Les collectivités territoriales sont, depuis une dizaine d’années, à la pointe de l’innovation en matière de sécurité urbaine. À la vidéoprotection classique succèdent désormais des dispositifs « augmentés » : vidéosurveillance algorithmique (VSA), détection automatique d’événements, capteurs sonores couplés aux caméras, lecture automatisée de plaques d’immatriculation, drones. Les maires y voient un outil de démultiplication de l’action de leurs polices municipales, dans un contexte de tension sur les effectifs et d’attentes croissantes des administrés en matière de tranquillité publique.
La campagne des élections municipales de 2026 a été l’occasion, pour certains candidats, de promouvoir la vidéosurveillance assistée par intelligence artificielle, désormais au cœur du débat local.
Cet engouement pour la vidéosurveillance augmentée se heurte cependant à un cadre juridique éclaté et largement antérieur aux technologies déployées, rappelé par la CNIL.
Entre le code de la sécurité intérieure, le RGPD, la loi « Informatique et Libertés » et les lois sectorielles récentes (loi du 19 mai 2023 dite « JO 2024 »), le maire qui souhaite expérimenter se trouve face à une mosaïque de textes dont aucun ne tranche frontalement la question de la légalité des dispositifs les plus innovants.
Cette imprécision laisse au juge administratif une marge d’appréciation considérable, comme l’illustre le jugement rendu par le tribunal administratif d’Orléans le 12 juillet 2024 ou encore le Conseil d’État du 30 janvier 2026 (n° 506370) et la Cour administrative d’appel de Nantes du 6 mars 2026 (n° 24NT01809).
Une demande légitime d’innovation portée par les collectivités
Le développement des dispositifs « intelligents » répond d’abord à une logique d’efficacité opérationnelle.
Une caméra classique, même reliée à un Centre de supervision urbaine (CSU), suppose une attention humaine continue qu’aucune collectivité ne peut financer sur l’ensemble de ses flux.
En théorie, l’apport des technologies récentes consiste précisément à orienter le regard de l’opérateur : la caméra ne « voit » pas mieux, mais elle signale ce qui mérite d’être regardé. C’est cette logique d’alerte ciblée qui sous-tend tant la VSA — détection de comportements anormaux, de regroupements, d’objets abandonnés — que les dispositifs de détection sonore expérimentés dans plusieurs villes françaises.
Ces dispositifs présentent, pour les élus locaux, un double intérêt.
D’une part, ils permettent de tirer un meilleur parti des parcs de caméras existants, dont l’efficacité réelle est régulièrement contestée. D’autre part, ils s’inscrivent dans une logique de prévention : capter un bris de vitre, une détonation ou un cri permet d’orienter immédiatement une patrouille, là où la vidéoprotection classique n’intervient qu’a posteriori.
La demande est donc moins celle d’une surveillance accrue que d’une surveillance plus pertinente, efficiente — promesse, du reste, que portent les industriels du secteur, en pleine expansion.
Le législateur a, ponctuellement, reconnu cette demande. La loi n° 2023-380 du 19 mai 2023 relative aux Jeux Olympiques et Paralympiques de 2024 a ainsi autorisé, à titre expérimental et jusqu’au 31 mars 2025, le recours à la VSA pour la détection d’événements prédéterminés à l’occasion de manifestations sportives, récréatives ou culturelles.
Mais cette ouverture, étroitement bornée dans le temps et dans son objet, ne couvre ni la détection sonore, ni l’usage pérenne de la VSA par les communes hors grands événements. Pour l’essentiel, les collectivités restent donc renvoyées aux textes généraux.
Une imprécision législative qui transfère, en l’état, l’arbitrage au juge – la lecture extensive de la notion de « traitement de données personnelles »
Le jugement Tribunal administratif d’Orléans du 12 juillet 2024 illustre cette difficulté.
La commune concernée avait conclu, le 12 octobre 2021, une convention avec un industriel spécialisé en vue d’expérimenter des capteurs sonores couplés à son réseau de vidéoprotection. Le dispositif, techniquement remarquable de sobriété, ne procédait à aucun enregistrement ni à aucune retransmission : les sons captés étaient découpés en échantillons de l’ordre de dix millisecondes et comparés, en temps réel, à une bibliothèque de sons recherchés (bris de vitre, détonations, cris). En cas de correspondance, la caméra associée s’orientait vers la source et un signal était émis à destination de l’opérateur.
Tout le débat tenait à la qualification : ce système constituait-il un traitement de données à caractère personnel au sens du RGPD et de la loi du 6 janvier 1978 ? La commune soutenait, non sans force, que le capteur n’enregistrait rien, n’identifiait personne et ne faisait que provoquer un mouvement mécanique de caméra. Le tribunal a néanmoins jugé que, dès lors que les capteurs étaient « couplés » aux caméras — ce que la convention prévoyait expressément — l’ensemble permettait, in fine, d’identifier les personnes situées à proximité du bruit anormal, et constituait, donc, un traitement de données personnelles soumis aux exigences de l’article 5 de la loi de 1978.
Le raisonnement est juridiquement défendable, mais il opère un glissement notable : la qualification de « traitement » ne tient plus aux caractéristiques propres du capteur sonore, intrinsèquement non identifiant, mais à son interaction avec un autre dispositif. Cette appréciation fonctionnelle et finaliste — c’est le résultat global du système qui compte — élargit considérablement le champ du RGPD. Elle revient à dire que toute brique technologique, même non intrusive prise isolément, devient un traitement de données personnelles dès lors qu’elle s’inscrit dans un écosystème vidéo.
Il en résulte, pour les collectivités, que quasi toute innovation périphérique à la vidéoprotection est susceptible d’être saisie par les exigences du RGPD.
La déception est, à cet égard, légitime : pris indépendamment, chacun des éléments du dispositif orléanais — vidéoprotection habilitée par l’article L. 251-2 du code de la sécurité intérieure, capteurs sonores non identifiants — disposait d’un cadre juridique propre. C’est le seul couplage qui a été traité comme un dispositif sui generis appelant une habilitation spécifique, alors même qu’il n’ajoutait aucune atteinte supplémentaire, en matière de protection des données personnelles, à celles déjà admises pour chacune de ses composantes.
Cette solution dégagée à Orléans a trouvé un prolongement décisif dans l’arrêt rendu par le Conseil d’État le 30 janvier 2026 (n° 506370).
Le Conseil d’État (n° 506370) confirme cette analyse
Était en cause, dans cette affaire, un traitement algorithmique, dénommé « zone d’intrusion entrées des écoles », destiné à détecter en temps réel, de manière continue et automatisée, le stationnement irrégulier de véhicules aux abords des établissements scolaires et à alerter la police municipale. Les faits et le dispositif diffèrent largement de ceux de la décision précitée du tribunal administratif d’Orléans, mais la prudence judiciaire est restée identique.
Saisie d’un recours pour excès de pouvoir dirigé contre la délibération de la CNIL du 15 mai 2025, qui avait estimé un tel dispositif dépourvu de base légale, la Commune développait une lecture extensive de l’article L. 251-2 du code de la sécurité intérieure, à savoir que l’habilitation à mettre en œuvre des systèmes de vidéoprotection sur la voie publique emporterait la faculté d’en analyser algorithmiquement les images.
Pour le Conseil d’État les dispositions de l’article L. 251-2 du code de la sécurité intérieure, « si elles permettent la mise en œuvre de systèmes de vidéosurveillance des voies publiques, ne sauraient, dans leur silence, être interprétées comme autorisant la mise en œuvre de traitements algorithmiques permettant une analyse systématique et automatisée des images collectées dans des espaces publics au moyen de tels systèmes ».
Surtout, le Conseil d’État rappelle qu’« aucune autre disposition n’autorise, par ailleurs, la mise en œuvre de tels traitements ».
Par cet arrêt, le Conseil d’État érige en règle de principe l’exigence d’une base légale explicite et spécifique pour toute superposition d’un traitement algorithmique à un système de vidéoprotection de la voie publique, et consacre l’idée que le silence du législateur ne vaut pas habilitation.
C’est ici que l’analogie avec la solution dégagée à Orléans est frappante : dans les deux cas, c’est l’absence d’un texte sectoriel dédié — et non la nature intrinsèque du dispositif — qui scelle son sort.
Néanmoins, le Conseil d’État généralise désormais cette logique à l’ensemble des dispositifs de VSA appliqués à la voie publique, alors que le tribunal d’Orléans s’était prononcé sur un système hybride mêlant captation sonore et orientation de caméras.
L’application claire de la solution du Conseil d’État par la Cour administrative d’appel de Nantes (CAA Nantes, 6 mars 2026, n° 24NT01809).
Était cette fois en cause une délibération du conseil municipal de Vannes du 11 octobre 2021, par laquelle la commune avait ouvert une autorisation de programme de deux millions d’euros sur quatre ans en vue d’étendre son réseau de vidéoprotection et de l’adapter aux « développements de l’intelligence artificielle ». La délibération, contestée par un administré, ne portait donc pas directement sur la mise en œuvre d’un traitement algorithmique déterminé, mais sur l’autorisation budgétaire et programmatique destinée à en permettre le déploiement futur.
La Cour annule partiellement la délibération en tant qu’elle prévoit cette adaptation aux développements de l’intelligence artificielle, en reprenant à son compte le considérant de principe du Conseil d’État : aucune disposition du code de la sécurité intérieure n’autorise, en l’état, la mise en œuvre de traitements algorithmiques d’analyse systématique et automatisée des images collectées sur la voie publique, et le silence du législateur ne saurait être interprété comme valant habilitation.
La sanction est concrète : ce n’est plus seulement le déploiement opérationnel d’un dispositif qui est jugé illégal, mais également l’acte budgétaire qui en finance la préparation.
Concrètement, il ne suffit pas d’attendre la mise en service du dispositif pour qu’un recours puisse prospérer. La seule expression d’une intention d’investir dans la VSA, portée par une délibération suffisamment précise, peut désormais être attaquée avec succès. C’est dire l’étendue du verrou posé par le couple Conseil d’État – cour administrative d’appel et l’urgence, pour le législateur, d’y apporter la réponse qui lui revient.
La frontière entre vidéoprotection « classique » et vidéoprotection « augmentée » se trouve, en l’état du droit, tracée d’une main ferme : la première est permise par l’article L. 251-2 du code de la sécurité intérieure ; la seconde appelle un texte propre, dont l’exemple ponctuel demeure, à ce jour, celui de l’expérimentation prévue par la loi du 19 mai 2023 pour les seuls Jeux Olympiques et Paralympiques.
Une base légale introuvable pour fonder le recours à la vidéoprotection « augmentée », faute de cadre dédié
Une fois la qualification de traitement retenue, les juridictions administratives écartent toutes les hypothèses avancées par les collectivités. C’est à cette étape que se joue, en réalité, le sort des dispositifs : la confrontation entre un intérêt public légitimement invoqué et l’absence d’un fondement légal suffisamment clair et précis pour le porter.
Le tribunal administratif d’Orléans avait, le premier, donné le ton. Saisi de la détection sonore couplée expérimentée par la commune, il écarte toutes les bases de licéité de l’article 5 de la loi du 6 janvier 1978, et notamment celle — qui aurait pu prospérer — de la mission d’intérêt public attachée aux pouvoirs de police générale du maire (articles L. 2212-1 et suivants du code général des collectivités territoriales). Il juge que le dispositif, à le supposer utile à l’exercice de ces pouvoirs, ne peut être regardé comme « nécessaire » à leur exercice. La nuance est décisive : la nécessité, au sens du RGPD, suppose l’absence d’alternative moins intrusive, exigence à laquelle un dispositif expérimental peut difficilement satisfaire par construction.
Le Conseil d’État, dans son arrêt du 30 janvier 2026, élève ce raisonnement au rang de principe et en déplace le point d’application. Là où le tribunal d’Orléans avait examiné, base par base, les fondements de licéité du dispositif, la Haute juridiction, face à un dispositif de traitement algorithmique d’analyse systématique et automatisée des images de la voie publique se place en amont et juge que l’article L. 251-2 du code de la sécurité intérieure ne saurait, dans son silence, fonder à lui seul un tel traitement algorithmique.
La question n’est plus de savoir quelle base de licéité mobiliser : c’est l’existence même d’une habilitation législative qui fait défaut.
À cet égard, la précision selon laquelle cette solution s’impose « alors même » que le dispositif ne relèverait pas d’un système d’intelligence artificielle « à haut risque » au sens du règlement (UE) 2024/1689 ferme, du même coup, la voie d’un repli sur le droit européen : l’absence de qualification européenne ne supplée pas l’exigence d’une base légale nationale.
La Cour administrative d’appel de Nantes achève ce mouvement en lui donnant son plein effet pratique. En annulant la délibération vannetaise du 11 octobre 2021, elle juge que l’absence de base légale ne s’oppose pas seulement à la mise en œuvre opérationnelle d’un traitement algorithmique : elle s’oppose déjà à l’autorisation budgétaire et programmatique qui en prépare le déploiement.
Aucune base légale ne peut, en l’état, être invoquée à quelque stade que ce soit de la chaîne de décision : ni au stade de l’expression de l’intention politique, ni au stade de l’engagement financier, ni au stade de la mise en service du dispositif.
Le constat est dès lors d’une grande netteté : la vidéoprotection « augmentée » appelle un texte propre et spécifique.
En l’état du droit, à défaut d’un tel texte propre et spécifique, ni les pouvoirs de police du maire, ni la mission d’intérêt public générale, ni l’article L. 251-2 du code de la sécurité intérieure, ni le silence du législateur ne sauraient en tenir lieu. La seule habilitation aujourd’hui disponible demeure celle, expérimentale et bornée, concédée par la loi du 19 mai 2023 pour les seuls Jeux Olympiques et Paralympiques.
Le verrou ne sera levé qu’au prix d’une intervention législative expressément dédiée à la vidéoprotection « augmentée » des espaces publics.
Et le législateur est bien conscient de cette nécessité, prenant à bras le corps la problématique.
Premièrement, une proposition de loi visant à encadrer l’utilisation par les commerçants d’outils d’analyse vidéo automatique pour lutter contre le vol est en cours de discussion.
Deuxièmement, le projet de loi RIPOST pour « Réponses immédiates aux phénomènes troublant l’ordre public », qui intègre notamment un volet relatif à l’utilisation de la vidéosurveillance algorithmique, a été adopté le 26 mai 2026 par le Sénat.Ainsi se dessine le paradoxe de la vidéoprotection augmentée : promue dans l’arène municipale, où elle s’est imposée comme un thème récurrent des campagnes locales, elle ne pourra prospérer que par la main du législateur national, seul détenteur de la clé d’habilitation que les juridictions administratives exigent désormais.