La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des armées d’une demande d’avis concernant un projet d’arrêté autorisant la mise en œuvre de traitements automatisés de données à caractère personnel relatifs aux systèmes de vidéosurveillance et de contrôle d’accès aux locaux et emprises relevant du ministère de la défense ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment l’article 31 et son titre IV ;
Après avoir entendu le rapport de Mme Isabelle LATOURNARIE-WILLEMS, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement adjoint,
Émet l’avis suivant :
La Commission a été saisie pour avis par le ministère des armées d’un projet d’arrêté autorisant la mise en œuvre de traitements automatisés de données à caractère personnel relatifs aux systèmes de vidéosurveillance et de contrôle d’accès, destinés à assurer la sécurité de certains locaux et emprises relevant de ce ministère et assurer la protection des intérêts de la défense nationale.
Le ministère a précisé qu’il s’agit des emprises mentionnées à l’article 8 de l’arrêté du 9 août 2012 fixant les modalités particulières d’organisation de la prévention des risques professionnels au ministère de la défense, à savoir "
toute aire géographique cohérente et clairement identifiée constituée d’immeubles bâtis et non bâtis, accueillant plusieurs organismes ou antennes d’organisme ainsi que des établissements ne relevant pas du ministère de la défense"
Le projet d’arrêté a vocation à constituer un acte réglementaire unique au sens du IV de l’article 31 de la loi. Seuls les lieux intéressant directement la défense nationale sont susceptibles d’être couverts par cet acte réglementaire unique. Au regard du nombre de sites susceptibles d’être concernés par ce projet d’arrêté, il est nécessaire de s’assurer de l’homogénéité des conditions de mise en œuvre des traitements projetés.
Les traitements qui n’entreraient pas dans le cadre défini par le présent acte réglementaire unique devront être encadrés par un acte réglementaire spécifique. Ce serait ainsi le cas pour des dispositifs d’accès biométriques.
Le périmètre de ces traitements porte sur :
les dispositifs d’autorisation d’accès des personnes et les systèmes de contrôle d’accès, par des contrôles par badge automatisés, ou un contrôle humain ;
les systèmes de vidéosurveillance filmant uniquement l’intérieur des sites soumis à restriction d’entrée ;
les systèmes d’interphonie qui permettent notamment d’enregistrer le son ;
les dispositifs d’autorisation d’accès des véhicules et les systèmes de visualisation des plaques d’immatriculation.
Le ministère a indiqué qu’une doctrine d’emploi relative aux conditions de mise en œuvre des traitements projetés sera élaborée et diffusée afin d’accompagner les différents responsables de traitement.
Sur les finalités et le régime juridique du traitement
L’article 1

Le ministère indique que les traitements ne visent pas à surveiller les membres du personnel ; les images collectées n’auront donc pas vocation à servir de fondement à des sanctions disciplinaires, à l’exception de celles motivées par des comportements susceptibles de porter atteinte à la sécurité du site.
Au regard des finalités poursuivies, les traitements relèvent du régime juridique du titre IV de la loi du 6 janvier 1978 modifiée, dans la mesure où ils intéressent la défense nationale.
Sur les données collectées
Le projet d’arrêté distingue les données traitées selon le type de traitement mis en œuvre.
Le projet d’arrêté exclut que les traitements comportent un dispositif de reconnaissance faciale. En outre, le ministère a indiqué qu’il n’était pas dans son intention de collecter des gabarits vocaux à partir des enregistrements sonores, ni de faire de la reconnaissance vocale. En tout état de cause, un tel traitement de données biométriques ne pourrait pas relever d’un simple arrêté.
Sur le système d’autorisation et de contrôle d’accès aux emprises et locaux (I de l’article 2 du projet) :
Le I de l’article 2 du projet d’arrêt prévoit de collecter de nombreuses données à caractère personnel concernant les agents du ministère des armées, les visiteurs et les prestataires extérieurs intervenant dans le cadre de missions de longue durée. Conformément au principe de minimisation des données, seules les données strictement nécessaires pour poursuivre les finalités des traitements devront être collectées ; chaque traitement mis en œuvre dans le cadre de cet acte réglementaire unique devra respecter ce principe.
Le ministère indique que l’autorisation d’accès est délivrée en amont de celui-ci, dès lors qu’elle conditionne la délivrance du badge permettant l’accès de la personne à l’emprise concernée. Selon les sites, ce contrôle peut être automatisé et, le cas échéant, complété par un contrôle effectué par un agent à l’entrée des locaux.
Sur l’interphonie (II de l’article 2 du projet) :
Les systèmes d’interphonie permettent d’enregistrer le son lorsqu’ils sont activés par la personne sonnant à l’interphone.
Une attention particulièrement vigilante devra être apportée à leur emplacement, afin d’éviter la captation du son provenant de la voie publique.
Sur la vidéosurveillance (II de l’article 2 du projet) :
L’article 2 du projet d’arrêté précise que les bureaux et postes de travail, les lieux d’intimité et de convivialité, ceux destinés aux activités syndicales ainsi que leurs accès directs, les espaces culturels et les lieux dans lesquels se tiennent des échanges couverts par le secret professionnel et le secret de la défense nationale ne peuvent être filmés. La Commission prend acte de ces garanties.
Le ministère a précisé que les dispositifs de vidéosurveillance filmeront en continu, jour et nuit.
L’article 2 du projet d’arrêté précise que les traitements mentionnés à l’article 1

La Commission considère que le déploiement des caméras fixes et mobiles doit être strictement nécessaire et proportionné au regard des finalités poursuivies par les traitements. Le nombre de caméras devra être limité et adapté à la taille des emprises et locaux considérés du ministère des armées, comme aux risques que ces lieux sont susceptibles de présenter pour la protection des intérêts de la défense nationale.
L’article 2 du projet d’arrêté prévoit également la possibilité de réaliser des enregistrements sonores couplés à la vidéosurveillance en-dehors des horaires auxquels les emprises ou locaux sont habituellement accessibles. Selon le ministère, ces enregistrements ont vocation à permettre de s’assurer à distance de la nature de l’incident (par exemple, intrusion d’une personne ou d’un animal) et d’adapter la réponse en conséquence.
Les dispositifs vidéo couplés à des enregistrements sonores sont, par nature, plus intrusifs que ceux permettant seulement la capture d’images. La Commission prend acte des précisions apportées par le ministère des armées, selon lesquelles la nécessité de capter le son s’explique par le fait que les images sont moins lisibles la nuit, et que beaucoup d’emprises sont constituées non de locaux mais de terrains. Au regard des finalités poursuivies par le traitement, elle s’interroge néanmoins sur la nécessité d’une telle captation du son.
Sur le système d’autorisation d’accès des véhicules et de visualisation des plaques d’immatriculation (III de l’article 2 du projet) :
Le projet d’arrêté prévoit que la photographie du véhicule, ainsi que celle de ses occupants, sera collectée. À cet égard, le ministère précise que cette dernière collecte est incidente, la photographie du véhicule pouvant inclure la photographie de ses occupants. Dans ces conditions, la Commission demande que les caméras soient installées sous un angle tel qu’il exclue les prises de vue des occupants des véhicules. Elle prend acte de l’engagement du ministère de supprimer la mention de la prise de photographie des éventuels occupants du véhicule au 3° du III de l’article 2 du projet d’arrêté.
Les systèmes de visualisation des plaques d’immatriculation des véhicules comparent la plaque d’immatriculation à la liste de celles des véhicules autorisés à pénétrer sur le site, ce qui permet la levée d’une barrière automatique. Ces systèmes de visualisation ne permettent pas de visualiser la voie publique, en raison de l’existence de sas de sécurité. La Commission prend note que le contrôle des véhicules aura lieu exclusivement à l’entrée des sites et ne couvre pas le suivi des véhicules dans l’enceinte du parking.
Sur les durées de conservation des données
En premier lieu
s’agissant des systèmes de contrôle d’accès et des systèmes de visualisation des plaques d’immatriculation des véhicules
Le ministère a indiqué que ces dispositions doivent permettre, en cas d’incident de sécurité, de connaître les noms des personnes ayant pénétré sur le site.
Cette durée de conservation est proportionnée au regard des finalités poursuivies par les traitements, s’agissant des agents du ministère et des prestataires extérieurs intervenant dans le cadre de missions de longue durée. S’agissant des visiteurs, la Commission s’interroge sur la proportionnalité de cette durée. De plus, cette durée pourrait être déterminée par chaque responsable de traitement visé par le projet d’arrêté en fonction du degré de sensibilité du site concerné. À titre d’exemple, les arrêtés relatifs aux systèmes de vidéosurveillance et de contrôle d’accès aux locaux et emprises du ministère de l’environnement (arrêté du 6 juin 2016) et du ministère de l’intérieur (arrêté du 14 août 2014) fixent une durée de conservation des données des visiteurs de trois mois au plus.
En outre, la Commission s’interroge sur le point de départ de cette durée à compter de la date de péremption de l’autorisation d’accès. Elle estime que ce point de départ devrait correspondre à la date de chaque passage sur le site concerné et non à la date de fin de validité de l’autorisation générale d’accès délivrée aux agents et prestataires.
En second lieu,
s’agissant des systèmes de vidéosurveillance et d’interphonie
Sur les accédants et les destinataires des données
Le I de l’article 4 du projet d’arrêté mentionne la liste des accédants aux données qui peuvent être soit la "
personne responsable de la mise en œuvre du traitement
La Commission s’interroge sur la notion de "
personne responsable de la mise en œuvre du traitement
responsable de traitement
- cette notion doit impérativement être clarifiée dans le 1° du I de l’article 4 du projet d’arrêté, sous peine de prêter à confusion ; cette personne devrait ainsi être désignée comme celle "
chargée de la mise en œuvre du traitement
responsable
- cette personne devra être spécialement désignée et individuellement habilitée par le responsable de traitement ;
- les agents chargés de la sécurité et de la protection du lieu ne peuvent être spécialement désignés et individuellement habilités que par le responsable de traitement lui-même, et en aucun cas par la "
personne responsable de la mise en œuvre du traitement
Le ministère a précisé que les données ne sont accessibles qu’à partir d’un poste de travail et ne peuvent pas être consultées à distance.
Peuvent être destinataires des données, dans la stricte limite de leurs attributions et du besoin d’en connaître :
- les autorités hiérarchiques, au seul titre de l’engagement d’une enquête fondée sur l’une des finalités des traitements ;
-les agents des corps et services d’inspections et de contrôle, dans le cadre d’une enquête fondée sur l’une des finalités des traitements.
Sur les droits des personnes concernées
L’article 6 du projet d’arrêté prévoit que la "
personne responsable de la mise en œuvre du traitement
S’agissant des systèmes d’interphonie, un panneau d’affichage devra être installé à côté du bouton de la sonnette afin d’informer les personnes concernées qu’un enregistrement sonore a lieu dès qu’elles se manifestent à l’interphone.
S’agissant des systèmes de vidéosurveillance, les caméras devront être installées de manière visible et non dissimulée, et des panneaux d’affichage devront informer les personnes concernées. Une attention toute particulière devra être apportée aux dispositifs mobiles. Dans l’hypothèse où le ministère souhaiterait mettre en œuvre des dispositifs de vidéosurveillance couplés avec des dispositifs sonores, une information spécifique devra être délivrée afin d’informer les personnes concernées de l’existence d’une captation du son.
Sur les mesures de sécurité
L’article 5 du projet d’arrêté prévoit que les données de journalisation sont conservées pendant une durée ne pouvant excéder un an, avant archivage intermédiaire pour une durée de pouvant excéder cinq ans. Le ministère s’est engagé à réduire la durée de conservation en archivage intermédiaire à trois ans, au lieu de cinq ans.
Les autres dispositions du projet d’arrêté n’appellent pas d’observations de la Commission.
La Présidente
Marie-Laure DENIS