Vidéosurveillance, RGPD et CNIL : ce qu'un centre de réception doit verrouiller en 2026
Le centre de télésurveillance n'est pas un simple prestataire technique : il est responsable de traitement conjoint ou sous-traitant RGPD. Cette qualification change tout en cas de fuite ou de contrôle CNIL.
- Le centre de télésurveillance est sous-traitant RGPD du client, mais devient responsable conjoint dès qu'il définit lui-même les modalités d'usage des images.
- La conservation des images de levée de doute doit être strictement limitée et tracée, sous peine de sanction CNIL.
- Les fuites d'images via un opérateur ou un prestataire IT sont des sinistres Cyber typiques, distincts de la RC Pro.
- Un contrat de sous-traitance conforme à l'article 28 du RGPD est exigé par la CNIL lors de tout contrôle.
Quelle qualification RGPD pour un centre de télésurveillance ?
La question paraît théorique mais elle structure toute votre conformité. Un centre de télésurveillance reçoit les images d'un système installé chez son client, les visionne pour qualifier une alarme, et parfois les conserve. Sur ces traitements, deux qualifications coexistent.
Sous-traitant au sens de l'article 28 du RGPD : c'est le cas standard. Le client (entreprise, copropriété, particulier) définit la finalité (protéger ses locaux) et les paramètres (durée de conservation, qui a accès). Vous exécutez sur instructions. Cette qualification impose un contrat écrit conforme à l'article 28, listant les obligations de sécurité, de notification, de retour ou destruction des données.
Responsable conjoint de traitement : la CNIL retient cette qualification dès que vous définissez vous-même les paramètres essentiels — par exemple si vos opérateurs décident seuls de conserver les snapshots d'une levée de doute pour leur propre dossier qualité, ou si vous mutualisez les images de plusieurs clients dans une base d'apprentissage. Dans ce cas, votre responsabilité directe est engagée vis-à-vis des personnes filmées.
La majorité des centres ignorent ce basculement : c'est pourtant la première chose vérifiée par la CNIL en contrôle.
Conservation des images : la règle des trois durées
La doctrine CNIL distingue trois durées de conservation que votre politique interne doit refléter explicitement.
- Flux de levée de doute : visionnage en temps réel, sans enregistrement par défaut côté centre. Si une captation est faite, elle doit être justifiée par un événement et conservée le temps strictement nécessaire au traitement de l'alarme.
- Snapshots conservés pour preuve : 30 jours maximum dans la quasi-totalité des cas, et seulement si un sinistre est constaté. Au-delà, vous devez pouvoir justifier d'une demande judiciaire ou d'une instruction écrite du client.
- Enregistrements transmis aux forces de l'ordre : remise sur réquisition uniquement, avec traçabilité de la transmission (qui, quand, pourquoi).
Toute conservation "par précaution" sans base légale est sanctionnable. La CNIL a prononcé en 2024 et 2025 plusieurs amendes contre des prestataires conservant les images pour leur propre besoin d'audit qualité ; ce motif n'est pas reconnu comme intérêt légitime sans information préalable des personnes filmées.
Les trois points de fragilité d'un contrôle CNIL
L'accès des opérateurs
La CNIL vérifie qui peut visionner les flux en temps réel et les enregistrements. Vous devez disposer d'une matrice d'habilitations, mise à jour mensuellement, avec authentification individuelle (pas de session partagée), traçabilité des consultations, et procédure de retrait des accès en cas de départ. Un opérateur qui consulte un flux "par curiosité" engage votre responsabilité.
Le sous-traitant IT
Votre hébergeur, votre éditeur de logiciel de réception, votre intégrateur de caméras sont vos propres sous-traitants. Vous devez disposer pour chacun d'un contrat conforme à l'article 28, et avoir vérifié leur conformité (audit, certification ISO 27001 ou équivalent). L'absence de ces contrats est un motif récurrent d'amende.
L'information des personnes filmées
La signalétique sur site relève du client, mais la CNIL contrôle si vous l'avez vérifiée. Un contrat type prévoyant une obligation d'attestation client d'information préalable vous protège.
Sinistres Cyber typiques d'un centre de réception
Trois scénarios concentrent l'essentiel des déclarations Cyber observées sur ce métier.
- Exfiltration de la base d'images via un accès distant compromis (VPN avec mot de passe faible, RDP exposé). Les images de dizaines de clients fuitent. Coût moyen observé : 65 000 à 180 000 € (notification CNIL, communication aux personnes filmées, frais d'expertise forensique, perte de contrats).
- Rançongiciel sur le serveur de réception d'alarmes, paralysant l'activité 24 à 72 heures. La double peine est immédiate : violation de données et défaut de traitement des alarmes pendant la panne. La RC Pro et la garantie Cyber doivent être articulées.
- Divulgation interne par un opérateur partageant des images sur les réseaux sociaux ou avec un tiers. Sanction CNIL probable, action du client, action des personnes filmées.
Une garantie Cyber dédiée prend en charge la gestion de crise (forensique, notification CNIL, communication), les pertes d'exploitation et les sanctions administratives lorsque la loi locale le permet. Une RC Pro seule ne suffit pas : elle indemnise les dommages aux clients mais pas le coût de la crise interne.
Le contrat de sous-traitance article 28 : les clauses à exiger
Chacun de vos contrats clients doit comporter une annexe RGPD précise. Les clauses suivantes sont des standards de marché à reprendre intégralement.
| Clause | Contenu attendu |
|---|---|
| Objet et durée | Surveillance à distance avec traitement d'images et de données d'alarme, durée alignée sur le contrat principal. |
| Nature des données | Images, métadonnées d'alarme, coordonnées des correspondants désignés. |
| Mesures de sécurité | Chiffrement en transit et au repos, authentification forte des opérateurs, journalisation des accès, sauvegardes chiffrées. |
| Sous-traitance ultérieure | Liste nominative des sous-traitants IT, notification préalable de tout changement. |
| Notification | Information du responsable de traitement dans les 24 heures maximum d'une violation. |
| Retour ou destruction | Procédure documentée en fin de contrat avec attestation écrite. |
Une annexe RGPD propre divise par cinq le risque de condamnation conjointe en cas de sinistre. Elle est aussi le premier document demandé par votre futur assureur Cyber lors de la souscription.
Anonymisation, floutage et reconnaissance : les nouveaux fronts
L'arrivée généralisée des modules d'analyse vidéo intelligente (détection de silhouette, comptage, reconnaissance d'objets) déplace les zones de risque RGPD. Plusieurs centres ont reçu en 2025 des mises en demeure CNIL pour avoir activé par défaut des fonctionnalités d'analyse comportementale sans information préalable des personnes filmées.
Trois règles structurantes doivent être appliquées dans votre offre.
- Toute fonctionnalité d'analyse au-delà du simple visionnage doit être activée client par client, après vérification de sa base légale et de sa signalétique.
- Les flux destinés à l'analyse ne doivent pas être conservés au-delà de la durée du traitement de l'alarme, sauf justification écrite.
- Toute fonctionnalité s'apparentant à de la reconnaissance faciale ou biométrique relève d'un cadre dérogatoire strict et ne peut être proposée sans autorisation préalable.
La mention explicite de ces règles dans le contrat de sous-traitance protège le centre lorsque le client active une fonctionnalité sans en mesurer les conséquences. Sans cette mention, le centre est présumé avoir consenti à l'usage du client et partage la sanction CNIL éventuelle.
Articuler RC Pro, Cyber et MRP pour une couverture cohérente
La sinistralité RGPD croise trois polices souvent souscrites séparément. La cohérence d'ensemble se travaille à la souscription, pas après le sinistre.
- La RC Pro couvre les dommages causés au client et aux tiers du fait d'un manquement professionnel, y compris en matière de protection des données. C'est elle qui paie l'indemnisation du client et des personnes filmées.
- La garantie Cyber finance la gestion de crise : forensique, notification CNIL, communication, expertise juridique, perte d'exploitation interne du centre. Elle prend aussi en charge les frais de défense devant la CNIL.
- La multirisque professionnelle (MRP) couvre les dommages matériels au centre lui-même : serveurs, postes opérateurs, locaux. En cas d'incident technique majeur, son intervention est complémentaire de la Cyber.
Le bon réflexe est d'aligner les trois contrats sur le même assureur ou sur un même portefeuille géré par un courtier unique. Les conflits d'interprétation entre assureurs concurrents sont la première cause de retard d'indemnisation observée dans ce métier.
Questions fréquentes
Cela dépend du contrôle exercé sur les finalités. Tant que le client définit pourquoi et comment les images sont traitées, vous êtes sous-traitant. Dès que vous définissez vos propres finalités (qualité, formation, mutualisation), vous devenez responsable conjoint avec les obligations associées.
La doctrine CNIL retient 30 jours comme plafond raisonnable lorsque la conservation est justifiée par un événement. Une conservation plus longue exige une base légale précise : réquisition judiciaire, instruction écrite du client ou contentieux en cours.
Les deux interviennent. La RC Pro indemnise les dommages causés au client et aux personnes filmées. La garantie Cyber couvre les frais de gestion de crise (forensique, notification, communication) et la perte d'exploitation. L'articulation des deux contrats doit être validée à la souscription.
Notifier immédiatement votre assureur Cyber (la plupart des contrats incluent un accompagnement juridique), désigner un point de contact unique, préparer les contrats article 28, la matrice d'habilitations, les politiques de conservation et les preuves d'information. Le contrôle dure entre une demi-journée et deux jours.
Oui, en complément du contrat de travail. La CNIL recommande un document spécifique rappelant les sanctions pénales et professionnelles en cas de consultation injustifiée ou de divulgation. Sa présence dans les dossiers du personnel est vérifiée en contrôle.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Société de télésurveillance — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Société de télésurveillance →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.