Vidéosurveillance dans un commerce : autorisation, salariés et RGPD

Filmer une caisse, une entrée, une réserve ou le trottoir ne relève pas toujours du même régime. Avant de commander des caméras, un commerce doit définir le risque, séparer les zones ouvertes au public des espaces réservés au personnel et vérifier si une autorisation préfectorale est requise. Ce guide traite ce projet précis ; il ne remplace ni le registre RGPD général ni une étude de sûreté du site.

1. Partez du risque, pas du nombre de caméras proposé

Écrivez la finalité avant le plan : prévenir les agressions, protéger une zone de stockage exposée, sécuriser les personnes ou constater un incident. « Surveiller le magasin » est trop vague. Chaque caméra doit contribuer à un objectif déterminé. Une caméra décorative, un angle installé « au cas où » ou une conservation longue sans usage identifié augmentent le risque sans renforcer nécessairement la sûreté.

Documentez les incidents, horaires, accès et biens concernés. Examinez les mesures moins intrusives : éclairage, fermeture, coffre, position de la caisse, contrôle d’accès, alarme ou présence humaine. La vidéosurveillance doit rester nécessaire et proportionnée. Une crainte générale ne justifie pas de filmer en permanence tous les postes de travail.

Identifiez le responsable du traitement, généralement l’entreprise qui décide des objectifs et moyens. Un installateur ou un télésurveilleur peut être sous-traitant pour certaines opérations ; son contrat doit préciser instructions, sécurité, personnes autorisées, assistance, restitution et suppression. Le guide de contrôle d’un prestataire traitant des données fournit une trame adaptable.

Ajoutez l’activité au registre des traitements RGPD avec finalités, zones, personnes, destinataires, durée et mesures de sécurité. Pour les dispositifs soumis au Code de la sécurité intérieure, conservez aussi l’autorisation et les caractéristiques déclarées. Le registre et l’autorisation répondent à deux besoins différents.

2. Distinguez zone ouverte au public et espace de travail privé

Dans un magasin, la surface où circulent les clients est un lieu ouvert au public. Un dispositif qui y filme relève des règles de vidéoprotection du Code de la sécurité intérieure et doit, en principe, être autorisé par le préfet territorialement compétent avant sa mise en œuvre. Le dossier décrit notamment la finalité, les caméras, les zones, la conservation et les personnes habilitées.

Une réserve, un bureau ou un atelier réservé aux salariés n’est pas ouvert au public. Les caméras qui n’enregistrent que ces zones ne font pas l’objet d’une autorisation préfectorale au titre du même régime. Elles restent soumises au RGPD, à la loi Informatique et Libertés et au droit du travail. Depuis l’application du RGPD, il n’existe pas de déclaration ordinaire du dispositif à déposer auprès de la CNIL.

Un système mixte peut relever des deux cadres. Dessinez chaque champ de vision et qualifiez chaque zone. Ne considérez pas qu’une seule caméra orientée vers la porte autorise automatiquement le reste du plan. Si la configuration change, vérifiez si le dossier préfectoral doit être modifié et mettez à jour l’information et le registre.

Un commerçant ne doit pas transformer sa caméra en surveillance générale de la rue. Certaines situations de risque peuvent permettre de filmer des abords immédiats dans le cadre autorisé, mais ce n’est pas une permission générale. Masquez les bâtiments voisins, fenêtres, terrasses ou portions inutiles et faites valider l’angle sensible dans le dossier préfectoral.

3. Limitez les champs aux zones réellement exposées

Placez les caméras pour protéger les entrées, sorties, voies de circulation à risque et zones de biens, sans filmer plus que nécessaire. À la caisse, l’objectif peut être de voir les opérations et la zone d’échange, pas le clavier du terminal de paiement ni le code saisi par le client. Utilisez des masques de confidentialité lorsque le matériel le permet.

Ne filmez pas les toilettes, vestiaires, locaux syndicaux ou zones de pause dans des conditions portant une atteinte injustifiée à la vie privée. Une caméra ne doit pas suivre en permanence un salarié à son poste, sauf circonstance particulière exceptionnellement justifiée et proportionnée. Même lorsqu’un risque de vol existe, cherchez un angle sur les biens ou accès plutôt qu’un gros plan constant sur une personne.

Évitez l’enregistrement sonore. Le son est beaucoup plus intrusif et rarement nécessaire à une finalité de sûreté ordinaire. Si un fournisseur active le microphone par défaut, désactivez-le et vérifiez le flux réel. Les fonctions d’analyse, de reconnaissance, de comptage ou d’alerte « intelligente » constituent des traitements supplémentaires : ne les activez pas sous couvert du projet initial sans nouvelle analyse.

Testez l’image dans les conditions réelles : ouverture, fermeture, faible lumière, affluence. Vérifiez ce qui est lisible, pas seulement la couverture théorique. Une résolution inutilement élevée peut capter des informations qui n’étaient pas prévues ; une image trop faible ne sert pas la finalité. Notez le compromis choisi.

4. Informez les salariés avant de les exposer au dispositif

L’article L1222-4 du Code du travail interdit de collecter des informations personnelles sur un salarié par un dispositif qui ne lui a pas été préalablement porté à connaissance. Remettez une information claire avant la mise en service : responsable, finalités, base, destinataires, durée, droits, contact et réclamation. Une petite affichette destinée aux clients ne suffit pas pour le personnel.

Lorsque l’entreprise dispose d’un comité social et économique et que ses attributions sont applicables, vérifiez l’obligation de l’informer et de le consulter préalablement sur les moyens ou techniques permettant un contrôle de l’activité. Cette étape intervient avant la décision définitive, pas après l’installation. Les seuils, attributions et circonstances doivent être appréciés dans la situation réelle de l’entreprise.

La sécurité des biens peut constituer un intérêt légitime, mais elle n’autorise pas un contrôle permanent de la productivité, des pauses ou des gestes. Évaluez nécessité, attentes raisonnables et garanties. Si les images doivent être utilisées dans un contexte disciplinaire, la licéité et la loyauté du dispositif sont déterminantes ; demandez conseil avant de tirer une conclusion d’une séquence ambiguë.

Définissez qui peut regarder le direct et qui peut extraire un enregistrement. Le dirigeant n’a pas besoin de suivre les salariés depuis son téléphone toute la journée. Les personnes habilitées reçoivent une consigne de confidentialité, une formation courte et un processus pour rechercher une séquence uniquement en cas d’événement.

5. Obtenez l’autorisation et vérifiez les autres obligations

Pour les parties ouvertes au public, constituez la demande d’autorisation selon la téléprocédure ou les modalités de la préfecture. Préparez le plan des lieux, l’implantation, les champs, la finalité, les horaires, la durée de conservation, les modalités d’information et la liste des personnes habilitées. N’activez pas l’enregistrement en attendant la décision lorsque l’autorisation est requise.

Lisez précisément l’autorisation : périmètre, finalité, durée de validité, conditions et renouvellement. Conservez-la avec le plan effectivement installé. Une caméra ajoutée, déplacée ou dotée d’une nouvelle fonction peut nécessiter une mise à jour. Le professionnel reste responsable même si l’installateur affirme prendre en charge « toute la conformité ».

Pour les zones non publiques, formalisez l’analyse RGPD : finalité, base, personnes, intérêts, nécessité, durée, destinataires, sécurité et droits. Une analyse d’impact relative à la protection des données peut être obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé, notamment selon l’ampleur, le caractère systématique, les personnes vulnérables ou le croisement de technologies. Utilisez les critères de la CNIL et documentez la décision de la réaliser ou non.

Vérifiez aussi le bail, la copropriété, les règles sectorielles, l’assurance et le contrat de maintenance. Ils ne remplacent ni l’autorisation administrative ni le RGPD. Dans un centre commercial, l’exploitant du site et le commerçant peuvent opérer des systèmes distincts : clarifiez les responsables, les champs et les demandes de copie.

6. Rendez l’information visible avant l’entrée dans la zone filmée

Placez le premier niveau d’information de façon visible avant que la personne entre dans la zone. Il doit annoncer le dispositif, les finalités, le responsable, la durée de conservation, le contact pour exercer les droits et la possibilité de saisir la CNIL. Un pictogramme de caméra seul ne fournit pas ces éléments.

Prévoyez un second niveau détaillé sur un support facile d’accès : affichage complémentaire, page web ou document disponible à l’accueil. Indiquez la base juridique, les catégories de destinataires, les transferts éventuels et tous les droits applicables. Ne cachez pas l’information derrière un QR code unique inaccessible aux personnes sans smartphone.

Pour les salariés, utilisez une note nominative ou un document interne conservable et expliquez les zones exactes. Lors d’une modification importante, informez à nouveau. Pour un prestataire régulier filmé en réserve, prévoyez l’information dans le parcours d’accueil ou le contrat sans supposer que son employeur l’a fait à votre place.

Organisez les demandes d’accès aux images. Identifiez la date, la plage horaire et la zone avec la personne, vérifiez son identité de manière proportionnée et protégez les autres individus visibles, par masquage ou autre modalité. La procédure générale pour répondre à une demande d’accès RGPD doit être adaptée à la brièveté de conservation des images.

7. Fixez une durée courte et un processus d’extraction

La durée dépend de la finalité et doit être limitée. La CNIL indique que, dans la plupart des situations, conserver quelques jours suffit pour rechercher un incident ; la durée ne devrait en principe pas excéder un mois. Un mois n’est donc pas une durée automatique. Justifiez le nombre de jours par la fréquence de détection des incidents, la fermeture du commerce et la capacité de signalement.

Configurez l’écrasement automatique et testez-le. Vérifiez l’heure du système, car une horloge fausse rend une recherche difficile. Si un incident est détecté, extrayez seulement la séquence nécessaire dans un dossier séparé, limitez ses accès et appliquez une durée liée au traitement de l’événement ou à la procédure concernée. L’extraction ne doit pas devenir une archive indéfinie.

Tenez un journal des consultations et exports lorsque le système le permet : personne, date, motif, séquence et destinataire. Encadrez les remises aux forces de l’ordre et assureurs ; vérifiez la demande, le canal et le périmètre. N’envoyez pas une séquence par messagerie grand public sans protection.

Une image perdue, copiée sans autorisation ou exposée sur Internet peut constituer une violation de données. Préparez le contact d’urgence et reliez le dispositif à la procédure de gestion d’une violation RGPD.

8. Sécurisez autant l’administration que les caméras

Changez les identifiants par défaut, imposez des comptes nominatifs et des mots de passe robustes, activez la double authentification si disponible et retirez l’administration distante inutile. Mettez à jour caméras, enregistreur, application et routeur depuis les sources officielles. La méthode de mise à jour des logiciels et firmwares permet de suivre versions, correctifs et fin de support.

Isolez le système vidéo du réseau utilisé par les clients et, si possible, des postes bureautiques. Limitez les flux aux services nécessaires. Évitez l’exposition directe de l’enregistreur sur Internet ; un accès distant doit passer par une solution maîtrisée, journalisée et protégée. Demandez à l’installateur quels comptes techniques subsistent après son intervention.

Chiffrez les supports et les exports lorsque la solution le permet, protégez physiquement l’enregistreur et sauvegardez seulement les configurations nécessaires. Testez la révocation d’un téléphone ancien, d’un salarié parti et d’un prestataire. Intégrez le dispositif aux contrôles cybersécurité prioritaires de la TPE.

Au moins une fois par an et après un incident, réexaminez finalité, angles, durée, habilitations, autorisation, information et contrat. Supprimez une caméra devenue inutile. Un système conforme le jour de la pose peut ne plus l’être après un réaménagement ou une activation automatique dans le cloud.

9. Exemple hypothétique : une boulangerie avec réserve

Une boulangerie fictive a subi deux vols à proximité de la caisse et une intrusion nocturne en réserve. Elle envisage quatre caméras. L’analyse écarte la caméra centrée sur le poste de préparation, qui filmerait en permanence le salarié sans répondre au risque. Deux angles couvrent les accès et la zone d’échange de la caisse sans voir le code du terminal ; un troisième couvre la porte de la réserve.

La surface de vente étant ouverte au public, l’entreprise prépare une demande préfectorale pour les caméras concernées. La réserve relève du volet RGPD et travail. Le champ extérieur est masqué au-delà de l’abord nécessaire soumis à validation. Le microphone et les fonctions d’analyse sont désactivés.

L’entreprise remet l’information aux salariés, consulte son CSE si sa situation l’exige et pose le panneau avant l’entrée. Elle retient une conservation courte correspondant à son délai habituel de détection, avec écrasement automatique. Seuls la gérante et son remplaçant disposent d’un compte nominatif ; chaque extraction liée à un incident est enregistrée.

Ce scénario n’est pas un modèle d’autorisation : le bon nombre de jours, les champs et formalités dépendent des lieux, risques et personnes. Il montre l’ordre de décision : finalité, régime, proportionnalité, formalités, information, sécurité, puis mise en service.

Sources officielles et primaires : CNIL — vidéosurveillance au travail, formalités et cadre RGPD ; Code de la sécurité intérieure — vidéoprotection ; Code du travail — article L1222-4 ; Ministère de l’Intérieur — téléprocédure de vidéoprotection. Consultées le 3 août 2026. Confirmez le régime et le dossier auprès de la préfecture compétente avant la mise en service.

En résumé

La vidéosurveillance d’un commerce commence par une finalité et un plan des zones. Les espaces ouverts au public, les locaux salariés et les abords ne se traitent pas de la même façon. Autorisation préfectorale lorsque requise, information préalable, angles limités, conservation courte, habilitations et sécurité forment un ensemble : aucun de ces éléments ne compense l’absence d’un autre.