Vidéosurveillance en commerce : comment être conforme au RGPD

La vidéosurveillance est un outil efficace contre le vol et les incivilités dans un commerce. Mais installer des caméras sans respecter le cadre légal peut vous exposer à des sanctions financières lourdes — jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel selon le RGPD. Voici comment faire les choses dans les règles.

Deux cadres juridiques à connaître

En France, la vidéosurveillance dans un commerce est encadrée par deux textes complémentaires.

Le Code de la sécurité intérieure régit les caméras filmant des espaces ouverts au public (la zone de vente, l’entrée du magasin). L’installation de ces caméras nécessite une autorisation préfectorale. La demande se fait auprès de la préfecture de votre département, et la réponse intervient généralement sous 4 mois.

Le RGPD et la loi Informatique et Libertés encadrent le traitement des données personnelles. Les images de vidéosurveillance sont des données personnelles dès lors qu’elles permettent d’identifier des individus. Vous êtes donc responsable de leur traitement au sens du RGPD.

Les obligations concrètes à respecter

L’affichage d’information. Un panneau visible doit être placé à chaque entrée de la zone surveillée, avant que la personne n’entre dans le champ des caméras. Ce panneau doit mentionner l’existence du dispositif, sa finalité (sécurité des biens et des personnes), la durée de conservation des images, les coordonnées du responsable et les modalités d’exercice du droit d’accès.

La déclaration en préfecture. Pour les caméras filmant des espaces accessibles au public, le formulaire Cerfa n°13806 doit être déposé en préfecture. Sans cette autorisation, les caméras sont illégales et les images inutilisables en cas de plainte.

La durée de conservation. Les images ne peuvent pas être conservées indéfiniment. La CNIL recommande une durée maximale de 30 jours, et dans la pratique, la plupart des systèmes sont configurés pour un écrasement automatique au bout de 15 à 30 jours. Au-delà, il faut justifier d’un motif particulier (procédure judiciaire en cours, par exemple).

La restriction d’accès. Seules les personnes habilitées peuvent consulter les images. Vous devez définir qui a accès au système (vous, un responsable, le prestataire de maintenance) et sécuriser cet accès par un mot de passe. Les employés ne doivent pas avoir libre accès aux enregistrements.

Le droit d’accès des personnes filmées. Toute personne filmée peut demander à consulter les images la concernant. Vous devez être en mesure de répondre à cette demande dans un délai d’un mois.

Les zones interdites de surveillance

Certaines zones ne peuvent pas être filmées, même dans votre propre commerce. Les caméras ne doivent pas filmer les locaux syndicaux, les zones de pause des employés (salle de repos, vestiaires), ni la voie publique au-delà de l’entrée immédiate de votre établissement.

Pour les employés, la vidéosurveillance sur le lieu de travail est autorisée pour la sécurité, mais pas pour surveiller leur activité en permanence. Les caméras ne doivent pas filmer un poste de travail de manière continue sans justification de sécurité (caisse, coffre-fort). Le comité social et économique (CSE), s’il existe, doit être informé.

Cybersécurité : un angle souvent négligé

Avec les systèmes IP modernes, les caméras sont connectées au réseau. Si elles ne sont pas correctement sécurisées, elles deviennent une porte d’entrée pour les pirates. Quelques règles essentielles à appliquer : changez les mots de passe par défaut dès l’installation, mettez à jour le firmware régulièrement, isolez le réseau des caméras du réseau Wi-Fi client si vous en avez un, et désactivez l’accès à distance si vous n’en avez pas besoin.

Ce que je fais pour mes clients

Quand j’installe un système de vidéosurveillance pour un commerce à Metz ou dans le Grand Est, la conformité fait partie de la prestation. Je m’occupe du dimensionnement technique (nombre et positionnement des caméras), de la configuration avec les bonnes durées de conservation, de la préparation du dossier de déclaration en préfecture, de la fourniture des panneaux d’affichage conformes et de la documentation RGPD associée.

L’objectif est simple : que votre système soit à la fois efficace pour la sécurité et irréprochable sur le plan légal.