Vidéosurveillance en restaurant : deux régimes sous le même toit

Une caméra est fixée au-dessus de la caisse d’un bar. Dans son champ : le tiroir, le comptoir et la porte d’entrée au fond. Celle-là relève du code de la sécurité intérieure, et elle ne fonctionne qu’avec une autorisation signée par le préfet. Pivotée de quinze degrés vers la porte de la réserve, elle sortirait de ce texte pour tomber sous le seul règlement général sur la protection des données. Même appareil, même salle, même exploitant.

Ce qui commande, c’est la zone filmée. Un établissement qui pose six caméras se retrouve donc avec deux fondements juridiques, deux formalités et deux dossiers, sans avoir rien fait d’anormal.

Le régime se lit caméra par caméra, jamais établissement par établissement

L’article L251-2 du code de la sécurité intérieure ouvre la vidéoprotection aux lieux et établissements ouverts au public « lorsque ces lieux et établissements sont particulièrement exposés à des risques d’agression ou de vol ». La condition est dans le texte, et elle se démontre pièce par pièce : le rapport de présentation joint au dossier expose les risques propres au lieu, et la commission départementale de vidéoprotection les examine avant de rendre son avis.

Dans un café, la salle, le comptoir, la caisse, le sas d’entrée et la terrasse sont ouverts au public. La cuisine, la plonge, la réserve, le vestiaire et le bureau ne le sont pas. Pour ces derniers, la CNIL écrit qu’« aucune formalité auprès de la CNIL n’est nécessaire » : le dispositif s’inscrit au registre des traitements que l’établissement tient déjà, et le délégué à la protection des données, quand il y en a un, est associé à son installation.

Un couloir qui dessert à la fois les toilettes des clients et le vestiaire du personnel traverse les deux mondes. La qualification se joue zone par zone, au moment où se dessine le plan d’implantation, pas au moment où se signe le devis.

Le préfet a quatre mois, et son silence vaut refus

La demande se dépose à la préfecture du département d’implantation, à la préfecture de police à Paris, ou se remplit en ligne sur le téléservice du ministère de l’Intérieur. L’article R252-3 du code de la sécurité intérieure, dans sa rédaction du décret du 27 novembre 2023, énumère limitativement les pièces : rapport de présentation, description du dispositif de transmission et d’enregistrement, mesures de sécurité, modalités d’information du public, délai de conservation, responsable de la maintenance, droit d’accès des personnes.

Le volume du dossier bascule à huit caméras. En dessous, dans un lieu ouvert au public, le rapport « peut se borner à un exposé succinct » des finalités et des techniques employées. À partir de huit, ou dès que la voie publique entre dans un champ, il faut y joindre un plan de détail à une échelle suffisante montrant l’implantation de chaque caméra et les zones couvertes.

La commission départementale rend son avis dans les trois mois, prolongeables d’un mois à sa demande. Au-delà de quatre mois, le silence de l’autorité préfectorale vaut décision de rejet. L’autorisation court ensuite cinq ans, renouvelable. Elle est publiée au recueil des actes administratifs, et la liste des systèmes autorisés sur le territoire de la commune est déposée en mairie, à disposition du public. Le titulaire prévient la préfecture de la date de mise en service.

L’analyse d’impact relative à la protection des données entre en jeu dès que le dispositif conduit à « la surveillance systématique à grande échelle d’une zone accessible au public », formule de l’article 35 du RGPD. Aucun seuil chiffré ne la traduit : ni nombre de caméras, ni surface, ni couverts servis. La fiche de la CNIL sur les commerces invite à « s’interroger sur la nécessité » d’en mener une, celle sur le travail écrit qu’elle « doit être effectuée ». Quand elle existe, elle remplace sept des douze pièces du dossier préfectoral.

Un mois de conservation, puis l’effacement est automatique

L’article L252-5 pose la borne en une phrase, et l’autorisation ne peut pas la repousser.

La partie réglementaire ajoute le mécanisme : au terme du délai fixé par l’autorisation, les images « sont effacées automatiquement des traitements ». Celles qui ont été extraites pour une procédure judiciaire, administrative ou disciplinaire suivent ensuite les règles de cette procédure, entre les mains de l’autorité qui en a la charge.

Un mois est un plafond. La CNIL écrit qu’« en principe, cette durée n’excède pas un mois » et que garder les images quelques jours suffit le plus souvent aux vérifications. Elle ajoute la phrase que les devis d’installation oublient volontiers : la durée maximale « ne doit pas être fixée en fonction de la seule capacité technique de stockage de l’enregistreur ». Un disque qui tient trente jours n’autorise pas trente jours.

Le traitement n’enregistre que des images, « à l’exclusion des sons ». La prise de son reste réservée à des situations particulières, déclenchées par un salarié en cas d’agression. Chaque consultation d’image laisse par ailleurs une trace horodatée, avec l’identifiant de son auteur et le motif de l’opération, gardée jusqu’à trois ans.

Le panneau porte trois mentions au minimum, cinq quand la place le permet

Le code de la sécurité intérieure fixe un plancher réglementaire : des affiches ou des panonceaux avec un pictogramme représentant une caméra et, lorsque le support ne peut pas tout porter, au moins l’identité du responsable du système, les finalités du traitement et les droits des personnes concernées. Le reste est alors communiqué par tout autre moyen, un site internet par exemple.

La CNIL, elle, décline l’article 13 du RGPD en cinq mentions attendues sur le panneau lui-même, pictogramme en sus.

Ce panneau rejoint les autres obligations d’information qui pèsent sur la salle sans leur ressembler : ni format imposé, ni hauteur de caractères, là où l’affichage des prix en impose une. Il s’affiche « en permanence, de façon visible, dans les lieux concernés », ce qui vise chaque zone filmée et pas seulement la porte d’entrée.

Les salariés lisent le même panneau que les clients, et ça ne suffit pas. L’article L1222-4 du code du travail ferme la porte en une ligne : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » L’information est individuelle, et elle précède la mise en service.

La caméra tournée vers la rue ne se regarde pas depuis le comptoir

Filmer la voie publique n’appartient pas à l’exploitant. Le dernier alinéa de l’article L251-2 ouvre une exception étroite : après information du maire de la commune et autorisation des autorités publiques compétentes, un commerçant peut poser un système sur la voie publique aux seules fins de protéger les abords immédiats de ses bâtiments, dans les lieux particulièrement exposés à des risques d’agression ou de vol.

L’exception se paie en contraintes techniques. Le champ de vision reste limité à ces abords immédiats, et le plan de détail le démontre. Une attestation de l’installateur certifie que la ou les caméras concernées sont déconnectées des caméras intérieures, et que leurs images « ne peuvent être techniquement visionnées par le demandeur ou ses subordonnés ». Seuls des agents de police ou de gendarmerie nationales et de police municipale, individuellement désignés et habilités, y accèdent. La caméra de façade filme pour eux, pas pour la maison.

Une caméra qui déborde de quelques mètres sur le trottoir change donc de dossier. L’angle de vue et la portée décident de ce qui entre dans le cadre, et ces deux chiffres figurent sur la fiche technique du matériel avant l’achat : un comparatif de caméras de surveillance extérieures les met en regard modèle par modèle. La terrasse autorisée sur le domaine public reste, elle, un lieu ouvert au public ordinaire.

Le poste de travail sort du cadre, la caisse y entre

Les caméras peuvent couvrir les entrées et sorties de bâtiment, les issues de secours, les voies de circulation et les zones où sont entreposés marchandises et biens de valeur. Elles ne doivent pas filmer un salarié à son poste, sauf circonstances particulières. La CNIL nomme l’exception et la borne dans la même phrase : quand un employé manipule de l’argent, « la caméra doit davantage filmer la caisse que le caissier ». Le cadre vise le tiroir. Pas celui qui l’ouvre.

Trois zones restent fermées quelle que soit la justification : les toilettes, les zones de pause ou de repos, les locaux des représentants du personnel et leurs accès lorsqu’ils ne mènent qu’à eux. Si des dégradations visent un distributeur, la caméra cadre le distributeur, pas la pièce.

Le déport des images sur un téléphone ne crée aucun droit nouveau. L’accès à distance doit être sécurisé, et la CNIL précise qu’il « ne doit pas conduire à surveiller ses employés pour leur faire des remarques sur la qualité du travail ». Une surveillance permanente d’un poste reste disproportionnée : l’article L1121-1 du code du travail interdit les restrictions « qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ».

L’effectif ajoute ensuite une formalité entière. Depuis le 1er janvier 2018, l’article L2312-38 du code du travail veut le comité social et économique « informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés ». Cet article figure dans la section réservée aux entreprises d’au moins cinquante salariés, et la CNIL le redit dans sa page du 9 juillet 2026 : la consultation vise le CSE « dans les entreprises privées de 50 salariés et plus ». Sous ce seuil, l’information individuelle du code du travail reste due, la consultation préalable du comité ne l’est pas.

Trois mois de fermeture pour un dispositif installé sans autorisation

La sanction la plus lourde se compte en semaines de rideau baissé. L’article L253-4 du code de la sécurité intérieure permet au préfet de fermer trois mois un établissement ouvert au public dans lequel est maintenu un système de vidéoprotection sans autorisation, après une mise en demeure restée sans effet. Passé ces trois mois sans demande de régularisation, l’administration peut enjoindre de démonter le système, puis prononcer une nouvelle fermeture de trois mois si l’injonction reste lettre morte.

L’autorisation elle-même se retire, après que l’intéressé a été mis à même de présenter ses observations, en cas de manquement ou de changement des conditions au vu desquelles elle avait été délivrée. Entraver l’action de la commission départementale coûte un an d’emprisonnement et 15 000 euros d’amende. Ne pas informer les personnes filmées relève de l’amende prévue pour les contraventions de la 5e classe, soit 1 500 euros, portés à 3 000 euros en cas de récidive.

La procédure simplifiée de la CNIL, ouverte depuis 2022, plafonne à 20 000 euros par décision et ne rend pas public le nom de l’organisme. Sur ces 23 sanctions, 19 sont nées de plaintes. Les secteurs sont nommés : des sociétés de restauration rapide, de transport urbain et d’exploitation de commerces en gare, sanctionnées pour avoir exploité un dispositif vidéo sans autorisation préfectorale ou filmé leurs salariés en permanence.