Après avoir entendu le rapport de Mme Isabelle LATOURNARIE-WILLEMS, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement adjoint,
Emet l'avis suivant :
La Commission a été saisie pour avis par le ministère des armées d'un projet d'arrêté autorisant la mise en œuvre de traitements automatisés de données à caractère personnel relatifs aux systèmes de vidéosurveillance et de contrôle d'accès, destinés à assurer la sécurité de certains locaux et emprises relevant de ce ministère et assurer la protection des intérêts de la défense nationale.
Le ministère a précisé qu'il s'agit des emprises mentionnées à l'article 8 de l'arrêté du 9 août 2012 fixant les modalités particulières d'organisation de la prévention des risques professionnels au ministère de la défense, à savoir « toute aire géographique cohérente et clairement identifiée constituée d'immeubles bâtis et non bâtis, accueillant plusieurs organismes ou antennes d'organisme ainsi que des établissements ne relevant pas du ministère de la défense ». Selon les sites, les dispositifs de vidéosurveillance ou de contrôle d'accès peuvent couvrir toute l'emprise, certaines zones, ou uniquement une partie d'un bâtiment.
Le projet d'arrêté a vocation à constituer un acte réglementaire unique au sens du IV de l'article 31 de la loi. Seuls les lieux intéressant directement la défense nationale sont susceptibles d'être couverts par cet acte réglementaire unique. Au regard du nombre de sites susceptibles d'être concernés par ce projet d'arrêté, il est nécessaire de s'assurer de l'homogénéité des conditions de mise en œuvre des traitements projetés.
Les traitements qui n'entreraient pas dans le cadre défini par le présent acte réglementaire unique devront être encadrés par un acte réglementaire spécifique. Ce serait ainsi le cas pour des dispositifs d'accès biométriques.
Le périmètre de ces traitements porte sur :
- les dispositifs d'autorisation d'accès des personnes et les systèmes de contrôle d'accès, par des contrôles par badge automatisés, ou un contrôle humain ;
- les systèmes de vidéosurveillance filmant uniquement l'intérieur des sites soumis à restriction d'entrée ;
- les systèmes d'interphonie qui permettent notamment d'enregistrer le son ;
- les dispositifs d'autorisation d'accès des véhicules et les systèmes de visualisation des plaques d'immatriculation.
Le ministère a indiqué qu'une doctrine d'emploi relative aux conditions de mise en œuvre des traitements projetés sera élaborée et diffusée afin d'accompagner les différents responsables de traitement.
Sur les finalités et le régime juridique du traitement :
L'article 1er du projet d'arrêté mentionne que les traitements ont pour finalités d'assurer la sécurité des emprises et des locaux du ministère des armées et la protection des intérêts de la défense nationale. Ces finalités sont déterminées, explicites et légitimes au sens de l'article 4 de la loi du 6 janvier 1978.
Le ministère indique que les traitements ne visent pas à surveiller les membres du personnel ; les images collectées n'auront donc pas vocation à servir de fondement à des sanctions disciplinaires, à l'exception de celles motivées par des comportements susceptibles de porter atteinte à la sécurité du site.
Au regard des finalités poursuivies, les traitements relèvent du régime juridique du titre IV de la loi du 6 janvier 1978 modifiée, dans la mesure où ils intéressent la défense nationale.
Sur les données collectées :
Le projet d'arrêté distingue les données traitées selon le type de traitement mis en œuvre.
Le projet d'arrêté exclut que les traitements comportent un dispositif de reconnaissance faciale. En outre, le ministère a indiqué qu'il n'était pas dans son intention de collecter des gabarits vocaux à partir des enregistrements sonores, ni de faire de la reconnaissance vocale. En tout état de cause, un tel traitement de données biométriques ne pourrait pas relever d'un simple arrêté.
Sur le système d'autorisation et de contrôle d'accès aux emprises et locaux (I de l'article 2 du projet) :
Le I de l'article 2 du projet d'arrêt prévoit de collecter de nombreuses données à caractère personnel concernant les agents du ministère des armées, les visiteurs et les prestataires extérieurs intervenant dans le cadre de missions de longue durée. Conformément au principe de minimisation des données, seules les données strictement nécessaires pour poursuivre les finalités des traitements devront être collectées ; chaque traitement mis en œuvre dans le cadre de cet acte réglementaire unique devra respecter ce principe.
Le ministère indique que l'autorisation d'accès est délivrée en amont de celui-ci, dès lors qu'elle conditionne la délivrance du badge permettant l'accès de la personne à l'emprise concernée. Selon les sites, ce contrôle peut être automatisé et, le cas échéant, complété par un contrôle effectué par un agent à l'entrée des locaux.
Sur l'interphonie (II de l'article 2 du projet) :
Les systèmes d'interphonie permettent d'enregistrer le son lorsqu'ils sont activés par la personne sonnant à l'interphone.
Une attention particulièrement vigilante devra être apportée à leur emplacement, afin d'éviter la captation du son provenant de la voie publique.
Sur la vidéosurveillance (II de l'article 2 du projet) :
L'article 2 du projet d'arrêté précise que les bureaux et postes de travail, les lieux d'intimité et de convivialité, ceux destinés aux activités syndicales ainsi que leurs accès directs, les espaces culturels et les lieux dans lesquels se tiennent des échanges couverts par le secret professionnel et le secret de la défense nationale ne peuvent être filmés. La Commission prend acte de ces garanties.
Le ministère a précisé que les dispositifs de vidéosurveillance filmeront en continu, jour et nuit.
L'article 2 du projet d'arrêté précise que les traitements mentionnés à l'article 1er peuvent prendre la forme de dispositifs fixes ou mobiles, c'est-à-dire de caméras embarquées sur des véhicules pilotés ou automatisés ou de caméras individuelles portées par les agents assurant la sécurité du site. Le ministère indique que ces dispositifs mobiles ont vocation à permettre la visualisation en temps réel des images au poste de sécurité et faciliter ainsi la réponse aux incidents constatés.
La Commission considère que le déploiement des caméras fixes et mobiles doit être strictement nécessaire et proportionné au regard des finalités poursuivies par les traitements. Le nombre de caméras devra être limité et adapté à la taille des emprises et locaux considérés du ministère des armées, comme aux risques que ces lieux sont susceptibles de présenter pour la protection des intérêts de la défense nationale.
L'article 2 du projet d'arrêté prévoit également la possibilité de réaliser des enregistrements sonores couplés à la vidéosurveillance en-dehors des horaires auxquels les emprises ou locaux sont habituellement accessibles. Selon le ministère, ces enregistrements ont vocation à permettre de s'assurer à distance de la nature de l'incident (par exemple, intrusion d'une personne ou d'un animal) et d'adapter la réponse en conséquence.
Les dispositifs vidéo couplés à des enregistrements sonores sont, par nature, plus intrusifs que ceux permettant seulement la capture d'images. La Commission prend acte des précisions apportées par le ministère des armées, selon lesquelles la nécessité de capter le son s'explique par le fait que les images sont moins lisibles la nuit, et que beaucoup d'emprises sont constituées non de locaux mais de terrains. Au regard des finalités poursuivies par le traitement, elle s'interroge néanmoins sur la nécessité d'une telle captation du son.
Sur le système d'autorisation d'accès des véhicules et de visualisation des plaques d'immatriculation (III de l'article 2 du projet) :
Le projet d'arrêté prévoit que la photographie du véhicule, ainsi que celle de ses occupants, sera collectée. A cet égard, le ministère précise que cette dernière collecte est incidente, la photographie du véhicule pouvant inclure la photographie de ses occupants. Dans ces conditions, la Commission demande que les caméras soient installées sous un angle tel qu'il exclue les prises de vue des occupants des véhicules. Elle prend acte de l'engagement du ministère de supprimer la mention de la prise de photographie des éventuels occupants du véhicule au 3° du III de l'article 2 du projet d'arrêté.
Les systèmes de visualisation des plaques d'immatriculation des véhicules comparent la plaque d'immatriculation à la liste de celles des véhicules autorisés à pénétrer sur le site, ce qui permet la levée d'une barrière automatique. Ces systèmes de visualisation ne permettent pas de visualiser la voie publique, en raison de l'existence de sas de sécurité. La Commission prend note que le contrôle des véhicules aura lieu exclusivement à l'entrée des sites et ne couvre pas le suivi des véhicules dans l'enceinte du parking.
Sur les durées de conservation des données :
En premier lieu, l'article 3 du projet d'arrêté prévoit que, s'agissant des systèmes de contrôle d'accès et des systèmes de visualisation des plaques d'immatriculation des véhicules, les données sont conservées pendant une durée ne pouvant excéder un an à compter de la date de péremption de l'autorisation d'accès.
Le ministère a indiqué que ces dispositions doivent permettre, en cas d'incident de sécurité, de connaître les noms des personnes ayant pénétré sur le site.
Cette durée de conservation est proportionnée au regard des finalités poursuivies par les traitements, s'agissant des agents du ministère et des prestataires extérieurs intervenant dans le cadre de missions de longue durée. S'agissant des visiteurs, la Commission s'interroge sur la proportionnalité de cette durée. De plus, cette durée pourrait être déterminée par chaque responsable de traitement visé par le projet d'arrêté en fonction du degré de sensibilité du site concerné. A titre d'exemple, les arrêtés relatifs aux systèmes de vidéosurveillance et de contrôle d'accès aux locaux et emprises du ministère de l'environnement (arrêté du 6 juin 2016) et du ministère de l'intérieur (arrêté du 14 août 2014) fixent une durée de conservation des données des visiteurs de trois mois au plus.
En outre, la Commission s'interroge sur le point de départ de cette durée à compter de la date de péremption de l'autorisation d'accès. Elle estime que ce point de départ devrait correspondre à la date de chaque passage sur le site concerné et non à la date de fin de validité de l'autorisation générale d'accès délivrée aux agents et prestataires.
En second lieu, s'agissant des systèmes de vidéosurveillance et d'interphonie, l'article 3 du projet d'arrêté prévoit que les données sont conservées pendant une durée ne pouvant excéder un mois, ce qui n'appelle pas d'observations de la Commission.
Sur les accédants et les destinataires des données :
Le I de l'article 4 du projet d'arrêté mentionne la liste des accédants aux données qui peuvent être soit la « personne responsable de la mise en œuvre du traitement », soit les agents chargés de la sécurité et de la protection du lieu concerné, spécialement désignés et individuellement habilités par cette personne.
La Commission s'interroge sur la notion de « personne responsable de la mise en œuvre du traitement », qui n'est pas définie et prête à confusion. En effet, au sens de la loi « informatique et libertés », seule la notion de « responsable de traitement » existe. Il résulte des indications données par le ministère que cette personne serait, pour chacun des traitements susceptibles d'être mis en œuvre sur les différents sites du ministère des armées, celle plus particulièrement chargée de celui-ci. La Commission considère dès lors que :
- cette notion doit impérativement être clarifiée dans le 1° du I de l'article 4 du projet d'arrêté, sous peine de prêter à confusion ; cette personne devrait ainsi être désignée comme celle « chargée de la mise en œuvre du traitement » plutôt que comme le « responsable » de celle-ci ;
- cette personne devra être spécialement désignée et individuellement habilitée par le responsable de traitement ;
- les agents chargés de la sécurité et de la protection du lieu ne peuvent être spécialement désignés et individuellement habilités que par le responsable de traitement lui-même, et en aucun cas par la « personne responsable de la mise en œuvre du traitement », comme le prévoit actuellement le 2° du I de l'article 4 du projet d'arrêté.
Le ministère a précisé que les données ne sont accessibles qu'à partir d'un poste de travail et ne peuvent pas être consultées à distance.
Peuvent être destinataires des données, dans la stricte limite de leurs attributions et du besoin d'en connaître :
- les autorités hiérarchiques, au seul titre de l'engagement d'une enquête fondée sur l'une des finalités des traitements ;
- les agents des corps et services d'inspections et de contrôle, dans le cadre d'une enquête fondée sur l'une des finalités des traitements.
Sur les droits des personnes concernées :
L'article 6 du projet d'arrêté prévoit que la « personne responsable de la mise en œuvre du traitement » informe les personnes concernées par voie d'affichage à l'entrée des emprises et locaux relevant du ministère des armées ; c'est également auprès d'elle que s'exercent les droits d'accès, de rectification et d'effacement. Pour être conformes aux dispositions des articles 116 et 119 de la loi du 6 janvier 1978, l'information et l'exercice des droits d'accès, de rectification et d'effacement ne peuvent incomber qu'au responsable de traitement ou à son représentant. La Commission invite dès lors le ministère des armées à modifier le projet en ce sens.
S'agissant des systèmes d'interphonie, un panneau d'affichage devra être installé à côté du bouton de la sonnette afin d'informer les personnes concernées qu'un enregistrement sonore a lieu dès qu'elles se manifestent à l'interphone.
S'agissant des systèmes de vidéosurveillance, les caméras devront être installées de manière visible et non dissimulée, et des panneaux d'affichage devront informer les personnes concernées. Une attention toute particulière devra être apportée aux dispositifs mobiles. Dans l'hypothèse où le ministère souhaiterait mettre en œuvre des dispositifs de vidéosurveillance couplés avec des dispositifs sonores, une information spécifique devra être délivrée afin d'informer les personnes concernées de l'existence d'une captation du son.
Sur les mesures de sécurité :
L'article 5 du projet d'arrêté prévoit que les données de journalisation sont conservées pendant une durée ne pouvant excéder un an, avant archivage intermédiaire pour une durée de pouvant excéder cinq ans. Le ministère s'est engagé à réduire la durée de conservation en archivage intermédiaire à trois ans, au lieu de cinq ans.
Les autres dispositions du projet d'arrêté n'appellent pas d'observations de la Commission.