Après avoir entendu M. Sébastien HUYGHE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
 Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis par la ministre de la justice d'un projet d'arrêté portant création de traitements de données à caractère personnel relatifs à la vidéoprotection des cellules de protection d'urgence. Il s'agit des cellules spécialement aménagées dans les établissements pénitentiaires, dans lesquelles sont placés les détenus en situation critique pendant une durée maximale de vingt-quatre heures.
Ces cellules sont entièrement lisses et situées à proximité de services médicaux en détention. Elles ne disposent d'aucun point d'accroche pour une tentative de suicide par pendaison, ni d'équipements aisément démontables ou dégradables susceptibles de constituer un objet tranchant.
Les traitements projetés reposent sur l'utilisation de caméras vidéo installées au sein même de ces cellules, afin d'assurer la sécurité des détenus dont l'état apparaît momentanément incompatible avec leur placement ou leur maintien en cellule ordinaire en raison d'un risque de suicide. De tels dispositifs concourent ainsi à l'exécution des condamnations pénales ou des mesures de sûreté.
Il y a dès lors lieu de faire application des dispositions de l'article 26-I-2° de la loi du 6 janvier 1978 modifiée qui soumettent la création de tels traitements à un arrêté ministériel pris après avis motivé et publié de la Commission.
 Sur la finalité du traitement :
De manière générale, les traitements créés par ce projet d'arrêté ont pour objectif de prévenir le risque de suicide des détenus, lesquels sont placés au sein de cellules de protection d'urgence.
Ces cellules ne sauraient constituer une cellule disciplinaire ou une chambre d'isolement mais bien une protection offerte aux détenus dont l'état apparaît momentanément incompatible avec leur placement ou leur maintien en cellule ordinaire.
A cet égard, la Commission souligne que ces traitements s'inscrivent dans le cadre de la mission de service public de l'administration pénitentiaire, chargée de garantir la sécurité de l'établissement pénitentiaire et des personnes qui s'y trouvent. Conformément aux articles D. 265 et suivants du code de procédure pénale, tout chef d'établissement pénitentiaire doit veiller au maintien de l'ordre et de la sécurité dans l'établissement pénitentiaire qu'il dirige. Plus particulièrement, il doit s'assurer du respect de l'intégrité physique des détenus. Le placement en cellule de protection d'urgence constitue ainsi un lieu sécurisé dans l'attente d'une prise en charge sanitaire adaptée.
Plus précisément, l'article l du projet d'arrêté mentionne les finalités poursuivies par les traitements projetés :
- le contrôle sous vidéoprotection d'une cellule de protection d'urgence dans laquelle sont affectées les personnes placées sous main de justice dont l'état apparaît incompatible avec son placement ou son maintien en cellule ordinaire en raison d'un risque de passage à l'acte suicidaire imminent ou lors d'une crise aiguë ;
- la détection d'incidents tels qu'automutilations ou tentatives de suicide ; l'analyse de la vidéo pour l'amélioration des cellules de protection d'urgence.
La Commission relève par ailleurs que les dispositifs vidéo installés dans les cellules de protection d'urgence sont complémentaires aux dispositifs de rondes mis en œuvre dans chaque établissement pénitentiaire ainsi qu'aux différents entretiens réalisés avec la personne placée au sein de ce type de cellule.
Elle prend acte que ces systèmes vidéo ne sont mis en œuvre que sur décision de la direction de l'administration pénitentiaire, responsable de traitement au sens de l'article 3-1 de la loi du 6 janvier 1978 modifiée, après étude et évaluation effectuées par la mission de la prévention et de la lutte contre le suicide (MPLS).
Compte tenu de ces éléments et de la situation de détresse et d'urgence dans laquelle se trouvent les détenus, de nature à justifier une surveillance continue pendant un temps limité, la Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes, conformément à l'article 6-2° de la loi du 6 janvier 1978 modifiée.
 Sur la nature des données traitées :
L'article 2 du projet d'arrêté se rapporte aux données à caractère personnel enregistrées dans les traitements mis en œuvre, lesquelles se composent uniquement des séquences vidéo provenant des caméras installées au sein des cellules de protection d'urgence spécialement aménagées au sein des établissements pénitentiaires.
La Commission prend acte qu'aucun dispositif biométrique n'est couplé avec les caméras vidéo mis en œuvre, qu'aucun dispositif automatique de détection d'événements ou de mouvements anormaux ne sera installé et qu'aucune extraction de photographies issues de ces traitements ne sera réalisée. Par ailleurs, le son ne sera ni capté, ni enregistré par les dispositifs vidéo mis en œuvre dans les cellules de protection d'urgence.
La Commission considère dès lors que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
 Sur la durée de conservation des données :
L'article 3 du projet d'arrêté prévoit que les données à caractère personnel enregistrées sont conservées sur support numérique pendant un délai d'un mois. La Commission considère que cette durée de conservation n'appelle pas d'observation particulière.
Les données sont ensuite conservées dans une base d'archives intermédiaires (base inactive) pendant une durée de six mois. Au terme de ce délai, le contenu des enregistrements vidéo qui ne sont suivis d'aucune transmission à l'autorité judiciaire est effacé.
 Sur les destinataires des données :
L'article 4 du projet d'arrêté prévoit que seuls ont accès aux données à caractère personnel, à raison de leurs fonctions ou pour les besoins du service :
- les personnels de l'administration pénitentiaire désignés pour la surveillance des lieux filmés
- les agents de l'administration pénitentiaire individuellement désignés et dûment habilités par le chef d'établissement pénitentiaire où sont mis en œuvre les traitements de vidéoprotection ;
- le correspondant local informatique individuellement désigné et dûment habilité par le chef d'établissement pénitentiaire.
La Commission rappelle qu'il incombe au responsable de traitement de prendre toutes précautions utiles afin d'empêcher que des tiers non autorisés n'aient accès aux données collectées.
L'article 5 du projet d'arrêté indique en outre que les agents de la Mission de prévention et de lutte contre le suicide en milieu carcéral de l'administration pénitentiaire peuvent, à raison de leurs fonctions, être destinataires des données à caractère personnel mentionnées à l'article 2 dudit projet d'arrêté. A cet égard, la Commission prend acte que la consultation par ces agents s'effectuera sur place, dans la limite des durées de conservation qui ont été définies.
La Commission considère que les finalités des traitements mis en œuvre justifient que l'ensemble de ces destinataires puissent avoir accès aux données collectées dans le cadre de leurs missions et habilitations respectives.
 Sur les droits des personnes :
La Commission prend acte de la modification, à la suite de ses observations, de l'article 7 du projet d'arrêté. Elle relève que, par souci de lisibilité et de transparence, le ministère a fait figurer dans ledit article les modalités d'information des personnes susceptibles d'être filmées par les dispositifs installés dans une cellule de protection d'urgence ainsi que les modalités d'exercice de leurs droits d'accès et de rectification. Cette information est réalisée par voie d'affiche apposée à l'entrée de la cellule de protection d'urgence.
Elle relève également que les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent directement auprès du chef de l'établissement pénitentiaire où sont mis en œuvre ces traitements.
La Commission prend acte que le droit d'opposition prévu à l'article 38 de la loi précitée ne s'applique pas aux traitements autorisés par le projet d'arrêté.
 Sur la sécurité des données et la traçabilité des actions :
La Commission relève qu'outre les caméras, chaque dispositif vidéo équipant une cellule de protection d'urgence est constitué d'un ordinateur et d'une base de sauvegarde hébergés dans un local sécurisé à proximité de la cellule. Cet ordinateur n'étant relié à aucun réseau, le dispositif présente un risque limité d'atteintes aux données.
Elle relève que le ministère a prévu une journalisation des accès à l'application et des extractions des images à partir de ces vidéos. Compte tenu de l'absence d'extraction de photographie à partir des traitements projetés et par souci de cohérence avec l'article 2 du projet d'arrêté, l'article 8 dudit projet devrait être modifié, afin de faire référence aux « séquences vidéo » et non pas aux « images ».
La Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.