Vidéosurveillance au travail : les réponses de la CNIL

La vidéosurveillance en entreprise est autorisée, mais encadrée : certains lieux restent interdits aux caméras, les salariés et leurs représentants doivent en être informés avant la mise en service, et les images ne se conservent pas indéfiniment. Voici ce que la CNIL en dit pour une entreprise qui filme ses propres locaux, hors espace ouvert au public.

Où filmer, et où c’est interdit ?

Une caméra en entreprise doit répondre à une finalité précise, le plus souvent la sécurité des biens et des personnes. Cette finalité limite elle-même les lieux filmables : elle ne justifie ni une surveillance permanente des salariés, ni un accès aux espaces les plus intimes de la vie au travail.

Ces restrictions figurent dans la page de référence de la CNIL sur la vidéosurveillance au travail. Dans le cadre d’une installation électrique courant faible, Probat Énergie pose et dimensionne les caméras demandées ; le choix des zones filmées, lui, relève de cette analyse préalable, que l’entreprise doit mener avant la commande.

Qui informer avant d’allumer les caméras ?

Le code du travail impose une information préalable, individuelle, de chaque salarié : l’article L1222-4 dispose qu’aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. En pratique, cela passe par une note, un affichage ou une mention au règlement intérieur, complétés par une signalétique visible dans les zones filmées, avant la mise en service des caméras.

Lorsqu’un comité social et économique (CSE) existe, l’article L2312-38 impose une seconde étape : le comité est informé et consulté avant la décision de mettre en œuvre le dispositif, pas après son installation. Omettre cette consultation n’est pas qu’une formalité : une entreprise qui filme ses salariés sans les en avoir informés au préalable s’expose à voir les images écartées comme preuve, en cas de litige.

Combien de temps conserver les images ?

La CNIL retient un principe de conservation courte : un mois au maximum, et souvent quelques jours suffisent en pratique, le temps de constater un éventuel incident. La durée ne doit pas être fixée en fonction de la seule capacité de stockage de l’enregistreur ; lorsque c’est techniquement possible, elle doit être paramétrée dans le système lui-même, pas laissée à la discrétion de qui consulte les images.

En cas d’incident nécessitant une procédure disciplinaire ou pénale, les images concernées peuvent être extraites du dispositif et conservées plus longtemps que la durée courante, à condition de consigner cette extraction dans un registre dédié. C’est l’exception à la règle de conservation courte, pas la règle elle-même.

Registre ou autorisation préfectorale ?

Depuis l’entrée en application du RGPD, une entreprise qui filme ses propres locaux n’a plus, dans la plupart des cas, à déclarer son dispositif à la CNIL. Elle doit en revanche documenter le traitement dans son registre interne : finalité, zones filmées, durée de conservation, personnes habilitées à consulter les images, mesures de sécurité retenues.

Ce registre suffit tant que les caméras ne filment que des lieux non ouverts au public : bureaux, ateliers, entrepôt sans zone d’accueil. Dès qu’un espace accessible au public entre dans le champ des caméras (accueil, zone de vente), un régime différent s’applique, avec une autorisation délivrée par le préfet après avis de la commission compétente, pour une durée généralement renouvelable. Une entreprise strictement professionnelle, sans accueil de public, n’est pas concernée par ce second régime.

Une analyse d’impact (AIPD) est-elle nécessaire ?

Le RGPD impose une analyse d’impact relative à la protection des données (AIPD) pour les traitements susceptibles d’engendrer un risque élevé pour les droits des personnes filmées. La CNIL tient à jour une liste des traitements concernés : en cas de doute sur un dispositif de vidéosurveillance particulier, il convient de la consulter, ou de s’appuyer sur un délégué à la protection des données, avant la mise en service.

Ce travail d’analyse ne fait pas partie de ce que pose Probat Énergie : nous installons et dimensionnons les caméras demandées, sans rédiger l’AIPD ni le registre de traitement, qui relèvent de votre responsabilité ou de celle de votre délégué à la protection des données. Le même encadrement s’applique à un contrôle d’accès par badge dès lors qu’il enregistre des données sur les salariés.