La Commission nationale de l'informatique et des libertés,
Saisie par le ministère chargé des transports, en application des dispositions du 4° sous a) de l’article 8 de la loi n° 78-17 du 6 janvier 1978 modifiée, d’une demande d’avis portant sur un projet de décret relatif au recours à la vidéo intelligente pour mesurer le taux de port de masque dans les transports ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2020-290 du 23 mars 2020 d’urgence pour faire face à l’épidémie de COVID - 19, notamment son article 4 ;
Vu la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions ;
Vu les articles L. 3131-12 et suivants du code de la santé publique ;
Vu le décret n° 2020-1257 du 14 octobre 2020 déclarant l’état d’urgence sanitaire ;
Vu le décret n° 2020-1262 du 16 octobre 2020 prescrivant les mesures générales nécessaires pour faire face à l’épidémie de COVID-19 dans le cadre de l’état d’urgence sanitaire ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Bertrand du MARAIS, commissaire, en son rapport, et M. Benjamin TOUZANNE commissaire du Gouvernement, en ses observations,
Emet l’avis suivant :
La saisine de la Commission intervient dans le contexte de l’épidémie de COVID-19 et l’obligation, depuis le 11 mai 2020, pour les usagers des transports publics collectifs, de porter un masque de protection. Le projet de décret vise à permettre aux exploitants de services de transports collectifs de voyageurs de mettre en œuvre des dispositifs de mesure du taux de port de masque au moyen du traitement automatisé d’images provenant des caméras de vidéoprotection existantes, en excluant le droit d’opposition des personnes concernées au traitement de leurs données.
Comme elle a eu l’occasion de le souligner dans plusieurs de ses délibérations liées à la crise sanitaire, la Commission a pleinement conscience de la gravité de la situation sanitaire liée à l’épidémie de COVID-19 et de la nécessité pour le Gouvernement de prendre les mesures nécessaires de protection de la population. Ce projet s’inscrit dans son action de lutte contre l’épidémie, et traduit le souhait de ne laisser de côté aucun outil permettant d’endiguer la propagation de la maladie.
Pour autant, la mise en œuvre à grande échelle de dispositifs dits de vidéo intelligente dans l’espace public pose d’importantes questions en termes de protection de la vie privée. L’espace public est un lieu où s’exercent de nombreuses libertés individuelles (droit à la vie privée, à la protection des données à caractère personnel, liberté d’aller et venir, liberté d’expression, etc). La préservation de l’anonymat dans l’espace public est une dimension essentielle pour l’exercice de ces libertés ; la captation et l’analyse systématiques de l’image des personnes dans ces espaces sont incontestablement porteuses de risques pour leurs droits et libertés fondamentaux.
La lutte contre l’épidémie de COVID-19, qui relève de l’objectif à valeur constitutionnelle de protection de la santé, constitue par ailleurs un impératif majeur de nature à justifier, dans certaines conditions, des atteintes transitoires au droit à la protection de la vie privée et des données à caractère personnel.
Les protections constitutionnelle et conventionnelle du droit au respect de la vie privée et à la protection des données à caractère personnel, assises notamment sur la Charte des droits fondamentaux de l’Union européenne et la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, imposent toutefois que les atteintes portées à ces droits par les autorités publiques soient non seulement justifiées par un motif d’intérêt général, mais soient également nécessaires et proportionnées à la réalisation de cet objectif.
Le projet de décret appelle dès lors les observations suivantes de la part de la Commission.
Sur la finalité des dispositifs de détection du port de masque prévus par le projet de décret
Le projet de décret prévoit en son article 1

des systèmes de vidéoprotection autorisés sur le fondement de l’article L. 252-1 du code de la sécurité intérieure aux fins d’évaluer statistiquement
d’adapter leurs actions d’information et de sensibilisation du public
La Commission prend acte de ce que ces dispositifs n’ont pas pour finalité, ni ne peuvent permettre techniquement, l’identification des personnes et n’ont donc pas vocation à traiter des données biométriques.
La Commission prend également acte des précisions apportées par le ministère concernant les finalités de ces dispositifs, qui n’ont pas vocation à poursuivre les infractions à la réglementation relative au port du masque, mais à permettre de diffuser des messages d’annonce types et non ciblés dans les lieux où serait constaté un taux moyen de port du masque insuffisant. Le ministère a également indiqué que les dispositifs n’ont pas davantage vocation à permettre le déploiement immédiat sur les lieux d’agents chargés du respect de la réglementation relative au port du masque, mais de redéployer des agents d’information en vue de sensibiliser davantage les usagers à leurs obligations.
La Commission estime cette finalité comme déterminée, explicite et légitime au sens de l’article 5.1.b du RGPD.
Sur l’exclusion du droit d’opposition des personnes concernées au titre de l’article 23 du RGPD
Le projet de décret prévoit également, de façon relativement inédite, au II de son article 1

L’exclusion d’un droit prévu par le RGPD doit répondre à plusieurs critères.
Sur la justification de l’exclusion du droit d’opposition
L’article 23 du RGPD requiert un texte de droit de l’Union ou de l’Etat membre pour notamment limiter la portée des droits prévus aux articles 12 à 22 du RGPD, à condition qu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir notamment des
objectifs importants d’intérêt public général de l’Union ou d’un Etat membre, notamment un intérêt économique ou financier […] y compris dans les domaines […] de la santé publique et de la sécurité sociale
la protection des personnes concernées
Le ministère a précisé que, conformément à l’article 23.1 du RGPD, le droit d’opposition pouvait être écarté des traitements envisagés puisque ces derniers permettent de garantir des objectifs importants d’intérêt public, en l’espèce un objectif de santé publique et la protection des personnes concernées, plus particulièrement la protection de leur santé.
La Commission relève à cet égard que les dispositifs envisagés, qui s’inscrivent dans un plan plus large de lutte contre l’épidémie de COVID-19, sont expressément liés par le I de l’article 1

La Commission tient cependant à rappeler la nécessaire vigilance qui s’impose dans le déploiement de ces dispositifs qui impliquent une collecte et une analyse systématiques de l’image des individus circulant dans les transports publics et une détection de certains de leurs attributs. Même s’il est limité au cadre de l’état d’urgence sanitaire, un tel déploiement présente le risque réel de généraliser un sentiment de surveillance chez les citoyens, de créer un phénomène d’accoutumance et de banalisation de technologies intrusives et, en définitive, d’engendrer une surveillance accrue.
Sur les garanties apportées aux traitements dont le droit d’opposition est exclu
La Commission rappelle, d’une part, que, pour pouvoir apporter valablement des limitations au droit d’opposition des personnes, la mesure normative prise à cet effet doit contenir certaines
dispositions spécifiques
une disposition expresse de l’acte instaurant le traitement
Elle estime que le projet de décret qui lui est soumis devrait être complété sur deux points afin de satisfaire entièrement aux exigences de ces articles.
En premier lieu
instaurant le traitement
Ainsi, la finalité et les caractéristiques essentielles de ces traitements doivent être décrites avec des précisions suffisantes. En l’espèce, le décret indique que les
systèmes de vidéoprotection autorisés sur le fondement de l’article L. 252-1 du code de la sécurité intérieure
A cet égard, la Commission prend acte des précisions apportées par le ministère concernant la mise en œuvre des dispositifs visés par l’intégration d’un traitement logiciel aux caméras de vidéoprotection préexistantes, analysant en temps réel le flux vidéo, et relève qu’il serait préférable de faire figurer de telles précisions au sein du projet de décret afin d’éviter toute ambiguïté quant à la nature des dispositifs déployés et ainsi aux traitements de données impliqués.
En second lieu,
La Commission rappelle qu’une telle information est d’autant plus importante qu’au-delà de l’exclusion du droit d’opposition, le responsable du traitement ne sera pas en mesure d’assurer l’exercice des droits d’accès, de rectification, d’effacement ou de limitation des personnes concernées du fait de la suppression à très bref délai des images des flux vidéo.
Sur la durée d’application du décret
Le projet de décret prévoit en son article 2 que le décret s’appliquera pendant une durée d’un an à compter de sa publication.
La Commission prend ainsi acte de l’application de ce texte pour une durée maximale d’un an et estime que cette limitation de durée apparaît nécessaire au regard de la nature potentiellement intrusive des dispositifs dont il permet le déploiement et de la dérogation forte au droit d’opposition des personnes concernées qu’il instaure dans ce cadre.
Elle relève également qu’en application du I de l’article 1

Elle recommande à ce titre que l’impact de tels dispositifs sur la stratégie sanitaire globale soit évalué et documenté de manière régulière, afin que l’efficacité et la pertinence de ceux-ci au cours du temps puissent être évaluées. La Commission recommande que ces analyses lui soient, lorsqu’elles seront disponibles, communiquées afin de lui permettre d’exercer sa mission de contrôle de la conformité de la mise en œuvre des dispositifs projetés.
La Présidente
Marie-Laure DENIS