Ces lieux sensibles nécessitent des règles adaptées pour éviter tout abus.
Sécurisation sans atteinte à la vie privée
Dans les écoles, filmer les salles de classe est interdit. Seules les zones communes (cours, entrées) peuvent être surveillées. Un collège français a par exemple limité ses caméras aux abords extérieurs.
Pour les immeubles, les espaces partagés (hall, parking) sont autorisés. Les parties privatives (logements) doivent rester hors champ. Une attention particulière est portée aux internats et activités périscolaires.
Gestion des accès aux images
Le chef d’établissement ou le syndic est responsable des enregistrements. Un journal de bord traçant chaque accès est obligatoire. Les résidents ou parents d’élèves peuvent demander à consulter les images sous 48 heures.
Les coûts de stockage sécurisé varient selon la durée :
- Environ 200€/an pour un immeuble de 50 logements
- Jusqu’à 500€/an pour un collège équipé de 10 caméras
« Un registre détaillé limite les risques de fuites et garantit la transparence. »
Erreurs à éviter pour une vidéosurveillance Respect du RGPD
Même avec les meilleures intentions, des erreurs courantes peuvent compromettre la conformité d’un système de surveillance. Voici les pièges à éviter pour rester dans les clous.
Sanctions récentes et cas pratiques
La CNIL a infligé plusieurs amendes significatives ces derniers mois. L’école ITIC a reçu une mise en demeure publique pour :
- Stockage des images pendant 6 mois sans justification
- Accès non sécurisé aux enregistrements
- Absence de registre des accès
Un restaurant parisien a écopé d’une amende de 20 000 €. Son système de streaming exposait les images en ligne sans cryptage. Ces exemples montrent l’importance d’une sécurisation rigoureuse.
Normes techniques incontournables
Les solutions techniques doivent répondre à des standards stricts :
- Chiffrement AES 256 pour les données stockées
- VPN obligatoire pour les accès distants
- Certification HDS pour les établissements de santé
Une checklist mensuelle permet de vérifier :
- Les angles de vue (pas de zones interdites)
- La durée de conservation effective
- Les journaux d’accès aux enregistrements
« 80% des non-conformités proviennent de négligences techniques simples à corriger. »
Les solutions cloud doivent impérativement offrir des garanties contractuelles. Privilégiez les prestataires avec certification ISO 27001.
Conclusion : Comment mettre en place une vidéosurveillance conforme ?
Adopter une approche méthodique garantit une surveillance légale et efficace. Suivez ces étapes clés pour une conformité RGPD sans faille : analyse d’impact, registre des traitements, et chiffrement des données.
Des outils comme le logiciel Leto simplifient la gestion du registre. Les organismes agréés (APAVE, Veritas) proposent des audits pour valider votre mise en place.
Prévoyez 3 à 6 mois pour finaliser le processus. Un guide pratique et des experts certifiés peuvent vous accompagner.
Besoin d’aide ? Profitez d’un diagnostic gratuit pour évaluer votre sécurité et protection données. Agissez maintenant pour éviter les sanctions.
