Vérifiez la conformité de votre dispositif de vidéosurveillance au RGPD

La vidéosurveillance dans une entreprise est considérée comme un traitement de données personnelles au sens du RGPD (Règlement Général sur la Protection des Données), entré en vigueur en 2018 dans l’Union européenne. Cela signifie que toute capture, enregistrement ou diffusion d’images de personnes (salariés, clients, visiteurs) doit respecter des règles strictes pour protéger leur vie privée. La CNIL (Commission Nationale de l’Informatique et des Libertés), autorité française indépendante, veille au respect de ces règles et sanctionne régulièrement les entreprises en cas de non-conformité. Les sanctions peuvent être lourdes, d’où l’importance de bien comprendre et appliquer ces obligations.

La vidéosurveillance ne peut être installée que pour des finalités légitimes et précises, comme la sécurité des biens et des personnes ou la prévention des vols, dégradations ou agressions. Selon la CNIL, les caméras peuvent filmer les entrées et sorties des bâtiments, les issues de secours, les zones de circulation, ainsi que les espaces où sont stockés des biens de valeur. En revanche, elles ne doivent pas servir à surveiller systématiquement les salariés sur leur poste de travail, sauf exceptions justifiées. Les zones comme les toilettes, les locaux syndicaux ou les espaces de pause sont strictement interdites à la surveillance, sauf circonstances exceptionnelles.

Pour installer un système de vidéosurveillance, l’employeur doit respecter plusieurs obligations légales. Si les caméras filment un lieu ouvert au public (comme un comptoir ou une caisse), une autorisation préalable du préfet du département (ou du préfet de police à Paris) est obligatoire. Par ailleurs, le dispositif doit être inscrit dans le registre des activités de traitement, même dans les petites entreprises. Pour certains traitements, comme la surveillance constante de salariés manipulant de l’argent ou la vidéosurveillance d’un entrepôt de biens de valeur, une AIPD (Analyse d’Impact Relative à la Protection des Données) est requise avant la mise en œuvre.

L’employeur doit garantir la sécurité des données personnelles collectées via la vidéosurveillance. Seules les personnes habilitées (comme le responsable de la sécurité) et formées aux règles du RGPD peuvent accéder aux images, et uniquement dans le cadre de leurs missions. L’accès aux enregistrements doit être strictement sécurisé pour éviter toute diffusion non autorisée. Les données ne peuvent être conservées que le temps nécessaire à leur finalité. La CNIL recommande une durée de conservation de quelques jours, sauf cas exceptionnels où une conservation plus longue peut être justifiée.

Avant d’installer des caméras, l’employeur doit informer les salariés de manière claire et transparente. Deux niveaux d’information sont recommandés par la CNIL : un panneau d’affichage visible dans les locaux concernés, indiquant l’existence du dispositif, son responsable, la base légale (par exemple, l’intérêt légitime de sécurité), la durée de conservation des images, et les droits des personnes (comme le droit d’accès ou de réclamation à la CNIL). Un second niveau d’information, sous forme de note de service, de clause dans le règlement intérieur ou via l’intranet, doit compléter cette information. Le CSE (Comité Social et Économique) doit également être consulté avant l’installation.