Conformité d'une installation de vidéoprotection : RGPD, AI Act et autorisation préfectorale
Une caméra qui filme des personnes crée un traitement de données à caractère personnel. Selon le lieu filmé — et selon ce que la caméra fait de l'image — trois à quatre corpus de règles se superposent : le RGPD, le Code de la sécurité intérieure, le Code du travail, et depuis 2026 le règlement européen sur l'intelligence artificielle.
Cette page expose lequel s'applique à votre situation, ce que le calendrier européen a réellement changé, et quel dossier constituer pour être en mesure de le démontrer. Nous intervenons en Ille-et-Vilaine et dans les Côtes-d'Armor.
Périmètre de notre intervention : Ouest-Digit produit la documentation technique et organisationnelle nécessaire à la conformité de votre installation. La validation juridique relève de votre conseil.
Section 1
Quel régime s'applique à votre installation
La première question n'est pas technique, elle est juridique : quel lieu filmez-vous ? La réponse détermine les formalités, la durée de conservation admissible et les personnes à informer.
| Lieu filmé | Texte applicable | Formalité | Points de vigilance |
|---|---|---|---|
| Domicile privé | Exception domestique du RGPD | Aucune, tant que le champ reste privatif | Dès que le champ déborde sur la voie publique ou chez un voisin, l'exception tombe et le régime change entièrement. |
| Lieu privé non ouvert au public | RGPD | Registre des traitements ; pas d'autorisation préfectorale | Réserves, entrepôts, locaux techniques. Si des salariés y travaillent, le Code du travail s'ajoute. |
| Lieu ouvert au public | Code de la sécurité intérieure + RGPD | Autorisation préfectorale préalable | Surface de vente, hall d'accueil, parties communes accessibles. L'autorisation est délivrée pour une durée limitée et doit être renouvelée. |
| Voie publique | Code de la sécurité intérieure | Réservée aux autorités publiques habilitées | Un particulier ou un commerce ne peut pas filmer la rue. Le masquage électronique de ces zones est une obligation technique, pas une option. |
| Postes de travail | Code du travail + RGPD | Information individuelle + consultation du CSE | Aucune surveillance permanente d'un salarié. Les images ne peuvent pas servir à une finalité autre que celle déclarée. |
Une même installation relève fréquemment de plusieurs régimes à la fois : une caméra en surface de vente relève du Code de la sécurité intérieure, celle de la réserve du seul RGPD, et l'une comme l'autre du Code du travail dès lors que des salariés sont dans le champ. C'est cette cartographie qui ouvre le dossier de conformité.
Section 2
Ce que le règlement européen sur l'IA change concrètement
La question n'est plus « avez-vous une caméra ? » mais « que fait votre caméra de l'image ? ». Trois paliers, du plus banal au plus encadré.
Palier 1 — l'enregistrement simple
La caméra filme, l'enregistreur stocke, personne n'analyse automatiquement le contenu. Vous êtes dans le champ du RGPD et, selon le lieu, du Code de la sécurité intérieure — mais hors du champ du règlement sur l'IA.
Palier 2 — les fonctions analytiques courantes
Détection humain ou véhicule, franchissement de ligne virtuelle, comptage de personnes, lecture de plaques d'immatriculation. Ces fonctions sont désormais présentes en standard sur une large part du matériel professionnel, souvent activables d'un simple clic dans l'interface. Elles produisent des données nouvelles à partir de l'image et modifient la finalité du traitement : cette finalité doit être documentée, et la lecture de plaques mérite une attention particulière puisqu'une plaque est une donnée personnelle.
Palier 3 — l'analyse comportementale et la reconnaissance faciale
Identification de personnes, détection de comportements dits suspects, reconnaissance faciale. On entre ici dans l'identification biométrique, qui relève du niveau d'exigence le plus élevé : voir la section suivante.
Le calendrier réel, et ce qu'il ne change pas
Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a modifié le calendrier initial. Voici les dates qui s'appliquent :
- 2 août 2026Obligations de transparence de l'article 50 — applicables. Elles n'ont pas été reportées.
- 2 décembre 2027Obligations applicables aux systèmes à haut risque de l'annexe III, dont l'identification biométrique. Reportées depuis le 2 août 2026.
- 2 août 2028Obligations applicables aux systèmes d'IA intégrés à des produits déjà réglementés.
Le point à retenir
Ce report ne concerne que le règlement sur l'IA. Le RGPD, le Code de la sécurité intérieure et le Code du travail s'appliquent dès l'installation, sans aucun délai supplémentaire.
Autrement dit : une installation déployée aujourd'hui doit être conforme aujourd'hui, et se retrouvera dans le champ des obligations « haut risque » en décembre 2027 si elle comporte de l'identification biométrique. Le report est un délai pour se préparer, pas une dispense.
Le micro : le point le plus souvent négligé
Une grande partie des caméras du marché intègre un microphone, parfois actif par défaut. Or la CNIL a précisé en mars 2026 que coupler un microphone à une caméra de vidéoprotection est interdit par le Code de la sécurité intérieure, que le micro soit intégré à l'appareil ou raccordé par un dispositif externe.
Un dispositif de captation sonore séparé reste envisageable, mais sous des conditions strictes : dans des lieux ouverts au public, à l'exclusion de la voie publique, et avec un déclenchement manuel. En pratique, la désactivation du micro relève de la mise en service et se documente : c'est un point de configuration vérifiable, que nous consignons systématiquement.
Section 3
Biométrie : pourquoi nous ne la proposons pas
Contrôle d'accès par empreinte digitale, par reconnaissance faciale ou par réseau veineux : Ouest-Digit n'installe pas ces dispositifs. Ce n'est pas un jugement porté sur ceux qui les installent — c'est un arbitrage assumé entre le service rendu et la charge de conformité qu'ils imposent au client. Voici le raisonnement, pour que vous puissiez le refaire vous-même.
Trois niveaux d'exigence qui se cumulent
Premièrement, le RGPD. Les données biométriques relèvent des catégories particulières de données : leur traitement est interdit par principe, sauf à relever d'une exception. Une analyse d'impact relative à la protection des données est requise.
Deuxièmement, le règlement type de la CNIL consacré à la biométrie sur les lieux de travail, qui s'applique dès aujourd'hui. Il impose notamment : de justifier de manière circonstanciée pourquoi un dispositif non biométrique serait insuffisant ; de privilégier le stockage du gabarit sur un support individuel détenu par la personne, plutôt qu'en base centralisée ; de documenter chaque choix technique ; et le cas échéant d'informer ou de consulter les représentants du personnel.
Troisièmement, le règlement européen sur l'IA. L'identification biométrique figure à l'annexe III des systèmes à haut risque. Les obligations correspondantes s'appliqueront au 2 décembre 2027.
La conséquence pratique
Le choix d'architecture — gabarit stocké sur un badge détenu par la personne, ou base centralisée — se décide au moment de la pose. Le reprendre après coup suppose de redéployer l'ensemble du parc de lecteurs et de réenrôler tous les utilisateurs.
Ce que nous proposons à la place
Pour la quasi-totalité des besoins que nous rencontrons — restreindre l'accès à des locaux, tracer les entrées, retirer un droit d'accès à un salarié qui part — un badge nominatif ou un code individuel atteint exactement le même résultat opérationnel : droits individuels, journalisation des passages, révocation immédiate. Sans données sensibles, sans analyse d'impact, et sans échéance réglementaire à anticiper. Notre approche du contrôle d'accès est présentée sur nos pages interphonie et serrures connectées.
Si votre situation justifie réellement la biométrie — certains environnements industriels ou certaines zones à criticité élevée — c'est un projet légitime, et il existe des acteurs qui le traitent. Dans ce cas, exigez de votre prestataire les trois éléments suivants : la justification circonstanciée de l'insuffisance d'un dispositif non biométrique, le choix de stockage du gabarit assorti de sa motivation, et les éléments techniques nécessaires à votre analyse d'impact. Ce sont les exigences du règlement type ; elles ne se négocient pas.
Section 4
Notre livrable : le dossier de conformité
La conformité ne se décrète pas : elle se démontre, pièce par pièce, au moment où on vous la demande. Le dossier que nous constituons rassemble les éléments techniques et organisationnels d'une installation, dans un document unique remis à la mise en service et actualisable ensuite.
- Analyse de finalité et de proportionnalitéPour chaque caméra : ce qu'elle surveille, pourquoi, et pourquoi ce champ précis. C'est la première question posée en cas de contrôle, et la plus difficile à reconstituer après coup.
- Durée de conservation et purge automatiqueLa durée retenue, sa justification, et la configuration de l'enregistreur qui l'applique réellement.Preuve jointe : capture de la configuration de rétention
- Éléments pour le registre des traitementsLes informations techniques que vous devez y porter : catégories de données, destinataires, durées, mesures de sécurité. Le registre reste le vôtre ; nous en fournissons la matière.
- Affichage et information des personnesModèles de panneaux conformes, avec les mentions obligatoires, et le plan d'implantation des affichages.Livré : modèles prêts à imprimer
- Masquage électronique des zones interditesVoie publique, propriétés voisines, zones de pause du personnel : le masquage est configuré dans la caméra, et la configuration est capturée. C'est la différence entre affirmer qu'on ne filme pas la rue et pouvoir le démontrer.Preuve jointe : capture des zones masquées, caméra par caméra
- Gestion des droits d'accès et journalisationQui peut consulter les images, avec quel compte nominatif, et la journalisation des consultations. Les comptes partagés rendent toute traçabilité impossible.
- Procédure de réquisition et d'extractionQui extrait, sous quelle forme, avec quelle traçabilité, en réponse à une réquisition judiciaire. Écrite à froid, elle évite les erreurs commises dans l'urgence d'un sinistre.
- Éléments techniques alimentant l'analyse d'impactLorsqu'une AIPD est requise, nous fournissons la description technique du traitement, les mesures de sécurité et les risques identifiés. L'analyse d'impact elle-même relève du responsable de traitement, assisté le cas échéant de son délégué à la protection des données.
- Dossier de demande d'autorisation préfectoraleLe cas échéant : plans, champs de vision, nombre de caméras, finalités. Constitué à partir de l'installation réelle, pas d'un projet théorique.
Périmètre
Ce dossier est un livrable technique et organisationnel. Il documente ce qui a été installé, configuré et paramétré, et fournit les éléments que votre conseil ou votre délégué à la protection des données utilisera. La validation juridique relève de votre conseil : nous ne délivrons pas de conseil juridique et ne nous substituons pas à un DPO.
Le dossier se constitue dans deux situations : à l'occasion d'une installation neuve, où la conformité est intégrée dès la conception du plan de caméras ; ou sur une installation existante, quel qu'en soit l'installateur d'origine, par un audit du parc en place suivi des corrections de configuration nécessaires.
Section 5
Les situations où le dossier devient nécessaire
Toutes les installations ne présentent pas le même niveau d'exposition. Six configurations concentrent l'essentiel des difficultés que nous rencontrons sur le terrain.
Copropriétés
Parties communes filmées, résidents non salariés, décision d'assemblée générale à documenter, et halls souvent ouverts sur la rue.
Sûreté en copropriété →Commerces
Lieu ouvert au public, donc autorisation préfectorale ; caisses et réserves filmées, donc Code du travail. Deux régimes sur un même site.
Sûreté commerce →Collectivités
Bâtiments publics, exigences de transparence renforcées, et articulation avec les dispositifs de vidéoprotection communaux.
Mairies & collectivités →Hôtellerie & restauration
Clientèle de passage, zones privatives à ne jamais filmer, personnel saisonnier à informer à chaque prise de poste.
Hôtellerie-restauration →Bureaux & tertiaire
Postes de travail dans le champ, consultation du CSE, et articulation avec le contrôle d'accès.
Bureaux & tertiaire →Exploitations agricoles
Bâtiments dispersés, chemins d'accès parfois publics, salariés et prestataires extérieurs sur site.
Exploitations agricoles →Sur la conception de l'installation elle-même — choix des caméras, champs de vision, enregistrement local — voir notre page vidéosurveillance. Sur le maintien en conditions de l'installation et de son dossier, voir le contrat de maintenance.
Questions fréquentes
Ce que les exploitants nous demandent le plus souvent
Cela dépend du lieu filmé. Un dispositif qui filme un lieu ouvert au public — surface de vente, hall d'accueil, parties communes accessibles — relève du Code de la sécurité intérieure et suppose une autorisation préfectorale. Un dispositif qui filme uniquement un lieu privé non ouvert au public, comme une réserve ou un entrepôt, n'exige pas cette autorisation mais reste soumis au RGPD, avec inscription au registre des traitements. La voie publique ne peut être filmée que par les autorités publiques habilitées.
La durée doit être proportionnée à la finalité poursuivie et fixée à l'avance. La CNIL retient comme ordre de grandeur une conservation qui ne dépasse pas un mois, la pratique courante se situant plutôt entre quinze et trente jours pour une finalité de sécurité des biens. Toute durée retenue doit pouvoir être justifiée. La purge doit être automatique, et sa configuration doit pouvoir être présentée.
Pas de manière constante : un dispositif qui place un salarié sous surveillance permanente est disproportionné. Filmer les accès, les zones de stockage sensibles ou les caisses est possible, à condition d'informer individuellement chaque salarié, de consulter le comité social et économique lorsqu'il existe, et de documenter la proportionnalité du dispositif. Les images ne peuvent pas servir à une autre finalité que celle déclarée.
Non. La CNIL a précisé en mars 2026 que coupler un microphone à une caméra de vidéoprotection est interdit par le Code de la sécurité intérieure, que le micro soit intégré à la caméra ou raccordé par un dispositif externe. Un dispositif de captation sonore séparé reste envisageable dans des conditions strictes : lieux ouverts au public hors voie publique, et déclenchement manuel. En pratique, beaucoup de caméras intègrent un micro actif par défaut ; sa désactivation fait partie de la mise en service.
Non. Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a reporté au 2 décembre 2027 les obligations applicables aux systèmes d'IA à haut risque de l'annexe III, dont l'identification biométrique, et au 2 août 2028 celles des systèmes intégrés à des produits déjà réglementés. Les obligations de transparence de l'article 50 s'appliquent en revanche depuis le 2 août 2026 et n'ont pas été reportées. Surtout, ce report ne concerne que l'AI Act : le RGPD, le Code de la sécurité intérieure et le Code du travail s'appliquent dès l'installation, sans délai supplémentaire.
Il est possible, mais strictement encadré. Les données biométriques relèvent des catégories particulières de données au sens du RGPD. La CNIL a adopté un règlement type consacré à la biométrie sur les lieux de travail, qui impose notamment de justifier de façon circonstanciée pourquoi un dispositif non biométrique serait insuffisant, de réaliser une analyse d'impact, de privilégier le stockage du gabarit sur un support individuel détenu par la personne plutôt qu'en base centralisée, et d'informer ou consulter les représentants du personnel. À partir du 2 décembre 2027, ces dispositifs relèveront en outre des obligations applicables aux systèmes à haut risque de l'AI Act. Ouest-Digit n'installe pas de dispositif biométrique : nous proposons du contrôle d'accès par badge ou par code, qui atteint le même résultat opérationnel sans traitement de données sensibles.
L'ensemble des éléments démontrant que le traitement a été pensé avant d'être déployé : la finalité poursuivie et sa justification, la durée de conservation retenue et la configuration qui l'applique, l'inscription au registre des traitements, les modèles d'affichage informant les personnes filmées, la liste des personnes habilitées à consulter les images et la journalisation de leurs accès, la procédure suivie en cas de réquisition, et l'analyse d'impact lorsqu'elle est requise. C'est le contenu du dossier de conformité que nous constituons.
Faire auditer une installation existante
Quel que soit l'installateur d'origine : état des lieux du parc, cartographie des régimes applicables, corrections de configuration et constitution du dossier. Nous intervenons en Ille-et-Vilaine et dans les Côtes-d'Armor.
Sur un projet neuf, la conformité s'intègre dès la conception du plan de caméras — c'est là qu'elle coûte le moins cher.
Page mise à jour le 21 août 2026. Cette page décrit un état du droit à une date donnée. La réglementation applicable à la vidéoprotection évolue rapidement ; vérifiez la date ci-dessus avant de vous appuyer sur son contenu.
Textes et sources de référence à cette date :
- Règlement (UE) 2016/679 — RGPD
- Règlement (UE) 2024/1689 — règlement européen sur l'intelligence artificielle
- Règlement (UE) 2026/1744 — révision du calendrier d'application, en vigueur le 27 juillet 2026
- Code de la sécurité intérieure — dispositifs de vidéoprotection
- Code du travail — surveillance des salariés
- CNIL — vidéoprotection et vidéosurveillance
- CNIL — règlement type biométrie sur les lieux de travail
- CNIL — captation sonore, position du 20 mars 2026
La transposition française de la directive NIS 2, portée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, n'était pas promulguée à la date de rédaction. Elle est susceptible d'ajouter des obligations pour certaines entités : ce point sera actualisé dès publication du texte.
Rappel : Ouest-Digit produit la documentation technique et organisationnelle nécessaire à la conformité de votre installation. La validation juridique relève de votre conseil.