La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret portant application de l'article 46 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des gardes champêtres ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son titre III ;
Vu la décision du Conseil constitutionnel n° 2021-817 DC du 20 mai 2021 ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie pour avis par le ministère de l'intérieur d'un projet de décret portant application de l'article 46 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des gardes champêtres.
La Commission rappelle qu'elle a eu l'occasion de se prononcer, à diverses reprises, sur l'usage de caméras individuelles pour des finalités similaires par différentes catégories d'agents de la force publique.
L'article 46 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés a ouvert la possibilité à titre expérimental, aux gardes champêtres, dans l'exercice de leurs missions de police des campagnes, de procéder à l'enregistrement audiovisuel de leurs interventions au moyen de caméras individuelles lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances de l'intervention ou au comportement des personnes concernées. Les conditions de réalisation de cette expérimentation sont fixées par le présent projet de décret en Conseil d'Etat.
L'article 1er du projet de décret prévoit que l'expérimentation s'applique jusqu'au 24 novembre 2024. La Commission relève que cet article tire les conséquences de l'article 46 de la loi du 25 mai 2021 précitée qui prévoit que cette expérimentation s'applique pour une durée de trois ans à compter de l'entrée en vigueur du présent projet de décret, et au plus tard six mois après la publication de la loi.
Sur les finalités des traitements et le régime juridique applicable
L'article 3 du projet de décret prévoit que les traitements ont pour finalités :
- la prévention des incidents au cours des interventions des gardes champêtres ;
- le constat des infractions et la poursuite de leurs auteurs par la collecte de preuves ;
- la formation et la pédagogie des agents.
La Commission considère que ces finalités, fixées par le législateur, sont déterminées, explicites et légitimes, conformément à l'article 4-2° de la loi du 6 janvier 1978 modifiée.
La Commission estime en outre qu'il résulte tant des finalités principalement poursuivies par les dispositifs que des missions de police de campagne confiées aux gardes champêtres, que les traitements projetés relèvent des dispositions de la directive (UE) 2016/680 du 27 avril 2016 (directive « police-justice ») telle que transposée au titre III de la loi du 6 janvier 1978 modifiée.
Sur la qualité d'acte réglementaire unique et la réalisation d'une AIPD
En premier lieu, la Commission relève que le ministère entend mobiliser les dispositions du IV de l'article 31 de la loi du 6 janvier 1978 modifiée qui prévoient que les traitements qui répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires peuvent être autorisés par un acte réglementaire unique, auquel cas le responsable de chaque traitement adresse à la Commission un engagement de conformité. A cet égard, la Commission observe que le II de l'article 2 du projet de décret prévoit que dès notification de l'arrêté du préfet de département, le maire, ou, le cas échéant, l'ensemble des maires des communes concernées, envoie l'engagement de conformité et le dossier technique de présentation du traitement envisagé à la Commission.
En second lieu, dans la mesure où les traitements projetés sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques, notamment parce qu'ils portent sur des données sensibles, le ministère de l'intérieur a réalisé une analyse d'impact relative à la protection des données à caractère personnel (AIPD), laquelle a été adressée à la Commission avec la demande d'avis.
La Commission relève que, si la directive « police-justice » ne prévoit pas explicitement qu'une seule et même AIPD puisse porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires, la réalisation d'une telle analyse d'impact, dans le cas présent, est de nature à constituer une garantie supplémentaire pour la protection des droits et des libertés des personnes concernées à l'égard des traitements projetés. En effet, elle estime que cette AIPD « cadre » a vocation à constituer le socle de référence des garanties minimales à mettre en œuvre par l'ensemble des gardes champêtres qui seront dotés de caméras individuelles, au regard des risques identifiés dans le cadre de l'usage de ces dispositifs.
Dans ce contexte, la Commission regrette que des mesures de sécurité minimales ne soient pas prévues dans l'AIPD afin de permettre de justifier la pré-évaluation effectuée. L'absence de niveau minimal de mesure et l'acceptation de mesures ayant des niveaux de garanties très variables ne permet pas de garantir le niveau d'évaluation des risques pré-indiqué dans l'AIPD cadre. Dans ce contexte, la Commission recommande au ministère d'exiger des mesures minimales explicitement, ou, a minima, de demander à ce que les mesures mises en œuvre permettent de réduire les risques au niveau indiqué dans l'AIPD cadre.
Sur le périmètre des dispositifs
S'agissant des situations dans lesquelles les gardes champêtres sont autorisés à déclencher l'enregistrement, l'article 46 de la loi du 25 mai 2021 pour une sécurité globale préservant les libertés dispose que « l'enregistrement n'est pas permanent » et que les caméras individuelles peuvent être utilisées « lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances de l'intervention ou au comportement des personnes concernées ». La Commission relève que le projet de décret n'apporte pas davantage de précisions quant aux situations dans lesquelles les gardes champêtres sont autorisés à activer leurs caméras. Elle souligne également qu'elle est saisie d'un acte réglementaire unique et ne dispose donc pas des éléments techniques relatifs au fonctionnement des caméras.
A cet égard, la Commission prend acte des précisions apportées par le ministère de ce qu'une doctrine d'emploi relative à l'usage des caméras individuelles sera formalisée et diffusée auprès des préfectures. Celle-ci mentionnerai expressément que les préfets devront informer les communes de cette doctrine lors d'un engagement de conformité au présent acte réglementaire unique, et mentionnera également les conditions d'utilisation des caméras individuelles. En outre, la Commission prend acte de ce que, dans le cadre de leur formation, les gardes champêtres seront instruits sur les circonstances dans lesquelles le déclenchement des caméras individuelles est justifié ainsi que sur leurs conditions d'utilisation. Elle estime néanmoins que le projet de décret devrait prévoir des critères objectifs commandant l'utilisation de ces dispositifs, qui seront précisés dans la doctrine d'emploi.
A ce titre également, la Commission note que le projet de texte ne prévoit pas la conservation de données en mémoire tampon et considère donc qu'une telle conservation n'est pas possible en l'état actuel du texte.
Par ailleurs, l'article 46 de la loi du 25 mai 2021 pour une sécurité globale préservant les libertés autorise la mise en œuvre des caméras individuelles « en tous lieux ». La Commission relève que le projet de décret n'apporte pas davantage de précisions quant aux lieux concernés. A ce titre, elle considère que le ministère devrait prévoir des règles spécifiques lorsque celles-ci sont utilisées au sein de lieux particulièrement sensibles pour la vie privée des personnes comme par exemple les lieux d'habitation. Dans ces situations, la Commission considère que l'encadrement de la possibilité de filmer devrait être particulièrement strict. Elle demande que les critères de nature à définir ces circonstances soient précisés dans la doctrine d'emploi.
Enfin, l'article 5 du projet de décret prévoit que les enregistrements ne peuvent être consultés qu'à l'issue de l'intervention et après leur transfert sur le support informatique sécurisé, et qu'aucun système de transmission permettant de visionner les images à distance en temps réel ne peut être mis en œuvre.
La Commission observe que ces éléments tirent notamment les conséquences de l'article 46 de la loi du 25 mai 2021 pour une sécurité globale préservant les libertés qui prévoit que les personnels auxquels les caméras individuelles sont fournies ne peuvent avoir accès directement aux enregistrements auxquels ils procèdent. En outre, elle prend acte de ce que la doctrine d'emploi délivrée aux préfets de département à destination des communes reprendra les garanties destinées à assurer que les gardes champêtres porteurs de caméras n'aient pas accès directement à leur contenu.
Sur les données traitées
L'article 4 du projet de décret mentionne les données traitées.
Si l'utilisation de systèmes d'enregistrement sonore couplés à des dispositifs vidéo peut poser des difficultés au regard de l'exigence de proportionnalité résultant des textes relatifs à la protection des données à caractère personnel, la collecte de données sonores apparaît néanmoins en l'espèce pertinente et proportionnée à l'objectif poursuivi par ces dispositifs.
En outre, l'article 4 du projet de décret prévoit que le traitement peut collecter des données sensibles au sens du I de l'article 6 de la loi du 6 janvier 1978 modifiée dans la stricte mesure où ces données sont nécessaires à la poursuite des finalités, à l'exception des données génétiques et biométriques. Or, le I de l'article 6 de la loi précitée pose le principe d'une interdiction de traitement de telles données. L'article 89-II de la loi du 6 janvier 1978 modifiée prévoit que le traitement de telles données est possible dans la mesure où il est autorisé par des dispositions législatives ou réglementaires, ce qui est le cas du présent projet de décret en Conseil d'Etat, pris après avis motivé et publié de la CNIL. Il convient alors que le traitement offre des garanties appropriées pour les droits et libertés des personnes concernées. A ce titre, la Commission relève qu'il sera interdit de sélectionner dans les traitements une catégorie particulière de personnes à partir de ces seules données. Elle prend acte de l'engagement du ministère de ce que les données sensibles ne puissent être traitées qu'en cas de « nécessité absolue » conformément à l'article 88 de la loi du 6 janvier 1978 modifiée.
Dans ces conditions, la Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l'article 4-3° de la loi du 6 janvier 1978 modifiée.
Sur les accédants et destinataires
L'article 6 du projet de décret indique les accédants et destinataires des données des traitements projetés.
Parmi les destinataires, le 3° du II de l'article 6 du projet de décret mentionne « les agents chargés de la formation des gardes champêtres ». Le ministère a indiqué que les formateurs auxquels fait appel le Centre national de la fonction publique territoriale (CNFPT) sont des gardes champêtres expérimentés. Les chefs de service de police municipale peuvent également procéder à la formation continue de leurs agents. En outre, certains services composés de plusieurs gardes champêtres peuvent procéder à ce type de formation continue, en ayant recours à des extraits vidéo de caméras individuelles du service. La Commission considère que la catégorie des destinataires chargés de la formation pourrait être précisée dans le projet de décret.
La Commission prend acte de ce qu'une doctrine d'emploi spécifique adressée aux préfets de département précisera les conditions d'utilisation en cas de transmission d'un extrait vidéo aux agents chargés de la formation des gardes champêtres.
Sur la durée de conservation des données
L'article 46 de la loi du 25 mai 2021 pour une sécurité globale préservant les libertés prévoit que les enregistrements audiovisuels sont effacés au bout de six mois, hors le cas où ils sont utilisés dans le cadre d'une procédure judiciaire, administrative ou disciplinaire. L'article 7 du projet de décret vient préciser le point de départ de ce délai de conservation, à savoir six mois « à compter du jour de leur enregistrement ».
L'article 7 du projet de décret précise qu'au terme de ce délai, les enregistrements font l'objet d'un effacement automatique, et que lorsque les données ont été extraites dans le délai de six mois et transmises pour les besoins d'une procédure judiciaire, administrative ou disciplinaire, elles sont conservées selon les règles propres à chaque type de procédure.
L'AIPD précise que le mécanisme de suppression automatique doit être mis en œuvre sur le système dans lequel les données sont transférées et à compter du transfert. Afin de limiter le risque de l'écoulement d'un délai entre la durée de conservation prévue par le texte et la durée réelle de conservation dans l'hypothèse où les données seraient transférées plusieurs jours après leur enregistrement, la Commission prend acte de ce que la doctrine d'emploi rappellera que les gardes champêtres doivent, après son utilisation, procéder dès que possible au déchargement de la caméra. Si ce déchargement n'est pas fait dès que possible, ces derniers pourront faire l'objet d'une action disciplinaire.
La Commission considère que les données collectées sont conservées pendant une durée qui n'excède pas la durée nécessaire compte tenu des finalités pour lesquelles elles sont collectées et traitées, conformément à l'article 4-5° de la loi du 6 janvier 1978 modifiée.
Sur les droits des personnes concernées
L'article 46 de la loi du 25 mai 2021 pour une sécurité globale préservant les libertés prévoit que les caméras sont portées de façon apparente par les agents et qu'un signal visuel spécifique indique si la caméra enregistre. Il prévoit également que le déclenchement de l'enregistrement fait l'objet d'une information des personnes filmées, « sauf si les circonstances l'interdisent ».
La Commission rappelle que cette exception a fait l'objet d'une réserve d'interprétation par le Conseil constitutionnel dans sa décision n° 2021-817 DC du 20 mai 2021 s'agissant des caméras individuelles des agents de police et gendarmerie nationales et de la police municipale, qui considère que « ces circonstances recouvrent les seuls cas où cette information est rendue impossible pour des raisons purement matérielles et indépendantes des motifs de l'intervention ». A cet égard, elle prend acte que les hypothèses dans lesquelles l'enregistrement est réalisé à l'insu de la personne concernée seront précisées dans la doctrine d'emploi. La Commission considère néanmoins que le projet de décret devrait comporter des critères objectifs qui pourraient être précisés dans la doctrine d'emploi.
En outre, l'article 46 de la loi du 25 mai 2021 pour une sécurité globale préservant les libertés prévoit qu'une information générale du public sur l'emploi des caméras individuelles est organisée par le ministre de l'intérieur. La Commission observe que l'article 9 du projet de décret précise que cette information sera délivrée sur le site web de la commune ou, à défaut, par voie d'affichage en mairie.
Les droits des personnes concernées, autres que le droit à l'information, n'appellent pas d'observation de la part de la Commission.
Sur les mesures de sécurité
La Commission prend note que le ministère indique que les enregistrements effectués à l'aide des caméras individuelles ne peuvent être consultés qu'à l'issue de l'intervention. Elle recommande que cette condition soit techniquement garantie par les solutions choisies dans la mise en œuvre du traitement.
La Commission prend note de la possibilité d'effectuer une journalisation dans un registre spécialement ouvert à cet effet. Une journalisation non automatique des accès, modification et suppression des vidéos ne peut apporter le même niveau de garantie qu'une journalisation intégrée. En effet, la vraisemblance d'une fraude à la journalisation pour couvrir un traitement non approprié d'une vidéo reste élevé dans ce cas. Dans ce contexte, la Commission recommande aux responsables de traitement d'évaluer indépendamment la gravité des risques spécifiques de non détection de fraude et leurs impacts sur la finalité du traitement et sur les personnes concernées. Dans le cas où la gravité de ce risque résiduel serait élevée, la Commission devrait être saisie.
S'agissant de l'utilisation des enregistrements audiovisuels à des fins pédagogiques et de formation, l'article 7 du projet de décret prévoit que ceux-ci seront pseudonymisés afin de réduire les risques sur les personnes filmées.
Sur la transmission d'un bilan d'expérimentation
L'article 10 du présent projet de décret prévoit que, dans un délai de six mois avant la fin de l'expérimentation, le maire ou, lorsque l'agent susceptible d'être équipé de caméras individuelles est employé dans les conditions prévues à l'article L. 522-2 du code de la sécurité intérieure, l'ensemble des maires des communes où l'agent est affecté adresse au ministre de l'intérieur un rapport sur l'emploi des caméras individuelles des gardes champêtres.
La Commission demande à ce que ce rapport lui soit également transmis. Les éléments figurant dans ce rapport feront l'objet d'un examen attentif par la Commission afin qu'elle puisse se prononcer en pleine connaissance de cause si ce type de dispositif devait être pérennisé.