La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'agriculture et de l'alimentation d'une demande d'avis sur un projet d'arrêté autorisant la mise en œuvre d'un système de surveillance électronique à distance pour contrôler le respect de l'obligation de débarquement des captures par certains navires de pêche battant pavillon français ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 1380/2013 du Parlement européen et du Conseil du 11 décembre 2013 relatif à la politique commune de la pêche ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 31-I et 89-I ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la demande et ses compléments ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le règlement (UE) n° 1380/2013 du Parlement européen et du Conseil du 11 décembre 2013 relatif à la politique commune de la pêche (PCP) prévoit une obligation de débarquement des captures qui vise à mettre fin à la pratique consistant à rejeter en mer les captures de poissons non désirées.
L'article 15 du règlement susvisé dispose que Toutes les captures des espèces faisant l'objet de limites de capture et, en Méditerranée, celles soumises à des tailles minimales définies à l'annexe III du règlement (CE) n° 1967/2006, réalisées au cours d'activités de pêche dans les eaux de l'Union ou par des navires de pêche de l'Union en dehors des eaux de l'Union dans des eaux ne relevant pas de la souveraineté ou de la juridiction de pays tiers, dans les pêcheries et les zones géographiques énumérées ci-après, sont ramenées et conservées à bord des navires de pêche, puis enregistrées, débarquées et imputées sur les quotas le cas échéant, sauf lorsqu'elles sont utilisées comme appâts vivants (…) .
Le ministère considère que dans la mesure où le traitement est principalement mis en œuvre à des fins de recherche et de constatation d'infractions pénales et administratives, il relève du champ d'application de la directive (UE) 2016/680 du 27 avril 2016 susvisée et doit être examiné au regard des dispositions des articles 87 et suivants de la loi du 6 janvier 1978 modifiée
Il estime que dans la mesure où aucune donnée sensible au sens de l'article 6 de la loi du 6 janvier 1978 modifiée n'a vocation à être collectée dans le traitement, celui-ci doit faire l'objet d'un arrêté pris après avis motivé et publié de la Commission, conformément aux dispositions de l'article 89 de la loi du 6 janvier 1978 précitée.
C'est dans ce contexte que la Commission a été saisie par le ministre de l'agriculture et de l'alimentation pour avis d'un projet d'arrêté relatif à l'installation d'un système de surveillance au sein de certains navires de pêche battant pavillon français (géolocalisation du navire, capteurs de mesure et vidéosurveillance) pour contrôler l'obligation de débarquement des captures.
Sur le principe de l'expérimentation
La Commission relève tout d'abord que ce projet d'arrêté s'inscrit, selon le ministère dans le cadre d'une expérimentation. Cette expérimentation, d'une durée de deux ans, porterait sur l'installation de dispositifs de surveillance aux fins de contrôler l'obligation de débarquement des captures, et concernerait quatre navires de pêche battant pavillon français qui se sont portés volontaires.
La Commission constate néanmoins que le projet d'arrêté ne fait aucune mention du caractère expérimental de ces dispositifs de surveillance qui figure uniquement dans le courrier de saisine du ministère, qui a par la suite confirmé ce point. Elle rappelle qu'une expérimentation doit avoir une durée limitée et faire l'objet d'une évaluation précise, qui doit permettre de déterminer les suites à y apporter. L'arrêté ne définit pas non plus le périmètre de l'expérimentation en la limitant à certains navires et ne fait pas mention du volontariat.
Par conséquent, la Commission estime que le projet d'arrêté dont elle a été saisie ne concerne pas un dispositif d'expérimentation mais la création d'un traitement pérenne de données à caractère personnel, lequel présente en outre une sensibilité particulière. Elle demande que le projet d'arrêté soit substantiellement revu pour préciser expressément le caractère expérimental de ce dispositif, les caractéristiques de l'expérience (périmètre, durée, etc.) et l'exigence d'évaluation en fin de période, préalablement à une éventuelle pérennisation du dispositif.
A cet égard, la Commission prend acte de l'engagement du ministère de modifier le projet d'arrêté sur l'ensemble de ces points.
Sur la réglementation applicable
La Commission rappelle que pour qu'un traitement puisse entrer dans le champ d'application de la directive n° 2016/680 du 27 avril 2016, dite directive Police-Justice , un traitement de données doit répondre à deux conditions cumulatives. Il doit d'une part poursuivre l'une des finalités mentionnées à son article 1er relatives à la prévention et la détection des infractions pénales, ainsi que les enquêtes et les poursuites en la matière, et d'autre part, être mis en œuvre par une autorité compétente au sens de cette directive.
S'agissant du critère d'autorité compétente , la Commission relève que selon l'article 3.7 de cette directive, ce terme s'entend d'une autorité à laquelle ont été dévolus des pouvoirs pour la prévention et la détection des infractions pénales, ainsi les enquêtes et les poursuites en la matière.
Les dispositions du code rural et de la pêche maritime reconnaissant aux agents de contrôle du ministère de l'agriculture et de l'alimentation tant des pouvoirs de police administrative que des pouvoirs de police judiciaire, ce critère apparaît rempli.
S'agissant du critère de finalité poursuivie par le traitement, la Commission relève que si le ministère précise que le système de surveillance a pour but de documenter d'éventuels comportements infractionnels, lesquels pourront déboucher sur des sanctions administratives (…) et sur des suites pénales délictuelles (…) , l'article 2 du projet d'arrêté précise que la finalité poursuivie par le traitement est le contrôle du respect de l'obligation de débarquement des captures par certains navires de pêche battant pavillon français , cette obligation de débarquement étant définie à l'article 15 du règlement (UE) relatif à la PCP précité.
Or s'agissant du régime juridique applicable, le Conseil d'Etat a considéré dans sa décision n° 424216 du 19 juillet 2019 qu'un traitement de données à caractère personnel relève, selon sa finalité, du champ d'application du règlement du 27 avril 2016 ou de celui de la directive du même jour. Alors même qu'ainsi qu'il a été dit au point 8, le traitement litigieux a plusieurs objets, au nombre desquels figurent la prévention, la détection et la répression des infractions pénales, sa finalité est de permettre, en luttant contre la fraude et l'évasion fiscales, l'amélioration du respect de leurs obligations fiscales par les contribuables français et américains. Il s'ensuit qu'il relève du champ d'application du règlement du 27 avril 2016 et non de celui de la directive du même jour .
Dès lors si l'installation de caméras de surveillance a notamment pour objet de constater d'éventuels comportements infractionnels, il apparaît que la finalité principale poursuivie par le traitement est le respect de l'obligation de débarquement des captures.
Aussi, la Commission considère que le traitement susvisé ne relève pas du champ d'application des dispositions du titre III de la loi Informatique et Libertés transposant la directive dite Police-Justice , mais de celui du RGPD. Au regard de ses caractéristiques, la Commission relève également que ce traitement répond au formalisme imposé par l'article 31 de la loi susvisée.
Sur ce point, la Commission prend acte de l'engagement du ministère de modifier le régime juridique applicable dans le projet d'arrêté.
Sur la condition de licéité
La saisine du ministère indique que le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement conformément aux dispositions de l'article 6.1°.e) du RGPD.
Toutefois, la Commission relève que l'article 12 du projet d'arrêté exclut le droit d'opposition au motif que le traitement relèverait de l'obligation légale.
Sur ce point, la Commission précise que si l'obligation de débarquement est une obligation légale imposée par le règlement (UE) relatif à la PCP, l'installation de dispositifs de surveillance à distance n'est qu'un des moyens préconisés par le règlement pour atteindre cette finalité.
Par conséquent, elle estime que le traitement ne saurait être fondé sur l'obligation légale mais relève bien de la mission d'intérêt public dont est investi le ministère.
Sur ce point, la Commission prend acte de l'engagement du ministère de considérer que le traitement relève de la mission d'intérêt public dont il est investi, et non de l'obligation légale.
Sur la finalité
L'obligation de débarquement des captures de pêche visée par l'article 15 du règlement (UE) relatif à la PCP vise à interdire aux pêcheurs de rejeter à la mer les captures accidentelles (prises inférieures à la taille réglementaire, quota déjà atteint, espèce protégée, etc.) en décomptant ces prises du quota de capture autorisé lors de leur débarquement.
Aussi, il résulte du règlement (UE) relatif à la PCP que le respect de l'obligation de débarquement aux fins notamment d'éviter la surexploitation des ressources vivantes aquatiques constitue une finalité légitime.
Pour satisfaire à ladite obligation, l'article 15-13 du règlement susvisé dispose que (…) les Etats membres veillent à disposer d'une documentation détaillée et précise concernant toutes les sorties de pêche ainsi que de capacités et de moyens appropriés, tels que des observateurs, la télévision en circuit fermé et d'autres moyens. Ce faisant, les Etats membres respectent le principe d'efficacité et de proportionnalité .
C'est sur ce fondement que le ministère souhaite installer des dispositifs de vidéosurveillance, de géolocalisation et des capteurs de mesure sur certains navires de pêche battant pavillon français.
La Commission rappelle cependant que, s'il est nécessaire d'assurer la protection de l'environnement, qui est un principe à valeur constitutionnelle, il appartient au législateur et au Gouvernement de veiller à ce que les mesures prises à cet effet respectent l'équilibre essentiel existant avec les autres droits et libertés fondamentaux, notamment le droit au respect de la vie privée.
Alors qu'en matière de vidéosurveillance, la Commission n'admet principalement l'installation de caméras sur le lieu de travail qu'à des fins de sécurité des biens et des personnes, elle relève que le traitement en cause est susceptible de permettre de contrôler de façon générale l'activité des pêcheurs sur ces navires, au-delà du seul respect des obligations de débarquement, et de les placer sous surveillance permanente.
Si la Commission prend acte des observations du ministère s'agissant de l'insuffisance des contrôles existants (en mer, au débarquement et documentaires) pour s'assurer du parfait respect de l'obligation de débarquement, elle constate que les dispositifs installés pour pallier cette insuffisance de moyens ont pour conséquence un accroissement de l'usage des technologies de surveillance. Aussi, elle demande que, dans la mise en œuvre de l'expérimentation, des garanties appropriées soient prises par le ministère afin que l'atteinte portée aux droits des salariés soit limitée au strict nécessaire. Les caméras devront être orientées de façon à ne filmer que la chaîne de tri du navire et à éviter de filmer, autant que possible, le visage des salariés.
Sur ce point, la Commission prend acte de l'engagement du ministère de mettre en œuvre des garanties appropriées aux fins de limiter les atteintes aux droits et libertés des salariés causées par l'installation des caméras de vidéosurveillance.
En tout état de cause, la Commission appelle l'attention du ministère sur le fait que de tels dispositifs de surveillance ne sauraient devenir la solution systématique dans le cadre du contrôle des différentes obligations pesant sur les particuliers et les professionnels.
Sur les données traitées
L'article 3 du projet d'arrêté prévoit que sont collectées et enregistrées dans le traitement les informations relatives aux :
- images issues des caméras de télévision en circuit fermé ;
- données enregistrées par les capteurs de mesures ;
- positions du navire via un système de géolocalisation par satellite.
Selon le ministère, l'installation d'un système de vidéosurveillance couplé à un dispositif de géolocalisation ainsi que de capteurs de mesure permettrait de s'assurer du respect de l'obligation de débarquement pendant toute la durée de l'activité de pêche du navire.
Par ailleurs, la Commission prend acte des observations du ministère sur l'absence de tout dispositif biométrique ou de captation du son.
Si la Commission estime que la préservation des ressources halieutiques est un objectif légitime, elle s'interroge néanmoins quant à l'efficacité d'un tel dispositif dans la mesure où :
- il peut être difficile de distinguer parmi les prises rejetées celles autorisées à l'être ;
- la visualisation des prises rejetées peut, par ailleurs, être rendue encore plus délicate en raison des conditions climatiques en pleine mer.
La mesure de l'efficacité du dispositif au regard des atteintes aux droits et libertés engendrées contribuant à l'appréciation de la proportionnalité du dispositif, la Commission estime qu'une évaluation du dispositif à l'issue de l'expérimentation sera nécessaire, à l'appui d'un bilan d'expérimentation. Elle rappelle que l'éventuelle pérennisation du dispositif nécessitera l'édiction d'un nouvel arrêté qui devra lui être soumis. A cette occasion, elle demande que lui soit transmise une évaluation précise de l'expérimentation. Elle invite le ministère à concevoir et à mettre en place, dès le début de l'expérience, les indicateurs qui permettront d'évaluer l'efficacité du dispositif, conformément aux bonnes pratiques en matière d'expérimentation de politiques publiques.
Sur ce point, la Commission prend acte des engagements du ministère de concevoir des indicateurs afin d'évaluer le dispositif et de transmettre le bilan de l'expérimentation à la Commission. Elle prend également acte de l'engagement du ministère d'édicter, en cas de pérennisation du dispositif, un nouvel arrêté et de le lui soumettre pour avis.
Sur les destinataires et l'accès aux données
L'article 4 du projet d'arrêté prévoit qu'auront accès aux informations contenues dans le traitement, en fonction de leurs attributions respectives et du besoin d'en connaître :
- le directeur des pêches maritimes et de l'aquaculture au sein du ministère ;
- le personnel du bureau du contrôle des pêches de la direction des pêches maritimes et de l'aquaculture du ministère ;
- les agents de contrôle mentionnés à l'article R. 941-1 du code rural et de la pêche maritime ;
- le personnel habilité des prestataires privés titulaires d'un marché d'analyse et de visionnage.
Interrogé sur ces habilitations, le ministère a précisé que tous les services et agents mentionnés à l'article R. 941-1 du code susvisé n'étaient pas directement concernés par l'exploitation de ces données. C'est pourquoi le projet d'arrêté a été modifié pour rajouter la mention sous condition d'habilitation individuelle fixées par le directeur des pêches maritimes et de l'aquaculture .
Au regard du grand nombre de personnes visées par cet article, la Commission estime néanmoins que cet ajout est insuffisant et demande que seuls figurent dans le projet d'arrêté les services et agents mentionnés à l'article R. 941-1 du code susvisé susceptibles d'accéder effectivement aux enregistrements.
Sur ce point, la Commission prend acte de l'engagement du ministère de modifier le projet d'arrêté afin de n'y faire figurer comme ayant accès aux enregistrements que les services et agents mentionnés à l'article R. 941-1 du code rural et de la pêche maritime.
La Commission relève également que l'article 6 du projet d'arrêté prévoit que les données mentionnées à l'article 3 sont rendues accessibles à bord, sur demande, aux agents de contrôle désignés par l'article R. 941-1 du code rural et de la pêche maritime .
Interrogé sur les conditions d'accès aux données enregistrées, le ministère a indiqué que les données seront enregistrées en circuit fermé puis systématiquement transmises aux prestataires privés titulaires du marché d'analyse et de visionnage lors du débarquement, rendus ainsi destinataires de ces données. Ces derniers prendront connaissance des enregistrements qu'ils auront préalablement sélectionnés et ne transmettront aux autorités mentionnées à l'article 4 du projet d'arrêté que les enregistrements litigieux.
Au regard de ces éléments, la Commission relève que cette transmission systématique des enregistrements ne ressort pas clairement du projet d'arrêté qui ne paraît prévoir que des accédants au traitement, et non des destinataires. En outre, si l'article 4 du projet d'arrêté permet à certaines catégories de personnes d'avoir accès aux images, l'article 6 paraît en restreindre l'accès direct aux seuls agents de contrôle désignés par l'article R. 941-1 du code rural et de la pêche maritime, et à la double condition de se faire sur demande, et à bord des navires.
A cet égard, la Commission prend acte de l'engagement du ministère de clarifier ce point dans le projet d'arrêté.
Sous réserve des précédentes observations, la Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données.
Sur l'information et les droits des personnes
L'article 8 du projet d'arrêté prévoit que le personnel sera informé de la finalité du traitement mis en place ainsi que de la procédure à suivre pour demander l'accès aux enregistrements visuels la concernant.
A cet égard, la Commission rappelle que conformément aux dispositions de l'article 13 du RGPD et de l'article L. 1222-4 du code du travail, les employés devront être informés individuellement de l'ensemble des mentions d'information prévues par le premier de ces textes.
Par ailleurs, l'article 9 du projet d'arrêté prévoit qu'une signalétique appropriée indiquera au personnel l'emplacement des différents dispositifs de surveillance.
Sur ce point, la Commission estime que les panneaux d'information, en nombre suffisant par rapport à la zone filmée, devront être placés de façon visible et contenir a minima les mentions suivantes : la finalité du traitement, le nom du responsable de traitement, la durée de conservation des images, la possibilité d'adresser une réclamation auprès de la CNIL, ainsi que la procédure à suivre par l'employé pour demander l'accès aux enregistrements le concernant. Ces panneaux devront également comporter des pictogrammes afin de faciliter la compréhension immédiate de l'information par les employés.
Les droits d'accès et de rectification s'exerceront auprès de la direction des pêches maritimes et de l'aquaculture du ministère de l'agriculture et de l'alimentation.
La Commission relève que l'article 12 du projet d'arrêté prévoit que le droit d'opposition ne s'applique pas au présent traitement. Elle constate que ce projet d'article fait référence à l'ancien article 38 de la loi Informatique et Libertés pour écarter ce droit. Sur ce point, la Commission rappelle que le droit d'opposition ne peut être écarté que dans les conditions prévues par l'article 23 du RGPD et l'article 56 de la loi Informatique et Libertés. A défaut, les personnes concernées disposeront d'un droit d'opposition conformément aux dispositions de l'article 21 du RGPD.
A cet égard, la Commission prend acte de l'engagement du ministère de modifier l'arrêté afin de clarifier le droit d'opposition en application de l'article 56 de la loi du 6 janvier 1978 et de l'article 23 du RGPD.
Sous réserve des précédentes observations, la Commission considère que ces modalités d'information et d'exercice des droits des personnes sont satisfaisantes.
Sur la durée de conservation
L'article 5 du projet d'arrêté prévoit que les données relatives aux images captées par les dispositifs de vidéosurveillance installés sur les navires de pêche sont conservées pour :
- une durée ne pouvant excéder quarante-cinq jours lorsqu'elles sont enregistrées sur des navires effectuant des marées d'une durée moyenne comprise entre zéro et quinze jours ;
- une durée ne pouvant excéder soixante jours lorsqu'elles sont enregistrées sur des navires effectuant des marées d'une durée moyenne supérieure à quinze jours.
A l'issue de ce délai, les enregistrements sont automatiquement effacés. En cas de contentieux, les images seront extraites du dispositif et conservées pendant la durée de la procédure judiciaire ou administrative.
A cet égard, si les durées susvisées ne correspondent pas à la doctrine classique de la Commission en matière de vidéosurveillance, elles paraissent néanmoins justifiées par le contexte particulier, le temps passé en mer pouvant dépasser quinze jours. Elle relève à cet égard que les prestataires privés chargés du visionnage et de l'analyse ne pourront prendre connaissance des enregistrements qu'une fois les navires débarqués et que le visionnage des enregistrements est une tâche longue.
Par ailleurs, le projet d'arrêté prévoit également que les données enregistrées par les capteurs de mesures ainsi que celles relatives aux positions du navire sont conservées pendant une durée ne pouvant excéder trois ans.
Sur ce point, la Commission relève que cette durée correspond à celle prévue par le règlement d'exécution (UE) n° 404/2011 du 8 avril 2011 portant modalités d'application du règlement (CE) 1224/2009 du 20 novembre 2009 instituant un régime communautaire de contrôle afin d'assurer le respect des règles de la politique commune de la pêche et modifié par le règlement (UE) relatif à la PCP, en matière de système de localisation par satellite.
Sur les sous-traitants
La Commission relève que les prestataires privés chargés du visionnage et de l'analyse n'ont pas encore été choisis par le ministère de l'agriculture et de l'alimentation.
Sur ce point, elle rappelle qu'ils devront répondre à l'ensemble des conditions fixées par l'article 28 du RGPD et que les relations de sous-traitance devront être cadrées par un contrat dans les conditions de ce même article.
Sur les mesures de sécurité
La Commission prend acte des précisions apportées par le ministère quant au stockage des données sur des disques durs chiffrés avec un niveau de sécurité adéquat, en conformité avec les préconisation de l'Agence nationale de la sécurité des systèmes d'information et rappelle que cela implique l'utilisation d'algorithmes et de procédures de gestion de clefs conformes à l'annexe B1 du référentiel général de sécurité (RGS).
A cet égard, elle recommande qu'un contrôle d'intégrité soit opéré sur les données stockées, par exemple en calculant une empreinte des données avec une fonction de hachage conforme à l'annexe B1 du RGS.
La Commission rappelle, par ailleurs, que des mesures doivent être mises en place afin d'assurer la confidentialité des données qui peuvent être contenues dans les supports de stockage en cas de panne, mise au rebut, ou réutilisation, soit en procédant à un effacement sécurisé réalisé avec un logiciel spécifique, soit en détruisant physiquement les supports.
Elle relève que les transferts se feront via un support physique ou par voie électronique (3G/4G/5G, wifi, GSM ou satellite), et rappelle, à cet égard, que quel que soit le mode de transfert choisi, les mesures de chiffrement et de contrôle d'intégrité doivent respecter les recommandations de l'annexe B1 du RGS.
La Commission relève que l'exploitation des données sera effectuée sur des postes non connectés à internet, disposant d'un antivirus et faisant l'objet de mises à jour et de correctifs de sécurité réguliers.
Elle prend note de la mise en œuvre d'une politique de mots de passe conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
Concernant le contrôle d'accès physique aux locaux du prestataire responsable de l'analyse des données, la Commission recommande la prise de mesures permettant d'éviter toute intrusion, telles que le zonage, l'accompagnement des visiteurs, le port de badge, le verrouillage de portes, etc.
La Commission relève qu'une procédure de sauvegarde journalière sera mise en place. Elle rappelle que, pour être effectives ces sauvegardes doivent être testées régulièrement afin de vérifier leur intégrité et elles doivent être stockées dans un endroit garantissant leur sécurité et leur disponibilité.
La Commission prend note de la mise en place d'une journalisation et rappelle qu'elle doit permettre de conserver une trace des opérations de consultation, de création et de modification des données, avec une durée recommandée de six mois.
Les autres mesures de sécurité n'appellent pas d'observations de la part de la Commission.
La présidente,
M.-L. Denis