Un système de surveillance des employés, quel qu'il soit, doit être justifié, proportionné et respectueux de la vie privée. Lorsque le dispositif en question entre dans la catégorie des traitements de données personnelles, comme c'est le cas pour la vidéosurveillance, il se doit également de se conformer au Règlement Général sur la Protection des Données (RGPD) ainsi qu'à la loi française dite "Informatique et libertés".

La mise en place de la vidéosurveillance doit être orientée vers un objectif légal et légitime. Selon les directives de la Commission Nationale de l'Informatique et des Libertés (CNIL), des caméras peuvent être installées dans certaines zones d'un lieu de travail pour des raisons de sécurité des biens et des individus, que ce soit dans un but dissuasif ou pour identifier les auteurs de vols, de dégradations ou d'agressions. Ainsi, les caméras peuvent être positionnées aux entrées et sorties des bâtiments, aux sorties de secours, ainsi que le long des voies de circulation. Elles peuvent également surveiller les zones où des marchandises ou des biens de valeur sont entreposés.

Cependant, la CNIL interdit formellement l'utilisation de la vidéosurveillance à des fins de surveillance des salariés sans motifs valables. En conséquence, les caméras ne sont pas autorisées à filmer les employés dans leur espace de travail, sauf en cas de circonstances particulières. De plus, elles ne doivent pas couvrir les zones de pause ou de repos des salariés, les toilettes, les locaux syndicaux ou les bureaux des représentants du personnel, et leurs accès menant exclusivement à ces espaces.
Il est important de noter que tout système de vidéosurveillance doit être enregistré dans le registre des activités de traitement, quelle que soit la taille de l'entreprise, pour se conformer aux obligations légales en matière de protection des données.

Protéger les données personnelles :
L'employeur est tenu de respecter intégralement les dispositions visant à protéger les données personnelles de ses salariés. En particulier, il doit garantir que seules les personnes dûment autorisées puissent y accéder.
La CNIL déduit de cela que seuls les individus habilités dans le cadre de leurs responsabilités professionnelles doivent avoir accès aux données personnelles des employés, et ce, strictement dans le cadre de leurs missions spécifiques. En ce qui concerne la vidéosurveillance, la CNIL cite, par exemple, le responsable de la sécurité de l'entreprise comme une personne autorisée.

Il est impératif que ces personnes habilitées reçoivent une formation et une sensibilisation adéquates quant aux procédures de mise en place d'un système de vidéosurveillance. En outre, l'accès aux enregistrements doit être rigoureusement sécurisé afin de prévenir tout accès non autorisé.

Les données personnelles doivent être conservées de manière à permettre l'identification des individus concernés, mais cette conservation ne doit pas excéder la durée nécessaire aux fins pour lesquelles elles ont été collectées. La CNIL établit des délais de conservation spécifiques pour les données personnelles des salariés, lesquels doivent être déterminés en fonction des objectifs particuliers, empêchant ainsi une conservation indéfinie.
En ce qui concerne la vidéosurveillance, la CNIL recommande généralement de ne conserver les enregistrements que pendant quelques jours, sauf en cas de circonstances exceptionnelles.

Informer les salariés :
Avant de mettre en place un système de vidéosurveillance, l'employeur est tenu d'informer préalablement ses salariés. Une fois que les caméras ont été installées, il doit également fournir certaines informations conformément au Règlement Général sur la Protection des Données (RGPD). Ces informations incluent l'identification du responsable du traitement, les coordonnées du délégué à la protection des données, la finalité du traitement, les destinataires des données, la durée de conservation des enregistrements, ainsi que la possibilité d'exercer leur droit d'accès aux données, entre autres.

La CNIL recommande de mettre en place deux niveaux d'information :
Un premier niveau consiste en un affichage dans les locaux sous surveillance vidéo, destiné à informer tant les salariés que les visiteurs. Cet affichage doit inclure des informations telles que l'existence du dispositif, le nom du responsable de la vidéosurveillance, la base légale du dispositif (par exemple, l'intérêt légitime de l'employeur pour sécuriser les locaux), la durée de conservation des images, la possibilité de déposer une réclamation auprès de la CNIL, ainsi que la procédure à suivre pour demander l'accès aux enregistrements visuels les concernant.

Le deuxième niveau d'information consiste en la rédaction d'une note de service, d'une clause du règlement intérieur, ou encore l'utilisation de l'intranet de l'entreprise pour fournir des informations plus détaillées aux salariés.
En outre, bien que cela ne soit pas une exigence formelle du RGPD, la consultation préalable du Comité Social et Économique (CSE) est recommandée et l'information de cet organe doit être assurée avant l'installation des caméras.