TL;DR : Une entreprise qui filme en France doit afficher un panneau complet conforme aux recommandations de la CNIL, limiter la conservation à un mois au plus et répondre aux demandes d'accès sans exposer les tiers. Les caméras filmant des zones ouvertes au public nécessitent en plus une autorisation du préfet. La Samaritaine a payé 100 000 euros pour des caméras cachées. Guide pour DPO, conformité et IT. Gallio PRO floute automatiquement visages et plaques d'immatriculation. Testez votre installation avec le test de conformité vidéosurveillance : neuf questions, votre résultat directement sur la page, sans adresse e-mail.
La déclaration CNIL pour la vidéosurveillance a été supprimée le 25 mai 2018, mais vous devez désormais pouvoir prouver à tout moment que votre dispositif est conforme (article 5, paragraphe 2, du RGPD). Ce qui l'a remplacée est détaillé dans notre article « Déclaration CNIL vidéosurveillance : supprimée en 2018, voici ce qui la remplace ».
En France, la question décisive est de savoir si la caméra filme un lieu ouvert au public ou non.
Zones ouvertes au public (entrées, surfaces de vente, caisses) : on parle de vidéoprotection. Le dispositif doit être autorisé par le préfet du département, sur le fondement des articles L251-1 et suivants du Code de la sécurité intérieure (CSI). Le RGPD s'applique en parallèle.
Zones non ouvertes au public (réserves, bureaux, locaux réservés au personnel) : on parle de vidéosurveillance. Aucune autorisation préfectorale n'est requise, mais le RGPD s'applique pleinement : registre, information, minimisation, DPO.
Quand des salariés sont filmés, le Code du travail ajoute trois règles :
La CNIL précise que les caméras ne doivent pas servir à vérifier que le personnel fait correctement son travail, ni filmer l'intérieur des cabines d'essayage ou des toilettes.
Le panneau doit être visible avant que la personne n'entre dans la zone filmée. Selon la CNIL, il doit indiquer :
Les autres informations prévues par l'article 13 du RGPD, comme la base légale ou les destinataires, peuvent figurer sur un second niveau : affichage à l'accueil, page web ou QR code sur le panneau. Une affiche « Souriez, vous êtes filmés » ne suffit pas.
Toute personne filmée peut demander à voir les images qui la concernent. Pour la vidéoprotection, l'article L253-5 du CSI précise que « cet accès est de droit ». Le RGPD fixe un délai de réponse d'un mois, prolongeable de deux mois pour les demandes complexes (article 12, paragraphe 3).
Le problème vient des autres personnes à l'image. Clients, salariés, passants : presque chaque séquence en montre.
L'article L253-5 du CSI permet de refuser l'accès pour un motif tenant au droit des tiers. L'article 15, paragraphe 4, du RGPD prévoit que la copie ne doit pas porter atteinte aux droits d'autrui. Les lignes directrices 3/2019 du Comité européen de la protection des données (CEPD) indiquent la voie pratique : masquer ou flouter les tiers plutôt que refuser la demande.
Flouter les tiers vous permet donc de répondre favorablement sans créer un nouveau problème. Un refus systématique fondé sur la présence de tiers est difficile à défendre si un floutage était possible.
Pour la vidéoprotection, l'article L252-5 du CSI fixe la règle : hors enquête ou procédure judiciaire, les enregistrements sont détruits dans le délai fixé par l'autorisation préfectorale, qui ne peut excéder un mois.
La CNIL ajoute deux précisions. La durée ne doit pas être fixée selon la seule capacité de stockage du système. Et quelques jours suffisent en général pour vérifier un incident.
Si une procédure est engagée, les images concernées sont extraites et conservées pour la durée de la procédure. Cette extraction doit être tracée.
.
Le 18 septembre 2025, la formation restreinte de la CNIL a infligé une amende de 100 000 euros à SAMARITAINE SAS, la société qui exploite le grand magasin parisien ( source : CNIL).
En août 2023, après une hausse des vols de marchandises, la société avait installé des caméras dans deux réserves. Elles ressemblaient à des détecteurs de fumée et pouvaient enregistrer le son. Des salariés les ont découvertes et elles ont été retirées en septembre 2023. Un article de presse puis une plainte ont déclenché le contrôle de la CNIL.
La CNIL a retenu trois manquements :
Ce que montre cette affaire :
Les manquements aux principes du RGPD relèvent de l'article 83, paragraphe 5 : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Côté pénal, l'article 226-1 du Code pénal punit d'un an d'emprisonnement et de 45 000 euros d'amende le fait de capter l'image d'une personne dans un lieu privé sans son consentement.
Gallio PRO fonctionne comme application sous Windows et macOS. Pour les environnements d'entreprise, une version en ligne de commande sur site est disponible pour Linux. Les images n'ont pas besoin d'être envoyées à un service cloud externe. Pour les volumes importants de demandes, voir aussi notre article sur les demandes d'accès dans le commerce de détail .
Point de contrôle | Base juridique | Fait ? |
Autorisation préfectorale pour les caméras filmant des zones ouvertes au public | CSI, art. L251-1 et s. | ☐ |
Panneau complet avant chaque zone filmée | Art. 13 du RGPD | ☐ |
CSE consulté et salariés informés individuellement | Code du travail, art. L2312-38 et L1222-4 | ☐ |
Inscription au registre et AIPD si nécessaire | Art. 30 et 35 du RGPD | ☐ |
DPO associé avant l'installation | Art. 38-1 du RGPD | ☐ |
Conservation d'un mois au plus, fixée selon le besoin | CSI, art. L252-5 | ☐ |
Procédure de demande d'accès avec délai d'un mois | Art. 12 et 15 du RGPD, CSI art. L253-5 | ☐ |
Outil pour flouter les tiers avant toute communication | Art. 15, paragraphe 4, du RGPD | ☐ |
Pas de captation du son, pas de caméra dans les toilettes ou cabines | Art. 5-1-c du RGPD | ☐ |
Non, elle a été supprimée le 25 mai 2018, avec l'entrée en application du RGPD. Ce qui la remplace est détaillé dans notre article « Déclaration CNIL vidéosurveillance : supprimée en 2018, voici ce qui la remplace ».
Oui. Les personnes filmées doivent être informées avant d'entrer dans la zone. Un simple pictogramme ne suffit pas : le panneau doit indiquer les finalités, la durée de conservation, le contact du responsable ou du DPO, les droits et la possibilité de saisir la CNIL.
Oui pour les zones ouvertes au public, comme la surface de vente ou les caisses : l'autorisation est délivrée par le préfet. Non pour les réserves et les bureaux, mais le RGPD s'applique.
Un mois au maximum pour la vidéoprotection (article L252-5 du CSI). La CNIL rappelle que quelques jours suffisent en général. Les images liées à une procédure peuvent être conservées pour sa durée.
Seulement dans des circonstances exceptionnelles, de façon temporaire et après une analyse documentée. La Samaritaine a été sanctionnée de 100 000 euros pour ne pas avoir respecté ces conditions.
Un refus est possible pour protéger les tiers, mais le floutage permet en général de répondre. Les visages et plaques d'immatriculation des autres personnes sont floutés, puis la copie est remise.
Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial au titre du RGPD. La Samaritaine a payé 100 000 euros en 2025. Le Code pénal prévoit aussi jusqu'à un an d'emprisonnement et 45 000 euros d'amende pour une captation d'images dans un lieu privé sans consentement.
La fin de la déclaration CNIL n'a pas allégé les obligations : elle les a déplacées vers la preuve. Panneau, registre, conservation courte et réponse aux demandes d'accès avec floutage des tiers forment le socle que la CNIL vérifie. L'affaire Samaritaine montre qu'un dispositif temporaire et mal documenté suffit à déclencher une sanction.
Vous avez aussi des sites hors de France ? Les règles nationales diffèrent d'un pays à l'autre, même sous le même RGPD.
Vérifiez votre installation avec le test de conformité vidéosurveillance : neuf questions, votre résultat directement sur la page, sans adresse e-mail.
