Vidéosurveillance des salariés : partager une vidéo sans sanction CNIL

En 2025, la CNIL a sanctionné 16 organismes pour non-respect des règles de vidéosurveillance des salariés.

Ce que la CNIL a sanctionné

Le bilan 2025 de la CNIL est clair : en l’absence de circonstances exceptionnelles, la surveillance vidéo permanente des salariés à leur poste de travail porte atteinte à la protection de leurs données. Sur la même année, l’autorité a aussi adressé 143 mises en demeure, tous sujets confondus. Deux décisions récentes illustrent la doctrine.

• La Samaritaine, 100 000 € (délibération SAN-2025-008 du 18 septembre 2025) : à la fin de l’été 2023, le grand magasin avait placé dans ses réserves des caméras camouflées en détecteurs de fumée, dotées d’un micro. Trois griefs ont été retenus : aucune évaluation de conformité menée en amont, un enregistrement sonore disproportionné et un délégué à la protection des données averti bien trop tard.
• Une société du secteur immobilier, 40 000 € (décision du 19 décembre 2024) : vidéosurveillance continue de l’image et du son des salariés, y compris dans les espaces de pause, avec pour seule information un panonceau « espace sous vidéosurveillance ».

La CNIL rappelle aussi que la prévention des accidents du travail et la constitution de preuves ne justifient pas, à elles seules, une vidéosurveillance en continu des postes de travail.

Pourquoi les petites structures sont aussi concernées

Les dossiers les plus commentés visent de grandes enseignes, mais une PME, un commerce ou un cabinet peuvent tout autant faire l’objet d’un contrôle. Pour les manquements de moindre gravité, la CNIL dispose d’une procédure simplifiée, avec une amende plafonnée à 20 000 €. L’origine d’une vérification est souvent banale : un salarié mécontent, un ancien collaborateur ou un client saisit l’autorité, qui examine alors l’ensemble du dispositif, et pas seulement la caméra mise en cause.

Pour un RSSI ou un DPO, cela signifie que la vidéosurveillance doit être traitée comme n’importe quel autre traitement à risque : documentée dans le registre des traitements, encadrée par des droits d’accès limités et accompagnée d’une procédure claire pour l’export et le partage des images.

Les règles à respecter avant même de partager une image

Avant d’aborder la diffusion des extraits, il faut rappeler les conditions de base. Une vidéo collectée de manière illicite reste illicite, même parfaitement floutée.

• Une finalité limitée. Protection des biens et des personnes, lutte contre le vol, sécurité des accès. Le contrôle de la productivité ou des horaires n’est pas une finalité admise.
• Une information complète. Un simple panonceau ne suffit pas : les salariés doivent recevoir une information écrite sur la finalité, la durée de conservation et leurs droits (article 13 du RGPD).
• Une durée de conservation courte. Elle ne doit pas dépasser ce qui est nécessaire, et jamais plus d’un mois dans les lieux ouverts au public.
• Un accès restreint. Seules les personnes habilitées consultent et exportent les images, avec une traçabilité des accès.

Le moment à risque : la diffusion d’un extrait

Une image peut être collectée légalement et devenir un problème au moment où elle est partagée. Trois situations reviennent souvent :

• Procédure disciplinaire. Une vidéo n’est opposable au salarié que s’il a été informé au préalable du dispositif (article L.1222-4 du Code du travail) et si le CSE a été consulté (article L.2312-38). Les collègues filmés en arrière-plan n’ont, eux, aucune raison d’apparaître dans le dossier.
• Demande d’accès d’un salarié ou d’un client. L’article 15 du RGPD donne droit à une copie des images, mais l’article 15.4 précise que cette copie ne doit pas nuire aux autres personnes filmées. La réponse doit intervenir dans un délai d’un mois (article 12.3 du RGPD).
• Transmission à un assureur ou à un avocat. Le principe de minimisation (RGPD, art. 5, § 1, c) s’applique : seules les personnes concernées par l’incident doivent rester identifiables.

Dans les trois cas, le risque ne vient pas seulement des visages. Un écran d’ordinateur lisible, un badge nominatif, un document posé sur un bureau ou la plaque d’un véhicule de livraison peuvent suffire à identifier une personne. C’est pourquoi l’extrait doit être relu en entier avant tout envoi.

Cinq étapes avant de transmettre une vidéo

1. Vérifier la base légale du partage. Qui demande, pour quelle finalité, et le salarié avait-il été informé du dispositif ?
2. Extraire uniquement la séquence utile. Une plage horaire précise, une caméra précise, pas l’enregistrement de la journée. Suspendez la suppression automatique de cet extrait le temps de traiter la demande.
3. Repérer les tiers. Collègues, clients, livreurs, véhicules dont la plaque est lisible, écrans et badges nominatifs.
4. Flouter avec Gallio PRO. Le logiciel repère dans l’enregistrement chaque visage et chaque plaque d’immatriculation, puis les rend illisibles sans intervention de votre part. Les écrans, badges ou documents se masquent dans l’éditeur manuel intégré. Gallio PRO ne conserve aucun journal de détection ni aucune donnée personnelle.
5. Tracer et supprimer. Consignez ce qui a été transmis, à qui et pourquoi, puis supprimez les copies de travail.

Le floutage manuel, un faux ami

Beaucoup d’organisations floutent encore leurs extraits image par image dans un logiciel de montage. Sur une séquence de quelques minutes filmée à 25 images par seconde, cela représente plusieurs milliers d’images à vérifier, avec un risque élevé d’oublier un visage qui apparaît brièvement dans un coin du cadre. Une seule image non floutée suffit pour que l’anonymisation échoue. L’automatisation de la détection des visages et des plaques réduit ce risque et libère du temps pour la vérification finale, qui reste indispensable.

Faites le point sur votre dispositif

Information des salariés, durée de conservation, emplacement des caméras, procédure de partage : ce sont précisément les points contrôlés par la CNIL. Vous pouvez vérifier la conformité de votre vidéosurveillance en quelques minutes.

Questions fréquentes

Combien risque une entreprise dont la vidéosurveillance n’est pas conforme ?

Selon l’article 83.5 du RGPD, le plafond correspond au montant le plus élevé entre 20 millions d’euros et 4 % du chiffre d’affaires mondial de l’exercice précédent. Dans le cadre de la procédure simplifiée, l’amende est plafonnée à 20 000 €.

La surveillance continue des postes de travail est-elle autorisée ?

Non, sauf circonstances exceptionnelles liées par exemple à des enjeux particuliers de sécurité ou de lutte contre le vol.

Un salarié peut-il demander les images où il apparaît ?

Oui, au titre du droit d’accès (article 15 du RGPD). Les autres personnes visibles doivent être rendues non identifiables avant la remise, et la réponse doit être apportée dans un délai d’un mois.

Faut-il flouter les plaques d’immatriculation ?

Une plaque permet d’identifier indirectement le titulaire du véhicule. Lors d’une transmission à un tiers, elle doit être traitée comme un visage.

Une vidéo floutée peut-elle servir de preuve ?

Oui. Le floutage des tiers ne modifie pas les faits filmés : la personne concernée par l’incident reste visible, ce qui préserve l’intérêt probatoire de l’extrait tout en respectant la minimisation des données.