a Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la justice d'une demande d'avis concernant un projet d'arrêté portant création de traitements de données à caractère personnel relatifs à la vidéoprotection de cellules de détention ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment ses articles D. 265 et suivants ;
Vu le code de la sécurité intérieure, notamment ses articles L. 251-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-I ;
Vu la loi n° 2009-1436 du 24 novembre 2009 pénitentiaire modifiée ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 13 mai 2013 portant autorisation unique de mise en œuvre de traitements de données à caractère personnels relatifs à la vidéoprotection au sein des locaux et des établissements de l'administration pénitentiaire ;
Vu l'arrêté du 23 décembre 2014 modifié portant création de traitements de données à caractère personnel relatifs à la vidéoprotection des cellules de protection d'urgence ;
Vu la délibération n° 2012-022 du 26 janvier 2012 portant avis sur un projet d'arrêté du ministère de la justice portant autorisation unique de mise en œuvre de traitements de données à caractère personnels relatifs à la vidéoprotection au sein des locaux et des établissements de l'administration pénitentiaire ;
Vu la délibération n° 2014-392 du 2 octobre 2014 portant avis sur un projet d'arrêté concernant la création de traitements de données à caractère personnel relatifs à la vidéoprotection des cellules de protection d'urgence ;
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis d'un projet d'arrêté portant création de traitements de données à caractère personnel relatifs à la vidéoprotection de cellules de détention au sein des établissements pénitentiaires.
Les traitements projetés reposent sur l'utilisation de caméras vidéo installées au sein de ces cellules, afin d'assurer la surveillance continue des personnes placées sous main de justice en cas de risque d'évasion ou de suicide. Ils se distinguent ainsi des traitements de données à caractère personnel relatifs à la vidéosurveillance mis en œuvre, au sein des établissements pénitentiaires, dans les espaces collectifs ou dans les cellules de protection d'urgence. Il y a dès lors lieu de faire application des dispositions de l'article 26-I-2° de la loi du 6 janvier 1978 modifiée, qui soumettent la création de tels traitements à un arrêté ministériel pris après avis motivé et publié de la commission.
A titre général, la commission relève que ces dispositifs permettent la surveillance permanente et particulièrement longue, portant par nature une atteinte grave au droit au respect de la vie privée et à la protection des données à caractère personnel des personnes en faisant l'objet, d'individus déjà soumis à des mesures restrictives de libertés.
Une telle atteinte ne saurait ainsi être admise que si elle apparaît strictement nécessaire au but poursuivi et si des garanties suffisantes sont prévues, de nature à garantir la proportionnalité des dispositifs mis en œuvre.
En particulier, la commission rappelle que de tels dispositifs doivent, conformément à la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ainsi qu'à la jurisprudence de la Cour en la matière, reposer sur une base légale suffisante et être mis en œuvre dans des conditions permettant d'assurer un juste équilibre entre l'ingérence dans la sphère privée de la personne détenue et les troubles à l'ordre public susceptibles de résulter de l'évasion du requérant ou d'une atteinte à son intégrité physique.
A cet égard, le ministère considère que ces mesures de surveillance continue s'inscrivent dans le cadre de la mission de service public de l'administration pénitentiaire, chargée notamment de garantir la sécurité de l'établissement pénitentiaire et des personnes qui s'y trouvent, conformément aux dispositions de l'article 44 de la loi pénitentiaire susvisée et des articles D. 265 et suivants du code de procédure pénale.
Toutefois, la commission relève qu'aucune disposition législative ne prévoit explicitement la possibilité, pour l'administration pénitentiaire, de mettre en œuvre une telle surveillance. En outre, elle observe que l'arrêté qui lui est soumis ne contient aucune disposition relative aux garanties procédurales devant entourer la mesure du placement sous vidéo de la cellule d'un détenu. La commission s'interroge dès lors sur la possibilité de prévoir et d'encadrer la mise en œuvre d'une telle surveillance par un tel arrêté portant création de traitements de données à caractère personnel.
En tout état de cause, dans la mesure où cette surveillance repose sur l'utilisation de traitements de données à caractère personnel, la commission doit s'assurer que ces derniers sont mis en œuvre dans des conditions conformes à la loi du 6 janvier 1978 modifiée. Elle entend ainsi formuler plusieurs observations sur les traitements projetés.
Sur la finalité des traitements :
A titre liminaire, le projet d'arrêté utilise le terme de  vidéoprotection  pour désigner les systèmes filmant l'intérieur des cellules de détention. Conformément aux dispositions de l'article L. 251-1 et suivants du code de la sécurité intérieure (CSI), ce terme concerne uniquement les systèmes de caméras installés sur la voie publique et dans les lieux ouverts au public. Dans la mesure où il s'agit de dispositifs mis en œuvre dans des lieux non ouverts au public, la commission demande que le projet d'arrêté soit modifié afin de faire référence à la notion de  vidéosurveillance  et non à celle de  vidéoprotection .
Les traitements créés par le projet d'arrêté ont pour finalité de permettre la surveillance, par le biais de caméras vidéo, des cellules de détention dans lesquelles sont affectées les personnes placées sous main de justice  dont l'évasion ou le suicide pourraient avoir un impact important sur l'ordre public eu égard aux circonstances particulières à l'origine de leur incarcération et l'impact de celles-ci sur l'opinion publique .
La commission estime que le profil spécifique de certains détenus, au regard de leur dangerosité ou des faits qui leurs sont reprochés, peut justifier que ces derniers fassent l'objet de mesures de surveillance renforcées, notamment afin de garantir que la procédure judiciaire puisse aller à son terme.
Elle estime dès lors que les finalités des traitements projetés sont déterminées, explicites et légitimes, conformément à l'article 6-2° de la loi du 6 janvier 1978 modifiée.
La commission relève néanmoins que, contrairement aux autres dispositifs vidéo installés dans les établissements pénitentiaires, ces traitements permettront, par décision du garde des sceaux prise, le cas échéant, après avis du médecin intervenant dans l'établissement, la surveillance constante d'individus spécifiquement identifiés, durant une période de trois mois renouvelable.
Au regard de leur caractère particulièrement intrusif, elle recommande dès lors que ces dispositifs fassent l'objet, à brève échéance, d'une évaluation précise, concernant tant les aspects légaux qu'opérationnels, en concertation avec l'ensemble des acteurs dont l'expertise s'avère nécessaire en la matière. En tout état de cause, elle rappelle que le périmètre et les conditions de mise en œuvre de ces traitements doivent être précisément définis.
Sur la nature des données traitées :
L'article 1er du projet d'arrêté prévoit que les personnes concernées par les traitements projetés sont les personnes placées sous main de justice  dont l'évasion ou le suicide pourraient avoir un impact important sur l'ordre public eu égard aux circonstances particulières à l'origine de leur incarcération et l'impact de celles-ci sur l'opinion publique .
A cet égard, la commission relève que cette formulation est particulièrement large et recouvre notamment un des critères d'inscription au répertoire des  détenus particulièrement signalés  (DPS).
Dans la mesure où les dispositifs envisagés permettraient une ingérence permanente dans la vie privée de ces détenus, il convient que seules les personnes pour lesquelles le recours à ces caméras est impératif soient concernées. A cet égard, la commission relève que les dispositifs envisagés ont principalement pour objet de permettre la présentation de la personne détenue à son procès.
Elle prend dès lors acte que, à sa demande, le champ des personnes concernées sera restreint aux  personnes placées en détention provisoire et faisant l'objet d'un mandat de dépôt criminel  et que l'article 1er du projet d'arrêté sera modifié en ce sens. Elle demande également que l'arrêté prévoie explicitement que le dispositif ne sera mis en œuvre qu'à l'égard des personnes faisant l'objet d'une mesure d'isolement.
En outre, la commission appelle l'attention du ministère sur la nécessité de définir précisément les motifs conduisant à considérer que l'évasion ou le suicide de ces personnes est susceptible d'avoir un impact sur  l'opinion publique , afin de ne pas permettre une telle surveillance pour l'ensemble des personnes mises en examen pour crime faisant l'objet d'une détention provisoire.
L'article 2 du projet d'arrêté se rapporte aux données à caractère personnel enregistrées dans les traitements mis en œuvre, lesquelles se composent uniquement des séquences vidéo provenant des caméras installées au sein des cellules de détention visées par le projet d'arrêté. Il s'agit de caméras 360 degrés, avec infrarouges et enregistrement simultané, filmant vingt-quatre heures sur vingt-quatre, sept jours sur sept. Il en résulte que l'ensemble de la cellule sera filmée, en permanence.
S'agissant plus spécifiquement des lieux d'intimité, la commission prend acte des précisions apportées par le ministère selon lequel, si ces lieux seront effectivement filmés, un panneau d'occultation, placé devant les sanitaires, préservera l'intimité corporelle de la personne détenue.
Ce même article prévoit expressément qu'aucun dispositif biométrique n'est couplé avec les caméras vidéo mis en œuvre.
Enfin, la commission prend acte qu'aucun dispositif automatique de détection d'événements ou de mouvements anormaux n'est installé, qu'aucune extraction de photographies issues de ces traitements ne peut être réalisée et qu'aucun enregistrement sonore n'est mis en œuvre.
Sur la durée de conservation des données :
L'article 3 du projet d'arrêté prévoit que les données à caractère personnel enregistrées sont conservées sur support numérique pendant un délai d'un mois. Au terme de ce délai, si aucun évènement n'est intervenu justifiant une transmission des enregistrements à l'autorité judiciaire ou l'ouverture d'une enquête administrative, les données doivent être effacées.
Il était initialement prévu que les données soient ensuite conservées dans une base d'archive intermédiaire (base inactive) pendant une durée supplémentaire de six mois, uniquement accessibles à l'agent administrateur de la base ainsi qu'au chef d'établissement pénitentiaire.
Or, si la durée de conservation d'un mois n'appelle pas d'observation particulière, la commission estime que les finalités poursuivies par les traitements, à savoir la prévention du suicide ou de l'évasion des personnes concernées, ne justifient pas de conserver les données en base d'archive intermédiaire pendant six mois supplémentaires.
Elle prend dès lors acte de l'engagement du ministère de la justice de modifier, à sa demande, le projet d'arrêté sur ce point afin de ne conserver les données que pendant un délai d'un mois.
Sur les destinataires des données :
L'article 4 du projet d'arrêté prévoit que seuls ont accès aux données à caractère personnel, à raison de leurs fonctions ou pour les besoins du service :
- les agents de l'administration pénitentiaire individuellement désignés et dûment habilités par le chef d'établissement où sont mis en œuvre les traitements de vidéosurveillance ;
- le correspondant local informatique individuellement désigné et dûment habilité par le chef d'établissement.
La commission rappelle qu'il incombe au responsable de traitement de prendre toutes précautions utiles afin d'empêcher que des tiers non autorisés n'aient accès aux données collectées.
Elle considère que les finalités des traitements mis en œuvre justifient que l'ensemble de ces destinataires puissent avoir accès aux données collectées dans le cadre de leurs missions et habilitations respectives. Elle prend acte par ailleurs qu'aucun personnel ne sera rendu destinataire des données à caractère personnel issues de ces traitements.
Sur les droits des personnes :
L'article 6 du projet d'arrêté prévoit que les personnes susceptibles d'être filmées sont informées de l'existence d'un système vidéo, des modalités d'accès aux images et de leur droit de rectification par une affiche apposée à l'entrée de la cellule équipée des dispositifs vidéo.
Si le ministère entend ainsi informer les détenus concernés, la commission estime, au regard du caractère particulièrement intrusif des traitements projetés, que des garanties doivent permettre de s'assurer de l'effectivité de cette information. Il importe notamment que les caméras soient visibles et non dissimulées et que, dans l'hypothèse où la mise sous surveillance de la cellule serait notifiée aux personnes détenues, celle-ci comprenne également une information conforme aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée.
Les droit d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent directement auprès du chef d'établissement ou des directeurs responsables des locaux de l'administration pénitentiaire où sont mis en œuvre les traitements et le droit d'opposition prévu à l'article 38 de la loi précitée ne s'applique pas aux traitements autorisés par le projet d'arrêté, ce qui n'appelle pas d'observation particulière de la part de la commission.
Sur la sécurité des données et la traçabilité des actions :
La commission relève qu'outre les caméras, chaque dispositif vidéo équipant une cellule de détention est constitué d'un ordinateur et d'une base de sauvegarde hébergés dans un local sécurisé. Cet ordinateur n'étant relié à aucun réseau, le dispositif présente un risque limité d'atteintes aux données.
L'ordinateur et la base de sauvegarde sont sécurisés par un mot de passe. La commission rappelle que l'authentification des utilisateurs doit s'effectuer à partir d'un mot de passe régulièrement renouvelé, strictement personnel, de complexité minimale suffisante. Elle rappelle également que les mots de passe ne doivent à aucun moment être conservés en clair mais doivent faire l'objet de mesures conformes à l'état de l'art afin de garantir leur confidentialité.
Le ministère a prévu une journalisation des accès à l'application et des extractions des séquences vidéo.
La commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présidente,
I. Falque-Pierrotin