Vidéosurveillance dans un commerce: quelle durée de conservation des enregistrements ?

L’installation de caméras de vidéosurveillance (ou de « vidéoprotection » selon la terminologie du Code de la sécurité intérieure) dans un commerce est aujourd’hui courante.

Elle répond à un objectif légitime de prévention des vols, d’amélioration de la sécurité des personnes et de protection des locaux. Mais cette installation emporte des obligations juridiques strictes, notamment en matière de durée de conservation des images.

Le droit français encadre en effet précisément les conditions dans lesquelles un commerçant peut enregistrer, visionner et conserver des images de vidéosurveillance. La durée de conservation constitue un point central du dispositif, à la fois au titre du Code de la sécurité intérieure et du Règlement général sur la protection des données (RGPD).

Cet article propose une analyse approfondie du régime applicable.

I. Le cadre juridique : Code de la sécurité intérieure et RGPD

Les systèmes de vidéosurveillance installés dans des lieux ouverts au public, tels que les commerces, sont régis par les articles L. 251-1 et suivants du Code de la sécurité intérieure (CSI).Ils sont soumis à autorisation préfectorale lorsque les caméras filment des zones ouvertes au public, et doivent respecter l'objectif déclaré lors de la demande.

L’article L. 252-3 CSI fixe la règle fondamentale concernant la conservation des images :

« Les enregistrements de vidéoprotection ne peuvent être conservés plus d’un mois. »

Ce texte constitue un plafond absolu. Aucune entreprise, commerce ou entité privée n’est autorisée à conserver les images au-delà de trente jours.

À ces règles s’ajoutent les exigences du RGPD (Règlement UE 2016/679), applicables dès lors que les images permettent d’identifier directement ou indirectement une personne physique.Le commerçant devient alors « responsable de traitement » et doit garantir que la durée de conservation soit :

• déterminée,

• proportionnée,

• justifiée par l’objectif poursuivi.

L’article 5 du RGPD impose en effet que les données personnelles soient conservées « pendant une durée n’excédant pas celle nécessaire au regard des finalités » pour lesquelles elles sont traitées.

II. Une durée maximale de conservation fixée à 30 jours : un plafond strict

L’article L. 252-3 CSI fixe la règle de droit commun : conservation maximale de 30 jours.Il s’agit du plafond légal applicable à tous les dispositifs de vidéoprotection filmant des lieux ouverts au public.

L’administration (notamment la CNIL) rappelle régulièrement que ce délai ne constitue pas un droit automatique : un commerce ne peut pas décider de conserver systématiquement ses images 30 jours sans justification. La durée doit être adaptée aux risques réellement encourus. Par exemple :

• un commerce de détail sans incidents particuliers conservera ses images quelques jours ;

• un établissement exposé à des actes de malveillance répétés pourra motiver une durée plus longue, sans dépasser 30 jours.

La durée doit par ailleurs être documentée dans le registre des traitements ou la documentation interne du commerçant.

III. Une durée en pratique beaucoup plus courte : principe de proportionnalité

Si le seuil légal est de trente jours, la durée pertinente au regard du RGPD est souvent bien inférieure.La CNIL souligne que les images sont en général consultées dans les tout premiers jours suivant un incident, et qu’une conservation de plus de 7 à 15 jours n’est pas toujours justifiée.

Le commerçant doit donc évaluer concrètement :

• le niveau de risque (fréquence des vols, antécédents, type d’activité) ;

• le délai raisonnable pour découvrir un incident ;

• le besoin effectif de visionner les images.

Cette analyse fait partie des obligations qui s’imposent au responsable de traitement.Une conservation excessive peut constituer un manquement au principe de minimisation (art. 5 RGPD), exposant le commerçant à un contrôle de la CNIL.

IV. Cas particulier : conservation prolongée pour les besoins d’une procédure judiciaire

La loi distingue la conservation générale des images et la conservation d’extraits nécessaires à une procédure.

Lorsqu’un incident survient (vol, agression, dégradation), le commerçant peut :

1. extraire les images utiles,

2. les conserver séparément,

3. les transmettre aux autorités dans le cadre d’une enquête ou les conserver à titre probatoire jusqu’au terme de la procédure.

Ces images ne sont alors plus soumises au délai général de 30 jours dès lors que leur conservation s’inscrit dans un cadre légal justifié, notamment :

• dépôt de plainte,

• réquisition judiciaire,

• action en justice en responsabilité civile ou pénale.

Il ne s’agit plus d’une « conservation du flux continu » mais d’un archivage ponctuel et légalement motivé.

V. Obligations du commerçant : information, sécurité, traçabilité

L’installation d’un système de vidéosurveillance impose plusieurs obligations :

A. Information du public

Le commerçant doit informer clairement les clients et les salariés de l’existence du dispositif, par un panneau visible, mentionnant notamment :

• la finalité du système (sécurité des biens et des personnes),

• le responsable du traitement,

• la durée de conservation,

• les droits d’accès (via les forces de l’ordre pour les lieux ouverts au public).

B. Sécurisation de l’accès aux images

Seules les personnes habilitées peuvent accéder aux images.Les images doivent être protégées contre l’accès non autorisé, le téléchargement illicite ou toute diffusion impropre.

C. Encadrement interne et registre des traitements

L’entreprise doit tenir une documentation interne (RGPD) précisant :

• la durée exacte de conservation,

• les personnes autorisées à consulter les images,

• les modalités d’effacement automatique.

VI. Risques en cas de non-respect

Le non-respect des durées de conservation peut exposer le commerçant à :

A. Sanctions administrative

La CNIL peut prononcer des sanctions pour manquement aux principes de proportionnalité et de minimisation (article 83 RGPD), notamment des amendes financières.

B. Responsabilité pénale

Le Code de la sécurité intérieure sanctionne l’usage d’un système de vidéoprotection non conforme, notamment en cas :

• d’absence d’autorisation préfectorale,

• de conservation excessive des images,

• de détournement de finalité.

C. Nullité et rejet des preuves

Une preuve obtenue en dehors du cadre légal peut être contestée devant le juge, notamment dans les litiges de droit du travail ou les affaires pénales.

Conclusion

La conservation des images de vidéosurveillance en commerce obéit à un double encadrement : un plafond légal de 30 jours prévu par l’article L. 252-3 du Code de la sécurité intérieure, et le principe de proportionnalité imposé par le RGPD, qui conduit souvent à retenir une durée plus courte.Le commerçant doit documenter la durée retenue, informer le public, sécuriser l’accès et respecter les obligations de traitement des données.

En cas d’incident, des extraits peuvent être conservés plus longtemps si une procédure judiciaire le justifie.Le non-respect des règles expose le professionnel à des sanctions et, potentiellement, à l’inopposabilité des preuves recueillies.