En bref : un employeur peut filmer ses locaux pour protéger les biens et les personnes, à condition de poursuivre un objectif précis, de ne pas placer les salariés sous surveillance constante, d'informer chaque personne filmée (article 13 du RGPD), de limiter la conservation des images (en principe un mois au plus) et de consulter le CSE avant l'installation. Si les caméras filment un lieu ouvert au public, une autorisation du préfet est en plus nécessaire (Code de la sécurité intérieure, art. L. 251-1 et suivants).
Juillet 2018 : la présidente de la CNIL met en demeure l'Institut des techniques informatiques et commerciales (ITIC), une école supérieure privée parisienne. Lors du contrôle, les caméras filmaient les salles de classe, les lieux de vie et le poste de travail d'une salariée, en continu. Les personnes filmées n'étaient pas correctement informées, les accès aux images étaient insuffisamment sécurisés et les plus anciens enregistrements dataient de 49 jours, alors que l'école avait elle-même déclaré une durée de conservation de 30 jours (Next, 25 juillet 2018). L'école avait deux mois pour se mettre en conformité, sous peine d'une procédure de sanction.
Huit ans plus tard, le sujet n'a rien perdu de son actualité. La vidéosurveillance des salariés est l'un des trois thèmes principaux des sanctions de la CNIL : 16 organismes ont été sanctionnés en 2025 pour ce motif (bilan des sanctions 2025, CNIL, 9 février 2026). Pour un DPO, la caméra est donc un traitement ordinaire, mais l'un de ceux que l'autorité contrôle le plus.
Ce guide reprend les 10 questions qu'un employeur doit se poser avant d'installer ou de faire évoluer un dispositif, à partir de la fiche de la CNIL sur la vidéosurveillance - vidéoprotection au travail et des textes qu'elle cite.
Vidéosurveillance au travail : 10 questions pour être en conformité avec le RGPD
Installer des caméras est un droit de l'employeur, pas une liberté sans limite. Le RGPD, règlement du Parlement européen et du Conseil, s'applique dès que les images permettent d'identifier une personne. Le Code du travail ajoute deux règles propres aux salariés : aucune information les concernant personnellement ne peut être collectée par un dispositif qui n'a pas été porté préalablement à leur connaissance (art. L. 1222-4), et les restrictions apportées à leurs libertés doivent être justifiées et proportionnées au but recherché (art. L. 1121-1).
1. Puis-je installer un dispositif de vidéosurveillance sans poursuivre un objectif ?
Non. L'objectif doit être défini avant l'installation, et il doit être légal et légitime (article 5.1.b du RGPD). La CNIL cite la sécurité des biens et des personnes, la dissuasion, ou l'identification des auteurs de vols, de dégradations ou d'agressions. C'est cette finalité qui détermine ensuite tout le reste : où placer les caméras, qui consulte les images, combien de temps les garder.
Pour un employeur privé, la base légale est le plus souvent l'intérêt légitime (article 6.1.f du RGPD), qui suppose de mettre en balance la sécurité recherchée et la vie privée des personnes filmées. Cette mise en balance se documente : c'est elle que la CNIL demande en contrôle.
2. Dois-je informer les salariés et les visiteurs ?
Oui, toujours. L'information se fait à deux niveaux, prévus par l'article 13 du RGPD et l'article 104 de la loi Informatique et Libertés.
Premier niveau : les panneaux
Des panneaux affichés en permanence, de façon visible, dans les lieux filmés. Un pictogramme de caméra et la mention « espace sous vidéosurveillance » ne suffisent pas. Selon la CNIL, le panneau doit indiquer au minimum :
- les finalités du dispositif ;
- la durée de conservation des images ;
- le nom ou la qualité et le numéro de téléphone du responsable du traitement ou du DPO ;
- l'existence des droits des personnes ;
- le droit d'introduire une réclamation auprès de la CNIL, avec ses coordonnées.
Second niveau : l'information complète
Le reste des informations de l'article 13 peut être donné par un autre support (intranet, note de service, site internet), pour que le panneau reste lisible. Il s'agit notamment de :
- la base légale du traitement (par exemple l'intérêt légitime, article 6.1.f) ;
- les destinataires des images, y compris ceux établis hors de l'Union européenne ;
- les modalités d'exercice des droits d'accès, d'effacement, de limitation et d'opposition ;
- le cas échéant, l'existence d'une prise de décision automatisée.
Pour les salariés, l'article L. 1222-4 du Code du travail impose en plus une information individuelle, préalable à la mise en service. Une note de service ou un avenant remis à chacun, dont on garde la trace, répond à cette exigence.
3. Où puis-je installer des caméras ?
Là où la finalité l'exige, et pas au-delà. La CNIL donne comme exemples les entrées et sorties des bâtiments, les issues de secours, les voies de circulation et les zones où sont entreposés des marchandises ou des biens de valeur. Ce n'est pas une liste fermée : c'est une illustration de ce qui est en principe proportionné. Toute autre implantation doit être justifiée par le même raisonnement, écrit dans le registre.
4. Où n'ai-je pas le droit de filmer ?
Les caméras ne doivent pas filmer :
- les salariés à leur poste de travail, sauf circonstances particulières (employé manipulant de l'argent, entrepôt de biens de valeur), et même alors la caméra doit viser la caisse plutôt que le caissier ;
- les zones de pause ou de repos, et les toilettes ;
- les locaux syndicaux ou des représentants du personnel, ni leur accès lorsqu'il ne mène qu'à ces locaux.
En cas de dégradations sur un distributeur dans une salle de pause, la CNIL admet une caméra qui ne filme que le distributeur, pas toute la pièce. En pratique, c'est l'angle de prise de vue qui fait la conformité, autant que l'emplacement.
5. Puis-je consulter les images à distance pour contrôler le travail ?
Consulter les images sur un téléphone ou une tablette est possible, à condition de sécuriser l'accès (mot de passe robuste, connexion chiffrée) au titre de l'article 32 du RGPD. En revanche, cette possibilité ne doit pas servir à surveiller les salariés pour leur faire des remarques sur la qualité de leur travail. C'est exactement le cas que la CNIL décrit dans sa fiche de juillet 2018 : une caméra au-dessus d'un poste de travail, consultée en temps réel par le gérant depuis son téléphone, puis une sanction publique et financière face au refus de l'employeur de se mettre en conformité.
6. Les enregistrements sonores sont-ils autorisés ?
En principe, non. Selon la CNIL, l'enregistrement du son, en plus des images, est réservé à des situations particulières. Il ne doit pouvoir être déclenché que par le salarié lui-même, en cas d'événement qui le justifie, par exemple une agression. Un micro qui enregistre en continu les conversations est excessif au regard du principe de minimisation (article 5.1.c du RGPD).
7. Combien de temps puis-je conserver les images ?
C'est à l'employeur de fixer la durée, en fonction de l'objectif. Selon la CNIL, elle n'excède pas un mois en principe, et quelques jours suffisent en règle générale pour constater un incident. Pour les lieux ouverts au public, le Code de la sécurité intérieure fixe le plafond à un mois (art. L. 252-5). La durée ne doit pas être réglée sur la seule capacité de stockage de l'enregistreur.
Si un incident donne lieu à une procédure disciplinaire ou pénale, les images utiles sont extraites du dispositif, l'opération est consignée, et elles sont conservées pour la durée de la procédure. Pour situer cette durée par rapport à vos autres traitements, voir notre guide sur la durée de conservation des données.
8. Y a-t-il des formalités à accomplir ?
Elles dépendent des lieux filmés.
Lieu non ouvert au public
Réserves, zones réservées au personnel, locaux de stockage : aucune formalité auprès de la CNIL. Le dispositif relève du RGPD. Il doit être inscrit au registre des traitements, et le DPO, s'il a été désigné, doit être associé à sa mise en œuvre. La CNIL l'a rappelé en sanctionnant la Samaritaine d'une amende de 100 000 euros (délibération SAN-2025-008 du 18 septembre 2025) : la déléguée à la protection des données n'avait été informée de caméras dissimulées dans les réserves que plusieurs semaines après leur installation.
Lieu ouvert au public
Entrées et sorties du public, zones marchandes, comptoirs, caisses : le dispositif doit être autorisé par le préfet du département (le préfet de police à Paris), en application des articles L. 251-1 et suivants du Code de la sécurité intérieure. La demande se fait par formulaire, téléchargeable sur le site du ministère de l'Intérieur ou à remplir en ligne. Plusieurs sanctions prononcées en 2026 dans le cadre de la procédure simplifiée visent justement des dispositifs exploités sans autorisation préfectorale (voir notre actualité sur les 23 sanctions de la procédure simplifiée).
Et l'analyse d'impact ?
« Aucune formalité » ne veut pas dire « aucune analyse ». L'article 35.3.c du RGPD impose une analyse d'impact (AIPD) en cas de surveillance systématique à grande échelle d'une zone accessible au public, et la CNIL le rappelle pour la vidéoprotection. Un dispositif qui permet une surveillance constante de l'activité des salariés doit lui aussi être examiné à l'aune de la liste des traitements soumis à AIPD publiée par la CNIL. Méthode pas à pas : réaliser son AIPD en 5 étapes.
9. Les représentants du personnel doivent-ils être consultés ?
Oui. Le CSE doit être informé et consulté avant toute décision d'installer des caméras, qu'elles filment ou non un lieu ouvert au public (Code du travail, art. L. 2312-38). La CNIL a résumé en 2026 les trois conditions cumulatives de tout dispositif de contrôle de l'activité des salariés : voir notre actualité sur le contrôle des salariés au travail.
10. Qui peut accéder aux images enregistrées ?
Seules les personnes habilitées par l'employeur, dans le cadre de leurs fonctions, par exemple le responsable de la sécurité. Elles doivent être formées aux règles du dispositif, et l'accès doit être tracé et sécurisé pour que personne d'autre ne puisse visionner les images. La liste des habilitations a sa place dans la fiche du registre, à côté de la durée de conservation.
Vidéosurveillance : ce que vous risquez
Trois régimes de sanction se cumulent.
- Sanctions administratives (RGPD). La formation restreinte de la CNIL peut prononcer une amende allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour un manquement aux principes ou aux droits des personnes (article 83.5 du RGPD). En pratique, les montants observés sur la vidéosurveillance vont de quelques milliers d'euros en procédure simplifiée (plafonnée à 20 000 euros) à 40 000 euros pour une entreprise du secteur immobilier qui filmait ses salariés en permanence (délibération SAN-2024-021 du 19 décembre 2024) et 100 000 euros pour la Samaritaine en 2025.
- Sanctions pénales. La collecte déloyale ou illicite (art. 226-18 du Code pénal), la conservation excessive (art. 226-20) et le détournement de finalité (art. 226-21) sont punis de cinq ans d'emprisonnement et de 300 000 euros d'amende, montant quintuplé pour une personne morale, soit 1,5 million d'euros (art. 131-38). L'absence d'information des personnes est une contravention (art. R. 625-10).
- Contentieux du travail. Une preuve tirée d'un dispositif dont le salarié n'avait pas été informé est illicite (art. L. 1222-4 du Code du travail). Le juge ne peut l'admettre que si sa production est indispensable à l'exercice du droit à la preuve et l'atteinte proportionnée au but poursuivi (Cour de cassation, assemblée plénière, 22 décembre 2023) : une procédure disciplinaire bâtie sur ces images est fragile.
Ce risque ne dépend pas de la taille de l'entreprise. Une réclamation se dépose en quelques minutes sur le site de la CNIL, qui en a reçu 11 077 en 2018, tous sujets confondus (rapport d'activité 2019 de la CNIL), et une plainte d'un salarié suffit à déclencher un contrôle sur place.
La checklist du DPO avant de valider une caméra
- Finalité écrite, et lien entre cette finalité et chaque emplacement de caméra.
- Base légale et mise en balance des intérêts documentées.
- Angles de vue vérifiés : ni poste de travail, ni zone de pause, ni local syndical.
- Pas de son, sauf déclenchement par le salarié en cas d'incident.
- Durée de conservation fixée (quelques jours, un mois au plus) et paramétrée dans l'enregistreur.
- Panneaux posés, information individuelle remise aux salariés, information complète accessible.
- CSE consulté, procès-verbal conservé.
- Autorisation préfectorale si un lieu ouvert au public est filmé.
- AIPD réalisée ou, si elle n'est pas requise, raisons écrites de ce choix.
- Fiche au registre à jour : habilitations, sous-traitant éventuel (installateur, télésurveillance), mesures de sécurité.
La plupart de ces points se jouent dans deux documents : la fiche du registre et, quand elle est requise, l'AIPD. Dans Leto, le registre et l'AIPD vivent dans le même outil : la fiche « vidéosurveillance » et son analyse d'impact se documentent au même endroit, et l'on montre en contrôle un seul raisonnement, de la finalité jusqu'aux mesures de sécurité. Pour voir comment, réservez une démo.
Questions fréquemment posées
Quelle différence entre vidéosurveillance et vidéoprotection ?
Dans le vocabulaire de la CNIL, la vidéosurveillance désigne les caméras qui filment des lieux non ouverts au public (réserves, bureaux, zones réservées au personnel) : elle relève du RGPD et de la loi Informatique et Libertés. La vidéoprotection désigne les caméras qui filment des lieux ouverts au public : elle relève en plus du Code de la sécurité intérieure (art. L. 251-1 et suivants) et suppose une autorisation préfectorale.
Un employeur peut-il installer des caméras cachées ?
Seulement dans des circonstances exceptionnelles. En sanctionnant la Samaritaine (délibération SAN-2025-008 du 18 septembre 2025), la CNIL a rappelé, dans le prolongement de la Cour européenne des droits de l'homme, qu'un dispositif dissimulé doit ménager un juste équilibre entre la protection des biens et la vie privée des salariés : il doit être temporaire et déployé après une analyse documentée de sa compatibilité avec le RGPD.
Un salarié peut-il demander à voir les images où il apparaît ?
Oui. C'est le droit d'accès de l'article 15 du RGPD : l'employeur doit répondre dans un délai d'un mois (article 12.3), en masquant les autres personnes filmées si nécessaire. Si les images ont déjà été effacées à l'issue de la durée de conservation, il suffit de le dire. Voir notre guide sur l'exercice du droit d'accès.
Une entreprise peut-elle filmer la voie publique devant ses locaux ?
En principe, non : filmer la voie publique est réservé aux autorités publiques. Le Code de la sécurité intérieure (art. L. 251-2) permet seulement, sur autorisation du préfet, de filmer les abords immédiats de bâtiments particulièrement exposés à des risques d'agression, de vol ou d'actes de terrorisme. Hors de ce cadre, les caméras extérieures doivent être orientées pour ne pas capter l'espace public.
Faut-il inscrire la vidéosurveillance au registre des traitements ?
Oui. Le dispositif est un traitement de données personnelles au sens de l'article 30 du RGPD : la fiche du registre doit mentionner la finalité, les catégories de personnes filmées, les destinataires, la durée de conservation et les mesures de sécurité. C'est le premier document que la CNIL demande lors d'un contrôle. Pour l'articuler avec vos autres traitements RH, voir notre guide sur le RGPD et les données RH.
