Caméras dissimulées dans les réserves : sanction de 100 000 euros à l’encontre de SAMARITAINE SAS
Le 18 septembre 2025, la CNIL a rendu la décision n°SAN-2025-09 et prononcé une amende de 100 000 euros à l’encontre de la société SAMARITAINE SAS, exploitant le grand magasin La Samaritaine.
En cause : l’installation de caméras de vidéosurveillance dissimulées dans les réserves, sans garanties suffisantes et en violation des principes du RGPD.
Cette sanction illustre la rigueur de la CNIL dans l’équilibre entre sécurité des biens et respect de la vie privée des salariés.
Installation de caméras dissimulées: les faits reprochés
En août 2023, la société SAMARITAINE SAS a installé deux caméras sous l’apparence de détecteurs de fumée dans ses réserves.
Ces dispositifs étaient équipés de micros capables d’enregistrer les conversations des salariés.
Découvertes en septembre 2023, ces « caméras dissimulées » ont rapidement conduit à un contrôle de la CNIL, à la suite d’une plainte et de révélations dans la presse.
La CNIL rappelle que, conformément à la jurisprudence de la CEDH et à ses lignes directrices, de tels dispositifs ne peuvent être mis en place que dans des circonstances exceptionnelles, de façon temporaire et documentée, avec une analyse préalable de compatibilité au RGPD.
Les manquements relevés par la CNIL
1. Violation du principe de loyauté et de responsabilité (articles 5.1 a et 5.2 RGPD)
L’employeur doit recourir à des dispositifs de surveillance clairement visibles.
Dans ce cas, la société :
- n’a pas inscrit ce traitement dans son registre,
- n’a pas réalisé d’analyse d’impact,
- n’a pas informé son délégué à la protection des données (DPO) avant l’installation.
Les salariés n’ont donc reçu aucune information préalable, et la CNIL n’a obtenu aucune justification sur le caractère temporaire du dispositif.
2. Atteinte au principe de minimisation (article 5.1 c RGPD)
Les caméras étaient dotées de microphones, ce qui a permis l’enregistrement de conversations privées relevant de la vie personnelle des salariés.
La CNIL a estimé que cette collecte était excessive et non nécessaire, en violation du principe de minimisation.
3. Manquement à la consultation du délégué à la protection des données (article 38.1 RGPD)
Le DPO n’a été informé que plusieurs semaines après l’installation.
Or, sa consultation préalable est essentielle pour :
- identifier les risques,
- proposer des garanties adaptées,
- et assurer la conformité au RGPD.
L’absence de consultation a privé l’entreprise d’un avis déterminant pour sécuriser le traitement.
Conclusion
Cette affaire démontre la vigilance de la CNIL face aux atteintes à la vie privée des salariés.
Les entreprises doivent veiller à ce que leurs dispositifs de surveillance respectent les principes fondamentaux du RGPD, notamment la transparence, la minimisation et la responsabilité, tout en impliquant leur délégué à la protection des données dès la conception du projet.
