Vidéosurveillance : quid des formalités, obligations, accès et conservation des données ?

Les réponses apportées sont à jour de la réglementation en date du 18 juillet 2024.

La législation relative à la vidéosurveillance concerne toutes les caméras installées sur des lieux privés. À l’inverse, la vidéoprotection concerne toutes les caméras installées dans les lieux ouverts au public c’est-à-dire des lieux accessibles à toute personne, sans qu’une autorisation spécifique ne soit nécessaire (banques, commerces, cinémas, rues…).

• le respect du principe de proportionnalité : l’installation d’un tel système, parce qu’il porte atteinte à la vie privée des personnes filmées, doit être justifiée par la nature de la tâche à accomplir et proportionnée au but recherché (article L.1121-1 du Code du travail) ;
• la poursuite d’un objectif réglementaire : la mise en place d’un système de vidéosurveillance doit répondre à un objectif prévu par la réglementation. L’utilisation de la vidéosurveillance doit, en effet, se justifier pour des motifs de sécurité des biens et des personnes (prévenir les risques de vol ou d’agression par exemple) ;
• le respect de la vie privée : les dispositifs de vidéosurveillance ne doivent permettre de visualiser ni l'intérieur des immeubles d'habitation ni, de façon spécifique, leurs entrées comme le précise la Commission nationale de l’informatique et des libertés (CNIL) sur son site internet (article 9 du Code civil) ;
• une durée de conservation limitée : la durée de conservation des images n’est pas infinie, un terme doit être prévu ;
• une conservation des données dans un endroit sécurisé ;
• l'information des personnes concernées : les personnes susceptibles d’être filmées doivent principalement être informées, de l’existence du dispositif, du nom de son responsable, de la durée de conservation des images, de la possibilité d’adresser une réclamation à la CNIL (voir notamment les articles 116 et suivants de la loi Informatique et libertés n° 78-17 du 6 janvier 1978) ;
• le droit d'accès des personnes concernées : toute personne peut demander au responsable du système à avoir accès aux enregistrements qui la concernent ou à vérifier leur effacement dans le délai prévu (noir notamment les articles 49, 105 et 119 de la loi Informatique et Libertés précitée) ;
• l’identification précise des destinataires des images.

Par ailleurs, des obligations réglementaires viennent, dans certains cas, en supplément de celles précédemment exposées. Ainsi, l’employeur qui souhaite installer un dispositif de vidéosurveillance sur un lieu de travail doit respecter certaines dispositions issues du Code du travail. 

Il doit, ainsi, délivrer aux salariés une information individuelle sur l'existence d'un traitement contenant des données personnelles les concernant (article L.1222-4 du Code du travail). L'information doit être diffusée avant l'installation du dispositif. 

Le comité social et économique doit aussi être informé et consulté, préalablement à la décision de mise en œuvre dans l'entreprise, sur les moyens ou les techniques permettant un contrôle de l'activité des salariés (article L.2312-38 du Code du travail).

Le Règlement Général sur la Protection des Données (RGPD) 2016/679 du 27 avril 2016, en vigueur depuis le 25 mai 2018, prévoit la réalisation d’une analyse d’impact relative à la protection des données (AIPD) dans certains cas (article 35 du règlement). Ainsi, « lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel ».

Des garanties doivent également être respectées lors de la mise en place d’un système de vidéoprotection à savoir notamment :

• la poursuite d’un objectif réglementaire. Des caméras peuvent être installées sur la voie publique pour différents motifs. Il peut s’agir de prévenir des actes de terrorisme, des atteintes à la sécurité des personnes et des biens dans des lieux par­ticulièrement exposés à des risques d’agression, de vol ou de trafic de stupéfiants (voir notamment les articles L.251-2 et L.223-1 du Code de la sécurité intérieure (CSI)) ;
• le respect de la vie privée : les caméras ne doivent, là encore, pas filmer l’intérieur des immeubles d’habitation ni, de façon spéci­fique, celles de leurs entrées (article L.251-3 du CSI) ; une durée de conservation des données limitée. Comme le précise la CNIL, la durée jugée proportionnée, dans chaque cas, est précisée dans l’arrêté préfectoral d’autorisation, et ne peut excéder un mois (article L.252-3 du CSI) ;
• le respect des personnes habilitées à filmer la voie publique. En la matière, le décret n°2023-1102 du 27 novembre 2023 est venu élargir la liste des personnes autorisées à mettre en œuvre des traitements de données à caractère personnel provenant des systèmes de vidéoprotection sur la voie publique et dans les lieux et établissements ouverts au public. De fait, il permet aux commerçants, sous conditions, de mettre en œuvre de tels dispositifs sur la voie publique. Dans des lieux et établissements ouverts au public, il autorise les personnes morales à mettre en œuvre ces mêmes dispositifs pour assurer la sécurité des personnes et des biens lorsque ces lieux sont particulièrement exposés à des risques d’agression ou de vol ou sont susceptibles d’être exposés à des actes de terrorisme (article R.251-1) ;
• informer les personnes pouvant être filmées par un système de vidéoprotection. Le décret n°2023-1102 du 27 novembre 2023 prévoit que l’information au public est délivrée par voie d'affiches ou de panonceaux comportant un pictogramme représentant une caméra. Lorsque les affiches ou les panonceaux ne peuvent pas comporter l'ensemble des informations devant y figurer, ils mentionnent, au moins, l'identité du responsable du système, les finalités poursuivies par le traitement et les droits des personnes concernées. Les autres informations sont alors communiquées par tout autre moyen (article R.253-6).

La mise en place de caméras requiert également, dans certains cas, la réalisation de démarches administratives.

Les formalités à réaliser avant la mise en place d’un dispositif de surveillance diffèrent selon que la caméra est installée dans un lieu public/ouvert au public ou dans un lieu privé.

Le Code de la sécurité intérieure (CSI) précise les cas dans lesquels l’installation d’un système de vidéoprotection est soumise à autorisation préfectorale. Ces cas sont visés par les articles L.251-1 à L.255-1 du Code de la sécurité intérieure. Ainsi, une autorisation est notamment prescrite pour la transmission et l'enregistrement d'images prises sur la voie publique afin d'assurer :

• la protection des bâtiments et installations publics et de leurs abords ;
• la sauvegarde des installations utiles à la défense nationale ;
• la régulation des flux de transport ;
• la constatation des infractions aux règles de la circulation ;
• la prévention des atteintes à la sécurité des personnes et des biens dans des lieux particulièrement exposés à des risques d'agression, de vol ou de trafic de stupéfiants ;
• la prévention d'actes de terrorisme ;
• la prévention des risques naturels ou technologiques ;
• le secours aux personnes et la défense contre l'incendie ;
• la sécurité des installations accueillant du public dans les parcs d'attraction ;
• le respect de l'obligation d'être couvert, pour faire circuler un véhicule terrestre à moteur, par une assurance garantissant la responsabilité civile ;
• la prévention et la constatation des infractions relatives à l'abandon d'ordures, de déchets, de matériaux ou d'autres objets.

Avant toute installation d’un système de vidéoprotection, il convient de s’assurer de la nécessité ou non de réaliser une AIPD ou analyse d’impact relative à la protection des données. Cette AIPD peut être demandée par la CNIL.

Par ailleurs, l'installation d'un système de vidéoprotection requiert une autorisation du représentant de l'État dans le département (et, à Paris, du préfet de police) donnée après avis de la commission départementale de vidéoprotection. La demande d’autorisation doit être déposée par l’autorité souhaitant la mise en œuvre du dispositif. 

Si le dispositif de vidéoprotection comporte des caméras installées sur le territoire de plusieurs départements, la demande doit être adressée à la préfecture du département du siège social du demandeur (article L.252-1 du CSI).

L'autorisation délivrée est alors valable pour une durée de cinq années renouvelable (article L.252-4 du CSI). Après obtention de l'autorisation, le responsable du dispositif doit en déclarer la mise en service à la préfecture.

Par ailleurs, des dispositions spécifiques doivent être mises en œuvre pour les commerçants souhaitant installer un dispositif de surveillance. Ceux-ci peuvent, en effet, mettre en œuvre sur la voie publique un système de vidéoprotection aux fins d'assurer la protection des abords immédiats de leurs bâtiments et installations, dans les lieux particulièrement exposés à des risques d'agression ou de vol après avoir recueilli :

• l’information du maire de la commune concernée,
• l’autorisation des autorités publiques compétentes (article L.251-2 du CSI).

Le décret du 27 novembre 2023 prévoit que les caméras composant le dispositif de vidéoprotection doivent être déconnectées des caméras installées à l’intérieur du lieu ouvert au public pour que le responsable ou ses subordonnés ne puissent avoir accès aux images enregistrées les caméras extérieures (article R. 251-1).

Il prévoit que les traitements de données à caractère personnel provenant de ces systèmes de vidéoprotection ne peuvent enregistrer de sons (article R.253-1).

En ce qui concerne la surveillance d’un lieu privé, la mise en place d’un dispositif de vidéosurveillance n’est soumise à aucune formalité particulière. Dès lors que le système de vidéosurveillance filme un lieu non ouvert au public (strictement privé), le dispositif n’est pas soumis aux règles de la protection des données personnelles. Aucune formalité administrative n’est alors requise auprès de la CNIL (sauf si le dispositif est installé pour identifier des personnes (système biométrique)).

Les personnes habilitées et mentionnées dans l'autorisation préfectorale sont les seules à pouvoir, dans le cadre de leurs fonctions, visionner les images de vidéoprotection. 

A noter que la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés a apporté des précisions concernant la vidéoprotection et la captation d’images. 

En particulier, ce texte a consacré :

•  la faculté pour les agents de police municipale, les agents des communes, des établissements publics de coopération intercommunale et des syndicats mixtes exerçant la compétence relative aux dispositifs locaux de prévention de la délinquance et pour certains agents des services internes de sécurité de la RATP et de la SNCF de visionner les images de vidéoprotection ;
• la possibilité de visionner les images de caméras mobiles pour les policiers et gendarmes porteurs de ces caméras, ainsi que la possibilité de transmettre les images en temps réel au poste de commandement du service concerné et aux personnels impliqués dans l'intervention en cours.

Par ailleurs, le décret du 27 novembre 2023 a identifié précisément les personnes pouvant accéder aux données enregistrées par un dispositif de vidéoprotection et celles pouvant en être destinataires (article R. 253-3).

De la même manière, le visionnage d’images enregistrées dans le cadre de la vidéosurveillance est limité aux personnes habilitées, par exemple, par l’employeur, dans le cadre de leurs missions. En la matière, on peut penser au responsable de la sécurité dans une entreprise. C’est pourquoi, les règles de mise en œuvre d’un système de vidéoprotection ou vidéosurveillance doivent être dispensées aux personnes ayant accès aux données personnelles.

Par ailleurs, les personnes filmées ont également un droit d'accès aux images sur lesquelles elles apparaissent.

En ce qui concerne la vidéoprotection, toute personne intéressée a la facultée de saisir la commission départementale de vidéoprotection « de toute difficulté tenant au fonctionnement d'un système de vidéoprotection ». (article L.253-5 du CSI).

En ce qui concerne la vidéosurveillance, l’article 105 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés précise les obligations régissant le droit d’accès des données personnelles enregistrées.

Ainsi, la personne concernée peut obtenir du responsable de traitement « la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, le droit d'accéder aux dites données ainsi qu'aux informations suivantes :

• les finalités du traitement ainsi que sa base juridique ;
• les catégories de données à caractère personnel concernées ;
• les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été communiquées, en particulier les destinataires qui sont établis dans des États n'appartenant pas à l'Union européenne ou au sein d'organisations internationales ;
• lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, à défaut lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ;
• l'existence du droit de demander au responsable de traitement la rectification ou l'effacement des données à caractère personnel, et l'existence du droit de demander une limitation du traitement de ces données ;
• le droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés et les coordonnées de la commission ;
• la communication des données à caractère personnel en cours de traitement ainsi que toute information disponible quant à leur source ».

La loi du 6 janvier 1978 s'applique aux « traitements automatisés en tout ou partie de données à caractère personnel, ainsi qu'aux traitements non automatisés de données à caractère personnel contenues ou appelées à figurer dans des fichiers », dans les conditions fixées à l’article 3, à l'exception des traitements mis en œuvre par des personnes physiques pour l'exercice d'activités strictement personnelles ou domestiques.

L’article 4 de la loi précise notamment la durée de conservation des données à caractère personnel collectées. Ainsi, les données doivent être conservées « sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ».

La conservation d’une même donnée peut donc varier en fonction des objectifs recherchés. Cependant, en matière de vidéosurveillance, la CNIL fixe généralement à un mois maximum la durée de conservation possible des données.

Une conservation au-delà de cette durée est possible pour les données à caractère personnel traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques.

La durée de conservation de l'enregistrement d'images prises sur la voie publique est également d’un mois. En effet, l’article L.252-5 du CSI précise qu’en dehors d'une enquête de flagrant délit, d'une enquête préliminaire ou d'une information judiciaire, les enregistrements sont détruits dans un délai maximum fixé par l'autorisation qui ne peut excéder un mois.

Sur la conservation des images, la circulaire du 22 octobre 1996 relative à l'application de l'article 10 de la loi n° 95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité (décret sur la vidéosurveillance) précise qu’elle n'est pas de droit. En effet, le dossier doit comporter une justification de nature à emporter la conviction du préfet. C’est au préfet qu’il appartiendra éventuellement « de réduire la durée en deçà de celle demandée, voire d'autoriser le système de vidéosurveillance sans conservation d'images » dans la mesure où la nécessité de cette conservation ne lui apparaîtrait pas.

Ainsi, la durée de conservation des dispositifs de vidéoprotection dans les lieux publics est fixée par le préfet. C’est lui qui appréciera la durée de conservation de ces données, sans pouvoir excéder la durée d’un mois (sauf procédure judiciaire).

Source : Manon Janvier - consultante Assistance réglementaire CNPP

Les réponses apportées sont à jour de la réglementation en date du 18 juillet 2024.