La CNIL a mis à jour en avril 2026 sa liste des sanctions et y fait apparaître une sanction du 2 avril 2026 contre une société exploitant des boutiques toilettes. Les manquements visés ne concernent pas seulement une erreur d’affichage : la CNIL mentionne la licéité de la vidéoprotection, la minimisation des données en vidéosurveillance, l’encadrement des relations avec un sous-traitant et l’obligation de réaliser une analyse d’impact.

Pour un commerce, un restaurant, une franchise, un showroom, un magasin de vêtements, une pharmacie, une boulangerie ou une société qui reçoit du public, le sujet est très concret. Beaucoup de dirigeants installent des caméras pour éviter les vols, les dégradations, les agressions ou les litiges en caisse. Mais un dispositif pensé comme un outil de sécurité peut devenir un risque juridique s’il filme trop large, trop longtemps, sans information claire, sans registre, sans contrat de sous-traitance ou sans consultation du CSE lorsque les salariés peuvent être contrôlés.

L’objectif n’est donc pas de retirer toutes les caméras. L’objectif est de vérifier si la vidéosurveillance est défendable avant un contrôle CNIL, une plainte d’un salarié, une demande d’accès aux images, un licenciement fondé sur une vidéo ou un litige avec un client.

Pourquoi ce sujet devient urgent pour les commerces

La recherche Google montre une demande forte autour de la vidéosurveillance en entreprise. Le cluster « CNIL et vidéosurveillance » ressort à environ 590 recherches mensuelles en France. « Vidéosurveillance entreprise » ressort à 480 recherches mensuelles, avec un CPC haut autour de 25 euros. « Vidéosurveillance commerce » atteint environ 110 recherches mensuelles, avec un CPC haut proche de 20 euros. Ce ne sont pas seulement des requêtes de matériel : les internautes cherchent aussi la règle applicable, l’information des salariés, les limites de la caméra au travail et le risque CNIL.

L’actualité CNIL donne une raison d’agir maintenant. Dans sa page officielle sur les sanctions prononcées par la CNIL, l’autorité indique qu’une société exploitant des boutiques toilettes a été sanctionnée le 2 avril 2026 en procédure simplifiée pour plusieurs manquements liés à la vidéoprotection et à la vidéosurveillance. Le montant publié est de 7 500 euros. Pour une petite structure, l’amende peut déjà être significative, mais le coût réel vient souvent du reste : injonction, correction technique, conflit social, preuve inutilisable, atteinte à l’image et difficulté à justifier la surveillance devant un client ou un salarié.

Les cinq contrôles à faire avant d’installer ou de conserver des caméras

Le premier contrôle porte sur la finalité. Une caméra doit répondre à un objectif précis : sécurité des personnes, prévention des vols, protection des biens, gestion d’un incident. Une formule vague du type « surveillance générale du personnel » est dangereuse. Si le dispositif sert en réalité à suivre l’activité quotidienne des salariés, à contrôler les pauses ou à observer les comportements, le risque augmente fortement.

Le deuxième contrôle porte sur le champ filmé. Dans sa fiche La vidéosurveillance dans les commerces, la CNIL rappelle que les caméras peuvent viser les zones de circulation, les entrées, les sorties ou les caisses lorsque cela se justifie. La difficulté commence quand une caméra filme en continu un poste de travail, une salle de pause, des vestiaires, des toilettes, l’accès aux représentants du personnel ou une zone qui n’a aucun rapport avec la sécurité. La règle pratique est simple : plus la caméra filme une personne identifiable dans son activité normale, plus la justification doit être solide.

Le troisième contrôle porte sur l’information. L’article L. 1222-4 du Code du travail prévoit qu’aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. Cela impose une information individuelle et claire des salariés lorsque le dispositif peut les concerner. Pour les clients, l’affichage doit être visible et compréhensible : existence des caméras, finalité, responsable du traitement, durée de conservation, droits des personnes et canal de contact.

Le quatrième contrôle porte sur le CSE. L’article L. 2312-38 du Code du travail impose l’information et la consultation du comité social et économique avant la mise en oeuvre de moyens ou techniques permettant un contrôle de l’activité des salariés. Dans une entreprise dotée d’un CSE, installer ou modifier un système de caméras sans traiter ce point peut fragiliser le dispositif.

Le cinquième contrôle porte sur le registre, la durée de conservation, les habilitations et les prestataires. Il faut savoir qui visionne les images, dans quel cas, pendant combien de temps, avec quel mot de passe, quelles traces d’accès, quel contrat si un prestataire installe, héberge, maintient ou consulte le système. La sanction CNIL du 2 avril 2026 montre justement que le sujet ne s’arrête pas au panneau « site sous vidéosurveillance ».

Caméra en magasin : ce qui est généralement défendable

Dans un commerce, certaines zones se défendent mieux que d’autres. Filmer l’entrée, la sortie, les zones de circulation, une caisse ou un espace où des biens de valeur sont exposés peut être légitime si l’objectif est la sécurité. La caméra ne doit toutefois pas devenir un outil de surveillance permanente des salariés.

Une caméra orientée vers une caisse peut se comprendre en cas de vols, d’encaissements sensibles ou de contestations régulières. Mais elle doit autant que possible viser la caisse, le flux client ou l’espace manipulé, et non le visage du salarié pendant toute sa journée. Une caméra dans une réserve peut se justifier si des marchandises de valeur y sont stockées. Une caméra dans une salle de pause, des toilettes ou un vestiaire est, sauf situation exceptionnelle très encadrée, une source majeure de risque.

Le dirigeant doit aussi vérifier l’emplacement extérieur. Une caméra privée ne doit pas filmer sans nécessité la voie publique, les fenêtres voisines ou l’entrée d’un immeuble voisin. Pour un lieu ouvert au public, la vidéoprotection peut impliquer une autorisation préfectorale selon les zones filmées. La page CNIL sur la vidéoprotection distingue les dispositifs filmant la voie publique ou les lieux ouverts au public et rappelle l’importance de limiter les zones captées.

Salarié filmé : la preuve vidéo peut-elle être utilisée ?

La question revient souvent après un vol en caisse, une disparition de stock, une altercation avec un client ou une faute disciplinaire. L’employeur veut utiliser les images. Le salarié répond que la vidéosurveillance est illicite. La réponse dépend du dispositif.

La Cour de cassation a rendu le 21 mai 2025 une décision importante, publiée au Bulletin, sur l’utilisation d’images de vidéoprotection dans un dossier disciplinaire. Elle retient notamment que les images étaient liées à une finalité légitime, à savoir « assurer la sécurité des personnes et des biens », et que le salarié avait été informé de son droit d’accès. La décision est consultable sur le site officiel de la Cour de cassation : Cass. soc., 21 mai 2025, n° 22-19.925.

Cette décision ne donne pas un blanc-seing. Elle montre au contraire la méthode à suivre : finalité claire, information, durée de conservation limitée, accès réservé, dispositif proportionné, débat contradictoire. Une vidéo peut aider un employeur, mais seulement si le système a été construit proprement avant le litige. Quand le dispositif est clandestin, excessif ou détourné de sa finalité, le risque est double : sanction CNIL d’un côté, preuve discutée ou écartée de l’autre.

Quand faut-il réaliser une AIPD ?

L’analyse d’impact relative à la protection des données, souvent appelée AIPD ou DPIA, n’est pas automatique pour toute caméra. Elle devient en revanche un point sérieux lorsque le dispositif présente un risque élevé pour les droits et libertés des personnes : surveillance systématique, volume important d’images, plusieurs sites, suivi de salariés, zones sensibles, accès distant, prestataire technique, reconnaissance ou analyse automatisée, conservation longue, croisement avec d’autres données.

La sanction CNIL du 2 avril 2026 mentionne précisément l’obligation de réaliser une analyse d’impact. Cela doit alerter les réseaux de commerces, les franchises, les groupes multi-sites et les entreprises qui ont installé des systèmes connectés ou centralisés. Dans ces structures, le bon réflexe consiste à documenter par écrit les finalités, les zones filmées, les alternatives envisagées, les risques, les mesures de réduction du risque, la durée de conservation, les accès et les prestataires.

Une AIPD n’est pas un document cosmétique. Elle doit permettre de démontrer que l’entreprise a vraiment arbitré entre sécurité et respect des droits. Si les caméras filment en permanence les salariés à leur poste, l’AIPD ne sauvera pas automatiquement le dispositif. Elle peut même révéler que certaines caméras doivent être déplacées, masquées, désactivées ou limitées.

Prestataire de vidéosurveillance : le contrat doit être revu

Beaucoup de dirigeants délèguent l’installation à un prestataire : installateur, société de télésurveillance, mainteneur, hébergeur cloud, franchiseur, groupe de sécurité. Ce prestataire peut avoir accès aux images, aux mots de passe, aux interfaces, aux sauvegardes ou aux interventions techniques. Dès qu’il traite des données personnelles pour le compte de l’entreprise, la relation doit être encadrée.

Le contrat doit préciser les instructions, la confidentialité, la sécurité, les sous-traitants ultérieurs, l’assistance en cas de demande d’accès, l’effacement ou la restitution des données, les audits et la notification des incidents. Une facture ou un devis technique ne suffit pas. Sur un réseau de commerces, il faut aussi savoir qui est responsable du traitement : chaque magasin, la société exploitante, le franchiseur, la tête de réseau ou plusieurs responsables conjoints.

La question est commerciale autant que juridique. En cas de plainte ou de contrôle, le dirigeant devra produire des documents. Si le prestataire répond qu’il n’est « que l’installateur », mais qu’il conserve pourtant des accès à distance, la situation devient fragile.

Que faire si le dispositif existe déjà ?

Il ne faut pas attendre une plainte pour auditer les caméras. Le contrôle peut être rapide.

Commencez par dresser la carte des caméras : emplacement, orientation, zone filmée, finalité, accès, durée de conservation, prestataire, site concerné. Vérifiez ensuite l’affichage client et l’information salarié. Si l’entreprise a un CSE, contrôlez la trace de l’information-consultation. Regardez aussi si les caméras filment un poste de travail en continu, une zone de repos, un vestiaire ou une zone trop large. Enfin, relisez le contrat prestataire et le registre RGPD.

Si une caméra est mal placée, il vaut mieux corriger immédiatement : changement d’angle, masquage d’une zone, réduction de la conservation, restriction des habilitations, désactivation du son, suppression d’un accès distant inutile, mise à jour de l’affichage, note d’information salariés, consultation CSE, annexe contractuelle avec le prestataire.

Si un incident est déjà survenu, il faut figer les images utiles sans créer une conservation générale illimitée. Il faut aussi identifier la finalité précise de l’extraction : dépôt de plainte, sanction disciplinaire, déclaration assurance, réponse à une demande client, défense en justice. Chaque extraction doit être tracée.

Paris et Île-de-France : commerces multi-sites, gares, centres commerciaux, franchises

À Paris et en Île-de-France, les dossiers de vidéosurveillance concernent souvent des commerces situés en centre commercial, gare, galerie, immeuble mixte, restaurant, hôtel, pharmacie, cabinet, salle de sport ou réseau franchisé. Le point sensible est la superposition des acteurs : bailleur, syndic, centre commercial, société de sécurité, franchiseur, exploitant local, prestataire informatique.

Il faut déterminer qui filme quoi. Les caméras du centre commercial ne sont pas les caméras du magasin. Les images d’une galerie commune ne répondent pas aux mêmes règles que celles d’une réserve interne. Un franchisé peut recevoir des consignes du réseau, mais il reste parfois responsable local du traitement. Une caméra qui couvre l’entrée du magasin peut capter des passants, les salariés, les clients et une zone commune. Ce type de configuration mérite une vérification avant incident.

Pour un dirigeant parisien, le bon livrable est généralement un audit court : plan des caméras, risques par zone, corrections immédiates, note salariés, affichage clients, registre, contrat prestataire, procédure d’accès aux images et procédure d’extraction en cas d’incident.

Le lien avec le droit des affaires

La vidéosurveillance n’est pas seulement un sujet de droit du travail ou de données personnelles. Elle touche aussi au droit des affaires : protection du fonds de commerce, responsabilité du dirigeant, preuve d’un vol ou d’une fraude, relation avec un prestataire, contrat de franchise, bail commercial, assurance, procédure disciplinaire, litige client, image de marque.

Un dispositif mal conçu peut faire perdre une preuve, déclencher une plainte CNIL, tendre les relations sociales ou créer un conflit avec un prestataire. À l’inverse, un dispositif propre protège mieux l’entreprise : les images utiles sont accessibles, les personnes savent à qui s’adresser, les accès sont limités, les durées sont maîtrisées et les décisions sont documentées.

Pour replacer cette vérification dans une stratégie plus large de protection de l’entreprise, vous pouvez consulter la page du cabinet consacrée au droit des affaires à Paris.

Besoin d’un avis rapide sur votre dossier.

Consultation téléphonique en 48 heures avec un avocat du cabinet.

Nous vérifions vos caméras, l’information des salariés et des clients, le contrat prestataire, la preuve vidéo et le risque CNIL.

Appelez le cabinet au 06 46 60 58 22 ou écrivez-nous via le formulaire de contact.