CNILTEXT000043243028
CNIL texte/cnil/CNIL/TEXT/00/00/43/24/30/CNILTEXT000043243028.xml DELIBERATION
Délibération 2020-136 du 17 décembre 2020 Délibération n° 2020-136 du 17 décembre 2020 portant avis sur un projet de décret relatif au recours à la vidéo intelligente pour mesurer le taux de port de masque dans les transports (demande d’avis n° 20019694) 2020-136
Avis 2020-12-17
2021-03-13 VIGUEUR
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère chargé des transports, en application des dispositions du 4° sous a) de l’article 8 de la loi n° 78-17 du 6 janvier 1978 modifiée, d’une demande d’avis portant sur un projet de décret relatif au recours à la vidéo intelligente pour mesurer le taux de port de masque dans les transports ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2020-290 du 23 mars 2020 d’urgence pour faire face à l’épidémie de COVID - 19, notamment son article 4 ;
Vu la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions ;
Vu les articles L. 3131-12 et suivants du code de la santé publique ;
Vu le décret n° 2020-1257 du 14 octobre 2020 déclarant l’état d’urgence sanitaire ;
Vu le décret n° 2020-1262 du 16 octobre 2020 prescrivant les mesures générales nécessaires pour faire face à l’épidémie de COVID-19 dans le cadre de l’état d’urgence sanitaire ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Bertrand du MARAIS, commissaire, en son rapport, et M. Benjamin TOUZANNE commissaire du Gouvernement, en ses observations,
Emet l’avis suivant :
La saisine de la Commission intervient dans le contexte de l’épidémie de COVID-19 et l’obligation, depuis le 11 mai 2020, pour les usagers des transports publics collectifs, de porter un masque de protection. Le projet de décret vise à permettre aux exploitants de services de transports collectifs de voyageurs de mettre en œuvre des dispositifs de mesure du taux de port de masque au moyen du traitement automatisé d’images provenant des caméras de vidéoprotection existantes, en excluant le droit d’opposition des personnes concernées au traitement de leurs données.
Comme elle a eu l’occasion de le souligner dans plusieurs de ses délibérations liées à la crise sanitaire, la Commission a pleinement conscience de la gravité de la situation sanitaire liée à l’épidémie de COVID-19 et de la nécessité pour le Gouvernement de prendre les mesures nécessaires de protection de la population. Ce projet s’inscrit dans son action de lutte contre l’épidémie, et traduit le souhait de ne laisser de côté aucun outil permettant d’endiguer la propagation de la maladie.
Pour autant, la mise en œuvre à grande échelle de dispositifs dits de vidéo intelligente dans l’espace public pose d’importantes questions en termes de protection de la vie privée. L’espace public est un lieu où s’exercent de nombreuses libertés individuelles (droit à la vie privée, à la protection des données à caractère personnel, liberté d’aller et venir, liberté d’expression, etc). La préservation de l’anonymat dans l’espace public est une dimension essentielle pour l’exercice de ces libertés ; la captation et l’analyse systématiques de l’image des personnes dans ces espaces sont incontestablement porteuses de risques pour leurs droits et libertés fondamentaux.
La lutte contre l’épidémie de COVID-19, qui relève de l’objectif à valeur constitutionnelle de protection de la santé, constitue par ailleurs un impératif majeur de nature à justifier, dans certaines conditions, des atteintes transitoires au droit à la protection de la vie privée et des données à caractère personnel.
Les protections constitutionnelle et conventionnelle du droit au respect de la vie privée et à la protection des données à caractère personnel, assises notamment sur la Charte des droits fondamentaux de l’Union européenne et la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, imposent toutefois que les atteintes portées à ces droits par les autorités publiques soient non seulement justifiées par un motif d’intérêt général, mais soient également nécessaires et proportionnées à la réalisation de cet objectif.
Le projet de décret appelle dès lors les observations suivantes de la part de la Commission.
Sur la finalité des dispositifs de détection du port de masque prévus par le projet de décret
Le projet de décret prévoit en son article 1 er que, lorsqu’une loi ou un décret impose le port d’un masque de protection dans les transports publics, les exploitants de services de transport public collectif de voyageurs peuvent utiliser des systèmes de vidéoprotection autorisés sur le fondement de l’article L. 252-1 du code de la sécurité intérieure aux fins d’évaluer statistiquement le respect des obligations de port du masque et d’adapter leurs actions d’information et de sensibilisation du public .
La Commission prend acte de ce que ces dispositifs n’ont pas pour finalité, ni ne peuvent permettre techniquement, l’identification des personnes et n’ont donc pas vocation à traiter des données biométriques.
La Commission prend également acte des précisions apportées par le ministère concernant les finalités de ces dispositifs, qui n’ont pas vocation à poursuivre les infractions à la réglementation relative au port du masque, mais à permettre de diffuser des messages d’annonce types et non ciblés dans les lieux où serait constaté un taux moyen de port du masque insuffisant. Le ministère a également indiqué que les dispositifs n’ont pas davantage vocation à permettre le déploiement immédiat sur les lieux d’agents chargés du respect de la réglementation relative au port du masque, mais de redéployer des agents d’information en vue de sensibiliser davantage les usagers à leurs obligations.
La Commission estime cette finalité comme déterminée, explicite et légitime au sens de l’article 5.1.b du RGPD.
Sur l’exclusion du droit d’opposition des personnes concernées au titre de l’article 23 du RGPD
Le projet de décret prévoit également, de façon relativement inédite, au II de son article 1 er , que lorsque les exploitants de service de transport public choisissent de recourir à ces dispositifs, le droit d’opposition des personnes dont les images vont être captées, prévu à l’article 21 du RGPD, ne s’applique pas à ce traitement. Cette faculté est offerte par les articles 23 du RGPD et 56 de la loi Informatique et Libertés qui y renvoie.
L’exclusion d’un droit prévu par le RGPD doit répondre à plusieurs critères.
Sur la justification de l’exclusion du droit d’opposition
L’article 23 du RGPD requiert un texte de droit de l’Union ou de l’Etat membre pour notamment limiter la portée des droits prévus aux articles 12 à 22 du RGPD, à condition qu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir notamment des objectifs importants d’intérêt public général de l’Union ou d’un Etat membre, notamment un intérêt économique ou financier […] y compris dans les domaines […] de la santé publique et de la sécurité sociale (article 23.1.e) ou encore pour garantir la protection des personnes concernées (article 23.1.i).
Le ministère a précisé que, conformément à l’article 23.1 du RGPD, le droit d’opposition pouvait être écarté des traitements envisagés puisque ces derniers permettent de garantir des objectifs importants d’intérêt public, en l’espèce un objectif de santé publique et la protection des personnes concernées, plus particulièrement la protection de leur santé.
La Commission relève à cet égard que les dispositifs envisagés, qui s’inscrivent dans un plan plus large de lutte contre l’épidémie de COVID-19, sont expressément liés par le I de l’article 1 er du projet de décret à l’existence d’une obligation de port du masque. Elle estime que ces dispositifs poursuivent des objectifs de santé publique et de protection des personnes permettant d’envisager une limitation de leurs droits.
La Commission tient cependant à rappeler la nécessaire vigilance qui s’impose dans le déploiement de ces dispositifs qui impliquent une collecte et une analyse systématiques de l’image des individus circulant dans les transports publics et une détection de certains de leurs attributs. Même s’il est limité au cadre de l’état d’urgence sanitaire, un tel déploiement présente le risque réel de généraliser un sentiment de surveillance chez les citoyens, de créer un phénomène d’accoutumance et de banalisation de technologies intrusives et, en définitive, d’engendrer une surveillance accrue.
Sur les garanties apportées aux traitements dont le droit d’opposition est exclu
La Commission rappelle, d’une part, que, pour pouvoir apporter valablement des limitations au droit d’opposition des personnes, la mesure normative prise à cet effet doit contenir certaines dispositions spécifiques minimales énumérées à l’article 23.2 du RGPD et, d’autre part, que l’article 56 de la loi énonce qu’une telle exclusion doit être prévue par une disposition expresse de l’acte instaurant le traitement .
Elle estime que le projet de décret qui lui est soumis devrait être complété sur deux points afin de satisfaire entièrement aux exigences de ces articles.
En premier lieu , la Commission estime que le projet de décret apparaît bien constituer un acte instaurant le traitement au sens de l’article 56 de la loi. En effet, cette expression peut renvoyer, s’agissant de traitements mis en œuvre par les autorités publiques, à des normes contenant l’ensemble de la réglementation d’un traitement, notamment en application de l’article 35 de la loi Informatique et Libertés . S’agissant de traitements décidés et mis en place par des opérateurs privés – ce qui peut être le cas en l’espèce pour les personnes privées chargées d’une mission de service public par les autorités compétentes en matière de transport public collectif de voyageurs –, la limitation du droit d’opposition doit alors être prévue dans un acte législatif ou réglementaire autorisant la mise en œuvre des traitements par ces opérateurs, qui doit en outre comporter les dispositions spécifiques prescrites par l’article 23.2 du RGPD.
Ainsi, la finalité et les caractéristiques essentielles de ces traitements doivent être décrites avec des précisions suffisantes. En l’espèce, le décret indique que les systèmes de vidéoprotection autorisés sur le fondement de l’article L. 252-1 du code de la sécurité intérieure pourront être utilisés aux fins d’évaluer statistiquement le respect de l’obligation de port du masque, sans toutefois préciser que cette détection statistique du port de masque se fera de manière automatisée par le biais d’un traitement algorithmique.
A cet égard, la Commission prend acte des précisions apportées par le ministère concernant la mise en œuvre des dispositifs visés par l’intégration d’un traitement logiciel aux caméras de vidéoprotection préexistantes, analysant en temps réel le flux vidéo, et relève qu’il serait préférable de faire figurer de telles précisions au sein du projet de décret afin d’éviter toute ambiguïté quant à la nature des dispositifs déployés et ainsi aux traitements de données impliqués.
En second lieu, le projet de décret précise bien l’ensemble des dispositions spécifiques prévues aux points a) à g) de l’article 23.2 du RGPD, à l’exception du point h) relatif au droit des personnes concernées d’être informées de la limitation de leur droit. La Commission estime qu’une telle information est nécessaire dans la mesure où il n’apparaît pas que celle-ci puisse nuire à la finalité de cette exclusion, les personnes ayant en tout état de cause l’obligation de porter un masque dans les transports. Elle prend acte de l’engagement du ministère d’ajouter une mention au décret imposant aux responsables de traitement, à travers l’information qu’ils fourniront en application du RGPD, de préciser que le droit d’opposition n’est pas ouvert.
La Commission rappelle qu’une telle information est d’autant plus importante qu’au-delà de l’exclusion du droit d’opposition, le responsable du traitement ne sera pas en mesure d’assurer l’exercice des droits d’accès, de rectification, d’effacement ou de limitation des personnes concernées du fait de la suppression à très bref délai des images des flux vidéo.
Sur la durée d’application du décret
Le projet de décret prévoit en son article 2 que le décret s’appliquera pendant une durée d’un an à compter de sa publication.
La Commission prend ainsi acte de l’application de ce texte pour une durée maximale d’un an et estime que cette limitation de durée apparaît nécessaire au regard de la nature potentiellement intrusive des dispositifs dont il permet le déploiement et de la dérogation forte au droit d’opposition des personnes concernées qu’il instaure dans ce cadre.
Elle relève également qu’en application du I de l’article 1 er du projet de décret, ces dispositifs ne pourront, en tout état de cause, être utilisés que tant qu’’une loi ou un décret impose, dans le cadre de la lutte actuelle contre l’épidémie de COVID-19, le port d’un masque de protection dans les transports. A défaut, le décret se révèlerait sans objet et les dispositifs envisagés ne pourraient être mis en œuvre.
Elle recommande à ce titre que l’impact de tels dispositifs sur la stratégie sanitaire globale soit évalué et documenté de manière régulière, afin que l’efficacité et la pertinence de ceux-ci au cours du temps puissent être évaluées. La Commission recommande que ces analyses lui soient, lorsqu’elles seront disponibles, communiquées afin de lui permettre d’exercer sa mission de contrôle de la conformité de la mise en œuvre des dispositifs projetés.
La Présidente
Marie-Laure DENIS