Délibération n° 2017-289 du 16 novembre 2017 autorisant la SNCF à mettre en œuvre un traitement automatisé de données à caractère personnel provenant des caméras individuelles utilisées par les agents de son service interne de sécurité au cours de leurs interventions(Demande d’autorisation n° 2069229
Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie par la SNCF d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel provenant des caméras individuelles utilisées par les agents de son service interne de sécurité au cours de leurs interventions ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code des transports, notamment ses articles L. 2251-1 et L. 2251-4-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment le IV de son article 8 et les 1° et 3° du I de son article 25 ;
Vu la loi n° 2016-339 du 22 mars 2016 relative à la prévention et à la lutte contre les incivilités, contre les atteintes à la sécurité publique et contre les actes terroristes dans les transports collectifs de voyageurs, notamment son article 2 ;
Vu la loi n° 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l’efficacité et les garanties de la procédure pénale, notamment son article 113 ;
Vu la loi n° 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme, notamment son article 21 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-1495 du 4 novembre 2016 portant code de déontologie des agents des services internes de sécurité de la SNCF et de la Régie autonome des transports parisiens ;
Vu le décret n° 2016-1862 du 23 décembre 2016 relatif aux conditions de l’expérimentation de l’usage de caméras individuelles par les agents des services internes de sécurité de la SNCF et de la Régie autonome des transports parisiens, notamment son chapitre Ier ;
Vu la délibération n° 2016-387 du 8 décembre 2016 portant avis sur un projet de décret en Conseil d’État portant application de l’article L. 2251-4-1 du code des transports et relatif aux conditions de l’expérimentation de l’usage de caméras individuelles par les agents des services internes de sécurité de la SNCF et de la RATP ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la SNCF d’une demande d’autorisation concernant un traitement de données à caractère personnel provenant des caméras individuelles utilisées par les agents de son service interne de sécurité au cours de leurs interventions.
L’article L. 2251-4-1 du code des transports, créé par la loi du 22 mars 2016 relative à la prévention et à la lutte contre les incivilités, contre les atteintes à la sécurité publique et contre les actes terroristes dans les transports collectifs de voyageurs, ouvre la possibilité aux agents des services internes de sécurité de la SNCF et de la RATP d’utiliser des caméras individuelles dans le cadre de leurs interventions, à titre expérimental pour une durée de trois ans à compter du 1er janvier 2017.
Les conditions de cette expérimentation ont été fixées par le décret susvisé du 23 décembre 2016, pris après avis de la CNIL en date du 8 décembre 2016. Ce décret dispose que les traitements mis en œuvre dans le cadre de l’expérimentation font l’objet d’une autorisation de la CNIL en application des dispositions de l’article 25 de la loi du 6 janvier 1978 modifiée. En effet, le traitement projeté, justifié par l’intérêt public, pourra, par la captation des images et du son, enregistrer des données sensibles au sens de l’article 8 de ladite loi et comporter en outre des données relatives à des infractions au sens de l’article 9 de la même loi. Il relève dès lors des dispositions prévues aux 1° et 3° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Sur les finalités du traitement :
A titre général, le déploiement des dispositifs de caméras individuelles entend répondre à un besoin de sécurisation physique et juridique des agents du service interne de sécurité de la SNCF dans le cadre de leurs interventions. Le service interne de sécurité de la SNCF est chargé, dans le cadre d'une mission de prévention, de veiller à la sécurité des personnes et des biens, de protéger les agents de l'entreprise et son patrimoine et de veiller au bon fonctionnement du service, conformément à l’article L. 2251-1 du code des transports.
Les finalités assignées au traitement par la SNCF sont :
la prévention des incidents au cours des interventions des agents de son service interne de sécurité ;
la collecte des preuves pour le constat des infractions et la poursuite de leurs auteurs dans le cadre de procédures judiciaires, administratives ou disciplinaires.
S’agissant de cette seconde finalité, la Commission relève que la SNCF entend aller au-delà de la lettre de la loi et du décret précités, qui ne prévoient expressément, au titre des finalités de ces dispositifs, que l’utilisation des enregistrements des dispositifs de caméras dans le cadre de procédures judiciaires.
Néanmoins, elle observe que tant les dispositions législatives portant sur la durée de conservation des données que les dispositions règlementaires concernant les destinataires et les personnes habilitées à accéder aux données prévoient l’utilisation de ces enregistrements dans le cadre de procédures administratives ou disciplinaires. La Commission avait d’ailleurs considéré, dans son avis du 8 décembre 2016 sur le projet de décret, que celui-ci devait être modifié afin d’en faire expressément mention au titre des finalités, sans avoir été suivie par le ministère sur ce point.
L'utilisation d'enregistrements issus de caméras individuelles dans le cadre d'une procédure administrative ou disciplinaire engagée à l'encontre d'un agent à l'origine d'un incident au cours d'une mission de sécurité étant, en tout état de cause, une finalité compatible avec les finalités expressément prévues par les textes précités, la  Commission  considère que cette finalité assignée au traitement est conforme auxdites dispositions.
Au regard de ces éléments, elle estime que les finalités du traitement telles que définies par la SNCF sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
En outre, la Commission prend acte que, bien que les dispositions législatives et réglementaires relatives à ces caméras le lui permettent, la SNCF n’entend pas utiliser les enregistrements à des fins de formation et de pédagogie des agents.
Enfin, elle rappelle que le traitement peut être mis en œuvre à titre expérimental jusqu’au 1er janvier 2020. A cet égard, le décret précité du 23 décembre 2016 prévoit que la SNCF adresse au ministre de l’intérieur et au ministre chargé des transports, dans un délai de deux ans suivant l’entrée en vigueur de l’expérimentation, un bilan de l’emploi des caméras individuelles comprenant une évaluation de l’impact de l’emploi de ces caméras sur le déroulement des interventions et le nombre de procédures judiciaires, administratives et disciplinaires pour les besoins desquelles il a été procédé à la consultation et à l’extraction de données en provenant. La Commission rappelle qu’elle devra également, si ce type de dispositif devait être pérennisé, être rendue destinataire de ces éléments.
Sur la nature des données traitées :
Le dispositif envisagé porte essentiellement sur la collecte de données audiovisuelles.
S’agissant du cadre de collecte de ces données, la SNCF prévoit de collecter exclusivement les images et les sons captés dans les emprises immobilières nécessaires à l’exploitation des services de transport ou des véhicules de transport public de personnes qui y sont affectées, conformément aux dispositions de l’article L. 2251-4-1 du code des transports. L’expérimentation sera plus précisément menée sur huit sites (Montparnasse, Juvisy, Grenoble, Lyon Part Dieu, Bordeaux, La Rochelle, Lille et Calais).
La Commission rappelle que le décret précité autorise le traitement des enregistrements provenant des seules caméras individuelles fournies par la SNCF aux agents de son service interne de sécurité, ce qui exclut le recours à tout autre dispositif permettant la captation d’images, et notamment à des caméras personnelles.
L’article L. 2251-4-1 du code des transports prévoit en outre que l’enregistrement n’est pas permanent mais déclenché lors d’interventions, « lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances de l’intervention ou au comportement des personnes concernées ».
A la demande de la Commission, la SNCF a établi une liste de critères commandant le déclenchement du système d’enregistrement, qui sont les suivants :
agressivité, violence physique ou verbale des personnes concernées ;
intervention déséquilibrée en raison du nombre d’interlocuteurs supérieur au nombre d’agents composant l’équipe d’intervention ;
présence dans un lieu présentant un risque particulier (par exemple, lieu isolé ou non accessible au public, lieu dépourvu de témoin susceptible de rendre compte ou de dispositif vidéo, lieu présentant un risque industriel particulier) ;
interpellation de l’auteur d’un crime ou d’un délit flagrant puni d’une peine d’emprisonnement.
La Commission considère que ces critères objectifs de déclenchement des enregistrements proposés par la SNCF sont de nature à restreindre la collecte de données aux seuls cas strictement nécessaires.
S’agissant des catégories de données traitées, outre les données audiovisuelles, qui sont susceptibles, aux termes de l’article 3 du décret du 23 décembre 2016 précité, de faire apparaître, directement ou indirectement, des données sensibles au sens de l’article 8 de la loi du 6 janvier 1978 modifiée, la SNCF prévoit de collecter les catégories de données suivantes :
le matricule, les nom et prénom ainsi que le service ou l’unité de rattachement de l’agent porteur de la caméra ;
le jour et les plages horaires d’enregistrement ;
le lieu de la prise de vue.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités poursuivies par le dispositif, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
La SNCF projette de conserver ces données pendant une durée de six mois à compter de leur enregistrement. Sauf extraction et transmission pour les besoins d’une procédure judiciaire, administrative ou disciplinaire, il est prévu que ces données soient automatiquement effacées à l’expiration de ce délai.
Cette durée de conservation, qui constitue une durée supérieure aux durées retenues dans le cadre des dispositifs de vidéoprotection et de vidéosurveillance fixes, doit permettre de tenir compte des délais moyens de traitement des procédures judiciaires, administratives ou disciplinaires, conformément aux dispositions de l’article 6 du décret du 23 décembre 2016.
Dès lors, la Commission considère que cette durée de conservation est conforme aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les accédants et destinataires des données :
A titre liminaire, la Commission prend acte que la SNCF n’entend pas recourir à un système de transmission permettant de visionner les images captées en temps réel à distance lorsque la sécurité des agents est menacée, bien que cette possibilité ait été ouverte par la loi du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme.
Dans ce contexte, les enregistrements ne peuvent être consultés qu’à l’issue de l’intervention et après transfert sur un support informatique sécurisé, conformément aux dispositions de l’article 4 du décret susmentionné. 
Ont seuls accès aux données du traitement, dans la limite de leurs attributions respectives :
le responsable du service interne de sécurité de la SNCF ;
les agents du service interne de sécurité spécialement habilités à cette fin.
La Commission rappelle que ces personnes sont seules habilitées à procéder à l’extraction des données pour les besoins d’une procédure judiciaire, administrative ou disciplinaire.
Peuvent être destinataires de tout ou partie des données enregistrées, dans la limite de leurs attributions respectives et de leur besoin d’en connaître dans le cadre d’une procédure judiciaire, administrative ou disciplinaire :
les agents spécialement habilités du service juridique de la SNCF, en charge du suivi des procédures judiciaires, administratives et disciplinaires ;
les personnes spécialement habilitées, participant à l’exercice du pouvoir disciplinaire à l’égard du personnel du service interne de sécurité ;
les officiers et agents de police judiciaire de la police et de la gendarmerie nationales ;
les agents de la police nationale et les militaires de la gendarmerie nationale qui assurent le contrôle des agents du service interne de la SNCF dans les conditions prévues à l’article L. 2251-6 du code des transports.
Dans la mesure où ces catégories d’accédants et de destinataires répondent aux dispositions de l’article 5 du décret du 23 décembre 2016, elles n’appellent pas d’observation particulière de la Commission.
Sur l'information et les droits des personnes :
S’agissant de l’information des personnes concernées, l’article L. 2251-4-1 du code des transports prévoit que les caméras sont portées de façon apparente par les agents et qu’un signal visuel spécifique indique si la caméra enregistre. Il prévoit également que le déclenchement de l’enregistrement fait l’objet d’une information des personnes filmées, « sauf si les circonstances l’interdisent ».
A titre général, la Commission rappelle que l’information doit être délivrée à toutes les personnes concernées par le traitement afin de garantir la loyauté de la collecte de leurs données personnelles. A sa demande, la SNCF a établi une liste de critères objectifs susceptibles de justifier l’absence d’information des personnes, à savoir :
l’urgence de l’intervention, par exemple lors du déroulement d’un crime ou d’un délit flagrant ;
la dangerosité de délivrer l’information, due à l’état d’agressivité de l’interlocuteur par exemple.
La Commission considère que ces critères limitatifs sont de nature à restreindre les hypothèses dans lesquelles l’enregistrement est réalisé à l’insu de la personne concernée.
En outre, une information générale du public sur l’emploi de caméras individuelles par les agents du service interne de sécurité de la SNCF est délivrée sur le site internet de la SNCF, conformément aux dispositions de l’article 8 du décret du 23 décembre 2016.
Les droits d’accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s’exercent directement auprès de la Direction de Zone Sûreté en charge du système concerné.  Le droit d’opposition ne s’applique au présent traitement, conformément à l’article 8 du décret précité.
Sur la sécurité des données et la traçabilité des actions :
Le dispositif est constitué de huit systèmes indépendants, répartis sur les huit sites retenus par la SNCF pour l’expérimentation, pour un total de quarante caméras au maximum. Chaque site accueille un système composé d’un PC, d’un NAS (Network Aera Storage, système de stockage de données) et d’un rack permettant le déchargement des caméras. Les huit sites disposent chacun d’une base de données distincte et ne sont reliés à aucun réseau.
Les données enregistrées dans les caméras sont chiffrées selon un protocole à l’état de l’art et protégées de toute visualisation ou suppression sur la caméra. Les clés de déchiffrement des caméras sont gérées et conservées uniquement dans l’application PC qui a effectué la configuration cryptographique de chaque caméra ; le déchiffrement des données implique ainsi d’utiliser le PC où la caméra a été configurée.
Les enregistrements des caméras sont récupérés via un rack de déchargement connecté au PC. Conformément aux dispositions de l’article 3 du décret, les informations relatives à l’identification de l’agent porteur de la caméra ainsi qu’au lieu où les données ont été captées ne sont pas enregistrées sur le même support que les enregistrements audiovisuels. L’application PC transfère les enregistrements sur l’espace de stockage NAS qui est attaché au PC. Le NAS est équipé de disques durs multiples avec redondance des données (protocole RAID) ; il n’y a pas de sauvegarde externalisée. En complément de ces mesures, la Commission recommande de chiffrer les données sur le NAS et de garantir leur disponibilité, en cas de sinistre important ou de vol, par la mise en œuvre d’une sauvegarde régulière sur un support physique amovible chiffré et conservé dans un coffre-fort ignifugé.
Les données peuvent être gravées sur CD-ROM ou enregistrées sur supports amovibles pour être transmises aux personnes habilitées. Deux cas sont prévus :
pour une extraction sur réquisition, les données ne sont pas chiffrées afin de permettre leur exploitation par les services de police ou de gendarmerie demandeurs. Les supports sont remis à chaque demandeur en main propre et aucun envoi par courrier ne sera effectué ;
pour une extraction en interne pour les besoin d’une procédure disciplinaire, les données seront enregistrées sur des supports amovibles USB avec algorithme de chiffrement AES-128Bits ou AES-256Bits. Les supports seront conservés en armoires fortes au sein du service chargé du suivi des procédures.
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur. Les agents habilités seront choisis en fonction de leur aptitude à maitriser l’outil et seront sensibilisés aux problématiques relatives à la protection des données à caractère personnel. Ils sont par ailleurs soumis aux dispositions du code de déontologie des agents des services internes de sécurité de la SNCF et de la Régie autonome des transports parisiens, établi par le décret susvisé du 4 novembre 2016.
La Commission rappelle que les permissions d'accès doivent être attribuées pour une durée déterminée, après validation hiérarchique, qu’elles doivent être supprimées pour tout utilisateur n'étant plus habilité et qu’une revue globale des habilitations doit être opérée régulièrement.
Seuls deux administrateurs par site seront habilités pour l’accès aux enregistrements et les personnes chargées de traiter les données en raison de leurs fonctions y auront accès uniquement en présence d’un administrateur. Le contrôle d’accès à l’application de gestion des enregistrements se fait par un couple identifiant et mot de passe de douze caractères, conforme aux dernières recommandations de la Commission. Chaque mot de passe est strictement personnel et modifié tous les 72 jours. En complément, la Commission rappelle que les mots de passe doivent être définis, ou modifiés dès la première connexion,  par l’utilisateur, et ne doivent pas être stockés en clair. Elle recommande ainsi de leur appliquer une fonction de hachage à clé ou à sel.
Les accès à l’application et toutes les opérations effectuées sont journalisés, avec le détail des enregistrements concernés. Ces données sont conservées trois ans à compter de leur enregistrement, conformément aux dispositions de l’article 7 du décret du 23 décembre 2016. La Commission recommande de réaliser un contrôle régulier, sinon automatique, des traces afin de détecter les comportements anormaux et lever des alertes.
La Commission relève qu’un logiciel d’analyse de données techniques permet d’effectuer des statistiques. Elle rappelle que l’outil de requête ne doit permettre que des restitutions anonymes et doit réduire également le risque de ré-identification des personnes en limitant les interrogations ciblées et le niveau de détail des rapports.
La Commission estime que les mesures de sécurité décrites sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle néanmoins que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, elle autorise, conformément à la présente délibération, la SNCF à mettre en œuvre le traitement susmentionné.
La Commission rappelle que la présente autorisation porte sur la mise en œuvre du traitement des enregistrements des caméras individuelles dans le cadre de l’expérimentation prévue par les textes précités et n’implique en aucune manière la délivrance d’une autorisation pérenne.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS