AIPD vidéosurveillance : quand l'analyse d'impact est obligatoire et comment la réaliser

Guide de référence 9 min de lecture · Mis à jour le 25 septembre 2026 · Par les experts AFCV

L'AIPD vidéosurveillance, ou analyse d'impact relative à la protection des données, est le document qui démontre qu'un système de caméras est nécessaire, proportionné et sécurisé. Elle n'est pas exigée pour toute installation, mais elle l'est dès que la surveillance devient systématique et à grande échelle, ou qu'elle porte sur l'activité des salariés. Ce guide vous dit quand elle est obligatoire, ce qu'elle contient, comment la conduire avec l'outil PIA de la CNIL, et ce qui se passe quand elle manque.

Qu'est-ce qu'une AIPD vidéosurveillance ?

L'analyse d'impact relative à la protection des données est prévue par l'article 35 du RGPD. Elle s'impose « lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, [...] est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques ». Appliquée aux caméras, elle répond à trois questions : pourquoi filmer, est-ce proportionné, et comment les images sont-elles protégées.

La CNIL la décrit comme un outil pour « construire un traitement conforme au RGPD et respectueux de la vie privée », composé de trois parties : une description du traitement, une évaluation juridique de la nécessité et de la proportionnalité, et une étude technique des risques pour la sécurité des données (CNIL, ce qu'il faut savoir sur l'AIPD). Elle est réalisée avant la mise en service, sous la responsabilité du responsable de traitement, et conservée pour être présentée en cas de contrôle.

Elle ne remplace ni l'autorisation préfectorale (Code de la sécurité intérieure) ni le registre des activités de traitement (art. 30 RGPD) : ces trois documents se complètent. Notre page Ce que dit la loi présente l'ensemble du cadre.

Quand l'AIPD est-elle obligatoire pour des caméras ?

Quatre sources se superposent ; il suffit qu'une seule s'applique pour que l'AIPD devienne obligatoire.

1. Le texte du RGPD

L'article 35, paragraphe 3, c) vise expressément « la surveillance systématique à grande échelle d'une zone accessible au public ». La CNIL le rappelle pour la vidéoprotection : dès qu'un dispositif « conduit à la surveillance systématique à grande échelle d'une zone accessible au public », une AIPD doit être réalisée (CNIL, la vidéoprotection).

2. Les neuf critères du CEPD

Les lignes directrices du groupe de l'article 29, reprises par le Comité européen de la protection des données, listent neuf critères de risque (WP 248 rév. 01). La CNIL en tire une règle pratique : une AIPD s'impose lorsque le traitement remplit au moins deux d'entre eux. Pour des caméras, les critères les plus souvent réunis sont la « surveillance systématique », la « collecte à large échelle », les « personnes vulnérables » (élèves, patients, salariés, du fait du lien de subordination) et l'« usage innovant » (analyse d'images, caméras dites augmentées).

3. La liste de la CNIL

Par sa délibération n° 2018-327 du 11 octobre 2018, la CNIL a adopté une liste de traitements pour lesquels l'AIPD est requise d'office. Y figurent notamment les « traitements ayant pour finalité de surveiller de manière constante l'activité des employés concernés ». Une caméra orientée en permanence sur des postes de travail entre dans cette catégorie, indépendamment de la taille de l'entreprise. À l'inverse, la liste des traitements dispensés (délibération n° 2019-118 du 12 septembre 2019) ne contient aucune exemption pour la vidéosurveillance.

4. Les lignes directrices vidéo du CEPD

Les lignes directrices 3/2019 sur les dispositifs vidéo (version 2.0, 29 janvier 2020) précisent que le risque « augmente en fonction de la taille de la zone surveillée ainsi que du nombre de personnes qui la fréquentent ». Le nombre de caméras n'est donc pas le seul critère : l'étendue de la zone et la fréquentation comptent autant.

Exemples concrets : AIPD obligatoire, recommandée ou non requise

Ce tableau reprend des situations courantes dans nos dossiers. C'est une grille de lecture fondée sur les critères ci-dessus, pas une liste officielle : chaque cas doit être documenté dans votre registre, même lorsque l'AIPD n'est pas requise.

Nos pages sectorielles développent ces cas : commerce, entreprise, collectivité.

Ce que doit contenir une analyse d'impact vidéoprotection

L'article 35, paragraphe 7 du RGPD fixe le contenu minimal. Traduit pour un système de caméras, cela donne quatre blocs.

1. Description systématique du traitement : finalités précises, nombre et emplacement des caméras, champs de vision, zones exclues, personnes filmées et habilitées, durée de conservation, destinataires (forces de l'ordre, télésurveilleur), matériel et hébergement.
2. Nécessité et proportionnalité : pourquoi les caméras, pourquoi à ces endroits, quelles alternatives ont été écartées (contrôle d'accès, éclairage, présence humaine), base légale (intérêt légitime ou mission d'intérêt public), information des personnes, respect des zones interdites (vestiaires, pauses, locaux syndicaux, postes de travail), consultation du CSE, durée de conservation.
3. Évaluation des risques pour les personnes filmées : accès illégitime aux images, modification ou détournement (diffusion sur les réseaux sociaux, remise à un tiers), disparition des enregistrements. Pour chaque risque, la vraisemblance et la gravité sont estimées.
4. Mesures : techniques (comptes nominatifs, journalisation, chiffrement, écrasement automatique, local sécurisé) et organisationnelles (procédure d'extraction, registre, formation des personnes habilitées, contrat de sous-traitance).

Le document se termine par l'avis du DPO, la validation du responsable de traitement et un plan d'action daté. Le lien avec la durée de conservation et le panneau d'information doit être explicite : ce sont les deux mesures vérifiées en premier lors d'un contrôle.

Les étapes pour réaliser votre AIPD

1. Cadrer : lister les caméras existantes et projetées, les zones (ouvertes ou non au public), les finalités, et vérifier si le dispositif relève de l'autorisation préfectorale (voir notre guide de l'autorisation).
2. Décider : passer le projet au crible des neuf critères et de la liste CNIL ; consigner la conclusion dans le registre, y compris lorsque l'AIPD n'est pas requise.
3. Collecter : plans d'implantation, fiches techniques, paramétrage de l'enregistreur, contrats (installateur, télésurveillance, cloud), modèles de panneaux, note d'information des salariés, procès-verbal de consultation du CSE.
4. Rédiger les quatre blocs, en associant le DPO, le service informatique et, pour une commune, le responsable du centre de supervision.
5. Évaluer les risques résiduels : si un risque élevé subsiste malgré les mesures, la consultation préalable de la CNIL est obligatoire (art. 36 RGPD). Dans les dispositifs classiques correctement sécurisés, ce cas reste rare.
6. Valider et dater : signature du responsable de traitement, avis du DPO joint.
7. Mettre en œuvre le plan d'action et conserver l'AIPD avec le dossier préfectoral et le registre.
8. Réviser : la CNIL demande une mise à jour « tout au long du cycle de vie du traitement ». Ajout de caméras, changement de finalité, passage au cloud ou activation d'une fonction d'analyse déclenchent une révision.

Pour les salariés, l'AIPD s'articule avec l'information individuelle (art. L.1222-4 du Code du travail) et la consultation du CSE (art. L.2312-38) : notre guide sur la vidéosurveillance des salariés détaille ces formalités.

L'outil PIA de la CNIL : gratuit, mais à utiliser avec méthode

La CNIL met à disposition un logiciel libre et gratuit, PIA, disponible pour Windows, macOS et Linux ainsi qu'en version serveur, traduit dans une vingtaine de langues. Il guide l'utilisateur pas à pas selon la méthode de la CNIL et intègre une base de connaissances juridique et technique. Une nouvelle version paraît régulièrement ; les versions installées vérifient elles-mêmes les mises à jour.

Ses atouts : une structure conforme à l'article 35.7, une cartographie des risques lisible, un export PDF présentable à un contrôleur. Sa limite : l'outil ne sait rien de votre installation. Les champs « mesures » restent vides si personne ne décrit le paramétrage réel de l'enregistreur, et l'évaluation de proportionnalité vaut ce que vaut l'argumentaire qu'on y écrit. Utilisez PIA comme trame, mais alimentez-le avec les pièces réelles du dossier préfectoral (plans, liste des caméras, rapport de présentation) : c'est la méthode de notre offre AIPD.

Le rôle du DPO et la consultation de la CNIL

Le RGPD ne confie pas la rédaction de l'AIPD au délégué à la protection des données : il exige que le responsable de traitement « demande conseil » au DPO lorsqu'il en a désigné un (art. 35.2), et la CNIL précise que le DPO est chargé de « vérifier l'exécution de l'AIPD ». Concrètement, le DPO relit, challenge la proportionnalité, vérifie les mesures et émet un avis écrit joint au document. Cet avis doit être sollicité avant l'installation : dans la délibération SAN-2025-008 du 18 septembre 2025, la CNIL a retenu un manquement à l'article 38 du RGPD parce que le DPO n'avait été informé que plusieurs semaines après la pose de caméras dissimulées.

Les collectivités et établissements publics doivent désigner un DPO (art. 37 RGPD). Une entreprise sans DPO reste tenue de réaliser l'AIPD ; elle peut se faire assister, mais la responsabilité demeure la sienne. La consultation préalable de la CNIL (art. 36) n'est requise que si le risque résiduel reste élevé après les mesures : pour un dispositif classique, sans son ni analyse automatisée, avec durée courte et accès tracés, elle n'est généralement pas nécessaire. La CNIL ne « valide » pas les AIPD sur demande ; le document reste chez vous, prêt à être produit.

AIPD manquante ou bâclée : les conséquences

Le défaut d'AIPD est un manquement à l'article 35 du RGPD, passible d'une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (art. 83.4). Ce n'est pas une menace théorique en matière de caméras :

• Délibération SAN-2024-021 du 19 décembre 2024 : 40 000 euros d'amende contre une agence immobilière, notamment pour absence d'analyse d'impact malgré une vidéosurveillance continue, avec son, des zones de travail et de pause.
• Délibération SAN-2025-008 du 18 septembre 2025 : 100 000 euros contre un grand magasin parisien ; la CNIL relève l'installation de caméras sans « analyse de conformité au RGPD » préalable ni association du DPO.

Au-delà de l'amende, l'AIPD manquante fragilise tout le reste : sans analyse de proportionnalité, l'employeur peine à justifier l'emplacement d'une caméra devant le conseil de prud'hommes, et la préfecture peut demander des compléments lors de l'instruction du dossier. Notre page cas de non-conformité détaille ces décisions ; notre guide des sanctions présente l'ensemble des risques.

Ce que fait AFCV pour votre AIPD

Nous rédigeons l'analyse d'impact à partir des pièces déjà produites pour le dossier préfectoral : liste des caméras, plans, rapport de présentation, panonceau. Cette continuité évite les incohérences entre documents, premier point relevé par un contrôleur.

• Qualification préalable : AIPD obligatoire, recommandée ou non requise, avec la justification à consigner dans votre registre.
• Rédaction des quatre blocs selon la méthode CNIL, avec une cartographie des risques et un plan d'action réaliste pour votre matériel.
• Documents prêts pour l'avis de votre DPO ; pour une collectivité, articulation avec l'AIPD-cadre du ministère de l'Intérieur.
• Mise à jour lors du renouvellement de l'autorisation ou de toute évolution du système.

Commencez par le pré-diagnostic gratuit : en trois minutes, vous saurez si votre projet relève de l'autorisation préfectorale et si une AIPD est probable. La mise en conformité permet ensuite de commander le dossier, l'AIPD ou les deux. Questions rapides : voir notre FAQ.

Questions fréquentes

Informations à jour au 25 septembre 2026, données à titre informatif : elles ne remplacent pas l'analyse de votre situation par un expert.