Vidéosurveillance & Loi 09-08 : Êtes-Vous en Conformité ?

Filmer N'est Pas un Droit Absolu

« Une vidéosurveillance non conforme, c'est le pire des deux mondes : l'entreprise s'expose à des sanctions, et ses enregistrements peuvent être écartés comme preuve. »

Au Maroc, dès lors qu'une caméra capte l'image de personnes identifiables, elle réalise un traitement de données personnelles au sens de la loi 09-08. L'entreprise qui exploite le système devient « responsable de traitement », avec des obligations précises contrôlées par la CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel). Avec la généralisation de l'IA dans les caméras — reconnaissance faciale, analyse comportementale — ces obligations prennent une dimension nouvelle.

Vos Cinq Obligations Principales

1. Déclarer le traitement à la CNDP. Tout système de vidéosurveillance en entreprise doit faire l'objet d'une déclaration préalable (ou d'une demande d'autorisation pour les traitements sensibles comme la biométrie). La CNDP a publié des délibérations encadrant spécifiquement la vidéosurveillance sur les lieux de travail.

2. Informer les personnes filmées. Des panneaux visibles doivent signaler la zone filmée, la finalité du dispositif, l'identité du responsable et les modalités d'exercice des droits d'accès. Filmer à l'insu des salariés ou des visiteurs est illégal.

3. Respecter la proportionnalité. Les caméras doivent viser la sécurité des biens et des personnes — jamais la surveillance permanente d'un salarié à son poste, ni les zones de pause, vestiaires ou sanitaires.

4. Limiter la durée de conservation. Les images ne peuvent être conservées que le temps nécessaire à la finalité déclarée. Au-delà, elles doivent être écrasées automatiquement — un paramétrage que tout enregistreur professionnel permet.

5. Sécuriser les accès aux images. Habilitations nominatives, journalisation des consultations et des exports, mots de passe robustes : l'accès aux enregistrements doit être strictement tracé et limité.

IA, Biométrie : Redoubler de Vigilance

L'ajout de fonctions intelligentes change la nature du traitement. La reconnaissance faciale et les données biométriques relèvent d'un régime renforcé nécessitant une autorisation préalable de la CNDP, une justification solide de la finalité et des mesures de sécurité accrues. L'analyse comportementale anonyme (comptage, détection d'intrusion) est en revanche moins intrusive — c'est souvent la voie recommandée pour concilier performance et conformité. Dans tous les cas, le principe est constant : la technologie la moins intrusive qui atteint l'objectif doit être privilégiée.

La Conformité, un Atout Plus qu'une Contrainte

Un dispositif conforme protège doublement l'entreprise : ses enregistrements sont juridiquement exploitables en cas de litige ou de sinistre, et elle échappe aux sanctions et au risque réputationnel. La conformité se construit dès la conception du projet — choix des angles de vue, paramétrage des durées, gestion des droits — et non après coup. C'est le principe du « privacy by design », que tout intégrateur sérieux applique nativement.

Conclusion

La loi 09-08 n'interdit pas la vidéosurveillance : elle l'encadre pour la rendre légitime et juridiquement solide. Pour une entreprise marocaine, la mise en conformité représente quelques formalités et de bons réflexes de paramétrage — un effort modeste au regard du risque évité. Le bon moment pour vérifier votre conformité, c'est maintenant, avant le contrôle ou le contentieux qui la rendra urgente.

Questions Fréquentes

Quelle durée de conservation pour les images de vidéosurveillance ?

La loi 09-08 impose une conservation limitée à la durée nécessaire à la finalité déclarée. En pratique, les durées usuelles déclarées à la CNDP pour la vidéosurveillance de sécurité se situent autour de 30 jours, sauf justification particulière liée à l'activité. Au-delà, les images doivent être écrasées automatiquement — tout enregistreur professionnel le permet. En cas d'incident, les séquences pertinentes peuvent être extraites et conservées le temps de la procédure, dans un cadre tracé et sécurisé.

Puis-je filmer mes salariés à leur poste de travail ?

La surveillance permanente et ciblée d'un salarié à son poste est disproportionnée et interdite. Les caméras doivent viser la sécurité des biens et des personnes : accès, zones de circulation, stocks, caisses — jamais les vestiaires, sanitaires, salles de pause ou de prière, ni un poste de travail en plan rapproché continu. Les salariés et leurs représentants doivent être informés du dispositif, de ses finalités et de leurs droits. Un dispositif proportionné et déclaré protège l'employeur ; un dispositif intrusif se retourne contre lui devant les tribunaux.

Que risque une entreprise en cas de non-conformité ?

La loi 09-08 prévoit des sanctions administratives et pénales : amendes, voire peines plus lourdes pour les traitements illicites de données sensibles. Au-delà des sanctions, le risque le plus immédiat est probatoire : des enregistrements issus d'un dispositif non déclaré ou disproportionné peuvent être écartés en justice, privant l'entreprise de ses preuves au moment où elle en a le plus besoin. S'ajoute le risque réputationnel. La mise en conformité — déclaration, affichage, paramétrage — représente un effort modeste au regard de ces risques.