Vidéosurveillance RGPD : Guide Complet de Mise en Conformité
Depuis 2018, aucune déclaration à la CNIL n'est requise pour un système de vidéosurveillance professionnel, mais une conservation ne peut en principe dépasser un mois pour les images de vidéoprotection autorisée sur la voie publique. La conformité dépend donc moins d'un formulaire que de la finalité, du périmètre filmé, de l'information des personnes et du croisement entre RGPD et Code de la sécurité intérieure.
Vous avez peut-être déjà le problème sous les yeux. Les caméras sont installées, l'enregistreur fonctionne, l'accès à distance est activé, mais personne ne sait précisément pourquoi chaque angle a été choisi, combien de temps les images restent disponibles, ni qui peut les exporter. À l'entrée d'un commerce, l'objectif déborde sur le trottoir. À la sortie d'une école, des parents et des passants entrent dans le champ. Sur un site industriel, le quai visible depuis la rue relève potentiellement d'un autre régime que l'atelier.
La question « faut-il encore déclarer son système à la CNIL ? » appelle une réponse courte, mais pas simpliste. Depuis le 25 mai 2018, la déclaration préalable a disparu. Elle a été remplacée par une obligation plus exigeante en pratique, documenter le traitement, informer les personnes, sécuriser les images et démontrer que le dispositif est nécessaire et proportionné. Lorsqu'un espace ouvert au public ou la voie publique est filmé, une autorisation préfectorale peut en plus être requise.
Table des matières
- Pourquoi la vidéosurveillance n'est jamais un simple sujet technique
- Les trois piliers juridiques à maîtriser avant d'installer une caméra
- De l'analyse d'impact au registre des traitements, le parcours de conformité
- Quatre scénarios terrain pour comprendre qui est responsable
- IA embarquée et caméras augmentées, la nouvelle ligne de fracture
- Sécurité, hébergement et contrat avec le prestataire
- Grille d'auto-diagnostic et erreurs qui valent une sanction
Pourquoi la vidéosurveillance n'est jamais un simple sujet technique
Le dirigeant d'une PME découvre souvent le premier piège lors d'un audit d'angle. Il pensait avoir installé une caméra sur son portail, mais l'image montre aussi une portion de trottoir. L'installation n'est plus seulement une vidéosurveillance interne. Elle peut devenir de la vidéoprotection d'un espace accessible au public, avec des obligations supplémentaires prévues par le Code de la sécurité intérieure.
En France, deux cadres se superposent. Le RGPD encadre le traitement des images dès lors qu'une personne est identifiable. Le Code de la sécurité intérieure intervient notamment lorsque le dispositif concerne la voie publique ou un lieu ouvert au public. La CNIL rappelle cette distinction pour les établissements scolaires, et elle est tout aussi déterminante pour les commerces, les hôpitaux, les parkings et les sites logistiques.
Le champ de la caméra décide souvent du régime applicable
Une caméra placée dans une zone réservée au personnel ne se traite pas comme une caméra qui filme l'accueil d'un magasin. Le responsable de traitement doit d'abord cartographier les zones réellement captées, pas seulement celles prévues sur le plan d'installation. Un masquage optique ou logiciel peut réduire le périmètre, mais il doit être contrôlé après mise en service.
Le responsable varie aussi selon le site. Une commune peut porter le traitement dans une école publique, une entreprise dans son entrepôt, un commerçant dans son magasin, et un syndicat de copropriété ou le syndic selon le cadre de gestion retenu pour les parties communes. Le prestataire qui installe le matériel n'est pas automatiquement responsable du traitement. Il agit souvent comme sous-traitant, selon ses accès et ses instructions.
Règle de terrain : si personne ne peut expliquer, caméra par caméra, la zone filmée, la finalité et la personne autorisée à consulter les images, le dossier n'est pas prêt.
La technique ajoute une autre couche. Une caméra Full HD, un stockage cloud ou une fonction d'analyse embarquée ne sont pas neutres juridiquement. Une image nette facilite l'identification. Une alerte automatique produit des données et des journaux. Une fonction qui semble n'être qu'un réglage peut donc modifier le niveau de risque et les mesures à documenter.
Les trois piliers juridiques à maîtriser avant d'installer une caméra
La conformité tient sur un triptyque. Il faut une base légale identifiable, une finalité précise et un dispositif proportionné. Si l'un de ces éléments reste vague, l'installation devient difficile à défendre, même avec du matériel correctement configuré.
Une base légale qui correspond au projet
Le RGPD impose de rattacher le traitement à une base légale de l'article 6. Pour protéger des biens ou des personnes, l'intérêt légitime peut être retenu dans certains environnements professionnels, mais il ne dispense jamais de mise en balance. L'entreprise doit expliquer le risque concret, les mesures moins intrusives envisagées et la manière dont les personnes sont informées.
Le consentement est rarement une solution réaliste pour un flux vidéo permanent. Un client, un visiteur ou un salarié ne peut pas toujours refuser librement d'entrer dans une zone filmée. L'obligation légale ou la mission d'intérêt public peuvent s'appliquer dans d'autres configurations, notamment pour des organismes publics, mais elles doivent être établies à partir de la finalité réelle.
Une finalité qui ne change pas après l'installation
« Sécuriser les accès » est trop vague. La finalité doit préciser ce que le dispositif cherche à prévenir ou à constater, par exemple protéger une zone de stockage, détecter une intrusion ou sécuriser une entrée. Une caméra installée pour la sécurité ne doit pas devenir ensuite un outil de contrôle permanent du comportement ou de la productivité.
La conservation découle de cette finalité. La CNIL précise dans son guide consacré aux collectivités que quelques jours suffisent généralement pour vérifier un incident et que la conservation ne peut, en principe, dépasser un mois pour les images de vidéoprotection autorisée sur la voie publique. Une séquence extraite pour une procédure judiciaire, administrative ou disciplinaire peut être conservée séparément pendant la durée de cette procédure, avec traçabilité et accès restreint.
Une proportionnalité vérifiable
La proportionnalité se vérifie sur le terrain. Le champ couvre-t-il la zone utile ou les postes de travail en continu ? Le zoom permet-il d'observer davantage que nécessaire ? Les images sont-elles accessibles à une équipe entière alors que seules quelques personnes doivent les consulter ? Le dispositif répond-il à un risque documenté, ou a-t-il été installé « au cas où » ?
Le choix du matériel doit suivre cette analyse, pas l'inverse. Par exemple, la CA50HD est décrite comme une caméra tube Full Color avec IR, PoE et focale varifocale motorisée de 4,5 à 8 mm. Ces caractéristiques peuvent influencer le cadrage et la précision de l'image. Elles ne justifient jamais à elles seules une conservation plus longue ou une zone plus large.
Pour un espace ouvert au public, l'autorisation préfectorale doit être traitée séparément du RGPD. Depuis une réforme récente, les systèmes de vidéoprotection sont assimilés à des traitements de données personnelles et relèvent, selon leur finalité, des deux cadres, comme le rappelle l'avis publié au Journal officiel.
De l'analyse d'impact au registre des traitements, le parcours de conformité
Une installation solide laisse des traces écrites avant sa mise en service. En cas de plainte, la CNIL cherchera moins une brochure fabricant qu'une chaîne cohérente entre le besoin, le réglage, l'accès aux images et la suppression automatique.
Sept contrôles à effectuer avant la mise en service
Inscrire le traitement au registre. Décrivez les finalités, les catégories de personnes filmées, les destinataires, la durée, les mesures de sécurité et les éventuels sous-traitants. Le registre doit correspondre à la configuration réelle, pas au devis initial.
Informer les personnes au bon endroit. Le panneau doit être visible avant l'entrée dans la zone filmée et indiquer notamment la finalité, l'identité ou les coordonnées du responsable et les modalités d'exercice des droits. Une mention complète peut être rendue accessible par un second support, mais le premier niveau d'information ne doit pas être invisible ou illisible.
Documenter la durée. Paramétrez une purge automatique fondée sur une durée justifiée. Si un incident survient, exportez uniquement la séquence utile, consignez l'opération et séparez la copie du flux courant.
Organiser les demandes d'accès. Une personne doit savoir à qui adresser sa demande et l'équipe doit pouvoir retrouver la séquence sans donner accès aux images de tiers. Le floutage, le découpage et la vérification de l'identité font partie de la procédure.
Sécuriser les comptes et les flux. Utilisez des habilitations individualisées, retirez les accès des personnes qui changent de fonction et journalisez les consultations et les exports. Un compte partagé empêche de répondre correctement à la question « qui a regardé cette image ? ».
Évaluer la nécessité d'une AIPD. Une analyse d'impact est particulièrement importante lorsque la surveillance est systématique, que le lieu est sensible ou que des fonctions d'analyse avancée sont activées. L'absence d'AIPD ne devient pas acceptable simplement parce que le fournisseur a intégré la fonction dans la caméra.
Encadrer le prestataire. Le contrat doit préciser les instructions, les accès, la localisation, la sécurité, l'assistance, la restitution et la suppression des données. Vérifiez aussi la réplication éventuelle entre NVR, cloud et sauvegardes.
Ce que la CNIL vérifie réellement
Le point faible le plus fréquent est l'incohérence. Le registre prévoit une conservation courte, mais le NVR conserve davantage. Le panneau désigne une société qui n'est plus responsable. Le prestataire peut exporter les images, mais aucune trace de l'opération n'est disponible. Le cloud réplique les flux sans que cette circulation apparaisse dans la documentation.
Les équipes qui veulent rendre ces contrôles opérationnels peuvent aussi s'appuyer sur les formations Vizeo, en complément de leur propre analyse juridique et organisationnelle. La formation ne remplace ni le registre ni l'AIPD, mais elle peut aider les utilisateurs à appliquer les règles d'accès, d'export et de paramétrage.
Quatre scénarios terrain pour comprendre qui est responsable
Une même caméra peut relever de deux régimes juridiques sur un seul site. La marque ne détermine pas le cadre applicable. Il faut regarder la zone filmée, la finalité poursuivie et le statut de l'espace, puis croiser le RGPD avec le Code de la sécurité intérieure.
École
À l'entrée d'une école, une caméra peut filmer une partie du trottoir. La commune ou l'établissement compétent doit alors qualifier précisément le traitement, réduire le champ par masquage et déterminer si une autorisation préfectorale s'applique à la partie accessible au public ou visible depuis la voie publique. Le RGPD impose aussi d'informer les personnes, de documenter le traitement, de sécuriser les accès et de traiter les demandes de droit d'accès.
Un parent n'obtient pas automatiquement l'intégralité du flux. L'établissement doit examiner la demande, protéger les tiers visibles et vérifier si les images existent encore. Une AIPD se justifie dès que le dispositif peut créer un risque élevé, notamment en raison du public filmé ou de fonctions d'analyse activées.
Site industriel ou entrepôt
Un quai logistique visible depuis la rue ne se traite pas comme une zone de stockage réservée au personnel. Dans l'atelier et les espaces internes, l'entreprise doit établir la finalité, informer les salariés et cadrer les images au plus près du risque identifié. Si une partie est ouverte au public ou visible depuis l'espace public, elle doit aussi examiner le régime du Code de la sécurité intérieure et la nécessité d'une autorisation préfectorale.
La caméra ne doit pas devenir un outil de mesure permanente de la productivité. Les postes de travail, les zones de pause, les sanitaires et les espaces comparables doivent rester hors champ. Pour démontrer la nécessité du dispositif, il faut relier chaque vue à un risque concret et conserver la logique des réglages, plutôt que s'appuyer sur le seul souvenir d'un incident.
Commerce
Un commerce réunit des clients, des salariés et parfois des livreurs. La caisse, l'entrée et le parking visiteurs doivent être cartographiés séparément, car leurs usages et leurs risques diffèrent. Le commerçant ou la société exploitante reste responsable du traitement, même si un intégrateur installe et entretient le matériel.
Une caméra qui déborde sur le trottoir peut faire relever une partie du projet de la vidéoprotection soumise au Code de la sécurité intérieure. Pour les espaces communs ou les zones d'accueil, le DA350PAP est décrit comme un dôme intérieur ou extérieur Full Color. Le cadrage doit ensuite être réglé pour couvrir uniquement la zone nécessaire.
Copropriété
Dans une copropriété, le responsable doit être désigné avant la pose. Les parties communes, les accès et le parking n'impliquent ni les mêmes finalités ni les mêmes droits de consultation. Le syndic peut participer à la gestion, mais il faut identifier l'entité qui décide pourquoi les images sont collectées et qui peut les recevoir.
Les caméras ne doivent pas filmer l'intérieur des logements, les portes de façon excessive ou la voie publique au-delà de ce qui est strictement justifié. Les résidents doivent connaître le responsable, la finalité du dispositif et la procédure d'accès. Les règles adaptées à ce contexte sont présentées dans les solutions de vidéosurveillance pour copropriété.
| Scénario | Responsable de traitement | Base légale RGPD | AIPD requise | Autorisation préfectorale |
|---|---|---|---|---|
| Établissement scolaire | Commune ou établissement compétent | Mission d'intérêt public ou autre base documentée selon le responsable | À examiner si le public, le périmètre ou les fonctions créent un risque élevé | À déterminer lorsque la caméra couvre la voie publique ou un espace ouvert au public |
| Site industriel | Entreprise exploitante | Intérêt légitime ou autre base documentée | À documenter si la surveillance est étendue, régulière ou associée à des fonctions d'analyse | À examiner pour le quai, l'accès ou toute zone ouverte au public |
| Commerce | Commerçant ou société exploitante | Intérêt légitime ou autre base documentée | À envisager si le dispositif combine plusieurs zones, usages ou fonctions | À vérifier lorsque le champ atteint un espace accueillant du public |
| Copropriété | Responsable désigné par la copropriété | Intérêt légitime ou autre base documentée | À évaluer si le périmètre couvre des espaces à usage récurrent du public | À déterminer si l'installation concerne un espace ouvert au public |
IA embarquée et caméras augmentées, la nouvelle ligne de fracture
Activer l'IA d'une caméra ne constitue pas une simple optimisation technique. La CNIL considère qu'une image contenant des personnes reste un traitement de données personnelles même lorsque l'analyse est automatisée, probabiliste ou suivie d'une anonymisation rapide, comme l'explique sa position sur les caméras intelligentes et augmentées.
Trois niveaux à ne pas confondre
La détection d'un franchissement de ligne, d'une présence dans une zone ou d'un mouvement produit une alerte liée à un événement. Elle peut être moins intrusive qu'une identification individuelle, mais elle doit tout de même être documentée, réglée et associée à une politique d'accès aux alertes.
La catégorisation d'objets, de silhouettes ou de véhicules crée un niveau de risque supérieur lorsque l'analyse concerne des personnes. Les responsables doivent limiter les attributs analysés, contrôler les faux positifs et prévoir une intervention humaine avant toute décision visant une personne.
L'identification biométrique cherche à reconnaître automatiquement un individu à partir de caractéristiques physiques, physiologiques ou comportementales. Elle relève de données sensibles au sens de l'article 9 du RGPD et fait l'objet d'un encadrement renforcé. Une fonction de reconnaissance faciale ne peut donc pas être traitée comme une simple détection de présence.
Avis opérationnel : « l'IA était activée par défaut par le fournisseur » n'est pas une justification. Le responsable décide du scénario, de la finalité, des personnes habilitées et de la durée des alertes.
Le cadre expérimental prévu par la loi JOP 2024 pour certaines caméras augmentées était limité à certains événements et jusqu'au 31 mars 2025. Après cette période, les exploitants doivent éviter de prolonger mécaniquement des paramétrages dont la justification n'est plus établie. Conservez les documents de conception, les journaux d'alerte utiles et la preuve de proportionnalité, puis désactivez les fonctions identifiantes qui ne reposent pas sur un cadre applicable.
Les fabricants et intégrateurs peuvent proposer des scénarios de détection, mais le responsable doit les valider avant déploiement. La gamme de produits Vizeo peut inclure des caméras avec analyse d'événements, ce qui rend indispensable une revue du paramétrage, des données produites et des habilitations.
Sécurité, hébergement et contrat avec le prestataire
Un traitement conforme peut devenir vulnérable si n'importe quel installateur conserve un compte administrateur, si les exports ne sont pas journalisés ou si les sauvegardes ne sont jamais testées. La sécurité doit couvrir la caméra, le NVR, les applications, le cloud, les postes de consultation et les supports d'export.
La vérification technique que je recommande
Commencez par les habilitations. Chaque utilisateur doit disposer d'un compte individuel, avec un rôle limité à ses besoins. L'administrateur ne doit pas être le compte quotidien du responsable de site. Les accès aux images en direct, aux archives, aux exports et à la configuration doivent être séparés lorsque le contexte le justifie.
Ensuite, vérifiez les protections en transit et au repos, la journalisation des consultations, la gestion des sauvegardes et la suppression en fin de durée. Le chiffrement ne compense pas une conservation excessive, mais l'absence de protection augmente fortement l'impact d'un accès non autorisé.
L'hébergement doit être documenté. Demandez où les données sont stockées, qui peut y accéder, dans quel pays le support intervient et comment les copies sont supprimées. Une mention générale de « cloud sécurisé » ne suffit pas pour le registre ou le contrat.
Le contrat qui évite les zones grises
Le contrat de sous-traitance doit reprendre les instructions du responsable, les mesures de sécurité, la confidentialité, l'assistance en cas de demande de droit, la notification des violations, la gestion des sous-traitants ultérieurs et la suppression ou restitution des données. Il doit aussi préciser si le prestataire peut visualiser les flux pour la maintenance et pendant combien de temps.
Vizeo indique assembler ses enregistreurs en France, utiliser un hébergement OVH en Europe et proposer les environnements MyVizeo et VizeoCloud pour superviser l'accès et l'exploitation des flux. Ces éléments doivent être vérifiés dans les documents contractuels et techniques du projet, puis alignés avec la politique de conservation du responsable.
Le réglage en deux phases est une bonne méthode de terrain. On active uniquement les scénarios nécessaires, on observe les alertes, on corrige les zones qui déclenchent trop de faux positifs, puis on documente la configuration retenue. Réduire les alertes inutiles limite les consultations et les exports, donc la surface d'exposition.
Un support de formation peut compléter la procédure, mais il ne remplace pas les tests. Faites réaliser un export, vérifiez sa trace, simulez une suppression automatique et retirez un compte de test. Le procès-verbal de recette doit mentionner ces contrôles.
Grille d'auto-diagnostic et erreurs qui valent une sanction
Vous pouvez tester votre installation ce soir avec une grille courte. Cochez uniquement ce que vous pouvez démontrer par un document, un réglage ou une trace technique.
- Registre à jour. Les caméras, finalités, zones, destinataires et durées correspondent à la configuration actuelle.
- Information visible. Les personnes voient le premier niveau d'information avant d'entrer dans le champ.
- Durée paramétrée. La purge automatique fonctionne et sa durée repose sur une finalité écrite.
- AIPD évaluée. Vous avez conclu par écrit qu'elle n'est pas nécessaire, ou vous l'avez réalisée lorsque le risque est élevé.
- Prestataire encadré. Le contrat définit les accès, la sécurité, l'hébergement, l'assistance et la suppression.
- Accès sécurisés. Les comptes sont individuels, les habilitations limitées et les consultations traçables.
- Droits opérationnels. Une personne sait recevoir, instruire et traiter une demande d'accès ou une réclamation.
Trois erreurs reviennent dans les dossiers. La première consiste à conserver les images pendant six mois « parce que le disque le permet ». La CNIL rappelle que la capacité du NVR ou du cloud ne justifie pas la durée. La deuxième est d'activer une identification biométrique sans qualification juridique ni encadrement adapté. La troisième est de négliger l'information, notamment lorsque des salariés, des clients ou des riverains entrent dans le champ.
En cas de demande d'accès, ne supprimez pas précipitamment la séquence et ne transmettez pas le flux brut sans analyse des tiers. En cas de violation, préservez les journaux, désactivez les accès compromis et documentez les décisions. En cas de contrôle, fournissez une chaîne cohérente, du plan de caméra jusqu'à la purge.
Vizeo accompagne les collectivités, écoles, établissements de santé, commerces, sites industriels et copropriétés dans l'étude, le choix du matériel, le paramétrage et la mise en service d'un dispositif de vidéoprotection. Pour cadrer votre installation et vérifier que la technique reste alignée avec vos obligations RGPD, consultez Vizeo et demandez un échange sur votre site.