Vidéosurveillance entreprise Maroc : loi 09-08 et conformité CNDP

Installer des caméras de vidéosurveillance dans ses locaux — entrée, parking, entrepôt, open space — semble une simple décision de sécurité. Au Maroc, c'en est une qui engage aussi la responsabilité de l'entreprise sur le plan des données personnelles.

Toute entreprise qui filme doit respecter la loi 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Cela signifie une déclaration auprès de la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP), une finalité légitime, et une information claire des personnes filmées. Voici ce qu'il faut savoir, ce qu'il faut faire, et les erreurs qui exposent votre entreprise.

La loi 09-08 s'applique à vos caméras

La loi 09-08 encadre tout traitement de données à caractère personnel au Maroc. Une image de caméra qui permet d'identifier une personne (employé, client, livreur, visiteur) est une donnée personnelle. Son enregistrement constitue donc un traitement soumis à la loi, même si les images ne sont consultées que rarement.

Une finalité légitime est obligatoire. Sécuriser les biens et les personnes, surveiller un accès ou protéger un stock sont des finalités acceptables. Surveiller en permanence le poste de travail d'un salarié, filmer les pauses ou filmer l'espace public au-delà de votre emprise ne le sont pas. Avant d'acheter une seule caméra, l'entreprise doit pouvoir expliquer pourquoi elle filme, quelles zones sont concernées, et qui a le droit de consulter les images.

Déclarer le système à la CNDP avant la mise en service

Avant d'installer ou de mettre en service vos caméras, vous devez déposer une déclaration auprès de la CNDP. La déclaration décrit la finalité du système, les zones filmées, les durées de conservation, et les personnes autorisées à consulter les images.

Installer un système sans déclaration expose l'entreprise à des sanctions administratives et à une mise en demeure. Le contrôle peut intervenir à la suite d'une plainte d'un salarié, d'un client ou d'un voisin. Si vous changez de finalité, ajoutez des caméras ou modifiez les zones filmées, la déclaration doit être mise à jour. Conservez une copie de votre déclaration et de l'accusé de réception CNDP : ils constituent votre preuve de conformité en cas de contrôle.

Informer les personnes filmées et restreindre l'accès

Toute personne entrant dans une zone filmée doit en être informée avant d'y entrer, généralement par un panneau visible indiquant la présence de caméras, le responsable du traitement et les coordonnées pour exercer ses droits (accès, rectification, opposition). Le panneau doit être placé à l'entrée de chaque zone concernée, pas seulement à l'entrée du bâtiment.

L'accès aux enregistrements doit être limité au personnel dûment habilité. Un mot de passe fort, un journal des consultations et une restriction des droits d'administration évitent qu'un salarié ou un prestataire externe ne consulte les images sans raison. L'enregistreur doit être placé dans un local verrouillé, et l'accès distant doit être protégé par une authentification forte.

Durée de conservation et périmètre de tournage

Les images ne doivent pas être conservées indéfiniment. Une durée de conservation doit être fixée selon la finalité (souvent quelques jours à quelques semaines pour un usage de sécurité courante), puis les images doivent être effacées automatiquement. Conserver des enregistrements pendant des mois sans justification est une non-conformité courante. En cas d'incident avéré, les images liées à l'incident peuvent être conservées plus longtemps le temps de la procédure, mais cela doit rester exceptionnel et documenté.

Vos caméras doivent se limiter à l'intérieur de vos locaux ou à votre emprise (entrée, parking privé, entrepôt). Filmer la voie publique, la porte d'un voisin ou les parties communes d'un immeuble partagé excède votre périmètre et crée un risque de plainte. Lors du positionnement des caméras, vérifiez l'angle de vue de chaque objectif : une caméra d'entrée qui capte aussi le trottoir ou la rue doit être recadrée.

Sécuriser le matériel et le réseau

Un système de vidéosurveillance mal configuré est une porte d'entrée pour les pirates. Les caméras IP et les enregistreurs connectés au réseau doivent être isolés sur un VLAN dédié, séparé du réseau des postes de travail. Les mots de passe par défaut doivent être changés à l'installation. Le firmware doit être maintenu à jour, et l'accès à distance doit passer par un VPN ou une passerelle sécurisée, jamais par l'ouverture brute de ports sur votre box Internet.

La vidéosurveillance complète utilement le contrôle d'accès physique, déjà couvert dans notre guide sur le contrôle d'accès en entreprise : badges, biométrie et bonnes pratiques pour verrouiller vos locaux.

Checklist : vidéosurveillance conforme au Maroc

• Déclarer le système à la CNDP avant sa mise en service
• Définir une finalité légitime (sécurité des biens et des personnes)
• Afficher un panneau d'information dans chaque zone filmée
• Limiter l'accès aux images au personnel habilité
• Fixer et respecter une durée de conservation limitée
• Ne filmer qu'à l'intérieur de votre périmètre (pas la voie publique)
• Sécuriser l'enregistreur et les accès distants (mot de passe, journal)
• Mettre à jour la déclaration si le système évolue (nouvelles caméras, nouvelles zones)
• Isoler le réseau de vidéosurveillance du réseau bureautique

Ce que IPBRIDGE vous apporte

IPBRIDGE installe et configure des systèmes de vidéosurveillance IP pour les entreprises de Marrakech, Casablanca, Rabat, Agadir et Tanger : caméras, enregistreur, câblage et accès distant sécurisé. Au-delà du matériel, nous vous aidons à définir les zones filmées, la durée de conservation et les droits d'accès pour que votre installation reste utilisable et conforme à la loi 09-08. Nous intervenons également sur le réseau : VLAN de surveillance, sécurisation des accès distants et mise à jour du matériel.

Nos autres ressources pratiques pour sécuriser votre entreprise au Maroc incluent le guide de la sauvegarde 3-2-1 contre le rançongiciel et les priorités cybersécurité pour les PME de Tanger.

Besoin d'une évaluation de votre installation ? Demandez une évaluation informatique gratuite.

FAQ

Faut-il déclarer un système de vidéosurveillance à la CNDP ?

Oui. Tout enregistrement d'images permettant d'identifier une personne est un traitement de données personnelles soumis à la loi 09-08, qui impose une déclaration auprès de la CNDP avant la mise en service.

Puis-je filmer le parking et l'entrée de mon entreprise ?

Oui, si ces zones font partie de votre emprise. L'information doit être affichée et le système déclaré à la CNDP.

Combien de temps peut-on conserver les images ?

La durée de conservation doit être limitée et justifiée par la finalité (souvent quelques jours à quelques semaines pour un usage de sécurité courante). Une conservation indéfinie est une non-conformité.

IPBRIDGE installe-t-il des systèmes de vidéosurveillance au Maroc ?

Oui, IPBRIDGE déploie des systèmes de vidéosurveillance IP pour les entreprises à Marrakech, Casablanca, Rabat, Agadir et Tanger, avec caméras, enregistreur, câblage et accès distant sécurisé.

Faut-il isoler le réseau des caméras du réseau informatique ?

Oui. Un VLAN dédié pour la vidéosurveillance empêche qu'une caméra compromise ne serve de porte d'entrée vers vos postes de travail et vos serveurs.

---