Peut-on voir les caméras de sécurité d'un commerce ? Scénarios d'accès & limites légales
Voir les caméras de sécurité d'un commerce dépend entièrement de l'autorisation, l'architecture système et la loi vie privée. Pas de « oui » ou « non » universel.
Scénarios où la visualisation est autorisée
| Scénario | Qui | Méthode d'accès typique |
|---|---|---|
| Employé autorisé | Sécurité, direction, prévention pertes | Moniteur sur site, client VMS, appli mobile (identifiants) |
| Propriétaire/Gérant distant | Propriétaire, directeur régional | Cloud VMS, DDNS + appli, VPN vers NVR |
| Télésurveillance tierce | Centre télésurveillance, service gardiennage | Fibre/VPN dédié, intégration plateforme alarme |
| Forces de l'ordre | Police, enquêteurs | Assignation, mandat, circonstances urgentes, partage volontaire |
| Audit/Enquête interne | RH, conformité, sécurité | Export VMS, preuves extraites, journal chaîne de custody |
| Flux sécurité publique | Public (trafic, transit, caméras ville) | Site/appli public (ex. 511, DOT, agence transit) |
Scénarios où visualisation restreinte/illégale
- Zones vie privée employés : Toilettes, salles pause, vestiaires (illégal plupart juridictions).
- Capture PII clients : Claviers PDV, cartes crédit, comptoirs pharmacie — violations PCI-DSS/HIPAA.
- Accords syndical/travail : CBA peut limiter portée surveillance, rétention, accès.
- RGPD / CCPA / Lois biométriques étatiques (BIPA, CUBI) : Reconnaissance faciale, vidéo identifiable = données régulées. Journaux accès, limites rétention, AIPD requis.
- Locataire vs Propriétaire : Bail définit qui contrôle caméras parties communes.
Méthodes d'accès techniques
- Client local : Logiciel VMS (Milestone, Genetec, Exacq, Avigilon, Nx Witness, Blue Iris) sur PC.
- Client web : VMS navigateur (HTML5, WebRTC).
- Appli mobile : Appli vendeur VMS (iOS/Android) avec alertes push.
- Caméra directe : RTSP/HTTP/ONVIF Profile T/S vers IP caméra (contourne NVR).
- Pont cloud : Caméra → Cloud (Verkada, Rhombus, Eagle Eye, Arcules) → Appli.
Bonnes pratiques pour entreprises
- Politique écrite : finalité, rétention (30–90 jours typique), rôles accès, journal audit.
- Moindre privilège : vue live ≠ export ≠ admin.
- Masques vie privée sur zones sensibles.
- Signalétique : « Vidéosurveillance en service ».
- Audit régulier : qui a accédé quoi, quand.