Vidéosurveillance au travail : ce que dit le RGPD pour les employeurs

Pendant mes huit années d'installation de systèmes de vidéosurveillance en entreprise, j'ai vu des employeurs débarquer avec des projets ambitieux de surveillance, sans même connaître le cadre légal. Résultat : des installations démantelées sur demande de la CNIL, des amendes à cinq chiffres, et des relations sociales tendues pour des années. La vidéosurveillance au travail n'est pas interdite, mais elle est strictement encadrée par le RGPD et le Code du travail. En 2025, la CNIL a prononcé 47 sanctions contre des employeurs pour non-respect de ces règles, dont plusieurs amendes dépassant les 100 000 €.

Je vais vous expliquer précisément ce que dit le RGPD pour les employeurs qui souhaitent installer un kit de caméras de surveillance dans leurs locaux professionnels. Pas de jargon inutile, juste ce qu'il faut savoir pour rester dans les clous et éviter les ennuis juridiques.

Pourquoi la vidéosurveillance au travail est si strictement encadrée

Le RGPD considère la vidéosurveillance comme un traitement de données personnelles à caractère sensible. Pourquoi un tel niveau d'exigence ? Parce que filmer des salariés touche directement à leurs libertés fondamentales. Voici les principes qui justifient cet encadrement strict :

• 🔒 Protection de la vie privée : Les salariés conservent un droit au respect de leur vie privée, même sur leur lieu de travail. La surveillance permanente peut constituer une atteinte disproportionnée à ce droit.
• ⚖️ Équilibre des pouvoirs : L'employeur dispose déjà d'un pouvoir de direction et de contrôle légitime. La vidéosurveillance ne doit pas créer un déséquilibre excessif dans la relation de travail.
• 📊 Minimisation des données : Principe cardinal du RGPD – on ne collecte que ce qui est strictement nécessaire, pas plus. Une caméra capture énormément d'informations, souvent bien au-delà du besoin réel.
• 🎯 Finalité légitime : Chaque dispositif doit répondre à un objectif précis et justifié (sécurité des biens, prévention des vols, contrôle d'accès). Surveiller pour surveiller n'est jamais acceptable.
• ⏱️ Durée de conservation limitée : Les images ne peuvent être conservées indéfiniment. Le RGPD impose de définir une durée proportionnée à l'objectif poursuivi.
• 👥 Information et transparence : Les personnes filmées doivent être informées de manière claire et complète de l'existence du dispositif, de ses finalités, et de leurs droits.

Les principes fondamentaux du RGPD appliqués à la vidéosurveillance

J'ai accompagné des dizaines d'employeurs dans leur mise en conformité RGPD. La première chose que je leur explique, c'est que le RGPD ne dit pas "vous n'avez pas le droit de filmer vos locaux". Il dit : "vous pouvez filmer, mais sous conditions strictes". Voyons lesquelles.

La base légale : pourquoi filmez-vous ?

Avant toute installation, vous devez identifier votre base légale. Pour la vidéosurveillance en entreprise, trois bases sont possibles :

Dans 95% des cas que j'ai traités, l'employeur s'appuie sur l'intérêt légitime. Mais attention : cet intérêt doit être documenté, justifié et proportionné. "Je veux surveiller mes équipes" n'est jamais un intérêt légitime au sens du RGPD.

Le principe de proportionnalité : ne pas aller trop loin

La proportionnalité, c'est le filtre principal que la CNIL applique lors de ses contrôles. Elle vérifie systématiquement que votre dispositif n'est pas excessif par rapport à l'objectif poursuivi. Voici comment j'évalue la proportionnalité sur mes chantiers :

• Nombre de caméras : Si vous filmez un entrepôt de 500 m² avec 3 caméras, c'est proportionné. Avec 25 caméras qui couvrent chaque recoin, c'est excessif.
• Zones filmées : Les espaces de production, stocks, caisses, accès peuvent être filmés. Les vestiaires, toilettes, salles de pause, locaux syndicaux ne le peuvent JAMAIS.
• Type de caméras : Une caméra fixe grand angle est moins intrusive qu'une caméra PTZ motorisée qui suit les mouvements. Une caméra avec zoom optique puissant peut être jugée disproportionnée si elle permet de lire des documents sur un bureau.
• Fonctionnalités activées : L'enregistrement audio est quasi systématiquement interdit en entreprise, sauf exceptions très rares (contrôle qualité dans un call center, avec information préalable). La reconnaissance faciale biométrique nécessite une analyse d'impact obligatoire.
• Durée de conservation : La CNIL recommande généralement 1 mois maximum pour la surveillance des locaux, 3 mois en cas de risques particuliers documentés. Au-delà, vous devrez justifier solidement.

L'information des salariés : obligation absolue

C'est LA source principale de sanctions que j'ai constatée : des employeurs qui installent des caméras "discrètement" sans prévenir leurs équipes. Grosse erreur. Le RGPD impose une information complète, claire et accessible. Voici ce que vous devez faire obligatoirement :

Les zones interdites et les zones à risque

Sur tous mes chantiers, je commence par établir une cartographie des zones avec l'employeur. Certains espaces sont absolument interdits à la vidéosurveillance, d'autres sont autorisés sous conditions strictes.

Zones strictement interdites (interdiction absolue)

• 🚫 Toilettes et sanitaires : Aucune exception possible, même pour lutter contre le vol ou le vandalisme. La jurisprudence est unanime.
• 🚫 Vestiaires : Espace de vie privée par excellence, la CNIL n'accepte aucune surveillance, même partielle ou temporaire.
• 🚫 Locaux syndicaux et CE/CSE : Protection absolue du droit syndical. Filmer ces espaces constitue une entrave au fonctionnement des institutions représentatives.
• 🚫 Espaces de repos dédiés : Salles de pause avec canapés, espaces détente, salles de sieste. Ces lieux doivent rester des zones de liberté.
• 🚫 Locaux médicaux : Infirmerie, cabinet médical interne. Secret médical oblige.

Zones autorisées sous conditions strictes

D'autres espaces peuvent être filmés, mais avec des précautions particulières que j'applique systématiquement :

• ⚠️ Zones de production et ateliers : Autorisées pour la sécurité, mais les caméras ne doivent pas permettre une surveillance permanente et ciblée d'un poste de travail individuel. Privilégiez les vues d'ensemble.
• ⚠️ Bureaux ouverts (open space) : Possible uniquement si justifié par un risque particulier (manipulation d'argent, données sensibles). Les caméras doivent filmer les accès et les passages, pas les écrans ou les postes de travail eux-mêmes.
• ⚠️ Espaces de circulation : Couloirs, halls, entrées, sorties. C'est le terrain de prédilection pour les caméras de surveillance intérieur. Peu de restrictions, mais toujours avec information visible.
• ⚠️ Caisses et zones de transaction : Autorisées sans restriction particulière, c'est même souvent une obligation dans certains secteurs (banques, commerces).
• ⚠️ Parkings et espaces extérieurs : Autorisés pour la sécurité des véhicules et des personnes. Attention à ne pas filmer la voie publique (autorisation préfectorale nécessaire).
• ⚠️ Entrepôts et zones de stockage : Pas de restrictions majeures si l'objectif est la lutte contre le vol ou la sécurité des marchandises. C'est souvent là qu'on installe un kit caméra de surveillance complet.

La consultation du CSE : une étape juridiquement obligatoire

Beaucoup d'employeurs l'ignorent ou minimisent cette étape, et c'est une erreur majeure. L'article L.2312-38 du Code du travail impose la consultation du Comité Social et Économique avant toute mise en place d'un système de vidéosurveillance. Voici comment je conseille de procéder :

Informations à fournir au CSE

• Description précise du dispositif envisagé (nombre de caméras, emplacements, zones filmées)
• Finalités poursuivies et justification détaillée
• Caractéristiques techniques des caméras (résolution, champ de vision, fonctionnalités)
• Durée de conservation prévue des enregistrements
• Personnes ayant accès aux images et conditions d'accès
• Mesures d'information des salariés
• Impact sur les conditions de travail et respect de la vie privée

Le CSE dispose d'un délai d'un mois pour rendre son avis (deux mois en cas d'intervention d'un expert). Cet avis est consultatif : vous pouvez passer outre un avis négatif, mais vous devez le motiver par écrit. En cas de contentieux ultérieur, l'absence de consultation ou une consultation bâclée sera systématiquement retenue contre vous.

Gestion et conservation des images : les règles strictes

Une fois votre système installé, le RGPD encadre strictement la manière dont vous gérez les enregistrements. J'ai vu des employeurs parfaitement en règle au moment de l'installation se mettre hors-la-loi ensuite par négligence dans la gestion quotidienne.

Durée de conservation des enregistrements

La CNIL est très claire : la durée de conservation doit être proportionnée à la finalité. Dans la pratique, voici ce qui est généralement accepté :

Au-delà de ces durées, vous devez mettre en place une suppression automatique. La plupart des enregistreurs modernes permettent de configurer un écrasement automatique en boucle. Je paramètre systématiquement cette fonction sur tous mes chantiers.

Qui peut accéder aux images ?

L'accès aux enregistrements doit être strictement limité et tracé. Sur le plan technique, voici ce que je mets en place :

• Habilitations nominatives : Créez un compte utilisateur distinct pour chaque personne habilitée. Jamais de compte partagé "admin" ou "responsable sécurité".
• Niveaux d'accès différenciés : Consultation en direct / Accès aux enregistrements / Export d'images / Administration du système. Donnez uniquement les droits nécessaires.
• Journalisation des accès : Le système doit enregistrer qui a consulté quelles images, quand, et pour quelle raison. Ces logs doivent être conservés au moins aussi longtemps que les images elles-mêmes.
• Procédure d'export : Tout export d'images doit faire l'objet d'un registre papier ou numérique : qui, quand, pourquoi, quelles images, destinataire.
• Sécurisation physique : L'enregistreur doit être dans un local fermé à clé, avec accès restreint. Pas dans un bureau accessible à tous.

Les droits des salariés filmés

Le RGPD confère aux personnes filmées plusieurs droits que vous devez respecter scrupuleusement. En tant qu'employeur, vous devez être en mesure de répondre à ces demandes dans les délais légaux (un mois maximum).

Droit d'accès aux images

Un salarié peut demander à accéder aux images sur lesquelles il apparaît. Attention, ce droit n'est pas absolu : vous pouvez refuser si les images font apparaître d'autres personnes identifiables (il faudrait alors flouter tous les tiers, ce qui est techniquement complexe). Dans ce cas, vous proposez une consultation sur place, dans vos locaux, sans possibilité de copie.

Procédure que je recommande :

• Demande écrite du salarié, avec justificatif d'identité
• Réponse sous un mois maximum (délai RGPD)
• Consultation sur écran dédié, en présence d'un responsable
• Durée limitée, proportionnée à la demande
• Aucune copie remise si d'autres personnes sont identifiables sans leur consentement
• Consignation de la consultation dans un registre

Droit d'opposition

Un salarié peut s'opposer à être filmé pour des motifs légitimes tenant à sa situation particulière. Mais attention : ce droit est limité en contexte professionnel. Si votre dispositif repose sur l'intérêt légitime (sécurité, lutte contre le vol), l'opposition sera généralement rejetée, sauf circonstances exceptionnelles.

Dans ma pratique, j'ai rarement vu des oppositions fondées aboutir. En revanche, elles révèlent souvent un problème de communication ou de proportionnalité du dispositif qu'il vaut mieux traiter en amont.

Cas particuliers et pièges juridiques à éviter

Au fil de mes installations, j'ai identifié plusieurs situations à risque que les employeurs sous-estiment souvent. Voici les principales.

La vidéosurveillance cachée ou dissimulée

C'est le piège absolu. Installer des caméras sans information préalable, même pour "démasquer un voleur", est illégal et les preuves obtenues seront irrecevables devant les tribunaux. Pire encore : vous vous exposez à des sanctions pénales (atteinte à la vie privée, article 226-1 du Code pénal, jusqu'à 1 an de prison et 45 000 € d'amende).

J'ai vu un employeur faire installer une caméra espion dans un faux détecteur de fumée pour confondre un salarié qu'il soupçonnait de vol. Résultat : le salarié a été licencié, a attaqué aux prud'hommes, et a obtenu gain de cause. L'employeur a dû verser 18 mois de salaire d'indemnités, plus une amende CNIL de 50 000 €.

L'enregistrement sonore

Beaucoup de caméras modernes ont un micro intégré. Sauf cas très spécifiques (contrôle qualité dans un centre d'appels, avec information préalable explicite), l'enregistrement audio est interdit. Sur tous mes chantiers, je désactive systématiquement cette fonction en configuration, et je le documente.

La géolocalisation et la biométrie

Certains systèmes modernes proposent de la reconnaissance faciale pour le contrôle d'accès, ou de l'analyse comportementale. Ces technologies relèvent de la biométrie et sont soumises à des règles ultra-strictes :

• Analyse d'impact sur la protection des données (AIPD) obligatoire
• Consultation de la CNIL en amont fortement recommandée
• Base légale très difficile à justifier (souvent refusée)
• Mesures de sécurité renforcées (chiffrement, anonymisation)

Mon conseil : évitez ces technologies en milieu professionnel sauf si vous avez un accompagnement juridique solide. Le jeu n'en vaut généralement pas la chandelle.

Le télétravail et la surveillance à distance

Avec l'explosion du télétravail, certains employeurs m'ont demandé d'installer des systèmes de surveillance à distance (capture d'écran, webcam, logiciels espions). C'est un terrain juridique extrêmement dangereux.

La surveillance du domicile du salarié est quasi systématiquement interdite. Même avec son consentement, la jurisprudence considère que le domicile est un espace protégé. Si vous devez contrôler l'activité d'un télétravailleur, utilisez des indicateurs objectifs (rendus, délais, résultats) et non de la surveillance directe.

Les sanctions en cas de non-respect

La CNIL dispose de pouvoirs de sanction importants depuis le RGPD. Les amendes peuvent atteindre 4% du chiffre d'affaires annuel mondial ou 20 millions d'euros (le montant le plus élevé étant retenu). En pratique, pour des PME, les sanctions varient généralement entre 10 000 € et 200 000 € selon la gravité.

Sanctions administratives (CNIL)

• Avertissement : Pour les manquements mineurs ou en cas de première infraction sans gravité particulière.
• Mise en demeure : La CNIL vous donne un délai (généralement 3 mois) pour vous mettre en conformité. Si vous ne le faites pas, amende automatique.
• Amende administrative : Peut être assortie d'une publication publique de la décision (effet dévastateur sur l'image de l'entreprise).
• Injonction de cesser le traitement : Dans les cas graves, obligation de désinstaller le système immédiatement.

Sanctions pénales

Indépendamment de la CNIL, le Code pénal punit plusieurs comportements :

• Atteinte à la vie privée (article 226-1) : 1 an de prison, 45 000 € d'amende
• Collecte déloyale de données (article 226-18) : 5 ans de prison, 300 000 € d'amende
• Détournement de finalité (article 226-21) : 5 ans de prison, 300 000 € d'amende

Sanctions civiles et prud'homales

Un salarié filmé illégalement peut :

• Saisir le Conseil de prud'hommes pour obtenir des dommages et intérêts
• Contester un licenciement fondé sur des images obtenues illégalement (nullité garantie)
• Faire constater une atteinte aux libertés fondamentales et obtenir réparation

Les montants accordés par les tribunaux varient entre 5 000 € et 50 000 € selon la gravité de l'atteinte et la taille de l'entreprise.

Foire aux questions