Vidéosurveillance pour commerce : ce que la loi impose en 2026

Installer un système de vidéosurveillance dans son commerce ne se limite pas à choisir des caméras et à les brancher. Un cadre légal précis encadre chaque étape — autorisation préfectorale selon le champ filmé, obligations RGPD, information des salariés, durée de conservation, sécurisation des enregistrements. En 2026, les contrôles de la CNIL se sont intensifiés et les sanctions peuvent monter jusqu'à 4 % du chiffre d'affaires annuel. Ce guide fait le point complet, texte par texte, avec des exemples concrets de commerces types pour rendre chaque règle immédiatement applicable.

Pourquoi les commerces doivent se conformer au cadre légal

Un commerçant qui installe des caméras s'expose à trois types de risques en cas de non-conformité : sanction administrative de la CNIL, action en justice d'un salarié ou d'un client filmé sans information, invalidité des images en cas de procédure pénale. Le paradoxe : le commerçant s'équipe pour se protéger, mais une installation non conforme peut se retourner contre lui. Un système de vidéosurveillance professionnel bien configuré évite l'écueil dès le départ.

Prenons l'exemple d'une boulangerie de centre-ville qui installe deux caméras — l'une derrière le comptoir (côté vendeurs), l'autre dans la boutique côté clients. Sans information formelle des salariés et sans panneau d'information visible pour les clients, les images captées deviennent inopposables en cas de vol constaté, et le boulanger risque un rappel à l'ordre CNIL doublé d'une action prud'homale d'un salarié qui contesterait un licenciement fondé sur ces images.

Les deux régimes selon le champ filmé

Régime 1 — Filmer uniquement l'intérieur privé du commerce

Si les caméras ne captent que l'intérieur du magasin (surface de vente, réserves, caisses) sans jamais dépasser sur la voie publique, le régime applicable est celui du RGPD et du Code du travail. Aucune autorisation préfectorale n'est requise, mais toutes les autres obligations restent : registre des traitements, information des salariés et clients, durée de conservation, sécurisation. Notre boulangerie de l'exemple précédent relève de ce régime tant que ses caméras ne captent pas la vitrine avec le trottoir.

Régime 2 — Filmer même partiellement la voie publique

Dès qu'une caméra capte la vitrine avec le trottoir, l'entrée du magasin avec la rue, ou tout espace accessible au public au sens administratif, le régime bascule sous les articles L252-1 à L255-1 du Code de la sécurité intérieure. Une autorisation préfectorale devient obligatoire, avec un dossier à déposer en préfecture avant toute installation. Une pharmacie de quartier qui filme la file d'attente sur le trottoir aux heures de garde tombe dans ce régime.

Autorisation préfectorale : quand, comment, quel délai

Le dossier se dépose en ligne sur la démarche « Vidéoprotection sur la voie publique » du site du ministère de l'Intérieur, ou en préfecture directement. Il comprend un plan des lieux avec les emplacements des caméras et leur champ de vision, la finalité poursuivie (sécurité des biens et des personnes, prévention des atteintes), les modalités de conservation, l'identité du responsable et des personnes habilitées à visionner.

Le délai d'instruction typique est de deux à quatre mois. L'autorisation est délivrée pour cinq ans renouvelables. Attention : installer et exploiter des caméras filmant la voie publique sans autorisation préfectorale est un délit puni par le Code pénal, avec des sanctions administratives immédiates possibles. Un bijoutier qui installe en urgence après un cambriolage doit tout de même déposer sa demande dans la foulée — l'installation d'urgence non suivie de régularisation constitue le manquement.

Obligations RGPD spécifiques au commerce

Registre des traitements et base légale

Tout commerce qui exploite un système de caméras IP doit inscrire le traitement dans son registre RGPD interne, avec la finalité poursuivie, la base légale (intérêt légitime pour la sécurité des biens), la durée de conservation, les destinataires des données, les mesures de sécurité mises en place. Ce registre est présenté sur demande de la CNIL en cas de contrôle.

Information des salariés

Les salariés doivent être informés individuellement et collectivement avant la mise en service. L'information passe par plusieurs canaux cumulatifs : mention dans le contrat de travail des nouveaux entrants, note interne diffusée aux salariés en poste, consultation du CSE si l'effectif l'impose (à partir de 11 salariés). Sans cette information formelle, les images sont inopposables au salarié en cas de litige. Reprenons notre boulangerie : le boulanger doit remettre une note écrite datée à chacun de ses trois salariés, contre décharge signée, avant la mise en service de la caméra qui filme l'espace de production.

Information des clients

Chaque zone filmée accessible au public doit être signalée par un panneau visible à hauteur d'œil, dès l'entrée du commerce. Le panneau mentionne la présence de la vidéosurveillance, le nom du responsable du traitement, la finalité, la durée de conservation et les coordonnées pour exercer ses droits d'accès et d'effacement. Un simple pictogramme caméra ne suffit pas — c'est l'ensemble des mentions qui rend le panneau conforme.

Durée de conservation et sécurisation des images

La durée maximale recommandée par la CNIL est de 30 jours en commerce, sauf procédure judiciaire en cours qui justifie une conservation plus longue. Au-delà, les images doivent être supprimées automatiquement — un enregistreur bien paramétré gère cet écrasement sans intervention.

La sécurisation des enregistrements est un point souvent négligé : accès protégé par mot de passe fort, journalisation des consultations, chiffrement des flux, restriction aux seules personnes habilitées. Un enregistreur NVR professionnel intègre nativement ces fonctions ; un système grand public branché en Wi-Fi accessible depuis internet expose gravement les données. La pharmacie de garde qui laisse son NVR accessible avec le mot de passe usine « 12345 » commet une faute lourde en cas de fuite d'images.

Sanctions en cas de non-conformité

La CNIL peut prononcer plusieurs types de sanctions selon la gravité du manquement. Un rappel à l'ordre pour les cas mineurs, une amende administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements graves, une injonction de mettre le système en conformité sous astreinte. En matière pénale, l'exploitation d'un système sans autorisation préfectorale lorsqu'elle est requise est punie de trois ans d'emprisonnement et 45 000 euros d'amende (article L254-1 du Code de la sécurité intérieure).

Dans la pratique, les sanctions constatées ces dernières années sur les commerces de petite et moyenne taille oscillent entre 5 000 et 100 000 euros. Un supermarché indépendant sanctionné en 2024 pour absence d'information des salariés et durée de conservation dépassée s'était vu infliger 15 000 euros d'amende, avec obligation de régularisation sous trois mois. Un commerce plus grand a payé jusqu'à 250 000 euros pour un manquement systémique.

Vos questions sur la vidéosurveillance en commerce

Faut-il une autorisation préfectorale pour filmer l'intérieur de son magasin ?

Non, si les caméras filment uniquement l'espace intérieur privé du commerce. Le régime RGPD s'applique alors, avec toutes ses obligations (registre, information, durée). L'autorisation préfectorale devient obligatoire dès qu'une caméra capte, même partiellement, la voie publique — trottoir, rue, parking public.

Combien de temps peut-on conserver les images ?

La CNIL recommande 30 jours maximum en usage commerce, avec écrasement automatique au-delà. Une conservation plus longue nécessite une justification précise (procédure judiciaire en cours, enquête interne). Un enregistreur bien paramétré gère cet écrasement sans intervention manuelle.

Peut-on filmer ses salariés à leur poste de travail ?

Filmer un salarié pendant qu'il travaille est possible seulement si la finalité est légitime (sécurité, protection des biens), l'information préalable respectée (contrat, note interne, consultation CSE), et le principe de proportionnalité observé — pas de caméra fixe cadrant en permanence un poste sauf justification impérieuse. Les zones de pause, vestiaires et toilettes restent strictement interdites à la vidéosurveillance.

Quel panneau d'information doit être affiché ?

Un panneau visible à hauteur d'œil dès l'entrée du commerce, mentionnant : présence de vidéosurveillance, nom du responsable de traitement (le commerçant ou la société), finalité (sécurité des biens et personnes), durée de conservation, coordonnées pour exercer ses droits. Format A5 minimum recommandé, pictogramme caméra visible.

Quelles sanctions en cas de non-conformité RGPD ?

La CNIL peut prononcer rappels à l'ordre, mises en demeure, injonctions sous astreinte, et amendes administratives allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Pour les commerces de petite ou moyenne taille, les sanctions constatées oscillent typiquement entre 5 000 et 100 000 euros selon la gravité et la volonté de coopération.