Conformité GDPR pour les caméras CCTV dans les boutiques européennes : Guide pratique pour les propriétaires en 2026

Si vous gérez un magasin de détail, un café, un restaurant ou toute entreprise avec des locaux physiques dans l'UE, vous avez presque certainement une vidéosurveillance. Et si vous avez une vidéosurveillance, le RGPD s'applique à vous — que vous y ayez pensé ou non.

Les conséquences d'une erreur dans ce domaine ne sont pas théoriques. Les autorités de protection des données à travers l'UE ont infligé des amendes à des entreprises de vente au détail pour diverses violations : conservation des images plus longtemps que nécessaire, omission d'informer les clients sur les caméras, capture d'un espace public plus étendu que justifié, et utilisation des images à des fins dépassant ce qui a été communiqué aux clients.

Ce guide est conçu pour les propriétaires d'entreprises de détail qui veulent bien faire en matière de conformité — non seulement pour éviter les amendes, mais aussi pour construire un système qui protège véritablement leur entreprise, leurs clients et leurs employés.

Le RGPD S'applique-t-il Vraiment à Mon Magasin ?

Oui. Le RGPD s'applique à toute entreprise qui traite des données personnelles — ce qui signifie toute entreprise qui enregistre des images d'individus identifiables. Une caméra de vidéosurveillance qui capture des clients entrant dans votre magasin, du personnel travaillant en salle de vente, ou toute personne sur vos locaux, traite des données personnelles au sens du RGPD.

Cela s'applique indépendamment de :

– La taille de votre entreprise (le RGPD s'applique aux entreprises de toutes tailles)

– Que vous regardiez activement les images ou qu'elles soient enregistrées automatiquement

– Que vous ayez déjà eu un incident nécessitant les images

– Que vous soyez un magasin tenu par une seule personne ou une chaîne

Dès que vous installez une caméra, vous devenez un responsable du traitement au sens du RGPD — responsable de la manière dont ces images sont collectées, stockées, utilisées et finalement supprimées.

Il y a une idée fausse courante qui doit être corrigée : l'idée que les caméras tournées uniquement vers l'intérieur, dans un espace que vous possédez, signifient que le RGPD ne s'applique pas. C'est incorrect. Le RGPD s'applique au traitement des données personnelles dans le cadre d'une activité commerciale. Un magasin est une activité commerciale. Les clients et les employés filmés sur ces lieux sont des individus identifiables. Le RGPD s'applique.

Sur Quelle Base Légale Dois-je M'appuyer ?

Chaque système de vidéosurveillance a besoin d'une base légale documentée pour le traitement. Pour la plupart des entreprises de détail, ce sera intérêts légitimes (article 6(1)(f) du RGPD) — l'intérêt à protéger vos biens, à prévenir le vol, à assurer la sécurité du personnel et à enquêter sur les incidents.

La question n'est pas de savoir si vous avoir un intérêt légitime — la plupart des entreprises de détail en ont clairement un. La question est de savoir si votre utilisation spécifique de la vidéosurveillance est proportionnée à cet intérêt. C'est là que de nombreuses entreprises échouent.

Considérez deux scénarios :

Scénario 1 : Un magasin installe des caméras à l'entrée, aux caisses et dans la réserve — toutes clairement destinées à prévenir le vol et à protéger les biens. La caméra d'entrée capture une vue étroite de la porte. La caméra de caisse couvre la zone du comptoir. La caméra de la réserve couvre la zone de stockage. Cela est proportionné à l'objectif déclaré.

Scénario 2 : Le même magasin installe des caméras grand angle qui capturent l'ensemble de la surface de vente, le trottoir public devant l'entrée et les vitrines de l'entreprise voisine. Il dispose également d'une caméra dans la salle de pause. Cela est presque certainement disproportionné. Les caméras capturent des zones et des personnes sans lien avec la prévention du vol. La caméra de la salle de pause soulève des préoccupations supplémentaires concernant la vie privée des employés.

Le test est simple : un client raisonnable accepterait-il d'être filmé à cet endroit pour cet objectif ? Si la réponse est oui, la caméra est probablement proportionnée. Si la réponse est non, elle ne l'est probablement pas.

Où Puis-je Légalement Placer des Caméras ?

Les lignes directrices de l'EDPB sur la vidéosurveillance établissent le cadre à l'échelle de l'UE. Dans ce cadre, les décisions concernant l'emplacement des caméras devraient suivre cette logique :

Généralement autorisé dans le commerce de détail

– Points d'entrée et de sortie — qui est entré, quand, et dans quelle direction

– Zones de caisse et de paiement — l'emplacement à plus haut risque pour le vol et les litiges

– Réserves et zones arrière — protection des stocks

– Couloirs intérieurs et cages d'escalier — sécurité et contrôle d'accès

– Périmètre et zones de stationnement — protection des biens

– Espace de vente client — lorsque justifié par un risque de vol ou pour la sécurité

Généralement interdit

– Toilettes et vestiaires — strictement interdit

– Salles de pause du personnel — les employés ont une attente raisonnable de confidentialité pendant les pauses

– Toute zone où les clients ont une attente spécifique de confidentialité — cabines d'essayage, zones de consultation, comptoirs de pharmacie

Capturer les Trottoirs Publics

C'est l'une des manquements à la conformité les plus courants dans le commerce de détail. Une caméra positionnée à l'entrée d'un magasin capturera inévitablement une partie du trottoir public à l'extérieur. Dans la plupart des cas, cela est acceptable si c'est accessoire — la caméra est dirigée vers l'entrée, pas vers la rue, et les images du trottoir sont un effet secondaire plutôt que l'objectif.

Cependant, les caméras positionnées pour capturer des vues larges des rues publiques, des zones piétonnes ou des espaces publics au-delà de l'entrée immédiate du magasin nécessitent une justification supplémentaire. Plus vous capturez d'espace public, plus il est difficile de soutenir que la surveillance est proportionnée.

Règle pratique : Si votre caméra capture plus d'environ 2–3 mètres de trottoir public au-delà de votre entrée, évaluez si l'angle peut être ajusté pour réduire cela. Le masquage de la vie privée — un logiciel qui masque des zones spécifiques de la vue de la caméra — est un outil pratique pour réduire la capture non intentionnelle.

L'exigence de signalisation : plus qu'un simple panneau

Le RGPD britannique exige que les personnes soient informées de la mise en service de la vidéosurveillance avant d'être enregistrées. Pour une entreprise de vente au détail, cela signifie une signalétique.

Les directives du CEPD et de l'ICO sont claires : les panneaux doivent être :

– Clairement visible — pas caché derrière une étagère ou à hauteur de genoux

– Facile à comprendre — pas de langage juridique ou de jargon

– Présent à chaque entrée vers la zone surveillée

Un panneau de vidéosurveillance conforme au RGPD doit informer les clients :

1. Que la vidéosurveillance est en fonctionnement

2. Qui en est responsable (le nom de l'entreprise)

3. L'objet de la surveillance (sécurité, prévention du vol, sûreté)

4. Où ils peuvent trouver plus d'informations (une notice de confidentialité, un site web, un numéro de contact)

Exemple de panneau conforme

“`

Vidéosurveillance en fonctionnement

Ces locaux sont protégés par vidéosurveillance pour des raisons de sécurité publique, de prévention de la criminalité et de protection des biens.

Responsable du traitement : [Nom de l'entreprise]

Pour plus d'informations sur la façon dont nous utilisons la vidéosurveillance, veuillez consulter notre notice de confidentialité à l'adresse [URL] ou demander à un membre du personnel.

“`

Ce panneau répond aux exigences légales. Il est clair, il identifie le responsable et il dirige les personnes vers l'endroit où elles peuvent trouver plus d'informations.

Conservation : le domaine où la plupart des détaillants échouent

C'est la violation du RGPD la plus courante dans la vidéosurveillance du commerce de détail, et la plus facile à corriger.

La règle est absolue : les images ne doivent pas être conservées plus longtemps que nécessaire. Pour un magasin de détail typique, cela signifie :

– 30 jours est la norme pratique. La plupart des entreprises n'ont aucune raison de conserver les images au-delà d'un mois. Après 30 jours, la probabilité d'identifier un incident spécifique à partir des images diminue considérablement, et le principe de minimisation des données exige la suppression.

– Une conservation plus longue nécessite une justification spécifique. Si vous avez une enquête en cours, un litige avec un client ou une réclamation d'assurance active, vous pouvez conserver des images spécifiques plus longtemps. Cette conservation doit être documentée et les images supprimées dès que l'affaire est résolue.

– La conservation par habitude n'est pas légale. “Nous avons toujours conservé les images pendant six mois” n’est pas une justification. Les périodes de conservation doivent être basées sur les besoins réels de l’entreprise, et non sur ce que vous avez toujours fait.

Comment Mettre en Œuvre la Suppression Automatique

La plupart des systèmes de vidéosurveillance modernes prennent en charge la suppression automatique programmée. Configurez votre système pour :

– Écraser automatiquement les séquences les plus anciennes lorsque le stockage est plein.

– Supprimer toutes les images vieilles de plus de 30 jours, sauf si des images spécifiques ont été marquées pour conservation dans le cadre d'une enquête en cours.

– Enregistrer tous les cas où les images sont conservées au-delà de la période standard et la raison de cette conservation.

Si votre système actuel ne prend pas en charge la suppression automatique, c'est une mise à niveau prioritaire. Les processus de suppression manuelle sont peu fiables — quelqu'un doit se souvenir de le faire, et dans un environnement de vente au détail chargé, cela finira par être oublié.

Puis-je Utiliser les Images de Vidéosurveillance pour Surveiller le Personnel ?

C'est une question que de nombreux détaillants se posent, et la réponse nécessite de la prudence.

Si vous avez installé un système de vidéosurveillance principalement pour la sécurité du magasin — protéger contre le vol des clients, le vandalisme et les dommages matériels — utiliser ces mêmes images pour surveiller le comportement du personnel, vérifier les présences ou recueillir des preuves pour des procédures disciplinaires est un objectif secondaire.

Ce n'est pas automatiquement interdit, mais ce n'est pas non plus automatiquement autorisé. La question clé est de savoir si votre personnel a été informé que les images pourraient être utilisées à ces fins.

Si votre avis de confidentialité du personnel, vos contrats de travail ou vos documents d’accueil indiquent clairement que les images de vidéosurveillance peuvent être utilisées pour la gestion des performances et les procédures disciplinaires, leur utilisation à ces fins est généralement acceptable — à condition qu’elle soit proportionnée à l’objectif de sécurité initial.

Si le personnel était seulement informé que la vidéosurveillance était destinée à la “sécurité”, l’utilisation des images pour surveiller leur comportement ou mener une nouvelle enquête sur quelque chose sans lien avec la sécurité serait probablement contestée. Les directives de l’ICO à ce sujet sont claires : utiliser la vidéosurveillance de sécurité pour surveiller le personnel sans divulgation adéquate est une violation potentielle de la loi sur la protection des données et du droit du travail.

Best practice: Inclure une déclaration claire dans vos contrats de travail et votre avis de confidentialité du personnel indiquant que la vidéosurveillance peut être utilisée pour des raisons de sécurité, de sûreté et — lorsque cela est proportionné et conforme à l'objectif initial — pour la gestion des performances et à des fins disciplinaires.

Qu'en est-il de l'enregistrement audio ?

De nombreux systèmes de vidéosurveillance dans le commerce de détail incluent l'audio — capturant les conversations des clients ainsi que la vidéo. Dans la plupart des juridictions de l'UE, l'enregistrement audio est soumis à des règles plus strictes que la vidéo.

En vertu du RGPD britannique, l'enregistrement audio dans un environnement de vente au détail soulève des considérations supplémentaires :

– The Information Commissioner’s Office considère que l’enregistrement audio est plus intrusif pour la vie privée que la vidéo seule, en particulier lorsqu’il capture des conversations privées.

– Enregistrer les conversations des clients à leur insu peut impliquer des cadres juridiques supplémentaires au-delà du RGPD, y compris les lois relatives à l'interception des communications.

– Dans un contexte de vente au détail, l'enregistrement audio des interactions avec les clients (à la caisse, lors d'un remboursement, dans une cabine d'essayage) soulève des préoccupations particulières concernant la capture d'informations personnelles sensibles.

Recommandation pratique pour la plupart des détaillants : Désactivez l'enregistrement audio sauf si vous avez une raison spécifique et documentée de le garder activé, et que vous avez pris un avis juridique sur les exigences de votre juridiction.

Gestion des Demandes d'Accès aux Images

En vertu du RGPD, les personnes ont le droit d'accéder aux images dans lesquelles elles apparaissent. C'est ce qu'on appelle une demande d'accès aux données (DSAR).

Dans un contexte de vente au détail, les DSAR proviennent généralement de :

– Clients qui estiment avoir été traités injustement et qui veulent voir ce qui s'est passé

– Anciens employés impliqués dans des procédures disciplinaires

– Personnes déposant une plainte concernant un incident dans le magasin

Répondre à une DSAR impliquant des images de vidéosurveillance nécessite :

1. Recherche des séquences pertinentes dans le délai de réponse d'un mois

2. Examen des images pour identifier d'autres personnes qui pourraient devoir être caviardées

3. Montage des séquences obscurcir les visages et les caractéristiques identifiantes de tiers non concernés (ou disposer d'une base légale claire pour une divulgation sans occultation)

4. Fournir les images dans un format accessible au demandeur

5. Documenter la réponse à des fins de responsabilité

Les demandes d'accès aux données personnelles (DSAR) impliquant des images de vidéosurveillance d'autres clients créent une tension pratique : vous avez l'obligation de fournir au demandeur les images le concernant, mais vous avez également l'obligation de protéger la vie privée des autres personnes apparaissant sur ces mêmes images.

Les lignes directrices de l'ICO indiquent que lorsque les images incluent des tiers qui ne peuvent pas être retirés dans la pratique, le responsable du traitement peut fournir les images avec les tiers floutés — ou peut refuser de fournir les images si le floutage n'est pas réalisable. Documenter la décision dans un sens ou dans l'autre.

Que Faire Si les Images Montrent un Incident

Lorsque des images de vidéosurveillance capturent ce qui semble être un crime — un vol, une agression, un acte de vandalisme — l'instinct est de les conserver indéfiniment. C'est compréhensible, mais cela entre en conflit avec vos obligations de conservation.

L'approche correcte :

1. Sécurisez immédiatement les images pertinentes en le téléchargeant vers un emplacement séparé et protégé

2. Documenter le téléchargement — l'heure, la date, qui a fait la copie, et la raison

3. Marquer les séquences pour rétention prolongée — notez l'incident spécifique, la date et la raison pour laquelle il est conservé au-delà de la période standard.

4. Contact the police si un crime a été commis et que les images peuvent aider leur enquête

5. Ne partagez pas les images publiquement. — partager des séquences identifiables d'individus sur les réseaux sociaux ou avec des organisations médiatiques est une violation de la protection des données dans la plupart des circonstances.

6. Supprimer les séquences une fois que l'affaire est résolue (affaire pénale conclue, disciplinaire résolue, réclamation d'assurance réglée, ou confirmation qu'aucune autre action n'est nécessaire)

Dois-je m'inscrire auprès de l'ICO ?

Les entreprises britanniques disposant d'un système de vidéosurveillance (CCTV) qui traite des données personnelles sont tenues de payer la frais de protection des données au bureau du commissaire à l'information — actuellement 40 £ par an pour les petites organisations utilisant jusqu'à 10 caméras de vidéosurveillance, ou 60 £ pour les organisations ayant un traitement plus complexe.

C'est un oubli courant. De nombreux petits détaillants ne savent pas qu'ils doivent s'inscrire. Ne pas s'inscrire est une infraction — et c'est une infraction que l'ICO applique activement, notamment à la suite de plaintes.

L'inscription est simple et peut être effectuée en ligne sur le site web de l'ICO. Le processus prend 15 à 20 minutes et vous demande de décrire quelles données CCTV vous traitez, pourquoi, et combien de temps vous les conservez.

Pour les entreprises de l'UE, l'obligation équivalente est la notification à l'autorité nationale de protection des données — bien que dans la plupart des pays de l'UE, cela soit intégré dans le cadre de conformité au RGPD plutôt que d'être des frais d'enregistrement distincts.

Élaborer Votre Liste de Conformité pour la Vidéosurveillance

Parcourez cette liste avant de vous fier à votre système de vidéosurveillance :

Base juridique et finalité :

– [ ] J'ai documenté la base juridique spécifique pour mon traitement de vidéosurveillance (intérêts légitimes)

– [ ] J'ai documenté les fins spécifiques auxquelles les images sont utilisées (sécurité, prévention du vol, sécurité)

– [ ] J'ai effectué un test d'équilibrage confirmant que ma surveillance est proportionnée à ces fins.

Placement de la caméra :

– [ ] Aucune caméra n'est placée dans les toilettes, les vestiaires ou les salles de repos du personnel.

– [ ] Les caméras ne capturent pas plus d'espace public que nécessaire.

– [ ] J'ai envisagé d'utiliser le masquage de confidentialité pour exclure les zones non souhaitées de l'enregistrement.

Transparence:

– [ ] Les panneaux de vidéosurveillance sont affichés à chaque entrée de la zone surveillée.

– [ ] Les panneaux identifient l'entreprise en tant que responsable du traitement des données.

– [ ] Les panneaux dirigent les personnes vers où elles peuvent trouver plus d'informations

– [ ] Le personnel a été informé par écrit de la vidéosurveillance (contrat de travail ou notice de confidentialité)

Rétention:

– [ ] J'ai une période de conservation documentée (30 jours est la norme pour la plupart des commerces de détail)

– [ ] La suppression automatique est configurée et testée

– [ ] J'ai un processus pour signaler et conserver les images liées aux incidents actifs.

Accès et sécurité :

– [ ] Seul le personnel autorisé peut accéder aux images de vidéosurveillance.

– [ ] Les systèmes de vidéosurveillance sont protégés avec des mots de passe forts (modifiés par rapport aux valeurs par défaut)

– [ ] Le firmware sur le matériel CCTV est maintenu à jour.

– [ ] J'ai un processus pour répondre aux DSARs dans un délai d'un mois

Inscription et documentation :

– [ ] Je suis enregistré auprès de l'ICO (Royaume-Uni) ou de l'autorité nationale compétente de protection des données (UE)

– [ ] Je dispose d'une politique de vidéosurveillance documentée qui est révisée annuellement.

– [ ] J'ai un registre de qui a accès au système CCTV et pourquoi

L'Argument Commercial pour Bien Faire les Choses

Au-delà d'éviter les amendes, la vidéosurveillance conforme au RGPD apporte une véritable valeur commerciale. Les images qui sont correctement gérées, conservées pour la bonne période et accessibles en cas de besoin sont un outil efficace pour :

– Dissuader le vol opportuniste — à la fois client et employé

– Résolution des litiges clients — une demande de remboursement contredite par des images, ou une confrontation sans témoins

– Soutien aux réclamations d'assurance — preuves documentées d'incidents, d'effractions ou de dommages matériels

– Sécurité des employés — les caméras dans les zones de traitement des espèces et l'arrière-boutique protègent le personnel

– Formation — images anonymisées utilisées pour démontrer les bonnes et mauvaises pratiques

Un système mal géré — conservant trop d’images, accessible à trop de personnes, et mal documenté — échoue sur tous ces points. Il expose l’entreprise à des actions réglementaires, fournit des preuves de mauvaise qualité quand on en a vraiment besoin, et crée des risques inutiles pour le personnel et les clients.

La conformité au RGPD n'est pas un fardeau. C'est la différence entre un système de vidéosurveillance qui vous protège et un qui crée une responsabilité.

Besoin d'un système de vidéosurveillance conçu pour la conformité ? comment choisir la meilleure caméra cachée en 2026 pour découvrir notre gamme de caméras de sécurité pour magasins de détail certifiées CE et RoHS — conçues pour les entreprises qui prennent à la fois la sécurité et la protection des données au sérieux.

---

Questions fréquemment posées

Le RGPD s'applique-t-il à la vidéosurveillance de mon magasin même si je suis une petite entreprise ?

Oui. Le RGPD s'applique à toutes les entreprises, quelle que soit leur taille, qui traitent des données personnelles, et les images de vidéosurveillance de personnes identifiables constituent des données personnelles. La taille de votre entreprise, le nombre de caméras que vous possédez et le fait que vous examiniez activement les images sont tous sans rapport avec l'application du RGPD. Les obligations sont les mêmes pour un petit commerce que pour une grande chaîne de vente au détail.

Combien de temps puis-je légalement conserver les images de vidéosurveillance ?

Le RGPD exige que les images ne soient pas conservées plus longtemps que nécessaire. Pour la plupart des entreprises de vente au détail, 30 jours est la norme pratique et défendable. Conserver des images pendant 6 à 12 mois sans raison spécifique documentée n'est pas légal. Vous pouvez conserver des images spécifiques plus longtemps si elles concernent une enquête en cours, une réclamation d'assurance ou des procédures judiciaires — mais cela doit être documenté et les images doivent être supprimées dès que l'affaire est résolue.

Où dois-je afficher les panneaux de vidéosurveillance ?

Vous devez afficher des panneaux à chaque entrée de la zone couverte par la vidéosurveillance — c'est-à-dire chaque porte ou point d'entrée par lequel les clients ou le personnel pénètrent dans un espace surveillé. Les panneaux doivent être clairement visibles, faciles à comprendre et inclure le nom de l'entreprise en tant que responsable du traitement des données, ainsi que des informations sur l'endroit où les clients peuvent consulter la notice de confidentialité complète.

Puis-je utiliser mes images de vidéosurveillance dans des procédures disciplinaires du personnel ?

Oui, dans la plupart des cas — mais seulement si votre personnel a été informé à l'avance que les images peuvent être utilisées à cette fin. Cette divulgation doit figurer dans leurs contrats de travail et dans la notice de confidentialité du personnel. Si le personnel a seulement été informé que la vidéosurveillance était destinée à la “ sécurité ”, l'utilisation des images pour la gestion des performances ou des enquêtes disciplinaires non liées pourrait être contestée. Soyez précis dans votre divulgation concernant les finalités pour lesquelles les images peuvent être utilisées.

Dois-je flouter les autres clients avant de partager les images de vidéosurveillance ?

Lorsqu'un client soumet une DSAR pour des images dans lesquelles il apparaît, vous avez l'obligation de fournir ces images. Lorsque les images montrent également d'autres personnes identifiables qui n'ont pas consenti à leur divulgation, vous devez tenter de masquer leur identité — par exemple en floutant les visages — avant de fournir les images. Si le masquage n'est pas réalisable, documentez la décision et évaluez si vous avez une base légale pour divulguer sans rédaction. Ne partagez jamais des images identifiables de personnes non impliquées sans leur consentement, sauf si vous avez une obligation légale spécifique de le faire.

Puis-je enregistrer l'audio sur mon système de vidéosurveillance de détail ?

Dans la plupart des juridictions de l'UE, l'enregistrement audio est soumis à des règles plus strictes que la vidéo. Il est plus intrusif pour la vie privée et peut relever de cadres juridiques supplémentaires. Pour la plupart des entreprises de vente au détail, l'approche la plus sûre est de désactiver l'enregistrement audio, sauf si vous avez une raison spécifique documentée et que vous avez obtenu un avis juridique sur les exigences de votre juridiction. Si vous enregistrez l'audio, cela doit être inclus dans vos panneaux, votre notice de confidentialité et votre politique de conservation.

Dois-je payer la redevance de protection des données à l'ICO ?

Les entreprises britanniques utilisant la vidéosurveillance qui traitent des données personnelles doivent payer la redevance de protection des données à l'Information Commissioner's Office — actuellement 40 £ par an pour les petites organisations. L'enregistrement est obligatoire et l'ICO applique activement cette exigence. Les entreprises qui ne s'enregistrent pas risquent des poursuites pénales et une amende. L'enregistrement est simple via le site web de l'ICO et doit être effectué avant de commencer à utiliser tout système de vidéosurveillance.