Quelles règles pour installer des caméras de vidéosurveillance ?

Vidéosurveillance ou vidéoprotection ?

Le droit français distingue deux régimes selon le lieu filmé. Les caméras installées dans un lieu non ouvert au public, comme des bureaux, un entrepôt, des réserves ou les parties communes d'un immeuble d'habitation, relèvent du RGPD et de la loi Informatique et Libertés : c'est la vidéosurveillance au sens courant. Les caméras qui filment un lieu ouvert au public, comme la surface de vente d'un commerce, l'accueil d'une agence ou un restaurant, ou la voie publique, relèvent du Code de la sécurité intérieure et nécessitent une autorisation préalable du préfet : c'est la vidéoprotection. Dans les deux cas, les principes de proportionnalité et d'information s'appliquent.

Des finalités légitimes et limitées

Les caméras peuvent servir à assurer la sécurité des biens et des personnes, à prévenir les vols ou les dégradations, à identifier les auteurs d'infractions. Elles ne doivent pas être utilisées pour contrôler en continu le travail ou le comportement des salariés. La CNIL rappelle que les caméras doivent filmer les accès (entrées, sorties, issues de secours), les zones de stockage de marchandises ou de valeurs et les zones de circulation, mais pas les postes de travail en permanence, sauf circonstance particulière comme un salarié manipulant des fonds ou des objets de grande valeur. Elles ne doivent jamais filmer les zones de pause, les toilettes, les vestiaires ni les locaux syndicaux.

L'information des personnes

Les personnes filmées doivent être informées, au moyen de panneaux affichés de façon visible dans les lieux concernés, de l'existence du dispositif, de l'identité du responsable, de la finalité, de la durée de conservation, de la possibilité de saisir la CNIL et de la procédure pour accéder aux images. Le panneau peut renvoyer à une notice plus détaillée. Pour les salariés, une information individuelle préalable est en outre obligatoire (article L. 1222-4 du Code du travail), ainsi que l'information et la consultation du comité social et économique lorsqu'il existe.

La durée de conservation

Les images doivent être conservées le temps nécessaire pour déceler un incident et, le cas échéant, engager une procédure : la CNIL estime que quelques jours suffisent en général et que la durée ne doit pas dépasser un mois. En vidéoprotection, le Code de la sécurité intérieure fixe aussi un plafond d'un mois, sauf procédure judiciaire en cours. Lorsqu'un incident se produit, les images utiles peuvent être extraites et conservées pour la durée de la procédure. Les durées de référence des autres traitements figurent dans le guide de la durée de conservation.

L'accès aux images

Seules les personnes habilitées, dans le cadre de leurs fonctions, peuvent visionner les images : le responsable de la sécurité, le dirigeant, éventuellement un prestataire de télésurveillance. L'accès doit être protégé par un mot de passe et tracé. Les personnes filmées peuvent exercer leur droit d'accès aux images qui les concernent, en masquant les autres personnes. La transmission des images à la police ou à la gendarmerie se fait sur réquisition, ou à l'appui d'une plainte.

Les caméras des particuliers

Un particulier peut installer des caméras chez lui pour protéger son domicile, à condition de ne filmer que l'intérieur de sa propriété. Filmer la voie publique, le jardin ou l'entrée d'un voisin est interdit et peut constituer une atteinte à la vie privée. Les sonnettes vidéo et les caméras connectées doivent donc être orientées en conséquence. Si une aide à domicile ou une nounou travaille chez le particulier, celui-ci devient employeur : il doit l'informer de la présence des caméras et ne pas la filmer en permanence.

Les caméras « augmentées »

Les caméras couplées à des logiciels d'analyse automatique des images, capables de détecter des comportements, de compter des personnes ou de reconnaître des visages, posent des questions particulières. La reconnaissance faciale traite des données biométriques et relève de l'article 9 du RGPD ; elle est en pratique interdite pour la surveillance d'un public, en dehors d'expérimentations prévues par la loi. Les dispositifs d'analyse automatisée nécessitent presque toujours une analyse d'impact, et certains usages sont interdits ou classés à haut risque par le règlement européen sur l'intelligence artificielle.

Le cadre juridique en détail

Deux régimes coexistent. La vidéosurveillance des lieux non ouverts au public, comme les bureaux, les entrepôts, les réserves ou les parties communes réservées aux résidents, relève du RGPD et de la loi Informatique et Libertés ; aucune autorisation préalable n'est nécessaire, mais le responsable doit respecter l'ensemble des obligations, inscrire le dispositif au registre et, le cas échéant, consulter le comité social et économique. La vidéoprotection des lieux ouverts au public, comme les magasins, les restaurants, les halls d'accueil, et de la voie publique relève du Code de la sécurité intérieure, articles L. 251-1 et suivants ; elle nécessite une autorisation préalable du préfet, délivrée après avis d'une commission départementale. Un même commerce peut ainsi combiner les deux régimes : vidéoprotection de l'espace de vente, autorisée par le préfet, et vidéosurveillance de la réserve, soumise au seul RGPD.

Les règles d'implantation des caméras

Le positionnement des caméras est déterminant pour la conformité. Les caméras peuvent filmer les accès des locaux, les issues de secours, les zones de stockage de marchandises ou d'objets de valeur, les caisses dans certaines conditions et les espaces de circulation. Elles ne doivent pas filmer les salariés sur leur poste de travail de manière continue, sauf circonstances particulières comme la manipulation d'argent, et dans ce cas elles doivent davantage filmer la caisse que le caissier. Elles ne doivent jamais filmer les zones de pause, les vestiaires, les toilettes ou les locaux des représentants du personnel. Pour la voie publique, seules les autorités publiques peuvent la filmer, et un commerçant ne peut filmer que les abords immédiats de son établissement en cas de risque particulier d'agression, avec l'autorisation du préfet. Les caméras orientées vers les fenêtres d'habitations voisines doivent être masquées.

Le son et les micros

De nombreuses caméras vendues dans le commerce intègrent un micro. La CNIL considère que l'enregistrement du son, en plus des images, est en principe excessif dans le cadre d'une vidéosurveillance de sécurité, car il permet d'écouter les conversations et porte une atteinte disproportionnée à la vie privée. Elle a sanctionné plusieurs employeurs dont les caméras enregistraient les conversations des salariés. La fonction audio doit donc être désactivée, sauf justification exceptionnelle. Il en va de même pour les fonctions de reconnaissance faciale ou d'analyse comportementale intégrées à certains équipements, qui relèvent d'un régime beaucoup plus strict.

L'information des personnes en détail

Les personnes filmées doivent être informées par des panneaux affichés de façon visible à l'entrée des zones filmées. Le premier niveau d'information, sur le panneau, comporte un pictogramme représentant une caméra, la mention de l'existence du dispositif, l'identité du responsable, la finalité et un moyen de contact pour exercer ses droits. Le second niveau, accessible par exemple sur un site internet ou à l'accueil, détaille les autres informations prévues par l'article 13, comme la base légale, la durée de conservation, les destinataires et les droits. Pour les salariés, une information individuelle est également nécessaire, par une note de service, un avenant ou une mention dans le règlement intérieur, et le comité social et économique doit être informé et consulté préalablement à la mise en place du dispositif.

La conservation et l'accès aux images

Les images ne doivent pas être conservées plus longtemps que nécessaire à la finalité. La CNIL considère qu'une durée de quelques jours suffit en général pour constater un incident, et que la conservation ne devrait pas excéder un mois. Pour la vidéoprotection, la durée est fixée par l'autorisation préfectorale, dans la limite d'un mois prévue par le Code de la sécurité intérieure. En cas d'incident, les images concernées peuvent être extraites et conservées le temps de la procédure, notamment pour être remises aux forces de l'ordre. L'accès aux images est limité à des personnes habilitées, désignées nommément, et chaque consultation doit être tracée. L'enregistreur doit être protégé dans un local fermé ou par un mot de passe robuste, et l'accès à distance par une application doit être sécurisé par une authentification forte.

Les caméras dans les immeubles d'habitation

Dans les copropriétés, l'installation de caméras dans les parties communes doit être votée en assemblée générale, à la majorité prévue par la loi du 10 juillet 1965. Les caméras peuvent filmer les entrées, les halls, les parkings et les locaux techniques, mais pas les portes des appartements de façon à surveiller les allées et venues d'un occupant. L'accès aux images est réservé au syndic, au gardien ou à quelques personnes désignées, et les images peuvent être transmises aux forces de l'ordre. Dans les logements sociaux, les bailleurs peuvent installer des dispositifs dans les parties communes et, dans certaines conditions, transmettre les images en temps réel à la police en cas de circonstances faisant redouter des atteintes graves. Les résidents doivent être informés par des panneaux.

Les caméras des particuliers

Un particulier peut installer des caméras à l'intérieur de son domicile ou dans son jardin, pour assurer la sécurité de ses biens. Il ne doit filmer que sa propriété : filmer la voie publique, l'entrée de la maison voisine ou le jardin d'un voisin est interdit et peut constituer une atteinte à la vie privée sanctionnée par le Code civil et le Code pénal. Lorsque le particulier emploie une personne à domicile, comme une aide ménagère ou une nounou, il doit l'informer de la présence des caméras et ne pas la filmer en permanence pendant son travail, ni dans les espaces de repos qui lui sont réservés. Les sonnettes vidéo et les caméras connectées doivent être orientées et paramétrées de manière à ne pas capter les passants au-delà de ce qui est nécessaire.

Les caméras augmentées et la loi JO

Les caméras augmentées, couplées à des logiciels d'analyse automatique des images, se développent pour détecter des événements comme des mouvements de foule, des objets abandonnés ou des comportements jugés anormaux. La CNIL a publié en 2022 une position sur ces dispositifs dans l'espace public, estimant que la plupart d'entre eux nécessitent une base légale spécifique compte tenu des risques pour les libertés. La loi du 19 mai 2023 relative aux Jeux olympiques et paralympiques a autorisé à titre expérimental l'usage de traitements algorithmiques sur les images de vidéoprotection et de drones pour détecter certains événements prédéterminés lors de grandes manifestations, sans reconnaissance faciale, jusqu'au 31 mars 2025. Une prolongation adoptée en 2025 dans une loi sur la sûreté dans les transports a été censurée par le Conseil constitutionnel pour des raisons de procédure, et la pérennisation de ces dispositifs reste débattue. Le règlement européen sur l'IA encadre aussi strictement ces usages et interdit, sauf exceptions, l'identification biométrique à distance en temps réel dans l'espace public par les forces de l'ordre.

Les sanctions en matière de vidéosurveillance

La vidéosurveillance figure parmi les premiers motifs de plainte des salariés et de sanction de la CNIL, en particulier dans le cadre de la procédure simplifiée. Les manquements relevés sont récurrents : caméras filmant en permanence le poste de travail, enregistrement du son, absence d'information des salariés, conservation excessive des images, accès non sécurisé à l'enregistreur, absence de consultation du comité social et économique. Les amendes varient de quelques milliers d'euros pour une petite entreprise à plusieurs dizaines de milliers d'euros pour des structures plus importantes. Les images obtenues par un dispositif illicite peuvent par ailleurs être écartées par le juge prud'homal, même si la Cour de cassation admet désormais, dans certaines conditions, la production de preuves illicites lorsqu'elle est indispensable à l'exercice du droit à la preuve et proportionnée au but poursuivi.

Les drones et les caméras mobiles

Les caméras mobiles, portées par des agents ou embarquées sur des drones, posent des questions spécifiques. Les caméras individuelles des agents de police, de gendarmerie, de police municipale ou de certains agents de transport sont encadrées par le Code de la sécurité intérieure, qui fixe les conditions d'enregistrement, l'information des personnes et la durée de conservation. L'usage de drones par les forces de l'ordre a été encadré par une loi de 2022 après plusieurs décisions du Conseil d'État et une sanction de la CNIL contre le ministère de l'Intérieur en 2021. Pour un particulier ou une entreprise, filmer des personnes avec un drone sans leur accord peut porter atteinte à leur vie privée, et la diffusion des images suppose leur consentement lorsqu'elles sont identifiables. Les règles de l'aviation civile s'ajoutent à ces exigences.

Les caméras dans les établissements recevant du public

Les commerces, restaurants, hôtels, banques, pharmacies et établissements de loisirs utilisent largement la vidéoprotection. L'autorisation préfectorale fixe le périmètre filmé, la durée de conservation et les personnes habilitées à visionner les images. Elle est délivrée pour cinq ans renouvelables. Le responsable doit afficher les panneaux d'information, tenir un registre des enregistrements et des consultations, et permettre aux personnes filmées d'accéder aux images les concernant. Les écrans de visionnage ne doivent pas être visibles du public, sauf pour un écran de dissuasion affichant des images en direct à l'entrée, dont l'usage doit rester proportionné.

Vidéosurveillance et droit d'accès

Toute personne filmée peut demander à accéder aux images la concernant, dans la limite de la durée de conservation. Le responsable doit alors retrouver les séquences, à partir de la date, de l'heure et du lieu indiqués par la personne, et les lui communiquer en masquant les autres personnes identifiables, ou proposer un visionnage sur place lorsque le masquage est impossible. Il peut refuser si la communication porterait atteinte aux droits de tiers ou à une enquête en cours. Compte tenu des courtes durées de conservation, la demande doit être faite rapidement. Les salariés peuvent aussi exercer ce droit, par exemple pour contester une sanction fondée sur des images.

Un dispositif à réévaluer

Un dispositif de vidéosurveillance doit être réévalué régulièrement : les caméras installées après un vol il y a plusieurs années sont-elles toujours nécessaires, leur angle est-il toujours adapté, les personnes habilitées sont-elles toujours les bonnes ?

Vidéosurveillance et preuve en justice

Les images d'un dispositif conforme peuvent servir de preuve, par exemple pour identifier l'auteur d'un vol ou justifier une sanction disciplinaire. Lorsque le dispositif ne respecte pas les règles, notamment en l'absence d'information des salariés ou de consultation du comité social et économique, la preuve est en principe illicite. La Cour de cassation a toutefois admis, par un arrêt d'assemblée plénière du 22 décembre 2023, qu'une preuve obtenue de manière illicite ou déloyale peut être recevable si sa production est indispensable à l'exercice du droit à la preuve et que l'atteinte aux droits de la personne est strictement proportionnée au but poursuivi. Cette évolution ne dispense pas l'employeur de respecter les règles, mais elle invite à apprécier chaque situation au cas par cas.