Le guide 2026 de la conformité vidéo au RGPD (ce qui a vraiment changé)

Le RGPD n'a pas été modifié en 2026 : les mêmes règles s'appliquent à vos vidéos. Dès qu'une personne y est identifiable, vous devez avoir une base légale, informer les personnes, limiter ce que vous filmez, respecter leurs droits, fixer une durée de conservation et sécuriser les images. Ce qui a évolué se trouve à côté : l'obligation de signaler les hypertrucages de l'AI Act, applicable depuis le 2 août 2026. La CNIL reste par ailleurs active sur la vidéosurveillance excessive des salariés.

Ce guide de conformité vidéo au RGPD s'adresse aux entreprises, aux collectivités et aux créateurs qui filment ou publient des personnes. Il présente les règles, les sanctions réelles, et ce que le floutage peut ou ne peut pas faire.

ℹ️ Cet article donne une information générale et ne constitue pas un conseil juridique. Pour un projet précis, adressez-vous à votre délégué à la protection des données ou à un avocat.

Ce qui a vraiment changé en 2026, et ce qui n'a pas changé

Une bonne partie de ce qui circule sur « les nouvelles exigences de 2026 » ne repose sur aucun texte. Voici ce que nous avons pu vérifier au 2 novembre 2026.

Le RGPD lui-même : pas de modification adoptée

Les données de l'Office des publications de l'UE ne montrent aucun acte adopté modifiant le RGPD, seulement des rectificatifs et les propositions de 2025 dites Digital Omnibus. Pour le RGPD, une proposition n'est pas une loi. Le volet IA de ce paquet a, lui, été adopté : le règlement (UE) 2026/1744 a modifié l'AI Act en juillet 2026. Vérifiez l'état de ce dossier avant de vous y fier, car il peut évoluer vite.

L'AI Act : signaler les hypertrucages

L'article 50 de l'AI Act prévoit que les déployeurs d'un système d'IA qui génère ou manipule des images ou des vidéos constituant un hypertrucage indiquent que les contenus ont été générés ou manipulés par une IA. Le règlement est applicable à partir du 2 août 2026. Selon notre lecture, flouter un visage n'entre pas dans cette catégorie. Une fonction qui remplace un visage par un autre mériterait en revanche d'être réexaminée.

La CNIL : la vidéosurveillance des salariés, un vrai thème de contrôle

Selon son bilan 2025, publié le 9 février 2026, la CNIL a prononcé 83 sanctions pour un montant total de 486 839 500 euros. Ce total vient surtout de deux amendes sur les cookies, de 325 et 150 millions d'euros. Pour la vidéo, le chiffre utile est ailleurs : 16 organismes ont été sanctionnés en 2025 pour non-respect des règles applicables à la vidéosurveillance des salariés. La CNIL rappelle qu'en l'absence de circonstances exceptionnelles, la surveillance vidéo permanente de salariés constitue une atteinte à la protection des données personnelles.

Ces amendes visent le fonctionnement des caméras, pas l'absence de flou sur un visage. D'après notre décompte de la liste de la CNIL, l'amende médiane était de 10 000 € en 2025, et 62 amendes sur 77 étaient de 20 000 € ou moins.

Ce que nous n'avons trouvé nulle part

Nous n'avons trouvé aucun texte créant un « niveau médico-légal » de floutage, une norme d'irréversibilité propre à 2026 ou une sanction spécifique pour « anonymisation incomplète ». Nous n'avons rien trouvé non plus sur des robots qui scanneraient les vidéos publiques pour le compte des autorités. Ne les traitez pas comme des exigences.

Les six règles qui s'appliquent à une vidéo

Le RGPD vise toute information se rapportant à une personne identifiée ou identifiable (art. 4). Une vidéo où l'on reconnaît quelqu'un est donc une donnée personnelle. Ce n'est pas pour autant une donnée biométrique : selon le considérant 51, une image ne l'est que si elle est traitée selon un mode technique spécifique permettant l'identification unique d'une personne.

Le RGPD ne s'applique pas à une activité strictement personnelle ou domestique, sans lien avec une activité professionnelle ou commerciale. Ce cadre s'arrête quand une vidéo est mise en ligne sans restriction, à la vue d'un nombre indéfini de personnes (CJUE, Lindqvist, 2003, et Buivids, 2019).

Sur les caméras fixes, le droit français distingue deux régimes :

Base légale

Le traitement n'est licite que si l'une des conditions de l'article 6 est remplie. Le consentement n'est qu'une possibilité : il doit pouvoir être démontré (art. 7) et il peut être retiré à tout moment. Pour une caméra de sécurité, l'intérêt légitime peut être examiné, à moins que ne prévalent les droits des personnes filmées. Cette base n'est pas ouverte aux autorités publiques dans l'exécution de leurs missions. Pour publier une vidéo, le droit à l'image s'ajoute : dans un lieu public, l'autorisation est nécessaire si la personne est isolée et reconnaissable, selon service-public.gouv.fr (page en cours de mise à jour).

Information

Les personnes doivent savoir qu'elles sont filmées. La CNIL demande des panneaux affichés en permanence, de façon visible, avec le pictogramme d'une caméra, les finalités, la durée de conservation, le contact du responsable et les droits. Les autres informations de l'article 13 peuvent figurer ailleurs, par exemple sur un site internet, et le panneau doit y renvoyer selon le CEPD. Avec des salariés, le Code du travail ajoute l'information préalable (art. L. 1222-4) et la consultation du CSE sur les moyens de contrôle de leur activité (art. L. 2312-38).

Minimisation

Ne filmez que ce qui est nécessaire à votre objectif (art. 5). Selon la CNIL, les caméras ne doivent pas filmer les employés sur leur poste de travail, sauf circonstances particulières, ni les zones de pause, ni les toilettes. L'enregistrement du son est réservé à des situations particulières.

Droits des personnes

Une personne peut demander l'accès aux images, leur effacement (art. 17) ou s'opposer au traitement (art. 21). Vous devez répondre dans un délai d'un mois, prolongeable de deux mois (art. 12). L'effacement connaît des exceptions, comme la défense de droits en justice. Une copie ne doit pas porter atteinte aux droits d'autrui (art. 15). La CNIL indique que cela peut nécessiter le masquage ou le « floutage » d'une partie des images, et le CEPD cite le masquage ou le brouillage. La protection des tiers ne doit pas servir de prétexte pour refuser l'accès. En 2025, 14 décisions de sanction simplifiée portaient sur des demandes d'effacement, d'opposition ou d'accès non prises en compte.

Conservation

Le RGPD interdit de conserver au-delà du nécessaire, sans fixer de durée unique. Pour la vidéoprotection, le délai ne peut excéder un mois (art. L. 252-5 du code de la sécurité intérieure). Au travail, la CNIL indique qu'en principe la durée n'excède pas un mois et que quelques jours suffisent en général. Elle ne doit pas dépendre de la seule capacité de stockage. Le CEPD va plus loin : les données devraient être effacées après quelques jours dans la plupart des cas, et au-delà de 72 heures la justification doit être développée.

Sécurité

L'article 32 cite la pseudonymisation et le chiffrement parmi les mesures possibles, et l'article 25 demande d'intégrer la protection dès la conception. Seules les personnes habilitées peuvent visionner les images, et l'accès à distance doit être sécurisé, par exemple avec un mot de passe robuste et une connexion https. Une fuite d'images peut devoir être notifiée à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard (art. 33), sauf absence de risque. Dans le dossier Amazon, l'un des manquements portait justement sur la sécurisation de l'accès au logiciel de vidéosurveillance.

Plafonds d'amende

Le RGPD prévoit des amendes pouvant atteindre 20 millions d'euros ou, pour une entreprise, 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu (art. 83, par. 5). Cela vise notamment les principes et les droits des personnes. Pour la protection dès la conception, le registre ou la sécurité, le plafond est de 10 millions d'euros ou 2 % (art. 83, par. 4). Ce sont des plafonds : la CNIL fixe le montant au cas par cas. La CNIL peut aussi prononcer des amendes contre des organismes publics, sauf lorsque le traitement est mis en œuvre par l'État. En procédure simplifiée, l'amende ne peut excéder 20 000 €, ou 100 000 € au-delà de 50 millions d'euros de chiffre d'affaires. Notre dossier sur les amendes RGPD détaille ces décisions.

Liste de contrôle avant de filmer, stocker ou publier

Cette liste ne garantit aucune conformité. Elle vous aide à repérer ce qu'il faut traiter avant de filmer, de stocker ou de publier.

• Finalité : pouvez-vous dire en une phrase pourquoi vous filmez ?
• Base légale : laquelle de l'article 6, et pouvez-vous la démontrer ?
• Périmètre : la caméra ou le cadrage se limite-t-il à ce qui est nécessaire ?
• Information : panneaux, mentions, information préalable des salariés et consultation du CSE sont-ils en place ?
• Durée : une durée est-elle fixée, et l'effacement est-il automatique ?
• Accès : qui peut voir les images, et l'accès à distance est-il sécurisé ?
• Registre : le traitement figure-t-il dans votre registre, lorsque vous devez en tenir un ?
• Analyse d'impact : faut-il une AIPD ? L'article 35 vise notamment la surveillance systématique à grande échelle d'une zone accessible au public.
• Demandes : savez-vous retrouver une séquence et masquer les tiers dans le délai d'un mois ?
• Prestataires : vos outils présentent-ils des garanties suffisantes (art. 28) ?
• Publication : avez-vous l'accord des personnes reconnaissables, ou une autre justification ? Sinon, masquez-les et vérifiez le résultat.

Pour les cas particuliers, voyez nos guides sur les photos et vidéos de salariés, les dashcams et bodycams et le floutage des vidéos de surveillance.

Flouter une vidéo : utile, mais pas suffisant

Aucun texte français ou européen n'impose en tant que tel de flouter un visage. Flouter reste utile : pour répondre à une demande d'accès en protégeant les tiers, pour traiter une demande de suppression, comme le mentionne la CNIL, ou pour publier une séquence sans exposer des personnes non concernées.

Ce que le floutage ne garantit pas

• L'anonymat. Le RGPD ne s'applique pas aux données rendues anonymes de telle manière que la personne ne soit plus identifiable (considérant 26), en tenant compte des moyens raisonnablement susceptibles d'être utilisés. La CNIL parle d'une identification rendue impossible, en pratique, de manière irréversible. Vêtements, voix, lieu ou plaque peuvent encore permettre d'identifier quelqu'un. À propos de caméras aux caisses automatiques, la CNIL écrit que, même si les visages sont floutés ou masqués, les personnes sont ré-identifiables dans ce système.
• La sortie du RGPD. Flouter est aussi un traitement : l'article 4 vise l'adaptation ou la modification. Le 22 décembre 2020 (n° 446155), à propos de drones policiers et au regard de la directive applicable à la police, le Conseil d'État a jugé qu'un dispositif avec floutage automatique restait un traitement de données personnelles, même si seules des images floutées arrivaient au centre de commandement.
• L'effet sur l'original. Si vous gardez la vidéo non floutée, l'analyse change. À l'inverse, le CEPD considère en vidéosurveillance que des images brouillées sans retour possible sont effacées.

Le flou peut-il être inversé ?

Le risque existe, sans être une règle de droit. Le LINC, laboratoire de la CNIL, note que les techniques sur l'image semblent moins directement réversibles si la dégradation est bien réalisée, mais que d'autres éléments peuvent mener à une réidentification. Une étude de 2016 (McPherson, Shokri, Shmatikov) a entraîné un réseau de neurones à reconnaître plus de 530 personnalités malgré une mosaïque de 16 × 16 pixels, avec 57 % de réussite. Il s'agissait de reconnaissance, pas de reconstruction du visage, et ces résultats ne s'appliquent pas tels quels à toute vidéo. En pratique, préférez un masquage assez fort pour ce que vous cachez, et vérifiez-le image par image. Un aplat de couleur opaque ne laisse voir aucun détail.

Avec Blur.me

Blur.me fonctionne dans le navigateur, sans installation. Vous pouvez flouter une vidéo, flouter un visage dans une vidéo ou utiliser notre logiciel de caviardage. L'IA détecte et suit visages, plaques et autres cibles. Une vidéo de 5 minutes est traitée en environ 30 secondes, et un fichier peut atteindre 5 Go.

Avant l'export, vous passez en revue chaque détection et vous excluez ce que vous voulez garder visible. Pour chaque cible, vous choisissez le flou, la mosaïque ou une couleur, et vous pouvez tracer une zone à la main pour ce que l'IA n'a pas détecté. Vérifiez toujours le résultat : aucune détection n'est garantie.

L'import et l'aperçu sont gratuits. Les exports gratuits portent un filigrane et sont limités à 10 secondes pour les vidéos. Les offres payantes exportent sans filigrane. Les fichiers importés sont chiffrés et supprimés définitivement à votre demande. Pour de gros volumes de vidéosurveillance, BlurMe Enterprise propose la désidentification d'images CCTV, et notre comparatif de logiciels d'anonymisation vidéo aide à choisir. Blur.me est un outil : il ne rend pas une vidéo conforme au RGPD et ne remplace pas votre analyse.

FAQ

Le RGPD a-t-il changé en 2026 ?

Nous n'avons trouvé aucun acte adopté modifiant le RGPD au 2 novembre 2026, seulement des rectificatifs et les propositions dites Digital Omnibus. L'AI Act, lui, est un autre texte : son obligation de signaler les hypertrucages s'applique depuis le 2 août 2026.

Le RGPD s'applique-t-il aux vidéos filmées en public ?

Oui, si des personnes sont identifiables et que l'usage dépasse le cadre strictement personnel ou domestique. Il faut alors une base légale de l'article 6, qui n'est pas forcément le consentement, et une information des personnes. Un particulier qui montre ses vidéos à ses proches n'est en principe pas concerné. Le droit à l'image s'applique séparément à la publication.

Le floutage est-il obligatoire pour être conforme au RGPD ?

Non. Aucun texte n'impose en tant que tel de flouter un visage, et la CNIL indique que le RGPD ne comporte pas d'obligation générale d'anonymisation. Flouter est un moyen parmi d'autres, utile pour protéger des tiers. Il ne remplace pas la base légale, l'information ou la durée de conservation.

L'IA peut-elle vraiment inverser un visage flouté ?

Des recherches montrent qu'un réseau de neurones peut reconnaître une personne malgré une mosaïque de 16 × 16 pixels, dans des conditions de test. Cela ne veut pas dire que tout flou se retire. Le risque dépend de la force du masquage et de ce qui reste visible autour du visage. Aucun texte ne fixe de seuil technique.

Combien de temps conserver des images de vidéosurveillance ?

Pour la vidéoprotection, la durée est fixée par l'autorisation préfectorale et ne peut pas dépasser un mois. Sur un lieu de travail, la CNIL indique qu'en principe elle n'excède pas un mois et que quelques jours suffisent généralement. Si une procédure est engagée, les images utiles peuvent être conservées pendant sa durée.

Quelles sont les exigences pour la vidéosurveillance d'une entreprise ?

Un objectif légitime, une base légale, des panneaux d'information, l'information préalable des salariés et la consultation du CSE. Il faut aussi éviter de filmer les postes de travail et les zones de pause, fixer une durée de conservation courte, limiter l'accès aux personnes habilitées et tenir le registre lorsqu'il est requis. Dans un lieu ouvert au public, une autorisation préfectorale est nécessaire.

Conclusion

En 2026, la conformité vidéo au RGPD repose toujours sur les mêmes bases : savoir pourquoi vous filmez, le dire, filmer moins, conserver peu et protéger l'accès. Méfiez-vous des normes annoncées sans source. Si vous publiez une vidéo où figurent des tiers, le floutage peut réduire leur exposition, à condition d'en vérifier le résultat. Pour une personne dont l'image circule sans accord, notre guide pour signaler une photo ou une vidéo présente les recours.

Guides associés

• Logiciel Anonymisation Vidéo RGPD : Guide Complet 2026
• Amendes RGPD Photo : études de cas réels et montants 2026
• RGPD Photo Salariés : Guide Complet 2026 (Conformité)
• Dashcam, bodycam et RGPD : faut-il vraiment anonymiser ? (2026)
• Comment flouter les visages dans les vidéos de surveillance (Guide IA)

Floutez des visages ou des plaques dans une vidéo, directement dans le navigateur.

Rien à installer : commencez tout de suite.

Essayer gratuitement