Caméras de surveillance et Loi 25 : ce qu'un commerce peut vraiment filmer

Installer une caméra dans un commerce, ça se fait en une heure avec une perceuse. Se demander si on a le droit de garder les images, de filmer ses employés ou de coupler le tout à de la reconnaissance faciale, c'est une autre histoire. Et cette histoire relève de la Loi 25, que la plupart des commerçants associent aux courriels et aux témoins de leur site web, pas à la caméra au-dessus de la caisse. Pour le cadre général, notre résumé des obligations de la Loi 25 pour les PME pose les bases ; cet article descend dans un cas précis et concret.

Le point de départ tient en une phrase, et il est contre-intuitif : l'image d'une personne identifiable est un renseignement personnel. La Commission d'accès à l'information (CAI) le dit noir sur blanc dans son guide sur la vidéosurveillance. Dès que votre caméra capte des visages reconnaissables, vous ne faites pas que « filmer », vous collectez des renseignements personnels, et toute la mécanique de la Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1), modernisée par la Loi 25, s'applique.

La bonne nouvelle : les règles sont raisonnables et connues. La mauvaise : presque personne ne les suit, et deux décisions récentes de la CAI montrent que l'improvisation coûte cher.

La réponse courte, pour les pressés

Au Québec, filmer des clients ou des employés revient à collecter des renseignements personnels, ce qui déclenche la Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1), modernisée par la Loi 25. Avant d'installer une caméra, un commerce doit passer le test de nécessité de la Commission d'accès à l'information : l'objectif doit être légitime, important, urgent et réel, et la surveillance doit être proportionnelle, sans moyen moins intrusif disponible. Il faut afficher clairement la présence des caméras avant que les gens entrent dans la zone filmée, limiter le champ de vision, sécuriser les images et les détruire dès qu'elles ne servent plus : la CAI recommande une conservation d'environ 30 jours. La reconnaissance faciale change de catégorie : créer une banque de données biométriques exige un consentement exprès et une déclaration à la CAI au moins 60 jours avant la mise en service. Le son et la surveillance des employés appellent une prudence supplémentaire.

Filmer, c'est collecter : le point de départ que tout le monde saute

La plupart des commerçants raisonnent en termes de sécurité : une caméra, ça dissuade les voleurs, point. La CAI raisonne en termes de renseignements personnels. Pour elle, chaque visage identifiable capté sur un support est une donnée sur une personne, au même titre qu'un nom dans un fichier client. Cette bascule de perspective change tout, parce qu'elle fait entrer la caméra dans le régime de la nécessité, de la transparence, de la conservation limitée et de la sécurité.

Ça ne veut pas dire que la vidéosurveillance est interdite. Ça veut dire qu'elle doit être justifiée, encadrée et documentée. Un commerce qui se fait poser la question par un employé, un client ou la CAI doit pouvoir expliquer pourquoi il filme, ce qu'il filme, combien de temps il garde les images et qui peut les regarder. Si la réponse est « on n'a jamais vraiment réfléchi à ça », le problème n'est pas la caméra, c'est l'absence de dossier.

Le test de nécessité : le vrai filtre

Avant même de choisir un modèle de caméra, la CAI attend une réflexion sur la nécessité. Son guide la décompose en questions. L'objectif est-il légitime, important, urgent et réel ? La collecte d'images est-elle proportionnelle à cet objectif ? Existe-t-il un moyen moins intrusif d'arriver au même résultat ?

Ce dernier point est celui qu'on néglige le plus. La CAI demande explicitement de lister les autres mesures envisagées avant la caméra : un meilleur éclairage, un système d'alarme, un contrôle des portes, une présence humaine à des heures stratégiques. La vidéosurveillance n'est justifiée que si elle est le moyen le moins intrusif d'atteindre efficacement un objectif réel. Et attention au réflexe du « tout le monde le fait » : le guide précise noir sur blanc que le fait que d'autres commerces utilisent des caméras dans un contexte semblable ne suffit pas à démontrer votre propre nécessité.

En pratique, ça veut dire un objectif précis (prévenir les vols à l'étalage dans tel rayon, protéger la caisse la nuit) plutôt qu'une surveillance générale du magasin « au cas où ». Plus l'objectif est vague, plus la caméra est difficile à défendre.

Afficher avant de filmer

La transparence n'est pas optionnelle. La Loi sur le privé impose d'informer les personnes qu'on collecte des renseignements à leur sujet, et pour une caméra, la CAI recommande des affiches bien en vue dans les zones surveillées. Le principe est simple : une personne doit savoir qu'elle entre dans un espace filmé avant d'y entrer, pas le découvrir après coup.

Une affiche discrète collée derrière la caisse ne suffit pas. L'avis doit être visible à l'entrée de la zone concernée. La CAI encourage aussi une bonne pratique peu coûteuse : indiquer un numéro de téléphone où une personne responsable peut être jointe en cas de question. Ça règle la moitié des tensions avant qu'elles montent.

Le son est une autre affaire

Beaucoup de caméras modernes captent l'audio par défaut. C'est un piège. Enregistrer une conversation, c'est collecter bien plus qu'une image : c'est le contenu de ce que les gens se disent. Or le principe de minimisation exige de ne recueillir que ce qui est nécessaire à l'objectif. Prévenir un vol à l'étalage ne requiert presque jamais d'entendre les conversations des clients à la caisse.

Le guide de la CAI vise d'ailleurs les enregistrements « avec ou sans son », ce qui signale que le son est traité comme une couche supplémentaire de collecte, à justifier séparément. La règle de prudence est claire : par défaut, coupez le micro. Si vous croyez avoir besoin du son, vous devez pouvoir démontrer pourquoi, et ce sera nettement plus difficile à défendre que l'image seule.

Combien de temps garder les images

C'est la question qui piège le plus de commerces. La logique intuitive (« on garde tout, ça peut toujours servir ») est exactement l'inverse de ce que demande la loi. Les images doivent être détruites dès qu'elles ne sont plus nécessaires à la finalité qui a justifié leur collecte.

La CAI donne un repère chiffré utile : une conservation d'environ 30 jours est généralement suffisante et recommandée. Ce n'est pas un plafond légal absolu, mais c'est la barre de référence. Garder six mois d'enregistrements « par sécurité » n'est pas prudent, c'est une surface de risque : chaque enregistrement conservé est une donnée qui peut être perdue, volée ou consultée sans droit. La destruction doit être irréversible et l'accès aux images limité aux personnes dont les fonctions le justifient. Si vous conservez au-delà de 30 jours, il vous faut une raison documentée.

Surveiller ses employés : la ligne à ne pas franchir

Filmer ses employés est possible, mais c'est le terrain le plus sensible. Les mêmes règles s'appliquent (nécessité, proportionnalité, transparence), avec une exigence supplémentaire : la CAI recommande de consulter les personnes directement concernées, dont les employés, avant de mettre un système en place.

Deux limites sont non négociables. D'abord, les lieux où l'attente de vie privée est élevée sont hors jeu : le guide cite expressément les toilettes, les vestiaires et les salles d'essayage. Une caméra là-dedans n'a aucune justification qui tienne. Ensuite, la surveillance ne doit pas devenir un contrôle continu du rendement déguisé en sécurité ; l'objectif déclaré doit correspondre à l'usage réel. Filmer « pour la sécurité » et se servir des images pour surveiller les pauses, c'est utiliser des renseignements à une fin autre que celle annoncée.

La marche biométrique : reconnaissance faciale et déclaration obligatoire

C'est ici que le terrain devient carrément miné. La reconnaissance faciale ne se contente pas de filmer : elle transforme un visage en gabarit biométrique, une donnée particulièrement sensible. Le régime change de catégorie. Créer une banque de caractéristiques biométriques exige un consentement exprès des personnes concernées, et surtout une déclaration à la CAI au moins 60 jours avant la mise en service de la banque, en vertu de la Loi concernant le cadre juridique des technologies de l'information.

Deux décisions récentes montrent à quel point la CAI tient la barre haute. En septembre 2024, elle a ordonné à Imprimeries Transcontinental de cesser d'utiliser la reconnaissance faciale pour le contrôle d'accès à ses locaux et de détruire les renseignements biométriques recueillis, jugeant que la pratique contrevenait à la loi. En février 2025, elle a bloqué un projet pilote de Metro qui voulait utiliser la reconnaissance faciale pour repérer des personnes soupçonnées de vol à l'étalage en magasin, faute du consentement exprès requis, impossible à obtenir de chaque personne qui franchit la porte.

La leçon pour un commerce est directe : la reconnaissance faciale antivol, celle que vendent plusieurs fournisseurs comme une solution clé en main, se heurte frontalement à la position de la CAI. Avant d'y penser, la vraie question n'est pas technique, elle est juridique.

Par où commencer

La caméra n'est pas le problème ; l'absence de réflexion l'est. La séquence raisonnable tient en quelques étapes : nommer précisément le problème à régler, vérifier qu'aucun moyen moins intrusif ne suffirait, limiter le champ de vision et la durée de conservation, afficher clairement, couper le son par défaut, et tenir à l'écart tout ce qui touche à la biométrie sans avis juridique. Un système bien conçu au départ coûte moins cher qu'un système à démonter sur ordonnance.

C'est le genre de vérification qu'on intègre quand on conçoit ou refait un dispositif numérique conforme pour un commerce québécois. Si vous voulez en parler pour votre situation, écrivez-nous.

→ Discutons de votre conformité

Ce texte vulgarise des règles de protection des renseignements personnels pour aider un commerce à poser les bonnes questions, pas un avis juridique. Les cas concrets (nécessité, biométrie, surveillance des employés) dépendent des faits et s'évaluent au cas par cas. Pour une décision, validez votre situation avec un conseiller juridique et consultez les guides officiels de la Commission d'accès à l'information.