Vous entrez dans une boutique et un pictogramme caméra est collé sur la porte, ou il n’y en a aucun. On vous filme à la caisse, dans le rayon, parfois vers la cabine. De l’autre côté du comptoir, le commerçant vient d’installer un kit, filme le trottoir « pour les vols », et se demande s’il doit encore passer par la préfecture. Les images identifient des clients, des salariés, des livreurs. Ce sont des données à caractère personnel. La question n’est pas de savoir si la sécurité d’un magasin justifie tout. Elle est de savoir quelle zone est filmée, qui a autorisé le dispositif, qui a le droit de visionner, combien de temps les fichiers restent, et ce que le client ou le salarié peut exiger.
Le règlement (UE) 2016/679 s’applique dès qu’un dispositif enregistre ou visionne des personnes identifiables. Le code de la sécurité intérieure s’ajoute lorsque les caméras portent sur la voie publique ou un lieu ouvert au public : un magasin en fait partie. Le code du travail s’ajoute encore si des salariés sont filmés. Ces régimes ne se remplacent pas. Un pictogramme n’équivaut pas à une autorisation préfectorale. Une autorisation préfectorale n’efface pas le RGPD. Une fiche CNIL n’autorise pas à filmer une cabine d’essayage.
Ce texte distingue trois zones — surface de vente, rue, réserve — puis les interdits (cabines, sanitaires, poste de travail). Il indique ensuite comment obtenir les images, les faire détruire, et saisir la CNIL, la commission départementale ou le juge. Il ne traite pas des caméras sur le lieu de travail hors commerce, déjà analysées pour la preuve prud’homale, ni des caméras en copropriété.
I. Ce que le commerçant peut filmer, ce qui est interdit, et quelles formalités
A. Surface de vente, trottoir et réserve : trois régimes, une autorisation pour les lieux ouverts au public
L’article L. 251-1 du code de la sécurité intérieure pose le principe : les systèmes de vidéoprotection qui remplissent les conditions de l’article L. 251-2 « sont des traitements de données à caractère personnel régis par le présent titre, par le règlement (UE) 2016/679 » et par la loi du 6 janvier 1978. Le magasin n’échappe pas au RGPD sous prétexte qu’il a une caméra « de sécurité ». La CNIL, dans sa fiche « La vidéoprotection » du 9 mars 2026, range expressément le magasin parmi les lieux ouverts au public, aux côtés du restaurant, du cinéma ou du musée.
L’article L. 251-2 autorise des systèmes « dans des lieux et établissements ouverts au public aux fins d’y assurer la sécurité des personnes et des biens lorsque ces lieux et établissements sont particulièrement exposés à des risques d’agression ou de vol ». La finalité est donc bornée. Filmer pour mesurer le temps passé devant un rayon, évaluer un vendeur, constituer un fichier commercial ou alimenter une publicité sort de cette finalité. L’exposition particulière aux vols ou aux agressions n’est pas une clause de style : une bijouterie, une pharmacie de nuit ou une grande surface en zone sensible n’est pas dans la même situation qu’un commerce sans stock ni caisse. L’autorisation préfectorale, lorsqu’elle est demandée, est le lieu où cette exposition se documente.
Dès que le dispositif relève de ce titre, l’article L. 252-1 subordonne l’installation « à une autorisation du représentant de l’Etat dans le département et, à Paris, du préfet de police », après avis de la commission départementale de vidéoprotection. L’article R. 252-2 précise le dépôt : préfecture du lieu d’implantation ; à Paris et sur les emprises des aéroports parisiens, préfecture de police ; dans les Bouches-du-Rhône, préfecture de police des Bouches-du-Rhône. L’article L. 252-4 ajoute que « Les systèmes de vidéoprotection sont autorisés pour une durée de cinq ans renouvelable. ». Une caméra posée sans cette autorisation, sur une surface de vente ouverte au public, n’est pas un détail de dossier. La cour d’appel de Paris, le 19 décembre 2023 (n° 21/07188), a rejeté des débats les images d’une boutique, au motif que le commerçant ne justifiait pas de l’autorisation alors que le système filmait la surface de vente. L’employeur objectait qu’une information claire du public suffisait. La cour a écarté cet argument.
La rue n’est pas la boutique. L’article L. 251-2, dernier alinéa, dispose : « Après information du maire de la commune concernée et autorisation des autorités publiques compétentes, des commerçants peuvent mettre en œuvre sur la voie publique un système de vidéoprotection aux fins d’assurer la protection des abords immédiats de leurs bâtiments et installations, dans les lieux particulièrement exposés à des risques d’agression ou de vol. ». Filmer la rue en tant que telle, le passage des voisins, l’entrée d’un immeuble d’habitation, n’entre pas dans cette phrase. L’article L. 251-3 l’écrit sans détour : les opérations de vidéoprotection de la voie publique « ne visualisent pas les images de l’intérieur des immeubles d’habitation ni, de façon spécifique, celles de leurs entrées. ». La CNIL recommande un masquage irréversible de ces zones. Ce n’est pas une option esthétique.
Le visionnage des images de la rue n’appartient pas au commerçant. L’article L. 252-2 dispose que, dans le cas du dernier alinéa de l’article L. 251-2, « le visionnage des images ne peut être assuré que par des agents individuellement désignés et habilités des services de police et de gendarmerie nationales et des services de police municipale ainsi que par les agents individuellement désignés et dûment habilités mentionnés aux articles L. 531-1 , L. 532-1 et L. 533-1 . » Un kit grand public qui envoie le flux du trottoir sur le téléphone du gérant inverse cette répartition.
La chambre sociale de la Cour de cassation l’a rappelé le 17 septembre 2025 (n° 24-13.972), arrêt inédit (F-D). Elle vise les articles L. 251-2, L. 252-2 et L. 252-5, dans les versions alors applicables, et en déduit qu’un système peut être mis en œuvre sur la voie publique par des commerçants, après information du maire et autorisation, pour la protection des abords immédiats, mais que le visionnage des images extraites de la voie publique ne peut être assuré que par des agents de l’autorité publique individuellement désignés et habilités, et que les enregistrements doivent être détruits dans le délai maximum d’un mois, sauf enquête pénale. L’arrêt casse une cour d’appel qui s’était contentée d’un agrément d’activité de surveillance privée, sans vérifier si le système de la voie publique respectait le code de la sécurité intérieure. La version actuelle de l’article L. 252-2 ajoute les agents de police municipale habilités. Elle ne rend pas le gérant destinataire des images de la rue.
Reste la réserve, le fournil, le local du personnel : lieux non ouverts au public. L’autorisation préfectorale du titre vidéoprotection ne s’y applique pas de la même manière. L’autorisation préfectorale vise les lieux et établissements ouverts au public au sens de l’article L. 251-2 : surface de vente, entrées, caisses, parkings ouverts à la clientèle. Les réserves et locaux du personnel, non ouverts au public, restent soumis au RGPD et au code du travail, sans cette autorisation. Ce n’est pas un angle mort. Le RGPD continue de s’appliquer. Le commerçant inscrit le traitement dans son registre. S’il a désigné un délégué à la protection des données, ce délégué est associé. La CNIL indique, pour les acteurs privés, qu’ils n’ont pas à informer la Commission ni à obtenir son autorisation pour un dispositif de vidéoprotection. L’absence de déclaration CNIL n’a jamais signifié l’absence de droit. Elle ne dispense pas de l’autorisation préfectorale lorsque le public est filmé.
Lorsque le dispositif conduit à une surveillance systématique à grande échelle d’une zone accessible au public, l’article 35 du RGPD impose une analyse d’impact. La CNIL, le 9 mars 2026, range la rue et les lieux ouverts au public dans cette hypothèse. L’analyse s’effectue avant la mise en œuvre. Elle n’est transmise à la CNIL qu’en cas de risque résiduel élevé. Une grande surface qui filme tous les flux, toutes les caisses, tous les accès, n’est pas dans le même cas qu’une unique caméra sur une porte de service. L’analyse d’impact est le document où cette différence se justifie, ou se refuse.
B. Cabines, sanitaires, caisse et salariés : ce que la sécurité ne permet pas
La surface de vente n’est pas un espace d’intimité. La cabine d’essayage l’est. Les toilettes aussi. Filmer l’intérieur d’une cabine d’essayage ou des toilettes sort de la finalité de sécurité des biens dans un lieu ouvert au public. Une caméra un peu vers la cabine, un objectif dans le couloir d’essayage qui voit l’intérieur lorsque le rideau bouge, tombent dans la même atteinte à l’intimité.
L’article 226-1 du code pénal, dans sa version en vigueur depuis le 23 mars 2024, punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait de porter atteinte à l’intimité de la vie privée d’autrui « En fixant, enregistrant ou transmettant, sans le consentement de celle-ci, l’image d’une personne se trouvant dans un lieu privé. » La cabine n’est pas la rue. Le consentement n’est pas le pictogramme de l’entrée du magasin.
L’article 9 du code civil ajoute que « Chacun a droit au respect de sa vie privée. » Le juge peut prescrire toutes mesures propres à faire cesser une atteinte, y compris en référé. Un client filmé dans une cabine n’a pas à attendre la fin d’un contrôle CNIL pour demander le retrait de la caméra et la destruction des images. Le commerçant qui objecte la lutte contre le vol à l’étalage doit démontrer qu’aucune mesure moins intrusive — antivol, contrôle à la sortie, caméra sur la zone marchande — ne suffit. Le RGPD, à l’article 5, impose des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités. Filmer un corps qui s’habille n’est pas nécessaire à la sécurité des biens.
Les salariés du magasin ne sont pas un public comme les autres. L’article L. 1121-1 du code du travail dispose : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » L’article L. 1222-4 ajoute : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Un e-mail collectif envoyé après la pose, un règlement intérieur modifié en silence, un pictogramme client qui ne dit rien aux caissiers, ne satisfont pas cette information préalable. S’il existe un comité social et économique, l’article L. 2312-38 impose une information-consultation « préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés ». Des caméras qui voient les postes, les horaires, les pauses, sont un tel moyen. Consulter après coup, ou seulement le prestataire de sécurité, ne régularise pas la décision.
La chambre sociale, le 23 juin 2021 (n° 19-13.856), a rejeté le pourvoi d’un restaurateur qui avait licencié un cuisinier au vu d’une caméra installée dans la cuisine. La cour d’appel avait constaté que le salarié, seul à son poste, était soumis à une surveillance constante. La Cour de cassation approuve : les enregistrements, « attentatoire à la vie personnelle du salarié et disproportionné au but allégué par l’employeur de sécurité des personnes et des biens, n’étaient pas opposables au salarié ». Un magasin n’est pas une cuisine. La leçon est la même : une caméra calée sur un unique poste, toute la journée, pour « la sécurité », ne survit pas à l’article L. 1121-1. La préfecture du Nord le dit en termes pratiques : sauf circonstances particulières, les caméras ne doivent pas filmer les employés sur leur poste de travail. La circonstance particulière la plus souvent invoquée est la manipulation d’espèces. Elle ne transforme pas le caissier en objet du plan de caméra. Le champ doit porter davantage sur la caisse que sur la personne.
Les vestiaires, les salles de pause, l’accès aux locaux syndicaux relèvent du même raisonnement. Filmer un distributeur vandalisé n’autorise pas à filmer toute la pièce de repos. Filmer un quai de livraison n’autorise pas à filmer le local où les salariés se changent. Le commerçant qui veut des images utilisables en cas de vol a intérêt à un dispositif étroit, documenté, limité dans le temps. Celui qui veut tout voir se retrouve, le jour du litige, avec des images que le juge écarte, et un salarié qui réclame des dommages-intérêts pour surveillance.
À Paris, le dossier se dépose à la préfecture de police, pas à une préfecture d’Île-de-France indifférenciée. Dans les Bouches-du-Rhône, c’est la préfecture de police du département. Ailleurs, c’est le préfet du département du lieu d’implantation. Ces compétences ne changent pas la règle de fond. Elles changent le destinataire de la demande, le délai pratique, et l’autorité qui pourra, le cas échéant, fermer l’établissement. Un commerçant parisien qui « s’est déclaré à la CNIL » et croit le dossier clos n’a pas l’autorisation exigée par l’article L. 252-1.
II. Accéder aux images, les faire détruire et saisir la CNIL ou le juge
A. Pictogramme, délai d’un mois, qui visionne, et ce que le client peut exiger
Le public n’a pas à deviner qu’il est filmé. L’article R. 253-6 du code de la sécurité intérieure dispose que l’information « est délivrée par voie d’affiches ou de panonceaux comportant un pictogramme représentant une caméra ». Lorsque le panneau ne peut pas tout dire, il mentionne « au moins, l’identité du responsable du système, les finalités poursuivies par le traitement et les droits des personnes concernées ». Le reste se communique par tout autre moyen : site, notice à l’accueil, politique de confidentialité. La CNIL distingue deux niveaux et met à disposition, depuis mars 2026, des modèles pour les établissements privés. Un simple « magasin sous vidéosurveillance », sans nom, sans finalité, sans modalité d’exercice des droits, ne satisfait pas l’article R. 253-6. Service-Public, fiche vérifiée le 6 janvier 2026, exige une affiche permanente, compréhensible, avec le nom et le numéro de téléphone du responsable, la raison de l’installation et les démarches possibles.
La durée n’est pas celle du disque dur. L’article L. 252-5 ordonne : « Hormis le cas d’une enquête de flagrant délit, d’une enquête préliminaire ou d’une information judiciaire, les enregistrements sont détruits dans un délai maximum fixé par l’autorisation. Ce délai ne peut excéder un mois. » L’autorisation peut prévoir un délai minimal. Conserver « au cas où » pendant six mois, ou jusqu’à saturation du boîtier, est un manquement autonome. En cas d’incident, les images utiles s’extraient, se consignent, et suivent la procédure pénale. Le reste s’efface. L’article 226-20 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait de conserver des données au-delà de la durée prévue. L’article 226-21 punit le détournement de finalité : un visionnage pour un conflit de voisinage, une publication sur un réseau, un usage commercial des images de clients.
Qui peut regarder, à l’intérieur du magasin ? L’article R. 253-3 vise, pour les lieux ouverts au public : « Les opérateurs et agents qui relèvent du responsable du traitement de données à caractère personnel provenant du système de vidéoprotection, individuellement désignés et dûment habilités par lui ». Toute l’équipe, l’écran en libre accès derrière la caisse, l’application sur le téléphone personnel du gérant sans habilitation, ne correspondent pas à cette phrase. La CNIL insiste sur un registre des consultations, des mesures de sécurité, une formation des personnes habilitées. Un flux accessible à distance se sécurise. La possibilité de regarder depuis un téléphone ne doit pas devenir un outil de remarques quotidiennes sur la qualité du travail.
Le client filmé a un droit d’accès. L’article R. 253-6, II, renvoie, pour les traitements relevant du titre II de la loi de 1978, aux articles 15, 16 et 18 du RGPD, et le cas échéant à l’article 17 pour l’effacement. Le IV de l’article R. 253-6 ajoute que « toute personne concernée peut s’adresser au responsable d’un système de vidéoprotection afin d’obtenir leur visionnage. » Un refus peut être opposé pour un motif tenant à la sûreté de l’État, à la défense, à la sécurité publique, au déroulement de procédures juridictionnelles ou au droit des tiers. Service-Public indique qu’une demande peut aussi être rejetée si elle est infondée ou excessive, ou si les données ont déjà été effacées. Une copie peut être remise sans floutage des autres personnes, à condition que cela ne nuise pas à leur vie privée. Le délai de réponse du RGPD est d’un mois, prorogeable de deux mois si la demande est complexe, avec information de la personne.
En revanche, le V de l’article R. 253-6 est net : « Le droit d’opposition prévu à l’article 21 du règlement (UE) 2016/679 du 27 avril 2016 précité et aux articles 110 et 117 de la loi n° 78-17 du 6 janvier 1978 précitée ne s’applique pas aux traitements. » On ne « refuse pas d’être filmé » dans un magasin autorisé comme on refuse une prospection. Le client qui ne veut pas d’images n’a pas, sur ce fondement, un droit d’opposition opposable au dispositif légalement autorisé. Il conserve l’accès, la rectification, l’effacement lorsque les conditions de l’article 17 sont réunies, la limitation, et surtout le droit de contester un dispositif illicite : cabine, durée excessive, absence d’autorisation, finalité détournée, information mensongère. Confondre opposition et illicéité conduit à un refus prévisible. Distinguer les deux permet un dossier.
La demande s’adresse au responsable indiqué sur le panneau. Si l’identité est douteuse, le responsable peut demander un justificatif. Le client a intérêt à dater la visite, à photographier le panneau, à écrire par un canal qui laisse trace, et à préciser le créneau horaire. Une demande vague (« toutes les images me concernant ») sur un magasin qui conserve un mois de flux est un piège pour les deux parties. Une demande bornée dans le temps, liée à un incident, se traite. Si le responsable ne répond pas, le droit d’accès RGPD s’exerce comme pour tout autre traitement, sous les restrictions propres à la vidéoprotection.
B. Commission départementale, fermeture, images écartées, CNIL et réparation
Le manquement ne se discute pas seulement avec le gérant. L’article L. 251-4 charge la commission départementale de vidéoprotection, présidée par un magistrat honoraire ou une personnalité qualifiée, de donner un avis sur les demandes d’autorisation et d’exercer un contrôle sur les systèmes autorisés. L’article L. 253-1 lui permet d’émettre des recommandations et de proposer « la suspension ou la suppression des dispositifs non autorisés, non conformes à leur autorisation ou dont il est fait un usage anormal ». Elle informe le maire. Service-Public donne comme exemples d’usage anormal : filmer l’entrée d’une habitation, ne pas informer le public, conserver au-delà d’un mois, utiliser les images dans un but commercial. Ces exemples recoupent le code. Ils ne l’épuisent pas.
L’article L. 253-4 va plus loin que la recommandation. À la demande de la commission ou de sa propre initiative, le préfet, et à Paris le préfet de police, « peuvent fermer pour une durée de trois mois, après mise en demeure non suivie d’effets dans le délai qu’elle fixe, un établissement ouvert au public dans lequel est maintenu un système de vidéoprotection sans autorisation ». Si, à l’issue de ces trois mois, l’établissement n’a pas sollicité la régularisation, l’autorité peut enjoindre le démontage. À défaut, une nouvelle fermeture de trois mois peut être prononcée. Le commerçant qui a posé des caméras « en attendant les papiers » s’expose à une fermeture administrative, pas seulement à un débat de conformité. Le client qui constate un dispositif sans panneau et sans autorisation a un interlocuteur : la préfecture, pas uniquement la CNIL.
La CNIL reste compétente. Sa fiche du 9 mars 2026 le dit : elle peut contrôler l’existence et la validité de l’autorisation préfectorale, la finalité, l’information, le droit d’accès, la qualité des personnels autorisés à visualiser, la sécurité, le registre des consultations, la durée. Elle peut mettre en demeure ou sanctionner directement. En cas de manquement grave, persistant, ou d’organisme de mauvaise foi, elle peut limiter ou arrêter le traitement, prononcer une amende. La plainte ne remplace pas la demande d’accès. Elle la complète lorsque le responsable ne répond pas, refuse sans motif prévu, filme une cabine, conserve trop longtemps, ou laisse n’importe qui visionner. Pour les salariés, l’inspection du travail s’ajoute, ainsi que le conseil de prud’hommes si les images servent à une sanction.
Les images illicites ne font pas automatiquement un licenciement fondé. La cour d’appel de Paris, dans l’affaire de la boutique déjà citée, a infirmé le jugement, rejeté les images, et dit le licenciement dépourvu de cause réelle et sérieuse, faute d’autre preuve du vol allégué. La Cour de cassation, le 21 mai 2025 (n° 22-19.925), arrêt publié au Bulletin, a rappelé que l’utilisation de constats réalisés à partir d’images de vidéoprotection « constitue un traitement de données à caractère personnel au sens de l’article 4 du RGPD ». L’employeur qui s’en sert est tenu aux articles 5 et 6 : licéité, finalité, minimisation, base légale. Les articles 13 et 14 imposent d’informer sur les finalités, le droit d’accès, les coordonnées du délégué. L’arrêt concerne un aéroport, pas un commerce. La qualification du traitement, elle, est générale. Extraire une séquence, la montrer à un huissier, la joindre à une lettre de licenciement, c’est encore traiter.
L’article 82 du RGPD ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’obtenir réparation du responsable ou du sous-traitant. Le préjudice ne se présume pas par la seule existence d’une caméra à l’entrée. Il se démontre : images d’une cabine, diffusion, conservation excessive, refus d’accès, surveillance d’un salarié à son poste, usage commercial. L’article 79 ouvre un recours juridictionnel indépendamment de la plainte CNIL. L’article 226-18 du code pénal punit la collecte déloyale ou illicite. Ces voies ne se hiérarchisent pas d’elles-mêmes. Un client filmé en cabine vise le référé, le pénal, la CNIL. Un client qui n’obtient pas ses images vise d’abord le responsable, puis la CNIL. Un salarié licencié sur des images sans autorisation vise les prud’hommes, et fait écarter la preuve. Un commerçant contrôlé vise la régularisation : autorisation, panneau, habilitations, durée, analyse d’impact si elle s’impose, contrat avec l’installateur.
Trois erreurs reviennent. La première consiste à croire qu’un pictogramme remplace l’autorisation préfectorale : la cour d’appel de Paris a écarté des images de boutique pour cette raison. La deuxième consiste à envoyer le flux de la rue sur le téléphone du gérant : l’article L. 252-2 réserve ce visionnage à des agents publics habilités, et la Cour de cassation a cassé, en 2025, une décision qui n’avait pas vérifié le respect du code de la sécurité intérieure. La troisième consiste à filmer le poste, la cabine ou les sanitaires « pour la sécurité » : l’article L. 1121-1, l’article 226-1 et les consignes préfectorales s’y opposent, et les images se retournent contre celui qui les a prises. Le commerçant qui documente la zone, la finalité, l’autorisation, les habilitations et le mois de conservation a un dispositif défendable. Le client qui isole le bon manquement — cabine, durée, accès, autorisation, rue — a un recours. Celui qui parle de caméras « illégales » sans dire lequel s’expose à un refus, alors qu’une autre voie était ouverte.
Besoin d’un avis rapide sur votre dossier
Des caméras viennent d’être posées dans votre magasin, vous avez été filmé en cabine ou à la caisse, le commerçant refuse l’accès aux images ou vous devez régulariser une autorisation préfectorale : le cabinet examine votre dossier en numérique et données personnelles, vidéoprotection, RGPD et recours.
Maître Reda KOHEN, avocat au Barreau de Paris, vous répond. Contactez le cabinet au 06 46 60 58 22 ou via le formulaire de contact du cabinet.