La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de l'environnement, de l'énergie et de la mer  et la ministre du logement et de l'habitat durable d'une demande d'avis  concernant un projet d'arrêté relatif à la mise en œuvre de systèmes de  vidéoprotection et à la création de traitements automatisés de données à  caractère personnel destinés à la sécurisation et au contrôle des accès  à certains locaux des ministères de l'environnement, de l'énergie et de  la mer, du logement et de l'habitat durable ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ;
Vu le  code de la sécurité intérieure, notamment ses articles L. 251-1 et suivants ;
Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment les I et IV de l'article 26 ;
Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son  rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses  observations,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été  saisie pour avis par la ministre de l'environnement, de l'énergie et de  la mer et la ministre du logement et de l'habitat durable d'un projet  d'arrêté-cadre portant autorisation de mise en œuvre de systèmes de  vidéoprotection et création de traitements automatisés de données à  caractère personnel destinés à la sécurisation et au contrôle des accès à  certains locaux des ministères de l'environnement, de l'énergie et de  la mer, du logement et de l'habitat durable.
Les systèmes de vidéosurveillance et les traitements projetés  destinés à la sécurisation et au contrôle des accès aux bâtiments de ces  ministères ont pour finalité de prévenir, constater et poursuivre les  infractions pénales et peuvent, dans certains cas, concerner des lieux  intéressant la sûreté de l'Etat et la sécurité publique. Il y a dès lors  lieu de faire application des dispositions de l'article 26-I de la loi  du 6 janvier 1978 modifiée qui soumettent la création de tels  traitements à un arrêté ministériel pris après avis motivé et publié de  la commission.
L'arrêté projeté a en outre vocation â constituer un acte  réglementaire unique au sens de l'article 26-IV de cette même loi. Des  engagements de conformité devront être adressés à la commission par  chaque responsable de traitement (directions de l'administration  centrale, directions générales, directions régionales, etc.),  préalablement à la mise en œuvre de ces systèmes. Un dossier technique  décrivant le dispositif mis en place est conservé par chaque responsable  de traitement. Il est prévu que ce dossier, qui ne sera pas adressé  préalablement à la commission au moment de la réalisation de  l'engagement de conformité, soit néanmoins tenu à sa disposition. La  commission relève que les ministères concernés entendent ainsi  simplifier la déclaration de ces traitements, tout en lui permettant  d'exercer un contrôle sur les conditions effectives de mise en œuvre des  traitements projetés.
Sur les finalités des traitements :
A titre liminaire, le projet d'arrêté utilise le terme de   vidéoprotection  pour désigner les systèmes filmant l'intérieur des  locaux des services et établissements non ouverts au public qui  présentent des risques particuliers en matière de sécurité des  ministères concernés.
Conformément aux  dispositions des articles L. 251-1 et suivants du code de la sécurité intérieure  (CSI), ce terme concerne uniquement les systèmes de caméras installés  sur la voie publique et dans les lieux ouverts au public. La commission  demande dès lors que l'intitulé du projet d'arrêté soit modifié afin de  faire référence, comme dans le corps de l'arrêté, à la notion de   vidéosurveillance  et non à celle de  vidéoprotection . Elle rappelle  en outre que l'installation de caméras dans des espaces ouverts au  public ne saurait être couverte par l'arrêté projeté et doit donc faire  l'objet d'une demande d'autorisation auprès de l'autorité préfectorale  territorialement compétente, conformément aux dispositions précitées du  CSI.
De manière générale, les traitements créés par ce projet d'arrêté  ont pour objectif la sécurisation des locaux des services et  établissements publics des ministères concernés qui présentent des  risques particuliers en matière de sécurité. Plus précisément, l'article  1er du projet d'arrêté prévoit les deux finalités poursuivies : d'une  part, la protection des bâtiments par le recours à des dispositifs de  vidéosurveillance et, d'autre part, le contrôle d'accès des personnes  entrant dans ces mêmes lieux.
Les dispositifs projetés ne visent donc pas à surveiller les membres  du personnel. Toutefois, les images collectées pourront être utilisées,  le cas échéant, dans le cadre d'une procédure disciplinaire à  l'encontre d'un agent ayant mis en jeu la sécurité du site concerné.
Les bâtiments concernés sont les immeubles de ces ministères qui présentent des risques particuliers en matière de sécurité.
Interrogés sur la nature exacte des locaux au sein desquels les  traitements projetés pouffant être mis en œuvre, les ministères ont  précisé qu'il s'agit des  zones et locaux abritant le système  d'information ISIS (messagerie et portail de niveau confidentiel  défense) ou abritant des biens équivalents . Il est également prévu que  ces traitements puissent être mis en œuvre au sein de centres serveurs,  d'un point d'importance vitale ou encore d'une zone de haute sécurité.
Si la commission prend acte de ces précisions, elle estime que le  projet d'arrêté n'est pas suffisamment explicite quant au périmètre au  sein duquel les traitements projetés pourraient être mis en œuvre. A  défaut pour les ministères concernés de pouvoir dresser une liste  exhaustive des  locaux des services et établissements publics   concernés, le ministère a précisé qu'une analyse de risques permettra  d'identifier les biens, les zones et les lieux à protéger. La commission  demande dès lors que le projet d'arrêté soit complété afin de  mentionner que seuls les lieux ayant fait l'objet d'une telle analyse  seront concernés par les traitements projetés.
Il est prévu que les dispositifs de vidéosurveillance placés dans  les couloirs des zones protégées enregistrent en continu, jour et nuit.  Les caméras installées dans les locaux abritant les dispositifs  présentant des risques particuliers en matière de sécurité, tels que les  chiffreurs confidentiel défense ou secret défense ou encore les  systèmes d'information de niveau confidentiel défense, ne sont  déclenchées que lorsqu'un individu y accède. S'agissant des caméras  installées au sein des locaux des services et établissements publics  visés à l'article 1er du projet d'arrêté mais ne filmant pas,  spécifiquement les zones ou les biens présentant des risques  particuliers en matière de sécurité, il a été précisé que ces caméras  n'enregistrent qu'après la fermeture de ces lieux.
Aux termes de l'article 1er du projet d'arrêté, ces dispositifs de  vidéosurveillance ne peuvent pas être installés dans les  lieux  d'intimité, ceux destinés aux activités syndicales ainsi que leurs accès  et les endroits dans lesquels peuvent se tenir des échanges couverts  par le secret professionnel . Sont donc notamment exclus les  dispositifs de vidéosurveillance qui filmeraient les WC, les lieux de  toilette, les vestiaires, les salles de repos et les locaux syndicaux.
De manière générale, la commission rappelle qu'un dispositif de  vidéosurveillance installé sur un lieu de travail ne peut, par principe,  avoir pour objet de placer un salarié ou un groupe de salariés sous  surveillance constante.
Les dispositifs de contrôle d'accès mis en œuvre reposent sur  l'utilisation d'un badge permettant d'accéder aux locaux des ministères  concernés. Des capteurs, sondes et dispositifs anti-intrusion sont  également installés. La commission relève qu'aucun autre type de  dispositif de contrôle d'accès n'est prévu dans le projet d'arrêté  (contrôle d'accès humain, par biométrie, etc.). Si, du fait de la  spécificité de certains locaux, des dispositifs d'accès biométriques  venaient à être mis en œuvre localement, les traitements mis en œuvre  devront faire l'objet d'une formalité préalable distincte auprès de la  commission.
Sous réserve de ces observations, la commission considère que les  finalités poursuivies sont déterminées, explicites et légitimes,  conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur les personnes concernées et la nature des données traitées :
L'article 2 du projet d'arrêté énumère les catégories de données à  caractère personnel et informations enregistrées dans les traitements  mis en œuvre.
Aux fins de contrôle d'accès et quelle que soit leur qualité  (agents, prestataires, visiteurs), toutes les personnes entrant dans les  bâtiments concernés des ministères font l'objet d'une collecte de  données, dans la mesure où l'accès aux bâtiments présentant des risques  particuliers en matière de sécurité doit faire l'objet d'une délivrance  préalable de droits d'accès particuliers.
Sont notamment collectées les données relatives à l'état-civil et à  l'identité, les données relatives aux entrées et sorties, aux zones  accessibles, le nom de l'agent chargé de la délivrance des droits  d'accès, les données relatives aux incidents, les photographies et les  images captées par le dispositif de vidéosurveillance.
En ce qui concerne la collecte de la photographie des personnes  concernées, la commission relève qu'aucun contrôle d'accès par  reconnaissance faciale n'est prévu. Elle prend acte que, à sa demande,  le projet d'arrêté sera précisé en ce sens.
D'autres catégories de données relatives aux accès et énumérées au  même article du projet d'arrêté sont collectées et enregistrées,  s'agissant des agents des ministères et des établissements publics  concernés (sexe, nationalité, numéro d'identification, adresse  professionnelle, matricule, grade ou qualité, fonction et service  d'affectation), des prestataires habilités (sexe, nationalité, type de  prestation, nom et adresse de la société d'emploi, direction donneuse  d'ordre), ainsi que des visiteurs (motif de la visite, nom de la  personne visitée et service d'affectation). Elles n'appellent pas  d'observation particulière de la part de la commission.
Aucune donnée relative aux véhicules et au stationnement n'est collectée et enregistrée dans les traitements projetés.
Compte tenu de ces éléments, la commission considère que les données  traitées sont adéquates, pertinentes et non excessives au regard des  finalités pour lesquelles elles sont collectées, conformément à  l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.
S'agissant spécifiquement des dispositifs vidéo, il était initialement prévu que le son soit systématiquement enregistré.
La commission rappelle que les dispositifs de vidéo couplés à des  enregistrements sonores sont par nature plus intrusifs que les  dispositifs ne permettant que la seule capture d'images. La collecte du  son pourrait en effet conduire le responsable de traitement à disposer  d'informations dont il n'a pas à connaître et qui seraient notamment  susceptibles de se rapporter à la vie privée des agents concernés.
Cependant, dès lors que des situations spécifiques justifient le  recours à de tels dispositifs et que des garanties particulières sont  prévues, l'usage de caméras permettant la captation du son peut être  admis.
A cet égard, la commission relève que les ministères n'ont apporté  aucune précision quant aux raisons qui justifieraient une telle collecte  et aux garanties qui seraient mises en œuvre s'agissant des  enregistrements sonores. Dès lors, elle estime que la collecte du son  dans le cadre des dispositifs vidéo qui seraient mis en œuvre durant les  heures d'ouverture des lieux couverts par le projet d'arrêté est  excessive et considère que, dans cette hypothèse, le son ne devrait pas  être enregistré afin d'éviter toute atteinte disproportionnée à la vie  privée des agents, prestataires et visiteurs amenés à fréquenter ces  lieux. Elle prend acte que, à sa demande, le projet d'arrêté sera  modifié afin de mentionner que la captation du son et l'enregistrement  ne sont pas autorisés durant les heures d'ouverture des lieux concernés  par les traitements projetés.
En revanche, elle estime que la collecte du son dans le cadre des  dispositifs déclenchés en dehors de ces heures apparaît proportionnée au  regard des finalités des traitements projetés, dans la mesure où les  dispositifs mis en œuvre permettraient, à titre principal, la captation  des conversations des seules personnes susceptibles de s'introduire  frauduleusement dans les locaux concernés.
En tout état de cause, la commission observe que le projet d'arrêté  ne prévoit pas la collecte du son. Or, elle rappelle que, en application  de l'article 29 de la loi du 6 janvier 1978 modifiée, les actes  autorisant la création d'un traitement en application de l'article 26 de  cette même loi doivent obligatoirement préciser les catégories de  données à caractère personnel qui y sont enregistrées. Dès lors, elle  demande que l'article 2 du projet d'arrêté soit modifié sur ce point et  fixe expressément les conditions d'enregistrement du son dans les  limites susmentionnées.
Sur la durée de conservation des données :
L'article 5 du projet d'arrêté prévoit que les images enregistrées  par les caméras de vidéosurveillance sont conservées pendant un délai ne  pouvant excéder trente jours. Au terme de ce délai, il est prévu que  les enregistrements qui n'ont fait l'objet d'aucune transmission à  l'autorité judiciaire ou de poursuites disciplinaires soient effacés. La  commission rappelle que cet effacement doit intervenir de manière  sécurisée.
Elle estime que cette durée de conservation, qui devra également, le  cas échéant, être appliquée aux enregistrements sonores, est conforme à  l'article 6 (5°) de la loi du 6 janvier 1978 modifiée.
Cet article prévoit en outre que les données enregistrées aux fins  de contrôle d'accès dans les traitements, notamment celles relatives aux  déplacements, sont conservées trois ans au plus à compter de la fin de  la validité de l'autorisation d'accès pour les agents et prestataires et  trois mois au plus pour les visiteurs, la durée précise étant  déterminée par chaque responsable de lieu visé par l'arrêté.
Interrogés sur les raisons ayant conduit à retenir une telle durée,  les ministères ont précisé qu'il s'agit de la durée nécessaire à  l'identification de l'éventuelle mise en œuvre de procédés  d'exfiltration de données. Si la commission n'entend pas remettre en  cause ces besoins opérationnels, elle rappelle qu'une telle hypothèse ne  saurait déterminer la durée de conservation des données enregistrées  dans les traitements projetés, laquelle ne peut être établie qu'au  regard des finalités poursuivies par ces derniers.
A cet égard, ces traitements doivent permettre d'assurer la  protection des locaux visés par le projet d'arrêté en  contrôlant leur  accès au moyen de dispositifs d'authentification des personnes, de  détecteurs d'intrusion et de l'emploi de caméras de vidéosurveillance ,  ce qui ne justifie pas de retenir une durée de conservation de trois  ans s'agissant en particulier des données relatives aux déplacements des  agents et prestataires.
La commission prend des lors acte que, a sa demande, les ministères  entendent réduire la durée de conservation des données enregistrées aux  fins de contrôle d'accès des agents et prestataires à un an, à compter  de la fin de la validité de l'autorisation d'accès. Elle s'interroge  néanmoins sur le point de départ de cette durée s'agissant en  particulier des données de déplacement des agents et prestataires. A cet  égard, elle estime que le point de départ de cette durée devrait  correspondre à la date de chaque passage sur le site concerné et non pas  à la date de fin de validité de l'autorisation générale d'accès  délivrée aux agents et prestataires.
Sous cette réserve, la commission estime qu'une telle durée est, au  regard de la nature particulière des lieux concernés, conforme à  l'article 6 (5°) de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
L'article 3 du projet d'arrêté prévoit que seuls ont accès aux  données à caractère personnel, à raison de leurs attributions  respectives :
- les agents, spécialement désignés et individuellement habilités  par le responsable des locaux ou le chef d'établissement, chargés de la  sécurité et de la surveillance du lieu concerné ;
- le responsable des locaux ou le chef d'établissement au sein duquel les traitements sont mis en œuvre.
La commission rappelle que ces accès doivent nécessairement être  limités par le respect du principe du besoin d'en connaître et estime  que le projet d'arrêté serait utilement précisé sur ce point.
Ce même article prévoit que peuvent être destinataires, dans la  limite de leurs attributions respectives et de leur besoin d'en  connaître, de tout ou partie des données enregistrées dans les  traitements :
- le chef de service ou son représentant ;
- les personnes habilitées du service en charge de la discipline ;
- les agents des corps et services d'inspection et de contrôle relevant des ministères.
S'agissant des accès des personnes habilitées du service en charge  de la discipline ainsi que des agents des corps et services d'inspection  et de contrôle, la commission rappelle que ceux-ci ne doivent  intervenir qu'en cas d'atteinte avérée à la sécurité d'un site  présentant des risques particuliers en matière de sécurité et relevant  de l'un des deux ministères concernés.
Elle considère que les finalités des traitements mis en œuvre  justifient que l'ensemble de ces destinataires puissent avoir accès aux  données collectées dans le cadre de leurs missions et habilitations  respectives.
Sur les droits des personnes :
L'article 9 du projet d'arrêté prévoit que les personnes  susceptibles d'être filmées sont informées de l'existence d'un système  vidéo et des modalités d'accès aux images par affiches apposées à  l'entrée des locaux concernés.
Il est également prévu que les caméras soient visibles et non  dissimulées et que la mise en œuvre des dispositifs de vidéo  n'intervienne qu'après avis des comités compétents en matière d'hygiène,  de sécurité et des conditions de travail.
Néanmoins, la commission rappelle que, dans la mesure où les  traitements projetés reposeraient en partie sur la captation du son, il  revient également aux ministères concernés de délivrer une information  spécifique sur ce point.
Par ailleurs, dans la mesure où l'absence d'information des  personnes sur le dispositif relatif au contrôle d'accès n'apparaît pas  nécessaire au respect des finalités poursuivies par le traitement, les  ministères concernés entendent effectivement informer les personnes  concernées dans le respect des conditions prévues à l'article 32-I de la  loi du S janvier 1978 modifiée. A cet égard, elle prend acte que les  personnes sont informées de ces dispositifs au moyen d'un affichage  spécifique à l'entrée des lieux, de chartes d'information et au travers  de la fiche d'emploi des postes de recrutement.
Le droit d'opposition prévu à l'article 38 de cette même loi ne  s'applique pas aux traitements autorisés par le projet d'arrêté, ce qui  n'appelle pas d'observation particulière de la commission.
Les droits d'accès et de rectification prévus aux articles 39 et 40  de la loi  Informatique et Libertés  et au dernier alinéa de l'article  41 de la même loi s'exercent directement auprès du service gestionnaire  du traitement, ce qui apparaît satisfaisant. A cet égard, la commission  relève qu'il est ainsi fait application des dispositions prévues au  dernier alinéa de l'article 41 de cette même loi, qui permettent,  lorsque la communication d'informations aux personnes concernées ne met  pas en cause la finalité du traitement, comme cela est le cas en  l'espèce, de prévoir un droit d'accès direct pour un fichier intéressant  la sécurité publique.
Sur la sécurité des données et la traçabilité des actions :
Toutes les actions réalisées dans les traitements sont conservées  pendant une durée d'un an. Ces dernières font l'objet d'un  enregistrement comprenant l'identifiant du consultant, la date et  l'heure de la consultation et de l'extraction.
La commission prend acte que, en raison des contraintes locales et  de la diversité des caractéristiques techniques des dispositifs vidéo et  de contrôle d'accès disponibles, les systèmes installés ne seront pas  strictement identiques dans tous les bâtiments. Elle rappelle néanmoins  que tous les dispositifs mis en œuvre devront bénéficier de mesures de  sécurité satisfaisantes afin de préserver la sécurité des données et,  notamment, d'empêcher qu'elles soient déformées, endommagées, ou que des  tiers non autorisés y aient accès. A cet égard, la commission relève  qu'il est prévu que les éléments constitutifs du dossier technique  conservé par le responsable de traitement à l'appui de son engagement de  conformité soient détaillés dans une annexe attachée au projet  d'arrêté.
Les images collectées sont visionnées en temps réel ou de manière  différée, circonscrites à un réseau informatique local (enregistreurs et  serveurs locaux dédiés) en l'absence de transmission WIFI. En cas  d'intrusion, il sera possible pour le sous-traitant certifié d'effectuer  une levée de doute à distance. Cette levée de doute s'effectuera via la  mise en œuvre d'un VPN.
La commission prend acte que les données collectées dans le cadre  des traitements mis en œuvre ne seront pas transmises à un autre service  de l'Etat.
S'agissant des données collectées dans le cadre des dispositifs de  contrôle d'accès, la commission recommande que l'accès aux données par  les destinataires habilités s'effectue à partir d'un accès local.
Sous réserve de ces observations, la commission estime que tes  mesures de sécurité mises en œuvre sont satisfaisantes au regard des  obligations de l'article 34 de la loi du 6 janvier 1978 modifiée. Elle  rappelle toutefois que cette obligation nécessite une réévaluation  régulière des risques et la mise à jour des mesures de sécurité en tant  que de besoin.
Pour la présidente :
La vice-présidente déléguée,
M.-F. Mazars