Mise en conformité RGPD de vos caméras : la checklist avant un contrôle CNIL

Ce qui déclenche un contrôle CNIL et ce que les agents vérifient en priorité

Première idée reçue à évacuer : la CNIL ne débarque pas au hasard. Chaque année, l'autorité annonce des thématiques prioritaires de contrôle, et pour 2026 elle a retenu le recrutement, le répertoire électoral unique et les fédérations sportives, auxquels s'ajoute un effort massif sur la cybersécurité. La vidéosurveillance n'y figure pas. Ce qui, contrairement à ce que beaucoup de dirigeants en déduisent, ne protège absolument personne : ces thématiques ne représentent qu'environ 20 % des contrôles annuels. Les 80 % restants découlent de plaintes, de signalements, de violations de données notifiées ou d'un suivi de mesures correctrices antérieures.

Et en matière de caméras, la plainte est reine. Elle vient d'un salarié, d'un ancien salarié, d'un représentant du personnel, parfois d'un client. Elle ne coûte rien à déposer, se fait en ligne en dix minutes, et déclenche une instruction que l'entreprise ne maîtrise pas.

Le contrôle peut ensuite prendre quatre formes distinctes, et il est utile de les connaître pour ne pas se tromper de préparation :

• Le contrôle sur pièces : la CNIL adresse un courrier accompagné d'un questionnaire et d'une liste de documents à fournir, avec un délai de réponse. C'est de loin la modalité la plus fréquente pour les PME.
• Le contrôle sur place : une délégation se présente dans vos locaux, muni de la décision de la présidente de la CNIL et d'un ordre de mission nominatif. Elle constate, photographie, consulte les postes de supervision.
• Le contrôle sur audition : un représentant de l'entreprise est convoqué dans les locaux de la CNIL, la convocation étant reçue au moins huit jours à l'avance.
• Le contrôle en ligne : vérification depuis l'extérieur de tout ce qui est accessible publiquement, y compris, dans notre domaine, les flux vidéo mal protégés exposés sur Internet.

Lors d'un contrôle sur place, le responsable des lieux dispose d'un droit d'opposition à la visite, sauf lorsque celle-ci a été autorisée par ordonnance du juge des libertés et de la détention. Exercer ce droit donne lieu à un procès-verbal d'opposition, et la délégation reviendra avec l'ordonnance. Dans la pratique, s'opposer sans motif solide envoie un très mauvais signal. À l'issue de la mission, un procès-verbal contradictoire est dressé : vous pouvez y porter vos observations, sur place ou postérieurement, et il vous en est remis copie.

Les sept points systématiquement vérifiés sur un dispositif vidéo

Quel que soit le format du contrôle, l'instruction en matière de vidéosurveillance suit toujours la même trame. Voici ce que la CNIL demande, dans cet ordre :

1. Le champ de vision réel de chaque caméra, comparé à la finalité déclarée du dispositif.
2. L'existence d'une surveillance permanente de postes de travail ou de zones interdites (vestiaires, sanitaires, locaux syndicaux, espaces de pause).
3. La durée de conservation effective des enregistrements, mesurée sur l'équipement et non déclarée sur le papier.
4. L'information des personnes : panneaux en place, contenu conforme, information individuelle des salariés.
5. La consultation du CSE et sa traçabilité.
6. La fiche du traitement au registre et, le cas échéant, l'analyse d'impact.
7. Les mesures de sécurité : gestion des comptes, habilitations, journalisation des consultations et des exports.

Ce dernier point est celui qui monte le plus vite. La CNIL a fait de la sécurité des traitements son axe majeur pour 2026, et l'article 32 du RGPD s'applique intégralement à un système vidéo : un accès aux images de salariés mal protégé est un manquement autonome, indépendamment de la question de la proportionnalité du dispositif.

Checklist technique : vos caméras filment-elles ce qu'elles ont le droit de filmer ?

C'est le premier bloc de vérification, et celui qui produit le plus de mauvaises surprises. La méthode que nous appliquons est volontairement rustique : on ouvre le flux live de chaque caméra, une par une, on fait une capture d'écran, et on répond à six questions. Comptez une demi-journée pour un parc de vingt caméras. Ce document de capture, daté, constitue par ailleurs une excellente pièce de preuve de votre démarche.

Question 1 : la caméra couvre-t-elle un poste de travail identifiable ? Une caméra orientée sur une zone de préparation où trois opérateurs passent huit heures par jour filme des salariés en permanence, quelle que soit l'intention initiale. C'est précisément le manquement au principe de minimisation, prévu à l'article 5.1.c du RGPD, qui a valu des sanctions à plusieurs entreprises de restauration rapide, de transport urbain et de commerces en gare depuis le début de l'année 2026.

Question 2 : le masquage est-il appliqué au bon endroit ? C'est l'erreur technique la plus fréquente, et elle est invisible pour un non-spécialiste. Un masque de confidentialité configuré au niveau de la caméra, dans la section Privacy Mask du firmware Hikvision ou Privacy Masking chez Dahua, est incrusté avant encodage : les pixels concernés ne sont jamais enregistrés, ni sur la carte SD, ni sur le NVR, ni dans un export. Un masque appliqué au niveau du logiciel de supervision n'agit que sur l'affichage : le flux d'origine reste intact et ressort en clair lors d'un export. Nous avons vu des installations où la direction était persuadée d'avoir masqué une zone de pause, alors que chaque enregistrement archivé la contenait intégralement.

Question 3 : le micro est-il actif ? Beaucoup de caméras IP récentes intègrent un microphone, et certains firmwares activent la piste audio par défaut dans le profil d'enregistrement principal. La captation sonore continue sur un lieu de travail est presque toujours disproportionnée. La vérification ne consiste pas à couper le son dans le client de visualisation, mais à désactiver le codec audio dans la configuration du flux, puis à contrôler qu'un enregistrement réexporté ne comporte effectivement plus de piste sonore.

Question 4 : la résolution est-elle proportionnée à la finalité ? C'est un raisonnement que peu d'installateurs tiennent, et il est pourtant directement issu de la norme EN 62676-4, qui définit les niveaux de performance d'un système en pixels par mètre : environ 25 px/m pour la simple détection d'une présence, 62,5 px/m pour l'observation, 125 px/m pour la reconnaissance d'une personne connue et 250 px/m pour l'identification d'un inconnu. Surveiller un rack de stockage relève de la détection. Y déployer une caméra délivrant 200 px/m sur la zone où circulent les caristes revient à collecter une donnée d'identification dont vous n'avez aucun besoin, et à affaiblir votre position en cas de contrôle.

Question 5 : les caméras motorisées sont-elles bridées ? Une PTZ correctement paramétrée le jour de la pose peut être réorientée par n'importe quel opérateur disposant du droit de pilotage. La conformité d'une caméra mobile ne se constate pas, elle se configure : limites de rotation et d'inclinaison, zones interdites définies dans le firmware, masques dynamiques suivant le mouvement, retour automatique sur un preset après quelques minutes d'inactivité.

Question 6 : la voie publique apparaît-elle dans le champ ? Filmer la rue depuis un bâtiment privé reste interdit, hors dérogation strictement encadrée pour les abords immédiats. Une caméra de parking dont le grand-angle mord sur le trottoir ou sur la façade d'en face doit être réorientée ou masquée.

Le cas d'un club de fitness à Vélizy-Villacoublay

L'an dernier, le gérant d'un club de remise en forme de 1 100 m² à Vélizy-Villacoublay, dans les Yvelines, nous a contactés après avoir reçu un courrier de la CNIL faisant suite à la plainte d'un adhérent. Le dispositif comptait onze caméras posées cinq ans plus tôt par un prestataire qui avait depuis cessé son activité. Personne dans l'entreprise ne disposait des accès administrateur.

L'audit a mis en évidence trois problèmes distincts. Une caméra dôme placée dans le couloir des vestiaires cadrait la porte, mais son champ englobait une bande de deux mètres à l'intérieur du vestiaire hommes lorsque la porte s'ouvrait. Deux caméras de la salle de musculation étaient orientées vers le poste d'accueil et couvraient en continu les deux coachs en poste. Enfin, l'ensemble des enregistrements était conservé depuis la mise en service, soit près de soixante jours de rotation sur un enregistreur surdimensionné, alors que le règlement intérieur affiché annonçait quinze jours.

Nous avons remplacé la caméra du couloir par un modèle à focale plus longue positionné perpendiculairement à la porte, appliqué un masque de confidentialité au niveau du firmware sur la portion résiduelle, réorienté les deux caméras de la salle vers les issues et les zones d'équipement, et reparamétré la durée de conservation à quinze jours avec écrasement automatique. Le gérant a produit dans sa réponse à la CNIL le rapport d'audit, les captures de champ avant et après, et la nouvelle fiche de registre. Le dossier a été clôturé sans mesure correctrice. Ce qui a fait la différence n'est pas la perfection de l'installation d'origine, mais la capacité à démontrer une correction rapide et documentée.

Checklist documentaire : les huit pièces à produire sous 24 heures

Le principe d'accountability, posé par l'article 5.2 du RGPD, renverse la charge de la preuve : il ne vous appartient pas de vous justifier a posteriori, il vous appartient de démontrer votre conformité à tout instant. Concrètement, cela signifie qu'un classeur, physique ou numérique, doit pouvoir être ouvert immédiatement. Voici ce qu'il contient.

• La fiche de registre des traitements dédiée à la vidéosurveillance : finalité précise, base légale (l'intérêt légitime en pratique), catégories de personnes concernées, catégories de données, destinataires des images, durée de conservation, mesures de sécurité.
• L'analyse d'impact (AIPD) lorsqu'elle est requise, ou une note écrite justifiant pourquoi elle ne l'est pas. Le second document est aussi important que le premier : il prouve que la question a été posée.
• Le modèle de panneau d'information accompagné de photographies datées de l'affichage réellement en place à chaque entrée de zone filmée. Le panneau doit mentionner la finalité, l'identité du responsable de traitement, la durée de conservation, les modalités d'exercice des droits, les coordonnées du DPO s'il en existe un et la possibilité de saisir la CNIL.
• Le procès-verbal de consultation du CSE, au titre de l'article L2312-38 du Code du travail. Une installation déployée sans cette consultation reste juridiquement fragile, et les images issues d'un dispositif non consulté sont difficilement opposables devant le conseil de prud'hommes.
• L'information individuelle des salariés : note de service diffusée et émargée, avenant au règlement intérieur, ou clause insérée au contrat de travail. Une information collective par panneau ne suffit pas pour les salariés.
• L'autorisation préfectorale si tout ou partie du dispositif filme un lieu ouvert au public, au titre du Code de la sécurité intérieure. Cette autorisation est délivrée pour cinq ans et doit être renouvelée. Beaucoup de commerces oublient purement et simplement l'échéance, et la CNIL a sanctionné en 2026 plusieurs exploitants pour exploitation d'un dispositif sans autorisation valide.
• Le contrat de sous-traitance au titre de l'article 28 du RGPD avec votre installateur, votre mainteneur ou votre télésurveilleur dès lors qu'ils disposent d'un accès distant aux images. C'est la pièce la plus souvent manquante, et l'une des plus faciles à régulariser.
• Le registre des demandes de droit d'accès aux images, même vide. Toute personne filmée peut demander à accéder aux enregistrements la concernant, et vous devez répondre dans un délai d'un mois.

Un mot sur ce dernier point, car il est régulièrement sous-estimé. Répondre à une demande de droit d'accès suppose de pouvoir extraire une séquence sans divulguer l'image de tiers. Sans outil de floutage sélectif ni organisation de visionnage encadré, la réponse devient techniquement impossible dans les délais, et l'absence de réponse constitue à elle seule un manquement, régulièrement relevé dans les décisions récentes de la CNIL.

La checklist complète en un coup d'œil : 6 vérifications techniques, 8 pièces documentaires et 3 contrôles de sécurité à passer avant tout contrôle de la CNIL.

Checklist conservation, accès et sécurité : le volet qui fait basculer les dossiers

Une entreprise peut avoir des caméras parfaitement orientées et un classeur impeccable, et se faire sanctionner sur ce troisième bloc. C'est même devenu le scénario dominant, la CNIL ayant décidé de consacrer une part très importante de son activité répressive 2026 aux manquements de sécurité.

La durée de conservation réelle, pas celle qui est déclarée. La CNIL considère qu'un mois constitue la limite haute pour un dispositif classique, et retient le plus souvent quinze jours comme durée suffisante en l'absence de justification particulière. Le piège tient à la mécanique des enregistreurs : la plupart fonctionnent en écrasement circulaire, c'est-à-dire qu'ils conservent les images jusqu'à saturation des disques. Sur un NVR de 16 To équipé de huit caméras en 4 Mbit/s, la boucle atteint mécaniquement plus de soixante jours. Il faut donc imposer une durée en jours dans le calendrier d'enregistrement, et la vérifier ensuite en tentant de relire une séquence plus ancienne que la durée annoncée. Si l'image remonte, vous êtes en infraction. Une extraction ciblée peut en revanche être conservée au-delà en cas d'incident, à condition d'être tracée et rattachée à une procédure identifiée.

Les comptes et les habilitations. Le compte admin partagé entre le gérant, le responsable de site et l'ancien prestataire est encore la norme dans la majorité des installations que nous reprenons. Trois règles suffisent à sortir de cette situation :

• Un compte nominatif par utilisateur, aucune exception, et suppression immédiate des comptes des partants.
• Des habilitations différenciées : visualisation en direct, relecture des enregistrements et export constituent trois droits distincts, à attribuer séparément. Très peu de personnes ont besoin du droit d'export.
• Des mots de passe longs et uniques, complétés d'une authentification à double facteur lorsque l'enregistreur ou la plateforme la prend en charge.

La journalisation. C'est la preuve que vous maîtrisez les accès. Attention toutefois à une limite technique rarement anticipée : les journaux internes d'un NVR sont souvent plafonnés à quelques milliers d'entrées avec rotation automatique, ce qui peut représenter moins de deux mois d'historique sur un site actif. Les plateformes de supervision professionnelles, HikCentral chez Hikvision ou DSS chez Dahua, produisent un journal d'audit centralisé, exportable et conservable, avec traçabilité fine des consultations et des exports. Au-delà d'une vingtaine de caméras, c'est à notre sens la seule façon réaliste de démontrer une gestion sérieuse des habilitations.

L'exposition réseau. Quatre vérifications qui prennent moins d'une heure et évitent l'essentiel des incidents :

• Aucune redirection de port vers le NVR sur la box ou le routeur, en particulier sur les ports 80, 554 et 8000. L'accès distant passe par HTTPS ou par un tunnel VPN.
• UPnP désactivé sur les caméras et sur l'enregistreur, sous peine de voir des redirections se créer toutes seules.
• Flux RTSP protégés par authentification, la diffusion anonyme étant activée par défaut sur certains modèles d'entrée de gamme.
• Firmwares à jour et caméras isolées sur un VLAN dédié, séparé du réseau bureautique. Les caméras IP restent l'une des cibles favorites des botnets, et une caméra compromise donne accès à des images de salariés, ce qui constitue une violation de données à notifier.

Pour approfondir ce dernier volet, l'ANSSI publie des guides d'hygiène informatique directement applicables aux équipements de sécurité connectés, et nous détaillons la démarche complète dans notre article consacré à la cybersécurité des caméras IP.

L'avis de notre expert

« Ce que je dis systématiquement aux dirigeants qui nous appellent après avoir reçu un courrier de la CNIL, c'est qu'ils ont encore la main. Un contrôle n'est pas une sanction. Dans les dossiers que j'ai suivis, ce qui a fait la différence, c'est la qualité et la rapidité de la réponse : un rapport d'audit daté, des captures de champ avant et après, un planning de correction, une fiche de registre à jour. Une entreprise qui démontre qu'elle a identifié ses écarts et qu'elle les a corrigés en trois semaines n'est pas dans la même position qu'une entreprise qui répond de façon évasive six semaines plus tard. Le défaut de coopération, lui, aggrave systématiquement le dossier.

L'autre chose que je répète, c'est qu'un système de vidéosurveillance vieillit. Ce n'est pas un objet figé. Les locaux changent d'affectation, les équipes tournent, un mainteneur intervient et remet un paramètre par défaut. Nous recommandons à nos clients professionnels une revue de conformité annuelle, calée sur la visite de maintenance : une heure de relecture des champs, dix minutes sur les comptes actifs, cinq minutes sur la durée de conservation réelle. C'est peu de chose comparé au coût d'une régularisation dans l'urgence, et surtout comparé au risque de voir des images écartées des débats lors d'un contentieux prud'homal parce que le dispositif était irrégulier. Un système conforme n'est pas un système bridé : c'est un système dont les images sont utilisables le jour où vous en avez besoin. »

Conclusion

La mise en conformité d'une installation existante n'est pas un chantier juridique, c'est un chantier d'installateur. Les trois quarts des écarts que nous relevons se corrigent avec un tournevis, une session de configuration et un classeur : réorienter deux caméras, appliquer un masque au bon niveau, désactiver une piste audio, ramener la durée de conservation à sa valeur déclarée, supprimer trois comptes obsolètes, rédiger une fiche de registre. Le reste relève de l'organisation. Ce qui coûte cher, ce n'est jamais la correction, c'est le fait de la découvrir en lisant un courrier de la CNIL plutôt qu'en menant l'audit soi-même. Si vous avez hérité d'un parc dont personne ne connaît l'historique, commencez par la seule chose qui ne s'improvise pas : ouvrir les flux, caméra par caméra, et regarder ce qu'ils filment vraiment.

Sources et références

• CNIL — 23 nouvelles sanctions prononcées au titre de la procédure simplifiée depuis janvier 2026
• CNIL — Les thématiques prioritaires de contrôle pour 2026
• CNIL — Comment se passe un contrôle de la CNIL
• CNIL — Charte des contrôles
• CNIL — La vidéosurveillance et la vidéoprotection au travail
• Légifrance — Article L2312-38 du Code du travail : consultation du CSE
• ANSSI — Guides d'hygiène informatique et sécurisation des équipements connectés
• Hikvision France — documentation technique et plateforme HikCentral
• Dahua Technology France — documentation technique et plateforme DSS

FAQ — Questions fréquentes sur la mise en conformité RGPD des caméras