Vidéosurveillance et IA en entreprise : ce que dit la CNIL

Ajouter de l'intelligence artificielle à une caméra, c'est passer d'un dispositif qui filme à un dispositif qui analyse : compter, détecter, reconnaître une situation. Dès que des personnes sont dans le champ, le droit de la protection des données s'applique avant la technique. Cette page rassemble les points de la doctrine de la CNIL, lus sur ses pages le 15/11/2026. Elle ne remplace pas l'avis de votre délégué à la protection des données (DPO) ni d'un juriste : elle aide à préparer cette discussion.

1. La vidéosurveillance au travail : les règles de base

D'après la page de la CNIL sur la vidéosurveillance au travail (23/07/2018) :

• Les salariés ne doivent pas être filmés à leur poste, sauf circonstances particulières.
• Zones à ne pas filmer : espaces de pause ou de repos, toilettes, locaux syndicaux et des représentants du personnel, et les accès qui ne mènent qu'à ces locaux.
• Le son ne peut être enregistré qu'exceptionnellement, par exemple déclenché par le salarié lors d'une agression.
• Pas de contrôle du travail : la possibilité de regarder les images sur tablette ou téléphone ne doit pas conduire à surveiller les employés.
• Information : affichage permanent avec le pictogramme caméra, mentionnant au minimum les finalités, la durée de conservation, les coordonnées du responsable ou du DPO, les droits et le droit de réclamer auprès de la CNIL.
• Représentants du personnel : ils doivent être informés et consultés avant toute décision d'installer des caméras (article L2312-38 du Code du travail, cité par la CNIL).
• Conservation : durée définie selon la finalité, qui « n'excède en principe pas un mois » ; la capacité de stockage de l'enregistreur ne suffit pas à la justifier.
• Accès : seules les personnes habilitées, formées et sensibilisées, avec un accès sécurisé.
• Formalités : pour un lieu non ouvert au public, aucune formalité auprès de la CNIL, mais le dispositif doit figurer au registre des traitements ; pour un lieu ouvert au public, l'autorisation du préfet.

2. Quand l'image est analysée : les caméras « augmentées »

La CNIL décrit les caméras « augmentées » comme des « dispositifs vidéo auxquels sont associés des logiciels permettant une analyse automatique de l'image ». Sa position, publiée le 19/07/2022, porte sur les espaces publics ; elle exclut la reconnaissance biométrique (comme la reconnaissance faciale), traitée à part, ainsi que les lieux non ouverts au public (bureaux, réserves, entrepôts) en temps différé dans un cadre strictement domestique. Elle reste utile pour comprendre ce que la CNIL attend :

• Proportionnalité : « il faut faire, au préalable, une démonstration de la proportionnalité » du dispositif au regard du but poursuivi.
• Base légale : examinée au cas par cas ; l'intérêt légitime ne doit pas créer de « déséquilibre manifeste » avec les attentes raisonnables des personnes.
• Droit d'opposition : la CNIL constate qu'il est souvent limité par ces caméras, et n'admet cette limite que pour une finalité statistique ou si un texte l'écarte avec des garanties.
• Protection dès la conception : par exemple la suppression quasi immédiate des images sources, ou la production d'informations anonymes.

3. Un exemple en commerce : les caisses automatiques

La CNIL a publié des points de conformité pour les caméras augmentées aux caisses automatiques. Parmi eux :

• Moins intrusif d'abord : elle recommande d'étudier des solutions moins intrusives (pesée, marquage RFID, contrôle aléatoire) et de documenter pourquoi elles ne suffisent pas.
• Information spécifique : panneaux en magasin et écran de caisse. Une simple mise à jour des panneaux de vidéoprotection ne suffit pas.
• Minimisation : cadrage limité à la zone utile, sans filmer les visages si possible, sans son, sans détection d'émotions ni de caractéristiques physiques (âge, genre), pendant la seule durée de la transaction.
• Conservation : les données devraient être supprimées à l'issue de la détection.
• Opposition : pouvoir payer à une caisse sans caméra augmentée peut constituer un droit d'opposition.

Ce que cela change pour un projet de vision

Une marche à suivre

1. Décrire le but en une phrase, sans dire « sécurité » en général.
2. Chercher le moyen le moins intrusif qui atteint ce but, et le noter.
3. Cadrer pour éviter les personnes quand le but ne les exige pas.
4. Associer votre DPO dès la conception, et les représentants du personnel s'il s'agit de salariés.
5. Informer : panneau, contenu minimal, informations complémentaires.
6. Fixer la conservation et l'accès, et les écrire au registre des traitements.

La CNIL indique que, lorsqu'une analyse d'impact est nécessaire, le DPO doit y être associé. Les pages lues ne permettent pas de dire si elle est obligatoire pour votre projet : c'est un point à faire trancher par votre DPO ou un juriste. Pour la technique, le point d'entrée du site est la définition de la vision par ordinateur.