Faut-il déclarer sa vidéosurveillance à la CNIL ou à la préfecture ?

Pourquoi la déclaration CNIL n’existe plus depuis 2018

Avant l’entrée en application du RGPD, un certain nombre de traitements devaient être déclarés par avance à la CNIL, qui en tenait registre. Le règlement européen a renversé la logique : l’autorité de contrôle n’enregistre plus les traitements en amont, elle contrôle en aval. La charge documentaire, elle, a simplement changé de main.

Cette bascule explique la persistance de l’erreur. Les documentations commerciales rédigées avant 2018 n’ont pas toutes été reprises, et la formule « déclaration CNIL » reste employée par des installateurs, des assureurs et des modèles de contrat. Elle n’a plus d’objet : il n’existe aucun formulaire de déclaration de vidéosurveillance à envoyer à la CNIL.

Quatre obligations l’ont remplacée, toutes portées par le responsable de traitement : inscrire l’installation au registre, fixer et justifier une durée de conservation, informer les personnes filmées, et réaliser une analyse d’impact lorsque l’article 35 du RGPD l’exige. Notre guide RGPD et vidéosurveillance détaille ce volet.

Le régime applicable se détermine par le lieu filmé, caméra par caméra

Le code de la sécurité intérieure ne raisonne pas par type d’entreprise mais par type de lieu. Un lieu ouvert au public est un espace où le public peut entrer librement ou sous condition d’accès banale : une surface de vente, un hall d’accueil, une salle d’attente, un parking ouvert à la clientèle. Un lieu non ouvert au public est un espace réservé : bureaux fermés, réserve, atelier de production, entrepôt sans accueil.

Le second critère est celui des finalités. Pour une personne morale de droit privé, la vidéoprotection d’un lieu ouvert au public n’est admise que pour prévenir les atteintes à la sécurité des personnes et des biens et protéger les abords immédiats des bâtiments et installations, dans des lieux particulièrement exposés à des risques d’agression ou de vol. Une finalité rédigée en termes vagues fragilise le dossier avant même son dépôt.

Comment se dépose une demande d’autorisation, et ce qu’elle fixe

La demande se dépose auprès de la préfecture du département d’implantation, par le formulaire Cerfa n° 13806 ou par le téléservice dédié. L’autorisation est délivrée par le représentant de l’État dans le département (à Paris, par le préfet de police) après avis de la commission départementale de vidéoprotection.

Le contenu de l’autorisation compte autant que le fait de l’obtenir. Elle porte sur une installation précise : nombre de caméras, zones couvertes, finalité, personnes habilitées à visionner, durée de conservation des images, laquelle ne peut excéder un mois. Elle fait par ailleurs l’objet d’un renouvellement, et toute modification substantielle appelle une nouvelle demande.

Un point de vocabulaire, qui évite des promesses commerciales déplacées : un installateur prépare les pièces techniques du dossier. Il ne l’obtient pas, ne le garantit pas et ne maîtrise pas le délai d’instruction. La décision appartient à l’administration.

Quand aucune autorisation n’est due, il reste six choses à faire

L’absence de démarche préfectorale se lit facilement comme une absence d’obligation. C’est l’inverse : la responsabilité repose entièrement sur l’exploitant, sans filtre administratif préalable.

1. Inscrire le traitement au registre, avec sa finalité, ses destinataires et sa durée.
2. Fixer une durée de conservation justifiée par un besoin réel, et la paramétrer.
3. Informer les salariés préalablement à la mise en service, et à chaque embauche.
4. Informer et consulter le CSE avant la décision, s’agissant d’un moyen de contrôle.
5. Poser un affichage conforme à chaque accès à une zone filmée.
6. Désigner nommément les personnes habilitées à visionner, et tracer les accès.

Ces six points forment le dossier qu’une entreprise doit pouvoir produire en cas de contrôle ou de contestation. Aucun n’exige d’équipement supplémentaire : ils exigent de l’écrit.

Le bâtiment mixte : un même local relève des deux régimes

C’est le cas qui produit le plus d’erreurs. Un magasin a une surface de vente ouverte au public et une réserve qui ne l’est pas. Un cabinet a une salle d’attente et des bureaux. Un site logistique a un accueil transporteurs et des allées de stockage. Le découpage ne se fait donc pas établissement par établissement, mais caméra par caméra.

La méthode qui tient consiste à établir un tableau à trois colonnes : la caméra, la zone réellement dans son champ, le régime applicable. Une caméra placée en réserve mais qui voit la porte de la surface de vente couvre les deux. Le champ réel prime sur l’intention affichée sur le plan.

Cette qualification conditionne tout le reste : la nécessité d’une autorisation, la durée de conservation admissible, le contenu de l’affichage. La traiter en premier évite de reprendre le dossier entier six mois plus tard.

L’erreur de prudence : déposer un dossier préfectoral pour des bureaux fermés

Par prudence mal placée, des entreprises déposent une demande d’autorisation pour des caméras qui ne filment que des espaces non ouverts au public. Le réflexe paraît sans risque ; il ne l’est pas tout à fait. Il fait perdre du temps, il brouille le régime réellement applicable, et surtout il donne le sentiment que le dossier est clos alors que les obligations RGPD, elles, n’ont pas été traitées.

L’erreur symétrique est plus grave : considérer qu’un commerce n’a rien à faire parce qu’il n’a « que quelques caméras ». Dès qu’une caméra couvre la surface de vente, le régime de la vidéoprotection s’applique, quel que soit le nombre d’équipements.

Dans les deux cas, la cause est la même : le régime a été choisi avant que le champ réel des caméras ait été regardé. C’est aussi pour cela qu’un relevé d’implantation vaut mieux qu’une discussion de principe.