La Samaritaine a dissimulé des caméras dans des détecteurs de fumée pour surveiller son personnel — la CNIL l'a condamnée à 100 000 €

La Samaritaine, le grand magasin détenu par LVMH situé au Pont Neuf, rouvert en 2021 après seize ans de travaux, faisait face à une recrudescence des vols de marchandises en août 2023. La direction a opté pour une réponse clandestine : de nouvelles caméras dans deux réserves, dissimulées dans des détecteurs de fumée et équipées de microphones enregistrant les conversations des salariés. Le personnel a découvert les dispositifs quelques semaines plus tard et ils ont été retirés en septembre 2023. Une enquête de Mediapart publiée en novembre a alerté la CNIL ; des plaintes ont suivi et le régulateur a procédé à une inspection dans les jours qui ont suivi.

En septembre 2025, la formation restreinte de la CNIL a infligé à SAMARITAINE SAS une amende de 100 000 € pour trois manquements au RGPD. Loyauté et responsabilité : les caméras cachées ne sont tolérées que dans des circonstances exceptionnelles, étayées par une analyse de proportionnalité documentée, et le magasin n'en avait réalisé aucune — les dispositifs ne figuraient ni dans son registre des traitements ni dans son analyse d'impact. Minimisation : l'enregistrement de conversations privées était excessif au regard de toute logique de prévention des vols. Implication de la DPO : la déléguée à la protection des données n'a eu connaissance de l'installation que plusieurs semaines plus tard, alors qu'elle aurait pu signaler à temps des mesures limitant les risques.

Le régulateur a admis que les vols étaient réels et le dispositif temporaire — l'amende sanctionnait tout ce qui manquait autour. La jurisprudence de la Cour européenne des droits de l'homme citée par la CNIL n'autorise la surveillance clandestine que lorsqu'elle est strictement nécessaire, limitée dans le temps et justifiée par écrit avant son déploiement. La réponse sécuritaire de la Samaritaine a sauté toutes les étapes qui l'auraient rendue licite, et un dispositif non documenté a laissé l'entreprise sans défense une fois que le personnel a décroché les faux détecteurs de fumée du plafond.

100 000 € d'amende de la CNIL ; des caméras dissimulées dans des détecteurs de fumée, équipées de microphones, ont capté des conversations privées de salariés avant que ceux-ci ne les découvrent

L'urgence sécuritaire a tenu lieu de conformité : la pression des vols a fait paraître la dissimulation justifiée, mais aucune analyse RGPD, aucune inscription au registre ni aucune analyse d'impact n'a accompagné le déploiement.

Les microphones dépassaient tout besoin de prévention des vols — l'enregistrement de conversations privées entre salariés violait de plein fouet la minimisation des données.

La DPO a été contournée : informée seulement plusieurs semaines après l'installation, elle a perdu la possibilité de concevoir un dispositif proportionné avant que les salariés ne le découvrent.

La documentation ne pouvait être reconstituée après coup : une installation « temporaire » non documentée ne laissait rien pour prouver la proportionnalité lorsque le régulateur l'a demandé.

L'urgence antivol engendre des dérives de surveillance. Les caméras cachées ne sont défendables qu'en dernier recours, documenté et temporaire — la DPO consultée avant le déploiement, et non après que le personnel les a découvertes.

Les caméras ont été retirées en septembre 2023, avant que les régulateurs ne sachent qu'elles existaient. La CNIL a adopté la décision SAN-2025-008 le 18 septembre 2025 et l'a publiée quelques jours plus tard avec l'amende de 100 000 €, utilisant ce dossier pour rappeler aux employeurs que la surveillance clandestine ne survit que dans l'étroite exception de la Cour européenne des droits de l'homme : circonstances exceptionnelles, caractère strictement temporaire et mise en balance documentée entre protection des biens et vie privée des salariés.