Loi Vidéosurveillance, RGPD & Vie Privée : Guide Légal Complet 2026 — CNIL, Déclaration, Stockage

Introduction : La Caméra de Surveillance n’Est Jamais Hors-la-Loi par Ignorance

En France, la vidéosurveillance est encadrée par un corpus juridique dense, stratifié sur trois décennies de législation. La loi du 21 janvier 1995 relative à la sécurité, le Règlement Général sur la Protection des Données (RGPD) entré en application en mai 2018, la loi Informatique et Libertés dans sa version modifiée de 2018, et les dispositions du Code pénal relatives à la vie privée forment un cadre contraignant que tout installateur, professionnel ou particulier, se doit de maîtriser.

L’enjeu est loin d’être théorique. En 2025, la CNIL a prononcé plus de 90 millions d’euros de sanctions liées à des traitements vidéo non conformes — dont une part significative concerne des PME et des particuliers qui ignoraient simplement leurs obligations. La méconnaissance de la loi n’étant pas une circonstance atténuante devant les tribunaux français, ce dernier volet de notre série sur la sécurité électronique vous donne les clés pour rester du bon côté du droit — quel que soit votre système, de la caméra espion discrète au système PoE multi-caméras.

Partie 1 : Qui Peut Filmer Quoi et Où ? — Les Règles de Base

La grande distinction : espace privé vs espace public

La première question à se poser avant toute installation est simple : qui va apparaître dans le champ de la caméra ? La réponse détermine l’essentiel de vos obligations légales.

Si la caméra ne filme que votre propriété privée — l’intérieur de votre maison, votre jardin clos, visible uniquement par vous et les membres de votre foyer — le cadre légal est minimal. Vous êtes dans la sphère du droit privé, libre de filmer votre propre espace sans autorisation particulière, sous réserve de ne pas enregistrer des espaces où les personnes présentes disposent d’une expectative de vie privée (chambre d’amis, toilettes).

Dès que le champ de la caméra déborde sur un espace accessible à des tiers — voie publique, couloir d’immeuble, parking commun, salle d’attente, local commercial — vous entrez dans le régime réglementé de la vidéoprotection (terme légal en France pour la vidéosurveillance de la voie publique) ou de la vidéosurveillance des lieux ouverts au public, soumis à des obligations déclaratives et parfois à des autorisations préalables.

Les trois régimes légaux en France

* L’exception domestique du RGPD (article 2§2c) exclut les traitements purement personnels ou domestiques. Dès que les images sont partagées, transmises ou stockées sur un cloud tiers, cette exception peut ne plus s’appliquer.

Ce qu’il est interdit de filmer en toutes circonstances

Certaines zones sont absolument hors de portée de toute caméra, quelle que soit la qualité du filmeur :

• Les lieux d’intimité : toilettes, vestiaires, douches, salles de bain — filmer ces espaces constitue une atteinte grave à la vie privée Art. 226-1 CP passible de deux ans d’emprisonnement et 60 000 € d’amende, même dans son propre établissement.
• Les délégués syndicaux et représentants du personnel : filmer spécifiquement ces personnes dans le cadre de leurs fonctions est prohibé.
• Les zones de vote et bureaux de scrutin : toute captation vidéo dans ou autour d’un bureau de vote est interdite pendant les opérations électorales.
• Les enfants dans les espaces scolaires : l’installation de caméras dans les établissements scolaires est strictement encadrée et requiert des autorisations spécifiques du rectorat.
• Les propriétés voisines : orienter une caméra de façon à filmer délibérément et de manière permanente la propriété d’un voisin constitue une atteinte à la vie privée, même depuis son propre terrain.

Partie 2 : RGPD, CNIL et Obligations Légales — L’Analyse Experte

Le RGPD appliqué à la vidéosurveillance : principes fondamentaux

Le Règlement Général sur la Protection des Données (RGPD, Règlement UE 2016/679) s’applique à tout traitement de données personnelles — et une image vidéo permettant d’identifier une personne physique est, par définition, une donnée personnelle au sens de l’article 4§1 du règlement.

Dès lors, toute installation de vidéosurveillance professionnelle ou semi-professionnelle doit respecter les six principes fondateurs du RGPD :

Déclaration CNIL : qui est concerné et comment procéder ?

Depuis l’entrée en vigueur du RGPD en 2018, le régime de déclaration préalable obligatoire à la CNIL a été largement remplacé par un système d’accountability (responsabilisation) : le responsable du traitement n’est plus tenu de déclarer systématiquement son système à la CNIL, mais doit être en mesure de démontrer sa conformité à tout moment.

Concrètement, cela se traduit par les obligations suivantes :

• Tenir un registre des traitements Art. 30 RGPD : document interne listant le système de vidéosurveillance, sa finalité, les catégories de données traitées, la durée de conservation et les mesures de sécurité. Obligatoire pour toute organisation de plus de 250 salariés, fortement recommandé en-deçà.
• Réaliser une Analyse d’Impact (AIPD) Art. 35 RGPD : obligatoire si le système présente des risques élevés pour les droits des personnes — notamment pour la vidéosurveillance couvrant des espaces publics, des zones à fort passage ou des données biométriques (reconnaissance faciale).
• Désigner un DPO (Délégué à la Protection des Données) : obligatoire pour les organismes publics et les entreprises dont l’activité principale implique un suivi régulier et systématique des personnes à grande échelle.
• Notifier les violations de données Art. 33-34 RGPD : tout accès non autorisé aux enregistrements, toute fuite de vidéos ou intrusion dans le système doit être notifié à la CNIL dans les 72 heures, et aux personnes concernées si le risque est élevé.

Durée de conservation des enregistrements : les règles précises

La durée de conservation des images est l’une des obligations les plus souvent violées — et l’une des plus facilement sanctionnées. La CNIL a établi des durées maximales précises selon le contexte :

Droits des personnes filmées : ce qu’elles peuvent exiger

Toute personne filmée par un système de vidéosurveillance dispose de droits précis, directement issus du RGPD et de la loi Informatique et Libertés :

Le cas particulier de la vidéosurveillance en milieu professionnel

La vidéosurveillance des salariés est un terrain miné juridiquement. Si un employeur peut légitimement installer des caméras pour protéger ses locaux et ses biens, il ne peut en aucun cas les utiliser pour surveiller de manière permanente l’activité et les performances de ses employés — ce qui constituerait un contrôle disproportionné contraire au droit du travail.

Les obligations spécifiques en milieu professionnel incluent : l’information préalable et individuelle de chaque salarié (remise d’une notice d’information) Art. L1222-4 CT, la consultation obligatoire du Comité Social et Économique (CSE) avant installation Art. L2312-38 CT, et l’interdiction formelle de filmer les zones de pause et de repos des salariés.

Des images extraites d’un système de vidéosurveillance peuvent servir de preuve dans une procédure disciplinaire — mais uniquement si le système a été régulièrement déclaré et si le salarié en avait été préalablement informé. Une preuve obtenue illicitement est irrecevable et peut se retourner contre l’employeur.

Sanctions : le prix de la non-conformité

Partie 3 : Se Mettre en Conformité — Checklist Pratique et Erreurs à Éviter

Checklist de conformité légale pour une installation de vidéosurveillance

• Identifier la base légale du traitement (intérêt légitime pour la sécurité des biens est la plus courante pour les professionnels — à documenter avec une mise en balance des intérêts).
• Réduire le champ de vision au strict nécessaire : configurer l’angle, le zoom et le masquage de zones (privacy masking) pour exclure les espaces sans lien avec la finalité sécuritaire déclarée.
• Installer des panneaux d’information conformes à la recommandation CNIL : format A5 minimum, visible à l’entrée de toute zone filmée, mentionnant la finalité, le responsable du traitement, la durée de conservation et les droits des personnes.
• Paramétrer la suppression automatique des enregistrements au terme de la durée de conservation choisie (30 jours maximum en règle générale) — via l’interface du NVR, du DVR ou du cloud.
• Sécuriser l’accès au système : authentification forte (mot de passe robuste + authentification à deux facteurs), contrôle d’accès par rôles, journalisation des connexions et consultations.
• Mettre à jour le registre des traitements avec les caractéristiques précises du système (nombre de caméras, zones couvertes, durée de conservation, mesures de sécurité).
• Informer préalablement les salariés (milieu professionnel) par écrit, et consulter le CSE avant toute installation ou modification substantielle.
• Demander l’autorisation préfectorale si le champ de la caméra inclut la voie publique ou des espaces ouverts au public — via le formulaire Cerfa n°13806 ou le téléservice dédié.
• Réaliser une AIPD si le système présente un risque élevé (grande échelle, espaces publics, technologies d’analyse automatisée).
• Définir une procédure de réponse aux demandes d’exercice de droits et aux violations de données (qui répond, dans quel délai, comment).

Les 5 erreurs légales les plus fréquentes

• Filmer la voie publique sans autorisation préfectorale : c’est l’erreur la plus répandue chez les commerçants qui orientent leur caméra vers le trottoir. L’infraction est facilement caractérisable et régulièrement constatée lors des contrôles préfectoraux.
• Conserver les images plus de 30 jours sans dérogation : les NVR et DVR configurés par défaut à 60 ou 90 jours de conservation placent automatiquement leur exploitant en violation du RGPD. Vérifiez et réduisez la durée de rétention dès l’installation.
• Diffuser des extraits vidéo sur les réseaux sociaux sans flouter visages et plaques : même à des fins de dénonciation d’un acte délictueux, la diffusion d’images de personnes identifiables sans leur consentement constitue une atteinte au droit à l’image — et peut faire de vous le seul mis en cause si la procédure pénale ne vous donne pas raison.
• Installer une caméra espion dans un espace partagé sans information ni consentement des autres occupants : un locataire installant une mini caméra cachée dans un espace commun de colocation s’expose à des poursuites pénales pour atteinte à la vie privée.
• Exporter les données vers un cloud hors UE sans garanties : stocker les enregistrements sur un serveur cloud américain ou asiatique constitue un transfert de données hors UE soumis aux garanties de l’article 46 RGPD (clauses contractuelles types, décision d’adéquation). Amazon AWS et Microsoft Azure disposent de régions européennes qui résolvent ce point — vérifiez la localisation des données dans les CGU de votre fournisseur cloud.