« Faut-il faire une déclaration CNIL ? » La question revient dès qu’une entreprise ouvre un site marchand, installe des caméras dans un magasin, constitue un fichier de prospects, rachète une clientèle ou désigne un délégué à la protection des données. Elle repose souvent sur un souvenir exact : pendant des années, la plupart des fichiers informatisés devaient être déclarés à la Commission nationale de l’informatique et des libertés, et certaines mentions légales affichaient un numéro de déclaration.
Ce régime a changé. Le règlement général sur la protection des données, ou RGPD, est applicable depuis le 25 mai 2018, comme le prévoit son article 99. Selon la page de la CNIL consacrée aux déclarations, seules certaines formalités du secteur de la santé et certaines demandes d’avis nécessitent encore une déclaration ou une demande d’autorisation. Pour le reste, l’organisme ne déclare plus rien : il doit pouvoir démontrer, à tout moment, que ses traitements respectent les règles.
La disparition de la déclaration générale ne signifie pas pour autant que tout se fait sans démarche. Des formalités subsistent auprès de la CNIL, d’autres relèvent du préfet ou du comité social et économique, et le code pénal punit toujours le non-respect des formalités préalables prévues par la loi. Les juges examinent en outre encore des litiges nés avant 2018 au regard de l’ancienne obligation de déclarer.
Cet article distingue ce qui a disparu et ce qui l’a remplacé (I), puis les démarches qui restent obligatoires et les conséquences d’un oubli devant le juge (II). Il s’adresse aux dirigeants, associations, professionnels de santé, employeurs et particuliers qui se demandent s’ils doivent encore « déclarer à la CNIL ».
I. La déclaration CNIL a disparu pour la plupart des fichiers : qu’est-ce qui l’a remplacée ?
A. Fichier clients, site internet, logiciel de gestion : plus de déclaration ni de numéro à afficher
Avant le RGPD, la règle était simple dans son principe. La cour d’appel de Lyon l’a rappelée dans un arrêt du 26 février 2025 rendu sur des faits antérieurs à la réforme : selon l’ancien article 22 de la loi du 6 janvier 1978, appliqué « dans sa rédaction antérieure à la loi n°2018-493 du 20 juin 2018 relative à la protection des données personnelles, applicable au litige », les traitements automatisés de données personnelles faisaient l’objet d’une déclaration auprès de la CNIL, sauf inscription sur la liste tenue par un correspondant désigné (CA Lyon, 26 février 2025, n° 21/04941). Cette formalité concernait le fichier clients d’un commerçant, le logiciel de paie, l’outil de messagerie surveillé ou la géolocalisation d’une flotte de véhicules.
Depuis l’entrée en application du RGPD, cette déclaration générale n’existe plus. La CNIL le dit en une phrase sur son espace de démarches : hors certaines formalités de santé et certaines demandes d’avis, aucune déclaration ni demande d’autorisation n’est attendue (page « Déclarer un fichier » de la CNIL). Concrètement, une PME qui ouvre un fichier de clients, une association qui gère ses adhérents, un cabinet qui installe un logiciel de gestion de la relation client ou un artisan qui crée un site vitrine n’ont aucun formulaire de déclaration à remplir auprès de la CNIL.
La même logique vaut pour le fameux numéro de déclaration que l’on trouve encore sur de vieux sites. Il ne correspond plus à aucune démarche d’actualité pour un site marchand ou un site vitrine. Un ancien récépissé obtenu avant 2018 ne prouve pas davantage la conformité actuelle du traitement : le registre, l’information des personnes, la sécurité et la durée de conservation s’apprécient au regard des textes en vigueur aujourd’hui, et non au regard d’une formalité accomplie sous l’ancien régime. Lorsqu’un délégué à la protection des données est désigné, la CNIL attribue en revanche un numéro de désignation, présenté sous la forme « DPO-xxx » sur sa page consacrée à la désignation : il identifie la désignation du délégué, et non un fichier déclaré.
Pour un site internet, l’absence de déclaration ne dispense pas des règles de fond. L’usage de cookies et autres traceurs reste encadré par l’article 82 de la loi du 6 janvier 1978 : l’utilisateur doit être informé de la finalité de l’accès à son terminal et des moyens de s’y opposer, et ces accès « ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement ». Le même article écarte cette exigence lorsque l’opération a pour finalité exclusive de permettre la communication électronique ou lorsqu’elle est strictement nécessaire au service demandé par l’utilisateur. Le bandeau de consentement remplace en quelque sorte, pour ce sujet précis, la démarche que beaucoup cherchent encore à accomplir auprès de la CNIL : la preuve se trouve dans le fonctionnement du site, pas dans un formulaire envoyé à l’autorité.
Le particulier qui installe une caméra chez lui se pose souvent la même question. La CNIL indique, sur sa page consacrée à la vidéosurveillance chez soi, que ces dispositifs échappent aux règles de protection des données seulement s’ils restent limités à la sphère strictement privée. Le particulier ne peut filmer que l’intérieur de sa propriété, et non la voie publique, même pour surveiller sa voiture garée devant chez lui. Lorsqu’une personne extérieure au cercle familial intervient au domicile, comme une aide à domicile ou une garde d’enfant, elle doit être informée de l’existence des caméras et de leur but ; un salarié employé au domicile ne doit pas être filmé en permanence pendant son travail. Aucune déclaration n’est à adresser à la CNIL, mais ces conditions de fond s’imposent.
Les questions pratiques que soulève la protection de ses propres données, en tant que client ou internaute, sont traitées dans le guide du cabinet consacré à la protection des données personnelles sur internet. Le présent article se place du côté de celui qui collecte et utilise les données.
B. Ce qui remplace la déclaration : registre, analyse d’impact et preuve de conformité
Le RGPD a remplacé une formalité tournée vers l’autorité par une documentation tenue en interne. Le premier outil est le registre des activités de traitement. Selon l’article 30 du RGPD, le responsable du traitement y décrit notamment ses coordonnées et celles du délégué éventuel, les finalités du traitement, les catégories de personnes et de données concernées, les destinataires, les transferts hors de l’Union, et, dans la mesure du possible, les délais prévus pour l’effacement des données ainsi qu’une description générale des mesures de sécurité. Le sous-traitant tient son propre registre des catégories de traitements effectués pour le compte de ses clients.
Ce registre n’est pas envoyé à la CNIL. Il est mis à la disposition de l’autorité de contrôle sur demande, selon le paragraphe 4 de l’article 30 du RGPD. Le contraste avec l’ancien système est net : autrefois, l’organisme se manifestait spontanément auprès de l’autorité au moment de créer un fichier ; désormais, il doit être prêt à présenter sa documentation lors d’un contrôle ou d’une plainte. Un registre rédigé dans l’urgence, après réception d’une demande de la CNIL, laisse rarement une bonne impression.
Le paragraphe 5 de l’article 30 du RGPD prévoit une dispense pour les entreprises et organisations de moins de 250 employés. Elle est toutefois étroite : elle ne joue pas si le traitement est susceptible de comporter un risque pour les droits et libertés des personnes, s’il n’est pas occasionnel, ou s’il porte sur des données sensibles au sens de l’article 9 ou sur des données relatives aux condamnations pénales et aux infractions. Un fichier clients alimenté au fil des ventes ou une paie établie chaque mois ne présentent pas, au sens ordinaire des mots, un caractère occasionnel. Une petite structure a donc intérêt à vérifier ce point traitement par traitement plutôt qu’à se croire dispensée en bloc.
Le second outil est l’analyse d’impact relative à la protection des données, souvent appelée AIPD. Selon l’article 35 du RGPD, le responsable du traitement la réalise avant le traitement lorsque celui-ci est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, en particulier lorsqu’il recourt à de nouvelles technologies. Le texte cite notamment l’évaluation systématique et approfondie d’aspects personnels fondée sur un traitement automatisé, le traitement à grande échelle de données sensibles ou pénales, et la surveillance systématique à grande échelle d’une zone accessible au public. L’autorité publie une liste des traitements pour lesquels l’analyse est requise. La CNIL recommande d’ailleurs, sur sa page consacrée à la vidéosurveillance dans les commerces, de s’interroger sur la nécessité d’une analyse d’impact lorsqu’un dispositif de caméras peut conduire à une telle surveillance.
Le cabinet a détaillé ailleurs ce que la CNIL vérifie concrètement lors d’un contrôle portant sur le registre RGPD et l’analyse d’impact, ainsi que les suites possibles d’une mise en demeure.
Ces obligations ne sont pas de pure forme. L’article 83, paragraphe 4, du RGPD prévoit que la violation des obligations des articles 25 à 39, parmi lesquelles figurent le registre, la notification des violations, l’analyse d’impact et la désignation du délégué, peut faire l’objet d’amendes administratives pouvant atteindre 10 000 000 euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu. Il s’agit d’un plafond : le montant effectivement prononcé dépend des circonstances examinées par l’autorité.
Côté indemnisation, une personne qui reproche à un organisme de ne pas respecter le RGPD doit aller plus loin que le constat d’un manquement. Dans un arrêt du 24 juin 2026, publié au Bulletin, la chambre sociale de la Cour de cassation a cassé une décision qui avait considéré qu’un manquement au règlement avait nécessairement causé un préjudice à un salarié. Elle juge que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation » et qu’il appartient au juge de rechercher si le demandeur établit un dommage matériel ou moral causé par cette violation (Cass. soc., 24 juin 2026, n° 24-22.792). Pour l’organisme, le risque principal d’une documentation lacunaire se situe donc souvent ailleurs : dans une sanction administrative, dans la fragilité de ses preuves devant le juge, ou dans la valeur d’un fichier lors d’une cession.
Pour un accompagnement sur la constitution du registre, la cartographie des traitements ou la préparation d’un contrôle, la page du cabinet consacrée au conseil en conformité RGPD à Paris présente le périmètre de l’intervention.
II. Quelles démarches restent obligatoires, et que risque-t-on en cas d’oubli ?
A. Les formalités qui subsistent : santé, délégué, violation de données, consultation préalable et traitements publics
Le secteur de la santé est le principal domaine où le mot « déclaration » a gardé un sens. L’article 65 de la loi du 6 janvier 1978 soumet les traitements de données de santé à des règles particulières, tout en excluant plusieurs catégories. Sont notamment exclus les traitements relevant du 1° de l’article 44 de la même loi, c’est-à-dire ceux nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de la gestion de services de santé, mis en œuvre par un membre d’une profession de santé ou par une personne soumise au secret professionnel. Le dossier de soins tenu par un médecin pour suivre ses patients relève en principe de cette catégorie et n’appelle donc pas la formalité décrite ci-dessous ; les autres obligations du RGPD restent applicables.
Pour les autres traitements de données de santé soumis à cette section, comme certaines études, recherches ou évaluations, l’article 66 de la loi du 6 janvier 1978, dans sa rédaction en vigueur depuis le 28 mai 2026, organise deux voies. Lorsque le traitement est conforme à un référentiel adopté par la CNIL, « avant la mise en œuvre d’un traitement, son responsable adresse à la Commission nationale de l’informatique et des libertés une déclaration attestant de cette conformité ». Une seule déclaration suffit lorsqu’un responsable met en œuvre plusieurs traitements relevant du même référentiel. Lorsque le traitement n’est pas conforme à un référentiel, il ne peut être mis en œuvre qu’après autorisation de la CNIL, présentée dans les formes prévues par la loi.
Le même article 66 fixe le délai de réponse : la CNIL se prononce dans un délai de deux mois à compter de la réception de la demande, prolongeable une fois pour la même durée sur décision motivée de son président ou lorsque le comité éthique et scientifique compétent est saisi. À défaut de réponse dans ces délais, la demande d’autorisation est réputée acceptée, sauf lorsque l’autorisation fait l’objet d’un avis préalable et que l’avis rendu n’est pas expressément favorable, selon le même article. La CNIL précise sur sa page de démarches que la déclaration de conformité vise les traitements conformes à un référentiel, à une méthodologie de référence ou à un acte réglementaire unique, et que, pour une recherche n’impliquant pas la personne humaine, le formulaire est adressé à la Plateforme des données de santé.
Deuxième démarche fréquente : la désignation du délégué à la protection des données. L’article 37 du RGPD impose cette désignation aux autorités et organismes publics, ainsi qu’aux organismes dont les activités de base consistent en un suivi régulier et systématique à grande échelle des personnes, ou en un traitement à grande échelle de données sensibles ou pénales. Le paragraphe 7 du même article oblige le responsable ou le sous-traitant à publier les coordonnées du délégué et à les communiquer à l’autorité de contrôle. Selon la page de la CNIL, la désignation, le remplacement ou la fin de mission du délégué se déclarent exclusivement par son téléservice. C’est la démarche que de nombreuses recherches « déclaration DPO CNIL » visent en réalité.
Troisième démarche : la notification d’une violation de données. Selon l’article 33 du RGPD, le responsable du traitement notifie la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes ; au-delà de 72 heures, la notification est accompagnée des motifs du retard, selon ce même article. Le sous-traitant, lui, prévient son client dans les meilleurs délais après avoir pris connaissance de la violation, en application du paragraphe 2 du même article 33. La notification décrit notamment la nature de la violation, ses conséquences probables et les mesures prises. Le cabinet a consacré une analyse distincte aux cas où une violation peut ne pas être notifiée, à condition d’être documentée en interne.
Quatrième démarche, plus rare : la consultation préalable. L’article 36 du RGPD impose de consulter l’autorité avant le traitement lorsque l’analyse d’impact indique un risque élevé que le responsable ne parvient pas à atténuer. Lorsque l’autorité estime que le traitement envisagé violerait le règlement, elle rend un avis écrit dans un délai maximum de huit semaines à compter de la réception de la demande, prolongeable de six semaines selon la complexité du traitement, d’après le même article 36. Cette consultation n’est pas une autorisation à solliciter pour chaque projet : elle ne concerne que le risque élevé résiduel.
Cinquième série : les traitements publics et les identifiants sensibles. L’article 31 de la loi du 6 janvier 1978 soumet certains traitements mis en œuvre pour le compte de l’État, notamment ceux qui intéressent la sûreté de l’État, la défense, la sécurité publique ou la poursuite des infractions pénales, à un arrêté ou à un décret pris après avis motivé et publié de la CNIL. L’article 32 prévoit un décret en Conseil d’État pour les traitements de l’État portant sur des données génétiques ou biométriques nécessaires à l’authentification ou au contrôle de l’identité. Le numéro d’inscription au répertoire national d’identification des personnes physiques, que chacun connaît comme numéro de sécurité sociale, obéit lui aussi à un régime propre : l’article 30 de la loi renvoie à un décret en Conseil d’État la détermination des catégories de responsables et des finalités pour lesquelles un traitement comportant ce numéro peut être mis en œuvre. Le code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le traitement de ce numéro hors les cas où il a été autorisé dans les conditions prévues par la loi (article 226-16-1 du code pénal).
Reste la question pénale générale. L’article 226-16 du code pénal, dans sa version en vigueur depuis le 17 février 2024, punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait, y compris par négligence, de procéder à des traitements de données « sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi ». Le même texte punit des mêmes peines le fait de procéder à un traitement qui a fait l’objet de l’une des mesures prévues au 3° du IV de l’article 20 de la loi du 6 janvier 1978. Depuis la disparition de la déclaration générale, les formalités préalables qui subsistent dans la loi sont notamment la déclaration de conformité et l’autorisation prévues en matière de santé par l’article 66 cité plus haut. Les décisions consultées pour cet article ne tranchent pas la question de savoir si d’autres obligations du RGPD, comme la tenue du registre, peuvent être rattachées à ce délit : la prudence commande de ne pas présumer la réponse et de traiter chaque formalité qui subsiste comme une condition préalable du traitement.
B. Caméras, salariés, vente d’un fichier : ce que les juges examinent aujourd’hui
Les recherches « déclaration CNIL vidéosurveillance » sont parmi les plus nombreuses, et pour cause : la caméra qui filme un lieu ouvert au public reste soumise à une autorisation administrative, mais celle-ci ne relève pas de la CNIL. Selon l’article L. 251-2 du code de la sécurité intérieure, des systèmes de vidéoprotection peuvent être mis en œuvre dans des lieux et établissements ouverts au public particulièrement exposés à des risques d’agression ou de vol ; des commerçants peuvent aussi, après information du maire et autorisation des autorités publiques compétentes, protéger les abords immédiats de leurs bâtiments sur la voie publique dans des lieux particulièrement exposés. L’article L. 252-1 du même code précise que l’installation est « subordonnée à une autorisation du représentant de l’Etat dans le département et, à Paris, du préfet de police », donnée après avis de la commission départementale de vidéoprotection.
En pratique, la CNIL distingue deux zones dans un commerce, sur sa page consacrée à la vidéosurveillance dans les commerces. Les caméras qui filment des lieux non ouverts au public, comme une réserve ou un espace réservé au personnel, ne demandent aucune formalité auprès de la CNIL, mais le dispositif doit figurer au registre. Les caméras qui filment des lieux ouverts au public, comme l’entrée, les rayons ou les caisses, doivent être autorisées par le préfet du département, et par le préfet de police à Paris ; la CNIL signale une téléprocédure du ministère de l’Intérieur. Pour un commerce situé à Paris, la demande relève donc de la préfecture de police ; dans les autres départements d’Île-de-France, comme ailleurs, elle relève du préfet du département. Les clients doivent être informés par des panneaux visibles indiquant notamment la durée de conservation des images et le droit d’introduire une réclamation auprès de la CNIL.
Le régime de l’autorisation préfectorale encadre aussi la conservation et le visionnage. Hors enquête de flagrance, enquête préliminaire ou information judiciaire, les enregistrements sont détruits dans le délai fixé par l’autorisation, et « ce délai ne peut excéder un mois » (article L. 252-5 du code de la sécurité intérieure). Pour les caméras de commerçants filmant les abords sur la voie publique, le visionnage des images ne peut être assuré que par des agents individuellement désignés et habilités des services de police et de gendarmerie nationales et des services de police municipale, ainsi que par les autres agents habilités auxquels renvoie l’article L. 252-2. Le 17 septembre 2025, la chambre sociale de la Cour de cassation a cassé un arrêt qui avait refusé d’écarter des images issues d’un système de vidéoprotection produites contre un salarié, faute pour la cour d’appel d’avoir vérifié si ce système avait été installé « sur la voie publique puis exploité dans le respect des dispositions du code de la sécurité intérieure » (Cass. soc., 17 septembre 2025, n° 24-13.972).
Lorsque les caméras ou d’autres outils peuvent contrôler l’activité des salariés, deux règles du code du travail prennent le relais de l’ancienne déclaration. D’une part, selon l’article L. 1222-4 du code du travail, « aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance ». D’autre part, l’article L. 2312-38 prévoit que le comité social et économique est « informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés ». Il est aussi informé, avant leur introduction, sur les traitements automatisés de gestion du personnel. Les questions propres aux salariés filmés sur leur lieu de travail sont développées dans l’article du cabinet sur la contestation des caméras au travail.
Ces règles pèsent directement sur la preuve. Dans une affaire jugée le 10 novembre 2021, une caméra installée pour la sécurité d’une pharmacie avait servi à contrôler une salariée ; la Cour de cassation a jugé que l’employeur « aurait dû informer les salariés et consulter le comité d’entreprise sur l’utilisation de ce dispositif à cette fin », ce qui rendait la preuve illicite (Cass. soc., 10 novembre 2021, n° 20-12.263). Le 8 mars 2023, elle a approuvé une cour d’appel qui avait relevé l’absence d’information de la salariée et l’absence de l’autorisation préfectorale alors exigée, et qui avait écarté les enregistrements (Cass. soc., 8 mars 2023, n° 21-17.802). Dans cet arrêt, la Cour décrit la méthode : en présence d’une preuve illicite, « le juge doit d’abord s’interroger sur la légitimité du contrôle opéré par l’employeur », puis rechercher si un moyen plus respectueux de la vie personnelle permettait le même résultat, et enfin apprécier la proportionnalité de l’atteinte. En l’espèce, les images n’étaient pas indispensables, l’employeur invoquant un audit qu’il n’avait pas produit.
L’ancienne obligation de déclaration n’a pas pour autant disparu des prétoires, car les litiges anciens restent jugés selon les textes de l’époque. En 2014, la Cour de cassation jugeait que « constituent un moyen de preuve illicite les informations collectées par un système de traitement automatisé de données personnelles avant sa déclaration à la CNIL », et en tirait le rejet des débats des éléments obtenus par le contrôle d’une messagerie déclaré tardivement (Cass. soc., 8 octobre 2014, n° 13-14.991). En 2020, elle a assoupli cette conséquence pour la loi applicable avant le RGPD : l’illicéité « n’entraîne pas nécessairement son rejet des débats, le juge devant apprécier si l’utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble », par une mise en balance du droit à la preuve et du respect de la vie personnelle (Cass. soc., 25 novembre 2020, n° 17-19.523). La cour d’appel de Lyon a appliqué cette méthode le 26 février 2025 à une géolocalisation de 2013 : après avoir relevé qu’il n’était justifié d’aucune déclaration à la CNIL ni d’aucune information des salariés, elle a procédé à la mise en balance et jugé la preuve recevable, l’employeur ne pouvant connaître autrement l’itinéraire suivi et l’atteinte à la vie personnelle n’étant pas disproportionnée (CA Lyon, 26 février 2025, n° 21/04941). Pour un dispositif mis en place après le 25 mai 2018, les décisions récentes consultées ne se fondent plus sur une absence de déclaration, mais sur l’information des salariés, la consultation des représentants du personnel ou l’autorisation préfectorale.
Dernier terrain, souvent oublié : la cession d’un fichier de clients. Le 25 juin 2013, la chambre commerciale de la Cour de cassation a jugé, sous l’empire de l’ancien article 22 de la loi de 1978, que la vente d’un fichier informatisé de clients qui aurait dû être déclaré portait sur un objet illicite : la vente « d’un tel fichier qui, n’ayant pas été déclaré, n’était pas dans le commerce, avait un objet illicite », et elle a cassé l’arrêt qui avait rejeté la demande en nullité de l’acquéreur (Cass. com., 25 juin 2013, n° 12-17.037). Ce raisonnement reposait sur une obligation de déclaration qui n’existe plus pour un fichier commercial ordinaire. Les décisions consultées pour cet article ne disent pas si, depuis le RGPD, la cession d’un fichier constitué en méconnaissance du règlement encourt la même nullité. Dans le doute, l’acquéreur d’un fonds ou d’une clientèle a intérêt à obtenir, avant de signer, l’extrait du registre relatif au fichier, la description de l’origine des données, l’information délivrée aux personnes et la justification des conditions de prospection, et à prévoir dans l’acte des garanties sur ces points. Le vendeur, de son côté, valorise mieux un fichier dont il peut documenter la constitution.
Conclusion
La déclaration CNIL, au sens où on l’entendait avant 2018, a disparu pour l’immense majorité des fichiers : un fichier clients, un site marchand, un logiciel de paie ou de gestion ne se déclarent plus. Ce qui l’a remplacée est moins visible mais plus exigeant : un registre tenu à jour, une analyse d’impact pour les traitements à risque élevé, une information claire des personnes et, pour les sites, un consentement valable aux traceurs. L’autorité ne reçoit plus de formulaire ; elle demande des preuves lorsqu’elle contrôle.
Quelques démarches subsistent et méritent d’être identifiées sans attendre : la déclaration de conformité ou l’autorisation pour certains traitements de données de santé, la désignation du délégué par le téléservice de la CNIL, la notification d’une violation de données, la consultation préalable en cas de risque élevé résiduel, les actes réglementaires propres à l’État et le régime du numéro de sécurité sociale. Pour les caméras qui filment un lieu ouvert au public, l’autorisation vient du préfet, et du préfet de police à Paris ; pour les dispositifs qui permettent de contrôler les salariés, l’information préalable et la consultation du comité social et économique conditionnent la valeur des preuves.
Avant de lancer un projet, la bonne question n’est donc plus de savoir s’il faut déclarer à la CNIL, mais de déterminer quelles formalités particulières le traitement déclenche et si l’organisme est capable de documenter sa conformité. La réponse dépend du secteur, des données traitées, des personnes concernées et du lieu filmé ; elle se vérifie traitement par traitement, en tenant compte de la version des textes en vigueur à la date du projet.