Vidéosurveillance et droit à l’image : obligations entreprise

Contexte : pourquoi ces règles ?

Les entreprises installent des caméras pour protéger des biens, assurer la sécurité des personnes et constituer des preuves en cas d’incident. Ces objectifs de sécurité coexistent avec des obligations de protection de la vie privée et des données personnelles. Le résultat : un équilibre juridique strict entre finalités légitimes et proportionnalité des moyens.

Les entreprises font face à des risques variés : sanction administrative par la CNIL, responsabilité pénale pour certaines diffusions d’images, contentieux de droit civil avec les personnes filmées. La CNIL précise les obligations du responsable de traitement en matière de vidéoprotection et de vidéosurveillance au travail.

Que peut / doit faire une entreprise avant d’installer des caméras ?

Définir la finalité. L’entreprise doit formuler une finalité précise et légitime : par exemple la sécurité des biens ou des personnes, la prévention des vols, la protection d’un site. Cette finalité doit être documentée et proportionnée au regard du RGPD et des prescriptions de la CNIL.

Privilégier les alternatives moins intrusives. Avant de recourir à la vidéosurveillance, il faut vérifier que des mesures moins intrusives ne permettent pas d’atteindre l’objectif : organisation différente, contrôle d’accès par badge, amélioration de l’éclairage, ou autre mesure technique non visuelle.

Formalités et analyses préalables. Selon la taille et la configuration du dispositif, une AIPD (analyse d’impact relative à la protection des données) peut être requise, notamment en cas de surveillance systématique à grande échelle. Dans certains cas, une déclaration ou une autorisation préfectorale peut être nécessaire : il faut consulter les pages CNIL pertinentes pour déterminer les formalités applicables.

Informer les personnes concernées. L’information doit être organisée et documentée : affichage visible, note de service, information sur l’intranet, mention dans les procédures RH, et, le cas échéant, avenant au contrat de travail pour les salariés. La consultation du CSE intervient selon les règles applicables en matière de droit du travail et selon la taille de l’entreprise.

Conditions de mise en œuvre technique et organisationnelle (ce qu’il faut prévoir)

Emplacement et angle des caméras. Les caméras doivent être positionnées de façon à limiter la captation à la zone strictement nécessaire. Il faut éviter en toutes circonstances les lieux à forte attente d’intimité, tels que vestiaires et sanitaires. La captation ne doit pas dépasser la zone visée par la finalité documentée.

Conservation des images. Le principe de minimisation s’applique : la durée de conservation doit être limitée. La CNIL indique « quelques jours » en règle générale, avec possibilité d’extension dans des cas exceptionnels (enquête, preuve). Toute durée et toute exception doivent être justifiées et documentées, avec une procédure de suppression claire.

Accès et journalisation. Il convient de définir par écrit qui peut consulter les images et pour quelles finalités. L’accès doit être restreint, tracé et motivé. La mise en place d’une procédure écrite d’accès et d’un journal d’accès assure la traçabilité des consultations.

Sécurité des données et sous‑traitance. Les images doivent être protégées techniquement : chiffrement des flux et des stocks si applicable, gestion des incidents, et contractualisation claire avec tout sous‑traitant hébergeant ou traitant les images. Les obligations contractuelles doivent préciser les mesures de sécurité et les modalités d’assistance en cas d’incident.

AIPD : déclenchement et contenu. La réalisation d’une AIPD est requise lorsque le traitement présente un risque élevé pour les droits et libertés des personnes, par exemple en cas de surveillance à grande échelle. L’AIPD documente la finalité, l’évaluation des risques, les mesures de mitigation et les justifications de proportionnalité. Pour un guide pratique, se référer aux modèles et fiches de la CNIL.

Spécificités travail / salariés

Consultation du CSE. Lors de la mise en place d’un dispositif de surveillance dans l’entreprise, la consultation préalable du CSE s’impose selon la taille et la nature du projet. La CNIL rappelle que, pour une entreprise de 50 salariés et plus, le CSE est un interlocuteur clé pour les questions impliquant la surveillance du personnel.

Surveillance constante et webcams personnelles. La surveillance constante des salariés est encadrée : la CNIL impose de ne pas instaurer une surveillance permanente sans justification sérieuse et documentée. Les webcams personnelles soumises à contrôle doivent respecter des règles strictes et être motivées par une finalité proportionnée.

Pointage et contrôle d’activité. Les dispositifs visant le contrôle de l’activité des salariés doivent respecter le principe de minimisation. Le recours à la biométrie pour le pointage est particulièrement encadré : le règlement type CNIL relatif au contrôle d’accès biométrique fixe des conditions spécifiques et des garanties, telles que l’AIPD et la préférence pour des gabarits sous le contrôle exclusif de la personne.

Biométrie et reconnaissance faciale. L’utilisation d’outils qui extraient un gabarit biométrique pour identifier une personne (opération 1:N) relève du régime des données biométriques et bascule sous l’article 9 du RGPD. Le RGPD interdit en principe le traitement des données biométriques visant à identifier une personne, sauf exceptions prévues par l’article 9(2). Par ailleurs, le AI Act a interdit certaines pratiques, comme le moissonnage non ciblé d’images faciales et l’inférence d’émotions au travail, avec des jalons réglementaires à suivre.

Droit à l’image et diffusion : ce qui est interdit pénalement

Diffusion de montages ou contenus générés. La diffusion sans consentement d’un montage ou d’un contenu généré algorithmiquement reproduisant l’image ou la voix d’une personne, lorsque cela n’est pas clairement présenté comme faux, est sanctionnée par des dispositions spécifiques du Code pénal. La diffusion d’un montage à caractère sexuel sans consentement entraîne des peines plus lourdes.

Réponse pratique en cas de diffusion illicite. En cas de diffusion non autorisée d’une image ou d’un montage, les actions possibles incluent la capture horodatée comme preuve, le signalement aux plateformes hébergeuses, la saisine de PHAROS pour contenus illicites, le dépôt de plainte et la saisine de la CNIL en cas d’atteinte aux données personnelles. Le bloc « Si une image circule sans accord » fournit un processus synthétique à suivre.

Cas pratiques

Cas A — commerce ouvert au public. Pour un magasin, les caméras peuvent être orientées vers les caisses et les entrées. L’information des clients et une durée de conservation limitée sont nécessaires. L’accès aux images doit être restreint et motivé.

Cas B — atelier ou entrepôt non accessible au public. Dans un local réservé au personnel, les caméras peuvent viser la prévention des vols et des incidents. L’information des salariés, la consultation du CSE si applicable et le contrôle strict des accès aux images sont requis.

Cas C — accident ou enquête disciplinaire. En cas d’accident ou d’enquête interne, une conservation exceptionnelle des images peut être justifiée pour constituer une preuve. Cette conservation exceptionnelle doit être documentée, limitée dans le temps et accompagnée d’une procédure interne écrite qui précise la motivation, les acteurs habilités et la durée de conservation exceptionnelle.

Checklist de conformité à imprimer

Si une image de votre entreprise ou d’un salarié circule sans accord

Bloc prêt à appliquer :

Ce qui change bientôt / calendrier à surveiller

Cette page affiche la date de relevé : 23/09/2026. Avant toute décision opérationnelle, vérifiez les textes et les guides officiels pour confirmer l’état du droit et des obligations au moment de l’action.