Paris, le 14 septembre 2011  
       Le Premier ministre, à Monsieur le ministre d'Etat, Mesdames et Messieurs les ministres, Mesdames et Messieurs les secrétaires d'Etat, Mesdames et Messieurs les préfets de département, Mesdames et Messieurs les recteurs d'académie, 
1. Le visionnage de la voie publique ou de lieux et établissements
ouverts au public par des caméras de vidéoprotection
 Les systèmes de vidéoprotection mis en œuvre sur la voie publique ou dans des lieux et établissements ouverts au public (1) relèvent du régime juridique fixé par les articles 10 et 10-1 de la loi n° 95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité. L'installation de tels systèmes de vidéoprotection est soumise à l'obtention d'une autorisation préfectorale prise après avis de la commission départementale de la vidéoprotection, présidée par un magistrat judiciaire.
 Par exception, le I de l'article 10 susmentionné prévoit que les systèmes dont les images sont utilisées « dans des traitements automatisés ou contenus dans des fichiers structurés selon des critères permettant d'identifier, directement ou indirectement, des personnes physiques » sont soumis à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
 Comme le précise le Conseil d'Etat dans un avis du 24 mai 2011, les dispositifs de vidéoprotection ne relèvent de cette exception et ne doivent donc être soumis à la Commission nationale de l'informatique et des libertés ― CNIL ―, préalablement à leur installation, que si les traitements automatisés ou les fichiers dans lesquels les images sont utilisées sont organisés de manière à permettre, par eux-mêmes, l'identification des personnes physiques, du fait des fonctionnalités qu'ils comportent (reconnaissance faciale notamment).
 En revanche, le seul fait que les images issues de la vidéoprotection puissent être rapprochées, de manière non automatisée, des données à caractère personnel contenues dans un fichier ou dans un traitement automatisé tiers (par exemple, la comparaison d'images enregistrées et de la photographie d'une personne figurant dans un fichier nominatif tiers) ne justifie pas que la CNIL soit saisie préalablement à l'installation du dispositif de vidéoprotection lui-même.
2. Le visionnage des lieux non ouverts au public
par des caméras de vidéoprotection
 Les dispositions de la loi du 21 janvier 1995 ne s'appliquent pas aux systèmes de vidéoprotection installés dans des lieux non ouverts au public, comme les parties communes des immeubles d'habitation, les locaux professionnels et les établissements affectés à l'enseignement ou à la garde d'enfants.
 Saisi pour avis du cadre juridique applicable aux systèmes de captation et d'enregistrement d'images recueillies pour assurer la sécurité des établissements pénitentiaires, le Conseil d'Etat a relevé, dans son avis du 24 mai 2011 déjà mentionné, qu'un dispositif de surveillance au moyen de caméras peut parfois constituer un traitement automatisé de données à caractère personnel soumis à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. En effet, les dispositifs de vidéoprotection captent des images qui, si elles ne constituent pas par elles-mêmes des données à caractère personnel, livrent des informations sur les personnes qui y apparaissent, notamment leur présence en un endroit et à un moment déterminés. Lorsque ces personnes sont identifiables, les deux éléments constitutifs de la notion de « donnée à caractère personnel » sont réunis.
 Aux termes de cet avis, un système de vidéoprotection utilisé dans des locaux non ouverts au public constitue ainsi un traitement automatisé de données à caractère personnel soumis aux dispositions de la loi du 6 janvier 1978, dès lors que deux conditions cumulatives sont remplies :
 ― d'une part, les images font l'objet d'un enregistrement et d'une conservation, et non d'un simple visionnage. Le seul fait de capter les images au moyen d'une caméra et de les visionner en temps réel sans procéder à un enregistrement (2) ne constitue pas un traitement et ne relève pas des dispositions de la loi « informatique et libertés » mais des seules règles relatives à la protection de la vie privée (articles 9 du code civil et 226-1 du code pénal) et, le cas échéant, des dispositions du code du travail si les caméras sont installées dans des locaux professionnels ;
 ― d'autre part, le responsable du traitement ou les agents ayant accès aux enregistrements ou ayant vocation à y accéder sont en mesure, par les moyens dont ils disposent normalement, d'identifier les personnes filmées. L'identification des personnes est considérée comme possible dès lors que le système est mis en œuvre dans des lieux habituellement fréquentés par des personnes dont une partie significative est connue du responsable du système de vidéoprotection ou des personnes ayant vocation à visionner les images enregistrées.
 Sur ce dernier point, il y a lieu de considérer que les systèmes comportant des caméras d'enregistrement filmant des lieux non ouverts au public relèvent de la loi du 6 janvier 1978, et ainsi de la compétence de la Commission nationale de l'informatique et des libertés, lorsqu'un nombre significatif des personnes filmées sont connues de celles qui ont accès aux images. Tel sera le cas des systèmes de vidéoprotection installés dans des lieux pour lesquels le responsable du système dispose par ailleurs d'un moyen d'identification tel qu'un trombinoscope (locaux professionnels, établissements pénitentiaires...) ou dans des lieux où sont appelées à se trouver habituellement des personnes dont une partie significative est connue par les personnes ayant accès aux images (établissements scolaires, établissements hospitaliers...).
 Dès lors que les deux conditions rappelées ci-dessus sont remplies, il y a lieu de procéder aux formalités préalables auprès de la CNIL.
*
*  *
 Vous vous assurerez de la déclaration ou de la demande d'autorisation à la Commission nationale de l'informatique et des libertés des systèmes de vidéoprotection installés dans des lieux non ouverts au publics et répondant aux conditions mentionnées au point 2. Je vous rappelle qu'en application des articles 22 à 27 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés la finalité poursuivie par le système de vidéoprotection constitue le critère déterminant les formalités préalables à la mise en œuvre du traitement.
 Ainsi, l'acte réglementaire créant un système de vidéoprotection mis en œuvre par une autorité publique dans un lieu non ouvert au public sera soumis à la procédure d'autorisation prévue à l'article 26 de la loi du 6 janvier 1978 s'il participe à la protection de la sûreté de l'Etat, de la défense ou de la sécurité publique ou s'il vise la prévention ou la poursuite d'infractions pénales. En revanche, les systèmes usuels de vidéoprotection installés dans des locaux professionnels relèvent en général d'une simple déclaration auprès de la CNIL sur le fondement de l'article 23 de la loi « informatique et libertés ».
 J'appelle enfin votre attention sur les systèmes de vidéoprotection pouvant être qualifiés de « mixtes » parce qu'ils traitent à la fois des images prises dans des lieux non accessibles au public et des images prises dans des lieux ouverts au public ou sur la voie publique. Dans ce cas, il y aura lieu de faire application à la fois de la loi du 21 janvier 1995 et de la loi du 6 janvier 1978. Vous veillerez donc à saisir le préfet territorialement compétent pour obtenir une autorisation préalable à l'installation d'un système et à procéder auprès de la Commission nationale de l'informatique et des libertés à la formalité préalable applicable.
 Le dossier transmis au préfet sera composé conformément aux prescriptions de l'article 1er du décret n° 96-926 du 17 octobre 1996, pris pour l'application des articles 10 et 10-1 de la loi n° 95-73 du 21 janvier 1995. La demande de saisine de la CNIL devra quant à elle comporter les indications prévues à l'article 30 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
 Le préfet et la CNIL examineront les demandes chacun pour ce qui le concerne et au regard des seules règles qu'il ou elle a compétence pour appliquer.
 Je vous remercie d'assurer la plus large diffusion de la présente circulaire.