La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de loi d’orientation et de programmation du ministère de l’intérieur (LOPMI) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, et notamment son article 8-I-4° a) ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés (ci-après " la Commission ") a été saisie le 14 février 2022, en urgence, sur le fondement de l’article 8-I-4° a) de la loi du 6 janvier 1978 modifiée, des articles 13 et 31 d’un projet de loi d’orientation et de programmation du ministère de l’intérieur (ci-après " le projet de loi ").
Le projet d’article 13 vise à modifier la loi n° 2018-697 du 3 août 2018 relative à l’harmonisation de l’utilisation des caméras mobiles par les autorités de sécurité publique en vue, notamment, de pérenniser la possibilité pour les personnels de l’administration pénitentiaire de recourir au port de caméras mobiles.
Le projet d’article 31 vise à modifier les articles L. 232-1 et suivants du code de la sécurité intérieure (CSI) concernant les traitements automatisés de données recueillies à l’occasion de déplacements internationaux, pour permettre le traitement de données de voyage relatives aux "
membres d’équipage
personnels de bord
gens de mer
La Commission regrette d’avoir à se prononcer dans des conditions d’urgence sur de telles évolutions, compte tenu notamment des enjeux associés à la pérennisation du dispositif prévu par la loi du 3 août 2018 susvisée et à l'extension des catégories de personnes dont les données pourront faire l’objet de traitements sur le fondement des dispositions du CSI précitées, et en particulier de l'impact sur la vie privée des personnes concernées qui pourrait en résulter.
De manière plus générale, et indépendamment des deux articles dont elle est saisie, la Commission rappelle la nécessité de prévoir rapidement un cadre juridique cohérent, complet et suffisamment protecteur des droits des personnes en matière de vidéoprotection. En effet, de nombreuses dispositions du CSI, qui constituent le cadre juridique général en la matière, sont obsolètes depuis l’évolution de la réglementation en matière de protection des données à caractère personnel intervenue en 2018. Elles ne permettent donc pas aux responsables de traitement de connaître l’état réel de leurs obligations en la matière ni aux personnes concernées de savoir de quelle manière exercer leurs droits.
Sur la modification de l’article 2 de la loi n° 2018-697 du 3 août 2018 relative à l’harmonisation de l’utilisation des caméras mobiles par les autorités de sécurité publique (article 13 du projet de loi)
La loi n° 2018-697 du 3 août 2018 ouvre, en son article 2, la possibilité pour les personnels de l’administration pénitentiaire de recourir au port de caméras mobiles à titre expérimental. Les conditions de cette expérimentation, d’une durée de trois ans, ont été fixées par le décret n° 2019-1427 du 23 décembre 2019 relatif aux conditions de l'expérimentation de l'usage des caméras individuelles par les personnels de surveillance de l'administration pénitentiaire dans le cadre de leurs missions, pris après avis de la Commission.
Dans la continuité de cette expérimentation, le projet de loi dont la Commission est saisie entend :
pérenniser le dispositif déployé à titre expérimental ;
préciser que "
les caméras sont équipées de dispositifs techniques permettant de garantir l’intégrité des enregistrements jusqu’à leur effacement et la traçabilité des consultations lorsqu’il y est procédé dans le cadre de l’intervention
réduire la durée de conservation des enregistrements, fixée à six mois dans le cadre de l’expérimentation, à trois mois.
La Commission prend acte de ce qu’un décret en Conseil d’Etat portant création d’un traitement de données " caméras mobiles " pérenne prévoyant les autres caractéristiques du traitement sera adopté après avis de la Commission.
Sur la pérennisation du dispositif
A titre liminaire,
Ce rapport doit ainsi permettre d’apprécier si le traitement mis en œuvre à titre expérimental a permis de répondre aux finalités fixées par la loi, à savoir "
la prévention des incidents et des évasions, le constat des infractions et la poursuite de leurs auteurs par une collecte de preuves ainsi que la formation et la pédagogie des agents
En premier lieu
La Commission rappelle avoir pris acte, dans sa délibération n° 2019-140 du 5 décembre 2019 portant avis sur un projet de décret relatif à la mise en œuvre du traitement expérimental, de ce que les établissements pour mineurs étaient exclus de l’expérimentation. Elle souligne ainsi que le traitement de données relatives aux mineurs doit faire l’objet de justifications et de précautions particulières, être strictement nécessaire aux objectifs poursuivis et assorti de garanties, et regrette de ne disposer d’aucune indication en ce sens.
En deuxième lieu
Durant cette période, des caméras individuelles ont été remises 64 478 fois à des agents volontaires, 2564 déclenchements ont été comptabilisés, et seules 30 vidéos ont été exploitées pour les besoins de poursuites disciplinaires ou judiciaires et à des fins pédagogiques.
D’une part, et sans remettre en cause la compétence des personnalités choisies pour composer le comité d’évaluation, la Commission observe qu’il aurait pu être enrichi par la présence d’autres profils, ce qui aurait été de nature à permettre une évaluation plus complète du dispositif.
D’autre part, il apparaît que le bilan de l’expérimentation a été en partie établi sur la base de questionnaires remis aux agents, en vue d’apprécier le ressenti de ces derniers au regard tant d’aspects matériels (taux de pannes, par exemple) que de l’efficacité du dispositif pour prévenir des incidents. A cet égard, la Commission s’interroge sur les raisons ayant conduit à ne pas inclure, parmi les indicateurs retenus, l’évaluation de la perception du dispositif par les personnes détenues. Elle regrette ce choix dans la mesure où une telle approche aurait notamment permis de mieux mesurer l’effet dissuasif du dispositif.
La Commission relève que le recours au dispositif n’a pas été majoritairement perçu par les agents comme améliorant leurs conditions de travail, ni comme facilitant l’exercice de leurs missions. L’utilisation du dispositif ne semble, au regard du ressenti des utilisateurs, pas avoir un impact positif sur la résolution de l’incident ou de la situation qui justifie de commencer l’enregistrement. En revanche, le dispositif a démontré son utilité lorsque des poursuites sont déclenchées à la suite de l’incident (à des fins de preuve notamment), ainsi qu’en matière de formation des agents et de pédagogie.
Par ailleurs, il ressort des éléments du rapport que l’efficacité du dispositif serait amoindrie par le manque d’acculturation des agents concernés. Tout en prenant note de ce que des actions de formation et de sensibilisation ont accompagné le déploiement du dispositif, la Commission invite le ministère, dans l’hypothèse où le traitement serait pérennisé, à adapter le contenu de ces actions de manière à sensibiliser les opérateurs aux risques et bénéfices de l’utilisation de caméras mobiles.
Enfin, la Commission constate que parmi les trente enregistrements exploités au cours de l’expérimentation, vingt-quatre l’ont été à des fins pédagogiques. Elle relève ainsi que les captations d’images et de sons permettent le développement de supports pédagogiques novateurs et, ainsi, de répondre aux finalités fixées par la loi.
En dernier lieu
un signal visuel spécifique indique si la caméra enregistre "
le déclenchement de l'enregistrement fait l'objet d'une information des personnes enregistrées, sauf si les circonstances l'interdisent
les circonstances l'interdisent
rendue impossible pour des raisons purement matérielles et indépendantes des motifs de l'intervention
Dans ce contexte, la Commission relève que si le dispositif trouve son utilité pour certaines finalités (notamment à des fins pédagogiques et de formation, à des fins de constatation d’infractions et de poursuite de leurs auteurs), elle rappelle néanmoins que, dès lors que le traitement est susceptible de porter sur des données relatives aux mineurs, il conviendra de prévoir des garanties appropriées, s'agissant notamment de l’information, dans des termes simples et adaptés, de la personne concernée.
Sur la durée de conservation des enregistrements
Le projet de loi réduit la durée de conservation des enregistrements audiovisuels de six à trois mois. La Commission rappelle que, pour le dispositif analogue que constitue l’utilisation de caméras individuelles par les agents de la police nationale et les militaires de la gendarmerie nationale, la loi n° 2022-52 du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure a réduit la durée de conservation des enregistrements à un mois.
Si la Commission s’est initialement interrogée sur la durée de trois mois retenue par le ministère, elle prend acte des précisions apportées relatives aux impératifs de fonctionnement des établissements pénitentiaires, pour permettre notamment d’assurer la tenue et la régularité des procédures disciplinaires diligentées à l’encontre des personnes détenues. Dans ces conditions, elle estime que cette durée n’est pas excessive au regard des finalités poursuivies.
Sur la modification des dispositions législatives du CSI relatives aux traitements automatisés de données recueillies à l’occasion de déplacements internationaux (article 31 du projet de loi)
Les articles L. 232-1 à L. 232-7-1 du CSI actuellement en vigueur autorisent la mise en œuvre de différents traitements automatisés de données à caractère personnel de passagers, recueillies à l’occasion de déplacements internationaux :

améliorer le contrôle aux frontières et de lutter contre l'immigration clandestine
de prévenir et de réprimer des actes de terrorisme ainsi que des atteintes aux intérêts fondamentaux de la Nation
"pour les besoins de la prévention et de la constatation de certaines infractions, du rassemblement des preuves de ces infractions ainsi que de la recherche de leurs auteurs
A titre liminaire, la Commission rappelle que les articles L. 232-1 à L. 232-7 du CSI transposent la directive
n°2004/82/CE du Conseil du 29 avril 2004 concernant l’obligation pour les transporteurs de communiquer des données relatives aux passagers (ci-après " la directive API ") ainsi que la directive
La modification envisagée par l’article 31 du projet de loi entend élargir les traitements en cause aux données relatives aux " membres d’équipage ", " personnels de bord ", et " gens de mer ". Il en irait de même pour le traitement prévu à l’article L. 232-7-1 du CSI (secteur maritime).
Tout en reconnaissant que le périmètre des traitements autorisés par les articles L. 232-1 à L. 232-7 du CSI est plus large que ceux imposés par les directives précitées, la Commission relève que les modifications projetées entraîneraient un changement de nature des traitements déjà autorisés sur le fondement des dispositions légales en vigueur. Les traitements mis en œuvre en application du CSI ont en effet pour objet l’utilisation de données API ("
Advance Passenger Information
Passenger Name Record
Dans cette perspective, la Commission souligne que les modifications projetées des traitements précités, dont elle a déjà relevé l’ampleur et l’atteinte qu’ils pouvaient porter au droit au respect de la vie privée et à la protection des données personnelles (v. p.ex. la délibération n° 2014-308 du 17 juillet 2014 portant avis sur un projet de décret relatif à la création d’un traitement de données à caractère personnel dénommé " système API-PNR France "), sont susceptibles d’augmenter le volume des données traitées et du nombre de personnes concernées et par conséquent d’engendrer des risques supplémentaires pour la protection des droits et libertés.
Une telle extension du périmètre des traitements ne saurait, par conséquent, être admise que si elle apparaît strictement nécessaire aux objectifs visés par les articles L. 232-1 et suivants du CSI et qu’elle présente des garanties suffisantes au regard du respect des principes fondamentaux du droit à la protection des données à caractère personnel.
Sur la modification des articles L. 232-1 et L. 232-4 du CSI (dispositions sur lesquelles se fondent le traitement SETRADER)
Le projet de loi modifie les articles L. 232-1 et L. 232-4 du CSI relatifs à la transmission et au traitement de données relatives aux passagers dans les secteurs aérien, ferroviaire, et maritime. Ces traitements peuvent être mis en œuvre en vue d’améliorer le contrôle aux frontières et de lutter contre l’immigration clandestine, ainsi qu’à des fins de prévention et de répression des actes de terrorisme et des atteintes aux intérêts fondamentaux de la Nation.
S’agissant,
en premier lieu
opérationnel des forces de sécurité intérieure au regard de cas avérés de personnels d’équipage présentant un risque pour la sécurité publique suite à une radicalisation, et qui serait le même pour tous les modes de transport. Au vu des éléments produits, elle ne remet pas en cause cette appréciation.
En deuxième lieu
En troisième lieu,
En quatrième lieu
Sur la modification des articles L. 232-7 et L. 237-7-1 du CSI
Les articles L. 232-7 et L. 232-7-1 du CSI autorisent le ministre de l'intérieur, le ministre de la défense, le ministre chargé des transports et le ministre chargé des douanes à mettre en œuvre des traitements automatisés de données à caractère personnel relatives aux passagers de transporteurs aériens (L. 232-7) ou maritimes (L. 232-7-1) "
pour les besoins de la prévention et de la constatation de certaines infractions, du rassemblement des preuves de ces infractions ainsi que de la recherche de leurs auteurs
De manière générale, la Commission considère que le traitement ne peut apparaître nécessaire et proportionné que si un besoin opérationnel justifie une telle évolution et uniquement dans l’hypothèse où des contrôles de sécurité effectués dans le cadre de l’exercice de l’activité professionnelle des membres d’équipage et gens de mer, ne sont pas suffisants pour répondre aux finalités précitées.
En l’espèce, les traitements prévus par ces dispositions visent à permettre, à des fins de prévention et de constatation de certaines infractions, du rassemblement des preuves de ces infractions ainsi que de la recherche de leurs auteurs, le traitement de données relatives aux membres d’équipage ou gens de mer. Si ces personnels sont déjà susceptibles de faire l’objet de contrôles de sécurité dans le cadre de leur activité professionnelle, au regard par exemple des enquêtes administratives prévues par les articles L. 114-2 du CSI et L. 6342-3 du code des transports, le ministère souligne qu’il n'existe pas d’assurance comparable pour les personnels employés par des transporteurs étrangers, qui ne seraient pas directement soumis à ces dispositions. La Commission prend également acte des précisions apportées sur les dispositions au titre desquelles les membres d’équipage font d'ores et déjà l’objet d’une collecte de données à caractère personnel pour les mesures de sûreté et la délivrance d’habilitation et des titres de circulation sur certaines zones aéroportuaires.
Au regard de ces éléments, sans remettre en cause l’utilité opérationnelle du dispositif, elle invite le ministère à évaluer régulièrement les bénéfices supplémentaires pouvant être apportés par l’extension projetée, en vue de répondre aux finalités précitées.
Au-delà des modifications prévues par le projet de loi, la Commission rappelle enfin qu’elle devra le cas échéant être saisie du projet de décret en Conseil d’Etat pris en application de l’article L.232-7-1 du CSI.
Sur les modalités concrètes de mise en œuvre des traitements
La Commission observe que les modifications projetées conduiront, pour les catégories de personnes visées par le projet de loi, au traitement de leurs données, d’une part en leur qualité de membres d’équipage, personnels de bord ou gens de mer lors de déplacements professionnels, et, d’autre part, en tant que passagers à l’occasion de déplacements internationaux effectués en dehors de l’exercice de leurs fonctions. La Commission s’interroge ainsi sur les mesures à prendre pour qu’une demande de rectification ou d’effacement puisse être prise en compte s’agissant des données recueillies à ces deux titres différents. Elle invite le ministère à prendre les mesures nécessaires pour assurer le plein respect des droits des personnes.
Au regard des observations qui précèdent, la Commission estime que si le ministère entendait entériner les évolutions projetées, des dispositions règlementaires spécifiques devraient être créées pour prendre en compte la particularité des déplacements des catégories de personnes concernées et prévoir des garanties appropriées en vue d’assurer un équilibre entre les objectifs visés et la protection de la vie privée des personnes concernées, par exemple en différenciant les durées ou les modalités de conservation des données. Si de telles modalités particulières de traitement devront être définies par voie règlementaire, la Commission considère que le projet de loi devrait en prévoir le principe.
La Présidente
Marie-Laure DENIS