Vidéosurveillance cachée : la CNIL ne ferme pas l’œil — Attention aux caméras cachées !

Par une délibération du 18 septembre 2025, la CNIL a prononcé une amende de 100 000 € contre un grand magasin parisien pour avoir installé des caméras de surveillance dissimulées dans ses réserves.

Confronté à une hausse des vols dans les réserves, le magasin avait opté pour l’installation de caméras qui, sous l’apparence de détecteurs de fumée, enregistraient les images et les conversations des salariés à leur insu et sans les en informer.

L’enseigne indique que ces caméras dissimulées étaient en réalité des caméras « test » ayant pour objectif de mieux comprendre comment couvrir les angles morts en vue de l’installation d’un dispositif classique de vidéosurveillance.

Découvertes par les salariés, les caméras dissimulées ont été immédiatement démontées par certains d’entre eux et la CNIL a été saisie d’une plainte par l’un des salariés.

La CNIL relève que l’enseigne n’a pas respecté les dispositions issues du RGPD à plusieurs titres :

• Manquement à l’obligation de traiter les données personnelles des salariés de manière loyale, licite et transparente, notamment en raison de l’absence d’informations suffisantes sur la zone soumise à vidéosurveillance.
• Absence de preuve du caractère temporaire du dispositif de vidéosurveillance
• Manquement au principe de minimisation des données, l’enregistrement sonore des salariés ayant notamment été jugé excessif
• Manquement à l’obligation de respecter une durée de conservation des données personnelles
• Manquement à l’obligation de communication à la CNIL d’une violation de données personnelles caractérisée par le retrait des caméras par certains salariés
• Manquement à l’obligation d’associer le DPO concernant l’existence de ce dispositif litigieux.

L’installation temporaire, par l’employeur, d’un dispositif de vidéosurveillance non visible peut, le cas échéant, être admis lorsque des manquements d’une certaine ampleur commis par les salariés peuvent raisonnablement être suspectés.

Cependant, les caractéristiques du dispositif doivent être proportionnées au but recherché.

A ce titre, la CNIL rappelle dans cette affaire qu’un dispositif de vidéosurveillance permettant également d’enregistrer les conversations des salariés est excessif lorsque sa finalité est de lutter contre les vols.

• Pour quelles raisons avez-vous recours à des dispositifs de vidéosurveillance ?
• Quels usages faites-vous des données personnelles issues des dispositifs de vidéosurveillance ?
• Vos salariés ont-ils été valablement informés des dispositifs de vidéosurveillance envisagés ou existants ?

Avant d’installer un dispositif de vidéosurveillance, qu’il soit visible ou non, un certain nombre de mesures doivent être mises en œuvre :

• Associer le DPO avant la mise en œuvre du dispositif de vidéosurveillance, documenter le traitement de données personnelles issu de ce dispositif en l’inscrivant au sein du registre de traitement dédié et analyser la nécessité de réaliser une analyse d’impact (AIPD)
• Informer clairement les personnes concernées (en particulier salariés et visiteurs) de la présence de caméras par le biais de moyens d’affichage reproduisant les mentions obligatoires.
• Limiter la collecte des données personnelles aux finalités strictement nécessaires et éviter toute captation sonore et captation de données dans des zones privées.
• Définir et documenter les mesures de sécurité et la durée de conservation des données personnelles traitées.
• Informer et consulter le CSE préalablement à l’installation du dispositif de vidéosurveillance

La CNIL demeure vigilante face aux dispositifs de vidéosurveillance utilisés sur les lieux de travail et aux traitements de données personnelles de salariés issues de tels dispositifs réalisés par leur employeur.

Employeurs : faites-vous accompagner pour la mise en place de dispositifs conformes, proportionnés et documentés, afin de limiter les risques, prévenir les sanctions et d’anticiper les litiges.