4 cas de figures
1. Le lieu est privé
Il s'agit de locaux d'habitation, loisirs ou professionnels, il faut respecter les règles du code civil et pour les locaux professionnels le code du travail. Pas de demande, ni autorisation.
2. Le lieu est public
La vidéoprotection porte sur la voie publique, un lieu ou établissement ouvert au public: Autorisation du Préfet et du département.
3. Par exception au deux cas précédents
Si le dispositif de video conduit à des enregistrements inclus dans des fichiers structurés ou traitements automatisés permettant l'identification des personnes, la compétence est exclusive à la CNIL.
Il y a un risque au regard du terrorisme.
Le préfet et peut prescrire une installation d'un système vidéo protection.
4. Le RGPD (règlement générale de protection des données)
Depuis le 25 mai 2018, le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après : « le RGPD »), trouve application.
Contrairement à la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel , le RGPD ne définit pas la notion de « surveillance ». De plus, une des conséquences directes du RGPD est qu’il n’est plus nécessaire de demander l’autorisation préalable de la CNPD pour installer un système de vidéosurveillance.
Si l’obligation de demander une autorisation préalable à la CNPD a disparu, les responsables du traitement sont maintenant obligés de tenir un registre des traitements de données à caractère personnel qui sont effectués sous leur responsabilité et ce, conformément à l’article 30 du RGPD. Le traitement de données à caractère personnel découlant de la vidéosurveillance devra dès lors y figurer et inclure les informations exigées par l’article 30 du RGPD.
La réalisation d'une AIPD (Analyse d'Impact relative à la Protection des Données) est obligatoire dans certains cas spécifiques, notamment lorsqu’un traitement de données présente un risque élevé pour les droits et libertés des personnes concernées, en vertu du RGPD.