Registre de vidéosurveillance : ce qu’il faut savoir !

Dans le cadre de la protection, des biens et des personnes, l’employeur a la possibilité de mettre en place dans l’entreprise un système de surveillance. La mise en place d’un tel système est strictement encadrée par la loi et la commission nationale de l'informatique et des libertés (CNIL). 

L’une des obligations de l’employeur est d’inscrire le dispositif de vidéo-surveillance dans le registre des activités de traitement. 

Qu’est-ce que le registre de vidéosurveillance ? Quelle est la différence avec le registre des activités de traitement ? Quelles sont les entreprises concernées par cette obligation ? PayFit vous répond.

Qu’est-ce que le registre de vidéosurveillance ?

Le registre de vidéosurveillance est un document rassemblant les informations relatives à la mise en place d’un dispositif de vidéosurveillance dans l’entreprise.

En pratique, les entreprises utilisent le terme “registre de vidéosurveillance” pour désigner le registre des activités de traitement.

Le registre des activités de traitement a pour principal objectif de recenser le traitement des données dans l’entreprise. C’est dans ce document que l’employeur est tenu d’indiquer plusieurs informations relatives à la mise en place d’un système de vidéosurveillance.

Ce registre permet à l’employeur de s’assurer de la conformité des différents dispositifs présents dans l’entreprise. Il s'agit d'un document obligatoire de l'entreprise.

Le registre de vidéosurveillance est-il obligatoire pour toutes les entreprises ? 

Dans le cadre de la mise en place d’un dispositif de vidéosurveillance, l’employeur est tenu de respecter plusieurs formalités. 

La principale obligation de l’employeur est d’inscrire le dispositif de vidéosurveillance dans le registre des traitements de données qu'il doit tenir. 

Cette obligation de tenir un registre avec les données de vidéosurveillance s’applique à toutes les entreprises, quelle que soit leur taille, dès lors qu’elles traitent des données personnelles des salariés.

Pour rappel, la CNIL n’impose aucune formalité à l’employeur si les caméras filment un lieu non ouvert au public. Il s’agit par exemple des espaces de stockage, des réserves, des espaces réservés au personnel de l’entreprise, etc.

La CNIL précise que dans le cas où l’organisme ayant mis en place le système de vidéosurveillance désigne un délégué à la protection des données (DPO), ce dernier doit obligatoirement être associé à la mise en place de ce dispositif. En outre, si le système de vidéosurveillance doit faire l’objet d’une analyse d’impact relative à la protection des données (AIPD), le DPO doit impérativement y être associé.

Précision : dans le cadre de sa mission, le DPO doit également s'assurer de la conformité de l'élaboration des bulletins de paie avec le RGPD.

Que doit contenir le registre de vidéosurveillance ?

Le contenu de ce registre est prévu par l’article 30 du règlement général sur la protection des données (RGPD).

Le registre des activités de traitement regroupe des traitements de données mis en place dans l’entreprise. En pratique, une fiche de registre doit donc être établie pour chacune de ces activités. Par conséquent, en cas de mise en place d’un dispositif de vidéosurveillance, l’employeur doit impérativement prévoir une fiche spécifique dans ce registre.

Le registre des activités de traitement (contenant une fiche vidéosurveillance) doit notamment comporter les informations suivantes :

• le nom et les coordonnées du responsable du traitement ; 

• les finalités du traitement, c'est-à-dire l’objectif de la mise en place du système de vidéo-surveillance ;

• une description des catégories de personnes concernées (salariés, clients, etc.) et des catégories de données à caractère personnel ;

• les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées ;

• les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale et dans certains cas très particuliers, les garanties prévues pour ces transferts ;

• les délais prévus pour l'effacement des données ;

• une description générale des mesures de sécurité techniques et organisationnelles mises en œuvre dans l’entreprise.

Comment faire un registre de vidéo surveillance ? 

L’employeur est libre de décider le format du registre des activités de traitement précisant les informations relatives à la vidéosurveillance. 

Une seule condition est imposée par le RGPD : le registre doit être établi sous forme écrite. Autrement dit, ce registre peut être présenté au format électronique ou papier. 

Par exemple, l’employeur peut créer un registre de vidéosurveillance au format PDF, Excel, Word, etc.

Ce modèle a pour avantage de répondre à l’ensemble des obligations prévues par le RGPD.

Il est également possible de recourir à une entreprise spécialisée dans la rédaction des registres de traitement des données. 

Focus sur les règles relatives à la vidéosurveillance dans l’entreprise :

Avant de mettre en place un système de vidéosurveillance dans l’entreprise, l’employeur a l’obligation de respecter plusieurs règles. 

Voici un récapitulatif des principales obligations de l’employeur.

Les modalités de recours à la vidéosurveillance surveillance :

L'utilisation d’un système de vidéosurveillance dans l’entreprise est autorisée à condition que ce système soit justifié par l'intérêt de l’entreprise et proportionné au but recherché.

Par exemple, la mise en place d’un système de vidéosurveillance contrôlant de façon constante l’activité de l’entreprise n’est pas autorisée.

En pratique, la CNIL contrôle très strictement les dispositifs de surveillance mis en place dans les entreprises.

L'information des salariés et du CSE :

L’employeur a l’obligation d’informer les salariés de l’existence d’un dispositif de vidéo-surveillance dans l’entreprise. 

Préalablement à la décision de l’employeur, le comité social et économique (CSE) doit obligatoirement être informé et consulté sur les moyens ou les techniques permettant un contrôle de l'activité des salariés.

De plus, la loi précise que le CSE doit être informé sur les traitements automatisés de gestion du personnel et sur toute modification de ceux-ci (préalablement à leur introduction dans l'entreprise).

Pour aller plus loin - Tout savoir sur la consultation du CSE !