TL;DR: Quien graba en Francia debe tener un cartel completo conforme a las pautas de la CNIL, conservar las imágenes un mes como máximo y responder a las solicitudes de acceso sin exponer a terceros. Las cámaras que graban zonas abiertas al público necesitan además una autorización del prefecto. Los grandes almacenes Samaritaine pagaron 100.000 euros por ocultar cámaras. Para DPD, cumplimiento e IT. Gallio PRO difumina automáticamente rostros y matrículas. Compruebe su instalación con el test de cumplimiento de videovigilancia : nueve preguntas, su resultado en esta misma página, sin correo electrónico.
A quién va dirigida esta guía
Este artículo describe la situación en Francia. Está pensado para empresas españolas y europeas que tienen en Francia tiendas, almacenes, oficinas u otros centros, y para sus equipos de protección de datos.
El RGPD se aplica en toda la UE, pero Francia añade su propia capa: la autoridad francesa de protección de datos (Commission nationale de l'informatique et des libertés, CNIL), el Código de Seguridad Interior (Code de la sécurité intérieure, CSI) y el Código del Trabajo (Code du travail). Indicamos los términos franceses entre paréntesis para que pueda localizarlos en los documentos locales y con sus asesores.
La declaración ante la CNIL ya no existe. Las inspecciones, sí.
La declaración de la videovigilancia ante la CNIL se suprimió el 25 de mayo de 2018, pero a cambio debe poder demostrar en cualquier momento que su sistema cumple la normativa (artículo 5, apartado 2, del RGPD). Explicamos con detalle qué la sustituye en nuestro artículo «Declaración a la CNIL de la videovigilancia en Francia: suprimida en 2018, esto es lo que la sustituye».
Dos regímenes según lo que graban las cámaras
En Francia, la pregunta decisiva es si la cámara graba un lugar abierto al público.
Zonas abiertas al público (entradas, superficie de venta, cajas): se denomina «vidéoprotection». El sistema debe estar autorizado por el prefecto del departamento, con base en los artículos L251-1 y siguientes del Código de Seguridad Interior. El RGPD se aplica en paralelo.
Zonas no abiertas al público (almacenes, oficinas, espacios reservados al personal): se denomina «vidéosurveillance». No se necesita autorización del prefecto, pero el RGPD se aplica por completo: registro, información, minimización y DPD.
Cuando se graba a empleados, el Código del Trabajo francés añade tres reglas:
- El comité de empresa (comité social et économique, CSE) debe ser informado y consultado antes de implantar cualquier medio de control de la actividad laboral (artículo L2312-38).
- No puede recogerse información sobre un empleado mediante un dispositivo que no se le haya dado a conocer previamente (artículo L1222-4).
- Las restricciones a las libertades de los empleados deben estar justificadas y ser proporcionadas a la finalidad (artículo L1121-1).
La CNIL precisa que las cámaras no deben usarse para comprobar si el personal hace bien su trabajo ni grabar el interior de probadores o aseos.
Obligación 1: un cartel completo, no solo un pictograma
El cartel debe ser visible antes de que la persona entre en la zona grabada. Según la CNIL, debe indicar:
- El pictograma de una cámara que señale que el lugar está videovigilado
- Las finalidades del tratamiento
- El plazo de conservación de las imágenes
- El nombre o cargo y el teléfono del responsable o del DPD
- La existencia de los derechos de protección de datos
- El derecho a presentar una reclamación ante la CNIL, con sus datos de contacto
El resto de la información del artículo 13 del RGPD, como la base jurídica o los destinatarios, puede ofrecerse en una segunda capa: un aviso en recepción, una página web o un código QR en el cartel. Un cartel genérico de «Sonría, le estamos grabando» no basta.
Obligación 2: la solicitud de acceso a las imágenes
Cualquier persona grabada puede pedir ver las imágenes que la afectan. Para la vidéoprotection, el artículo L253-5 del Código de Seguridad Interior establece que «este acceso es de derecho». El RGPD fija un plazo de un mes, ampliable dos meses en solicitudes complejas (artículo 12, apartado 3).
El problema son todos los demás en la imagen. Clientes, empleados, transeúntes: aparecen en casi todas las secuencias.
El artículo L253-5 permite denegar el acceso por motivos relacionados con los derechos de terceros. El artículo 15, apartado 4, del RGPD establece que la copia no puede afectar negativamente a los derechos de otros. Las Directrices 3/2019 del Comité Europeo de Protección de Datos (CEPD) señalan la vía práctica: enmascarar o difuminar a los terceros en lugar de denegar la solicitud.
Difuminar a terceros le permite atender la solicitud sin crear un problema nuevo. Una denegación sistemática por la presencia de terceros es difícil de defender si el difuminado era posible.
Obligación 3: una conservación breve y justificada
Para la vidéoprotection, el artículo L252-5 del Código de Seguridad Interior fija la regla: salvo investigación o procedimiento judicial, las grabaciones se destruyen en el plazo fijado en la autorización del prefecto, que no puede superar un mes.
La CNIL añade dos precisiones. El plazo no debe fijarse solo en función de la capacidad de almacenamiento. Y unos pocos días suelen bastar para revisar un incidente.
Si se inicia un procedimiento, las imágenes correspondientes se extraen y se conservan mientras dure. Esa extracción debe quedar registrada.
.
El caso Samaritaine: 100.000 euros por cámaras ocultas
El 18 de septiembre de 2025, la sala sancionadora de la CNIL (formation restreinte) impuso una multa de 100.000 euros a SAMARITAINE SAS, la sociedad que gestiona los grandes almacenes parisinos ( fuente: CNIL, en inglés).
En agosto de 2023, tras un aumento de los robos de mercancía, la empresa instaló cámaras en dos almacenes. Parecían detectores de humo y podían grabar sonido. Los empleados las descubrieron y se retiraron en septiembre de 2023. Un artículo de prensa y después una reclamación desencadenaron la inspección de la CNIL.
La CNIL constató tres infracciones:
- Licitud y responsabilidad proactiva (artículos 5.1.a y 5.2 del RGPD): sin análisis previo de cumplimiento, carácter temporal sin documentar y sistema ausente del registro y de la evaluación de impacto.
- Minimización de datos (artículo 5.1.c del RGPD): la grabación de sonido captaba conversaciones de la esfera privada de los empleados.
- Papel del DPD (artículo 38.1 del RGPD): el delegado no fue informado hasta varias semanas después de la instalación.
Lo que muestra el caso:
- Una cámara oculta es, por definición, una cámara sin cartel. La CNIL solo la admite en circunstancias excepcionales, de forma temporal y con un análisis documentado.
- Los almacenes no están abiertos al público, por lo que no hacía falta autorización del prefecto. Aun así, el RGPD se aplicaba por completo.
- El comercio minorista está especialmente expuesto: muchas cámaras, muchos clientes y empleados, muchas solicitudes de acceso. Consulte nuestra página sobre anonimización de CCTV en centros comerciales .
Las infracciones de los principios del RGPD se rigen por el artículo 83, apartado 5: hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial. En el ámbito penal, el artículo 226-1 del Código Penal francés (Code pénal) castiga con hasta un año de prisión y 45.000 euros de multa captar la imagen de una persona en un lugar privado sin su consentimiento.
Cómo responder a una solicitud de acceso a imágenes en Francia en 5 pasos
- Registre la solicitud y el plazo. Anote la fecha de recepción: el plazo de un mes empieza ese día. Verifique la identidad del solicitante y pida el lugar, la fecha y la hora aproximada.
- Asegure el fragmento antes de que se borre. Con una conservación de unos días a un mes, el tiempo apremia. Exporte la secuencia desde su sistema de gestión de vídeo y anote la extracción en el registro.
- Difumine a terceros. Cargue el fragmento en Gallio PRO . El software detecta automáticamente rostros y matrículas y los difumina. La detección de rostros no identifica a nadie: solo localiza las zonas de la imagen en las que hay un rostro. Asegúrese de que el solicitante siga siendo reconocible: solo se difumina a terceros.
- Retoque manualmente si hace falta. Tarjetas identificativas, pantallas de caja, documentos y logotipos no se detectan automáticamente. Márquelos a mano en el editor integrado de Gallio PRO. Revise también los reflejos en escaparates y espejos.
- Revise, entregue, documente. Vea el resultado completo. Entregue la copia y anote la entrega en el registro: quién, cuándo, qué fragmento y qué se difuminó.
Gallio PRO funciona como aplicación en Windows y macOS. Para entornos empresariales existe una versión de línea de comandos local (on-premise) para Linux. No es necesario enviar las grabaciones a un servicio en la nube externo. Si recibe muchas solicitudes, consulte también nuestro artículo sobre las solicitudes de acceso en el comercio minorista .
Lista de comprobación para la videovigilancia en Francia
Punto de control | Base jurídica | ¿Hecho? |
Autorización del prefecto para cámaras en zonas abiertas al público | CSI, art. L251-1 y ss. | ☐ |
Cartel completo antes de cada zona grabada | Art. 13 del RGPD | ☐ |
CSE consultado y empleados informados individualmente | Code du travail, art. L2312-38 y L1222-4 | ☐ |
Entrada en el registro y evaluación de impacto si procede | Art. 30 y 35 del RGPD | ☐ |
DPD implicado antes de la instalación | Art. 38.1 del RGPD | ☐ |
Conservación máxima de un mes, fijada según la necesidad real | CSI, art. L252-5 | ☐ |
Procedimiento de solicitudes de acceso con plazo de un mes | Art. 12 y 15 del RGPD, CSI art. L253-5 | ☐ |
Herramienta para difuminar a terceros antes de entregar imágenes | Art. 15.4 del RGPD | ☐ |
Sin grabación de sonido, sin cámaras en aseos ni probadores | Art. 5.1.c del RGPD | ☐ |
Preguntas frecuentes
¿Hay que seguir declarando la videovigilancia ante la CNIL en Francia?
No, la declaración se suprimió el 25 de mayo de 2018, cuando empezó a aplicarse el RGPD. Lo que necesita en su lugar lo explicamos en nuestro artículo «Declaración a la CNIL de la videovigilancia en Francia: suprimida en 2018, esto es lo que la sustituye».
¿Es obligatorio el cartel de videovigilancia en Francia?
Sí. Las personas deben ser informadas antes de entrar en la zona grabada. Un pictograma no basta: el cartel debe indicar las finalidades, el plazo de conservación, el contacto del responsable o del DPD, los derechos y la posibilidad de reclamar ante la CNIL.
¿Se necesita autorización para poner cámaras en una tienda en Francia?
Sí para las zonas abiertas al público, como la superficie de venta o las cajas: la autorización la concede el prefecto. No para almacenes y oficinas, aunque allí se aplica el RGPD.
¿Cuánto tiempo pueden conservarse las imágenes de videovigilancia en Francia?
Un mes como máximo para la vidéoprotection (artículo L252-5 del Código de Seguridad Interior). La CNIL recuerda que unos pocos días suelen bastar. Las imágenes vinculadas a un procedimiento pueden conservarse mientras dure.
¿Puede un empresario en Francia usar cámaras ocultas?
Solo en circunstancias excepcionales, de forma temporal y tras un análisis documentado. Samaritaine pagó 100.000 euros por no cumplir estas condiciones.
¿Puedo denegar una solicitud de acceso porque aparecen otras personas?
Es posible denegarla para proteger a terceros, pero el difuminado suele permitir responder. Se difuminan los rostros y las matrículas de las demás personas y se entrega la copia.
¿Qué multa puede imponerse por una videovigilancia no conforme en Francia?
Hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial según el RGPD. Samaritaine pagó 100.000 euros en 2025. El Código Penal francés prevé además hasta un año de prisión y 45.000 euros de multa por captar imágenes en un lugar privado sin consentimiento.
Conclusión
Suprimir la declaración ante la CNIL no redujo las obligaciones: las trasladó a la prueba. Un cartel completo, la entrada en el registro, una conservación breve y respuestas a las solicitudes de acceso con terceros difuminados son la base que revisa la CNIL. El caso Samaritaine demuestra que basta un sistema temporal y mal documentado para acabar en sanción.
¿También tiene centros en España? Las normas nacionales cambian de un país a otro, aunque en todos se aplique el mismo RGPD.
Compruebe su instalación con el test de cumplimiento de videovigilancia : nueve preguntas, su resultado en esta misma página, sin correo electrónico.
