La vidéoprotection

Seules les autorités publiques (les mairies par exemple) peuvent filmer la voie publique, en particulier pour la constatation des infractions aux règles de la circulation, la prévention des atteintes à la sécurité des personnes et des biens dans des lieux particulièrement exposés à des risques d'agression, de vol ou de trafic de stupéfiants ou la prévention d’actes de terrorisme.

Les entreprises et les établissements publics (notamment les lycées, hôpitaux, universités, musées, etc.) peuvent filmer les abords immédiats de leurs bâtiments et installations (la façade extérieure mais pas la rue en tant que telle) dans les lieux susceptibles d’être exposés à des actes de terrorisme.

Les autorités publiques et les personnes morales de droit privé (principalement les commerçants) peuvent filmer dans les établissements ouverts au public (voir ci-dessous) particulièrement exposés à des risques d'agression ou de vol ou susceptibles d'être exposés à des actes de terrorisme.

Les particuliers ne peuvent filmer que l’intérieur de leur propriété : ils ne peuvent pas filmer la voie publique, même pour assurer la sécurité de leur véhicule garé devant leur domicile.

L’emplacement et l’orientation des caméras et la précision des images captées ont une incidence sur la vie privée des personnes.

Les caméras de vidéoprotection ne doivent pas permettre de visualiser l’intérieur des immeubles d’habitation ni, de façon spécifique, leurs entrées (article L. 251-3 du CSI).

La CNIL recommande de mettre en œuvre des procédés de masquage irréversible de ces zones.

Agents publics et privés

Les images peuvent être visualisées par un ou plusieurs agents publics ou privés, leur permettant de réagir si un évènement se produit (articles L. 251-2 et R. 253-3 du CSI).

Seules les personnes autorisées par l’arrêté préfectoral peuvent procéder au visionnage des images.

Pour plus d’informations, consulter la circulaire du ministère de l’Intérieur.

Dans le cadre du déport d’images (article L. 252-3 du CSI), les destinataires des images (par exemple, les agents des services de police municipale) ne peuvent accéder aux images prises par des systèmes de vidéoprotection que pour les seuls besoins de leur mission :

• ils ne peuvent accéder qu’à des images d’un dispositif de vidéoprotection mis en œuvre sur le territoire de la commune ou de l’intercommunalité ;
• et sur lequel ils exercent cette mission.

La mise en œuvre d’un système de vidéoprotection doit être sécurisé : le visionnage des images ne peut être effectué que par les personnes spécifiquement et individuellement habilitées (par exemple les agents du centre de supervision urbain d’une commune ou les agents de sécurité du commerce). Ces personnes doivent être formées et sensibilisées aux règles de mise en œuvre d’un système de vidéoprotection. Le dispositif vidéo doit plus largement être assorti de mesures de sécurité adaptées concernant l'ensemble des composantes du système et l'intégrité de celui-ci (protection contre toute ingérence, intentionnelle ou non, et le contrôle d'accès).

La sécurité des données se rapporte à la confidentialité (les données ne sont accessibles qu’aux personnes disposant d’un droit d’accès), à l’intégrité (la prévention contre la perte ou la manipulation des données) et à la disponibilité (les données sont rendues accessibles dès que cela est nécessaire).

Le responsable d’un système de vidéoprotection doit tenir un registre mentionnant notamment les opérations de collecte, de modification, de consultation, de communication et d'effacement des données personnelles avec l'identifiant de l'auteur, la date, l'heure, le motif de l'opération et, si cela s’applique, les destinataires des données (article R. 253-5 du CSI). Ces informations sont conservées pendant une durée maximale de 3 ans.

Personnes filmées

Les personnes filmées ont, elles-mêmes, un droit d'accès aux images sur lesquelles elles apparaissent, ainsi qu’un droit d’effacement et de rectification.

Elles peuvent aussi adresser une plainte à de la CNIL si leurs droits ne sont pas respectés (voir la section « Quels recours pour les personnes concernées ? »).

La durée de conservation des images doit correspondre à l’objectif pour lequel le système de vidéoprotection est installé. En règle générale, quelques jours suffisent pour effectuer des vérifications, par exemple à la suite d’un incident.

La durée à respecter est précisée dans l’arrêté préfectoral d’autorisation et ne peut excéder un mois (article L.252-3 du CSI).

Les personnes filmées doivent être informées, au moyen d'affiches ou de panneaux affichés en permanence, de façon visible et compréhensible par tous.

Afin de garantir une information lisible et intelligible, celle-ci peut être délivrée sur deux niveaux, tel que permis par les dispositions du CSI :

• les informations minimales, énumérées par le CSI (article R.253-6), doivent être présentées sur des panneaux d’information dans l’espace public concerné ;
• l’information détaillée de second niveau devra être accessible par tout autre moyen.

Premier niveau d'information

La CNIL met à disposition un modèle de panneau d’information.

Les mentions minimales à faire figurer sur ce premier niveau d’information sont :

• un pictogramme représentant une caméra ;
• l'identité du responsable du système ;
• un résumé des finalités poursuivies par le traitement ;
• l’existence de droits pour les personnes concernées et leur modalité d’exercice ;
• un moyen d’accès simple et direct aux informations de second niveau.

Il appartient à chaque responsable d’un système de vidéoprotection d’adapter ce modèle selon les prescriptions de la préfecture ou de le compléter pour détailler l’information si cela semble nécessaire.

Pour les acteurs privés

• Télécharger le modèle au format portrait
• Télécharger le modèle au format paysage

Pour les acteurs publics

• Télécharger le modèle au format portrait
• Télécharger le modèle au format paysage

Comment mettre en en évidence ces informations ?

Les panneaux doivent être installés en nombre suffisant aux endroits où ils sont le plus susceptibles d’être vus par les personnes filmées à savoir :

• dans les lieux à forte densité de flux pour un dispositif filmant la voie publique (aux entrées et sorties des villes, à proximité des gares et aéroports, sur certains axes routiers, dans le centre-ville, etc.) ;
• en évidence aux entrées des lieux accessibles au public (dans le champ visuel de toute personne entrant dans lieu) et en leur sein.

Recommandations de la CNIL :

Favoriser au maximum la lisibilité du contenu du panneau (taille de caractère, sobriété visuelle, etc.) et la visibilité du panneau par les personnes (hauteur raisonnable, etc.).

Second niveau d’information

L’information détaillée qui doit être portée à la connaissance du public peut l’être par d’autres moyens dans un second niveau (notamment par le biais d’un site web). Ces autres informations sont :

• le rappel de l'identité et les coordonnées du responsable du traitement ;
• le détail des finalités poursuivies ;
• le détail de l'ensemble des droits des personnes concernées (accès, limitation, rectification, effacement et droit de réclamation auprès de la CNIL) ;
• la durée de conservation des images ;
• les coordonnées du délégué à la protection des données (DPD/DPO) s'il existe (obligatoire pour les organismes publics) ;
• la base légale du traitement ;
• les destinataires des données personnelles, y compris ceux établis en dehors de l’Union européenne ;
• enfin, s’il y en a, les informations complémentaires qui doivent être portées à l’attention de la personne (prise de décision automatisée, profilage, etc.).

Ces informations sont prévues par l’article 13 du RGPD et l’article 104 ou à l'article 116 de la loi Informatique et Libertés, selon que le dispositif s’inscrit dans les activités prévues par le RGPD ou par la directive « Police-Justice ».

Les premier et second niveaux d’information se complètent. L’obligation d’information du public n’est remplie que si, en plus du panneau d’information contenant les mentions minimales, le second niveau est complet, clair et compréhensible.

Les recommandations de la CNIL

• Publier le second niveau d’information sur une source numérique (par exemple via une adresse de site web) mentionnée au premier niveau.
• Publier ces informations sous une forme non numérique, par exemple sous la forme d’une fiche d’information complète disponible dans un lieu central (par exemple, au bureau d’information ou à la réception) ou d’une affiche complémentaire.
• Permettre au public d’accéder aux informations de second niveau sans entrer dans la zone surveillée, en particulier si les informations sont fournies par voie numérique.

Comment renvoyer efficacement les personnes vers le second niveau ?

Les personnes concernées doivent pouvoir accéder simplement et directement à la page dédiée au second niveau d’information.

Recommandations de la CNIL :

• une URL intelligible et facile à reproduire ;
• une URL la plus courte possible ;
• une URL permettant d’atteindre directement les mentions du second niveau d’information pour arriver à la page contenant le second niveau d’information.

❌ Non : https://www.etablissement.fr/vosdonnees/vieprivee/videoprotection

✅ Oui : https://www.nomdelacommune.fr/videoprotection

Auprès de la préfecture du département

L’installation d’un système de vidéoprotection doit être autorisée par le préfet territorialement compétent (à Paris, le préfet de police), après avis d’une commission départementale présidée par un magistrat.

L’autorisation est valable 5 ans et est renouvelable.

Le formulaire peut être retiré auprès des services de la préfecture du département ou téléchargé sur le site web du ministère de l’Intérieur. Il peut également être rempli en ligne. L'arrêté d'autorisation n'a pas à être transmis à la CNIL en dehors d'un contrôle.

Lorsque la mise en œuvre d’un dispositif de vidéoprotection conduit à « la surveillance systématique à grande échelle d’une zone accessible au public », tels que la rue et les lieux ouverts au public, une analyse d’impact sur la protection des données (AIPD) doit être effectuée. Cette AIPD doit permettre d’évaluer la nécessité et de la proportionnalité du dispositif envisagé, au regard des finalités poursuivies. Cette AIPD est à conserver par chaque responsable de traitement.

En revanche, ce n’est qu’en cas de « risque résiduel élevé » après cette analyse, qu’il faut transmettre l’AIPD à la CNIL et attendre son avis avant mise en œuvre.

Si un dispositif de vidéoprotection ne respecte pas ces règles, toute personne peut adresser une plainte à la CNIL.

La CNIL est compétente pour s’assurer que les systèmes de vidéoprotection sont mis en œuvre conformément au cadre légal applicable.

Elle peut procéder à des contrôles, pouvant porter sur l’existence et la validité de l’autorisation préfectorale concernant le dispositif, le respect de sa finalité, les modalités d’information et de droit d’accès des personnes filmées, la qualité des personnels autorisés à visualiser les images, les mesures permettant d’assurer la sécurité du traitement (notamment la nécessité de tenir un registre des consultations) ou encore le respect de la durée de conservation autorisée des images.

Si elle constate des manquements, la CNIL peut adresser à l’organisme concerné une mise en demeure de prendre les mesures permettant au système de vidéoprotection d’être conforme aux règles de protection des données ou prendre une sanction directe. En cas notamment de manquement grave ou persistant, ou d’organisme de mauvaise foi, la CNIL peut décider d’adopter une des sanctions prévues par les textes (rappel à l’ordre, limitation temporaire ou définitive du traitement (arrêter de filmer), sanction pécuniaire, etc.).