Caméras et alarmes connectées : ce que la CNIL attend de vous

Pendant longtemps, la CNIL concentrait ses contrôles sur les responsables de traitement « visibles » : grandes entreprises, plateformes, employeurs, collectivités. Depuis le développement massif de la maison connectée — caméras IP grand public, sonnettes vidéo, serrures connectées, hubs vocaux —, la chaîne d'acteurs s'est rallongée et l'autorité s'intéresse de près aux installateurs et intégrateurs.

La raison est simple : c'est presque toujours vous qui configurez le mot de passe d'accès, qui décidez de l'angle de la caméra, qui ouvrez un port sur le routeur, qui paramétrez l'envoi des notifications vers un cloud étranger. Le client, lui, sait rarement ce qu'il a accepté techniquement. Les rapports d'activité 2023 et 2024 de la CNIL mentionnent explicitement la vidéosurveillance domestique parmi les sujets prioritaires, avec des mises en demeure rendues publiques contre des installateurs qui avaient laissé des comptes administrateur par défaut.

Le risque pour vous est double : sanction administrative directe en cas de manquement caractérisé, et engagement de votre responsabilité civile professionnelle si le client subit un préjudice (piratage, fuite de données, atteinte à la vie privée d'un visiteur filmé).

Le RGPD distingue trois rôles, et il est essentiel de savoir lequel vous occupez sur chaque chantier. Le mauvais positionnement vous fait porter des obligations qui ne sont pas les vôtres — ou vous expose à des sanctions parce que vous ne saviez pas qu'elles s'appliquaient à vous.

L'exception domestique de l'article 2 du RGPD est une fausse amie. Elle ne s'applique que si le traitement est exclusivement personnel et ne sort pas du foyer. Dès qu'une caméra filme une partie de la voie publique, un palier d'immeuble ou un employé à domicile (femme de ménage, aide à la personne), l'exception saute et le client devient responsable de traitement à part entière. Votre rôle de sous-traitant s'active alors automatiquement si vous gardez le moindre accès.

L'analyse des décisions publiées par la CNIL et des sinistres traités par les assureurs RC Pro fait apparaître toujours les mêmes erreurs. Aucune n'est complexe à éviter, toutes coûtent cher si elles surviennent.

1. Mot de passe usine conservé. C'est le point n°1 dans les contrôles CNIL. Un installateur consciencieux change systématiquement les identifiants par défaut, sur la caméra, le NVR, le routeur et le compte cloud, et remet les nouveaux identifiants au client par écrit.
2. Champ de vision filmant la voie publique. Filmer le trottoir, la rue ou la fenêtre du voisin est interdit aux particuliers (art. L251-2 et suivants du Code de la sécurité intérieure). C'est à vous de cadrer l'objectif au moment de la pose et de documenter ce cadrage avec une capture d'écran datée.
3. Cloud étranger non documenté. Beaucoup de marques chinoises ou américaines hébergent les vidéos sur des serveurs hors UE, sans clause de transfert valide. Vous devez l'indiquer au client par écrit avant de lui faire signer le devis.
4. Télémaintenance non encadrée. Vous gardez un accès à distance pour intervenir vite ? Très bien, mais cet accès doit être contractualisé (contrat de sous-traitance écrit, durée, finalité, traçabilité).
5. Absence d'information des personnes filmées. Si le client filme une zone où d'autres personnes peuvent apparaître (interphone vidéo, sonnette connectée), il doit afficher une information conforme à l'article 13 du RGPD. C'est votre rôle de conseil de le lui rappeler par écrit.

L'article 28 du RGPD vous oblige, dès que vous êtes sous-traitant, à formaliser la relation par écrit. Un contrat de sous-traitance bien rédigé est paradoxalement votre meilleur outil de protection juridique : il borne ce que vous traitez, ce que vous ne traitez pas, et qui paie quoi en cas d'incident.

Les mentions minimales à insérer dans votre annexe RGPD au devis :

• Objet et durée du traitement (« télémaintenance du système d'alarme pour 24 mois renouvelables »).
• Nature et finalité (« diagnostic à distance, mise à jour de firmware »).
• Type de données et catégories de personnes concernées (« vidéos, journaux d'événements, occupants du logement »).
• Obligations du sous-traitant : confidentialité, sécurité, notification d'incident sous 48 h.
• Conditions de sous-traitance ultérieure (si vous-même utilisez un cloud tiers : Synology C2, Reolink Cloud, Verisure…).
• Sort des données en fin de prestation : suppression ou restitution.

Sans ce document, en cas de contrôle, la CNIL peut considérer que vous opérez « hors cadre » et vous appliquer le régime des amendes prévu à l'article 83 du RGPD — jusqu'à 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves.

L'article 32 du RGPD impose une « sécurité adaptée au risque ». L'expression est volontairement floue, mais la CNIL et l'ANSSI publient régulièrement des recommandations qui constituent désormais l'état de l'art exigible d'un installateur professionnel.

Couche réseau

Segmentation systématique : un VLAN dédié pour les caméras et objets connectés, distinct du réseau famille. Désactivation de l'UPnP sur le routeur, refus des ports ouverts en entrée si une solution de cloud relais existe.

Couche identité

Mot de passe unique par équipement, généré aléatoirement (au moins 12 caractères), MFA activé sur le compte cloud du client, suppression de votre propre compte d'installation à la remise des clés (sauf contrat de maintenance signé).

Couche mise à jour

Vérification que le firmware installé est à jour le jour de la pose, activation des mises à jour automatiques quand le constructeur les propose, et mention explicite dans le contrat de maintenance de votre obligation de surveillance des CVE publiées.

Documenter ces trois couches dans un registre de paramétrages simple (un tableau Excel suffit) vous donne une preuve majeure en cas de contrôle ou de sinistre. C'est aussi un argument commercial : peu d'installateurs le font, c'est un facteur de différenciation rentable. Pour calibrer votre couverture face à ces risques très spécifiques, vérifiez avec notre équipe que votre contrat domoticien intègre bien un volet cyber et données personnelles.

La CNIL peut être saisie par un client mécontent, par un voisin qui se plaint d'être filmé, ou se saisir d'office après une fuite de données médiatisée. Le scénario habituel suit trois étapes :

1. Mise en demeure publique ou non publique, avec un délai de mise en conformité (souvent 1 à 3 mois).
2. Contrôle de suivi : si la mise en conformité est satisfaisante, l'affaire s'arrête. Sinon, la formation restreinte de la CNIL est saisie.
3. Sanction : avertissement, rappel à l'ordre, amende administrative, voire injonction sous astreinte. Les sanctions financières contre les TPE/PME sont rares mais en augmentation depuis 2024.

Côté assurance, plusieurs garanties peuvent être mobilisées en parallèle : protection juridique pour la phase de mise en demeure, RC Pro pour les dommages causés au client ou à un tiers, et garantie cyber pour les frais d'analyse forensic, de notification CNIL et d'accompagnement juridique. Articuler ces trois garanties suppose de les avoir toutes les trois dans le même contrat — un point que peu de RC Pro bas de gamme intègrent.