Vidéoprotection mairie : autorisation et cadre RGPD

Une seule installation, deux régimes juridiques à ne pas mélanger

C'est la confusion la plus fréquente dans les dossiers communaux, et elle explique la majorité des retards. Dès qu'une caméra filme un espace ouvert au public — une place, une rue, un parking municipal accessible à tous, l'entrée d'une déchetterie, les abords d'un gymnase — on parle de vidéoprotection. Ce régime relève du code de la sécurité intérieure et impose une autorisation préfectorale préalable, délivrée après avis de la commission départementale de vidéoprotection, présidée par un magistrat.

Dès que la caméra filme un espace qui n'est pas ouvert au public — un local technique, une réserve, un couloir de bureaux administratifs, un atelier des services techniques — on sort de la vidéoprotection et on entre dans le seul champ du RGPD. Là, pas d'autorisation préfectorale, mais une obligation de démontrer la conformité : base légale, information des personnes, registre des traitements, analyse d'impact le cas échéant, consultation des instances représentatives du personnel quand des agents sont concernés.

Une mairie moyenne cumule presque toujours les deux. Le parvis et le parking relèvent de la préfecture ; la salle des serveurs, la régie de recettes et la réserve du service technique relèvent du RGPD seul. Le hall d'accueil, lui, est un espace ouvert au public : il bascule côté vidéoprotection. Il faut donc découper le projet caméra par caméra, avec un tableau qui indique pour chacune sa zone, son champ de vision réel et son régime. Ce tableau est le socle de tout le reste : sans lui, on n'écrit ni le dossier préfectoral, ni le registre, ni la fiche d'information des agents.

Le parcours réel d'un dossier de vidéoprotection communale

Le dossier ne se réduit pas à un formulaire. Il commence par une délibération du conseil municipal qui acte le principe du dispositif, sa finalité et son financement. Cette délibération n'est pas une formalité : elle doit énoncer une finalité précise — sécurité des personnes, protection des bâtiments publics, prévention des dégradations sur un site identifié — et pas un objectif général de « tranquillité publique » qui ne résiste pas à l'examen.

Vient ensuite le dossier de demande d'autorisation, déposé auprès de la préfecture. Il comporte les éléments qui permettent à la commission de vérifier la proportionnalité du projet : plan de masse, plan des caméras avec leurs angles, nombre de caméras intérieures et extérieures, description du système d'enregistrement, durée de conservation demandée, identité de la personne responsable du système, liste des personnes habilitées à visionner les images, modalités d'information du public et modalités d'exercice du droit d'accès.

Deux points font capoter des dossiers autrement solides. Le premier est le masquage : une caméra ne doit pas filmer l'intérieur des immeubles d'habitation ni, de manière spécifique, leurs entrées. Si un axe caméra couvre une façade avec des fenêtres, il faut prévoir un masquage numérique et le documenter. Le second est la durée de conservation : elle est plafonnée à un mois maximum, et l'arrêté préfectoral fixe la durée retenue. Demander trente jours quand sept ou quinze suffisent à la finalité invoquée affaiblit le dossier — et augmente inutilement le volume de stockage à financer.

L'autorisation est délivrée pour cinq ans et se renouvelle. Une commune qui a équipé son parvis en 2021 doit anticiper le renouvellement, et surtout déposer une demande modificative dès qu'elle ajoute une caméra, déplace un mât ou change de finalité. Une caméra ajoutée « en cours de route » sur un point noir de dépôts sauvages, sans modification de l'arrêté, est hors cadre.

Ce que le RGPD exige en plus, même quand la préfecture a dit oui

L'autorisation préfectorale ne dispense de rien côté données personnelles. Les images de personnes identifiables sont un traitement, point. Une commune, en tant qu'organisme public, a l'obligation de désigner un délégué à la protection des données — mutualisé au niveau de l'intercommunalité dans beaucoup de cas — et ce DPD doit être associé au projet avant l'installation, pas après la mise en service.

Concrètement, cela veut dire quatre livrables. L'inscription du dispositif au registre des traitements, avec finalité, catégories de personnes concernées, destinataires, durée de conservation et mesures de sécurité. Une analyse d'impact relative à la protection des données lorsque le dispositif implique une surveillance systématique à grande échelle d'une zone accessible au public — cas fréquent pour un centre-bourg équipé. Une note d'information aux agents et une consultation des représentants du personnel quand des caméras couvrent des zones de travail. Enfin, la signalisation : des panneaux visibles à l'entrée des zones filmées, indiquant la présence du dispositif, la finalité, le responsable et les modalités d'exercice des droits. Ces obligations sont détaillées dans notre article sur la vidéosurveillance et le cadre CNIL.

Un cas typique de non-conformité : la caméra du hall qui, pour « couvrir le guichet », cadre en réalité le poste de travail de l'agent d'accueil pendant sept heures par jour. Le dispositif est autorisé sur le papier, mais le cadrage transforme un outil de sécurité en outil de surveillance continue d'un salarié. La correction est simple — repositionner ou masquer — encore faut-il l'avoir vérifiée sur les images réelles, en conditions d'exploitation, et pas sur le plan de l'installateur.

Qui regarde les images, depuis où, et avec quelle traçabilité

C'est le volet le plus souvent bâclé, et celui qui pose problème le jour d'une réquisition. La liste des personnes habilitées figure dans le dossier préfectoral : elle doit être tenue à jour, nominative, et correspondre à la réalité des comptes ouverts sur le système. Un compte « mairie » partagé par cinq personnes avec le même mot de passe ne permet ni de tracer qui a consulté quoi, ni de prouver qu'un agent non habilité n'a pas accédé aux images.

La bonne configuration repose sur quelques principes simples à mettre en œuvre dès l'installation :

• Un compte nominatif par personne habilitée, avec authentification forte sur les accès distants et suppression immédiate du compte au départ de l'agent.
• Une séparation des droits : visionnage en direct, relecture des enregistrements et export d'une séquence ne sont pas le même niveau de privilège.
• Un journal des accès horodaté, conservé et consultable, qui indique qui a visionné ou extrait quelles images et à quelle date.
• Un registre des extractions, avec le motif, la personne qui a demandé la séquence et la suite donnée — indispensable pour répondre à une réquisition judiciaire.
• Une procédure écrite pour le droit d'accès d'un administré qui souhaite consulter les images le concernant, avec le nom du responsable désigné.
• Un poste de visionnage dans un local fermé, écran non visible depuis un espace public ou un guichet.

Un exemple concret : une commune reçoit une réquisition portant sur une dégradation survenue un samedi soir. Si la durée de conservation est de sept jours et que la réquisition arrive le neuvième, les images n'existent plus. Si personne n'est habilité à extraire hors des horaires d'ouverture, la séquence est perdue de la même manière. Le dispositif technique était pourtant irréprochable. Ce sont l'organisation et les délais qui décident de l'utilité réelle du système.

La partie technique qu'on découvre trop tard : réseau, stockage, disponibilité

Un projet de vidéoprotection communale est d'abord un projet réseau. Chaque caméra produit un flux continu qui doit remonter vers un enregistreur, et souvent traverser plusieurs sites : mât sur la place du village, local technique de la mairie, poste de police municipale. Dès que les sites sont distincts, la question devient celle du lien entre eux et du débit montant disponible — pas du nombre de mégapixels du capteur.

Trois arbitrages structurent le budget. Le premier est la résolution utile : une caméra de lecture de plaques n'a pas les mêmes exigences qu'une caméra de vue d'ensemble, et surdimensionner l'ensemble du parc multiplie le stockage. Le deuxième est la durée de conservation retenue dans l'arrêté, qui détermine mécaniquement la capacité disque à provisionner. Le troisième est la disponibilité : une caméra hors service pendant trois semaines parce que personne ne l'a vu tomber est un dispositif qui n'existe pas. C'est là que la supervision compte plus que le matériel — un système surveillé 24/7 signale la perte d'un flux le jour même, pas au moment où l'on cherche une séquence.

Ajoutons la sécurité du système lui-même. Un enregistreur exposé sur Internet avec ses identifiants d'usine est une porte d'entrée dans le réseau communal. Les caméras doivent être isolées sur un segment réseau dédié, les accès distants passer par un tunnel chiffré, les firmwares tenus à jour. Ce point rejoint directement les obligations de sécurité qui montent pour le secteur public — voir notre dossier sur NIS2 et les collectivités. Une caméra est un équipement informatique connecté avant d'être un équipement de sécurité.

Six erreurs qui coûtent un dossier ou une année de retard

Elles reviennent avec une régularité frappante dans les projets de communes de moins de 10 000 habitants, où le sujet est souvent porté par une seule personne en plus de ses missions habituelles.

• Installer d'abord et déposer le dossier ensuite : les images captées avant l'arrêté n'ont aucune valeur et le dispositif doit être coupé.
• Rédiger une finalité floue dans la délibération, qui ne permet pas de justifier chaque caméra individuellement.
• Oublier les caméras déjà en place — gymnase, école, cimetière — installées par des mandatures précédentes et jamais régularisées.
• Confondre le responsable du système au sens du code de la sécurité intérieure et le DPD : ce sont deux rôles distincts, tous les deux nécessaires.
• Ne pas prévoir la maintenance dans le marché : un dispositif sans contrat d'intervention se dégrade en dix-huit mois.
• Négliger l'affichage : des panneaux absents ou illisibles suffisent à fragiliser tout l'édifice, alors que c'est la mesure la moins coûteuse.

Plan d'action : les huit étapes dans l'ordre

Pour une commune qui démarre, l'ordre des opérations compte autant que leur contenu. Un : recenser l'existant, caméra par caméra, y compris les dispositifs hérités et non déclarés. Deux : cartographier les zones et attribuer à chacune son régime — vidéoprotection ou RGPD seul. Trois : écrire la finalité, zone par zone, en termes vérifiables. Quatre : faire une étude technique de terrain, avec relevé des angles réels, des points d'alimentation et des liaisons réseau disponibles entre les sites.

Cinq : associer le DPD et lancer l'analyse d'impact si le dispositif la justifie. Six : passer la délibération et déposer le dossier préfectoral, avec la durée de conservation strictement nécessaire. Sept : rédiger les procédures internes — habilitations, journal des accès, registre des extractions, réponse aux demandes de droit d'accès — avant la mise en service, pas après. Huit : intégrer maintenance, supervision et renouvellement de l'autorisation dans le contrat, avec des délais d'intervention écrits.

Ce séquencement évite le scénario le plus coûteux : un parc installé, autorisé, mais inexploitable au moment où l'on en a besoin. Chez NOTELIA, ce type de projet est traité avec le même conseiller de bout en bout — étude d'implantation, liaison entre les sites, hébergement des enregistrements et supervision — parce qu'un dossier de vidéoprotection communale mélange du juridique, du réseau et de l'exploitation, et que ces trois sujets ne se pilotent pas séparément. Vous pouvez consulter notre approche de la vidéosurveillance professionnelle ou l'ensemble des dispositifs pensés pour les mairies et collectivités, avec un devis sous 48 heures ouvrées et une supervision réseau 24/7.