La Commission nationale de l'informatique et des libertés, 
 Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
 Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26 ;
 Vu la loi n° 95-73 du 21 janvier 1995 modifiée d'orientation et de programmation relative à la sécurité, notamment ses articles 10 et suivants ;
 Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 Vu la demande d'avis présentée par le ministère de la justice et des libertés en vue d'autoriser la mise en œuvre de traitements de données à caractère personnel relatifs à la vidéosurveillance au sein des locaux et des établissements de l'administration pénitentiaire ;
 Après avoir entendu Mme Claire RAVAL, commissaire, en son rapport et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
   Emet l'avis suivant :
 La Commission nationale de l'informatique et des libertés a été saisie pour avis, le 28 juin 2011, par le ministère de la justice et des libertés d'un projet d'arrêté portant autorisation unique concernant les traitements de données à caractère personnel relatifs à la vidéosurveillance au sein des locaux et des établissements de l'administration pénitentiaire.
 Elle utilisera le terme de « vidéoprotection » pour désigner les systèmes filmant la voie publique ou des lieux ouverts au public mis en œuvre conformément aux dispositions des articles 10 et suivants de la loi du 21 janvier 1995 modifiée.
 Pour les systèmes dont l'autorisation est envisagée par le projet d'arrêté sont installés à l'intérieur des locaux abritant des personnes incarcérées, il sera retenu le terme de « vidéosurveillance ».
 La commission considère ainsi que le terme de « vidéosurveillance » doit être préféré, s'agissant des systèmes installés dans les établissements pénitentiaires, à celui de « vidéoprotection ».
 La commission relève que les systèmes de vidéosurveillance numérique mis en œuvre au sein des locaux d'établissements de la direction de l'administration pénitentiaire constituent des traitements automatisés de données à caractère personnel au sens de la loi du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.
 Il y a lieu de faire application des dispositions de l'article 26-1 (2°) de la loi du 6 janvier 1978 modifiée qui soumet à une autorisation par arrêté ministériel pris après motivé et publié de la Commission nationale de l'informatique et des libertés les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat ayant pour objets la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté.
 L'arrêté examiné constitue en outre un acte réglementaire unique au sens de l'article 26-IV de la loi du 6 janvier 1978 modifiée. Des engagements de conformité seront adressés par les établissements pénitentiaires à la commission préalablement à chaque mise en œuvre d'un traitement de vidéosurveillance numérique.
   Sur les finalités poursuivies :
 La commission relève que le premier paragraphe de l'article du projet d'arrêté indique :
 « Est autorisée la mise en œuvre au sein des locaux et aux abords d'établissements de la direction de l'administration pénitentiaire de traitements de données à caractère personnel relatifs aux systèmes de vidéoprotection. »
 Elle estime que l'utilisation de caméras extérieures de vidéoprotection, installées sur les murs d'enceinte et visionnant la voie publique ou les lieux ouverts au public aux abords des établissements, relève des dispositions de la loi du 21 janvier 1995.
 Dès lors, l'article 1er du projet d'arrêté devrait être modifié de façon à ne pas mentionner les abords des établissements puisque le projet d'arrêté vise à autoriser les seuls systèmes de vidéosurveillance installés à l'intérieur des bâtiments.
 La commission relève que l'article 58 de la loi n° 2009-1436 du 24 novembre 2009 ne rend l'installation de systèmes de vidéosurveillance obligatoire que pour les établissements pénitentiaires dont l'ouverture est postérieure au 24 novembre 2009, le recours à ces dispositifs demeurant pour les autres établissements une simple faculté.
 Elle note que le ministère a décidé d'équiper l'ensemble des établissements pénitentiaires de systèmes de vidéosurveillance.
 La commission prend acte de ce que la finalité des systèmes de vidéosurveillance vise à assurer la sécurité des locaux et établissements de l'administration pénitentiaire ainsi que des personnes qui s'y trouvent.
 Elle relève que le projet d'arrêté précise que les traitements de données ainsi mis en œuvre visent à permettre de prévenir et de poursuivre les infractions pénales, les manquements aux prescriptions des règlements intérieurs des établissements pénitentiaires ainsi que les fautes disciplinaires et professionnelles.
 La commission observe que le projet d'arrêté prévoit que les systèmes de vidéosurveillance permettront plus précisément le contrôle des personnes placées sous main de justice et des personnes autorisées à accéder aux locaux, le constat d'atteintes au bon ordre dans les locaux ainsi que le constat d'atteintes à la sécurité du personnel de l'administration pénitentiaire ou à toute personne étant sous sa responsabilité.
 Elle relève que ces systèmes permettront également la détection d'incidents tels qu'agressions, dégradations, trafics, émeutes, projections, intrusions ou évasions.
 La commission considère que ces finalités sont conformes à la loi.
 En outre, elle prend acte de ce que le projet d'arrêté précise clairement qu'aucun dispositif biométrique ou de reconnaissance automatisée des personnes n'est mis en œuvre au moyen des systèmes installés dans le cadre de cet acte réglementaire unique.
 La commission rappelle que la vidéosurveillance demeure un outil, qui ne saurait remplacer totalement une surveillance humaine des détenus.
   Sur les zones placées sous vidéosurveillance :
 La commission prend acte de ce que le projet d'arrêté énumère, en deux listes distinctes, les lieux dans lesquels l'installation de caméras de vidéosurveillance pourra être autorisée, selon qu'il s'agisse des systèmes destinés à la surveillance de l'intérieur des locaux de l'administration pénitentiaire ou de l'intérieur des établissements pénitentiaires.
 A l'intérieur des locaux de l'administration pénitentiaire, les caméras pourront uniquement enregistrer les images captées dans les lieux suivants :
 ― zones d'accès et de stationnement des véhicules ;
 ― zones d'accès piétonniers ;
 ― zones de circulation et couloirs d'accès aux différentes portes et issues des bâtiments ;
 ― zones de circulation et salles d'attente ;
 ― zones d'accueil.
 A l'intérieur des établissements pénitentiaires, les caméras placées à l'intérieur des établissements pénitentiaires pourront uniquement enregistrer des images captées dans les lieux suivants :
 ― zones d'accès et de stationnement des véhicules ;
 ― zones d'accès piétonniers ;
 ― cours de promenade ;
 ― zones de circulation ;
 ― zones d'activités collectives affectées aux personnes détenues ;
 ― façades des lieux affectés à l'hébergement des personnes placées sous main de justice ;
 ― zones périmétriques dites « chemin de ronde » ;
 ― zones d'accueil.
 La commission relève que le projet d'arrêté prévoit que les engagements de conformité à l'arrêté mentionneront le lieu précis d'implantation des caméras.
 La commission estime toutefois que la communication de l'emplacement exact des caméras situées à l'intérieur des établissements pénitentiaires présente un caractère particulièrement sensible en termes de sécurité publique. Elle demande en conséquence au ministère de modifier son projet d'arrêté afin de supprimer l'obligation de mentionner le lieu précis d'implantation des caméras dans les engagements de conformité.
 Elle rappelle cependant que ces informations devront à tout moment être tenues à sa disposition ainsi qu'à celle de ses agents, notamment à l'occasion de l'exécution d'un contrôle du système de vidéosurveillance.
   Sur la durée de conservation des images :
 La commission relève que le projet d'arrêté prévoit que les images enregistrées sont conservées pendant un délai ne pouvant excéder un mois et qu'au terme de ce délai, les enregistrements qui n'ont fait l'objet d'aucune transmission à l'autorité judiciaire ou n'ont donné lieu à aucune enquête administrative sont effacés. Cette disposition apparaît satisfaisante.
   Sur les personnes autorisées à accéder aux images :
 La commission prend acte de ce que le projet d'arrêté prévoit que seuls ont accès aux données à caractère personnel, à raison de leurs fonctions ou pour les besoins du service : les agents de l'administration pénitentiaire ainsi que le correspondant local informatique, individuellement désignés et dûment habilités par les chefs d'établissements ou par les directeurs des locaux de l'administration pénitentiaire où sont mis en œuvre les traitements de vidéosurveillance.
   Sur l'information des personnes concernées :
 La commission prend acte de l'insertion au projet d'arrêté, à la suite de ses observations, d'un article précisant que les personnes susceptibles d'être filmées sont informées de l'existence d'un système de vidéosurveillance et des modalités d'exercice de leurs droits d'accès et de rectification. Cette information est réalisée par voie d'affiches apposées à l'entrée des locaux, zones et établissements au sein desquels de tels traitements sont mis en œuvre.
   Sur l'exercice par les personnes filmées de leurs droits d'accès et de rectification :
 La commission relève que le projet d'arrêté comporte un article prévoyant que les droits d'accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés s'exercent directement auprès du chef de l'établissement pénitentiaire ou des directeurs des locaux de l'administration pénitentiaire où sont mis en œuvre ces traitements.
 La commission observe cependant que le projet d'arrêté restreint la possibilité pour les personnes filmées d'exercer, de manière directe, leur droit d'accéder aux enregistrements visuels les concernant, dès lors qu'un second alinéa, ainsi rédigé, prévoit que : « Toutefois, le droit d'accès s'exerce de manière indirecte auprès de la commission nationale de l'informatique et des libertés, dans les conditions prévues à l'article 41 de la loi du 6 janvier 1978 susvisée pour les enregistrements pouvant mettre en cause la sécurité des locaux et des établissements pénitentiaires. »
 Le caractère général de cette formulation pouvant faire craindre, en pratique, que l'exercice par les personnes filmées de leurs droits d'accès soit systématiquement soumis à la procédure du droit d'accès indirect, la commission a demandé au ministère de la justice et des libertés de préciser les hypothèses dans lesquelles une procédure de droit d'accès indirect sera exigée.
 La commission prend acte des réponses fournies par le ministère selon lesquelles les enregistrements visuels peuvent mettre en cause la sécurité des locaux lorsque leur communication « permettrait de voir des éléments relatifs à la sécurité ou des zones que les personnes détenues ne peuvent pas voir ou auxquelles elles ne peuvent avoir accès ordinairement (chemins de ronde, zones neutres...) ». Ces réponses apparaissent satisfaisantes. Toutefois, la commission demande au ministère de faire figurer ces précisions dans son projet d'arrêté.
 Elle rappelle que le droit d'accès des personnes filmées aux enregistrements visuels les concernant devrait par principe s'exercer de manière directe auprès des responsables des traitements de vidéosurveillance et que le choix de la procédure d'accès indirect devrait être réservé à des cas précisément définis.
   Sur les mesures de sécurité :
 La commission relève que le projet d'arrêté prévoit la mise en œuvre d'un procédé de journalisation des opérations de consultation, de création et de mise à jour des données ainsi que des opérations d'extraction des images enregistrées.
 La commission observe toutefois que le ministère envisage de conserver les journalisations des événements d'extraction pendant un an, alors que les autres actions ne seraient journalisées que pendant une durée de trois mois.
 Compte tenu du caractère sensible des enregistrements réalisés au moyen des systèmes de vidéosurveillance installés au sein des locaux et établissements pénitentiaires ainsi que des finalités poursuivies par ces systèmes, la commission estime qu'il conviendrait de porter la durée de conservation des journalisations de l'ensemble des actions (consultation, création, mise à jour, et extraction) à un an.
 Elle estime également nécessaire que les enregistrements visuels, et tout particulièrement ceux reproduits sur un support en vue de leur transmission, fassent l'objet de mesures de chiffrement afin de mieux garantir leur confidentialité et leur intégrité.
 Les autres mesures de sécurité présentées n'appellent pas d'observation particulière.
   Sur l'installation de caméras de vidéosurveillance dans les cellules de protection d'urgence :
 Le ministère de la justice et des libertés a adressé par ailleurs à la commission une déclaration normale relative à l'installation de caméras de vidéosurveillance dans les cellules dites « de protection d'urgence », dans lesquelles sont affectées les personnes détenues dont l'état apparaît incompatible avec leur maintien en cellule ordinaire en raison d'un risque de suicide.
 Ces caméras ont pour finalité le contrôle de ces cellules, la détection d'incidents ainsi que l'analyse des enregistrements visuels pour l'amélioration des cellules de protection d'urgence.
 La commission considère que l'installation de caméras de vidéosurveillance dans les cellules de protection d'urgence relève de la procédure de demande d'avis applicable aux traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté, prévue par l'article 26-1 (2°) de la loi du 6 janvier 1978 modifiée.
 En conséquence, elle demande au ministère de la justice et des libertés de la saisir pour avis d'un projet d'acte réglementaire autorisant l'installation de caméras de vidéosurveillance dans les cellules de protection d'urgence.
La présidente,
I. Falque-Pierrotin