Vous tenez une boutique à Paris, un client vous écrit qu’il veut « toutes les images où il apparaît » filmées par vos caméras la semaine dernière, et la préfecture vous réclame votre autorisation de vidéoprotection que vous n’avez jamais demandée. Ces deux courriers tombent souvent ensemble, et chacun obéit à des règles différentes : le code de la sécurité intérieure pour l’installation des caméras dans les lieux ouverts au public, le règlement général sur la protection des données pour l’information des clients, la durée de conservation et le droit d’accès aux images. Confondre ces deux régimes conduit aux erreurs les plus coûteuses, comme filmer la voie publique sans droit, conserver les enregistrements plusieurs mois ou refuser brutalement une demande d’accès qui aurait dû recevoir une réponse dans le mois. Cet article décrit, pour un commerce de détail, ce qu’il faut vérifier avant d’installer des caméras, comment les régler et les signaler, puis comment traiter la demande d’un client filmé et les plaintes qui visent votre dispositif. Les textes applicables sont le code de la sécurité intérieure, le règlement (UE) 2016/679, le code pénal et le code du travail, éclairés par la position de la CNIL pour les commerces et par des décisions rendues sur des faits proches de ceux d’une boutique.
I. Installer des caméras dans votre boutique : autorisation, emplacements et réglages imposés
A. Quels lieux pouvez-vous filmer, et avec quelle autorisation du préfet ?
Des caméras peuvent être installées dans les grandes surfaces, les bijouteries, les boulangeries, les salons de coiffure, les pharmacies, et elles sont installées à des fins de sécurité des biens et des personnes, à titre dissuasif, ou pour identifier les auteurs de vols ou d’agressions. C’est le point de départ posé par la CNIL pour les commerces, et il fixe déjà la finalité légitime de votre dispositif : protéger les personnes et les biens dans votre magasin, pas surveiller le rendement de vos vendeurs ni observer la rue. Le droit applicable distingue ensuite les lieux selon qu’ils sont ouverts au public ou non, et c’est cette distinction qui commande les formalités.
Les systèmes de vidéoprotection qui filment des lieux ouverts au public relèvent du code de la sécurité intérieure, et la loi les qualifie expressément de traitements de données personnelles : « Les systèmes de vidéoprotection remplissant les conditions fixées à l’article L. 251-2 sont des traitements de données à caractère personnel régis par le présent titre, par le règlement (UE) 2016/679 » et par la loi du 6 janvier 1978. Concrètement, dès que vos caméras couvrent l’entrée du magasin, les allées marchandes, les comptoirs ou les caisses, vous relevez à la fois du code de la sécurité intérieure et du RGPD. En revanche, les caméras cantonnées aux lieux non ouverts au public, comme la réserve, le stock ou le fournil d’une boulangerie, relèvent du seul RGPD : dans ce cas, rappelle la CNIL, aucune formalité auprès d’elle n’est nécessaire, mais le dispositif doit être inscrit au registre des traitements et le délégué à la protection des données, si vous en avez désigné un, doit être associé à sa mise en œuvre.
Pour les lieux ouverts au public, la règle centrale tient en une phrase du code : « L’installation d’un système de vidéoprotection dans le cadre du présent titre est subordonnée à une autorisation du représentant de l’Etat dans le département et, à Paris, du préfet de police », donnée après avis de la commission départementale de vidéoprotection. La CNIL le confirme pour les commerces : tout dispositif qui filme des lieux ouverts au public doit recevoir l’autorisation préfectorale. Le formulaire se retire en préfecture ou se remplit en ligne sur le téléservice du ministère de l’intérieur, et l’autorisation prescrit les précautions utiles, notamment « quant à la qualité des personnes chargées de l’exploitation du système de vidéoprotection ou visionnant les images ». Exploiter des caméras sur la surface de vente sans cette autorisation expose le commerçant à un ordre de mise en conformité du préfet, à une plainte devant la CNIL et, en cas d’incident, à des images inutilisables parce qu’issues d’un dispositif irrégulier.
Le périmètre de ce que vous pouvez filmer est borné par la finalité légale. Des systèmes peuvent être mis en œuvre « dans des lieux et établissements ouverts au public aux fins d’y assurer la sécurité des personnes et des biens lorsque ces lieux et établissements sont particulièrement exposés à des risques d’agression ou de vol ». Une bijouterie rue de la Paix, une supérette ouverte tard le soir ou une pharmacie déjà cambriolée entrent sans difficulté dans ce cadre ; une boutique sans exposition particulière doit formuler sa demande avec plus de soin, en décrivant les incidents passés et la configuration des lieux. Le même article autorise les commerçants, après information du maire et autorisation, à filmer les abords immédiats de leurs bâtiments sur la voie publique dans les lieux particulièrement exposés, mais cette extension ne se présume jamais : orienter une caméra vers le trottoir ou la chaussée sans mention expresse dans l’autorisation constitue l’irrégularité la plus fréquente, et la Cour de cassation vient de rappeler qu’un juge ne peut valider l’usage d’images de vidéoprotection captées sur la voie publique « sans vérifier si le système de vidéoprotection avait été installé sur la voie publique puis exploité dans le respect des dispositions du code de la sécurité intérieure » (Soc., 17 septembre 2025, n° 24-13.972). À l’intérieur du magasin, certaines zones restent absolument interdites : les cabines d’essayage et les toilettes ne peuvent jamais être filmées, et le système ne doit pas servir à contrôler le travail du personnel, même s’il peut révéler le vol commis par un employé à la caisse, à condition de filmer alors davantage la caisse que le caissier.
B. Panneaux, durée d’un mois, registre : les réglages qui évitent la sanction
Une fois l’autorisation obtenue, trois réglages conditionnent la régularité quotidienne du dispositif : l’information des clients, la durée de conservation et la limitation des accès aux images. Sur l’information, la CNIL exige des panneaux affichés en permanence et bien visibles dans les lieux filmés, avec le pictogramme caméra, les finalités du traitement, la durée de conservation, le nom ou la qualité et le numéro de téléphone du responsable ou du délégué à la protection des données, l’existence des droits et le droit de réclamation auprès de la CNIL. Un panneau apposé à l’entrée ne suffit donc pas à lui seul si les mentions manquent : un simple « magasin sous vidéosurveillance » sans durée, sans contact et sans mention des droits expose à un manquement au devoir d’information, puni en contravention et relevé dans les contrôles. Les informations complémentaires, comme la base juridique et les destinataires des images, peuvent figurer sur votre site internet, vers lequel le panneau renvoie, ce que la CNIL admet pour garder des affiches lisibles. Ces mentions reprennent l’obligation du RGPD de fournir à la personne, au moment où ses données sont collectées, « l’identité et les coordonnées du responsable du traitement », les finalités et la base juridique, les destinataires, la durée de conservation et l’existence de ses droits, dont le droit de réclamation.
La durée de conservation constitue le deuxième réglage sensible. La loi dispose que, hors flagrant délit, enquête préliminaire ou information judiciaire, « les enregistrements sont détruits dans un délai maximum fixé par l’autorisation. Ce délai ne peut excéder un mois. » La CNIL précise que cette durée ne dépasse en principe pas un mois, et que conserver les images quelques jours suffit généralement à vérifier un incident et à déclencher une procédure pénale, auquel cas les images utiles sont extraites du système, l’opération étant consignée dans un cahier, puis conservées pour la durée de la procédure. Fixer la durée sur la seule capacité du disque dur, laisser tourner un enregistreur de trois mois ou oublier d’effacer les fichiers caractérise une conservation excessive, que le code pénal réprime sévèrement : « Le fait de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d’autorisation ou d’avis » est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. Pour un commerce, la pratique raisonnable consiste à paramétrer un écrasement automatique à sept ou quinze jours, à documenter ce choix dans le registre et à n’extraire que les séquences liées à un incident déclaré, avec traçabilité de l’extraction.
Le troisième réglage porte sur l’accès aux images et la documentation. L’accès aux images doit rester restreint : seuls la direction, les responsables de la sécurité ou les agents de sécurité peuvent les visionner, à l’exclusion des autres employés et des clients. Un écran de contrôle visible des clients, un enregistreur dans un local ouvert ou un partage des codes entre tous les vendeurs contredisent cette exigence et aggravent tout contrôle. Le dispositif doit être inscrit au registre des activités de traitement avec sa finalité, sa base juridique, ses destinataires et sa durée, et le délégué à la protection des données doit être associé à sa mise en œuvre lorsqu’il existe. Lorsque les caméras conduisent à une surveillance systématique à grande échelle d’une zone accessible au public, la CNIL recommande de s’interroger sur une analyse d’impact, que le RGPD impose avant le traitement dès lors qu’il « est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques ». Enfin, si vos caméras captent aussi vos salariés, deux obligations du code du travail s’ajoutent : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance », et « Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés. » Informer chaque salarié par écrit et consulter le comité social et économique avant la mise en service évite que les images deviennent inexploitables dans un litige prud’homal.
II. Un client exige ses images ou dénonce vos caméras : comment répondre sans aggraver votre cas
A. Demande d’accès aux images : que communiquer, à qui, et dans quel délai ?
Le client filmé dans votre boutique dispose d’un droit d’accès à ses données personnelles, et les images où il apparaît en font partie. Le RGPD lui reconnaît « le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel », ainsi que les informations relatives au traitement, et ajoute que « Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. » En pratique, le client qui décrit un passage en caisse un jour et une heure précis demande une copie des séquences où il figure, et le commerçant doit lui répondre dans les délais du règlement : le responsable du traitement fournit les informations sur les mesures prises « dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande », délai prolongeable de deux mois pour les demandes complexes, à condition d’en informer la personne dans le premier mois. Le silence, la réponse évasive ou le renvoi pur et simple vers le fabricant du système caractérisent un refus, qui ouvre au client la plainte devant la CNIL et le recours devant le juge.
La réponse régulière suit une méthode en quatre temps. D’abord, vérifier l’identité du demandeur et la précision de sa demande : lorsque le responsable a des doutes raisonnables sur l’identité, il peut réclamer les informations supplémentaires nécessaires pour la confirmer, et une demande qui ne permet pas d’identifier les images, sans date ni créneau horaire, justifie une demande de précision écrite qui fait courir le dialogue. Ensuite, rechercher les images dans la durée de conservation en vigueur : si l’écrasement automatique a déjà effacé la période visée, il faut l’attester par écrit en indiquant la durée paramétrée et la date d’effacement, car prétendre faussement ne plus détenir des images conservées aggrave le manquement. Troisièmement, protéger les tiers qui apparaissent sur les mêmes séquences : les autres clients et les salariés filmés ne doivent pas être livrés au demandeur, de sorte que la copie suppose le floutage des visages tiers ou, à défaut de moyen technique, une communication limitée aux informations décrivant le traitement, avec explication écrite du refus partiel. Enfin, répondre par écrit avant l’expiration du mois, en joignant la copie ou en motivant le refus, total ou partiel, et en rappelant les voies de recours, puisque le responsable qui ne donne pas suite doit informer la personne des motifs de son inaction et de la possibilité de réclamation et de recours juridictionnel.
Le juge des référés ordonne la communication des images lorsque l’obligation n’est pas sérieusement contestable, et une ordonnance récente rendue dans un litige de vidéosurveillance d’un parking l’illustre : après une plainte pour des violences survenues dans le champ des caméras et une mise en demeure restée sans effet, le tribunal a rappelé qu’aux termes de l’article 15 du règlement européen, « le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement », a constaté l’intérêt légitime des demandeurs et l’absence de contestation sérieuse, puis a ordonné la communication des images du créneau litigieux (TJ Nice, réf., 21 mai 2026, RG 26/00241). Transposée à un commerce, cette solution signifie qu’un client victime d’une agression, d’un vol à la tire ou d’une chute dans vos allées obtient en référé les images du créneau qu’il désigne, dès lors qu’elles sont conservées et que vous ne justifiez d’aucun motif sérieux de refus. Conserver les images litigieuses dès la mise en demeure, sans les effacer ni les diffuser, puis les communiquer au juge ou à la personne selon ce que le juge ordonne, constitue alors le seul comportement sans risque. Pour approfondir la démarche générale du droit d’accès, son articulation avec la plainte à la CNIL et le recours au juge, notre analyse du droit d’accès quand l’organisme ne répond pas décrit les étapes que les clients suivent et les pièces que les professionnels doivent préparer.
À Paris et en Île-de-France, ce contentieux se traite devant le président du tribunal judiciaire du lieu du magasin statuant en référé, avec des demandes fréquentes après des faits survenus dans les centres commerciaux et les commerces de gare, où plusieurs exploitants et un prestataire de sécurité se renvoient la qualité de responsable du traitement. Identifier par écrit qui décide de l’installation et de la conservation des images, l’enseigne ou le prestataire, évite les renvois stériles : le client saisit celui qui détermine les finalités et les moyens, et le contrat de prestation doit désigner ce responsable et encadrer les consignes données au prestataire. Lorsque la demande émane d’un salarié filmé par les caméras du magasin, les mêmes règles s’appliquent, avec une vigilance accrue sur le floutage des clients et sur l’usage ultérieur des images dans une procédure disciplinaire, qui suppose un dispositif préalablement porté à sa connaissance.
B. Plainte CNIL, préfet, procureur : sanctions pénales, preuve écartée et réparation
Le client ou le salarié qui s’estime mal informé, filmé hors cadre ou privé de ses images dispose de plusieurs guichets, et chacun déclenche des conséquences différentes pour le commerçant. La CNIL peut être saisie par une plainte, et elle peut contrôler, selon la CNIL, tout dispositif installé sur le territoire national, qu’il filme des lieux fermés ou ouverts au public ; un contrôle sur place vérifie l’autorisation préfectorale, les panneaux, la durée paramétrée, les habilitations et le registre, puis débouche sur une mise en demeure et, à défaut de régularisation, sur une sanction. Les services de la préfecture peuvent être saisis lorsque les caméras filment les abords de l’établissement, et le préfet peut retirer l’autorisation ou ordonner la modification du système ; les services de police ou de gendarmerie, le procureur de la République et l’inspection du travail reçoivent les signalements relevant de leurs attributions. Recevoir une mise en demeure de la CNIL ou un courrier de la préfecture impose donc une réponse rapide et documentée : produire l’autorisation, photographier les panneaux, extraire le paramétrage de durée, lister les personnes habilitées et présenter le registre, puis corriger les écarts constatés dans le délai imparti. Contester sans régulariser, ou régulariser sans le prouver, prolonge la procédure au lieu de l’éteindre.
Le risque pénal ne doit pas être sous-estimé, car la vidéosurveillance d’un commerce touche à l’image des personnes. Le code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait de fixer ou d’enregistrer sans son consentement « l’image d’une personne se trouvant dans un lieu privé », ce qui vise en magasin les cabines d’essayage, les toilettes et les locaux réservés au personnel plutôt que la surface de vente, mais fonde les poursuites lors des installations les plus intrusives. La conservation au-delà de la durée autorisée expose aux cinq ans d’emprisonnement et 300 000 euros d’amende de la conservation excessive, et le détournement de la finalité du dispositif comme l’absence d’information des personnes relèvent d’incriminations distinctes que le parquet peut retenir à côté des manquements administratifs. Ces peines visent les personnes physiques responsables, dirigeants ou exploitants, et s’ajoutent aux sanctions administratives prononcées contre l’organisme, de sorte qu’un dispositif bricolé sans autorisation, conservant six mois d’images accessibles à tout le personnel, cumule les fondements de poursuite au lieu d’en neutraliser un seul.
Sur le terrain probatoire, des images issues d’un dispositif irrégulier fragilisent le commerçant qui voulait s’en servir, qu’il s’agisse de prouver un vol à la caisse devant les prud’hommes ou une agression devant le juge pénal. Dans un litige opposant une pharmacie à sa caissière licenciée pour faute grave après recoupement des vidéos de caisse et des journaux informatiques, la Cour de cassation a jugé que l’illicéité d’une preuve ne conduit pas nécessairement à l’écarter, et que le juge doit apprécier si elle porte atteinte au caractère équitable de la procédure « en mettant en balance le droit à la preuve et les droits antinomiques en présence », la production d’éléments attentatoires à d’autres droits n’étant justifiée que si elle est indispensable et strictement proportionnée au but poursuivi (Soc., 14 février 2024, n° 22-23.073). La Cour impose au juge un contrôle en trois temps : « s’interroger sur la légitimité du contrôle opéré par l’employeur et vérifier s’il existait des raisons concrètes qui justifiaient le recours à la surveillance et l’ampleur de celle-ci », rechercher si un moyen plus respectueux de la vie personnelle permettait le même résultat, puis apprécier la proportion de l’atteinte au regard du but. En l’espèce, des écarts de stocks confirmés, des recherches infructueuses préalables, un visionnage limité dans le temps par la seule dirigeante et dix-neuf anomalies graves en moins de deux semaines ont rendu les images recevables pour protéger les biens de l’entreprise. Pour un commerce, l’enseignement est direct : des images extraites d’un système déclaré, après des vols constatés et des vérifications préalables, avec un visionnage restreint et tracé, résistent à la contestation, tandis que des images pêchées dans un enregistrement permanent, visionnées par toute l’équipe sans motif précis, sont écartées et retournent contre l’employeur.
Enfin, la personne filmée en violation du règlement peut demander réparation devant le juge, puisque « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Le commerçant dont les caméras filment sans autorisation, sans panneau ou au-delà d’un mois s’expose ainsi à des dommages et intérêts en plus de la mise en conformité, et le responsable ne s’exonère qu’en prouvant que le fait dommageable ne lui est nullement imputable. Pour limiter ce risque indemnitaire, la plainte d’un client doit être traitée comme un incident : accuser réception, vérifier le dispositif sur les points dénoncés, corriger sans délai, répondre sur la demande d’accès dans le mois et conserver la trace écrite de chaque mesure. À l’inverse, le client confronté à un refus persistant dispose d’une gradation efficace : mise en demeure avec date et créneau précis, réclamation auprès de l’autorité de contrôle, signalement à la préfecture si les caméras donnent sur la voie publique, puis référé pour obtenir les images et action en réparation. Chacune de ces étapes suppose des pièces datées, et le dossier le mieux constitué l’emporte le plus souvent avant tout procès.
Conclusion : l’audit que votre boutique doit passer avant le prochain incident
Un dispositif de caméras régulier dans un commerce repose sur cinq pièces que tout contrôle réclame : l’autorisation du préfet, à Paris le préfet de police, couvrant exactement les zones filmées sans déborder sur la voie publique ; des panneaux visibles et complets à chaque entrée de zone filmée ; une durée de conservation paramétrée à quelques jours ou semaines, sans jamais dépasser le mois fixé par l’autorisation ; un accès aux images réservé à des personnes désignées, avec un enregistreur protégé ; et un registre des traitements à jour, avec l’information des salariés et la consultation du comité social et économique lorsque le personnel est capté. Face à une demande d’accès, la méthode tient en quatre réflexes : vérifier l’identité et préciser le créneau, rechercher dans la durée paramétrée, flouter les tiers, puis répondre par écrit dans le mois. Face à une mise en demeure de la CNIL ou un courrier de la préfecture, la réponse utile produit les pièces, corrige les écarts et prouve la correction dans le délai imparti. Les décisions récentes montrent que les juges valident les dispositifs déclarés, proportionnés et tracés, y compris pour établir un vol à la caisse, et sanctionnent les installations improvisées, les conservations excessives et les refus d’accès. Vérifier ces cinq pièces avant l’incident coûte une journée de travail ; les reconstituer après un contrôle ou une plainte coûte une procédure.
Besoin d’un avis rapide sur votre dossier
Vous installez des caméras dans votre boutique, un client exige ses images ou la CNIL et la préfecture questionnent votre dispositif de vidéosurveillance : faites examiner votre dossier en numérique et données personnelles par Maître Reda KOHEN, avocat au Barreau de Paris. Consultation téléphonique en 48 heures avec un avocat du cabinet, au 06 46 60 58 22. Écrivez au cabinet via la page https://kohenavocats.fr/formulaire-de-contact/ pour une analyse de votre autorisation, de vos panneaux, de votre durée de conservation et de la réponse à apporter à la demande d’accès ou à la mise en demeure.