Vidéosurveillance : comment stocker les données et quelle réglementation pour les entreprises ?

En matière de vidéosurveillance, l'Union européenne tend à protéger les données personnelles des individus via le Règlement général sur la protection des données (RGPD). Il s’applique notamment aux entreprises possédant un système de vidéoprotection. Quelle est la réglementation et comment stocker les données issues de la vidéosurveillance ? Découvrez nos réponses dans ce guide complet.

Vidéosurveillance : une installation sous contrôle

L'autorisation préalable à l'installation de vidéosurveillance

La loi encadre toutes les caméras qui seraient installées sur la voie publique, ainsi que dans les lieux recevant du public tels que les commerces, les cinémas, les centres commerciaux, les établissements bancaires, etc. Lorsque l'accès aux locaux n'est pas libre et est par conséquent strictement limité à des personnes ayant l'autorisation d'y pénétrer, tels que des salariés d'une entreprise, le système de vidéosurveillance est alors soumis aux dispositions de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

La législation des caméras de surveillance en magasin est soumise à autorisation préfectorale. Deux possibilités existent pour effectuer cette démarche administrative :

• adresser un dossier par voie postale à la préfecture concernée. Si le lieu d'implantation du système de surveillance se trouve à Paris, la demande d'installation sera adressée à la Direction des usagers et des polices administratives de la Préfecture de Police de Paris ;
• remplir un formulaire de demande d’installation de vidéoprotection en ligne.

La préfecture adresse le dossier à la Commission départementale de vidéoprotection. Au bout de 3 mois, celle-ci rend sa décision. Si l'autorisation est obtenue, le demandeur a obligation de déclarer la mise en service de son système de vidéosurveillance à la préfecture.
L'autorisation préfectorale d'installation et d'exploitation d'un système de vidéosurveillance s'applique pendant 5 ans et est soumise à une demande de renouvellement. À chaque nouvelle requête, le demandeur doit constituer et adresser un nouveau dossier au préfet concerné. Dès l'autorisation préfectorale obtenue, les travaux d'installation du kit de surveillance peuvent être entrepris.

À noter que certains commercent peuvent bénéficier d'aides financières pour installer des caméras de surveillance. C'est notamment le cas des débits de tabac depuis le 1ᵉʳ mai 2023.

Informer les personnes de la présence de caméras

Pour être valable, l'exploitation d'un système de vidéosurveillance doit être justifié. L'employeur doit expliciter le motif de cette surveillance : prévention du risque de vol, sécurité des biens et des personnes, etc. La vidéosurveillance doit également être proportionnée à l'objectif : s'il s'agit d'un magasin de prêt-à-porter qui souhaite limiter sa démarque inconnue, les caméras ne filmeront que les espaces de vente et pas le reste de l'entreprise. En cas de non-respect de ces conditions, l'employeur peut être condamné pour atteinte aux droits des salariés.

Afin d'être conforme au Règlement général sur la protection des données (RGPD), la mise en œuvre de systèmes de vidéosurveillance doit respecter la vie privée et les libertés individuelles. Dès que les personnes filmées sont identifiables sur des images de vidéosurveillance, celles-ci deviennent des données à caractère sensible considérées comme privées. L'entreprise a donc obligation d'information et de transparence vis-à-vis de ses employés quant à son dispositif de surveillance. Les salariés doivent être informés de la présence des caméras et qu'ils sont potentiellement filmés. Pour ce faire, le responsable de l'entreprise installera une pancarte, un logo ou tout autre moyen de communication lisible.

De plus, l'objectif de la vidéosurveillance, la durée de conservation des images, le nom du Délégué à la Protection des Données (DPO), ainsi que l’existence des droits “Informatiques et libertés” doivent également être mentionnés de façon explicite.

Selon la loi Informatique et Libertés édictée par la Commission Nationale Informatique et Libertés (CNIL), le respect de la vie privée des employés et des clients fait partie des obligations des personnes exploitant un dispositif de vidéosurveillance. Ainsi, il est interdit de filmer l'activité des salariés lorsque ceux-ci se trouvent à leur poste de travail, sauf dans certaines circonstances particulières (en cas d'opération de manipulation d'argent, par exemple). Les espaces de repos et de pause, les toilettes, les cabines d’essayage, les locaux syndicaux ou les bureaux des représentants du personnel ne doivent pas être filmés.

Qui peut accéder aux enregistrements vidéo ?

Pour éviter tout abus, l'accès aux images doit être réglementé afin d'assurer la sécurité des données enregistrées. Ainsi, les images captées par une caméra de surveillance ne peuvent pas être librement consultées. Avant tout projet d'installation de vidéoprotection, l'entreprise a obligation de définir quelle(s) personne(s) aura accès aux images enregistrées. Selon la loi du 21 janvier 1995, seules les personnes autorisées par le responsable du traitement des données (responsable informatique ou responsable sécurité) ou par la CNIL pourront consulter les images. Cela garantit que l'accès aux images est strictement encadré, limitant les risques de violations de la vie privée ainsi que l'utilisation des données enregistrées.

Les personnes autorisées à consulter les images issues de la vidéosurveillance d'une entreprise peuvent être l'employeur lui-même ou un autre membre de l'entreprise, à la condition que celui-ci soit formé et habilité à accéder aux images. Si le système de vidéosurveillance est accessible à distance, l'accès devra être sécurisé. Les entreprises ont l'obligation d'établir des protocoles clairs et détaillés afin de définir l’accès à ces informations sensibles. La responsabilité de l'entreprise étant engagée en cas de vols de données, celle-ci doit par ailleurs mettre en œuvre des moyens de lutte contre le risque de cyberattaques.

Quelle que soit la personne autorisée à accéder aux enregistrements vidéo de l'entreprise, il est nécessaire que celle-ci ait été formée au respect de la vie privée et au traitement des données à caractère personnel.

Combien de temps des images peuvent-elles être conservées ?

En France, le délai de conservation des images issues d'un système de vidéosurveillance ne doit pas excéder un mois maximum. Cette durée peut être prolongée si les images sont exploitées dans le cadre d’une enquête. De manière générale, conserver les images seulement quelques jours s'avère suffisant pour effectuer les vérifications nécessaires en cas d’incidents.

À noter que la durée de conservation des données doit être précisée dans l'autorisation délivrée par la préfecture du département.
Toute personne est en droit de demander l'accès aux enregistrements la concernant à l'issue du délai légal d'un mois. Cet accès est toutefois limité et les personnes qui ne seraient pas concernées par les images n'ont aucun droit d'y accéder.