Tout dépend de l'emplacement et de l'accessibilité de la zone filmée. Si les caméras filment des espaces ouverts au public (hall d'accueil, magasin, caisses, parkings extérieurs ouverts), vous dépendez du Code de la sécurité intérieure (CSI) : l'autorisation préfectorale est obligatoire avant toute mise en service. Vous restez également soumis au RGPD et au Code du travail.

Si les caméras filment des zones strictement privées et fermées au public (bureaux internes non ouverts au public, entrepôts logistiques réservés au personnel), le régime du CSI ne s'applique pas, mais vous restez soumis au RGPD et au Code du travail.

C'est le principe de l'interdiction de base. Par défaut, il est strictement interdit de filmer la voie publique (trottoirs, rue, façades d'en face).

Une tolérance (ou dérogation) peut être accordée par le préfet uniquement si la sécurisation des accès de votre établissement le justifie impérativement. Dans ce cas, les zones non autorisées de la voie publique doivent être obligatoirement masquées par programmation technique (privacy masks : masquage opaque ou floutage).

Oui. Toute modification substantielle d'un système soumis au Code de la sécurité intérieure (ajout de caméras, modification significative de l'angle de vision, déplacement vers une zone non couverte initialement, délai de conservation modifié) nécessite une déclaration de modification du système qui conduira à la mise à jour de l'arrêté préfectoral.

De plus, le registre RGPD et la cartographie interne doivent obligatoirement être actualisés, sans exclure les documents pouvant être demandés par la préfecture.

Oui, l'autorisation n'est pas définitive. En vertu de la réglementation du Code de la sécurité intérieure (CSI), un arrêté préfectoral de vidéoprotection est accordé pour une durée limitée, fixée par la loi à 5 ans.

La démarche de renouvellement : 4 mois avant l'échéance de cette période quinquennale, l'exploitant doit impérativement anticiper et déposer un dossier de renouvellement auprès de la préfecture pour continuer à exploiter son installation en toute légalité.

Exploiter un système dont l'arrêté préfectoral est périmé équivaut à un défaut d'autorisation, exposant l'établissement aux sanctions administratives et pénales.

Attention : une déclaration de modification du système ne conduit pas systématiquement à prolonger la validité de l'arrêté préfectoral initial.

La règle générale impose une durée de conservation la plus courte possible, proportionnelle à la finalité poursuivie.

En pratique, et sauf exception accordée dans le cadre d'une procédure judiciaire en cours, la durée maximale de conservation admise par les autorités est de 30 jours maximum. Toutefois, ce délai est laissé à l'appréciation du magistrat qui siège en Commission Départementale.

Au-delà, les données doivent s'effacer automatiquement.

Oui. L'arrêté ministériel du 3 août 2007 fixe les normes techniques applicables aux systèmes de vidéoprotection.

Le matériel doit garantir :

• La sécurité des enregistrements (protection contre le piratage ou la modification)
• La traçabilité des accès
• Une qualité d'image suffisante pour permettre l'identification ou l'exploitabilité en cas d'incident

L'Annexe 1 du CERFA, et le Rapport de présentation peut parfois l'accompagner, valide votre respect de ces normes.

L'exploitant ne peut pas diffuser les images de l'infraction sur les réseaux sociaux ou dans les médias pour « faire justice soi-même » (ce qui constituerait une violation du RGPD et du droit à l'image des auteurs présumés).

Les images doivent être exportées de manière sécurisée et transmises exclusivement aux forces de l'ordre (police ou gendarmerie) dans le cadre d'une plainte ou d'une réquisition judiciaire.

Si le système fait l'objet d'un contrat de maintenance ou si l'exploitant a pris les mesures de diligence raisonnables pour réparer la panne dans un délai normal, sa responsabilité ne peut être engagée de plein droit.

En revanche, si la défaillance découle d'un défaut d'entretien chronique ou d'un matériel non conforme aux normes, la responsabilité de l'exploitant (et/ou de l'installateur lié par un contrat de maintenance) peut être recherchée.

C'est tout à fait possible, mais cela implique des exigences strictes :

• Le prestataire d'hébergement ou de cloud est considéré comme un sous-traitant au sens du RGPD ; un contrat spécifique (clauses sur la protection des données) doit l'encadrer.
• Les serveurs et les flux de données doivent être hébergés au sein de l'Union Européenne (ou dans un pays offrant un niveau de protection adéquat) pour éviter les transferts illicites vers des juridictions étrangères non conformes.
• La sécurité des flux (chiffrement de bout en bout) doit être irréprochable.

Non, c'est strictement interdit.

Diffuser les images en direct sur des moniteurs visibles du public ou de clients constitue une atteinte grave à la vie privée.

La dissuasion doit être assurée par les panonceaux d'information réglementaires, et non par l'exposition en direct des personnes.

Des aménagements techniques peuvent également être opérés : filtre de confidentialité, mobilier rendant inaccessible la vue du moniteur.

Les panonceaux doivent être permanents, lisibles et apposés à l'entrée des zones filmées. Ils doivent comporter :

• Un pictogramme représentant une caméra
• La référence aux textes réglementaires applicables
• La/les finalité(s) du traitement
• Le service ou la personne auprès de qui exercer son droit d'accès (avec des coordonnées de contact)
• Un lien numérique vers une information de second niveau (QR code ou URL)reprenant l'intégralité des mentions de l'article 13 du RGPD : droits, DPO, réclamation CNIL, durées détaillées.

Si les caméras filment des zones où travaillent des salariés (sans pour autant faire l'objet d'une surveillance individualisée permanente, qui est interdite) :

• Vous devez, le cas échéant, impérativement consulter au préalable le CSE (Comité Social et Économique) ou les représentants du personnel afin de recueillir leur avis.
• Vous devez informer chaque salarié collectivement (affichage) et individuellement (Contrat de travail ou avenant) et par écrit de la présence des caméras, de leur emplacement, de leur finalité et de leurs droits d'accès.

Dans un établissement recevant du public (ERP) ou un commerce, la liberté d'installer des caméras est strictement encadrée par le principe de proportionnalité (RGPD et Code du travail).

À l'égard de la clientèle :

Zones interdites : Les cabines d'essayage, les sanitaires, ainsi que les espaces intimes ou de soins spécifiques sont des lignes rouges absolues.

Zones à aménager : Les caméras ne doivent pas filmer de manière constante les zones de repos des clients ou capter l'intimité des transactions de manière excessive. Le champ de vision des caméras de caisse doit être réglé pour se concentrer sur la sécurisation des flux financiers et des marchandises, sans enregistrer les codes confidentiels des cartes bancaires (les flux de frappe du TPE doivent être masqués ou hors champ).

À l'égard du personnel (Salariés) :

Zones interdites : Les salles de repos, les vestiaires et les toilettes du personnel sont strictement interdits d'accès aux caméras.

Zones à aménager (Postes de travail) : Il est formellement interdit de filmer un salarié en permanence de manière individualisée sur son poste de travail (ex: une caméra braquée en permanence au-dessus d'un bureau ou d'une caisse pour surveiller ses faits et gestes ou mesurer sa cadence). Les caméras doivent filmer une zone globale (les accès, les allées, les zones de stockage ou de caisse dans leur ensemble) pour la sécurité des biens et des personnes, mais en aucun cas constituer un outil de « flicage » ou d'évaluation individualisée des performances professionnelles.

Oui, toute personne filmée dispose d'un droit d'accès aux images qui la concernent (en vertu du RGPD).

Attention : Pour des raisons de sécurité et de protection de la vie privée des tiers, le demandeur ne peut voir que les images le représentant lui-même. Les autres personnes présentes sur la séquence doivent être floutées ou masquées.

En cas de refus injustifié ou de non-réponse dans un délai d'un mois, l'exploitant s'expose à des sanctions de la part de la CNIL.

Notre conseil : faites remplir un formulaire de demande d'accès aux images et faites droit à cette demande AVANT l'effacement automatique des images.

L'accès aux images doit être strictement restreint et cloisonné.

Seules les personnes expressément habilitées en raison de leurs fonctions (le dirigeant, le responsable de site, le responsable de la sécurité désigné, ou les agents de sécurité assermentés) peuvent consulter les flux ou les extractions.

Transmettre les codes d'accès ou laisser un écran à la vue de tout le personnel ou du public constitue une infraction majeure.

Oui, c'est techniquement tout à fait possible et toléré, mais sous des conditions de sécurité très strictes.

Le visionnage à distance (via une application mobile ou un portail web sécurisé) est assimilé à un accès aux images et au traitement de données personnelles. Pour être en conformité :

• L'accès distant doit être protégé par une authentification forte (mot de passe robuste, double facteur d'authentification - 2FA).
• Le flux vidéo doit impérativement être chiffré de bout en bout pour interdire toute interception malveillante sur le réseau.
• Le principe de minimisation et de restriction des habilitations s'applique : seul le chef d'entreprise ou les personnes expressément habilitées peuvent disposer de cet accès sur leur terminal personnel ou professionnel, dans le respect de la vie privée des tiers.

Plusieurs autorités disposent de pouvoirs de contrôle en matière de vidéoprotection selon la nature de votre structure et les zones filmées :

• Les services de la Préfecture (Police / Gendarmerie et référents vidéoprotection) : Ils contrôlent l'application du Code de la Sécurité Intérieure (CSI), l'existence de l'arrêté préfectoral et le respect du champ de vision autorisé.
• La CNIL (Commission Nationale de l'Informatique et des Libertés) : Elle contrôle l'application du RGPD et de la Loi Informatique et Libertés (sécurité des serveurs, registre des traitements, droit d'accès, information des personnes). Ses agents peuvent effectuer des contrôles sur pièces ou inopinés sur place.
• L'Inspection du Travail (DREETS) : Elle intervient sur le fondement du Code du travail si des salariés sont susceptibles d'être filmés, pour vérifier la consultation préalable du CSE et l'absence de surveillance individualisée permanente.

En cas de contrôle inopiné, l'exploitant doit pouvoir présenter immédiatement un dossier de conformité complet comprenant :

• L'arrêté préfectoral d'autorisation en cours de validité (pour les zones soumises au CSI)
• Le registre des activités de traitement (exigé par le RGPD) consignant les finalités, les flux et les durées de conservation
• La documentation technique du système attestant de sa conformité avec l'arrêté du 3 août 2007 (notamment sur la sécurisation des accès et la purge automatique des données)
• Les justificatifs de l'information des personnes (modèles de panonceaux d'affichage, notes d'information remises aux salariés)
• Le procès-verbal de consultation du CSE (le cas échéant) si des salariés sont concernés

Il n'existe pas de délai légal unique ou automatique : tout dépend de la gravité de l'infraction constatée et de l'autorité de contrôle :

En cas de mise en demeure (CNIL ou Préfecture) : L'autorité fixe souverainement un délai de régularisation qui varie généralement entre 15 jours et 1 mois (parfois étendu à 2 ou 3 mois selon la complexité technique des modifications à apporter, comme le redéploiement de caméras ou la mise en place de masques de confidentialité).

En cas de manquement grave ou d'absence totale d'autorisation (infraction pénale) : L'ordre de cessation immédiate de l'exploitation ou de désinstallation peut être prononcé sans délai, assorti d'une interdiction d'utiliser le matériel jusqu'à régularisation complète.

Oui, totalement. En tant que professionnel sachant, l'installateur est tenu d'un devoir de conseil rigoureux.

Si le système posé ne respecte pas les réglementations (caméras braquées illégalement sur la voie publique, absence de mise en garde sur l'obligation d'un arrêté préfectoral, matériel ne permettant pas la suppression automatique des données à 30 jours), sa responsabilité contractuelle peut être engagée par le client devant les tribunaux civils.

L'installateur s'expose à des demandes de dommages-intérêts, à l'annulation de la vente ou à des appels en garantie si l'exploitant est condamné, d'où l'importance de faire signer en amont un document de décharge et d'information réglementaire (type notice de conformité).

Pendant longtemps, toute preuve issue d'un système non-conforme ou irrégulier était automatiquement rejetée par les juges (principe de l'irrecevabilité absolue).

La jurisprudence a profondément évolué, notamment depuis un arrêt fondateur de l'Assemblée plénière de la Cour de cassation du 22 décembre 2023, confirmé par la suite en matière sociale.

Aujourd'hui, l'illicéité ou l'irrégularité d'un moyen de preuve n'entraîne plus automatiquement son rejet des débats. Le juge opère un contrôle de proportionnalité et une mise en balance des intérêts entre le droit au respect de la vie privée et le droit à la preuve.

Pour qu'une vidéo issue d'un dispositif non-conforme soit exceptionnellement admise par le juge :

1. La production de cette preuve doit être indispensable à l'exercice du droit à la preuve de la partie qui l'invoque (pour prouver un vol caractérisé, une faute lourde, etc.).
2. L'atteinte générée à la vie privée doit être strictement proportionnée au but poursuivi.

Attention : Même si la jurisprudence permet parfois de sauver une preuve dans le cadre d'un litige grave, exploiter un système non-conforme expose l'entreprise à des sanctions administratives lourdes de la part de la CNIL ou de la Préfecture, indépendamment du sort de la preuve au tribunal.