Vidéosurveillance en entreprise : cadre légal et parkings

La vidéosurveillance en entreprise reste légale, sous trois conditions cumulatives : une finalité précise, une information écrite des salariés et du comité social et économique, une conservation des images strictement bornée. La CNIL retient le principe d’une durée qui n’excède pas un mois. Hors de ce cadre, les enregistrements coûtent plus qu’ils ne protègent.

Ce que les caméras ont le droit de voir

Le droit de surveiller existe, il n’est pas général. La CNIL raisonne par proportionnalité : chaque caméra répond à un risque identifié, et son champ s’arrête là où ce risque s’arrête.

Les emplacements admis sans difficulté particulière :

• Les entrées et sorties du bâtiment.
• Les issues de secours.
• Les voies de circulation intérieures.
• Les zones de stockage de marchandises ou de matériel de valeur.

Les emplacements que la commission écarte :

• Les postes de travail filmés en continu, hors cas particuliers comme la manipulation de fonds.
• Les zones de pause et les salles de repos.
• Les sanitaires et les vestiaires.
• L’environnement immédiat des distributeurs, la caméra devant cadrer la machine et non la pièce.
• Les locaux des représentants du personnel et des organisations syndicales.

La finalité tient le raisonnement entier. Une entreprise qui installe des caméras pour « la sécurité » n’a rien écrit d’exploitable. Le dossier se construit avant l’achat du matériel : main courante des incidents, sinistres déclarés à l’assureur, plaintes déposées, zones concernées, plages horaires. Ce relevé sert deux fois. Il justifie chaque emplacement devant la CNIL, et il évite la pose réflexe d’une caméra là où aucun événement n’a jamais été constaté.

Le bilan 2025 de la CNIL chiffre la sévérité du terrain : seize organismes ont été sanctionnés dans l’année pour non-respect des règles applicables à la vidéosurveillance des salariés, sur 83 sanctions prononcées au total. La surveillance permanente d’un poste figure parmi les motifs récurrents.

Le cadrage compte autant que l’emplacement

Une caméra correctement placée peut rester non conforme par son angle. Deux dérives reviennent sur le terrain : le débord sur la voie publique et le débord sur la propriété voisine.

Filmer la rue depuis un site privé ne relève plus du seul RGPD. Le Code de la sécurité intérieure soumet ces installations à une autorisation préfectorale préalable, avec dossier, plan de masse et report des bâtiments tiers présents dans le champ de vision. Un objectif grand angle posé sur un portail d’entreprise attrape souvent le trottoir sans que personne ne l’ait décidé.

Les formalités à boucler avant la première image

L’ordre des démarches dépend d’un critère unique : les locaux filmés sont-ils ouverts au public ?

Locaux fermés au public

Bureaux, ateliers, entrepôts, réserves : le dispositif relève du RGPD seul. Aucune déclaration préalable à la CNIL n’existe depuis l’entrée en application du règlement en 2018. L’obligation s’est déplacée vers le registre des traitements, que le responsable de traitement tient à jour et présente en cas de contrôle. Le délégué à la protection des données, quand l’organisme en a désigné un, se voit associé au projet dès sa conception.

La base légale mérite d’être choisie puis écrite. Pour un dispositif de sécurité des biens et des personnes, l’intérêt légitime du responsable de traitement est la voie retenue en pratique, jamais le consentement, inopérant dans une relation de subordination. Ce choix se documente au registre, au même titre que la finalité et la durée de conservation.

Locaux ouverts au public

Accueil, magasin, showroom, hall recevant des visiteurs : l’autorisation préfectorale devient obligatoire, en plus des obligations du règlement. Le silence de la préfecture au-delà de quatre mois vaut refus. Une analyse d’impact relative à la protection des données s’ajoute lorsque le dispositif organise une surveillance systématique à grande échelle.

Le passage devant le CSE

Les articles L1222-4 et L2312-38 du Code du travail se combinent. Le premier interdit de collecter une information concernant personnellement un salarié par un dispositif qui ne lui a pas été porté à connaissance au préalable. Le second impose l’information et la consultation du comité social et économique avant la mise en place de tout moyen de contrôle de l’activité.

L’oubli se paie au moment le moins opportun. Des images issues d’un système jamais présenté au CSE perdent leur valeur dans une procédure disciplinaire, ce qui prive un licenciement de sa cause réelle et sérieuse.

Informer les salariés : le contenu exact du message

L’information ne se réduit pas au pictogramme collé sur une porte vitrée. Elle se joue sur deux niveaux, un support écrit destiné aux salariés et un affichage permanent visible de toute personne entrant dans le champ.

Le message doit porter, selon la CNIL :

• La finalité du dispositif, formulée précisément.
• Les zones effectivement couvertes.
• La durée de conservation des images.
• L’identité et les coordonnées du responsable de traitement.
• Les coordonnées du délégué à la protection des données, s’il existe.
• Les droits des personnes filmées, dont le droit d’accès aux images les concernant.
• La possibilité de saisir la CNIL d’une réclamation, avec ses coordonnées.

Le support écrit destiné aux salariés prend la forme d’une note de service, d’un avenant ou d’une mention au règlement intérieur. Un affichage seul ne suffit pas côté personnel, le Code du travail exigeant une information préalable individuelle.

Point de vigilance sur les nouveaux arrivants et les prestataires. Une société d’accueil, de nettoyage ou de maintenance intervenant sur site entre dans le champ des caméras sans avoir jamais reçu la note interne. Le plan de prévention signé avec ces entreprises reste le véhicule le plus simple pour tracer cette information.

Combien de temps garder les images

Le principe posé par la CNIL tient en une phrase : la durée de conservation n’excède pas un mois. La commission ajoute une nuance que beaucoup de configurations ignorent, quelques jours suffisent en règle générale à effectuer les vérifications nécessaires après un incident et à enclencher, le cas échéant, une procédure disciplinaire ou pénale.

Une durée réglée au maximum sans justification n’est donc pas neutre. Elle expose à un grief de minimisation dès qu’un contrôle s’intéresse au paramétrage réel de l’enregistreur.

Deux fonctions se confondent souvent dans les discussions internes, le visionnage en temps réel et l’enregistrement. La première ne conserve rien et pose surtout des questions d’habilitation. La seconde crée le stock de données que la CNIL contrôle. Un dispositif peut parfaitement diffuser un flux vers un poste de gardiennage sans rien enregistrer, ou enregistrer sans que personne ne regarde en direct.

Le dimensionnement du stockage matérialise ensuite la décision. Un enregistreur acheté avec une capacité surdimensionnée pousse mécaniquement à conserver longtemps, parce que la place existe. Calculer le volume à partir de la durée retenue, et non l’inverse, évite cette dérive silencieuse.

La sanction prononcée contre Amazon France Logistique en décembre 2023, rendue publique en janvier 2024, illustre l’effet d’accumulation. Les 32 millions d’euros d’amende visent un dispositif global de suivi de l’activité jugé excessif, auquel s’ajoutent une vidéosurveillance mise en œuvre sans information suffisante et une sécurisation défaillante : compte d’accès au logiciel partagé entre tous les habilités, mot de passe de douze caractères composé uniquement de minuscules et de chiffres.

Quatre réglages méritent une vérification directe sur l’enregistreur :

• La durée d’écrasement automatique réellement programmée, souvent restée sur la valeur d’usine.
• L’existence d’un export figé quand une procédure démarre, les images extraites sortant alors du cycle d’écrasement.
• La synchronisation horaire, sans laquelle un horodatage n’a aucune portée devant un juge.
• La traçabilité des exports, pour savoir qui a sorti quelle séquence et quand.

Qui peut visionner les enregistrements

La question revient dans presque toutes les réclamations adressées à la CNIL. Sa réponse est restrictive : seules les personnes habilitées par l’employeur dans le cadre de leurs fonctions accèdent aux images, et ces personnes reçoivent une formation à la réglementation applicable.

Cinq règles rendent l’habilitation opérationnelle :

• Une liste nominative des habilités, datée, revue à chaque mouvement de personnel.
• Un compte individuel par personne, jamais un identifiant collectif.
• Un motif d’accès consigné, la consultation d’images n’étant pas une activité de fond d’écran.
• Un poste de visionnage placé hors de vue des tiers, écran non exposé.
• Une désactivation immédiate des accès au départ d’un habilité.

Le gardien, le prestataire de télésurveillance et le service informatique se retrouvent souvent habilités par défaut, sans décision écrite. Cette zone grise devient un problème le jour où une séquence circule par messagerie.

Le prestataire de télésurveillance occupe un statut particulier. Il traite les images pour le compte de l’entreprise, ce qui en fait un sous-traitant au sens du RGPD. Le contrat qui le lie au responsable de traitement encadre alors les finalités, les durées, les mesures de sécurité et le sort des données en fin de mission. Un contrat d’intervention muet sur ces points laisse l’entreprise seule face au contrôle.

Les salariés disposent d’un droit d’accès aux images les concernant. La demande se traite comme toute demande de droit d’accès, avec vérification d’identité et occultation des tiers apparaissant sur la séquence.

Ce que valent les images devant un juge

L’assemblée plénière de la Cour de cassation a modifié la donne le 22 décembre 2023. Une preuve obtenue de manière illicite ou déloyale n’est plus automatiquement écartée du débat civil. Le juge apprécie désormais si son utilisation porte atteinte au caractère équitable de la procédure prise dans son ensemble.

Deux conditions cumulatives encadrent cette admission : la preuve doit être indispensable à l’exercice du droit à la preuve, et l’atteinte portée aux droits antagonistes strictement proportionnée au but poursuivi.

La portée pratique se mesure côté employeur. Produire une séquence issue d’un dispositif irrégulier suppose de convaincre le juge sur deux terrains à la fois, la nécessité et la mesure. L’exercice se plaide, il ne se présume pas, et il place l’entreprise en position de justifier ses propres manquements au moment précis où elle reproche une faute à un salarié.

Ce que le revirement ne change pas

Lire cette évolution comme une autorisation de filmer d’abord et de régulariser ensuite serait une erreur de lecture. Trois effets restent intacts.

Les obligations d’information et de consultation demeurent, et leur violation constitue un manquement distinct, indépendamment du sort réservé à la preuve. Le contrôle de la CNIL suit sa propre logique, administrative, avec les sanctions financières associées. Le caractère indispensable de la preuve doit être démontré, ce qui suppose qu’aucun mode de preuve loyal n’était disponible, hypothèse rare quand un dispositif conforme aurait produit la même séquence.

Un système régulier reste la voie économique. Le débat se déplace vers la proportionnalité, il ne disparaît pas.

Coupler les caméras au contrôle d’accès véhicules

Sur un site tertiaire ou industriel, la caméra arrive rarement seule. Elle accompagne un système de contrôle d’accès parking qui filtre les véhicules à l’entrée. Les deux dispositifs répondent à des besoins distincts et se complètent mal quand la répartition des rôles n’est pas posée.

La caméra ne remplace pas l’obstacle

Une caméra dissuade et documente. Elle n’arrête aucun véhicule. Un intrus décidé franchit un accès non protégé physiquement, et l’enregistrement ne servira qu’après coup, pour la plainte et l’assurance.

Le blocage relève d’un équipement mécanique. Bornes escamotables, barrières levantes, portails : le choix se fait sur la fréquence de passage, le niveau de résistance et le budget, sujet traité dans notre comparatif des solutions pour aménager un parking avec bornes et barrières. Sur les sites exposés, la résistance à l’impact se spécifie via les normes et certifications applicables.

L’association pertinente tient en une phrase : la borne bloque, la caméra qualifie. Un objectif cadré à l’aplomb de l’accès tranche les litiges classiques, véhicule talonné par le fût qui remonte, tentative de passage en marche arrière derrière un véhicule autorisé, dégradation de la tête de borne. Sans image, ces dossiers se règlent en parole contre parole. La question rejoint celle du suivi technique de l’installation, développée dans notre approche de l’exploitation d’un parc de bornes escamotables.

Lire une plaque, c’est traiter une donnée

La reconnaissance de plaques séduit les gestionnaires, elle supprime le badge et fluidifie l’entrée. La CNIL définit un dispositif de lecture automatisée de plaque d’immatriculation comme tout algorithme permettant la lecture automatisée d’une plaque. Les usages étrangers à la répression pénale relèvent du RGPD, avec les obligations qui l’accompagnent.

Quatre points de contrôle avant de déployer une lecture de plaques sur un accès privé :

• Une finalité écrite, limitée à l’autorisation de passage, sans dérive vers le suivi des heures d’arrivée et de départ des salariés.
• Une durée de conservation courte des journaux de passage, distincte de celle des images.
• Une liste de plaques autorisées gérée comme un fichier de données personnelles, avec purge des véhicules sortis du périmètre.
• Une solution de repli en cas d’échec de lecture, plaque sale ou pluie battante, sinon le premier incident bloque l’accès.

Le badge et la télécommande gardent leur intérêt sur ce point précis. Ils identifient un support remis à une personne, pas un véhicule photographié à chaque passage, et le volume de données traité reste sans commune mesure. Sur un accès à faible rotation, la lecture de plaques ajoute une complexité juridique que le service rendu ne justifie pas toujours.

Le croisement des journaux de passage avec les données de pointage constitue la ligne rouge. Un système installé pour lever une borne devient un outil de mesure du temps de travail, finalité que personne n’a déclarée et que les salariés n’ont jamais vue passer.

Reprendre la main sur un dispositif hérité

La plupart des mises en conformité ne partent pas d’une feuille blanche. Elles portent sur une installation posée cinq ou dix ans plus tôt, complétée au fil des besoins, dont plus personne ne détient le dossier complet.

Une demi-journée sur site suffit à établir l’état des lieux :

• Compter les caméras réellement raccordées, l’écart avec le plan d’origine étant fréquent.
• Photographier le champ de chaque caméra depuis l’écran de supervision, pas depuis le plan.
• Relever la durée d’enregistrement programmée sur chaque enregistreur.
• Lister les comptes d’accès actifs et leur dernière connexion.
• Vérifier la présence et le contenu des affichages, y compris sur les accès véhicules.
• Retrouver la trace écrite de la consultation du CSE et de l’information des salariés.

Le rapprochement avec les autres équipements d’accès se traite dans la foulée. La gestion du contrôle d’accès en copropriété pose des questions voisines dès que des locaux professionnels partagent un parking avec des résidents, chaque responsable de traitement devant alors être identifié nommément.

Prochaine étape : régulariser le point le plus exposé, en pratique la durée de conservation et les comptes partagés, puis reprendre l’information écrite des salariés avant la prochaine réunion du CSE. Un dispositif remis d’aplomb se documente en quelques semaines, un dispositif contesté se défend pendant des mois.