Cette page rassemble les notions essentielles et conduit vers des dossiers plus spécialisés. Les capacités, contraintes et règles doivent toujours être vérifiées pour le terrain et l’usage concernés.
La règle en dix secondes : protéger un site, pas observer les personnes
La surveillance robotisée n’est ni interdite par principe ni autorisée par le seul achat d’un équipement. Dès qu’une personne est identifiable par une image, une voix, une plaque ou plusieurs indices, la loi fédérale sur la protection des données (LPD) entre en jeu. S’ajoutent le droit du travail, le droit pénal pour l’audio et les règles aéronautiques des drones. Le cadre de référence est précisé dans Loi fédérale sur la protection des données (LPD) (Fedlex).
Le point de départ est opérationnel : quel danger détecter, dans quelle zone, à quelles heures et pour quelle action humaine ? Une intrusion nocturne dans un dépôt fermé ne se traite pas comme le passage quotidien de salariés ou de voisins. Plus la surveillance est continue, mobile ou difficile à éviter, plus ses garde-fous doivent être solides.
Cette page présente une information générale à jour au 27 juillet 2026. Elle ne remplace pas un avis juridique fondé sur le canton, le site, les contrats de travail, le plan de vol et les traitements réellement configurés.
Possible, mais sous conditions
Il est généralement possible de filmer sa parcelle pour protéger des personnes ou des biens, d’y utiliser une caméra mobile, ou de faire voler un drone en catégorie ouverte si toutes les règles sont respectées. Le champ, les horaires, la conservation et les accès doivent rester nécessaires. L’intérêt de sécurité n’efface pas les droits des personnes filmées.
- Détection d’intrusion sur une zone privée fermée, avec activation événementielle et levée de doute humaine.
- Ronde robotisée hors activité, sur un itinéraire excluant les zones sensibles.
- Vol VLOS en catégorie ouverte, après contrôle des restrictions et de la sphère privée.
Fortement encadré ou généralement à éviter
Filmer des salariés, capter la rue, enregistrer le son, suivre des individus ou utiliser la biométrie augmente fortement le risque. Selon le PFPDT, reconnaissance faciale généralisée en temps réel et surveillance globale sont incompatibles avec l’autodétermination informationnelle. Un vol BVLOS passe normalement dans la catégorie spécifique et exige une procédure auprès de l’OFAC. Le cadre de référence est précisé dans Vidéosurveillance effectuée par des particuliers (PFPDT) et Restrictions géographiques de vol (OFAC).
- À éviter : caméra permanente sur un poste de travail ou zoom libre sur les salariés.
- En principe non permis à un privé : surveiller le domaine public pour y assurer l’ordre.
- À désactiver par défaut : microphone d’un robot ou d’une caméra.
LPD suisse : cartographier le traitement avant de choisir la technologie
La LPD protège les personnes physiques dont les données sont traitées. Une image réellement anonyme diffère d’une vidéo où visage, véhicule ou horaire rend quelqu’un reconnaissable. Même une alerte sans image devient personnelle si elle est reliée au badge ou au planning d’une personne.
Le responsable du traitement détermine la finalité et les moyens essentiels. Il doit expliquer ce qu’il collecte, pourquoi, pour combien de temps, avec qui et dans quel pays. Acheter une plateforme ou déléguer la télésurveillance ne transfère pas cette responsabilité.
Six principes qui transforment la conception
Licéité, bonne foi, transparence, proportionnalité, finalité et sécurité imposent des choix techniques : masque sur les fenêtres voisines, détection plutôt qu’identification, déclenchement sur événement, chiffrement, comptes nominatifs et effacement automatique. La protection dès la conception et par défaut de l’article 7 LPD commande les réglages les moins intrusifs.
- Décrire une finalité spécifique, pas seulement « améliorer la sécurité ».
- Comparer serrures, éclairage, contrôle d’accès et capteurs non imageants.
- Ne jamais réutiliser automatiquement une alarme pour évaluer le personnel.
Consentement, intérêt prépondérant et attentes raisonnables
Dans le privé, une atteinte à la personnalité requiert un motif justificatif : consentement, intérêt prépondérant ou loi. Le consentement doit être libre, informé et spécifique, ce qui est délicat au travail ou lorsque la zone ne peut être évitée. Une analyse de proportionnalité étayée vaut mieux qu’une case artificielle.
Pour approfondir ce point, consultez Sécurité robotisée en Suisse : le cadre légal. Retrouvez les réflexes juridiques essentiels pour cadrer un projet suisse.
Champ de vision : la frontière juridique suit l’image, pas le mur
Selon le PFPDT, la surveillance d’un particulier doit se limiter à son bien-fonds : ni fonds voisin ni espace public, tel un trottoir, ne devraient entrer dans le champ. L’emplacement physique de la caméra ne suffit pas ; ce qu’elle voit après rotation ou zoom compte davantage. Le cadre de référence est précisé dans Vidéosurveillance de l’espace public par des particuliers (PFPDT).
Une bande de rue captée « au cas où » reste problématique. Les particuliers n’ont en principe pas le droit d’y assurer l’ordre public. Cherchez une autre implantation, un masque non contournable ou une technologie moins intrusive ; toute exception devrait être examinée.
Voisins, visiteurs et zones intimes
Fenêtres, balcons, accès communs et lieux de repos appellent une prudence maximale. Dans une copropriété, un parking partagé ou un site loué, le pouvoir de décider n’appartient pas nécessairement à l’utilisateur. Bail, règlement et compétences de l’organe concerné doivent être vérifiés.
- Tester de jour, de nuit et avec tous les modes PTZ ou de suivi.
- Masquer les zones inutiles et empêcher leur réactivation par un compte ordinaire.
- Prévoir si nécessaire une zone de circulation non filmée.
Un robot mobile fait varier le périmètre de collecte
Un robot terrestre n’a aucun statut d’exception. Son déplacement multiplie toutefois les contextes : un itinéraire défendable la nuit peut devenir disproportionné pendant une pause. La cartographie doit prévoir géofences, horaires, zones interdites, vitesse sûre, arrêt d’urgence et orientation intérieure en cas de perte de localisation.
Informer, conserver et donner accès : les règles de la preuve utile
La surveillance doit être reconnaissable avant l’entrée dans son champ. Un panneau visible annonce le dispositif et, si nécessaire, le responsable et le contact pour exercer ses droits. Une notice détaillée peut compléter le pictogramme. Le panneau ne rend jamais licite un champ excessif.
La conservation couvre seulement le temps nécessaire pour découvrir l’incident. Le PFPDT évoque en règle générale 24 heures dans le privé et 24 à 72 heures au travail selon la finalité. Ce ne sont pas des durées automatiques : une prolongation se justifie, tandis qu’un extrait d’incident peut être isolé. Le cadre de référence est précisé dans Vidéosurveillance sur le lieu de travail (PFPDT).
Accès restreint, traçable et réversible
Le direct et les archives ne devraient être accessibles qu’aux rôles nécessaires. Utilisez des comptes nominatifs, une authentification forte, un journal d’accès et des exports chiffrés. L’organisation doit pouvoir répondre au droit d’accès, rectifier ou effacer sans révéler indûment l’image de tiers.
- Distinguer direct, recherche, export, administration et modification des masques.
- Effacer automatiquement l’ordinaire ; isoler seulement l’événement documenté.
- Transmettre les images d’infraction aux autorités, jamais aux réseaux sociaux.
Audio : le bouton à laisser désactivé
Écouter ou enregistrer une conversation non publique sans le consentement de tous peut enfreindre les articles 179bis et 179ter CP, même si l’opérateur participe. L’audio ambiant doit donc rester désactivé. Une interphonie ponctuelle clairement signalée se distingue d’un enregistrement continu.
Pour approfondir ce point, consultez Vidéosurveillance intelligente et protection des données. Configurez finalité, cadrage, accès, conservation et transparence.
Salariés : la sécurité ne doit pas devenir un contrôle du comportement
L’article 26 OLT 3 interdit les systèmes destinés à surveiller le comportement des travailleurs. Lorsqu’un système répond à une autre raison, notamment la sécurité ou la production, il ne doit nuire ni à la santé ni à la liberté de mouvement. Les articles 328 et 328b CO protègent aussi la personnalité du salarié.
Le consentement ne guérit pas facilement un dispositif excessif : le lien de subordination réduit le libre choix. Une caméra continue sur une caisse ou un bureau crée une pression même sans visionnage. Information, consultation et zones non filmées s’ajoutent à la proportionnalité ; elles ne la remplacent pas.
Configurations plus défendables
Accès, parkings, installations dangereuses, chambres fortes et stocks sensibles peuvent justifier une caméra selon les circonstances. Le champ devrait éviter les travailleurs. Sur un chantier, une activation nocturne par mouvement se défend mieux qu’un contrôle permanent de l’avancement.
- Planifier les rondes robotiques hors présence du personnel.
- Flouter les personnes et cadrer la zone de danger.
- Interdire d’utiliser les images pour mesurer pauses, rythme ou performance.
Soupçon d’infraction : ne pas improviser une filature
Une suspicion concrète peut modifier la pesée des intérêts, sans donner carte blanche à l’employeur. Le PFPDT recommande si possible de laisser agir la police. La surveillance cachée contrevient en principe à la bonne foi, et le tribunal décide de l’admissibilité de la preuve. Toute mesure ciblée appelle un conseil juridique. Le cadre de référence est précisé dans Enregistrement de conversations (PFPDT).
IA et biométrie : détecter n’est pas identifier
Repérer une forme humaine dans une zone interdite n’équivaut pas à reconnaître un visage. La détection peut réduire les images transmises ; l’identification utilise des gabarits. Les données biométriques identifiant une personne sans équivoque sont sensibles selon la LPD et exigent des garanties renforcées.
La LPD s’applique directement à l’IA. Le PFPDT demande de la transparence sur finalité, fonctionnement et sources, et rejette la reconnaissance faciale généralisée en temps réel. La voie prudente consiste à classifier l’événement, minimiser l’identification et garder un humain décisionnaire. Le cadre de référence est précisé dans Décision sur la reconnaissance vocale de PostFinance (PFPDT).
Deux cas suisses qui montrent où passe la ligne
En octobre 2025, le PFPDT a clos son examen des caméras intelligentes de certaines caisses Coop. Le système examiné ne reconnaissait ni les visages ni les habitudes d’achat ; le traitement était conforme et sans risque accru. Ce constat ne vaut pas pour toute caméra « IA ». Le cadre de référence est précisé dans Enquête Coop sur les caméras intelligentes (PFPDT).
À l’inverse, sa décision du 16 mai 2025 sur PostFinance impose un consentement exprès pour créer des empreintes vocales et l’effacement des empreintes sans consentement. Un recours était pendant lors de la publication. Le cas illustre la sensibilité d’un identifiant biométrique persistant.
Quand l’analyse d’impact devient centrale
Une AIPD est requise lorsqu’un traitement risque fortement d’atteindre la personnalité ou les droits fondamentaux. Sont notamment visés le recours à de nouvelles technologies, les données sensibles à grande échelle et la surveillance systématique de larges parties du domaine public. Si un risque résiduel élevé subsiste, le PFPDT doit être consulté, sauf exception applicable. Le cadre de référence est précisé dans Analyse d’impact relative à la protection des données (PFPDT) et Guide sur les violations de la sécurité des données (PFPDT).
- Déclencheurs : biométrie, suivi multi-caméras, nombreux individus ou croisement avec badges.
- Tester biais, erreurs, nuit, fausses alertes et contestation humaine.
- Conserver versions, paramètres et validations pour expliquer l’alerte.
Drones : superposer droit aérien et protection de la sphère privée
La Suisse applique des règles proches de celles de l’AESA. En catégorie ouverte : 120 mètres au plus, aucun rassemblement survolé, distances A1/A2/A3 et vue directe. Restrictions géographiques, DABS, priorité des aéronefs habités, identification à distance lorsqu’elle s’applique et qualifications doivent être vérifiés.
L’exploitant s’enregistre généralement ; l’exception vise notamment le drone de moins de 250 grammes sans capteur de données personnelles. Au-delà de 250 grammes, l’OFAC exige une RC d’au moins un million de francs. Le poids léger ne dispense ni de la sphère privée ni de l’espace aérien. Le cadre de référence est précisé dans Règles de vol applicables aux drones (OFAC) et FAQ drones, enregistrement et assurance (OFAC).
VLOS : une ronde automatisée reste sous contrôle visuel
En catégorie ouverte, le télépilote suit clairement le drone et l’espace aérien. Une station d’accueil ne libère donc pas un vol hors vue. La nuit reste possible en VLOS avec les feux requis, à distance réduite. Avant chaque mission : carte officielle, DABS, météo, tiers et autorisations.
BVLOS : catégorie spécifique, déclaration ou autorisation
BVLOS, vol au-dessus de 120 mètres, appareil de 25 kilogrammes ou plus, rassemblement survolé ou marchandises dangereuses relèvent de la catégorie spécifique. Il faut une autorisation OFAC ou, si toutes les conditions d’un scénario standard sont réunies, une déclaration. Le STS-02 encadre certains BVLOS sous 120 mètres en zone contrôlée et peu peuplée avec un C6. Le cadre de référence est précisé dans Introduction à la catégorie spécifique (OFAC).
- Nommer exploitant UAS, télépilote et responsable de mission.
- Documenter zone au sol, urgences, perte de liaison et interruption sûre.
- Évaluer séparément le droit de filmer voisins ou inconnus.
Pour approfondir ce point, consultez Drone de surveillance sur une propriété suisse. Croisez règles OFAC, plan de vol, voisinage et protection des données.
Cloud, sous-traitants et cybersécurité : la responsabilité ne s’externalise pas
Le client reste responsable lorsqu’il confie vidéos ou alertes à un intégrateur ou au cloud. L’article 9 LPD exige que le sous-traitant suive les instructions, respecte le secret, sécurise les données et n’engage pas de sous-traitant ultérieur sans autorisation. Le contrat couvre aussi accès, effacement, restitution et audit.
Il faut connaître les lieux de stockage, support et sauvegarde. Un transfert étranger suppose pays adéquat ou garanties reconnues, puis information lorsque requise. « Hébergé en Europe » reste vague si journaux ou accès de support circulent ailleurs.
Sécuriser toute la chaîne, du robot au poste opérateur
Supprimez les mots de passe par défaut, chiffrez, segmentez le réseau, limitez les interfaces, journalisez les opérations et inventoriez les versions. Des images d’une villa ou des plans de zones aveugles peuvent faciliter l’intrusion s’ils fuient.
Une violation entraînant vraisemblablement un risque élevé doit être annoncée au PFPDT dans les meilleurs délais, et aux personnes si leur protection l’exige. Le sous-traitant avertit le responsable sans délai ; le contrat et les exercices rendent l’escalade praticable. Le cadre de référence est précisé dans IA et protection des données (PFPDT) et Externalisation et sous-traitance (PFPDT).
- Prévoir révocation des comptes, rotation des secrets et correctifs.
- Séparer métadonnées machine et images si leur rapprochement est inutile.
- Tester arrêt sûr, obstacles, signalisation et reprise manuelle.
Sécurité physique et responsabilité
Un robot peut heurter une personne ou bloquer une issue. Sécurité des produits et machines, instructions, maintenance, risques du lieu et obligations de l’employeur s’intègrent au projet. En cas de dommage, produit, contrat, exploitation et faute compteront ; clarifiez rôles et assurances avant la mise en service. Le cadre de référence est précisé dans Machines et sécurité des produits (SECO).
Preuves et gouvernance : démontrer ce qui s’est réellement passé
Une vidéo n’est pas automatiquement décisive : le juge apprécie l’admissibilité d’images privées. Une alerte IA ajoute version, seuil, caméra, horodatage et intervention humaine. La chaîne de preuve préserve l’original et distingue détection automatique et constat humain.
Après un incident, une procédure définit qui recherche, exporte, contrôle l’intégrité, consigne les accès et remet la pièce. L’horodatage doit être synchronisé et le fichier original conservé sans montage ; une copie de travail peut masquer les tiers non concernés. Chaque transmission reçoit un destinataire, une date et un motif. L’extrait gelé suit la durée du dossier ; le reste continue son effacement normal.
Le dossier de conformité minimal
Le dossier réunit registre si requis, champs et masques, nécessité, durée, accès, panneaux, sous-traitants, pays, sécurité, droits, plan de violation et éventuelle AIPD. Pour le drone : enregistrement, compétences, assurance, catégorie, zones et procédures.
Photographiez les panneaux, exportez les réglages, testez l’effacement et simulez une demande d’accès. Vérifiez aussi que les opérateurs savent distinguer une alerte, une observation et une conclusion : un score logiciel ne prouve ni une identité ni une intention. Toute nouvelle caméra, IA, route robot, cloud ou organisation du travail déclenche une revue.
- Conserver finalité, alternatives, champ, durée et personnes autorisées.
- Produire tests, journaux, corrections, formations et revues.
- Mesurer fausses alertes et délais, jamais la performance cachée des salariés.
Déployer sans angle mort juridique : la méthode en sept décisions
La conformité se décide avant le devis. Partez du risque et de l’action attendue, puis réduisez le périmètre de données. Des capteurs non imageants, une caméra sur alerte, une ronde robotisée hors présence et une supervision humaine peuvent être plus utiles qu’un enregistrement permanent.
Testez les horaires réels, la nuit, les tiers, les positions du robot et la perte de réseau. Validez panneaux, contrats, effacement et droits. Pour un drone, contrôlez catégorie, compétences, assurance, restrictions, DABS, météo et périmètre filmé.
La checklist de décision
Sept questions révèlent l’essentiel. Toute réponse vague bloque le lancement. Risque élevé, biométrie, salariés, espace public, audio ou BVLOS exigent une validation spécialisée auprès d’un juriste, d’un conseiller en protection des données, de l’inspection du travail, du canton, de la commune ou de l’OFAC selon le cas. Le cadre de référence est précisé dans Scénarios standards STS (OFAC).
- Quel événement justifie chaque capteur et quelle alternative a été comparée ?
- Qui peut être identifié et peut-il éviter la zone ?
- Le champ reste-t-il privé malgré zoom, suivi, robot ou drone ?
- Quelle durée minimale suffit, et l’effacement est-il testé ?
- Qui regarde, exporte, administre et contrôle les accès ?
- Y a-t-il salarié, audio, biométrie, étranger ou risque élevé ?
- Quelles preuves subsistent après la prochaine mise à jour ?
Une conformité qui améliore aussi la sûreté
Limiter le champ réduit les alertes parasites. Restreindre les accès protège les plans. Une durée courte évite l’accumulation. Un humain responsable qualifie mieux l’ambiguïté. Le droit ne promet pas le risque zéro : il exige un système explicable, maîtrisable et révisable.
Questions fréquentes
Puis-je filmer le trottoir devant ma maison en Suisse ?
En principe, non. Le PFPDT indique que la surveillance privée doit se limiter au bien-fonds du propriétaire et ne pas inclure l’espace public ou les parcelles voisines. Un intérêt privé ne suffit généralement pas à assumer une mission de sécurité publique. Repositionnez la caméra, réduisez son angle ou appliquez un masque non contournable. Une exception concrète et très limitée devrait être examinée juridiquement avant l’installation.
Combien de temps peut-on conserver les vidéos ?
Il n’existe pas une durée unique valable pour tous les dispositifs privés. Les images doivent être effacées dès qu’elles ne sont plus nécessaires. Le PFPDT évoque en règle générale 24 heures pour la vidéosurveillance privée et 24 à 72 heures sur le lieu de travail selon la finalité. Une séquence liée à un incident peut être isolée plus longtemps pour la procédure, avec motif, accès limité et traçabilité.
Un panneau suffit-il à rendre une caméra légale ?
Non. Le panneau satisfait une partie de l’exigence de transparence, mais il ne corrige ni un champ excessif ni une finalité disproportionnée. Il doit être visible avant l’entrée dans la zone et permettre d’identifier le responsable ou le point de contact. La légalité dépend aussi de la nécessité, du cadrage, des horaires, de la durée, de la sécurité, des accès et des droits des personnes concernées.
Peut-on enregistrer le son avec un robot de surveillance ?
C’est généralement à éviter et le microphone devrait être désactivé par défaut. Enregistrer une conversation non publique sans le consentement de tous les participants peut violer les articles 179bis et 179ter du Code pénal, en plus de la LPD. Une interphonie ponctuelle signalée n’équivaut pas à une captation ambiante continue, mais sa finalité, son déclenchement, son éventuel enregistrement et son accès doivent être précisément encadrés.
Une caméra peut-elle filmer des employés pour prévenir les vols ?
La surveillance destinée à contrôler le comportement des travailleurs est interdite par l’article 26 OLT 3. Une caméra justifiée par une autre finalité de sécurité peut être envisageable si aucune mesure moins intrusive ne suffit, si les employés ne sont captés qu’exceptionnellement et si leur santé et leur liberté de mouvement sont protégées. Une suspicion concrète demande une analyse au cas par cas, idéalement avec conseil juridique et autorités compétentes.
La reconnaissance faciale est-elle interdite en Suisse ?
Il n’existe pas une réponse binaire pour tout usage. Les gabarits biométriques identifiant une personne de manière univoque sont des données sensibles et leur traitement requiert une justification et des garanties renforcées. Le PFPDT considère la reconnaissance faciale généralisée en temps réel comme incompatible avec la protection de la sphère privée. Pour la sécurité privée, privilégiez détection et classification anonymes ; faites analyser tout usage d’identification avant déploiement.
Un drone automatique peut-il patrouiller hors de la vue du pilote ?
Pas en catégorie ouverte. Celle-ci exige le maintien du contact visuel direct, ou VLOS. Un vol hors vue, BVLOS, relève de la catégorie spécifique et nécessite une autorisation de l’OFAC ou une déclaration si toutes les conditions d’un scénario standard applicable sont remplies. Une station d’accueil n’y change rien. Il faut en plus respecter restrictions géographiques, compétences, assurance, procédures d’urgence et protection des données.
Quand faut-il réaliser une AIPD pour une surveillance robotisée ?
Une AIPD est obligatoire lorsque le traitement prévu est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux. Biométrie, suivi multi-caméras, surveillance systématique étendue, grand volume de données sensibles ou croisement avec des badges sont des signaux forts. L’analyse décrit le dispositif, les risques et les mesures. Si un risque résiduel élevé demeure, une consultation du PFPDT peut être requise selon l’article 23 LPD.