Sécurité globale : la Cnil invite les parlementaires à la plus grande vigilance

Saisie par le président de la commission des Lois du Sénat d'une demande d'avis sur la proposition de loi Sécurité globale adoptée par l'Assemblée nationale en première lecture – une première depuis l'introduction de cette possibilité par la loi de protection des données personnelles de 2018 –, la Commission nationale informatique et libertés (Cnil) se fait particulièrement critique à l'égard du texte et invite les parlementaires à la plus grande vigilance. "Le recours à des outils présentant intrinsèquement des risques pour la vie privée des individus […] induit des choix de société auxquels il convient que le Parlement soit particulièrement attentif et dont les conséquences ne sont pas, à moyen ou long terme, parfaitement identifiées à cette heure", avertit-elle.

Un encadrement juridique insuffisant, en partie obsolète

Si elle concède que cette proposition de loi s'inscrit dans un "mouvement observé depuis de nombreuses années visant à accroitre le recours aux dispositifs vidéos", la Cnil "appelle solennellement l'attention du législateur sur le changement de nature et d'ampleur" que ce texte induit. Principalement en cause, les caméras aéroportées, "dispositifs mobiles, discrets par nature et dont la position en hauteur leur permet de filmer des lieux jusqu'ici difficiles d'accès voire interdits", "susceptibles d'influer sur l'exercice par les citoyens d'autres libertés fondamentales (droit de manifester, liberté de culte, liberté d'expression)".

Le reste des dispositions n'échappe toutefois pas à la critique, la Cnil considérant in fine que "les évolutions envisagées ne permettent pas d'aboutir à un encadrement juridique cohérent, complet et suffisamment protecteur des droits des personnes en matière de vidéoprotection". Ne serait-ce qu'en raison du fait que "les dispositions du code de la sécurité intérieure relatives à la vidéoprotection sont en partie obsolètes depuis l'entrée en vigueur du RGPD et méritent d'être globalement repensées", souligne la présidente de la Cnil Marie-Laure Denis, lors de son audition devant la commission des Lois du Sénat, mercredi 3 février. Revue de détails.

• Drones : la Cnil réclame une expérimentation

Pour la Cnil, la généralisation de l'usage des caméras aéroportées entraîne un "'changement de paradigme' qui ne doit pas être sous-estimé dans le contexte de la montée, au sein de notre démocratie, d'un débat autour de la mise en place d'une société dite de 'surveillance'". Aussi juge-t-elle "hautement souhaitable" que le législateur conditionne leur utilisation à une expérimentation préalable.

En tout état de cause, elle conteste l'actuelle "addition des finalités et des services pouvant recourir aux drones", au risque "d'en banaliser l'usage, lequel doit être au contraire limité". De mauvaise augure pour les polices municipales – en l'état du texte non éligibles – qui souhaitaient s'en doter, ou l'ont déjà fait, comme à Nice.

Dans tous les cas, la Cnil estime que le recours aux drones "ne peut être admis que sous deux réserves cumulatives : la stricte nécessité de leur usage au regard des objectifs légitimes poursuivis et la proportionnalité des conditions de mise en œuvre de ces dispositifs". La Cnil juge en conséquence "nécessaire que le législateur définisse précisément la liste des infractions susceptibles de nécessiter l’utilisation" de drones, qui ne peuvent de surcroit être que "d'un degré élevé de gravité". "Pas pour des infractions de 5^e classe", a précisé Marie-Laure Denis aux sénateurs, excluant de facto leur usage pour non-respect du confinement.

Passant en revue les dispositions du texte, la Cnil demande à ce que leur usage lors des opérations de maintien ou de rétablissement de l'ordre public lors de rassemblements de personnes sur la voie publique soit conditionné à un risque de "troubles graves à l'ordre public" ; prie d'expliciter ce que recouvre la finalité relative à la "prévention des risques naturels ou technologiques" ; juge que "le caractère justifié de [leur] recours afin de permettre, de manière générique, 'la protection des bâtiments publics et de leurs abords' et 'le secours aux personnes' n'est pas démontré", ou encore que devra être indiqué à quelles fins la surveillance "des littoraux et des zones frontalières" par drones pourra être déployée.

Une fois ces finalités restreintes dument listées, la Cnil appelle à s'assurer que les circonstances précises des missions menées justifient l'emploi des drones, "et ce pour une durée adaptée". Elle invite en outre le ministère à publier une "doctrine d'usage", et ce d'autant que la loi ne prévoit pas un mécanisme de contrôle ou de supervision a priori du recours à ces dispositifs.

Elle commande également que les garanties existantes soient complétées, et ce d'autant qu'elle s'interroge sur le caractère effectif des techniques prévues, soulignant les difficultés existantes pour les caméras fixes de respecter par exemple l'interdiction de filmer l'intérieur ou les entrées des habitations. Elle souligne la nécessité de prohiber toute captation du son en plus de l'enregistrement d'images, ou tout couplage avec d'autres dispositifs de traitement vidéo, notamment de reconnaissance faciale.

S'agissant de leur recours dans le cadre de la régulation des flux de transport, elle juge essentiel un procédé d'anonymisation.

• Caméras individuelles : attention au respect de l'anonymat et à l'intégrité des enregistrements

Si la Cnil admet que ces caméras, qui visaient "initialement à répondre à un besoin de sécurisation physique et juridique des interventions des agents", puissent dorénavant permettre à ces derniers de les utiliser afin d’assurer "l’information du public sur les circonstances de l’intervention" réalisée, elle enjoint que soient précisés "les motifs et circonstances qui justifieront" cette divulgation et sollicite des garanties afin de préserver les libertés individuelles et publiques attachées à l’anonymat dans l’espace public.

De même, si elle juge légitime que les agents puissent avoir désormais accès, dans l'exercice de leurs missions de prévention des atteintes à l'ordre public et de protection de la sécurité des personnes et des biens ainsi que de leurs missions de police judiciaire, directement aux enregistrements auxquels ils procèdent dans le cadre d’une procédure judiciaire ou d’une intervention, elle souligne la nécessité que le décret d'application précise les missions et les circonstances justifiant cet accès, le principal enjeu étant "de préserver, en pratique, la sécurité des enregistrements effectués et en particulier leur intégrité, et à s’assurer que ceux-ci ne feront ni l’objet d’une visualisation sans motif légitime ni d’une modification ou d’une suppression". Soulignant leur généralisation (sapeurs-pompiers, personnels pénitentiaires, agents de sécurité SNCF et RATP), la Cnil préconise là encore l'élaboration d'une doctrine d'emploi afin d'homogénéiser les garanties et pratiques, en particulier la manière dont elles peuvent être déclenchées.

• Vidéoprotection : cloisonnement des accès, traçabilité et nécessaire gravité

Prenant compte du nombre important de personnes qui pourront à l'avenir visionner les images des caméras installées sur la voie publique, dont les policiers municipaux, la Cnil réclame des garanties fortes pour que seul le personnel dûment habilité puisse effectivement visionner ces images dans le strict besoin de leur mission ainsi que des mesures de sécurité adéquates, notamment en matière de traçabilité des accès.

Évoquant plus particulièrement la possible mutualisation d’équipements et de personnels (centres de supervision urbains) jusqu’au niveau départemental et le visionnage d’images de vidéoprotection de voie publique par tout personnel agréé relevant du niveau communal, intercommunal ou issu d’un syndicat mixte, elle préconise une démarche concertée qui pourrait se traduire par des conventions dûment homologuées, en s'assurant que seules les personnes dûment habilitées accèdent aux images dont elles ont effectivement à connaître au regard de leurs missions (via, par exemple, "un cloisonnement strict des accès aux postes de visionnage").

S'agissant des dispositions prévoyant que la transmission aux services chargés du maintien de l'ordre des images des parties communes des immeubles collectifs à usage d'habitation ne serait plus subordonnée à un certain niveau de gravité des événements rencontrés, la Cnil invite à "resserrer la formulation à des cas où cette transmission se justifie réellement", en s'assurant "que la durée de la transmission n’excède pas celle effectivement nécessaire pour permettre l’intervention des forces de l’ordre" et que "ne soient pas filmées les portes des appartements ni les balcons, terrasses ou fenêtres de ces derniers".

De même, elle estime que la transmission en temps réel des images des systèmes de vidéoprotection aux services de sécurité de la SNCF et de la RATP, en dehors de toute réquisition judiciaire, ne devrait être justifiée que dans des cas précisément définis et présentant un degré de gravité suffisant.

• Caméras embarquées dans certains véhicules : anonymisation nécessaire

Évoquant plus particulièrement la possibilité, à titre expérimental, qui serait offerte aux opérateurs de transport public de voyageurs d'équiper leurs matériels roulants de caméras frontales permettant une captation continue (certes aux seules fins d'améliorer la connaissance de l’accidentologie ou de formation), la Cnil appelle l'attention du législateur sur la nécessité de renforcer les garanties en excluant, par principe, la captation d’enregistrements sonores et en aboutissant à une anonymisation, complète et irréversible, des données.

• Pénalisation de la diffusion d'image de force de l'ordre

S'agissant du fameux "article 24" qui a concentré l'attention des médias, la Commission rappelle que l’utilisation ou la réutilisation d'enregistrements aux seules fins de nuire aux forces de l’ordre ne sauraient constituer des traitements poursuivant une finalité légitime au sens du RGPD et sont dès lors déjà susceptibles d’être réprimées, tant sur la base de la loi du 6 janvier 1978 modifiée que sur celle des dispositions du code pénal relatives aux "atteintes aux droits de la personne résultant des fichiers ou des traitements informatiques".