Surveillance par drone : le cadre pour le privé

Quand un télépilote cherche le cadre applicable à une mission de surveillance, il tombe presque toujours sur le même corpus : conservation des images limitée à sept jours, information du public par tout moyen approprié, interdiction de la reconnaissance faciale, autorisation préfectorale de trois mois renouvelable. Des règles précises, rassurantes, faciles à citer en rendez-vous client.

Le problème, c'est qu'elles ne vous concernent pas.

Ce corpus encadre l'usage des drones par les forces de sécurité publique — police nationale, gendarmerie, douanes, sapeurs-pompiers, agents de l'environnement. La CNIL énumère les services qui peuvent y recourir, et cette liste est limitative : le prestataire privé n'y figure pas. Ce n'est donc pas une exclusion écrite noir sur blanc, c'est une liste dont vous êtes absent, ce qui produit le même effet et mérite d'être dit exactement. Et la police municipale, elle, n'est pas autorisée à en faire usage à la date de cette mise à jour.

Pour un prestataire privé, la réalité est à la fois plus simple et plus inconfortable : il n'existe pas de régime dédié. C'est le droit commun de la protection des données qui s'applique, et il laisse beaucoup plus de zones grises que le cadre policier.

Avant le RGPD, une question plus lourde : exercez-vous une activité de sécurité privée ?

C'est la question que ce corpus ne pose jamais, et c'est la seule dont la réponse se paie au pénal plutôt qu'au contentieux administratif.

Le Livre VI du Code de la sécurité intérieure soumet les activités consistant à « fournir des services ayant pour objet la surveillance humaine ou la surveillance par des systèmes électroniques de sécurité ou le gardiennage de biens meubles ou immeubles [...] » (article L. 611-1, 1°) à un régime d'autorisation délivrée par le CNAPS au titre de l'article L. 612-9.

La rédaction est assez large pour que la question se pose dès lors qu'un drone est mis en œuvre pour surveiller le site d'un tiers. Elle ne la tranche pas pour autant : le texte ne nomme ni le drone ni l'aéronef, et il ne définit pas ce qu'est un « système électronique de sécurité », notion qui vise en pratique la télésurveillance et la vidéosurveillance exploitées à distance. Je n'ai trouvé aucune décision ni aucune doctrine publiée du CNAPS qui statue sur le cas du drone télépiloté intervenant sur site.

⚠️ Je n'écris donc pas que la surveillance par drone relève du CNAPS, et je n'écris pas l'inverse non plus. Ce qui est certain, c'est que la question doit être posée avant d'accepter la mission, par écrit, et tranchée par le CNAPS.

Pourquoi l'enjeu n'est pas du même ordre que le RGPD. Exercer une de ces activités sans l'autorisation d'exercice prévue à l'article L. 612-9, ou continuer à l'exercer alors qu'elle est suspendue ou retirée, est puni de trois ans d'emprisonnement et de 45 000 euros d'amende (article L. 617-4, 1°). Le même article punit de la même peine le fait de sous-traiter une de ces activités à une entreprise qui n'est pas autorisée : un télépilote à qui une société de sécurité confie une mission de surveillance a donc intérêt à savoir laquelle des deux est censée détenir l'autorisation. Ce n'est pas une sanction de la CNIL, c'est une infraction pénale, et elle vise celui qui exerce, dirigeant compris s'il s'agit d'une société, la personne morale pouvant en outre être poursuivie.

Le piège qui concerne le plus les télépilotes est ailleurs, dans un AUTRE article, et il ne faut pas les confondre. L'article L. 617-1, 2°, distinct du précédent, punit de la même peine le fait d'exercer une activité de surveillance en ayant en outre une activité qui n'est pas liée à la sécurité, ou celle d'agent privé de recherches. Or c'est exactement le profil d'un prestataire drone ordinaire : photographie immobilière le lundi, inspection de toiture le mardi, surveillance de site le mercredi. Si la troisième prestation est qualifiée d'activité de sécurité privée, les deux premières deviennent un cumul. La bonne lecture n'est donc pas « ai-je le droit de faire de la surveillance », mais « si j'en fais, qu'est-ce que cela interdit au reste de mon activité ».

Les quatre questions à passer avant d'accepter la mission

Cette grille ne tranche pas la qualification à votre place : elle vous dit à quel moment vous devez la faire trancher, et ce que la réponse engage.

Question	Si la réponse est oui
1. Le client vous demande-t-il de surveiller ses biens ou son site pour son compte, par opposition à produire une image ou un relevé qu'il exploitera lui-même ?	Vous êtes dans la zone de l'article L. 611-1, 1°. Posez la question au CNAPS par écrit, avant de signer, et gardez la réponse.
2. La prestation est-elle récurrente, sur un périmètre défini, avec une attente de détection ou d'alerte ?	Le caractère récurrent et la finalité de détection rapprochent la mission d'une activité de surveillance plutôt que d'une captation ponctuelle. Même réflexe qu'au point 1, avec plus d'urgence.
3. Exercez-vous par ailleurs des activités qui ne sont pas liées à la sécurité (photographie, inspection technique, cartographie) ?	Si la mission est qualifiée d'activité de surveillance, le cumul est lui-même une infraction (article L. 617-1, 2°). La question n'est plus « puis-je faire cette mission », mais « qu'est-ce que cela interdit au reste de mon activité ».
4. Est-ce une société de sécurité qui vous sous-traite la mission ?	La sous-traitance à une entreprise non autorisée est punie de la même peine que l'exercice sans autorisation (article L. 617-4, 2°). Demandez-lui par écrit qui est censé détenir l'autorisation, vous ou elle.

Si vous répondez oui à la question 1 ou 2, ne comptez pas sur ce qui suit pour vous couvrir. La conformité RGPD décrite dans la section suivante est nécessaire, elle n'est pas suffisante : elle règle le traitement des données, pas le droit d'exercer l'activité.

Ce qui s'applique réellement à un prestataire

Dès que votre capteur permet d'identifier une personne — un visage, une plaque, une silhouette reconnaissable dans un contexte donné — vous effectuez un traitement de données personnelles. Le RGPD s'applique intégralement, avec quatre obligations qui structurent la mission :

Une base légale. Vous ne filmez pas « parce que le client le demande ». Il faut une base juridique identifiée : l'intérêt légitime du responsable de traitement dans la plupart des cas de sécurisation de site, plus rarement le consentement. Cette base doit être documentée avant le vol, pas reconstituée après.

L'information des personnes. C'est l'obligation la plus systématiquement négligée, et la plus visible en cas de contrôle. Toute personne susceptible d'être filmée doit être informée — signalétique sur site, note de service pour les salariés, mention dans le règlement intérieur. Sur un site fermé avec du personnel, c'est gérable ; sur un périmètre ouvert, c'est le point qui fait échouer le montage juridique de la mission.

La minimisation. On ne capte que ce qui est nécessaire à la finalité annoncée. Concrètement : cadrage sur le périmètre du client, altitude et angles choisis pour éviter les propriétés voisines, floutage ou suppression de ce qui déborde. Un survol qui embarque incidemment les jardins mitoyens n'est pas une maladresse technique, c'est une non-conformité.

Une durée de conservation limitée et justifiée. Le délai de sept jours du cadre policier n'est pas votre référence légale, mais il constitue un repère de bon sens : plus la durée est longue, plus elle doit être justifiée par la finalité.

À cela s'ajoute, dès que le traitement présente un risque élevé pour les droits des personnes — ce qui est fréquent en surveillance systématique — une analyse d'impact (AIPD) à mener avant la mise en œuvre.

Les missions réellement vendables

Toutes les demandes de surveillance ne se transforment pas en prestation conforme. La ligne de partage tient à un critère simple : maîtrisez-vous le périmètre survolé ?

Ce qui se vend bien — les missions sur site privé délimité, avec un donneur d'ordre qui contrôle l'accès : rondes ponctuelles sur emprise industrielle, vérification après alarme, sécurisation d'un chantier hors horaires, inventaire de parc matériel, levée de doute sur une zone difficile d'accès. Le point commun : le périmètre appartient au client, les personnes présentes sont identifiables et informables.

Ce qui se vend mal ou pas du tout — la surveillance de l'espace public par un acteur privé, le survol récurrent de zones d'habitation, la captation en continu sans finalité délimitée, et toute mission où le client ne peut pas informer les personnes concernées. Un client qui vous demande de « surveiller le quartier » vous demande en réalité de porter un risque juridique qui n'est pas le vôtre.

Un mot sur le modèle économique : la surveillance par drone est rarement un remplacement du gardiennage humain, et la présenter ainsi expose à la déception. Elle fonctionne en complément — sur des créneaux, des périmètres ou des accès où l'humain est coûteux ou exposé. C'est un argument plus solide, et plus honnête, que la promesse de substitution.

Ce qui reste flou

Il faut le dire clairement plutôt que de faire semblant : le cadre applicable au prestataire privé est moins codifié que celui des forces de sécurité. Il n'existe pas d'équivalent privé aux règles de conservation ou de signalement qui s'imposent à la police. Les obligations découlent du droit commun, et leur application concrète à une mission de surveillance aérienne se construit au cas par cas.

Les trames à produire (fiche de qualification, registre, clauses de sous-traitance, mention d'information) ne sont pas ici : elles sont dans le dossier RGPD d'une mission de surveillance drone, qui les donne une par une. Cette page-ci répond à la question d'avant : avez-vous le droit de prendre la mission, et qu'est-ce qu'elle engage pour le reste de votre activité.

Conséquence pratique : sur une mission sensible — périmètre ouvert, présence de tiers, captation récurrente — la bonne réponse n'est pas de chercher la règle qui n'existe pas, c'est de faire valider le montage par le DPO du client ou un conseil spécialisé. Ce réflexe vous protège autant qu'il protège le client, et il se facture.

Mon analyse

Cette verticale attire parce qu'elle semble techniquement simple : un drone, une caméra, un périmètre. En réalité, c'est probablement celle où la compétence juridique pèse le plus lourd par rapport à la compétence de pilotage. Sur une inspection de toiture, une erreur coûte une reprise de mission. Sur une surveillance, une erreur peut coûter une plainte et une procédure au client — c'est-à-dire la relation commerciale, et une réputation.

Ma conviction, c'est que le vrai différenciateur sur ce segment n'est pas l'équipement mais la capacité à cadrer la demande. Un prestataire qui sait dire « cette mission-là, je ne la fais pas, et voici pourquoi » inspire plus confiance qu'un prestataire qui accepte tout. Et c'est souvent celui-là qui obtient le contrat récurrent, parce que le responsable sécurité en face sait qu'il ne se fera pas piéger.

Le corollaire, c'est que cette verticale ne se prend pas en passant. Si tu n'es pas prêt à documenter une base légale, à rédiger une note d'information et à discuter avec un DPO, reste sur l'inspection technique : à mon expérience, le risque y est sans commune mesure.

Sources

CNIL — Les drones équipés de caméras pour la sécurité publique : liste LIMITATIVE des services autorisés, dans laquelle le prestataire privé ne figure pas, obligations d'information, durées de conservation, interdictions (reconnaissance faciale, captation sonore)
CNIL — Piloter son drone et précautions en matière de vie privée : information des personnes survolées, minimisation des images

Sources primaires

Article L. 611-1 du Code de la sécurité intérieure, activités privées de surveillance et de gardiennage soumises à autorisation, dont la surveillance par systèmes électroniques de sécurité. Version en vigueur depuis le 02/03/2017, consultée le 23/09/2026.
Article L. 617-1 du Code de la sécurité intérieure, trois ans d'emprisonnement et 45 000 euros d'amende, notamment pour l'exercice sans immatriculation au registre du commerce (1°) et pour le cumul avec une activité non liée à la sécurité ou avec celle d'agent de recherches privées (2°). Version en vigueur depuis le 27/05/2021, consultée le 23/09/2026.
Article L. 617-4 du Code de la sécurité intérieure, même peine pour l'exercice sans l'autorisation de l'article L. 612-9, pour la poursuite d'activité sous autorisation suspendue ou retirée, et pour la sous-traitance à une entreprise non autorisée. Version en vigueur depuis le 01/05/2012, consultée le 23/09/2026.