Vidéosurveillance entreprise : règles légales et comment la mettre en place sans se prendre les pieds dans le tapis

Beaucoup d’entreprises installent des caméras pour protéger leurs locaux, leurs stocks ou simplement dissuader les vols et les dégradations. C’est un réflexe assez logique quand on gère des biens ou qu’on reçoit du public. Le problème, c’est que la vidéosurveillance entreprise n’est pas un outil qu’on pose comme ça, sans réfléchir. La CNIL et le Code du travail encadrent tout ça assez strictement, et les amendes continuent de tomber régulièrement. En 2025 encore, seize organismes se sont fait sanctionner pour avoir filmer leurs salariés de façon excessive ou sans respecter les règles basiques.

Le point, c’est que ces images constituent des données personnelles. Du coup, on bascule direct dans le champ du RGPD, de la protection de la vie privée et, par ricochet, de la cybersécurité. Parce qu’un système de caméras mal configuré, c’est aussi une porte d’entrée potentielle pour des attaquants.

Pourquoi la vidéosurveillance au travail pose autant de questions

L’employeur a le droit d’installer des caméras, mais uniquement si l’objectif est légitime et proportionné. La sécurité des personnes et des biens, la prévention des vols ou des agressions, ça passe. En revanche, filmer en continu pour vérifier la productivité des équipes ou « garder un œil » sur tout le monde, ça coince. La CNIL le répète : le dispositif ne doit pas placer les salariés sous surveillance constante et permanente.

Et honnêtement, c’est là que beaucoup d’entreprises se font avoir. Elles installent des caméras « pour la sécurité » et, en pratique, elles servent surtout à contrôler le travail. Résultat : quand un salarié porte plainte ou qu’un contrôle tombe, ça devient compliqué.

Où on peut filmer et où c’est interdit

Les zones autorisées sont assez précises. On peut généralement couvrir les entrées et sorties des bâtiments, les issues de secours, les couloirs de circulation et les espaces où sont stockés des biens de valeur. Dans un magasin, filmer la caisse plutôt que le caissier en entier, c’est souvent accepté si c’est justifié.

En revanche, filmer les postes de travail des employés de façon générale, les salles de pause, les toilettes, les vestiaires ou les locaux syndicaux, c’est non. Même chose pour les zones de repos. L’enregistrement du son est encore plus encadré : il est interdit dans la plupart des cas, sauf situations très particulières et déclenchées volontairement par une personne (agression par exemple).

Le truc, c’est que la caméra doit filmer l’outil ou la marchandise, pas la personne en train de travailler. Dès qu’on commence à surveiller l’activité humaine elle-même, on sort du cadre légal.

Les démarches à faire avant d’installer quoi que ce soit

Avant de commander le matériel, il faut déjà consulter le CSE si l’entreprise en a un. C’est une obligation du Code du travail. Ensuite, on inscrit le traitement dans le registre des activités de traitement de l’entreprise. Depuis le RGPD, plus besoin de déclaration préalable à la CNIL pour les lieux non ouverts au public. Par contre, si une partie des caméras filme des zones accessibles au public (réception, espace de vente, etc.), il faut une autorisation préfectorale. Le formulaire existe, et il vaut mieux le remplir correctement.

Si le dispositif est important et couvre une zone publique de façon systématique, une analyse d’impact (AIPD) peut aussi être nécessaire. Beaucoup d’entreprises zappent cette étape et s’exposent.

Informer les gens qui passent devant les caméras

C’est obligatoire. Il faut afficher des panneaux visibles, avec au minimum le pictogramme caméra, les finalités, la durée de conservation des images, l’identité du responsable et un moyen de contacter la personne en charge des droits. On peut compléter avec le site web ou une note interne.

Les salariés doivent savoir qu’ils sont filmés. Les visiteurs aussi. Et ils ont des droits : accès aux images les concernant, demande d’effacement dans certains cas, possibilité de saisir la CNIL. Ne pas informer correctement, c’est l’une des erreurs les plus fréquentes qui entraînent des sanctions.

Combien de temps on peut garder les enregistrements

La durée doit être justifiée par l’objectif. En pratique, la CNIL considère qu’un mois maximum est raisonnable dans la plupart des cas, et souvent quelques jours suffisent. Passé ce délai, les images doivent être effacées automatiquement. Si un incident donne lieu à une procédure, on peut extraire les séquences concernées et les conserver le temps nécessaire, mais il faut bien tracer ça.

Fixer la durée en fonction de la capacité du disque dur, c’est une mauvaise idée. Les juges et la CNIL n’aiment pas du tout ce genre d’argument.

Qui peut regarder les images et dans quelles conditions

Seules les personnes habilitées et formées peuvent consulter les enregistrements, et uniquement dans le cadre de leurs fonctions. Un responsable sécurité, par exemple. Pas tout le monde dans l’entreprise. L’accès doit être tracé et sécurisé.

Si le système permet un accès distant via téléphone ou internet, il faut vraiment le verrouiller : mots de passe robustes, connexion chiffrée, et idéalement une authentification forte. Parce que sinon, n’importe qui peut potentiellement voir ce qui se passe dans les locaux.

Ce qui arrive quand on ne respecte pas les règles

La CNIL sanctionne. En 2025, seize organismes ont été épinglés pour des problèmes de vidéosurveillance des salariés. On parle d’amendes qui peuvent monter à plusieurs dizaines de milliers d’euros, voire bien plus dans les cas graves (jusqu’à 20 millions ou 4 % du chiffre d’affaires dans le cadre du RGPD). Des exemples concrets existent : une entreprise sanctionnée de 40 000 euros fin 2024 pour surveillance disproportionnée, une boulangerie à 8 000 euros pour avoir filmé ses employés en continu sans information préalable.

Et ce n’est pas que financier. Il y a aussi des mises en demeure, des obligations de démonter le dispositif, et parfois des dommages et intérêts si des salariés portent l’affaire devant les prud’hommes.

Les caméras, c’est aussi un sujet cybersécurité

Voilà où le sujet rejoint directement le thème de ce blog. Les systèmes de vidéosurveillance modernes sont majoritairement des caméras IP connectées au réseau. Et comme beaucoup d’objets connectés, ils sont souvent mal sécurisés. Mots de passe par défaut qui n’ont jamais été changés, firmwares jamais mis à jour, ports ouverts sur internet… Des milliers de caméras restent accessibles à distance sans protection.

Des marques ont déjà eu des failles critiques permettant de prendre le contrôle à distance. Une fois dedans, un attaquant peut voler les flux, effacer des enregistrements, ou pire, utiliser le système comme point d’appui pour attaquer le reste du réseau de l’entreprise. Sans compter que si des images d’employés fuitent, on bascule dans un incident de données personnelles avec obligation de notification à la CNIL dans certains cas.

Bref, installer des caméras sans penser à la sécurité du système lui-même, c’est un peu comme mettre une serrure de haute sécurité sur la porte d’entrée tout en laissant la fenêtre de derrière grande ouverte.

Comment faire les choses proprement

Commencez par bien définir les finalités et les zones. Consultez le CSE. Inscrivez le traitement. Choisissez du matériel récent avec des mises à jour régulières et, si possible, des certifications de sécurité. Isolez les caméras sur un VLAN dédié. Changez tous les mots de passe par défaut. Désactivez l’accès distant sauf si c’est vraiment nécessaire, et sécurisez-le fortement. Activez les logs d’accès aux images. Et prévoyez une procédure en cas d’incident, parce que ça arrive.

Et surtout, documentez tout. Quand la CNIL ou l’inspection du travail arrive, pouvoir montrer qu’on a réfléchi au dispositif et qu’on l’a mis en place de façon proportionnée change tout.

La vidéosurveillance entreprise reste un outil utile pour la sécurité physique. Mais elle impose des responsabilités réelles, à la fois légales et techniques. Mieux vaut prendre le temps de bien faire les choses au départ plutôt que de devoir tout reprendre en urgence après un contrôle ou une plainte.