Vidéosurveillance : ce que dit la loi

Oui, une entreprise peut installer des caméras dans ses locaux — à condition de poursuivre une finalité légitime, de ne filmer que les zones qui le justifient, d’informer les personnes, de limiter la conservation des images à un mois en principe, et de ne jamais placer un salarié sous surveillance permanente. Le cadre repose sur deux textes distincts selon que le lieu filmé est ouvert au public ou non, et il est appliqué : en 2025, seize organismes ont été sanctionnés par la CNIL pour le seul non-respect des règles de vidéosurveillance des salariés.

La confusion la plus répandue tient à un mot. « Vidéosurveillance » et « vidéoprotection » ne désignent pas la même chose en droit français, et ne relèvent pas du même régime. La première s’applique aux lieux non ouverts au public — réserves, ateliers, zones de stockage, espaces réservés au personnel. La seconde vise les lieux ouverts au public : entrée d’un magasin, zone marchande, comptoir, caisse. Installer la même caméra dans l’un ou l’autre de ces espaces n’emporte pas les mêmes obligations.

Ce que vous pouvez filmer, et ce que vous ne pouvez pas

La CNIL admet que des caméras soient installées sur un lieu de travail à des fins de sécurité des biens et des personnes, à titre dissuasif ou pour identifier les auteurs de vols, de dégradations ou d’agressions. L’objectif doit être défini avant l’installation : un dispositif posé « pour voir ce qui se passe » n’a pas de finalité au sens du RGPD.

Les emplacements admis sont précis : entrées et sorties des bâtiments, issues de secours, voies de circulation, et zones où de la marchandise ou des biens de valeur sont entreposés.

Les emplacements exclus le sont tout autant :

• Les postes de travail, sauf circonstances particulières. L’exemple donné par la CNIL est celui d’un employé manipulant de l’argent : la caméra doit alors filmer la caisse davantage que le caissier.
• Les zones de pause ou de repos, et les toilettes. Si des dégradations visent un distributeur, la caméra ne doit filmer que le distributeur, pas toute la pièce.
• Les locaux syndicaux et ceux des représentants du personnel, ainsi que leur accès lorsqu’il ne mène qu’à ces seuls locaux.

L’enregistrement du son obéit à une règle encore plus stricte : il est réservé à des situations particulières et ne doit pouvoir être déclenché qu’à l’initiative d’un salarié, en cas d’agression par exemple. Quant à la consultation des images depuis un téléphone ou une tablette, elle est possible mais l’accès doit être sécurisé — et elle ne doit pas conduire à surveiller ses employés pour leur faire des remarques sur la qualité du travail.

Deux lieux, deux régimes, deux formalités

C’est le point sur lequel les dirigeants se trompent le plus souvent, parce que la déclaration préalable à la CNIL a disparu en 2018 sans que l’autorisation préfectorale, elle, ne disparaisse.

	Lieu non ouvert au public	Lieu ouvert au public
Exemples	Réserve, zone de stockage, atelier, fournil, bureaux fermés au public	Entrée et sortie du public, zone marchande, comptoir, caisses
Texte applicable	RGPD	Articles L251-1 et suivants du code de la sécurité intérieure
Formalité	Aucune auprès de la CNIL	Autorisation du préfet du département (préfet de police à Paris)
Durée de l’autorisation	Sans objet	Cinq ans, renouvelable
Registre des traitements	Obligatoire	Obligatoire
Conservation des images	En principe un mois au plus	Délai fixé par l’autorisation, un mois au plus

Dans les deux cas, le dispositif doit être inscrit au registre des activités de traitement que l’entreprise tient au titre de l’article 30 du RGPD. Si un délégué à la protection des données a été désigné, il doit être associé à la mise en œuvre. Et dès lors que le dispositif conduit à une surveillance systématique à grande échelle d’une zone accessible au public, une analyse d’impact relative à la protection des données devient obligatoire.

La demande d’autorisation préfectorale se fait par formulaire Cerfa auprès des services de la préfecture, ou en ligne via la téléprocédure du ministère de l’Intérieur. Elle suppose de décrire le dispositif de transmission et d’enregistrement, les mesures de sécurité, les modalités d’information du public, le délai de conservation retenu et les modalités du droit d’accès.

Combien de temps conserver les images

La règle tient en une phrase : la durée doit être en lien avec l’objectif poursuivi et, en principe, elle n’excède pas un mois. La CNIL est plus exigeante encore dans sa formulation : en règle générale, conserver les images quelques jours suffit à effectuer les vérifications nécessaires en cas d’incident.

Deux erreurs reviennent systématiquement lors des contrôles. La première consiste à fixer la durée sur la capacité technique de l’enregistreur — un disque qui tourne sur soixante jours n’est pas une justification juridique. La seconde consiste à laisser des séquences dans le système au-delà de leur durée alors qu’une procédure est engagée : dans ce cas, les images doivent être extraites du dispositif, l’opération étant consignée dans un cahier spécifique, et conservées pour la durée de la procédure.

Pour les lieux ouverts au public, le code de la sécurité intérieure fixe la même limite de façon impérative : hors enquête de flagrant délit, enquête préliminaire ou information judiciaire, les enregistrements sont détruits dans un délai maximum fixé par l’autorisation, qui ne peut excéder un mois.

Qui a le droit de regarder les images

Seules les personnes habilitées par l’employeur dans le cadre de leurs fonctions peuvent visionner les images enregistrées — le responsable de la sécurité, par exemple. Ces personnes doivent être formées et sensibilisées aux règles de mise en œuvre du dispositif, et l’accès doit être sécurisé pour éviter que tout le monde ne puisse les visionner.

Ce point mérite une attention particulière lorsque l’exploitation des images est confiée à un tiers. La surveillance à distance de biens relève du 1° de l’article L611-1 du code de la sécurité intérieure : elle constitue une activité privée de sécurité. L’entreprise qui exploite une station centrale de télésurveillance doit donc détenir une autorisation d’exercer délivrée par le CNAPS, et chaque opérateur affecté au traitement des alarmes doit être titulaire d’une carte professionnelle. Confier ses images à un prestataire qui n’a ni l’une ni l’autre expose le donneur d’ordre autant que le prestataire.

Informer : le panneau ne suffit pas

L’information se joue à deux niveaux, et l’un ne remplace pas l’autre.

Vis-à-vis du public et des salariés, des panneaux affichés en permanence et de façon visible doivent comporter, outre le pictogramme d’une caméra : les finalités du traitement, la durée de conservation des images, le nom ou la qualité et le numéro de téléphone du responsable ou du délégué à la protection des données, l’existence des droits « Informatique et Libertés », et le droit d’introduire une réclamation auprès de la CNIL avec ses coordonnées. La mention « établissement sous surveillance vidéo » seule ne satisfait à aucune de ces exigences.

Vis-à-vis des salariés, l’article L1222-4 du code du travail interdit de collecter des informations à leur insu : chacun doit être informé par écrit. La sanction prononcée par la CNIL le 19 décembre 2024 est explicite sur ce point — l’employeur mettait en avant une information orale, mais faute de trace écrite, le caractère complet de l’information n’était pas établi.

Enfin, les instances représentatives du personnel doivent être informées et consultées avant toute décision d’installer des caméras, en application de l’article L2312-38 du code du travail. Une consultation menée après l’installation ne régularise rien.

Ce que risque une entreprise non conforme

En 2025, la CNIL a rendu 259 décisions, dont 83 sanctions, pour un montant cumulé d’amendes de 486 839 500 euros. Seize organismes ont été sanctionnés pour le non-respect des règles applicables à la vidéosurveillance des salariés — un volume qui place ce sujet au même rang que les cookies et la sécurité des données dans l’activité répressive de l’autorité.

Fondement	Manquement visé	Sanction encourue
Article 83 du RGPD	Minimisation, base légale, information, sécurité, analyse d’impact	Jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial
Article L254-1 du code de la sécurité intérieure	Système installé ou maintenu sans autorisation, images non détruites dans les délais, détournement de finalité, accès non autorisé	Trois ans d’emprisonnement et 45 000 euros d’amende
Article 226-1 du code pénal	Enregistrement de l’image d’une personne à son insu dans un lieu privé	Un an d’emprisonnement et 45 000 euros d’amende
Article R625-10 du code pénal	Absence d’information des personnes	Contravention de 5e classe

Le cas sanctionné le 19 décembre 2024 mérite d’être connu, parce qu’il ressemble à beaucoup de petites structures. Deux caméras, installées pour prévenir les vols, captaient en continu l’image et le son des salariés dans un local qui leur servait à la fois de lieu de travail et d’espace de pause, images consultables en temps réel par l’encadrement via une application mobile. La société n’a justifié d’aucune circonstance exceptionnelle. Amende : 40 000 euros, décidée en tenant compte de la petite taille de l’entreprise.

Un dernier point, souvent mal compris. Depuis l’arrêt de l’assemblée plénière de la Cour de cassation du 22 décembre 2023, une preuve obtenue de manière déloyale n’est plus automatiquement écartée du procès civil : le juge met en balance les droits en présence. Cela ne signifie pas qu’un dispositif irrégulier devient licite. Le risque CNIL, lui, demeure entier, et la recevabilité éventuelle d’une image devant un conseil de prud’hommes ne préserve d’aucune amende administrative.

La caméra ne remplace pas la présence

Une remarque de terrain, pour finir. Un enregistrement documente un incident après coup ; il ne l’empêche pas. Dans un commerce, une caméra bien placée dissuade le vol d’opportunité mais ne traite pas une altercation en cours. Sur un site industriel, elle donne une image mais n’ouvre pas un portail ni ne lève un doute à trois heures du matin. Les dispositifs qui fonctionnent associent les deux : un système conforme et une présence humaine capable d’intervenir, ou au minimum une levée de doute par un opérateur habilité. C’est aussi ce qui distingue un investissement utile d’un équipement qui rassure sans protéger.

Questions fréquentes

Faut-il déclarer ses caméras à la CNIL ?

Non. La déclaration préalable a été remplacée en 2018 par l’inscription du dispositif au registre des activités de traitement que l’entreprise tient elle-même. En revanche, si les caméras filment un lieu ouvert au public, une autorisation du préfet du département reste obligatoire.

Peut-on filmer un salarié à son poste de travail ?

En principe non, sauf circonstances particulières tenant par exemple à la manipulation d’argent ou au stockage de biens de valeur. Même dans ce cas, le cadrage doit viser la zone à protéger plutôt que la personne : la CNIL demande que la caméra filme la caisse davantage que le caissier.

Combien de temps peut-on conserver les images ?

La durée doit être en lien avec l’objectif poursuivi et, en principe, elle n’excède pas un mois. Pour les lieux ouverts au public, le code de la sécurité intérieure impose la destruction des enregistrements dans un délai fixé par l’autorisation préfectorale, qui ne peut dépasser un mois.

Un salarié peut-il demander à voir les images qui le concernent ?

Oui. Le droit d’accès prévu par le RGPD s’applique aux images de vidéosurveillance, et il figure parmi les mentions obligatoires du panneau d’information. L’entreprise doit donc être en mesure de traiter une telle demande, ce qui suppose de savoir qui est habilité, où sont stockées les images et pendant combien de temps.

Pour aller plus loin

• Gardiennage et surveillance de sites — présence humaine, rondes et levée de doute.
• Sécurité retail — commerces, centres commerciaux et lutte contre la démarque.
• Sites de luxe — boutiques et lieux à forte valeur unitaire.
• Choisir sa société de gardiennage
• Boutique de luxe : quel dispositif ?

Un dispositif de vidéosurveillance se conçoit avec le reste : implantation des caméras, zones à couvrir, présence humaine, procédures d’alerte. Si vous vous interrogez sur l’articulation entre votre installation et un dispositif de surveillance, demandez un devis : nous répondons sous 12 à 24 h, avec une proposition chiffrée et le détail des moyens engagés.

← Retour au blog

Sources et références

• CNIL — La vidéosurveillance / vidéoprotection au travail
• CNIL — Sanctions et mesures correctrices : le bilan 2025 (9 février 2026)
• CNIL — Surveillance excessive des salariés : sanction de 40 000 euros (délibération SAN-2024-021 du 19 décembre 2024)
• CNIL — Le registre des activités de traitement
• Légifrance — Code de la sécurité intérieure, titre V « Vidéoprotection » (articles L251-1 à L255-1)
• Légifrance — Article L611-1 du code de la sécurité intérieure
• Légifrance — Cour de cassation, assemblée plénière, 22 décembre 2023, n° 20-20.648