Conception des systèmes de vidéosurveillance bancaires 2026 : distributeurs automatiques de billets, chambres fortes, guichets et entrées d’agence – Présentation zone par zone de la norme EN 62676-4

Pourquoi les caméras de surveillance des banques ne couvrent-elles pas le hall d'entrée ?

Une agence bancaire ressemble à un petit local commercial. Un organisme de réglementation, en l'observant, y découvre cinq régimes juridiques qui se chevauchent : le risque lié aux données sensibles (article 9 GDPR pour chaque transaction ; la conservation des preuves en matière de lutte contre le blanchiment d'argent à chaque guichet ; la reconstitution de l'identité du client (KYC) dans le cadre du contrôle des sanctions pour chaque ouverture de compte ; les contrôles d'approvisionnement (article 889 NDAA pour chaque boîtier d'appareil photo ; et la protection contre la foudre (norme EN 62305) pour chaque distributeur automatique de billets extérieur. Chacun de ces régimes définit un paramètre différent de la même caméra : l'objectif, la fenêtre de conservation des preuves, la marque du modèle, le dispositif de protection contre les surtensions. Une seule erreur et la conception échoue à la mise en service. Deux erreurs et la conception échoue à l'approvisionnement.

Sous-jacente aux quatre régimes juridiques se trouve EN 62676-4, la norme technique qui définit précisément ce que signifie « la caméra a détecté le visage ». Souvent négligée dans les cahiers des charges, elle explique pourquoi de nombreux projets respectent le nombre de caméras requis sans atteindre le seuil de pixels par mètre. L’amendement d’octobre 2025 introduit le cadre OODPCVS (Aperçu, Description, Discernement, Perception, Caractérisation, Validation, Examen) comme un vocabulaire plus précis, venant compléter les niveaux DORI (Détection/Observation/Reconnaissance/Identification) classiques. Les seuils restent inchangés ; OODPCVS offre simplement aux auditeurs un langage plus précis pour les cas intermédiaires. Dans la suite de cet article, nous utilisons les valeurs DORI, avec la correspondance OODPCVS dans le tableau ci-dessous.

Cet article détaille chaque zone en expliquant les calculs. Nous accordons une attention particulière au calcul du nombre de pixels par mètre car, d'après notre expérience d'audit des plans d'agences de banques européennes de taille moyenne, la principale cause d'échec de mise en service est que le nombre de caméras requis était respecté, mais que le seuil de pixels par mètre au niveau du guichet était insuffisant. Le hall d'entrée était conforme. La chambre forte était conforme. Le guichet – zone critique ML – présentait un déficit de 14 % en matière d'identification. Ce type de défaillance entraîne une refonte complète et un retard de six mois.

Zone 1 — Entrée de la branche : chaque visage, chevauchement de deux caméras

L'entrée d'une agence est la zone la plus simple à concevoir correctement, mais aussi la plus facile à sous-dimensionner. Tous les organismes de réglementation exigent une capture faciale de niveau identification pour chaque adulte qui franchit la porte, sans exception. L'objectif est de faciliter les enquêtes ultérieures : lorsqu'une fraude, un vol, un braquage ou une identification de complice est détectée lors d'une alerte ultérieure ML, les images de l'entrée fournissent l'horodatage et la première image faciale nette. Un flou à l'entrée est l'une des causes les plus fréquentes de blocage d'une enquête pour fraude.

Pourquoi deux caméras et non une seule ? Ce système à deux caméras offre une protection contre les tentatives de sabotage et les obstructions. Une seule caméra représente un point de défaillance unique : peinture en aérosol, chapeau masquant la vue, reflet du soleil sous un mauvais angle, ou – dans le cas le plus cynique – sabotage physique pendant le cambriolage. Les deux caméras, installées en miroir aux angles opposés du plafond, s’observent mutuellement et observent simultanément l’entrée. La seconde caméra couvre également l’angle de vue que la première ne peut pas obtenir à cause des parapluies et des chapeaux hauts. Le coût marginal du matériel se limite à un appareil et à quelques centaines de mètres de câble Cat6 – un faible coût comparé à celui d’une identification contestée.

Respect de la vie privée dès la conception : la caméra d’entrée enregistre légalement chaque client qui y pénètre, car son utilisation repose sur l’intérêt légitime, conformément à l’article 6, paragraphe 1, point f), GDPR (la prévention de la criminalité financière étant l’un des cas reconnus par le considérant 49), et est complétée par une signalétique claire à l’entrée. Votre analyse d’impact relative à la protection des données (AIPD) doit documenter le test de nécessité (pourriez-vous obtenir les mêmes preuves avec moins de données ?), le test de proportionnalité (le chevauchement des images de deux caméras est-il nécessaire ou excessif ?) et le mécanisme d’exercice des droits des personnes concernées. La réponse standard concernant les caméras d’entrée est affirmative, et une procédure de contact avec le délégué à la protection des données (DPO) est affichée.

Pour une explication détaillée du calcul des pixels par mètre qui sous-tend les chiffres ci-dessus, voir le Calcul DORI pas à pas, ou passez directement à la calculateur DORI gratuit pour valider votre choix spécifique d'appareil photo et d'objectif.

Zone 2 — Guichet : face avant par guichet + tiroir-caisse porté à l’épaule

Le guichet est la zone la plus souvent négligée dans la conception d'une agence bancaire classique et celle qui a le plus de chances d'échouer lors d'une nouvelle mesure de mise en service. La tentation est grande d'installer un simple dome couvrant tout le comptoir : efficace, économique et facile à câbler. Le problème est qu'un seul dispositif ne peut pas satisfaire simultanément deux objectifs DORI distincts : le visage du client lors de l'identification (250 ppm) et le tiroir-caisse lors de la reconnaissance (125 ppm). L'un se situe à hauteur des yeux (vision horizontale), l'autre à hauteur de main (vision verticale). La géométrie est fondamentalement différente.

La caméra auxiliaire est fixée au plafond, derrière le guichet, et filme le tiroir-caisse. Généralement, elle est équipée d'un capteur de 4 mégapixels avec un objectif grand angle de 2,8 mm et une distance de 1,2 m entre le tiroir et le client. Cette caméra enregistre la manipulation des billets et des pièces (comptage, emballage, tri) et constitue la preuve principale en cas de litige. Elle n'a pas besoin de filmer le visage du client (la caméra de la fenêtre s'en charge). En revanche, elle doit pouvoir distinguer clairement les mains et les billets, ce qui implique au minimum une reconnaissance faciale sur une largeur de tiroir d'environ 0,6 m.

Limite de confidentialité — Masquage du clavier PIN. Aucune des deux caméras ne couvre le clavier du terminal de saisie de code PIN côté client. La norme PCI DSS stipule clairement que tout dispositif enregistrant la saisie d'un code PIN déclenche des contrôles de gestion des codes PIN : chiffrement au repos, gestion des clés et audit. Il est impératif que votre système de vidéosurveillance ne soit pas soumis aux exigences de la norme PCI DSS. La solution standard consiste soit à installer les caméras à des angles qui empêchent physiquement la vue du clavier (angles aigus de vue latérale), soit à masquer la zone du clavier dans le micrologiciel de la caméra (la plupart des caméras ONVIF professionnelles prennent en charge le masquage de confidentialité par zone). Dans tous les cas, le document de conception doit préciser la méthode utilisée et sa justification.

Le nombre de caméras par guichet augmente de façon linéaire : une ligne de six guichets est équipée de six caméras faciales et de six caméras de tiroir-caisse, soit douze appareils côté guichet. Cela peut paraître beaucoup, mais il faut le comparer au coût d'une transaction contestée, sans preuve, qui finit par être transmise au superviseur. Le coût marginal de deux caméras par guichet est bien inférieur au coût d'un litige non résolu.

Zone 3 — DAB : identification faciale + comportement à l’écran + périmètre/plaque

Chaque distributeur automatique de billets (DAB) devrait être équipé de trois caméras. La caméra faciale identifie l'utilisateur. La caméra d'écran enregistre les comportements : masquage du clavier, observation furtive, manipulation psychologique. La caméra périmétrique couvre l'entrée et la sortie, et, sur les DAB accessibles en voiture, elle capture la plaque d'immatriculation du véhicule. Chaque caméra permet de lutter contre une catégorie de fraude ou d'attaque différente : clonage de carte (visage et comportement), piégeage de carte (comportement), vol par distraction (périmètre), vol à main armée au DAB (périmètre et plaque d'immatriculation) et reconstitution de la prise de contrôle du compte (visage).

Angle de passage et réduction de la puissance des volets. Dans une agence, les caméras de lecture de plaques d'immatriculation sont le seul endroit où les calculs statiques sous-estiment la focale nécessaire. Un véhicule s'approchant du distributeur automatique à 5 km/h se déplace à environ 1,4 m/s, et la plaque est rarement perpendiculaire à l'axe de la caméra (l'angle d'approche typique est de 20° à 35°). La résolution effective des caractères de la plaque est réduite par le cosinus de l'angle : à 30°, la perte est d'environ 13 %, et à 45°, d'environ 30 %. De plus, le flou de mouvement rend les caractères imprécis, sauf si la vitesse d'obturation est inférieure ou égale à 1/500 s, ce qui impose une plus grande ouverture ou un gain plus élevé en conditions nocturnes. En règle générale, doublez la focale que vous choisiriez pour la capture d'un visage à l'arrêt à la même distance. Pour un guichet automatique de 5 m, 12 mm et non 6 mm. Voir le guide de distance de plaque d'immatriculation et de longueur focale pour le calcul complet de la lisibilité des plaques.

Distributeur automatique de billets extérieur = zone de protection contre la foudre. La norme EN 62305 classe tout appareil extérieur monté sur poteau ou auvent exposé comme zone de protection contre la foudre (LPZ). La BOM doit inclure des parafoudres sur les lignes d'alimentation et de données. Une caméra PoE standard sans parafoudre est irrémédiablement endommagée par un seul orage, et la surtension peut souvent endommager le port NVR. Votre PDF de conception doit indiquer clairement le modèle de parafoudre pour chaque caméra extérieure, la classification LPZ et la liaison au système de protection contre la foudre du bâtiment, le cas échéant. Budget PoE typique pour une caméra ATM extérieure avec chauffage et parafoudre : 25 à 30 W par prise sur un port de commutateur PoE+ (60 W). Les dome intérieures consomment entre 5 et 7 W. Dimensionnez le commutateur et l'onduleur en conséquence.

Zone 4 — Chambre forte et salle des fonds : double caméra avec système de surveillance relié au contrôle d’accès

La salle des coffres et de comptage de l'argent est la zone la plus critique de toute agence et celle où il est le plus facile de surdimensionner et de sous-dimensionner simultanément les systèmes de sécurité. Un surdimensionnement se traduit par quatre caméras 4K grand angle pointant vers le même mur. Un sous-dimensionnement se manifeste par une seule caméra haute résolution sans second angle de vue. La solution optimale consiste en deux caméras à champs de vision se chevauchant, installées dans les coins opposés, chacune avec une densité de pixels suffisante pour l'identification, le long de l'axe central de la pièce.

Étiquetage vidéo déclenché par un événement. Les enregistrements de la chambre forte doivent être associés au journal des événements du contrôle d'accès. Chaque ouverture de porte dans la chambre forte doit automatiquement joindre le segment vidéo correspondant de la paire de caméras à l'enregistrement de l'événement dans le NVR. C'est ce que recherchent les auditeurs ML lorsqu'ils demandent à « consulter les entrées de la chambre forte des 90 derniers jours » : non pas une longue chronologie de pièces vides, mais une liste d'événements d'accès avec un clip de 2 minutes pré-attaché pour chaque événement. La plupart des plateformes NVR professionnelles prennent en charge l'association vidéo déclenchée par événement ; la conception doit simplement spécifier la liaison, la règle de conservation (généralement la plus longue des périodes de conservation du journal d'accès et de l' ML accès) et la compatibilité avec le fournisseur du système de contrôle d'accès.

La durée de conservation des enregistrements des archives est la plus longue des réglementations applicables. Dans l'UE, une pratique traduite de la directive ML D prévoit une durée de 6 mois pour l'accès général aux archives et une durée indéterminée pour les événements signalés. Aux États-Unis, les recommandations de la BSA/FFIEC préconisent une durée minimale d'un an pour les archives et de 5 ans pour tout enregistrement lié à une déclaration d'activité suspecte (DAS). Remarque concernant la longue durée de conservation : le principe de limitation de la conservation du GDPR (article 5, paragraphe 1, point e) prévoit une conservation indéterminée, nécessitant un déclencheur vérifiable (le signalement de la DAS, l'identifiant de l'enquête) reliant chaque segment conservé à sa finalité légitime. Une conservation systématique de 5 ans sans justification au niveau des segments constitue en soi une infraction. Il est conseillé de consulter un avocat pour les projets transfrontaliers. Le calculateur de stockage de CCTVplanner effectue les calculs nécessaires. /calculator/storage avec la rétention par caméra comme variable par zone.

Zone 5 — Couloir des coffres-forts : identifier l’entrée, ne jamais capturer le contenu

Le coffre-fort est le domaine où la frontière entre vie privée et sécurité est la plus clairement définie et la plus solidement encadrée par la jurisprudence dans toutes les juridictions européennes. Le client a une attente légitime quant à la confidentialité du contenu de son coffre. La vidéosurveillance dans le couloir est acceptable, voire parfois obligatoire, mais la couverture de l'intérieur du coffre ou même de l'interaction du client avec son coffre ouvert est contestable au regard de l'article 8 de la CEDH dans plusieurs juridictions. La pratique courante consiste à filmer l'entrée du couloir, la porte du local à coffres de l'intérieur, et à ne jamais pointer une caméra vers le présentoir à coffres lui-même.

Il s'agit du modèle de protection des données dès la conception le plus explicite de toute la branche, et celui que les superviseurs valorisent le plus lors des analyses d'impact relatives à la protection des données (AIPD). En documentant la contrainte d'angle, le schéma des champs de vision des caméras avec le rack hors champ, et la formation des opérateurs sur l'interdiction de zoomer sur le rack, vous transformez une zone potentiellement risquée en une démonstration de conformité irréprochable. Le PDF du projet CCTVplanner inclut une annotation « portée du contenu capturé » par caméra, spécifiquement conçue pour ce type de documentation destinée aux autorités de réglementation.

Architecture réseau : VLAN, plan de gestion, NDAA logiciel

L'article 889 NDAA ne se limite pas au boîtier de la caméra. Les directives d'application 2023-2024 des agences fédérales précisent que les logiciels de gestion vidéo, les micrologiciels NVR et les plateformes de gestion cloud des entités concernées sont également soumis à des restrictions. Une caméra Hanwha ou Axis, même « conforme », connectée à un NVR Hikvision constitue toujours une infraction à l'article 889. Votre conception doit attester de l'ensemble de la chaîne : boîtier de la caméra, enregistreur, logiciel de gestion vidéo et tout service de gestion cloud ou mobile.

La segmentation du réseau est également indispensable. Un réseau de vidéosurveillance bancaire représente une cible de grande valeur, car les caméras offrent une vue privilégiée sur la manipulation d'espèces et parce que les commutateurs PoE avec identifiants par défaut constituent une voie d'accès latérale documentée au réseau de l'entreprise. Conception minimale :

• VLAN dédié aux caméras, aucun routage vers le réseau local de l'entreprise, aucune sortie Internet sauf vers les points de terminaison cloud du fournisseur autorisés.
• Plan de gestion sur un VLAN séparé avec authentification multifacteurs sur la console VMS.
• Processus de mise à jour du firmware documenté — mise à jour manuelle hors ligne ou mise à jour automatique du firmware signé uniquement, jamais de simple extraction HTTP.
• Les identifiants par défaut ont été supprimés lors de la mise en service et sont documentés dans le rapport de passation de pouvoir.

C’est cette couche qui transforme un système de vidéosurveillance d’un point faible en matière de conformité en un atout. Les auditeurs demandent de plus en plus souvent le schéma du réseau en plus du planning des caméras.

Standardisation multi-sites sur plus de 10 sites

Une banque de détail comptant 50 agences dispose des mêmes cinq zones dans chacune d'elles, mais ces agences diffèrent par leur taille, leur agencement et la géométrie des rues. La conception manuelle de chaque agence, réalisée de A à Z, est à l'origine des dérives en matière de conformité : l'agence 23 se retrouve avec une lentille de 6 mm à l'entrée, alors que toutes les autres utilisent du 4 mm, suite à une erreur de mémoire du concepteur ce jour-là. Trois mois plus tard, lors de la mise en service, on constate que l'agence 23 active la zone de reconnaissance au lieu de l'identification à l'entrée, et l'agence entière doit être repensée.

Le modèle standardisé utilise trois archétypes : petit (2 guichets, un distributeur automatique, sans service au volant), moyen (4 guichets, deux distributeurs automatiques, sans service au volant) et grand (6 guichets ou plus, service au volant, plusieurs coffres-forts). Chaque archétype correspond à une conception EN 62676-4 entièrement résolue, intégrant le nombre de caméras, le choix des objectifs, les hauteurs de montage et les calculs DORI. Chaque succursale est dérivée de l’archétype le plus proche, avec des adaptations spécifiques au site pour les caméras périmétriques et la géométrie du plan. La conformité est garantie ; seule la géométrie varie.

Le modèle de projet CCTVplanner est conçu pour ce cas de figure. L'action « Dupliquer le projet » clone un archétype en conservant toutes les zones, tous les calculs DORI et toutes les métadonnées de conformité. Le projet dupliqué accepte ensuite un nouveau plan d'étage, une nouvelle vue satellite et des ajustements de caméras par agence, sans que la configuration de référence EN 62676-4 ne soit altérée. Chaque agence génère son propre rapport d'audit PDF, mais les règles de conception sous-jacentes restent identiques et vérifiables.

BOM, stockage de conservation et PDF de l'auditeur

Un projet bancaire qui ne donne pas lieu à un document unique livrable à l'auditeur n'est pas un projet finalisé. Le PDF contient :

• Plan d'étage avec chaque caméra indiquée
• Matrice de zones avec niveau DORI par caméra et par zone
• Liste des appareils photo avec modèle + objectif + monture + alimentation
• Longueur des câbles et budget PoE par armoire (typique : 25 à 30 W par caméra ATM extérieure, 5 à 7 W par dome intérieur)
• Dimensionnement NVR et du stockage pour les fenêtres de rétention par zone
• Liste SPD pour les dispositifs LPZ extérieurs
• Signalement NDAA §889 par caméra, enregistreur et composant VMS
• Schéma d'architecture réseau (VLAN, plan de gestion, politique du firmware)
• Modèle de feuille de travail pour l'analyse d'impact relative à la protection des données (AIPD) – Article 35 GDPR

Chacune de ces sections répond à une question de l'autorité de régulation. La matrice de zonage répond à la question : « Toutes les personnes concernées ont-elles été identifiées ? ». Le planning des caméras répond à la question : « Des marques interdites sont-elles présentes dans une agence située à proximité de l'autorité fédérale ? ». Le tableau de conservation des données répond à la question : « Conservez-vous les enregistrements des distributeurs automatiques de billets suffisamment longtemps pour respecter la règle des 90 jours de la BSA et suffisamment peu longtemps pour respecter les limitations de conservation GDPR ? ». La feuille de calcul de l'analyse d'impact relative à la protection des données (AIPD) répond à la question : « Avez-vous appliqué l'article 35 à ce traitement ? ». Un simple PDF reprenant ces questions permet de réduire l'entretien avec l'autorité de régulation d'une demi-journée à une demi-heure.

La BOM est exportée séparément au format CSV pour le processus d'approvisionnement. L'exportation au format DXF est destinée à l'électricien et comprend les chemins de câbles, les emplacements de montage et le budget PoE par prise. Les deux fichiers font référence au même PDF de référence, garantissant ainsi que le service des achats, l'installateur et l'auditeur consultent toujours la même source d'information fiable. C'est ce modèle de sortie multiple qui distingue un outil de conception de qualité professionnelle d'un simple logiciel de planification de caméras.

Erreurs courantes à éviter

• Un seul dome recouvrant à la fois le guichet et le tiroir-caisse

  Des cibles DORI différentes, une géométrie différente : un seul appareil ne peut pas satisfaire aux deux. Un audit ML cible spécifiquement le guichetier ; la plupart des échecs de mise en service se produisent à ce niveau.

• Intégration de Hikvision ou Dahua dans une BOM d'une branche fédérale adjacente — y compris le NVR et le VMS

  L'article 889 NDAA couvre l'ensemble du système. L'utilisation d'une caméra conforme sur un enregistreur non conforme constitue toujours une infraction. Le financement fédéral est alors suspendu et un nouvel appel d'offres est lancé.

• Omettre l'analyse d'impact relative à la protection des données (AIPD) prévue à l'article 35 GDPR pour une « refonte mineure »

  Toute modification du nombre de caméras, de leur installation ou de leur conservation dans une agence constitue une modification de l'activité de traitement. Même un projet d'ajout de deux caméras seulement nécessite une mise à jour de l'analyse d'impact relative à la protection des données (AIPD). Les autorités de contrôle sont de plus en plus vigilantes à ce sujet.

• Absence de dispositif de protection contre les surtensions sur les caméras de guichet automatique extérieures

  La norme EN 62305 exige une classification LPZ et un parafoudre pour toutes les caméras extérieures exposées. Un typhon, une panne de transformateur ou la foudre frappant directement la structure du bâtiment peuvent rendre la caméra inutilisable, ainsi que souvent le port NVR. L'investissement initial dans un parafoudre est minime.

• Distributeur automatique de billets à caméra unique sans système de secours

  Toute tentative de sabotage ou d'obstruction de la seule caméra du distributeur automatique de billets ne laisse aucune trace. Le système à trois caméras (face + écran + périmètre) offre une protection aussi bien contre le sabotage que contre la fraude.

• Rétention dimensionnée selon la fenêtre applicable la plus courte

  Une succursale opérant à la fois en UE et aux États-Unis doit se conformer aux réglementations anti-blanchiment d'argent (ML) et de confidentialité des données (BSA). Dimensionner le stockage en fonction des exigences de l'UE alors que la BSA impose une durée plus longue constitue une erreur de conception évitable qui se révèle lors de l'entretien avec l'autorité de contrôle six mois plus tard. L'erreur inverse – une conservation indéfinie et systématique des données sans justification par segment – contrevient aux limitations de stockage GDPR.

• VLAN de la caméra intégré au réseau local d'entreprise

  Les commutateurs PoE et les caméras IP utilisant des identifiants par défaut constituent des vecteurs de propagation latérale documentés. La segmentation n'est pas un simple atout.

Foire aux questions