La vidéosurveillance peut jouer un rôle dissuasif pour un établissement de café, hôtellerie, restauration (CHR) : elle limite les vols, les dégradations et les agressions, renforce la sécurité des clients et du personnel, et permet de faire la lumière sur des irrégularités comme des écarts de caisse. Bien utilisée, elle peut aussi donner une meilleure vision de l’activité de l’établissement (fréquentation, heures de pointe, temps d’attente). Mais tout cela suppose que le dispositif soit installé dans les règles, un point sur lequel la réglementation a nettement évolué depuis l’entrée en application du RGPD en mai 2018.
Deux régimes selon la zone filmée
La première distinction à faire, lors de l’installation d’un système de vidéosurveillance, est celle entre les lieux ouverts au public (la salle du restaurant, la réception de l’hôtel, le comptoir) et les lieux non ouverts au public (réserves, cuisines, espaces de stockage, bureaux).
Lieux ouverts au public : l’autorisation préfectorale reste obligatoire
Un système filmant un lieu ouvert au public doit être autorisé par le préfet du département (le préfet de police à Paris), conformément aux articles L. 251-1 et suivants du Code de la sécurité intérieure. La demande peut être déposée en préfecture, ou effectuée en ligne via le téléservice de vidéoprotection du ministère de l’Intérieur. La durée de conservation des images ne peut excéder un mois, en application de l’article L. 252-3 du même code.
Lorsque le dispositif est susceptible de conduire à une surveillance systématique à grande échelle d’une zone accessible au public, il est recommandé de procéder à une analyse d’impact relative à la protection des données (AIPD), afin d’évaluer la proportionnalité du dispositif envisagé.
Lieux non ouverts au public : la fin de la déclaration à la CNIL
C’est le point sur lequel il faut le plus insister, car la règle a changé en profondeur. Depuis le 25 mai 2018, date d’entrée en application du règlement général sur la protection des données (RGPD), les caméras filmant un lieu non ouvert au public (réserve, cuisine, zone dédiée au personnel) ne font plus l’objet d’une déclaration préalable auprès de la CNIL. Cette formalité a été supprimée et remplacée par une obligation d’inscrire le dispositif dans le registre des activités de traitement que l’établissement doit tenir, quel que soit son effectif (voir également la fiche de la CNIL sur les formalités préalables accomplies avant le 25 mai 2018). Si un délégué à la protection des données (DPO) a été désigné, il doit être associé à la mise en œuvre du dispositif.
Ce qui ne change pas : les zones interdites à la caméra
Que le lieu soit ouvert ou non au public, certaines zones restent hors du champ de la vidéosurveillance : les toilettes, les espaces de pause ou de repos du personnel, et les locaux syndicaux ou les accès qui y mènent exclusivement. Le dispositif ne doit pas non plus servir à vérifier que le personnel travaille correctement. Un employé qui manipule de l’argent en caisse peut être filmé, mais la caméra doit davantage cadrer la caisse que le caissier ou la caissière (source : CNIL, la vidéosurveillance et vidéoprotection au travail).
Les trois conditions pour filmer des salariés
La CNIL a publié en juillet 2026 une fiche qui consolide les conditions cumulatives applicables à tout dispositif de contrôle de l’activité du personnel, y compris la vidéosurveillance (source : CNIL, le contrôle de l’activité des personnes employées) :
la justification et la proportionnalité du dispositif au regard de l’objectif poursuivi, en veillant à ce qu’il n’existe pas de moyen moins intrusif, et en évitant toute surveillance constante et permanente d’un poste de travail ; la consultation préalable du comité social et économique (CSE), dans les entreprises de 50 salariés et plus, avant toute mise en œuvre d’un dispositif de surveillance ; l’information préalable des personnes concernées, salariés comme clients.
Pour un établissement CHR de moins de 50 salariés, sans CSE, la troisième condition (l’information préalable des personnes) reste pleinement applicable, ainsi bien sûr que l’exigence de proportionnalité.
L’affichage : un panneau, mais avec des mentions précises
Les clients et le personnel doivent être informés de la présence de caméras au moyen de panneaux affichés en permanence, de façon visible, dans les lieux concernés. Un simple pictogramme ne suffit pas : la CNIL précise que le panneau doit comporter a minima le pictogramme d’une caméra, les finalités du dispositif, la durée de conservation des images, le nom ou la qualité et le numéro de téléphone du responsable du traitement ou du délégué à la protection des données, l’existence des droits « Informatique et Libertés », et le droit d’introduire une réclamation auprès de la CNIL en précisant ses coordonnées. Ces exigences découlent de l’article 13 du RGPD. La CNIL met à disposition un modèle de panneau que chaque établissement peut adapter (voir CNIL, la vidéosurveillance et vidéoprotection au travail). Le reste de l’information (base légale, destinataires des données) peut être renvoyé vers un support complémentaire, par exemple le site internet de l’établissement.
Cet affichage s’ajoute aux autres affichages obligatoires d’un hôtel ou d’un restaurant, que nous détaillons dans notre article sur les affichages obligatoires dans les hôtels.
Qui peut consulter les images, et combien de temps les conserver
Les images ne peuvent être visionnées que par les personnes habilitées à le faire, le plus souvent les responsables de la sécurité et la direction. Si l’accès aux images est possible à distance (depuis un smartphone par exemple), cet accès doit être sécurisé, et ne doit surtout pas devenir un moyen de surveiller en continu le travail du personnel.
La durée de conservation ne doit pas excéder un mois. En pratique, quelques jours suffisent le plus souvent pour effectuer les vérifications nécessaires en cas d’incident. Si une procédure disciplinaire ou pénale est engagée, les images concernées peuvent être extraites du dispositif, après consignation de cette extraction dans un registre dédié, et conservées pour la durée de la procédure.
Sanctions et recours
En cas de dispositif non conforme, plusieurs autorités peuvent être saisies : la CNIL, compétente pour tout dispositif de vidéosurveillance, qu’il filme des lieux ouverts ou fermés au public ; les services de la préfecture, pour les caméras filmant des lieux ouverts au public ; l’inspection du travail ; les services de police, de gendarmerie ou le procureur de la République. La CNIL rappelle qu’elle contrôle et sanctionne régulièrement des employeurs qui placent leur personnel sous surveillance excessive, y compris par des mises en demeure publiques et des sanctions financières.
Un point de vigilance en cas de cession
Un dispositif de vidéosurveillance non conforme (absence d’autorisation préfectorale, registre des traitements manquant, salariés non informés) constitue un risque juridique et financier qu’il vaut mieux identifier avant une transaction plutôt que le découvrir après. C’est un point que nous vérifions systématiquement dans le cadre de nos missions de due diligence et de transaction hôtelière.
Sources : Code de la sécurité intérieure, articles L. 251-1 à L. 255-1 et R. 252-1 et suivants (Légifrance) ; Code du travail, articles L. 1121-1, L. 1222-4 et L. 2312-38 (Légifrance) ; CNIL, « La vidéosurveillance, vidéoprotection au travail » ; CNIL, « Travail, ressources humaines : le contrôle de l’activité des personnes employées » (9 juillet 2026) ; CNIL, « Le registre des activités de traitement » ; CNIL, « Les formalités préalables accomplies auprès de la CNIL avant le 25 mai 2018 » ; règlement (UE) 2016/679 (RGPD), article 13.
Adeline Desthuilliers pour Chasseur de Fonds
Pour tout renseignement complémentaire sur le sujet, n’hésitez pas à nous contacter.
