Le RGPD encadre strictement la vidéosurveillance en entreprise : dès qu'une caméra filme des salariés ou du public, vous traitez des données personnelles, avec toutes les obligations qui en découlent. Concrètement, être conforme en 2026 suppose sept réflexes : informer les personnes filmées, limiter les zones surveillées, restreindre l'accès aux images, conserver les enregistrements 30 jours maximum, sécuriser les flux, consulter le CSE avant l'installation et documenter le tout dans votre registre des traitements.

Chez Supra Sécurité, nous installons des systèmes de vidéosurveillance pour des commerces, bureaux et entrepôts de Paris et des Hauts-de-Seine depuis des années — plus de 500 installations, dont des enseignes comme McDonald's, Nike ou Balenciaga. Et une constante revient : la conformité se joue à 80 % au moment de la conception du système, pas après. Voici le guide complet pour partir sur de bonnes bases.

Ce que dit le RGPD sur les caméras en entreprise

Une image sur laquelle une personne est identifiable est une donnée personnelle. Le dirigeant qui installe des caméras devient donc « responsable de traitement » au sens du RGPD : c'est lui qui répond de la légalité du dispositif devant la CNIL.

Premier principe : la finalité. Vous devez pouvoir justifier pourquoi vous filmez — sécurité des biens et des personnes, prévention des vols, protection des accès. Filmer les salariés « pour surveiller leur travail » n'est pas une finalité admise : la caméra ne doit jamais devenir un outil de contrôle permanent de l'activité.

Second principe : la proportionnalité. Le dispositif doit être adapté au risque réel. Une bijouterie de Neuilly-sur-Seine ou un entrepôt logistique de Nanterre ne justifient pas le même niveau de couverture qu'un petit bureau sans stock. Chaque caméra doit avoir une raison d'être.

À noter : si vos caméras filment un lieu ouvert au public (boutique, accueil, parking client), une autorisation préfectorale est requise en plus des obligations RGPD, au titre du Code de la sécurité intérieure. Les deux régimes se cumulent.

Les 5 obligations RGPD fondamentales pour votre vidéosurveillance

1. Informer les personnes filmées

Tout espace filmé accessible aux salariés ou au public doit être signalé par un panneau visible, positionné avant l'entrée dans la zone filmée. Il doit mentionner l'identité du responsable de traitement, la finalité de la surveillance, la durée de conservation des images, les droits des personnes (accès, opposition) et le contact pour les exercer. La CNIL recommande une information à deux niveaux : le panneau pour l'essentiel, une notice complète disponible sur demande (règlement intérieur, affichage RH, intranet). Un panneau absent ou incomplet est le manquement le plus fréquemment relevé lors des contrôles — et le plus simple à corriger.

2. Limiter les zones de surveillance

Certains espaces sont strictement interdits à la vidéosurveillance : toilettes, vestiaires, salles de repos, locaux syndicaux et du CSE. Les bureaux individuels ne peuvent être filmés en continu, et un salarié ne doit jamais être cadré en permanence sur son poste de travail. En revanche, les zones à risque sont légitimes : caisses, réserves et entrepôts, accès et issues, zones de stockage de valeurs, espaces de circulation. Lors de nos études sur site, nous définissons les angles de vue caméra par caméra et utilisons quand c'est nécessaire le masquage de zones privatives, directement dans le paramétrage du matériel Dahua ou Hikvision.

3. Restreindre l'accès aux images

Seules les personnes ayant un besoin légitime peuvent visionner les enregistrements : dirigeant, responsable sécurité, service RH en cas d'incident précis. Chaque personne habilitée doit disposer de son propre identifiant, être formée aux règles de confidentialité, et les consultations doivent être traçables via la journalisation des accès. Diffuser les images sur un écran visible du public ou des collègues est proscrit. Si vous déléguez la levée de doute à un opérateur externe, choisissez un centre de télésurveillance certifié APSAD, encadré par un contrat conforme à l'article 28 du RGPD.

4. Limiter la durée de conservation

La CNIL recommande une conservation maximale de 30 jours ; dans la plupart des cas, quelques jours suffisent à constater un incident. Au-delà, les images doivent être écrasées automatiquement. Exception : en cas de vol, d'agression ou de dégradation, les séquences concernées peuvent être extraites et conservées le temps de la procédure, avec traçabilité de l'extraction. Nos enregistreurs gèrent cette purge automatique nativement — la durée est fixée à l'installation et n'exige aucune manipulation de votre part.

5. Sécuriser les enregistrements

Un système piraté, c'est une violation de données à notifier à la CNIL sous 72 heures. Les mesures minimales : modification des mots de passe par défaut (première cause d'intrusion sur les caméras IP), chiffrement des flux, mises à jour des firmwares, accès distant via VPN plutôt que par ouverture de ports, et local technique fermé pour l'enregistreur. Ces protections font partie de notre configuration standard sur chaque caméra de surveillance que nous posons.

CSE et salariés : les consultations obligatoires avant d'installer

C'est le volet le plus souvent oublié, et il relève du Code du travail autant que du RGPD. Avant toute installation impactant les conditions de travail, l'employeur doit informer et consulter le CSE (obligatoire dans les entreprises d'au moins 50 salariés, information des représentants dans les autres). Chaque salarié doit également être informé individuellement — note de service, avenant au règlement intérieur ou courriel formalisé.

Les représentants du personnel ont le droit de connaître l'existence, la finalité et les modalités du dispositif, mais n'ont pas accès aux images. Attention au point clé en contentieux : des enregistrements issus d'un système non déclaré ou installé sans consultation du CSE peuvent être écartés comme preuve en cas de litige prud'homal. Un système non conforme peut donc se retourner contre l'employeur au moment précis où il en aurait besoin.

Registre, AIPD, sanctions : la documentation qui protège

La vidéosurveillance doit figurer dans votre registre des traitements (article 30 du RGPD) : finalité, zones filmées, durée de conservation, personnes habilitées, mesures de sécurité. Une analyse d'impact (AIPD) est requise dans les cas de surveillance systématique à grande échelle — c'est rare pour une PME, mais votre DPO ou votre conseil doit trancher ce point par écrit.

Côté sanctions, le RGPD prévoit jusqu'à 20 millions d'euros d'amende ou 4 % du chiffre d'affaires mondial. En pratique, la CNIL sanctionne régulièrement des TPE et PME pour des dispositifs de vidéosurveillance disproportionnés : salariés filmés en continu, absence d'information, conservation excessive. Ce ne sont pas des cas d'école réservés aux grands groupes — les contrôles sur place ou sur pièces visent aussi les commerces et les petites structures.

Un bon réflexe : coupler la conformité caméras avec celle de votre contrôle d'accès, qui traite lui aussi des données personnelles (badges, historiques de passage) et obéit aux mêmes principes.

Un système conforme dès l'installation : notre méthode

La conformité RGPD n'est pas une contrainte ajoutée après coup, c'est un critère de conception. Sur chaque projet de vidéosurveillance d'entreprise à Paris et dans les Hauts-de-Seine — Neuilly-sur-Seine, Boulogne-Billancourt, Nanterre — notre étude sur site intègre :

le positionnement et les angles de chaque caméra, avec masquage des zones privatives ;

le paramétrage de la purge automatique à 30 jours maximum ;

la sécurisation complète : mots de passe robustes, chiffrement, accès distant par VPN ;

la gestion des habilitations et la journalisation des consultations ;

la fourniture des panneaux d'information et d'un dossier technique pour votre registre des traitements et votre consultation CSE.

Le tout avec du matériel professionnel Dahua, Hikvision ou Ajax, une intervention sous 48 heures et sans abonnement imposé. Nos clients nous le rendent bien : 5/5 sur 56 avis Google.

Vous équipez vos locaux ou vous doutez de la conformité d'un système existant ? Demandez votre devis gratuit : nous auditons l'existant, corrigeons les écarts et vous livrons une installation propre, efficace et défendable devant la CNIL.