CNPD vs CNIL: vidéosurveillance au travail, 8 jours LU, 30 jours FR

L’affaire

Le 10 avril 2024, la Commission nationale pour la protection des données (CNPD) a mis à jour ses « Lignes directrices en matière de vidéosurveillance » et publié une version PDF détaillée. Deux points clés pour les employeurs luxembourgeois :

• la durée de conservation des images est « en principe » limitée à 8 jours, avec une extension « exceptionnelle » jusqu’à 30 jours justifiée dans le registre (et au‑delà généralement disproportionnée) ;
• l’enregistrement ou l’écoute du son associé aux images est considéré comme disproportionné.

Voir la page thématique et le PDF officiel de la CNPD : « Lignes directrices en matière de vidéosurveillance » (mise à jour 10/04/2024 ; actualité rappelée 05/06/2025). cnpd.public.lu

En miroir, la CNIL rappelle qu’« en règle générale, quelques jours suffisent », tout en opérant – pour la vidéoprotection de lieux ouverts au public relevant du Code de la sécurité intérieure – avec un plafond légal d’un mois et, en pratique, de nombreux cadres ministériels affichent « 30 jours maximum ». Voir par exemple « La vidéoprotection » (CNIL) et des référentiels ministériels publiés par la CNIL. cnil.fr

Ce décalage opérationnel entre CNPD et CNIL est décisif pour les organisations actives au Luxembourg et en France (groupes transfrontaliers, sièges et succursales).

Le raisonnement juridique

• Base UE commune. Les deux autorités appliquent le RGPD : principes de licéité et proportionnalité (articles 5 et 6), transparence (art. 12‑13), registre (art. 30), limitation de la conservation (art. 5(1)(e)), sécurité (art. 32) et, si nécessaire, AIPD (art. 35). Les Lignes directrices 3/2019 de l’EDPB sur les dispositifs vidéo structurent la base commune (proportionnalité, information à deux niveaux, cas typiques de bases légales, DPIA en cas de surveillance systématique à grande échelle d’espaces publics). edpb.europa.eu — voir aussi notre rappel RGPD et article 30/35.
• Spécificités CNPD.
  • Conservation : « en principe jusqu’à 8 jours » ; jusqu’à 30 jours « exceptionnellement » et « dûment justifiée » dans le registre ; « au‑delà de 30 jours généralement disproportionné ». PDF CNPD 2024
  • Audio : « une surveillance au moyen de caméras vidéo ne doit porter que sur des images à l’exclusion de sons » ; l’écoute/enregistrement du son est « à considérer comme disproportionné ». PDF CNPD 2024
  • Droit du travail luxembourgeois : l’article L. 261‑1 du Code du travail impose une information collective préalable de la délégation du personnel et ouvre, sous 15 jours, la possibilité pour la délégation (ou à défaut les salariés) de saisir la CNPD pour un avis préalable à effet suspensif ; la CNPD doit se prononcer sous un mois. PDF CNPD 2024
• Position CNIL.
  • Conservation : la CNIL rappelle qu’« en règle générale, quelques jours suffisent » et que, pour la vidéoprotection régie par le Code de la sécurité intérieure, « la durée (…) ne peut excéder un mois ». cnil.fr
  • Audio : l’enregistrement du son couplé à la vidéoprotection est en principe interdit en droit français, mais la CNIL évoque des cas très précis de captation sonore autorisée (déclenchement à l’événement, périmètre restreint, base légale et information renforcée). cnil.fr

En synthèse, l’EDPB fournit le cadre, mais les autorités nationales modulèrent l’application pratique : au Luxembourg, la CNPD pose une barre plus basse sur la durée (8 jours par défaut) et ferme la porte à l’audio couplé ; en France, la CNIL raisonne sur des « quelques jours » avec un plafond CSI d’un mois et admet, à titre très exceptionnel, certains dispositifs sonores.

Ce que ça change concrètement

• Groupes transfrontaliers LU–FR. Si votre politique groupe prévoit 30 jours de rétention vidéo « par défaut », elle est non conforme au Luxembourg. Adoptez un paramétrage par défaut à 8 jours sur les sites luxembourgeois, et ne dépassez 30 jours qu’exceptionnellement, avec justification formalisée dans le registre article 30. Révisez vos matrices de conservation pour distinguer LU et FR. PDF CNPD 2024
• Périmètre audio. Les caméras « avec micro » activé en continu sont proscrites par la CNPD. Même si certaines configurations très spécifiques existent en France, n’alignez pas le Luxembourg sur ces exceptions. Désactivez systématiquement l’audio sur les sites LU et documentez le contrôle technique (paramétrage, scellés logiciels). PDF CNPD 2024
• Dialogue social et calendrier. Au Luxembourg, avant mise en service d’un dispositif visant des salariés, informez collectivement la délégation du personnel (contenu précis) et anticipez le délai de 15 jours pendant lequel une saisine CNPD est possible (effet suspensif jusqu’à la décision, sous un mois). PDF CNPD 2024
• AIPD. Déclenchez une AIPD si les critères EDPB sont atteints (p.ex. surveillance systématique à grande échelle d’une zone accessible au public, couplée à d’autres critères). Référez-vous aux lignes 3/2019 et à la section dédiée des lignes CNPD. edpb.europa.eu

Pièges fréquents

1. Cloner une « politique groupe 30 jours » sans tenir compte du site luxembourgeois. Résultat : durée excessive au regard de la CNPD (8 jours par principe, 30 jours seulement à titre exceptionnel et justifié). PDF CNPD 2024
2. Oublier l’audio. Des NVR livrés avec audio activable à distance ou des dômes IP disposant d’un micro exposent à un manquement : la CNPD considère l’audio couplé comme disproportionné. Vérifiez et documentez la désactivation matérielle/logicielle. PDF CNPD 2024
3. Négliger l’information collective L. 261‑1. Installer des caméras en zone de travail sans information préalable de la délégation du personnel, ni mentionner la conservation et l’engagement de finalité stricte, ouvre la voie à une saisine suspensive auprès de la CNPD. PDF CNPD 2024
4. AIPD « pro forma ». Dans des magasins ou campus filmant de vastes zones accessibles au public, une AIPD complète est requise ; recopier un modèle sans évaluer alternatives, angles morts et masquages contrevient à l’art. 35 RGPD et aux Lignes 3/2019. edpb.europa.eu
5. Panneaux d’information incomplets. La CNPD exige un double niveau d’information, dont, au premier niveau, les éléments « ayant la plus grande influence » (p. ex. durée de conservation, surveillance en direct). Les panneaux « pictogramme seul » sont insuffisants. PDF CNPD 2024

Sources officielles

• Luxembourg — CNPD, « Lignes directrices en matière de vidéosurveillance » (page thématique, dernière mise à jour 10/04/2024) et PDF 2024 : conservation 8 jours, audio disproportionné, obligations L. 261‑1 CT. Page thématique — PDF — Actualité
• France — CNIL : La vidéoprotection ; La vidéosurveillance au travail ; exemples d’actes ministériels « 30 jours max » : Exemple 1 et Exemple 2.
• Europe — EDPB, « Lignes directrices 3/2019 sur le traitement des données à caractère personnel par des dispositifs vidéo » (version finale 30/01/2020). edpb.europa.eu

En pratique, tenez une matrice « site × finalité × conservation × audio × information × AIPD » : au Luxembourg, réglez par défaut à 8 jours (journalisez toute extension), désactivez l’audio, appliquez L. 261‑1 et, pour les zones publiques, alignez-vous sur l’EDPB pour décider l’AIPD. En France, respectez les « quelques jours » sous plafond CSI d’un mois et, le cas échéant, les cadres ministériels applicables. Pour sécuriser votre programme de conformité CNPD, voyez notre page RGPD Luxembourg ou confiez un mandat DPO.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.