Vidéosurveillance dissimulée par l’employeur : la CNIL sanctionne lourdement La Samaritaine

Le 18 septembre 2025, la CNIL a prononcé une sanction de 100 000 euros¹ à l'encontre de la société LA SAMARITAINE pour avoir dissimulé dans les réserves de son magasin des caméras de vidéosurveillance, prenant l’apparence de détecteurs de fumée.

Cette décision vient rappeler les conditions strictes dans lesquelles peuvent être déployés des dispositifs de surveillance des salariés sur le lieu de travail, y compris en cas de soupçons de vols par l’employeur.

_{Les faits : des détecteurs de fumée qui n'en étaient pas}

Face à une recrudescence de vols dans ses réserves, La Samaritaine a pris l'initiative d'installer en août 2023 des caméras dissimulées sous l'apparence de détecteurs de fumée, permettant par ailleurs d’enregistrer le son.

Les salariés, après avoir découvert le subterfuge, ont porté plainte auprès de la CNIL le 28 novembre 2023.

La CNIL a rapidement déclenché une procédure de contrôle au sein de La Samaritaine à la suite de cette plainte.

^{La violation du RGPD : les quatre manquements sanctionnés}

Les investigations menées ont conduit la formation restreinte de la CNIL à infliger une amende de 100 000 euros à la société, en raison du non-respect des principes suivants, édictés par le RGPD :

• Le manquement à l’obligation de loyauté, licéité et transparence, ainsi qu’au principe de responsabilité²

La CNIL rappelle le principe en matière de surveillance des salariés : la transparence est la règle, la dissimulation l'exception.

Elle rappelle ainsi que les salariés doivent être informés de l’existence du dispositif de vidéosurveillance et de la zone qu’il couvre³, sauf à ce que l’employeur justifie de circonstances exceptionnelles et de la proportionnalité du dispositif au regard de l’objectif poursuivi.

En effet, si la jurisprudence européenne⁴ admet que des circonstances exceptionnelles peuvent justifier l'installation temporaire de caméras cachées, encore faut-il, comme le souligne l’autorité de contrôle, que l’employeur ait mis en place les garanties appropriées permettant d’assurer la préservation d’un juste équilibreentre l’objectif poursuivi par le responsable de traitement et la protection de la vie privée des salariés.

Il appartient, ainsi, à l’employeur, qui envisagerait de déployer un dispositif de surveillance dissimulé, compte tenu de circonstances particulières, de réaliser au préalable les démarches suivantes :

• Justifier et documenter le caractère exceptionnel de la situation et les caractéristiques du déploiement du dispositif ;
• S’assurer de la proportionnalité de la mesure et la documenter ;
• Garantir le caractère temporaire du dispositif ;
• Mettre à jour en conséquence sa documentation (registre des activités de traitement, analyse d’impact relative à la protection des données) et consulter son Délégué à la Protection des Données (cf partie 3 ci-dessous).

***Le cœur de la violation réside ici : LA SAMARITAINE, qui invoquait une recrudescence de vols dans les éserves malgré l’existence d’un dispositif « classique » de vidéosurveillance dans certaines réserves, n’a pas accompagné le déploiement de son dispositif clandestin par les garanties appropriées visant à assurer la proportionnalité de celui-ci, caractérisant un manquement aux obligations de loyauté, licéité et transparence, et de responsabilité. ***

• Le manquement à l’obligation de minimisation⁵ : le dispositif excessif d’enregistrement sonore

Conformément à la règlementation applicable, les données collectées doivent être adéquates, pertinentes et non excessives : l’employeur doit s’abstenir de collecter, conserver ou, plus généralement, traiter des données qui sont sans utilité pour atteindre l’objectif qu’il poursuit.

La CNIL rappelle, alors, que pour être proportionné, un dispositif de vidéosurveillance ne doit pas, en principe, capter le son⁶.

Or, les caméras mises en place par LA SAMARITAINE étaient équipées de microphones, permettant la captation de conversations entre les salariés relevant de la sphère personnelle.

L’autorité de contrôle considère qu’un tel enregistrement sonore, au demeurant continu, n’était pas justifié par la finalité poursuivie, à savoir des tests en vue de la prévention des vols, celle-ci pouvant être atteint par le seul recours à l’enregistrement d’images. La CNIL écarte ici tout argument de nécessité.

Elle estime que l’enregistrement sonore mis en place apparait par conséquent excessif, caractérisant un manquement de la société au principe de minimisation des données.

• Le manquement à l’obligation d’associer le DPO aux questions relatives à la protection des données⁷

La CNIL relève, par ailleurs, que l’employeur n’a pas consulté sa Déléguée à la protection des données préalablement au déploiement du dispositif de caméras dissimulées dans des détecteurs de fumée, malgré ses obligations en la matière.

Elle relève que la société ne l’a consultée qu’après que le dispositif ait été démonté, une fois découvert par les salariés, la privant de la possibilité d’exercer sa mission de conseil et d’alerte sur les risques encourus.

La formation restreinte souligne qu’outre le fait que la société ne rapporte pas l’impossibilité de différer l’installation dans l’attente de la consultation de sa DPO, le caractère particulièrement intrusif du dispositif envisagé aurait dû, à lui seul, la conduire à consulter la déléguée avant de démarrer l’installation du dispositif.

***Elle conclut qu’en n’associant pas sa DPO à la mise en place du dispositif de vidéosurveillance, la société a méconnu ses obligations (et s’est privée de l’accompagnement stratégique de conformité prévu par le RGPD).***

• Le manquement à l’obligation de communication à la CNIL d’une violation des données⁸

La CNIL relève qu’à l’occasion du démontage des caméras par les salariés, ces derniers ont conservé deux cartes SD contenant les enregistrements réalisés par le dispositif, ce qui caractérise une violation de données à caractère personnel.

En effet, elle rappelle que la perte de contrôle par le responsable de traitement d’un matériel contenant des données à caractère personnel est explicitement citée, par elle-même comme par le CEPD⁹, comme exemple d’événement devant être qualifié de violation de données à caractère personnel.

Elle précise que compte tenu de la présence sur les cartes SD d’enregistrements vidéo et sonores concernant des salariés, la violation en question était susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, rendant ainsi obligatoire sa notification à l’autorité de contrôle.

*** Or, l’autorité de contrôle relève qu’au jour du contrôle effectué par ses soins, ces faits n’avaient fait l’objet d’aucune notification auprès de ses services, ni d’inscription par la société au sein du registre des violations de données. Ce manquement témoigne d’une défaillance supplémentaire dans la gestion des risques liés aux données personnelles et caractérise un manquement supplémentaire de la part de LA SAMARITAINE. ***

^{A RETENIR}

La sanction pécuniaire de 100 000 euros prononcée par la CNIL à l’encontre de LA SAMARITAINE rappelle que la sécurité des biens de l’entreprise ne peut primer sur la protection des droits fondamentaux des salariés.

Les employeurs doivent, ainsi, trouver le juste équilibre entre protection de leurs biens et respect de la vie privée de leurs salariés.

L’installation de caméras dissimulées doit alors demeurer l’exception, et être strictement proportionnée, motivée et documentée.

L’échec de LA SAMARITAINE est double : sur le plan juridique, par le non-respect du RGPD ; mais aussi sur le plan organisationnel, car le défaut d’implication du DPO révèle un manque de culture de conformité.

Cette sanction est un avertissement à toutes les entreprises : la tentation du « raccourci sécuritaire » peut coûter cher, non seulement financièrement, mais aussi en termes d’image et de confiance interne.  

Cette surveillance ne peut donc être qu’une mesure de dernier recours, et votre structure doit être en mesure, après l’avoir documenté, de démontrer :

• l’épuisement d’autres moyens moins intrusifs (caméras visibles, contrôles d’inventaire, sécurisation des accès, etc.) ;
• l'existence de soupçons sérieux et circonstanciés ;
• la limitation dans le temps et l'espace du dispositif ;
• l’absence d’enregistrement sonore (sauf cas très exceptionnels et dans les conditions prévues par la CNIL) ;
• la tenue de la documentation requise (étude sur la faisabilité du dispositif, analyse d’impact, inscription au sein du registre des activités de traitement, notamment) ;
• la mise en œuvre de mesure de sécurité renforcées (accès restreints, chiffrement, etc.).

L’association de votre DPO à la construction d’un dispositif conforme s’avère indispensable, compte tenu des risques existants de sanctions (administratives, civiles, pénales) et d’atteinte à l’image de votre structure.

Notre Pôle Data se tient à votre disposition pour vous accompagner dans la mise en œuvre de vos dispositifs de surveillance de l’activité de vos salariés, conformément à la règlementation protectrice des données à caractère personnel.

¹ Délibération de la formation restreinte n°SAN-2025-008 du 18 septembre 2025 prononçant une sanction pécuniaire à l’encontre de la société SAMARITAINE SAS

² RGPD, articles 5-1-a et 5-2. Remarque : le principe de responsabilité consiste pour le responsable de traitement à être en mesure de démontrer le respect du principe de loyauté, licéité et transparence.

³ Sans que l’employeur n’ait à communiquer un plan comprenant les emplacements exacts des caméras (CNIL, P, 29 mai 2024, Rejet, Commune de X, 27412, non publié, aux tables Informatique et Libertés)

⁴ CEDH, Grande Chambre, 17 octobre 2019, Lopez Ribalda et autres c. Espagne,requêtes n° 1874/13 et 8567/13, pt 134

⁵ RGPD, art. 5.1 c)

⁶ "La captation du son n’est admissible que dans des circonstances exceptionnelles dont l’employeur doit pouvoir justifier, et doit alors généralement ne pas être mise en œuvre en continu mais seulement lorsqu’un événement particulier se produit" ; (CNIL, FR, 19 décembre 2024, Sanction n° SAN-2024-021, publiée, § 37).

⁷ RGPD, art. 38.1 : « Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel ».

⁸ RGPD, art. 33

⁹ Comité européen de la protection des données