CNPD vs CNIL: 8 jours ou 1 mois pour conserver les images au travail ?

Fait vérifiable — Au Luxembourg, la CNPD fixe en principe une durée de 8 jours pour conserver les images de vidéosurveillance, avec une exception documentée jusqu’à 30 jours. En France, la CNIL indique qu’« en règle générale, quelques jours suffisent », tout en tolérant « par principe » une durée n’excédant pas un mois.

Objectif conformité: opérationnaliser le principe de limitation de la conservation de l’article 5(1)(e) RGPD, en cohérence avec le cadre travail (L. 261‑1 du Code du travail luxembourgeois) et les lignes directrices EDPB 3/2019.

L’affaire

Le 5 avril 2024, la CNPD a mis à jour sa page « Principe de limitation de la conservation » applicable à la vidéosurveillance: « les images peuvent être conservées en principe jusqu’à 8 jours », avec une exception motivée jusqu’à 30 jours; au‑delà, la durée est « généralement disproportionnée ». La CNPD renvoie à une décision de sanction (14FR/2021 du 12 mai 2021) pour étayer sa position. Sources: CNPD – Limitation de la conservation ; CNPD – Lignes directrices vidéosurveillance.

Côté français, la CNIL rappelle qu’« en règle générale, quelques jours suffisent », mais précise aussi « par principe, la durée de conservation ne doit pas excéder un mois », sous réserve de proportionnalité et d’autorisation préfectorale lorsque la voie publique est filmée. Sources: CNIL – Comment mettre en place les dispositifs vidéo ? ; CNIL – La vidéoprotection ; CNIL – Vidéosurveillance au travail.

Le CEPD (EDPB) – Lignes directrices 3/2019 (v2.0, 29 janvier 2020) – souligne qu’« dans la plupart des cas, les données devraient être effacées après quelques jours », ce qui conforte l’approche prudente. Sources: EDPB – Guidelines 3/2019 ; Version FR (PDF).

Le raisonnement juridique

• Base légale et contexte travail (LU): tout dispositif visant des salariés relève de l’article L. 261‑1 du Code du travail et doit reposer sur une base de l’article 6(1) RGPD (souvent l’intérêt légitime, art. 6(1)(f)), avec information collective et individuelle; la délégation du personnel peut solliciter l’avis préalable de la CNPD dans les 15 jours. Source: CNPD – Article L. 261‑1.
• Principe de stockage limité: l’article 5(1)(e) RGPD impose de ne pas conserver les données plus longtemps que nécessaire. La CNPD l’opérationnalise en fixant un référentiel: 8 jours par principe; 30 jours à titre exceptionnel et justifié dans le registre (art. 30 RGPD). Au‑delà, la conservation est « généralement disproportionnée ». Sources: CNPD – Limitation de la conservation ; RGPD – EUR‑Lex.
• AIPD/DPIA: selon l’article 35 RGPD et les Lignes directrices EDPB 3/2019, la vidéosurveillance peut déclencher une AIPD; en France, la CNIL exige une AIPD en cas de « surveillance systématique à grande échelle d’une zone accessible au public ». Sources: CNIL – La vidéoprotection ; EDPB – Guidelines 3/2019.

La divergence tient moins à la base juridique qu’à la transposition du principe de limitation: la CNPD publie un seuil strict (8 jours, 30 jours exceptionnellement) là où la CNIL maintient une borne supérieure générique (jusqu’à un mois), tout en rappelant que « quelques jours suffisent en général ».

Ce que ça change concrètement

• Luxembourg: une politique « 30 jours par défaut » sera difficilement défendable. Alignez‑vous sur 8 jours, avec exception dûment motivée (ex. sinistralité élevée, contraintes d’enquête, week‑ends prolongés) consignée dans le registre (art. 30) et l’AIPD si réalisée. Source: CNPD – Limitation de la conservation. Pour cadrer la gouvernance, un mandat DPO peut sécuriser la doctrine interne et les contrôles.
• France: si vous exploitez des sites ouverts au public, la borne d’un mois reste un plafond, pas un droit: documentez pourquoi « quelques jours » ne suffisent pas; l’autorisation préfectorale fixe la durée lorsque la voie publique est filmée. Sources: CNIL – Comment mettre en place… ; CNIL – La vidéoprotection.
• Multi‑pays: pour un groupe présent au Luxembourg et en France, adoptez la norme la plus stricte (8 jours) comme défaut UE, avec exceptions locales documentées. Cette approche respecte l’article 5(1)(e) RGPD et évite un patchwork difficilement pilotable. Besoin d’appui local ? Voir DPO Luxembourg.
• Preuve de conformité: mettez en place l’effacement automatique, des journaux d’accès/extraction et une procédure de « gel » en cas d’incident (conservation pour la durée de la procédure), comme le rappellent CNPD/CNIL.

Pièges fréquents

1. Conserver 30 jours « parce que le DVR le permet ». Sans test de nécessité/mise en balance (EDPB 3/2019) et justification écrite, vous vous exposez. Sources: CNPD – Limitation de la conservation ; EDPB – Guidelines 3/2019.
2. Oublier le cadre travail L. 261‑1 au Luxembourg. Installer des caméras visant des salariés sans information adéquate, sans possibilité d’avis CNPD et sans information art. 12‑13 RGPD est non conforme. Source: CNPD – Article L. 261‑1.
3. Absence d’effacement automatique et d’instructions internes. Sans purge programmée, registre des consultations et consignation des extractions en cas d’incident, la proportionnalité n’est pas démontrée. Sources: CNPD – Limitation de la conservation ; CNIL – La vidéoprotection.
4. Copier‑coller une politique France vers Luxembourg (ou inversement). La divergence CNPD/CNIL sur la durée impose des annexes locales et des réglages par site dans le VMS/DVR. Sources: CNPD – Limitation de la conservation ; CNIL – Comment mettre en place….
5. Négliger l’AIPD quand la surveillance est étendue. La CNIL exige une AIPD en cas de surveillance systématique à grande échelle d’une zone accessible au public; l’EDPB fournit des critères. Sources: CNIL – La vidéoprotection ; EDPB – Guidelines 3/2019.

Pour structurer votre registre, ajuster vos durées et outiller la purge, un accompagnement par un DPO certifié peut accélérer la mise en conformité.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.