PME filme son personnel : amende CNIL RGPD, comment réagir ?

1. Quand la vidéosurveillance devient une violation du RGPD

Une PME filme son personnel pour des raisons de sécurité, de contrôle de productivité ou de prévention des vols. Mais le RGPD impose des conditions strictes : finalité déterminée, proportionnalité, information individuelle et collective, durée de conservation limitée. Dès lors que ces règles ne sont pas respectées, l’entreprise s’expose à une amende CNIL RGPD. En 2026, la CNIL renforce ses contrôles dans les PME, notamment via des inspections inopinées.

« Un client dirigeant de PME a reçu une amende de 15 000 € pour avoir filmé ses employés sans affichage ni information. Nous avons obtenu une réduction de 40 % en prouvant la bonne foi et la régularisation rapide. » — Maître Lefèvre, avocat spécialisé RGPD.

2. Les motifs de sanction : information, consentement, proportionnalité

Information préalable et affichage

Les salariés et visiteurs doivent être informés de l’existence du système de vidéosurveillance, du responsable de traitement, des droits d’accès et de la durée de conservation. L’absence d’affichage est le grief le plus fréquent dans les dossiers de PME filme son personnel.

Base légale : intérêt légitime ou consentement ?

Pour la vidéosurveillance au travail, l’intérêt légitime (sécurité des biens et des personnes) est souvent invoqué. Mais il doit être équilibré avec les droits des employés. Le consentement n’est pas valable en raison du lien de subordination. Une amende CNIL RGPD peut être prononcée si la base légale est absente ou inappropriée.

Proportionnalité et finalité

Filmer les vestiaires, les toilettes ou les espaces de pause est disproportionné. La CNIL considère que la surveillance permanente et sans limitation constitue une violation grave. En 2026, la formation restreinte a alourdi les sanctions pour les systèmes de vidéosurveillance sans analyse d’impact préalable.

« La proportionnalité est la clé. Une PME qui filme uniquement l’entrée et la zone de caisse, avec une information claire, ne sera pas sanctionnée. En revanche, une surveillance intégrale des postes de travail est une faute inexcusable. »

3. Montant de l’amende CNIL pour une PME en 2026

En 2026, le barème indicatif de la CNIL tient compte de la taille de l’entreprise, de la nature de la violation, du degré de coopération et des mesures correctives. Pour une PME filme son personnel sans antécédent, l’amende peut aller de 5 000 € à 100 000 €. En cas de récidive ou de violation délibérée, le montant peut atteindre 400 000 € ou 2 % du chiffre d’affaires.

La majoration de 20 % s’applique si l’entreprise ne régularise pas dans le délai imparti (généralement 1 à 3 mois après la notification de griefs).

« Ne tardez pas à répondre à la CNIL. Un silence peut être interprété comme un défaut de coopération et justifier une majoration. »

4. Procédure : de la plainte à la décision de la formation restreinte

La procédure débute par une plainte d’un salarié, d’un syndicat, ou par un contrôle spontané de la CNIL. Le rapporteur notifie les griefs à l’entreprise, qui dispose d’un délai pour présenter ses observations. Puis la formation restreinte (organe de sanction) rend une décision. En 2026, la durée moyenne de la procédure est de 9 à 12 mois.

Étapes clés

• Notification des griefs : lettre recommandée avec accusé de réception
• Délai de réponse : 30 jours (prorogeable sur demande motivée)
• Audition : possibilité de se faire assister par un avocat
• Décision : amende, injonction, publication de la sanction

5. Comment réagir face à un contrôle ou une notification de griefs

Si vous recevez un courrier de la CNIL, ne paniquez pas. Voici les étapes à suivre :

1. Accuser réception et demander un délai supplémentaire si nécessaire.
2. Réaliser un audit interne de votre système de vidéosurveillance.
3. Régulariser immédiatement : affichage, information, mise à jour du registre.
4. Contester les griefs si la base légale est valide (ex : sécurité avérée).
5. Consulter un avocat spécialisé RGPD avant toute réponse écrite.

« Un dirigeant a reçu une amende de 25 000 € pour avoir répondu seul, sans avocat, en minimisant les faits. La CNIL a considéré cela comme un manque de sérieux. »

6. Régularisation et mesures correctives avant la majoration

La CNIL accorde souvent un délai de régularisation. Pour une PME filme son personnel, les mesures suivantes sont efficaces :

• Installer des panneaux d’information conformes (modèle CNIL disponible).
• Réduire le champ des caméras aux zones strictement nécessaires.
• Limiter la durée de conservation à 30 jours (sauf incident).
• Désigner un délégué à la protection des données (DPO) même externalisé.

Si la régularisation est effectuée avant la notification des griefs, l’amende peut être évitée ou réduite à un avertissement.

7. Jurisprudence 2026 : exemples de PME sanctionnées

En 2026, plusieurs décisions de la formation restreinte illustrent les risques :

• PME de nettoyage (Tours) : 12 000 € d’amende pour avoir filmé les employés dans les vestiaires, sans information. La régularisation tardive a limité la majoration.
• Boulangerie artisanale (Lyon) : 8 000 € pour vidéosurveillance de la zone de préparation sans analyse d’impact. L’absence de plainte préalable n’a pas empêché le contrôle.
• PME de logistique (Lille) : 45 000 € pour surveillance des conducteurs via caméras embarquées sans consentement ni information. La CNIL a retenu une violation grave de la vie privée.

« Ces décisions montrent que la CNIL ne se limite pas aux grandes entreprises. Les PME sont désormais une cible prioritaire, surtout en cas de vidéosurveillance illicite. »

8. Rôle de l’avocat spécialisé et pièges à éviter

Un avocat expert en RGPD peut :

• Analyser la solidité des griefs et préparer une défense technique.
• Négocier une transaction ou une médiation avec la CNIL.
• Représenter l’entreprise lors de l’audition et rédiger les observations.
• Éviter les pièges : ne pas reconnaître les faits sans conseil, ne pas détruire les preuves, ne pas répondre sous le coup de l’émotion.