Vidéoprotection et RGPD : le guide des collectivités

Votre commune envisage d'installer des caméras sur la place du marché, à l'entrée de l'école ou devant la mairie. Le besoin est légitime : lutter contre les incivilités, sécuriser un équipement public, rassurer les habitants. Mais un dispositif de vidéoprotection filme des personnes identifiables dans l'espace public, ce qui vous place sous une double contrainte : le code de la sécurité intérieure et le RGPD.

Beaucoup de collectivités installent d'abord les caméras, et traitent les questions de conformité ensuite. C'est l'inverse qu'il faut faire. Cet article vous explique les règles pour la vidéoprotection en mairie : information du public, durée de conservation, accès aux images, autorisation préfectorale et analyse d'impact. Vous y trouverez une checklist prête à l'emploi pour votre commune.

Points clés

• La vidéoprotection sur la voie publique relève d'un régime préfectoral : elle exige une autorisation du préfet avant toute mise en service.
• Le public doit être informé par des panneaux visibles indiquant la présence de caméras et le contact pour exercer ses droits.
• La durée de conservation des images est en général de quelques jours, souvent un mois au maximum, et doit être justifiée par un besoin réel.
• Une AIPD est fréquemment requise dès que la surveillance d'un espace public est systématique et à grande échelle.
• L'accès aux images doit être restreint, tracé et réservé aux personnes habilitées, sous le contrôle du responsable de traitement.

Vidéoprotection ou vidéosurveillance : deux régimes à ne pas confondre

La vidéoprotection désigne les caméras qui filment la voie publique et les lieux ouverts au public, sous un régime encadré par le code de la sécurité intérieure. La vidéosurveillance désigne les caméras qui filment des lieux privés non ouverts au public, comme l'intérieur de bureaux ou un local technique. Les deux relèvent du RGPD, mais leurs formalités préalables diffèrent.

Pour une mairie, la distinction est structurante. Filmer la rue, une place ou l'entrée d'un bâtiment public relève de la vidéoprotection et exige une autorisation préfectorale. Filmer un local réservé aux agents relève de la vidéosurveillance et suit d'autres formalités. Un même projet communal peut combiner les deux régimes, ce qui impose de qualifier chaque caméra selon la zone qu'elle couvre.

Définition — La vidéoprotection, ce sont les dispositifs de caméras filmant la voie publique ou des lieux ouverts au public, soumis à autorisation du préfet et encadrés à la fois par le code de la sécurité intérieure et par le RGPD.

L'autorisation préfectorale, préalable obligatoire

Toute caméra filmant la voie publique doit faire l'objet d'une autorisation préfectorale avant sa mise en service. La demande passe par la préfecture du département, qui instruit le dossier après avis d'une commission départementale. Cette autorisation précise les finalités, le périmètre filmé et la durée pour laquelle elle est accordée.

Cette étape n'est pas une simple case administrative. Elle fixe le cadre légal du dispositif : sans elle, l'installation est irrégulière et les images captées ne peuvent pas être valablement exploitées. L'autorisation est délivrée pour une durée limitée et doit être renouvelée. Toute modification notable, comme l'ajout de caméras ou l'extension du périmètre, suppose une nouvelle démarche.

Attention — Une autorisation préfectorale ne dispense pas du respect du RGPD. Ce sont deux obligations distinctes qui se cumulent : l'une relève du préfet pour la voie publique, l'autre de la CNIL pour la protection des données. Une commune peut être en règle côté préfecture et en défaut côté RGPD.

Informer le public : panneaux et transparence

Les personnes filmées doivent être informées de la vidéoprotection avant d'entrer dans le champ des caméras. Cette information passe par des panneaux visibles et lisibles, placés à l'entrée des zones surveillées. Le principe est simple : personne ne doit être filmé à son insu dans un espace public communal.

Le panneau indique la présence de caméras, la finalité de la surveillance, l'autorité responsable et le contact pour exercer ses droits. Au-delà de l'affichage, la commune tient à disposition une information plus complète, précisant la durée de conservation, la base légale et les modalités d'accès aux images. Cette transparence rejoint la logique de privacy by design : penser la protection des personnes dès la conception, pas après l'installation.

Cette obligation est aussi l'un des points les plus faciles à vérifier lors d'un contrôle. Un dispositif sans signalétique conforme est un manquement immédiat, quelle que soit la qualité technique des caméras. Pour la structurer, appuyez-vous sur votre registre des traitements, qui documente chaque finalité.

Durée de conservation et accès aux images

Les images de vidéoprotection ne se conservent pas indéfiniment. La durée doit être proportionnée à la finalité et rester courte : quelques jours en général, avec un plafond souvent fixé à un mois pour la voie publique. Passé ce délai, les enregistrements sont supprimés automatiquement, sauf réquisition dans une enquête.

L'accès aux images est tout aussi encadré. Seules les personnes habilitées, nommément désignées par la commune, peuvent visionner les enregistrements, et chaque consultation devrait être tracée. Cette rigueur protège autant les habitants que la collectivité, en cas de contestation ou de demande d'un tiers.

Bon à savoir — Une durée de conservation trop longue est l'une des erreurs les plus fréquentes en vidéoprotection communale. Conserver un mois d'images alors que quelques jours suffisent expose la commune à un reproche de non-proportionnalité. Fixez la durée sur le besoin réel, pas sur la capacité du disque.

Quand une AIPD s'impose pour votre commune

Une analyse d'impact relative à la protection des données est fréquemment requise pour la vidéoprotection communale. Le RGPD la rend obligatoire dès qu'un traitement peut engendrer un risque élevé pour les personnes, et cite la surveillance systématique à grande échelle d'un lieu accessible au public. Un réseau de caméras couvrant le centre-ville d'une commune entre typiquement dans ce cas.

L'AIPD vous force à décrire le dispositif, à évaluer sa nécessité, à identifier les risques pour les habitants et à définir les mesures qui les réduisent. C'est aussi un outil de décision : elle aide à trancher entre plusieurs implantations et à écarter les caméras qui filment plus que nécessaire. Notre guide de l'AIPD détaille la méthode en cinq étapes.

Conseil — Menez l'AIPD avant de commander le matériel, pas après l'installation. Une analyse conduite en amont oriente le choix des emplacements et évite de refaire le câblage. Pour cadrer votre démarche, prenez contact avec notre équipe.

Les droits des personnes filmées

Toute personne filmée par un dispositif de vidéoprotection dispose de droits qu'elle peut exercer auprès de la commune. Le droit d'accès lui permet de demander à consulter les images sur lesquelles elle apparaît, dans le respect des droits des tiers également filmés. Ces demandes doivent être traitées dans les délais prévus par le RGPD.

La collectivité doit donc prévoir une procédure claire : un point de contact identifié, un circuit interne et une traçabilité des réponses. Ce contact figure sur les panneaux d'information. La CNIL contrôle ces dispositifs et publie des recommandations utiles pour les collectivités. Pour comprendre son rôle, consultez notre article sur ce qu'est la CNIL.

Conseil — Désignez dès le départ la personne qui recevra les demandes d'accès aux images et donnez-lui une procédure écrite. Une demande sans réponse dans les délais est un manquement en soi. Notre équipe peut vous aider à mettre ce circuit en place : demandez un devis.

Une checklist vidéoprotection pour votre mairie

Avant toute mise en service, une commune peut vérifier point par point sa conformité :

1. Qualifier chaque caméra : voie publique (vidéoprotection, régime préfectoral) ou lieu privé (vidéosurveillance).
2. Obtenir l'autorisation préfectorale pour toute caméra filmant l'espace public, avant la mise en service.
3. Définir des finalités précises et proportionnées, et les inscrire au registre des traitements.
4. Installer une signalétique conforme à l'entrée de chaque zone surveillée.
5. Fixer une durée de conservation courte, justifiée par le besoin réel, avec suppression automatique.
6. Restreindre et tracer l'accès aux images aux seules personnes habilitées.
7. Réaliser une AIPD dès que la surveillance est systématique et à grande échelle.
8. Prévoir une procédure pour les demandes d'accès des personnes filmées.

Cette checklist rejoint la démarche plus large de mise en conformité RGPD de la collectivité, où la vidéoprotection n'est qu'un traitement parmi d'autres. La faire piloter par un DPO externe sécurise le projet sans mobiliser un poste dédié. Le RGPD, dont le texte de référence reste consultable, s'applique ici comme à tout traitement. Cette logique vaut aussi pour les projets d'intelligence artificielle, lorsque des caméras intègrent de l'analyse d'image.

FAQ

La vidéoprotection sur la voie publique est-elle soumise à autorisation ?

Oui. Toute caméra filmant la voie publique ou un lieu ouvert au public exige une autorisation préfectorale avant sa mise en service. La demande est instruite par la préfecture après avis d'une commission départementale. Cette autorisation ne dispense pas du respect du RGPD, qui s'applique en parallèle.

Quelle est la différence entre vidéoprotection et vidéosurveillance ?

La vidéoprotection filme la voie publique et les lieux ouverts au public, sous un régime préfectoral. La vidéosurveillance filme des lieux privés non ouverts au public, comme des bureaux fermés. Les deux relèvent du RGPD, mais leurs formalités diffèrent. Une mairie qualifie chaque caméra selon la zone qu'elle couvre.

Combien de temps une mairie peut-elle conserver les images ?

La durée doit rester courte et proportionnée à la finalité, souvent quelques jours et généralement un mois au maximum pour la voie publique. Au-delà, les images sont supprimées automatiquement, sauf réquisition. Une conservation trop longue sans justification expose la commune à un reproche de non-proportionnalité.

Une AIPD est-elle obligatoire pour la vidéoprotection communale ?

Souvent, oui. Le RGPD impose une analyse d'impact dès qu'un traitement présente un risque élevé, et cite la surveillance systématique à grande échelle d'un lieu public. Un réseau de caméras couvrant un centre-ville entre en général dans ce cas. Dans le doute, mieux vaut réaliser l'analyse avant d'installer le dispositif.

Comment informer les habitants de la présence de caméras ?

Par des panneaux visibles et lisibles, placés à l'entrée des zones surveillées. Ils indiquent la présence de caméras, la finalité, l'autorité responsable et le contact pour exercer ses droits. Une information plus complète, précisant durée de conservation et modalités d'accès, est tenue à disposition du public.

Un habitant peut-il demander à voir les images sur lesquelles il apparaît ?

Oui. Toute personne filmée dispose d'un droit d'accès aux images la concernant, dans le respect des droits des autres personnes filmées. La commune prévoit un point de contact et une procédure pour instruire ces demandes dans les délais du RGPD. Ce contact figure sur les panneaux d'information.

Qui est responsable de la conformité du dispositif ?

La commune, responsable de traitement, porte la responsabilité de la conformité. Le maire engage la collectivité sur le respect du RGPD comme du cadre préfectoral. Un DPO, interne ou externe, conseille, cadre la méthode et vérifie les mesures, mais ne se substitue pas au décideur public.

Faut-il déclarer la vidéoprotection à la CNIL ?

La formalité principale pour la voie publique est l'autorisation préfectorale, pas une déclaration à la CNIL. Le dispositif doit toutefois figurer au registre des traitements de la commune, que la CNIL peut contrôler. Vous consultez la CNIL uniquement si une AIPD révèle un risque élevé résiduel que vous ne parvenez pas à réduire.

Conclusion

La vidéoprotection communale n'est pas qu'une affaire de matériel : c'est un traitement de données qui engage la responsabilité de la commune, à la fois devant le préfet et devant la CNIL. Autorisation préalable, information des habitants, durée de conservation maîtrisée, accès tracé et AIPD quand elle s'impose forment le socle d'un dispositif défendable en cas de contrôle.

Votre commune prépare un projet de caméras et vous voulez le cadrer dès le départ ? C'est exactement le type de démarche que nous accompagnons. Prendre contact avec notre équipe, ou découvrir le cabinet mydari et le blog pour aller plus loin.

L'équipe mydari

Tous les articles