La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis  concernant un projet de décret en Conseil d'Etat relatif aux conditions  de l'expérimentation de l'usage de caméras individuelles par les agents  de police municipale dans le cadre de leurs interventions,
Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ;
Vu le  code civil, notamment son article 9 ;
Vu le  code pénal, notamment son article 226-1 ;
Vu le  code de la sécurité intérieure, notamment son article L. 241-1 ;
Vu la  loi n° 78-17 du 6 janvier 1978  modifiée relative à l'informatique, aux fichiers et aux libertés,  notamment le IV de son article 8 et les II et IV de son article 26 ;
Vu la  loi n° 2016-731 du 3 juin 2016  renforçant la lutte contre le crime organisé, le terrorisme et leur  financement, et améliorant l'efficacité et les garanties de la procédure  pénale, notamment son article 114 ;
Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son  rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses  observations,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été  saisie par le ministre de l'intérieur d'un projet de décret en Conseil  d'Etat relatif aux conditions de l'expérimentation de l'usage de caméras  individuelles par les agents de police municipale dans le cadre de  leurs interventions.
Cette expérimentation, d'une durée de deux ans, est prévue par l' article 114 de la loi du 3 juin 2016 susvisée  qui ouvre la possibilité aux agents de police municipale de procéder à  l'enregistrement audiovisuel de leurs interventions dans les conditions  prévues à l' article L. 241-1 du code de la sécurité intérieure  (CSI). Les conditions de cette expérimentation doivent être fixées par  le présent projet de décret en Conseil d'Etat, lequel précise notamment  les modalités de mise en œuvre des traitements de données à caractère  personnel provenant de ces caméras individuelles, ainsi que la procédure  d'autorisation préalable.
A cet égard, le projet de décret prévoit que le maire, ou l'ensemble  des maires des communes lorsque l'agent est employé par un  établissement public de coopération intercommunale et mis à disposition  de plusieurs communes, présente au préfet de département une demande  d'autorisation concernant l'utilisation de telles dispositifs par les  agents de police municipale. L'enregistrement audiovisuel des  interventions doit donc être autorisé par arrêté, préalablement à sa  mise en œuvre, lequel précise le nombre de dispositifs, leur lieu  d'utilisation et, le cas échéant, la commune de l'établissement public  de coopération intercommunale dans laquelle est installé le support  informatique sécurisé.
Par ailleurs, le ministère considère que les enregistrements visuels  et sonores issus de la mise en œuvre de ces traitements sont  susceptibles de contenir des données sensibles au sens de l'article 8 de  la loi du 6 janvier 1978 modifiée. Dès lors que les traitements  projetés ont notamment pour objet de prévenir, constater et poursuivre  des infractions pénales, ils doivent être autorisés par décret en  Conseil d'Etat pris après avis motivé et publié de la commission,  conformément aux dispositions de l'article 26-II de cette même loi.
Le décret projeté a en outre vocation à constituer un acte  réglementaire unique, au sens de l'article 26-IV de la loi  susmentionnée. Un engagement de conformité devra ainsi être adressé à la  commission par le maire ou, le cas échéant, l'ensemble des maires des  communes concernées, préalablement à la mise en œuvre desdits  traitements. La commission relève que le ministère de l'intérieur entend  ainsi simplifier les formalités préalables à la mise en œuvre de ces  traitements.
Le projet de décret prévoit que, à l'issue de l'expérimentation, le  maire ou, le cas échéant, l'ensemble des maires concernés adressent au  ministre de l'intérieur un bilan sur l'emploi des caméras individuelles  des agents de police municipale comprenant une évaluation d'impact de  l'emploi de ces caméras sur le déroulement des interventions et le  nombre de procédures judiciaires, administratives et disciplinaires pour  les besoins desquelles il a été procédé à la consultation et à  l'extraction de données provenant des caméras individuelles. Il  conviendrait que la commission soit également rendue destinataire de ces  éléments afin de pouvoir se prononcer en pleine connaissance de cause  si ce type de dispositif devait être pérennisé.
Sur les finalités des traitements et le périmètre des dispositifs :
A titre général, le déploiement de ces dispositifs entend répondre à  un besoin de sécurisation physique et juridique des agents de police  municipale dans le cadre de leurs interventions.
Ainsi, l'article 3 du projet de décret prévoit que les communes  peuvent mettre en œuvre des traitements de données à caractère personnel  provenant des caméras individuelles fournies aux agents de police  municipale, dans les conditions prévues à l'article L. 241-1 du CSI. Ces  traitements ont pour finalités :
- la prévention des incidents au cours des interventions des agents de police municipale ;
- le constat des infractions et la poursuite de leurs auteurs par la  collecte de preuves, dans le cadre d'une procédure judiciaire ;
- la formation et la pédagogie des agents de police municipale.
L'article 3 du projet de décret reprend les finalités des  traitements de données personnelles visés par l'article L. 241-1 du CSI  en cantonnant toutefois la finalité de constat des infractions et de  poursuite de leurs auteurs par la collecte de preuves dans le seul cadre  de la procédure judiciaire.
Or, la commission relève que le projet de décret semble également  prévoir l'utilisation des enregistrements issus des caméras  individuelles dans le cadre de procédures administratives ou  disciplinaires. Cette possibilité est évoquée tant dans les dispositions  de l'article L. 241-1 du CSI, que dans les dispositions réglementaires  projetées, notamment en ce qui concerne la durée de conservation des  enregistrements, les destinataires et les personnes habilitées à accéder  aux données et informations collectées.
Si la commission ne voit pas d'objection à l'utilisation  d'enregistrements issus de tels dispositifs dans le cadre d'une  procédure administrative ou disciplinaire engagée à l'encontre d'un  agent à l'origine d'un incident au cours de l'exécution d'une mission de  sécurité publique, elle considère que le projet de décret devrait faire  expressément mention de cette finalité, conformément aux dispositions  de l'article 29 de la loi du 6 janvier 1978 modifiée.
En revanche, les dispositions législatives précitées ainsi que les  dispositions réglementaires projetées prévoient expressément  l'utilisation des enregistrements à des fins pédagogiques et de  formation. Le projet de décret précise que les enregistrements utilisés à  cet effet sont anonymisés. A cet égard, la commission rappelle que  l'anonymisation implique d'empêcher toute ré-identification individuelle  des agents concernés par les enregistrements et qu'elle devra donc  porter sur les éléments visuels et sonores de ces enregistrements.
En ce qui concerne le périmètre de mise en œuvre des dispositifs de  caméras individuelles, le projet de décret prévoit expressément que  seules sont autorisées les caméras qui sont fournies aux agents de  police municipale au titre de l'équipement des personnels, ce qui exclut  le recours à tout autre dispositif permettant la captation d'images, et  notamment à des caméras personnelles.
En revanche, il reste silencieux sur les situations dans lesquelles  les agents sont autorisés à activer ces caméras. Si l'article L. 241-1  du CSI dispose que les caméras individuelles peuvent être utilisées   lorsque se produit ou est susceptible de se produire un incident, eu  égard aux circonstances de l'intervention ou au comportement des  personnes concernées , la commission considère que le ministère devrait  définir plus précisément les conditions d'utilisation de ces caméras  afin d'éviter toute collecte disproportionnée de données à caractère  personnel.
A cet égard, elle prend acte que le ministère entend élaborer une  doctrine d'emploi de ces caméras. Elle estime néanmoins que le projet de  décret d'application desdites dispositions doit comporter des  précisions à cet égard et doit en particulier prévoir des critères  objectifs commandant l'utilisation de ces dispositifs, à défaut pour le  ministère de pouvoir dresser une liste exhaustive des circonstances de  nature à justifier le déclenchement de ces caméras.
Par ailleurs, la commission s'interroge sur la possibilité, pour les  agents de police municipale, de procéder à des enregistrements dans le  domicile de particuliers. A cet égard, elfe observe que l'article L.  241-1 du CSI autorise la mise en œuvre des caméras mobiles  en tous  lieux  s'agissant des agents de la police nationale et des militaires  de la gendarmerie nationale. Dans l'hypothèse où cette faculté serait  également ouverte aux agents de police municipale, la commission  considère que le ministère devrait prévoir des règles spécifiques  lorsque celles-ci sont utilisées au sein de lieux d'habitation, comme  restreindre la possibilité de le faire à certaines circonstances et  garantir une information individuelle systématique de la personne  concernée, le cas échéant à l'issue de l'intervention. Elle demande que  les critères de nature à définir ces circonstances soient également  indiqués dans le présent décret et estime que l'ensemble de ces éléments  pourraient être précisés dans la doctrine d'emploi précitée.
Sur la nature des données traitées :
A titre liminaire, la commission relève que ces dispositifs offrent  la possibilité de capter des données sensibles ainsi que des  conversations privées. Ils appellent dès lors la mise en œuvre de  garanties strictes.
L'article 4 du projet de décret énumère les catégories de données à  caractère personnel et informations enregistrées dans les traitements  mis en œuvre.
Il s'agit des images et des sons captés par les caméras mobiles, du  jour et des plages horaires d'enregistrement, de l'identification de  l'agent porteur de la caméra lors de l'enregistrement des données, ainsi  que du lieu où sont collectées les données.
Si l'utilisation de dispositifs d'enregistrement sonore couplés avec  des dispositifs vidéo peut poser des difficultés au regard de  l'exigence de proportionnalité résultant de la loi du 6 janvier 1978  modifiée, la commission reconnaît la pertinence de recourir à de tels  dispositifs, en l'espèce, compte tenu des finalités poursuivies.
Les dispositifs projetés pourront, par la captation des images et  des enregistrements sonores, enregistrer de manière incidente des  données sensibles au sens de l'article 8 de la loi précitée, ce que le  projet de décret prévoit expressément. La commission prend acte que ce  dernier interdit de sélectionner dans le traitement une catégorie  particulière de personnes à partir de ces seules données.
La commission considère que les données collectées sont adéquates,  pertinentes et non excessives au regard des finalités pour lesquelles  elles sont collectées, conformément aux dispositions de l'article 6-3°  de la loi  informatique et libertés .
Sur la durée de conservation des données :
L'article 7 du projet de décret dispose que les données sont   conservées pendant une durée de six mois à compter du jour de leur  enregistrement. Au terme de ce délai, les enregistrements qui ne sont  pas utilisés dans le cadre d'une procédure judiciaire, administrative ou  disciplinaire sont effacés automatiquement.
A cet égard, la commission relève que le projet de décret précise le  point de départ du délai de conservation, que la durée de conservation  est une durée fixe et non une durée maximale et que les enregistrements  font l'objet d'une purge automatique, ce dont elle se félicite.
La durée de conservation de six mois, qui constitue une durée  supérieure aux durées retenues dans le cadre de la mise en œuvre des  dispositifs de vidéoprotection (article L. 252-5 du CSI) et de la  plupart des dispositifs de vidéosurveillance, doit permettre de tenir  compte des délais moyens de traitement des procédures judiciaire,  administrative ou disciplinaire.
Sous réserve que cette dernière finalité soit expressément  mentionnée dans le projet de décret, la commission considère que les  données collectées sont conservées pendant une durée qui n'excède pas la  durée nécessaire aux finalités pour lesquelles elles sont collectées et  traitées, conformément à l'article 6-5° de la loi précitée.
Sur les destinataires des données :
L'article 5 du projet de décret précise que les enregistrements sont  transférés sur un support informatique sécurisé dès le retour des  agents de police municipale au service. Il ajoute que les  enregistrements ne doivent être consultés qu'à l'issue de l'intervention  et après leur transfert sur le support informatique sécurisé.
A cet égard, la commission estime que cette interdiction de principe  doit être accompagnée de mesures techniques de nature à garantir cette  absence de consultation par les agents des enregistrements à l'issue de  l'intervention. En outre, il pourrait être envisagé des mesures  opérationnelles garantissant que les enregistrements, une fois  transférés sur un serveur dédié, ne soient visionnés que dans un cadre  légal précis (procédure judiciaire, disciplinaire ou administrative  ouverte).
L'article 6 du projet de décret énumère les personnels qui ont un  accès direct aux données et informations enregistrées au moyen de  caméras individuelles, ainsi que les catégories de destinataires de ces  données.
Ainsi, sont habilités à accéder aux données, dans la limite de leurs  attributions respectives, le responsable du service de la police  municipale, d'une part, et les agents de police municipale  individuellement désignés et habilités par le responsable du service de  la police municipale, d'autre part. Seules ces mêmes personnes sont  habilitées à procéder à des extractions de données, dans un cadre légal  précis (procédure judiciaire, disciplinaire ou administrative ouverte)  ou pour les besoins d'une action de formation ou de pédagogie des  agents.
Peuvent être destinataires de tout ou partie des données  enregistrées dans le traitement chacun dans la limite de leurs  attributions respectives et sous réserve du besoin d'en connaître dans  le cadre d'une procédure judiciaire, administrative ou disciplinaire,  ainsi que d'une action de formation : les officiers et agents de police  judiciaire de la police et de la gendarmerie nationales, les agents des  services d'inspection générale de l'Etat, le maire et de président de  l'établissement public de coopération intercommunale et les agents  chargés de la formation des personnels.
La commission relève que le présent projet de décret ne fait pas  mention de l'hypothèse dans laquelle l'exploitation des vidéos donnerait  lieu à la constatation d'une infraction autre que celle pour laquelle  il procède à des investigations. Néanmoins, elle rappelle à cet égard  que les données collectées ne doivent pas être traitées ultérieurement  de manière incompatible avec les finalités poursuivies par les  traitements projetés, conformément à l'article 6-2° de la loi du 6  janvier 1978 modifiée.
La liste des personnes habilitées et destinataires n'appelle pas d'observation de la part de la commission.
Sur les droits des personnes concernées :
S'agissant de l'information des personnes concernées, l'article L.  241-1 du CSI prévoit que les caméras sont portées de façon apparente par  les agents et qu'un signal visuel spécifique indique si la caméra  enregistre. Il prévoit également que le déclenchement de  l'enregistrement fait l'objet d'une information des personnes filmées,   sauf si les circonstances l'interdisent .
A cet égard, la commission demande que le ministère limite  expressément les hypothèses dans lesquelles l'enregistrement est réalisé  à l'insu de la personne concernée aux seuls cas strictement  nécessaires. Elle considère que le décret devrait comporter des critères  en ce sens, ainsi que des dispositions spécifiques concernant  l'information des particuliers dont le domicile est filmé, qui  pourraient être ensuite précisés dans la doctrine d'emploi élaborée par  le ministère de l'intérieur.
L'article susmentionné prévoit également une information générale du  public sur l'emploi des caméras individuelles. L'article 9 du projet de  décret précise que cette information est délivrée sur le site internet  de la commune ou, à défaut, par voie d'affichage en mairie. En outre,  cette information pourrait également être dispensée sur le site du  ministère de l'intérieur.
S'agissant du droit d'opposition des personnes filmées, le ministère  entend l'exclure, conformément aux dispositions du dernier alinéa de  l'article 38 de la loi du 6 janvier 1978 modifiée, ce qui n'appelle pas  d'observation particulière de la part de la commission.
En ce qui concerne le droit d'accès aux données, le ministère  considère qu'il y a lieu d'appliquer le régime juridique prévu aux  articles 41 et 42 de la loi du 6 janvier 1978 modifiée (droit d'accès  indirect). Il a en effet indiqué que la mise en œuvre d'un droit d'accès  direct poserait des difficultés techniques au regard du respect du  droit des tiers, car les services gestionnaires du traitement ne  disposent pas des outils techniques nécessaires à l'anonymisation  partielle des enregistrements, rendant ainsi chronophages pour ces  services ces opérations d'anonymisation.
A cet égard, la commission estime que les éléments avancés par le  ministère ne sont pas de nature à fonder la mise en place d'un droit  d'accès indirect, lequel n'apparaît en outre pas nécessaire au regard  des finalités du traitement.
En outre, elle souligne que, au vu de la durée de conservation des  données (six mois sauf engagement d'une procédure judiciaire,  administrative ou disciplinaire) et du caractère non centralisé de ces  traitements, l'effectivité réelle du droit d'accès aux données ne  pourrait être garantie pour toutes les personnes susceptibles d'être  concernées par les traitements en cause (personnes filmées, personnes  tierces à l'intervention mais susceptibles d'apparaitre dans les  enregistrements et agents publics).
Enfin, elle considère qu'une telle modalité d'accès aux données va à  l'encontre de l'esprit de l'article L. 241-1 du CSI, qui a pour objet  de renforcer les liens de la population avec des forces de l'ordre en  s'assurant notamment du respect par ces dernières des règles de  déontologie qui leur incombent dans le cadre de leurs missions. Dans ce  contexte, cette modalité n'est pas de nature à faciliter l'accès aux  données enregistrées dans les traitements projetés, ce qui semble  pourtant un préalable à tout déclenchement de procédure afin d'en  apprécier l'opportunité.
La commission estime dès lors qu'un droit d'accès direct devrait  être prévu et que le projet de décret devrait ainsi prévoir  l'application des dispositions de droit commun prévues aux articles 39  et 40 de cette même loi, conformément à la rédaction retenue dans  d'autres actes réglementaires autorisant la mise en œuvre de traitements  relatifs à la vidéo.
Sur la sécurité des données et la traçabilité des actions :
Le projet de décret prévoit que chaque opération de consultation et  d'extraction de données fait l'objet d'un enregistrement dans le  traitement ou, à défaut, d'une consignation dans un registre  spécialement ouvert à cet effet qui comporte les matricule, nom, prénom  et grade de l'agent procédant à l'opération, la date et l'heure de  l'opération, ainsi que le motif judiciaire, administratif, disciplinaire  ou pédagogique, le service ou l'unité destinataire des données et  l'identification des enregistrements audiovisuels extraits et de la  caméras dont ils sont issues. Ces données et informations sont  conservées trois ans.
En revanche, le ministère de l'intérieur n'a fourni ni étude de  risques globale ni politique de sécurité encadrant les traitements. En  l'absence de précisions concernant les mesures de sécurité envisagées,  la commission n'est dès lors pas en mesure de s'assurer du respect des  dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée, alors  même que certaines des garanties essentielles évoquées ci-dessus  reposent sur la mise en œuvre de mesures de sécurité.
C'est pourquoi elle demande que le projet de décret soit complété de  certaines mesures élémentaires de sécurité applicables à l'ensemble des  traitements concernées. Il pourrait également être prévu que le décret  renvoie à un référentiel de sécurité pris par arrêté après avis de la  CNIL. En tout état de cause, et sans que cela soit limitatif, les  mesures de sécurité suivantes devraient être prévues par le pouvoir  réglementaire et mises en œuvre et réévaluées régulièrement :
- les enregistrements seront chiffrés et scellés électroniquement pour garantir leur confidentialité et leur authenticité ;
- les modèles de caméras utilisés garantiront la confidentialité,  l'intégrité et la disponibilité des enregistrements jusqu'à leur  déchargement ;
- les espaces de stockage sécurisé feront l'objet de sauvegardes régulières et sécurisées ;
- la gestion des habilitations des utilisateurs et des  administrateurs du traitement fera l'objet d'une procédure formalisée,  validée par le responsable de traitement et portée à la connaissance des  utilisateurs ;
- les mots de passe d'accès respecteront les recommandations de la CNIL ;
- les traces de consultation seront protégées et sécurisées,  qu'elles soient numériques ou consignées dans un registre, et feront  l'objet d'une analyse régulière.
Enfin, le projet de décret prévoit que les responsables de  traitement adressent un dossier technique à la commission à l'occasion  de la réalisation de leur engagement de conformité à l'acte  réglementaire unique prévu par le présent projet de décret.
La commission considère que ce dossier technique n'est pas de nature  à simplifier les formalités des responsables de traitement. De plus, il  ne permet pas d'assurer un niveau de protection technique harmonisé des  dispositifs mis en œuvre par chacun d'eux, contrairement aux solutions  proposées ci-dessus.
Dans l'hypothèse où le ministère entendrait néanmoins maintenir  l'obligation pour les responsables de traitement d'élaborer un tel  document, celui-ci pourrait être tenu à sa disposition, à l'instar de ce  qui est prévu dans certains actes réglementaires uniques, notamment  relatifs à la vidéosurveillance.
La présidente,
I. Falque-Pierrotin