Voir les titres Ne plus voir les titres
- Ce que dit la loi sur la vidéosurveillance en entreprise
- Les formalités réellement exigées depuis le RGPD
- Les avantages de la télésurveillance
- Information des personnes et durée de conservation
- Le précédent Amazon, ou le prix d’un dispositif excessif
- Opter pour le bon système de vidéosurveillance
- La sécurité, un processus plus qu’un produit
La vidéosurveillance en entreprise désigne l’ensemble des caméras installées dans des locaux professionnels pour assurer la sécurité des biens et des personnes. Entrepôts, zones de stockage, accès de bâtiments : le dispositif s’est banalisé au point de figurer dans les budgets courants des PME, au même titre que l’alarme ou le contrôle d’accès. Il reste pourtant l’un des sujets les plus sanctionnés en matière de protection des données au travail.
La raison tient à un équilibre difficile à tenir. Un employeur peut légitimement protéger ses actifs, mais il ne peut pas placer ses salariés sous surveillance permanente, et la frontière entre les deux se joue sur des détails d’installation. Quelles obligations encadrent réellement ces caméras, et que risque une entreprise qui les néglige ?
Ce que dit la loi sur la vidéosurveillance en entreprise
Avant même de choisir un matériel, l’employeur doit définir un objectif légal et légitime. La CNIL admet ainsi la sécurité des biens et des personnes, la dissuasion ou l’identification des auteurs de vols, de dégradations ou d’agressions. Une caméra sans finalité écrite est irrégulière par construction, quelle que soit la qualité de son installation.
Le placement des caméras découle directement de cette finalité. Sont admis les entrées et sorties de bâtiments, les issues de secours, les voies de circulation et les zones où sont entreposés marchandises et biens de valeur. En revanche, filmer un salarié à son poste de travail n’est possible que dans des circonstances particulières, et la caméra doit alors viser la caisse plutôt que le caissier.
Certaines zones restent hors du champ, sans exception possible : toilettes, vestiaires, espaces de pause et de repos, locaux syndicaux et locaux des représentants du personnel, y compris les accès qui n’y mènent qu’à eux seuls. Le principe de proportionnalité du code du travail, posé à l’article L1121-1, sert de règle d’arbitrage dès qu’un doute apparaît sur l’angle d’une caméra.
Les formalités réellement exigées depuis le RGPD
Une idée reçue tenace veut qu’il faille déclarer son installation à la CNIL. Ce n’était plus exact depuis l’entrée en application du règlement européen, en mai 2018 : aucune déclaration préalable n’est requise pour des caméras filmant des lieux non ouverts au public, comme une réserve, un atelier ou une zone dédiée au personnel.
L’obligation a changé de nature plutôt que de disparaître. Le dispositif doit être inscrit au registre des activités de traitement que l’entreprise tient, le délégué à la protection des données doit être associé à sa mise en œuvre lorsqu’il en existe un, et une analyse d’impact devient nécessaire dès qu’un dispositif conduit à une surveillance systématique à grande échelle d’une zone accessible au public. La même logique de conformité documentée gouverne d’autres traitements courants, comme les pixels de suivi insérés dans les emails.
Deux formalités subsistent, et elles sont souvent oubliées. Lorsque les caméras filment un lieu ouvert au public, comptoirs, caisses ou zones marchandes, le dispositif doit être autorisé par le préfet du département. Par ailleurs, les instances représentatives du personnel doivent être informées et consultées avant toute décision d’installation, ce que rappelle l’article L2312-38 du code du travail.
Les avantages de la télésurveillance
La télésurveillance, qui adjoint à la caméra un centre de traitement des alertes, occupe une place croissante dans les arbitrages de sécurité des PME. Ses bénéfices se mesurent autant en coûts évités qu’en réactivité, ce qui explique son adoption au-delà des seuls sites industriels.
- Sécurité renforcée : la surveillance des locaux en temps réel réduit les risques d’intrusion et de vol ;
- Coût maîtrisé : l’investissement initial se compare favorablement, sur la durée, à une présence humaine permanente ;
- Flexibilité : les dispositifs s’adaptent à la configuration des sites et aux horaires réels d’activité ;
- Surveillance à distance : l’accès aux images depuis un autre site facilite la gestion multi-établissements ;
- Dissuasion : la seule présence visible de caméras décourage une part des comportements indésirables ;
- Traçabilité : les rapports d’événements aident à évaluer l’efficacité des mesures de sécurité déjà en place.
Un point concentre les manquements relevés par la CNIL. Consulter les images depuis un téléphone ne doit jamais servir à commenter le travail d’un salarié, et cet accès distant doit être sécurisé par un mot de passe robuste et une connexion chiffrée.
Information des personnes et durée de conservation
Salariés, visiteurs et prestataires doivent être informés par des panneaux affichés en permanence et visibles. Ces panneaux ne peuvent pas se contenter de la mention établissement sous surveillance : ils doivent porter la finalité du dispositif, la durée de conservation des images, l’identité ou la qualité du responsable et du délégué à la protection des données, ainsi que le droit d’introduire une réclamation auprès de la CNIL.
La durée de conservation obéit à la même exigence de proportionnalité. La CNIL retient qu’elle n’excède en principe pas un mois, quelques jours suffisant à effectuer les vérifications après un incident. Cette durée ne se fixe jamais d’après la capacité de l’enregistreur, argument pourtant fréquent lors des contrôles.
Le précédent Amazon, ou le prix d’un dispositif excessif
Le sujet a cessé d’être théorique le 27 décembre 2023, quand la CNIL a prononcé une amende de 32 millions d’euros contre Amazon France Logistique. La formation restreinte a jugé excessif le système de suivi de l’activité et des performances des salariés, notamment les indicateurs mesurant les temps d’inactivité des scanners utilisés en entrepôt.
Deux griefs visaient directement la vidéosurveillance : une information insuffisante des personnes filmées, salariés, intérimaires et visiteurs extérieurs, et une sécurisation lacunaire de l’accès au logiciel de visionnage. Les manquements sanctionnés relèvent de la mise en œuvre, pas du principe même du dispositif, ce qui rejoint la logique de responsabilité documentée qui traverse aussi les arbitrages de cybersécurité imposés par la directive NIS2.
Opter pour le bon système de vidéosurveillance
Le choix d’un système engage l’entreprise pour plusieurs années, sur le plan technique comme sur le plan juridique. Sept critères structurent une comparaison sérieuse entre les offres du marché, et ils gagnent à être arbitrés avant la consultation des installateurs plutôt qu’après.
- Type de caméras : le choix entre analogique et IP conditionne le câblage, l’évolutivité et le coût d’exploitation ;
- Résolution : une image plus nette facilite l’identification, au prix d’un espace de stockage nettement supérieur ;
- Stockage des données : la capacité retenue doit correspondre à la durée de conservation décidée, et non l’inverse ;
- Accessibilité : l’accès aux enregistrements doit rester réservé aux personnes habilitées et formées ;
- Conformité : le système doit permettre de tenir les obligations d’information, de purge automatique et de journalisation des consultations ;
- Coût complet : au prix d’acquisition s’ajoutent l’abonnement de télésurveillance, la maintenance et les mises à jour logicielles ;
- Installation et exploitation : la complexité du déploiement détermine les compétences internes à mobiliser dans la durée.
Le marché français compte des acteurs installés, parmi lesquels Verisure, Nexecur, Securitas, Homiris ou Stanley Security. La mise en concurrence des devis, installation incluse, situe un prix de référence, à condition de comparer des périmètres de maintenance identiques.
La sécurité, un processus plus qu’un produit
Les entreprises qui se font sanctionner ont presque toutes acheté du bon matériel. Ce qui leur a manqué se situe ailleurs : dans l’écrit qui justifie la finalité, dans la consultation du comité social et économique, dans la purge effective des images, dans la revue périodique des habilitations d’accès. Autant de tâches qui ne s’achètent pas avec une caméra.
La sécurité est un processus, pas un produit. Les produits apportent une certaine protection, mais la seule manière de travailler efficacement dans un monde qui ne l’est pas consiste à mettre en place des processus qui reconnaissent l’insécurité inhérente aux produits.
Bruce Schneier, expert en cryptographie et en sécurité informatique, dans sa lettre Crypto-Gram du 15 mai 2000
La remarque, écrite pour la sécurité informatique, s’applique mot pour mot aux caméras d’un entrepôt. Un dispositif de vidéoprotection vaut ce que valent les règles qui l’encadrent et les gens qui les appliquent, et c’est cette gouvernance qui distingue une entreprise protégée d’une entreprise simplement équipée. Le même déplacement s’observe partout où la conformité devient un actif, y compris dans la manière de recueillir un consentement en ligne.
