Pourquoi la vidéoprotection dans l’espace public est encadrée

La vidéoprotection dans l’espace public soulève des enjeux juridiques et techniques importants. En effet, les images de vidéoprotection permettent, directement ou indirectement, d’identifier les personnes filmées. Ce sont donc des données personnelles. La vidéoprotection est de ce fait soumise à la législation relative à la protection des données personnelles, en particulier au RGPD, et à d’autres textes, comme le Code de la sécurité intérieure.

Le présent guide explique le cadre légal, les obligations RGPD et les mesures de protection des données personnelles et de cybersécurité à mettre en place pour protéger les personnes et les images.

Qu’est-ce qu’un dispositif de vidéoprotection ?

Il s’agit de caméras qui filment la voie publique (routes, places piétonnes et trottoirs) et les lieux ouverts au public (piscine, cinéma, musée, magasin, restaurant, etc.).

Ce dispositif, cependant, ne doit pas capter de sons ni utiliser une technologie innovante telle que l’IA. En effet, une caméra équipée d’un logiciel d’IA devient une caméra dite « augmentée », et le risque pour les données personnelles s’en trouve accru¹. De tels dispositifs n’entrent plus dans un dispositif classique de vidéoprotection tel que mentionné dans cet article.

Qui peut installer des caméras et où ?

Des autorités publiques et des établissements privés comme publics peuvent installer un dispositif de vidéoprotection. Mais seules des autorités publiques peuvent filmer la voie publique dans les conditions prévues par le Code de la sécurité intérieure.

• Autorités publiques : peuvent filmer la voie publique pour prévenir des atteintes à la sécurité ou constater des infractions.
• Entreprises (commerçants par exemple), établissements publics et autorités publiques : peuvent filmer les lieux ouverts au public et les abords immédiats de leurs locaux (mais pas la rue en tant que telle).

Pour quelles finalités ?

La vidéoprotection dans l’espace public vise généralement à assurer la sécurité des personnes et des biens. Mais la vidéoprotection peut également viser d’autres objectifs (constatation d’infractions, régulation des flux, protection des installations et bâtiments publics ainsi que de leurs abords, prévention des risques, etc.).

Dans tous les cas, les finalités doivent être proportionnées et justifiées.

Obligations RGPD et protection des données

La mise en œuvre de la vidéoprotection dans l’espace public implique des obligations RGPD claires. Le responsable du traitement doit :

• définir une base légale et une finalité précise ;
• limiter la durée de conservation des images ;
• informer les personnes (panneaux visibles) ;
• garantir les droits d’accès et de rectification lorsque ces droits s’appliquent ;
• documenter les traitements et réaliser une analyse d’impact si nécessaire.

Cybersécurité : protéger les flux et les images

Les images de vidéoprotection sont des données personnelles. Il faut donc les protéger sur le plan technique et organisationnel. Mesures recommandées : chiffrement des flux, gestion des accès, journalisation des consultations, mises à jour régulières des équipements et segmentation réseau. Ces mesures réduisent le risque de fuite ou d’altération des images.

Bonnes pratiques opérationnelles

1. Cartographier les caméras et les finalités.
2. Limiter le champ de vision pour éviter de filmer la voie publique inutilement.
3. Informer selon les recommandations de la CNIL : panneaux d’information avec un minimum d’informations + autre support d’information (par exemple via un site web) contenant l’ensemble des informations nécessaires.
4. Conserver les images pour une durée proportionnée et documentée qui ne peut excéder un 1 mois.
5. Sécuriser l’accès aux images et journaliser les consultations.
6. Réaliser une AIPD (analyse d’impact relative à la protection des données).
7. Déposer une demande d’autorisation en préfecture (valable 5 ans). Pour les autorités publiques (communes notamment), déposer au préalable une déclaration de conformité au RU-074 auprès de la CNIL. Pour les commerçants et autres établissements, informer le maire.
8. Former les équipes à la protection des données et à la cybersécurité, en particulier les équipes chargées de la vidéoprotection.
9. Répondre aux demandes d’exercice de droits des personnes concernées, en respectant la protection des données personnelles des tiers.

Ces actions permettent de concilier sécurité publique et respect des droits individuels.

Quand réaliser une analyse d’impact (AIPD / DPIA / PIA) ?

Une AIPD (Analyse d’Impact sur la Protection des Données, ou DPIA ou PIA) devient nécessaire lorsque la vidéoprotection implique un risque élevé pour les droits et libertés des personnes filmées. L’AIPD doit documenter les risques et les mesures de mitigation.

Dans le cadre de la vidéoprotection, la réalisation d’une AIPD est même obligatoire si elle concerne la voie publique ou un lieu ouvert au public (couverture large, traitement automatisé).

Droits des personnes filmées

Les personnes filmées par un dispositif de vidéoprotection disposent de droits concrets : elles doivent être informées (panneaux visibles) de la présence des caméras, peuvent demander l’accès aux images les concernant, demander la rectification ou l’effacement lorsque ces droits s’appliquent, et saisir la CNIL en cas de manquement.

Attention ! La réponse au droit d’accès nécessite de la vigilance puisqu’il ne doit pas porter atteinte à la vie privée d’autres personnes figurant sur l’image. Concrètement, toute autre personne filmée en dehors de la personne ayant demandé à accéder à son image ne doit pas être reconnaissable. L’utilisation d’un logiciel de floutage est donc recommandée.

Conclusion pratique

La vidéoprotection dans l’espace public doit être pensée comme un projet global : conformité juridique, respect des personnes et sécurité technique. En suivant les règles CNIL et en appliquant des mesures de cybersécurité robustes, les acteurs réduisent les risques juridiques et renforcent la confiance des citoyens.

Pour rappel, l’accès aux images filmées est strictement réservé aux personnes habilitées et la conservation des enregistrements est limitée dans le temps selon la réglementation. Dans la plupart des cas, une analyse d’impact (AIPD) est requise.

Besoin d’un pré-diagnostic gratuit sur la vidéoprotection installée ou prévue par votre organisme ? Contactez‑moi via https://dmouvrard.com/nous-contacter/ ou prenez rendez-vous sur https://meet.brevo.com/mickael-ouvrard/diagnostic-flash pour un appui opérationnel.

Découvrez également ici l’ensemble de nos services.

1. Vidéoprotection intelligente et algorithmes
   L’usage d’algorithmes (reconnaissance faciale, détection comportementale) change l’équation. Ces traitements augmentent les risques pour les droits et libertés (risque pour les libertés, défaillance de l’IA, risques de cyberattaques, etc.). Leur déploiement nécessite une évaluation approfondie, et, souvent, des garanties supplémentaires. Les textes récents (jurisprudences, avis de la CNIL) appellent à la prudence et à la transparence : l’usage d’outils algorithmiques associés aux caméras est fortement limité, voire interdit. ↩︎