Les systèmes de vidéoprotection mis en oeuvre sur la voie publique ou dans des lieux et établissements ouverts au public relèvent du régime juridique fixé par les articles 10 et 10-1 de la loi n° 95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité, rappelle une circulaire du 14 septembre 2011. L'installation de tels systèmes de vidéoprotection est soumise à l'obtention d'une autorisation préfectorale prise après avis de la commission départementale de la vidéoprotection, présidée par un magistrat judiciaire. Par exception, les systèmes dont les images sont utilisées « dans des traitements automatisés ou contenus dans des fichiers structurés selon des critères permettant d'identifier, directement ou indirectement, des personnes physiques » sont soumis à la loi de 1978 relative à l'informatique, aux fichiers et aux libertés. Toutefois, comme le précise le Conseil d'Etat dans un avis du 24 mai 2011, les dispositifs de vidéoprotection ne doivent être soumis à la Commission nationale de l'informatique et des libertés (CNIL) préalablement à leur installation, « que si les traitements automatisés ou les fichiers dans lesquels les images sont utilisées sont organisés de manière à permettre, par eux-mêmes, l'identification des personnes physiques, du fait des fonctionnalités qu'ils comportent (reconnaissance faciale notamment). Les dispositions de la loi du 21 janvier 1995 ne s'appliquent pas aux systèmes de vidéoprotection installés dans des lieux non ouverts au public, comme les parties communes des immeubles d'habitation, les locaux professionnels et les établissements affectés à l'enseignement ou à la garde d'enfants. Toutefois, aux termes de l'avis du Conseil d'Etat, un système de vidéoprotection utilisé dans des locaux non ouverts au public constitue un traitement automatisé de données à caractère personnel, dès lors que deux conditions cumulatives sont remplies : d'une part, les images font l'objet d'un enregistrement et d'une conservation, et non d'un simple visionnage ; d'autre part, le responsable du traitement ou les agents ayant accès aux enregistrements ou ayant vocation à y accéder sont en mesure, par les moyens dont ils disposent normalement, d'identifier les personnes filmées. La finalité poursuivie par le système de vidéoprotection constitue le critère déterminant les formalités préalables à la mise en oeuvre du traitement, souligne la circulaire. Cette dernière s'intéresse enfin aux systèmes de vidéoprotection « mixtes » parce qu'ils traitent à la fois des images prises dans des lieux non accessibles au public et des images prises dans des lieux ouverts au public ou sur la voie publique.