Vidéoprotection classique ou augmentée par l'IA : cadre juridique, interdictions et obligations de conformité

Pour sécuriser un centre-ville, prévenir les dépôts sauvages aux abords d'une zone artisanale ou gérer les flux à l'entrée d'un équipement associatif, l'usage de caméras intelligentes paraît souvent être la solution idéale. Pourtant, équiper des caméras d'algorithmes d'analyse automatisée sans cadre juridique expose les organisations à de lourdes sanctions et à l'annulation immédiate de leurs dispositifs.

La décision rendue par le Conseil d'État le 30 janvier 2026 (commune de Nice) a rappelé une règle stricte : l'analyse algorithmique systématique des images sur la voie publique à des fins répressives demeure illégale en l'état actuel du droit français.

Face à la multiplication des normes — RGPD, AI Act et Directive NIS2 —, les décideurs publics et privés doivent dépasser la simple accumulation d'équipements techniques pour bâtir une réelle gouvernance des données. Une mise en conformité agile, fondée sur une approche par les risques, permet de déployer des solutions de sûreté efficaces tout en respectant scrupuleusement les libertés publiques et le cadre légal.

1. Distinguer les trois régimes : vidéoprotection standard, biométrique et augmentée

L'analyse de conformité numérique impose d'identifier précisément la nature technique du traitement d'images mis en œuvre.

La vidéoprotection standard : un enregistrement encadré

Les dispositifs classiques installés par les communes ou les gestionnaires d'établissements recevant du public visent à prévenir les atteintes à la sécurité des biens et des personnes.

Périmètre strict : les caméras ne doivent en aucun cas visualiser l'intérieur des immeubles d'habitation ni leurs accès privés. La CNIL exige un masquage logiciel irréversible de ces zones dès la configuration.

Base légale : respect des articles L. 251-1 et suivants du Code de la sécurité intérieure (CSI).

La vidéoprotection biométrique : une interdiction de principe

Dès lors qu'un système traite des données biométriques pour identifier ou authentifier une personne de manière univoque, il traite des données sensibles (article 9 du RGPD).

Règlement européen sur l'IA (AI Act) : l'article 5 classe l'identification biométrique à distance en temps réel dans les espaces accessibles au public parmi les pratiques d'IA formellement interdites, sous réserve d'exceptions judiciaires très dérogatoires et strictement délimitées par un juge.

La vidéoprotection augmentée : des algorithmes sous surveillance stricte

Les caméras augmentées couplent le flux vidéo à des modèles d'intelligence artificielle capables de repérer des situations prédéfinies :

• Détection d'un véhicule circulant à contresens ou stationné illicitement ;

• Détection de dépôts sauvages d'ordures ;

• Repérage de bagages abandonnés ou de mouvements de foule anormaux.

2. Ce que dit le droit : pas d'autorisation pour la répression automatisée

L'expérimentation de la vidéosurveillance algorithmique autorisée lors des Jeux olympiques de Paris 2024 constituait une dérogation temporaire et strictement encadrée par la loi. Hors de régimes dérogatoires explicites votés par le législateur, l'état du droit est sans ambiguïté.

Jurisprudence clé — Conseil d'État, 30 janvier 2026 :

Le Conseil d'État a jugé illégal le traitement algorithmique déployé par la commune de Nice aux abords des écoles. Si le Code de la sécurité intérieure autorise la captation d'images sur la voie publique, il ne confère aucune base légale à l'analyse algorithmique automatisée systématique destinée à orienter des poursuites ou des interventions d'interpellation.

En clair, une collectivité ou un opérateur de transport ne peut pas utiliser un logiciel d'IA pour :

• Détecter automatiquement un flagrant délit ou une incivilité dans la rue ;

• Déclencher immédiatement l'envoi d'une patrouille pour verbaliser ou appréhender l'auteur.

L'usage des alertes algorithmiques reste limité à des actions matérielles non répressives (par exemple, envoyer les services techniques pour enlever un encombrant sur la chaussée, sans verbalisation automatisée de la personne à l'origine du dépôt).

Ce verrou juridique protège plusieurs libertés fondamentales fondamentales :

• Le respect de l'anonymat dans l'espace public ;

• La liberté d'aller et venir ;

• La liberté de réunion et de manifestation ;

• La liberté d'expression et de culte.

3. Les obligations opérationnelles pour tout projet de vidéoprotection

Pour tout déploiement conforme aux exigences de la CNIL et du RGPD, les responsables de traitement doivent appliquer les règles suivantes :

Conservation limitée : conservation des enregistrements pendant un mois maximum (durée standard préfectorale), avec effacement automatique au-delà.

Accès restreint : seuls les agents individuellement habilités et nommément désignés dans l'arrêté préfectoral peuvent visionner les images.

Obligation de transparence (Article 13 du RGPD) : installation de panneaux d'information visibles aux abords des zones filmées, précisant l'identité du responsable de traitement, la finalité, la base légale, la durée de conservation, l'adresse de contact du DPO externalisé ou interne, les droits des personnes et la présence explicite ou non de traitements algorithmiques.

Autorisation préfectorale préalable : dépôt d'un dossier en préfecture avant toute mise en service (autorisation délivrée pour cinq ans renouvelable).

Analyse d'Impact (AIPD) : en vertu de l'article 35 du RGPD, la surveillance systématique à grande échelle d'un espace accessible au public rend l'AIPD obligatoire avant tout déploiement.

4. Cybersécurité et gestion des risques tiers

Un dispositif de caméras connectées constitue un point d'entrée critique sur les réseaux informatiques d'une collectivité, d'une PME ou d'un établissement de santé. Dans le cadre de la Directive NIS2, la résilience opérationnelle et la gestion des risques tiers deviennent obligatoires pour les entités régulées.

Audit de sécurité : vérification des flux de transmission chiffrés, durcissement des accès aux serveurs d'enregistrement (NVR/VMS) et politique stricte de gestion des mots de passe.

Privacy by Design (Article 25 du RGPD) : validation contractuelle des garanties fournies par les intégrateurs et éditeurs de logiciels vidéo (absence de transferts de données hors UE, journalisation des accès).

Sécurisez vos projets de vidéoprotection avec xDPO

L'intégration de nouvelles technologies de surveillance exige une vision transverse mêlant droit, gouvernance et cybersécurité. Le cabinet xDPO vous accompagne avec une méthodologie pragmatique, sans logiciels superflus et portée par des consultants seniors expérimentés :

• Réalisation de votre Analyse d'Impact relative à la Protection des Données (AIPD) ;

• Instruction des dossiers d'autorisation préfectorale et mise en conformité des panneaux d'information ;

• Audit de sécurité technique et revue des contrats de vos prestataires informatiques ;

• Accompagnement continu via notre offre de DPO externalisé.

  
  

Contactez les experts xDPO pour auditer vos installations et sécuriser vos déploiements vidéo.