Caméra filmant la rue ou les salariés : votre responsabilité RGPD

Beaucoup d'installateurs raisonnent ainsi : « je pose la caméra où le client me le demande, c'est lui le propriétaire des images, donc c'est lui qui répond de la conformité. » Cette analyse est en partie juste — et en partie dangereuse.

Elle est juste sur un point : au sens du RGPD, le responsable de traitement est bien celui qui décide des finalités et des moyens, c'est-à-dire votre client. C'est lui qui devra répondre devant la CNIL d'une éventuelle sanction administrative.

Mais elle est dangereuse sur un autre : vous, professionnel de la vidéosurveillance, êtes réputé connaître les règles d'orientation, de signalisation et de conservation des images. À ce titre, vous êtes débiteur d'un devoir de conseil envers un client qui, lui, n'est pas expert. Et si vous installez sans broncher un dispositif manifestement illégal, votre silence peut devenir une faute professionnelle engageant votre responsabilité civile.

Autrement dit : la CNIL sanctionne le client, mais le client peut ensuite se retourner contre vous. Et même sans intervention de la CNIL, un voisin filmé à son insu ou un salarié placé sous surveillance illicite peut agir directement, devant le juge civil ou prud'homal, en réparation de l'atteinte à sa vie privée. Vous découvrez alors que l'installation que vous pensiez « livrée et oubliée » continue de produire un risque tant qu'elle filme.

La grande majorité des mises en cause portent sur trois configurations que tout installateur doit savoir repérer instantanément :

1. La caméra qui filme la voie publique. Un particulier ou une entreprise ne peut filmer que sa propre parcelle. Une caméra orientée sur le trottoir, la rue ou la propriété voisine est illicite, sauf autorisation préfectorale spécifique pour certains établissements. C'est l'erreur la plus fréquente et la plus visible.
2. Les salariés filmés en continu sans information. Sur un lieu de travail, on ne peut pas placer les employés sous surveillance permanente à leur poste, ni les filmer sans qu'ils en soient informés, sans consultation du CSE et sans inscription au registre des traitements. Les caméras de caisse ou d'atelier mal positionnées sont un grand classique.
3. L'absence de signalisation et la conservation excessive. Tout dispositif doit être signalé par un panneau visible mentionnant l'existence de la vidéo, sa finalité et les droits des personnes. Les images ne doivent pas être conservées au-delà de la durée justifiée (souvent un mois maximum).

Ces trois points relèvent directement de votre expertise technique : l'orientation, c'est vous ; le paramétrage de la durée de conservation, c'est vous ; le conseil sur la signalétique, c'est encore vous.

La frontière de responsabilité se lit à travers ce que vous saviez ou auriez dû savoir. Voici comment elle se répartit en pratique :

La logique est constante : plus la non-conformité relève d'un choix technique que vous maîtrisiez, plus votre part de responsabilité grandit. À l'inverse, un client averti par écrit qui passe outre vous dégage largement.

Un cas mérite une attention particulière : celui où vous intervenez aussi en maintenance ou en supervision des images. Si vous gérez l'accès au logiciel d'enregistrement, que vous paramétrez les droits ou que vous assurez la sauvegarde des séquences, vous pouvez glisser du rôle de simple installateur vers celui de sous-traitant au sens du RGPD. Ce statut impose des obligations propres, notamment un contrat de sous-traitance encadrant ce que vous avez le droit de faire des données. Beaucoup d'installateurs franchissent cette ligne sans le savoir, simplement en gardant un accès distant « pour dépanner ».

Le devoir de conseil n'est pas qu'une contrainte : bien exécuté, c'est votre bouclier. Un installateur qui a alerté son client par écrit sur une orientation problématique et qui a obtenu un accord exprès se trouve dans une position juridique très solide.

Quelques réflexes transforment ce devoir en preuve opposable :

• Mentionnez sur le devis ou le PV de pose les contraintes RGPD applicables : pas de voie publique, signalisation obligatoire, information des salariés, durée de conservation limitée.
• Faites un masquage technique (privacy mask) sur les zones interdites quand le matériel le permet, et notez-le.
• Conservez la trace écrite de toute demande du client allant à l'encontre de vos recommandations, avec sa validation.
• Remettez une notice rappelant que le client est responsable de traitement et doit, le cas échéant, tenir un registre et informer les personnes.

En cas de contrôle CNIL chez votre client, ces documents démontrent que vous avez rempli votre obligation d'information. Sans eux, votre silence pourra être interprété comme une négligence professionnelle.

Il faut être très clair sur un point, car c'est une source de malentendus : l'amende administrative prononcée par la CNIL n'est jamais assurable. Une sanction publique a un caractère personnel et dissuasif ; aucun assureur ne peut la prendre en charge, faute de quoi elle perdrait tout effet. Cette amende reste à la charge du fautif désigné — en principe votre client, responsable de traitement.

En revanche, plusieurs volets du risque sont, eux, couverts :

• La défense juridique : les frais d'avocat et de conseil pour répondre à une mise en cause, qu'elle vienne de la CNIL via votre client, d'un salarié filmé ou d'un voisin, sont pris en charge.
• Le préjudice réclamé : si votre client vous assigne pour faute professionnelle (défaut de conseil ayant entraîné sa sanction), la RC Pro couvre les dommages immatériels qu'il vous réclame.
• Les réclamations de tiers : un salarié ou un voisin invoquant une atteinte à sa vie privée du fait de votre installation entre dans le champ de la garantie.

L'enjeu est donc moins l'amende elle-même que la cascade de réclamations qu'une non-conformité déclenche. C'est cette cascade que votre assurance neutralise.

L'activité de vidéosurveillance ajoute au métier d'installateur une dimension « données personnelles » que les contrats standards d'électricien ou de poseur ne prévoient pas toujours. Avant de signer, vérifiez trois points :

• Que la responsabilité liée au traitement de données et au RGPD figure explicitement parmi les garanties, via une protection juridique professionnelle adaptée.
• Que les dommages immatériels non consécutifs (préjudice sans dommage matériel préalable, typique du RGPD) sont couverts.
• Que la couverture suit l'ensemble de votre activité : intrusion, vidéo, mais aussi local et matériel si vous stockez des équipements ou des serveurs d'enregistrement.

Si vous gérez vous-même des enregistreurs ou un parc informatique connecté, une réflexion sur la couverture de votre matériel et des données est utile. Pour le détail de votre situation et un tarif, consultez la page assurance installateur d'alarmes et vidéosurveillance.