Source: https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000033693645&dateTexte=&categorieLien=id
Timestamp: 2018-04-27 05:05:50+00:00

Document:
Délibération n° 2016-385 du 8 décembre 2016 portant avis sur un projet de décret en Conseil d'Etat portant application de l'article L. 241-1 du code de la sécurité intérieure et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des agents de la police nationale et des militaires de la gendarmerie nationale (saisine n° AV 16025250) | Legifrance
Vous êtes dans : Accueil> Les autres textes législatifs et réglementaires> Délibération n° 2016-385 du 8 décembre 2016 portant avis sur un projet de décret en Conseil d'Etat portant application de l'article L. 241-1 du code de la sécurité intérieure et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des agents de la police nationale et des militaires de la gendarmerie nationale (saisine n° AV 16025250)
Délibération n° 2016-385 du 8 décembre 2016 portant avis sur un projet de décret en Conseil d'Etat portant application de l'article L. 241-1 du code de la sécurité intérieure et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des agents de la police nationale et des militaires de la gendarmerie nationale (saisine n° AV 16025250)
NOR: CNIX1637678X
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret en Conseil d'Etat portant application de l'article L. 241-1 du code de la sécurité intérieure et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des agents de la police nationale et des militaires de la gendarmerie nationale,
Vu la loi n o 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l'efficacité et les garanties de la procédure pénale, notamment son article 112 ;
La Commission nationale de l'informatique et des libertés a été saisie par le ministre de l'intérieur d'un projet de décret en Conseil d'Etat portant application de l'article L. 241-1 du code de la sécurité intérieure (CSI) et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des agents de la police nationale et des militaires de la gendarmerie nationale.
A titre liminaire, la commission rappelle s'être déjà prononcée sur les traitements de données à caractère personnel provenant des caméras individuelles dont sont dotés les agents de la police et de la gendarmerie nationales.
La commission avait alors considéré qu'au regard des risques élevés de surveillance des personnes et d'atteinte à la vie privée qui pourraient résulter de l'usage de caméras mobiles, ces dispositifs devaient faire l'objet d'un encadrement législatif spécifique.
Conformément à ces observations, les pouvoirs publics ont opté pour un vecteur législatif. Ainsi, la loi du 3 juin 2016 susvisée a créé un article L. 241-1 au sein du CSJ, lequel ouvre la possibilité, aux agents de la police nationale et militaires de la gendarmerie nationale, d'utiliser des caméras individuelles dans le cadre de leurs interventions.
Cet article prévoit que les modalités d'application et d'utilisation des données collectées sont précisées par un décret en Conseil d'Etat, pris après avis de la CNIL. C'est dès lors sur ce fondement que la commission est saisie du présent projet de décret, qui prévoit la création des articles R. 241-1 à R. 241-7 du CSI.
Les dispositions législatives précitées, ainsi que les dispositions réglementaires projetées, tiennent compte de certaines des précédentes observations formulées par la commission. Ainsi, l'article L. 241-1 du CSI prévoit expressément l'utilisation des enregistrements à des fins pédagogiques et de formation. Le projet de décret limite le périmètre des dispositifs aux seules caméras fournies aux agents de la police nationale et aux militaires de la gendarmerie nationale au titre de l'équipement des personnels. Il prévoit la collecte du lieu d'intervention de la patrouille au titre des catégories de données traitées et apporte certaines précisions quant à la durée de conservation des données.
Les dispositions de la loi du 6 janvier 1978 modifiée, dans la mesure où les traitements envisagés impliquent la collecte de données à caractère personnel. A cet égard, le ministère considère que les enregistrements visuels et sonores issus de la mise en œuvre de ces traitements sont susceptibles de contenir des données sensibles au sens de l'article 8 de la loi précitée. Dès lors que les traitements projetés ont notamment pour objet de prévenir, constater et poursuivre des infractions pénales, ils doivent être autorisés par décret en Conseil d'Etat pris après avis motivé et publié de la commission, conformément aux dispositions de l'article 26-II de cette même loi.
Le décret projeté a enfin vocation à constituer un acte réglementaire unique, au sens de l'article 26-IV de la loi susmentionnée. Un engagement de conformité devra ainsi être adressé à la commission, respectivement par la direction générale de la police nationale, la direction générale de la gendarme nationale ou la préfecture de police, pour les services qui leur sont rattachés, préalablement à la mise en œuvre desdits traitements.
A titre général, le déploiement de ces dispositifs entend répondre à un besoin de sécurisation physique et juridique des agents de la police nationale et des militaires de la gendarmerie nationale dans le cadre de leurs interventions. Ainsi, l'article L. 241-1 du CSJ prévoit que les enregistrements audiovisuels réalisés via les caméras individuelles ont pour finalités :
- la prévention des incidents au cours des interventions des personnels de police et de gendarmerie nationales ;
- le constat des infractions et la poursuite de leurs auteurs par ta collecte de preuves ;
L'article 1er du projet de décret, qui prévoit la création d'un article R. 241-1 au sein du CSI, rappelle dans des termes identiques les finalités de ces traitements de données personnelles.
Or, la commission relève que le projet de décret semble également prévoir l'utilisation des enregistrements dans le cadre de procédures administratives ou disciplinaires. Cette possibilité est évoquée tant dans les dispositions législatives précitées, s'agissant de la durée de conservation des données, que dans les dispositions réglementaires projetées, notamment en ce qui concerne les destinataires et les personnes habilitées à accéder aux données et informations collectées.
L'article L. 241-1 du CSI fait expressément apparaître l'utilisation des enregistrements à des fins pédagogiques et de formation au titre des finalités des dispositifs. Le projet de décret précise que les enregistrements utilisés à cet effet sont anonymisés. A cet égard, la commission rappelle que l'anonymisation implique d'empêcher toute réidentification individuelle des agents concernés par les enregistrements et qu'elle devra donc porter sur les éléments visuels et sonores de ces enregistrements.
En ce qui concerne le périmètre de mise en œuvre des dispositifs de caméras individuelles, le projet de décret n'autorise expressément que les caméras qui sont fournies aux agents de la police nationale et aux militaires de la gendarmerie nationale au titre de l'équipement des personnels, ce qui exclut le recours à tout autre dispositif permettant la captation d'images, et notamment à des caméras personnelles.
En revanche, il reste silencieux sur les situations dans lesquelles les agents et militaires sont autorisés à activer ces caméras. Si l'article L. 241-1 du CSI dispose que les caméras individuelles peuvent être utilisées « lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances de l'intervention ou au comportement des personnes concernées », la commission considère que le ministère devrait définir plus précisément les conditions d'utilisation de ces caméras afin d'éviter toute collecte disproportionnée de données à caractère personnel.
Concernant la possibilité de procéder à des enregistrements dans le domicile de particuliers, la commission observe que le législateur a autorisé la mise en œuvre des caméras mobiles « en tous lieux ». Elle considère néanmoins que le ministère devrait prévoir des règles spécifiques lorsque celles-ci sont utilisées au sein de lieux d'habitation, comme restreindre la possibilité de le faire à certaines circonstances et garantir une information individuelle systématique de la personne concernée, le cas échéant, à l'issue de l'intervention. Elle demande que les critères de nature à définir ces circonstances soient également indiqués dans le présent décret et estime que l'ensemble de ces éléments pourraient être précisés dans la doctrine d'emploi précitée.
L'article 1er du projet de décret énumère les catégories de données à caractère personnel et informations enregistrées dans les traitements mis en œuvre.
Le projet de décret prévoit la création d'un article R. 241-4 au sein du CSI, lequel dispose que les données sont « conservées pendant un délai de six mois à compter du jour de leur enregistrement. Au terme de ce délai, les enregistrements qui ne sont pas utilisés dans le cadre d'une procédure judiciaire, administrative ou disciplinaire sont effacés automatiquement. »
A cet égard, la commission relève qu'il a été tenu compte de ses observations tendant à préciser le point de départ du délai de conservation, que la durée de conservation est une durée fixe et non une durée maximale et que les enregistrements font l'objet d'une purge automatique.
La durée de conservation de six mois, qui constitue une durée supérieure aux durées retenues dans le cadre de la mise en œuvre des dispositifs de vidéoprotection (article L. 252-5 du CSI) et de la plupart des dispositifs de vidéosurveillance doit permettre de tenir compte des délais moyens de traitement des procédures judiciaire, administrative ou disciplinaire.
L'article L. 241-1 CSI prévoit expressément que les personnels auxquels les caméras individuelles sont fournies ne peuvent avoir accès directement aux enregistrements auxquels ils procèdent, ce qui constitue une garantie essentielle.
A cet égard, l'article 1er du projet de décret précise que les enregistrements sont transférés sur un support informatique sécurisé dès le retour des agents de la police nationale ou des militaires de la gendarmerie nationale. Il prévoit que les enregistrements ne doivent être consultés qu'à l'issue de l'intervention et après leur transfert sur le support informatique sécurisé.
Néanmoins, la commission estime que cette interdiction de principe doit être accompagnée de mesures techniques de nature à garantir cette absence de consultation par les agents et militaires des enregistrements à l'issue de l'intervention. En outre, il pourrait être envisagé des mesures opérationnelles garantissant que les enregistrements, une fois transférés sur un serveur dédié, ne soient visionnés que dans un cadre légal précis (procédure judiciaire, disciplinaire ou administrative ouverte).
L'article 1er du projet de décret énumère les personnels qui ont un accès direct aux données et informations enregistrées au moyen de caméras individuelles, ainsi que les catégories de destinataires de ces données.
Ainsi, sont habilités à accéder aux données, dans la limite de leurs attributions respectives, le chef du service ou le commandant de l'unité, d'une part, et les agents ou militaires individuellement désignés et habilités par le chef du service ou le commandant de l'unité, d'autre part. Seules ces mêmes personnes sont habilitées à procéder à des extractions de données, dans un cadre légal précis (procédure judiciaire, disciplinaire ou administrative ouverte) ou pour les besoins d'une action de formation ou de pédagogie des agents.
Peuvent être destinataires de tout ou partie des données enregistrées dans le traitement les enquêteurs intervenant dans le cadre d'une procédure judiciaire, administrative ou disciplinaire, ainsi que les agents et militaires chargés de la formation des personnels, chacun dans la limite de leurs attributions respectives et sous réserve du besoin d'en connaître.
S'agissant de l'information des personnes concernées, l'article L. 241-1 du CSI prévoit que les caméras sont portées de façon apparente par les agents et militaires et qu'un signal visuel spécifique indique si la caméra enregistre. Il prévoit également que le déclenchement de l'enregistrement fait l'objet d'une information des personnes filmées, « sauf si les circonstances l'interdisent ». A cet égard, le ministère avait indiqué lors de précédents échanges qu'une délivrance systématique était en pratique difficilement envisageable au regard des conditions dans lesquelles se déroulent certaines interventions.
Cependant, la commission demande que le ministère limite expressément les hypothèses dans lesquelles l'enregistrement est réalisé à l'insu de la personne concernée aux seuls cas strictement nécessaires. Elle considère que le décret devrait comporter des critères en ce sens, ainsi que des dispositions spécifiques concernant l'information des particuliers dont le domicile est filmé, qui pourraient être ensuite précisés dans la doctrine d'emploi élaborée par le ministère de l'intérieur.
L'article susmentionné prévoit également une information générale du public sur l'emploi des caméras individuelles, organisée par le ministre de l'intérieur. Le projet de décret précise que cette information est délivrée sur les sites internet de la direction générale de la police nationale et de la direction générale de la gendarmerie nationale. Dans la mesure où des services rattachés à la préfecture de police sont également susceptibles d'utiliser des caméras individuelles, la commission estime que le projet de décret devrait également prévoir la délivrance de cette information sur le site internet de celle-ci. En outre, cette information pourrait également être dispensée sur le site du ministère de l'intérieur.
A cet égard, la commission estime que les éléments avancés par le ministère ne sont pas de nature à fonder la mise en place d'un droit d'accès indirect, lequel n'apparaît en outre pas nécessaire au regard des finalités du traitement, puisqu'il a en principe pour fondement le caractère non communicable des informations concernées.
En outre, elle souligne que, au vu de la durée de conservation des données (six mois sauf engagement d'une procédure judiciaire, administrative ou disciplinaire) et du caractère non centralisé de ces traitements, l'effectivité réelle du droit d'accès aux données ne pourrait être garantie pour toutes les personnes susceptibles d'être concernées par les traitements en cause (personnes filmées, personnes tierces à l'intervention mais susceptibles d'apparaître dans les enregistrements et agents publics).
Le projet de décret prévoit que chaque opération de consultation et d'extraction de données fait l'objet d'un enregistrement dans le traitement ou, à défaut, d'une consignation dans un registre spécialement ouvert à cet effet qui comporte les matricule, nom, prénom et grade de l'agent ou du militaire procédant à l'opération, la date et l'heure de l'opération, ainsi que le motif judiciaire, administratif, disciplinaire ou pédagogique, le service ou l'unité destinataire des données et l'identification des enregistrements audiovisuels extraits et de la caméras dont ils sont issues. Ces données et informations sont conservées trois ans.
En revanche, le ministère de l'intérieur n'a fourni ni étude de risques globale ni politique de sécurité encadrant les traitements, contrairement à ce que la commission avait pu recommander. En l'absence de précisions concernant les mesures de sécurité envisagées, la commission n'est dès lors pas en mesure de s'assurer du respect des dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée, alors même que certaines des garanties essentielles évoquées ci-dessus reposent sur la mise en œuvre de mesures de sécurité.
C'est pourquoi elle demande que le projet de décret soit complété de certaines mesures élémentaires de sécurité applicables à l'ensemble des traitements concernés. Il pourrait également être prévu que le décret renvoie à un référentiel de sécurité pris par arrêté après avis de la CNIL. En tout état de cause, et sans que cela soit limitatif, les mesures de sécurité suivantes devraient être prévues par le pouvoir réglementaire et mises en œuvre et réévaluées régulièrement :

References: l'article 8
 l'article 26
 l'article 26

L'article 1

L'article 1
 l'article 1

L'article 1
 l'article 34