Vidéosurveillance en entreprise : ce que la loi autorise et interdit

Peut-on installer des caméras partout dans une entreprise? Les salariés doivent-ils être informés? Peut-on filmer les postes de travail? Combien de temps peut-on conserver les images?

La vidéosurveillance est aujourd’hui largement utilisée par les entreprises pour renforcer la sécurité des personnes et des biens, prévenir les vols, détecter les intrusions ou encore protéger certains locaux sensibles.

Cependant, l’installation d’une caméra ne constitue pas une opération purement technique. Dès lors que des personnes peuvent être identifiées à partir des images collectées, la vidéosurveillance constitue un traitement de données à caractère personnel et doit respecter les règles applicables à la protection des données et de la vie privée.

Au Bénin, le cadre juridique repose notamment sur la loi n° 2017-20 du 20 avril 2018 portant Code du numérique, ainsi que sur le décret n° 2017-077 du 10 février 2017 portant conditions de mise en place et d’utilisation de système de vidéosurveillance en République du Bénin. L'Autorité de Protection des Données Personnelles (APDP) a également publié un guide pratique pour la vidéosurveillance destiné à accompagner les responsables de traitement.

La vidéosurveillance est-elle autorisées en entreprise?

Une entreprise peut mettre en place un système de vidéosurveillance lorsqu'il répond à une finalité légitime, notamment la sécurité des personnes et des biens, la prévention des vols, des dégradations ou des intrusions.

Le Guide pratique de l'APDP indique notamment que les caméras peuvent être installées dans des espaces tels que:

• les entrées et sorties;
• les issues de secours;
• les couloirs et accès aux salles;
• les salles techniques;
• les zones où sont entreposées des marchandises ou des biens de valeur;
• les parkings;
• devant les bureaux, lorsqu'elles sont orientées vers la porte d'entrée.

La vidéosurveillance doit toutefois rester nécessaire, proportionnée et respectueuse de la vie privée.

⚖️ Référence au Code du numérique
L'article 383 du Code du numérique impose que les données personnelles soient notamment traitées de manière licite, loyale et transparente, pour des finalités déterminées, explicites et légitimes. Il exige également que les données soient adéquates, pertinentes et non excessives au regard des finalités poursuivies et qu'elles soient conservées pendant une durée n'excédant pas celle nécessaire à ces finalités. Autrement dit, une entreprise ne peut pas installer des caméras simplement parce que la technologie le permet. Elle doit pouvoir justifier pourquoi elle filme, où elle filme et dans quelle mesure cette surveillance est nécessaire.

Une formalité préalable est-elle nécessaire?

C'est l'un des points essentiels à retenir. L'article 405 du Code du numérique prévoit que les traitements de données à caractère personnel mis en œuvre par des organismes publics ou privés doivent, préalablement à leur mise en œuvre, faire l'objet d'une déclaration préalable auprès de l'Autorité, ou être inscrits dans un registre tenu par la personne désignée à cet effet par le responsable du traitement.

L'APDP précise spécifiquement que toute installation d'un système de vidéosurveillance déployé au Bénin, qu'il enregistre ou stocke ou non des images, sons ou données de géolocalisation, doit faire l'objet d'une formalité préalable auprès de l'APDP, sous réserve des exceptions prévues pour certains dispositifs strictement privés. Pour une entreprise, cela signifie:

Avant de mettre les caméras en service, le responsable du traitement doit effectuer les formalités requises auprès de l'APDP.

Le Guide de l'APDP précise également que l'installateur n'est pas responsable de la déclaration à la place de son client. Il doit toutefois conseiller celui-ci et ne devrait procéder à la mise en marche du dispositif qu'après s'être assuré que le client dispose de l'avis favorable de l'APDP.

Où les caméras peuvent-elles être installées?

Une caméra doit être placée uniquement dans un endroit où sa présence est justifiée par la finalité de sécurité poursuivie.

Une entreprise peut notamment envisager l'installation de caméras:

• à l'entrée et à la sortie des bâtiments;
• dans les zones d’accès;
• dans les couloirs;
• dans les parkings;
• dans les salles techniques;
• dans les zones de stockage;
• dans les espaces contenant des biens de valeur;
• devant les bureaux, avec une orientation limitée à la porte d'entrée.

La caméra doit cependant être orientée de manière à limiter la collecte aux seules images nécessaires.

Où les caméras ne doivent-elles pas être installées?

La vidéosurveillance ne doit pas devenir un moyen de surveillance permanente de la vie privée des salariés. Le Guide pratique de l'APDP précise notamment que les caméras ne doivent pas être installées:

• dans les salles de réunion;
• dans les vestiaires;
• dans les réfectoires;
• dans les infirmeries;
• dans les dortoirs;
• dans les bureaux;
• devant les sanitaires;
• dans les salles d'eau.

Le Guide précise également que les caméras ne doivent pas filmer, par exemple, les employés à leur poste de travail, sauf circonstances particulières. Même dans ce cas, l'orientation doit privilégier la zone ou le bien à protéger plutôt que la personne elle-même.

Peut-on filmer les salariés à leur poste de travail?

La vidéosurveillance ne doit pas être utilisée comme un outil général de surveillance permanente des employés.

Le Guide de l'APDP précise que les employés ne doivent pas être filmés à leur poste de travail, sauf circonstances particulières. Lorsqu'une surveillance est justifiée, la caméra doit être orientée autant que possible vers l'objet ou la zone à protéger, et non vers le salarié lui-même.

Ainsi, une entreprise ne devrait pas installer une caméra simplement pour vérifier en permanence:

• si un salarié travaille;
• combien de temps il reste devant son ordinateur;
• ses conversations avec ses collègues;
• ses pauses;
• ses déplacements à l'intérieur de l'entreprise.

Une telle utilisation pourrait être incompatible avec les principes de finalité, de proportionnalité et de respect de la vie privée prévus par le Code du numérique.

Peut-on filmer les espaces privés des salariés?

Les espaces destinés à la vie privée ou au repos des salariés bénéficient d'une protection renforcée.

L'APDP exclut notamment:

• les vestiaires
• les réfectoires
• les infirmeries
• les dortoirs
• les sanitaires
• les salles d'eau
• les locaux syndicaux

La caméra ne doit pas non plus être utilisée pour filmer l'intérieur des locaux privés du voisinage ou les voies publiques lorsqu'une telle captation n'est pas nécessaire et autorisées.

Les salariés et visiteurs doivent-ils être informés?

La transparence constitue une obligation importante. L'article 384 du Code du numérique consacre le principe de transparence et prévoit une information obligatoire, claire et intelligible des personnes concernant le traitement de leurs données personnelles.

Pour la vidéosurveillance, l'APDP indique que les personnes susceptibles d'être filmées doivent notamment être informées:

• de l'existence du dispositif;
• de l'identité du responsable du traitement;
• des destinataires des données;
• de la durée de conservation des images;
• des finalités du traitement;
• de la possibilité d'adresser une reclamation à l’APDP;
• de leurs droits.

Comment informer?

L'entreprise doit notamment mettre en place une signalisation visible et facilement compréhensible.

L'APDP prévoit notamment l'utilisation d'un pictogramme d'identification et d'une affiche comportant les informations pertinentes relatives au dispositif.

Peut-on conserver les images indéfiniment?

La conservation des images doit être limitée à ce qui est nécessaire à la finalité poursuivie. L'article 383 du Code du numérique prévoit que les données personnelles doivent être conservées sous une forme permettant l'identification des personnes pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et traitées. Il est donc déconseillé de prévoir une conservation indéfinie des images « au cas où ». L'entreprise doit définir une durée de conservation justifiée, la documenter et l'appliquer effectivement.

1. Qui peut regarder les images?

L'accès aux images doit être strictement limité aux personnes habilitées. Le Guide de l'APDP précise que seules les personnes autorisées dans le cadre de leurs fonctions peuvent visionner les images enregistrées. Il peut notamment s'agir du responsable du traitement ou du responsable de la sécurité, selon l'organisation mise en place. Les personnes habilitées doivent être sensibilisées à la protection des données et soumises à une obligation de confidentialité.

Comment sécuriser les images?

La vidéosurveillance génère elle-même des données qu'il faut protéger. L'article 385 du Code du numérique prévoit que les données personnelles doivent être traitées de manière confidentielle et protégées, notamment lorsque le traitement implique des transmissions sur un réseau.

L'article 387 impose également au responsable du traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les données contre notamment la destruction, la perte, l'altération, la diffusion ou l'accès non autorisé.

Pour un système de vidéosurveillance, cela peut notamment impliquer:

• la sécurisation des comptes administrateurs;
• des mots de passe robustes;
• une limitation des accès;
• la protection du réseau;
• le chiffrement lorsque cela est approprié;
• la sécurisation des équipements de stockage;
• la traçabilité des accès;
• des sauvegardes sécurisées;
• la protection physique du matériel.

L'APDP recommande également des mesures telles que le pare-feu, le chiffrement et, lorsque nécessaire, l'utilisation de VPN.

Que faire lorsqu'un prestataire gère les caméras?

De nombreuses entreprises font appel à des prestataires pour installer, maintenir ou administrer leur système de vidéosurveillance. Cela ne signifie pas que l'entreprise peut se désintéresser de la protection des données.

L'article 386 du Code du numérique encadre le recours au sous-traitant et impose notamment au responsable du traitement de choisir un prestataire présentant des garanties suffisantes en matière de sécurité et d'organisation. Le contrat doit également encadrer les obligations du sous-traitant en matière de sécurité et de confidentialité.

L'APDP recommande notamment que le contrat permette de garantir:

• la confidentialité des données;
• l'utilisation des données uniquement aux fins prévues;
• la mise en œuvre de mesures de sécurité appropriées;
• la restitution ou la destruction des supports à la fin de la prestation.

Faut-il tenir un registre?

L'APDP prévoit la tenue d'un registre des activités de traitement d'images, de sons et/ou de données pour les systèmes de vidéosurveillance.

Ce registre doit être tenu à la disposition de l'Autorité et décrire notamment le traitement mis en œuvre. L'APDP met à disposition un modèle de registre spécifique pour la vidéosurveillance.

Le registre constitue un outil important de traçabilité et de gouvernance.

Peut-on utiliser les images pour une autre finalité?

Attention au détournement de finalité. Une caméra installée pour assurer la sécurité des locaux ne doit pas automatiquement devenir un outil utilisé pour d'autres objectifs.

Par exemple, si les caméras ont été installées pour prévenir les intrusions et les vols, leur utilisation systématique pour contrôler la productivité des salariés doit faire l'objet d'une analyse spécifique de licéité, de nécessité et de proportionnalité.

L'article 383 du Code du numérique exige que les données soient collectées pour des finalités déterminées, explicites et légitimes et qu'elles ne soient pas traitées ultérieurement d'une manière incompatible avec ces finalités.

Quelles sont les conséquences en cas de non-conformité?

Le non-respect des règles applicables à la vidéosurveillance peut exposer l'entreprise à différentes conséquences. L'APDP indique notamment que le non-respect des obligations peut conduire à des mesures administratives et coercitives, telles que l'injonction de cesser le traitement, le retrait d'une autorisation ou le verrouillage de certaines données, ainsi qu'à des sanctions pécuniaires.

Le Code du numérique prévoit également, à l'article 452, que l'APDP peut prononcer un avertissement ou mettre en demeure le responsable du traitement de faire cesser le manquement.

L'article 454 prévoit notamment, en cas de non-conformité persistante après mise en demeure, la possibilité de prononcer une sanction pécuniaire, une injonction de cesser le traitement, le retrait temporaire ou définitif d'une autorisation ou encore le verrouillage de certaines données.

La vidéosurveillance en entreprise: les 10 réflexes à adopter

Avant de mettre en place ou de maintenir un système de vidéosurveillance, une entreprise devrait vérifier les points suivants:

✅ 1. Définir clairement la finalité
Pourquoi les caméras sont-elles installées?

✅ 2. Vérifier la nécessité du dispositif
La caméra est-elle réellement nécessaire?

✅ 3. Limiter le champ de vision
Filmer uniquement les zones pertinentes.

✅ 4. Éviter les espaces privés
Pas de surveillance des vestiaires, sanitaires, réfectoires, etc.

✅ 5. Effectuer les formalités auprès de l'APDP
Avant la mise en service du dispositif.

✅ 6. Informer les personnes filmées
Mettre en place une signalisation claire et visible.

✅ 7. Définir une durée de conservation
Ne pas conserver les images indéfiniment.

✅ 8. Restreindre les accès
Seules les personnes habilitées doivent pouvoir visionner les images.

✅ 9. Sécuriser le système
Protéger les caméras, les comptes, le réseau et les supports de stockage.

✅ 10. Documenter le traitement
Tenir notamment le registre des activités de vidéosurveillance et conserver les documents justificatifs de conformité.

À retenir

La vidéosurveillance en entreprise n'est pas interdite au Bénin. Elle est toutefois soumise à un cadre juridique destiné à concilier les impératifs de sécurité avec le droit au respect de la vie privée et à la protection des données personnelles.

Le principe n'est donc pas: « Une entreprise peut filmer parce qu'elle est propriétaire de ses locaux. »

Le principe est plutôt : « Une entreprise peut mettre en place une vidéosurveillance lorsqu'elle poursuit une finalité légitime, respecte les formalités applicables, informe les personnes concernées, limite le dispositif à ce qui est nécessaire et protège les images collectées. »

La conformité d'un système de vidéosurveillance doit ainsi être appréciée à la fois sous l'angle juridique, organisationnel et technique.

Références juridiques principales

Loi n° 2017-20 du 20 avril 2018 portant Code du numérique en République du Bénin, notamment les articles 379, 383, 384, 385, 386, 387 et 405.

Décret n° 2017-077 du 10 février 2017 portant conditions de mise en place et d'utilisation de système de vidéosurveillance en République du Bénin, cité par l'APDP comme texte d'application applicable à la vidéosurveillance.

Guide pratique pour la vidéosurveillance de l'APDP, qui précise les conditions pratiques d'installation, d'information, de sécurité, de formalités et de respect des droits des personnes concernées.

Autorité de Protection des Données Personnelles (APDP): ressources et outils de mise en conformité, notamment le modèle de registre des activités de vidéosurveillance.

En cas de doute sur la conformité d'une installation existante, l'entreprise a intérêt à faire vérifier le dispositif, son orientation, ses finalités, ses formalités APDP, ses durées de conservation, ses habilitations d'accès et sa documentation.