La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’agriculture et de l’alimentation d’une demande d’avis portant sur un projet de décret relatif à l’expérimentation de dispositifs de contrôle par vidéo en abattoir ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (CE) n° 1099/2009 du Conseil du 24 septembre 2009 sur la protection des animaux au moment de leur mise à mort ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-I-4°-a) ;
Vu la loi n° 2018-938 du 30 octobre 2018 pour l’équilibre des relations commerciales dans le secteur agricole et alimentaire et une alimentation saine, durable et accessible à tous, (1) notamment son article 71 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
L’article 71 de la loi n° 2018-938 du 30 octobre 2018 pour l’équilibre des relations commerciales dans le secteur agricole et alimentaire et une alimentation saine, durable et accessible à tous prévoit un dispositif de contrôle par vidéo à titre expérimental, pour une durée de deux ans, des postes de saignée et de mise à mort, visant à évaluer l’efficacité des protocoles et l’application de la réglementation du bien-être animal.
Cet article précise que le décret fixant les modalités de mise en œuvre du dispositif devra être pris après avis de la Commission nationale de l’informatique et des libertés. La Commission rappelle que, conformément aux dispositions de l’article 11-I-4°-a) de la loi du 6 janvier 1978 modifiée, la présente délibération devra être publiée en même temps que le décret adopté.
Le système de vidéosurveillance filmant des espaces non ouverts au public dans les abattoirs constitue un traitement automatisé de données à caractère personnel, au sens du règlement général sur la protection des données (RGPD) et de la loi Informatique et Libertés modifiée.
Sur la finalité
L’article 1

Ce dispositif a pour finalité de contrôler les méthodes d’abattage des animaux de boucherie (bovins, porcins, ovins, caprins, équidés) par les employés, en vue de prévenir les comportements de maltraitance animale.
Si, en matière de vidéosurveillance, la Commission n’admet principalement l’installation de caméras sur le lieu de travail qu’à des fins de sécurité des biens et des personnes, il résulte de la loi du 30 octobre 2018 susvisée que la prévention des mauvais traitements exercés sur les animaux au moment de leur mise à mort constitue une finalité légitime.
La Commission prend acte de ce que les caméras du dispositif ne filmeront ni la voie publique, ni les espaces ouverts au public.
En conséquence, la Commission considère que la finalité poursuivie par le traitement est déterminée, explicite et légitime conformément aux dispositions de l’article 5-1-b) du RGPD.
Sur les données traitées
L’article 1

images issues des dispositifs de vidéosurveillance ;
dates et heures des prises d’image.
La Commission rappelle que le principe selon lequel la mise en place d’un dispositif de vidéosurveillance ne doit avoir ni pour objet ni pour effet de filmer les employés en continu sur leur poste de travail, les plaçant ainsi sous une surveillance permanente, est susceptible de ne pas s’appliquer dans des cas exceptionnels, dûment justifiés.
A cet égard, elle rappelle qu’une exception peut être apportée à ce principe sur le fondement de l’article 71 de la loi du 30 octobre 2018 et du règlement du 24 septembre 2009 susvisés qui, pour des motifs de respect du bien-être animal, prévoit la mise en place d’un contrôle par vidéo des postes de saignée et de mise à mort, assortie de garanties appropriées.
Aussi, dans la mesure où le ministère a indiqué que ne seront enregistrées que les séquences vidéo faisant apparaître les salariés effectuant ces types de manipulations sur les animaux et où la finalité du traitement ne peut être assurée que par le contrôle continu de ces salariés, aussi limité soit-il, la Commission estime que l’atteinte portée à leurs droits est proportionnée. Elle rappelle néanmoins qu’en application du principe de minimisation des données, il appartiendra à chaque responsable d’abattoir de veiller à ce que seules les données pertinentes soient collectées, en s’assurant notamment que l’orientation des caméras vise au strict nécessaire.
Par ailleurs, la Commission prend note des observations du ministère sur l’absence de tout dispositif de captation du son ou biométrique, mais estime néanmoins nécessaire de faire figurer ces garanties dans le projet de décret.
Sur les destinataires
L’article 1

A cet égard, la Commission rappelle que ces personnes devront être particulièrement formées et sensibilisées aux règles de mise en œuvre d’un système de vidéosurveillance.
Par ailleurs, afin d’assurer l’efficacité des dispositifs de vidéosurveillance, un contrôle externe est nécessaire. Aussi, l’article 1

les personnes intervenant pour le compte d’organismes d’audit ou de conseil, après autorisation de l’exploitant de l’abattoir, sous réserve de la présence au moment de la visualisation d’un employé habilité par le responsable de traitement ;
les agents de l’Etat en charge du contrôle officiel de l’abattoir.
La Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données.
Sur l’information et les droits des personnes
L’article 3-I-c) du projet de décret prévoit que les modalités d’information individuelle et collective seront définies par le responsable de l’abattoir dans le cadre de la transmission du dossier de candidature au préfet du département.
A cet égard, la Commission rappelle que les employés devront être informés individuellement de l’ensemble des mentions d’information prévues à l’article 13 du RGPD.
Par ailleurs, des panneaux d’information, en nombre suffisant par rapport à la zone filmée, à l’entrée de la zone ainsi que dans les lieux filmés, devront être placés de façon visible et contenir les mentions suivantes : la finalité du traitement, le nom du responsable de l’abattoir, la durée de conservation des images, la possibilité d’adresser une réclamation auprès de la CNIL, ainsi que la procédure à suivre pour demander l’accès aux enregistrements visuels les concernant.
Enfin, ces panneaux devront également comporter des pictogrammes afin de faciliter la compréhension immédiate de l’information par les employés.
Les droits de rectification et d’accès s’exerceront auprès du responsable de l’abattoir.
Sur la durée de conservation
L’article 1

En cas de contentieux, les images seront extraites du dispositif et conservées pendant la durée de la procédure judiciaire ou administrative.
Par ailleurs, s’agissant de l’extraction et de l’utilisation des images à des fins pédagogiques ou de formation des employés de l’abattoir, la Commission relève que le ministère s’est engagé à modifier l’alinéa 2 de l’article 1

méconnaissables les personnes qui apparaissent sur les vidéos
Elle considère qu’il serait néanmoins préférable que le projet de décret substitue à cette formulation le principe d’impossibilité de toute identification du salarié, qui apparaît plus précis.
Sur la réalisation d’une analyse d’impact relative à la protection des données
L’article 3 du projet de décret prévoit que les exploitants d’abattoir souhaitant participer à l’expérimentation devront transmettre au préfet de leur département un dossier comportant notamment une analyse d’impact sur la protection des données (AIPD).
La Commission rappelle que dans le cas où le niveau de risque résiduel demeurerait élevé à l’issue de la réalisation de cette analyse, l’AIPD devra lui être transmise conformément aux dispositions de l’article 36 du RGPD.
Sur les mesures de sécurité
Le projet de décret ne prévoit pas la mise en place de mesures de sécurité, laissant à l’exploitant d’abattoir la responsabilité de s’assurer que seul le personnel habilité peut accéder aux images de vidéosurveillance et que celles-ci sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.
Néanmoins, la Commission considère que le projet de décret devrait préciser un certain nombre de mesures incontournables devant être mises en place par tous les responsables de traitement, et notamment :
des mesures de sécurité physiques afin de garantir que seuls les personnels habilités peuvent accéder physiquement aux enregistrements vidéo ;
des modalités d’authentification des personnes lors de l’accès au système de vidéosurveillance devant être à l’état de l’art ;
la séparation physique et logique entre le système servant à l’expérimentation des autres dispositifs vidéo éventuellement déjà mis en œuvre à des fins de sécurité des biens et des personnes ;
la mise en place d’un système ne permettant pas un visionnage en temps réel des images captées par les caméras de surveillance.
Sur le bilan de l’expérimentation
La Commission souhaiterait être rendue destinataire du rapport qui sera établi à l’issue de cette expérimentation.
La Présidente
Marie-Laure DENIS