Législation vidéosurveillance 2026 : guide complet des obligations légales

Introduction : pourquoi 2026 marque un tournant

La réglementation française de la vidéosurveillance connaît en 2026 une transformation profonde, sous l'effet conjugué de trois forces : l'entrée en application complète du règlement européen sur l'intelligence artificielle (AI Act) le 2 août 2026, le durcissement de la doctrine de la CNIL illustré par 16 sanctions prononcées en 2025 pour vidéosurveillance illicite des salariés, et la généralisation des caméras dites "augmentées" capables d'analyser les comportements en temps réel. Pour toute entreprise, commerce ou copropriété souhaitant installer ou renouveler un système de vidéosurveillance, ignorer ces évolutions expose désormais à des sanctions pénales et administratives significatives.

Vidéosurveillance ou vidéoprotection : une distinction fondamentale

Le premier point de vigilance concerne la terminologie, qui n'est pas qu'une affaire de vocabulaire : elle détermine le régime juridique applicable et les autorités compétentes.

On parle de vidéoprotection lorsque le dispositif filme la voie publique ou un lieu ouvert au public (entrée d'un magasin, hall d'immeuble accessible aux visiteurs, parking ouvert). Dans ce cas, c'est le Code de la sécurité intérieure (CSI) qui s'applique, et une autorisation préfectorale est obligatoire avant toute installation. À défaut, le préfet peut ordonner la fermeture provisoire de l'établissement.

La vidéosurveillance au sens strict désigne les dispositifs filmant des lieux non ouverts au public : bureaux, entrepôts, ateliers, réserves, zones réservées au personnel. Ici, aucune autorisation préfectorale n'est requise, mais le cadre du RGPD et du Code du travail s'applique pleinement. Le système doit être inscrit au registre des traitements de données, et une Analyse d'Impact relative à la Protection des Données (AIPD) peut être obligatoire.

L'autorisation préfectorale : procédure et renouvellement

Pour tout système de vidéoprotection filmant la voie publique ou un lieu ouvert au public, l'autorisation préfectorale est le préalable incontournable. Elle est délivrée par le préfet du département après instruction du dossier par une commission départementale de vidéoprotection.

Sa durée de validité est de 5 ans à compter de la date de l'arrêté. Le titulaire doit déposer sa demande de renouvellement au moins 4 mois avant l'expiration de l'autorisation en cours. Un grand nombre d'entreprises ayant installé leurs systèmes entre 2019 et 2021 sont donc concernées par des renouvellements à effectuer en 2024-2026. Négliger cette échéance expose à une exploitation illicite du système, avec les sanctions pénales qui en découlent.

Le dossier de demande comprend notamment : la description précise du site, le plan d'implantation des caméras, la justification de la finalité (sécurité des personnes et des biens), les mesures de protection des images et les modalités d'accès. ASM Protection accompagne ses clients dans la constitution de ce dossier et la gestion des renouvellements dans le cadre de son service de renouvellement d'autorisation préfectorale.

Les obligations RGPD et CNIL pour les entreprises

Que le système relève de la vidéoprotection ou de la vidéosurveillance stricte, plusieurs obligations communes s'imposent à tout responsable de traitement.

L'information des personnes filmées

La CNIL est particulièrement vigilante sur ce point. L'affichage doit comporter au minimum : un pictogramme caméra visible, l'identité du responsable du système, un résumé des finalités poursuivies, l'existence des droits des personnes (accès, rectification, effacement) et un moyen simple d'y accéder. Un simple autocollant "site sous vidéosurveillance" ne suffit plus.

La durée de conservation des images

Les images ne peuvent être conservées que le temps strictement nécessaire. La règle générale est de 30 jours maximum, que ce soit pour les lieux ouverts au public ou les locaux professionnels. En pratique, quelques jours suffisent pour vérifier un incident. Conserver les images "parce qu'il reste de l'espace de stockage" est explicitement contraire aux bonnes pratiques RGPD.

L'accès aux images

Seules les personnes habilitées dans le cadre de leurs fonctions peuvent visionner les enregistrements. L'accès doit être sécurisé (authentification, traçabilité des consultations). Il ne s'agit pas d'un flux ouvert accessible depuis n'importe quel smartphone.

L'AIPD (Analyse d'Impact)

Une Analyse d'Impact relative à la Protection des Données est obligatoire lorsque le dispositif conduit à une surveillance systématique à grande échelle d'une zone accessible au public. Cette analyse doit démontrer la nécessité, la proportionnalité et les mesures de réduction des risques avant tout déploiement.

La vidéosurveillance au travail : des règles strictement encadrées

Le lieu de travail n'est pas une zone de surveillance libre. La CNIL et le Code du travail posent des limites claires que tout employeur doit respecter.

Avant toute installation, l'employeur doit consulter les représentants du personnel (CSE ou délégués du personnel). Il doit également informer individuellement chaque salarié du dispositif mis en place, par courrier, mention dans le contrat de travail ou dans le règlement intérieur.

Les caméras ne doivent pas filmer les salariés en continu sur leur poste de travail, sauf exceptions strictement justifiées (manipulation de fonds, accès à des biens de valeur élevée). Sont absolument interdits : la surveillance des zones de pause et de repos, des toilettes, des locaux syndicaux ou de leurs accès.

Le bilan CNIL 2025, publié en février 2026, est éloquent : 16 organismes ont été sanctionnés pour non-respect de ces règles, pour un montant total d'amendes de 486 839 500 euros (toutes infractions confondues). La surveillance vidéo permanente des employés de caisses ou des bureaux a été explicitement qualifiée d'atteinte à la protection des données personnelles.

L'AI Act 2026 : ce qui change pour les caméras intelligentes

Le règlement européen sur l'intelligence artificielle, entré en vigueur le 1er août 2024, atteint sa pleine applicabilité le 2 août 2026 pour les systèmes d'IA à haut risque. Cette date marque un tournant pour les systèmes de vidéosurveillance dits "augmentés".

Une caméra "augmentée" n'est plus seulement un dispositif d'enregistrement : elle analyse les images en temps réel (détection de comportements suspects, suivi d'objets, estimation de l'âge, alertes automatiques). Juridiquement, cela change fondamentalement la nature du traitement. On ne se contente plus de capter et d'enregistrer des images, on les analyse algorithmiquement.

L'AI Act interdit formellement l'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives, sauf exceptions très étroites prévues par la loi. La CNIL a d'ailleurs prononcé plusieurs mises en demeure en décembre 2024 contre l'utilisation du logiciel BriefCam par l'État et plusieurs communes, démontrant que l'enjeu réglementaire dépasse la seule reconnaissance faciale.

En juillet 2025, la CNIL a estimé que l'usage de caméras estimant l'âge des clients dans les bureaux de tabac n'était "ni nécessaire, ni proportionné". Ce signal fort illustre que même sans biométrie, toute analyse algorithmique doit être justifiée par une finalité légitime et proportionnée.

Les sanctions encourues

Les infractions à la législation sur la vidéosurveillance exposent à des sanctions pénales et administratives cumulables.

À ces sanctions s'ajoute le risque de fermeture provisoire de l'établissement en cas de vidéoprotection non autorisée, ainsi que la nullité des preuves obtenues illicitement dans le cadre d'un contentieux prud'homal.

Checklist de conformité 2026

Avant d'installer ou de renouveler votre système de vidéosurveillance, vérifiez les points suivants :

• Finalité définie : sécurité des biens et des personnes, finalité légale et légitime
• Autorisation préfectorale : obtenue si le système filme la voie publique ou un lieu ouvert au public
• Renouvellement : demande déposée 4 mois avant expiration si l'autorisation a plus de 4 ans et 8 mois
• Information des personnes : affichage conforme avec pictogramme, identité du responsable, finalités et droits
• Durée de conservation : 30 jours maximum, suppression automatique configurée
• Accès sécurisé : liste des personnes habilitées, authentification, traçabilité
• Zones interdites : aucune caméra dans les toilettes, vestiaires, zones de pause, locaux syndicaux
• Consultation du personnel : CSE consulté avant installation (si applicable)
• Registre des traitements : système inscrit et à jour
• AIPD : réalisée si surveillance à grande échelle d'un lieu public
• Caméras IA : conformité AI Act vérifiée si le système intègre de l'analyse algorithmique

Conclusion

La législation française de la vidéosurveillance en 2026 est plus exigeante que jamais. Entre les obligations RGPD, le régime des autorisations préfectorales, les règles spécifiques au lieu de travail et l'entrée en vigueur de l'AI Act, la conformité d'un système de vidéosurveillance ne peut plus être traitée comme un simple achat de matériel. Elle nécessite une analyse juridique préalable, une installation conforme et un suivi dans la durée.

ASM Protection, installateur professionnel agréé CNAPS (N°AUT-094-2123-02-20-20240863886), accompagne les entreprises, commerces et copropriétés dans toutes les étapes de leur projet : audit de conformité, constitution du dossier d'autorisation préfectorale, installation certifiée et maintenance. Contactez-nous pour un audit gratuit de votre situation.