Surveillance des salariés via des caméras espion : les manquements au RGPD une nouvelle fois réprimandés

Vous en avez certainement entendu parler, le 18 septembre 2025, la Commission nationale de l'informatique et des libertés (CNIL) a infligé une amende de 100 000 € à une célèbre entreprise exploitant un grand magasin parisien. En cause, la dissimulation de caméras dans les réserves filmant les salariés, induisant plusieurs manquements au RGPD.

Pour rappel, vous pouvez contrôler l’activité de vos salariés pendant et sur le lieu de travail et à ce titre, vous pouvez être amené à mettre en place un dispositif de vidéosurveillance.

Toutefois, plusieurs conditions doivent être respectées.

Tout d'abord, le système de vidéosurveillance :

• doit être limité à un objectif de protection des personnes et des biens et de prévention, notamment pour lutter contre le vol ou encore pour des raisons de sécurité  ;

• doit être adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités poursuivies ;

• ne doit pas porter une atteinte excessive au respect de la vie privée des salariés filmés.

Ainsi, le système ne doit pas aboutir à une surveillance permanente du personnel, ni filmer l’accès aux salles de pause par exemple. L’objectif premier de la vidéosurveillance n’est donc pas de contrôler les horaires et l’activité des salariés.

Au-delà de la finalité du dispositif de surveillance, d’autres manquements au RGPD peuvent être sanctionnés dans le cadre de la mise en place d’un dispositif de vidéosurveillance.

Le Code du travail impose que, lors de l'installation d’un dispositif de surveillance destiné à contrôler l’activité des salariés, ces derniers en soient informés personnellement et le CSE, s’il existe, doit être impérativement informé et consulté. 

Il a toutefois pu être admis, que dans des circonstances exceptionnelles et sous certaines conditions, une entreprise puisse installer, temporairement, des caméras non visibles par les salariés, sous réserve d’avoir analysé la compatibilité du dispositif avec le RGPD et être en mesure d’en justifier. 

Vous devez également respecter les règles relatives à la protection des données personnelles, notamment le principe de minimisation des données collectées qui doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Attention, leur durée de conservation doit être limitée.

A ce titre, un délégué à la protection des données doit être désigné.

De plus, lorsque le traitement des données risque de porter atteinte aux droits et aux libertés des salariés, vous devez réaliser une étude d’impact complète préalablement à sa mise en place.

En outre, les traitements de surveillance de l’activité des salariés doivent être inscrits au registre des activités de traitement.

En l’espèce, la CNIL a épinglé une grande entreprise pour un ensemble de manquements au RGPD. En effet, ont été installées temporairement, dans les réserves d’un grand magasin parisien,  des caméras de vidéosurveillance dissimulées dans des détecteurs de fumée. Ces dernières,  captant l’image et le son, ont été mises en place, selon l’entreprise, en raison de l’augmentation des vols de marchandises. 

Elles ont été découvertes par des salariés puis retirées.

S’il a bien été rapporté l’existence de vols commis dans les réserves pouvant expliquer la mise en place de ce dispositif de vidéosurveillance temporaire et dissimulé, la société n’a cependant mené aucune analyse préalable de conformité au RGPD, ni documenté le caractère temporaire de l’installation.

Elle a ainsi été sanctionnée d’une lourde amende. En effet, l’absence de mention de ce dispositif dans son registre des traitements et dans son analyse d’impact était contraire à l’obligation de traiter les données de manière loyale et au principe de responsabilité.

De plus, la société n’a pas informé la déléguée à la protection des données de son intention d’installer des caméras dissimulées dans des réserves. La CNIL reproche donc l’absence de garanties appropriées permettant d’assurer la préservation d’un juste équilibre entre l’objectif poursuivi par l’entreprise et la protection de la vie privée des salariés.

Enfin, l’enregistrement sonore des salariés était en l’espèce excessif. En effet, la captation de son n’est permise que dans ces circonstances exceptionnelles, lors d’un événement particulier, ce qui n’était pas le cas en l’espèce, constituant un manquement au principe de minimisation des données.

Afin de vous accompagner dans la gestion des données personnelles, les Editions Tissot vous proposent leur documentation « Gérer le personnel ACTIV », dans laquelle vous pourrez retrouver la fiche pratique « Se conformer au règlement général sur la protection des données (RGDP) ».

CNIL, Délibération SAN-2025-008 du 18 septembre 2025