Retour à la section

Délibération n°2023-039 du 27 avril 2023

JORF n°0150 du 30 juin 2023

| Date de l'avis : 27 avril 2023 | N° de la délibération : n° 2023-039 | |:----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|:--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | N° de demande d'avis : 22016855
N° d'acte réglementaire unique : RU-066 |Texte concerné : projet de décret portant application de l'article L. 241-3 du code de la sécurité intérieure et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des sapeurs-pompiers et des marins-pompiers des services d'incendie et de secours| | Thématiques : caméras-piétons, services d'incendie et de secours | Fondement de la saisine : article L. 241-3 du code de la sécurité intérieure | |L'essentiel :
1. La CNIL estime légitime la pérennisation de l'usage des caméras individuelles par les sapeurs-pompiers et les marins-pompiers des services d'incendie et de secours.
2. Elle considère que la doctrine d'emploi des caméras individuelles élaborée par le ministère de l'intérieur devra lui être transmise et être régulièrement mise à jour.
2. S'agissant du droit à l'information, la CNIL estime que le projet de décret devrait comporter des critères objectifs permettant de définir les circonstances interdisant d'informer les personnes et s'interroge sur la compatibilité de l'utilisation d'une mémoire tampon avec le droit à l'information.| |

La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret portant application de l'article L. 241-3 du code de la sécurité intérieure et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des sapeurs-pompiers et des marins-pompiers des services d'incendie et de secours ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment le IV de l'article 31 ;
Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Adopte la délibération suivante :

I. - La saisine
A. - Le contexte de la saisine

Dans sa délibération n° 2019-056 du 9 mai 2019, la CNIL s'est prononcée sur l'expérimentation de l'usage de caméras individuelles des sapeurs-pompiers et des marins-pompiers des services d'incendie et de secours.

B. - L'objet de la saisine

La CNIL a été saisie par le ministère de l'intérieur pour avis sur un projet de décret portant application de l'article L. 241-3 du code de la sécurité intérieure (CSI) et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des sapeurs-pompiers et des marins-pompiers des services d'incendie et de secours.
L'article L. 241-3 du CSI a pérennisé l'usage des caméras individuelles par ces agents qui était autorisé à titre expérimental par l'article 1er de la loi n° 2018-697 du 3 août 2018 relative à l'harmonisation de l'utilisation des caméras mobiles par les autorités de sécurité publique. L'article L. 241-3 du CSI prévoit que les modalités d'application sont précisées par un décret en Conseil d'Etat, pris après avis motivé et publié de la CNIL.
Le projet de décret constitue un acte réglementaire unique au sens du IV de l'article 31 de la loi « informatique et libertés ». Conformément au projet d'article R. 241-18 du CSI, l'envoi de l'engagement de conformité à la CNIL pourra être accompagné des éléments nécessités par les circonstances locales de mise en œuvre du traitement, complémentaires à l'analyse d'impact relative à la protection des données (AIPD) cadre transmise à la CNIL.
Les traitements de données à caractère personnel provenant des caméras individuelles ont pour finalités :

- la prévention des incidents au cours des interventions des agents ;
- le constat des infractions et la poursuite de leurs auteurs par la collecte de preuves.

Dans la mesure où les services d'incendie et de secours ne constituent pas des « autorités compétentes » au sens de la directive 2016/680 du 27 avril 2016, ces traitements relèvent du régime juridique du RGPD.

II. - L'avis de la CNIL
A. - Sur le périmètre des dispositifs de caméras individuelles

Le ministère de l'intérieur a élaboré une doctrine d'emploi relative à l'utilisation des caméras individuelles et l'a transmis aux services d'incendie et de secours. La CNIL considère que cette doctrine d'emploi devra lui être transmise et être régulièrement mise à jour.
S'agissant des situations dans lesquelles les sapeurs-pompiers sont autorisés à déclencher l'enregistrement, l'article L. 241-3 du CSI dispose que les caméras individuelles peuvent être utilisées « lorsque se produit ou est susceptible de se produire un incident de nature à mettre en péril leur intégrité physique, eu égard aux circonstances de l'intervention ou au comportement des personnes concernées ». Le ministère a indiqué que dans le cadre de leurs missions, les sapeurs-pompiers peuvent être victimes d'infractions qui peuvent prendre diverses formes (par exemple, outrages, menaces de mort, violences physiques volontaires, entrave aux secours). De plus, ces infractions peuvent survenir dans des contextes différents (par exemple, violences isolées, violences liées aux manifestations ou rassemblements, troubles urbains). Si la CNIL prend acte de ce que la diversité des situations opérationnelles auxquelles les sapeurs-pompiers sont confrontés ne permet pas de définir dans le projet de décret des critères objectifs commandant l'utilisation des caméras individuelles, elle considère que de telles précisions devront figurer dans la doctrine d'emploi.
S'agissant des lieux, l'article L. 241-3 du CSI autorise la mise en œuvre des caméras individuelles « en tous lieux ». Le projet de décret n'apporte pas davantage de précisions quant aux lieux concernés. La CNIL estime que la collecte d'images dans les lieux particulièrement sensibles pour la vie privée des personnes, comme par exemple les lieux d'habitation, doit être particulièrement limitée au regard du principe de minimisation des données. Elle prend acte de l'engagement du ministère sur ce point.
S'agissant de la transmission en temps réel des enregistrements, l'article L. 241-3 du CSI mentionne que « lorsque la sécurité des agents ou la sécurité des personnes ou des biens est menacée, les images captées et enregistrées au moyen de caméras individuelles peuvent être transmises en temps réel au poste de commandement du service concerné et aux personnels impliqués dans la conduite et l'exécution de l'intervention ». Le I du projet d'article R. 241-21 du CSI précise que « la sécurité des agents, des biens ou des personnes est réputée menacée lorsqu'il existe un risque immédiat d'atteinte à leur intégrité ». Le critère posé par le projet de décret peut correspondre à un grand nombre de situations, la nécessité de recourir à un enregistrement s'appréciant au cas par cas. La CNIL considère, d'une part, que le « risque immédiat d'atteinte à leur intégrité » devrait être limité aux risques d'atteintes graves et, d'autre part, que des typologies de menaces et des critères objectifs pour caractériser le risque devront être déterminés dans la doctrine d'emploi.

B. - Sur le droit à l'information

L'article L. 241-3 du CSI prévoit qu'une information générale du public sur l'emploi des caméras individuelles est organisée par le ministre de l'intérieur. A cet égard, le projet d'article R. 241-25 du CSI précise que cette information sera délivrée sur le site web du service d'incendie et de secours ou, à défaut, par voie d'affichage dans le service.
En outre, l'article L. 241-3 du CSI prévoit que le déclenchement de l'enregistrement fait l'objet d'une information orale des personnes filmées, « sauf si les circonstances l'interdisent ».
Cette exception a fait l'objet d'une réserve d'interprétation par le Conseil constitutionnel dans sa décision n° 2021-817 DC du 20 mai 2021 s'agissant des caméras individuelles des agents de police et gendarmerie nationales et de la police municipale. Le Conseil considère que, d'une part, cette information se fait « lors du déclenchement » de l'enregistrement et que, d'autre part, « ces circonstances recouvrent les seuls cas où cette information est rendue impossible pour des raisons purement matérielles et indépendantes des motifs de l'intervention ». Le ministère a indiqué que les hypothèses dans lesquelles l'enregistrement est réalisé à l'insu de la personne concernée seront précisées dans la doctrine d'emploi et qu'elles ont vocation à couvrir uniquement les cas où l'information est rendue impossible pour des raisons purement matérielles et indépendantes des motifs de l'intervention. L'AIPD cadre précise à cet égard que « l'urgence de l'état de la victime ou l'imminence d'une agression peuvent empêcher l'information de la personne concernée, qui en sera informé a posteriori ». La CNIL considère que le projet de décret devrait comporter des critères objectifs permettant de définir les circonstances interdisant d'informer les personnes, qui pourraient être précisés dans la doctrine d'emploi.
Par ailleurs, l'article L. 241-3 du CSI prévoit que les caméras sont portées de façon apparente par les agents et qu'un signal visuel spécifique indique si un enregistrement est en cours. L'AIPD indique que « l'utilisation des caméras permet un enregistrement complémentaire rétroactif maximal des 30 secondes préalable au déclenchement ». Le ministère a indiqué que l'utilisation d'une mémoire tampon n'est qu'une possibilité donnée aux services d'incendie et de secours dans l'AIPD cadre et, lorsqu'elle est utilisée, la détermination de sa durée (dans une limite de 30 secondes) et de son fonctionnement relèvent de la compétence de chaque responsable de traitement. La CNIL s'interroge sur la compatibilité de la possibilité d'utiliser une mémoire tampon avec l'information visuelle fournie aux personnes filmées. En effet, lorsque la caméra est activée, l'enregistrement des 30 secondes précédant son activation est conservé alors que, pendant cette période, le signal lumineux avait indiqué une absence d'enregistrement. De plus, la CNIL s'interroge sur la compatibilité de la possibilité d'utiliser une mémoire tampon avec l'information vocale des personnes filmées qui doit être réalisée lors du déclenchement de l'enregistrement.

C. - Sur les mesures de sécurité

De nombreux éléments de sécurité seront définis dans le futur référentiel technique portant label de sécurité civile française. Ce référentiel inclura les points suivants :

- un chiffrement de l'espace de stockage des caméras dans une configuration permettant de limiter les risques en confidentialité dans le cas où une caméra serait perdue ou volée ;
- des mesures d'analyse proactive automatique ou semi-automatique des données de journalisation afin d'assurer l'efficacité de la journalisation ;
- une spécification détaillée du niveau d'efficacité à cibler, et les mesures pratiques à exiger et vérifier pour anonymiser les vidéos utilisée à des fins pédagogiques et de formation. Une attention particulière devra être portée au traitement des caractéristiques particulières dans ce contexte, celles-ci pouvant révéler des données sensibles ou particulièrement ré-identifiantes.

La CNIL rappelle que le traitement des données de journalisation doit avoir pour seule finalité la détection et la prévention d'opérations illégitimes sur les données du traitement. De plus, la durée de conservation des journaux de trois ans n'est pas conforme aux préconisations de la CNIL pour ce type de traitement, d'autant plus lorsque les données et informations à protéger ne sont conservées que six mois et qu'aucune disposition réglementaire ne justifie l'application d'une durée différente.
Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.

1 version

Historique des versions

Version 1

Date de l'avis : 27 avril 2023

N° de la délibération : n° 2023-039

N° de demande d'avis : 22016855

N° d'acte réglementaire unique : RU-066

Texte concerné : projet de décret portant application de l'article L. 241-3 du code de la sécurité intérieure et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des sapeurs-pompiers et des marins-pompiers des services d'incendie et de secours

Thématiques : caméras-piétons, services d'incendie et de secours

Fondement de la saisine : article L. 241-3 du code de la sécurité intérieure

L'essentiel :

1. La CNIL estime légitime la pérennisation de l'usage des caméras individuelles par les sapeurs-pompiers et les marins-pompiers des services d'incendie et de secours.

2. Elle considère que la doctrine d'emploi des caméras individuelles élaborée par le ministère de l'intérieur devra lui être transmise et être régulièrement mise à jour.

2. S'agissant du droit à l'information, la CNIL estime que le projet de décret devrait comporter des critères objectifs permettant de définir les circonstances interdisant d'informer les personnes et s'interroge sur la compatibilité de l'utilisation d'une mémoire tampon avec le droit à l'information.

La Commission nationale de l'informatique et des libertés,

Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret portant application de l'article L. 241-3 du code de la sécurité intérieure et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des sapeurs-pompiers et des marins-pompiers des services d'incendie et de secours ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment le IV de l'article 31 ;

Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,

Adopte la délibération suivante :

I. - La saisine

A. - Le contexte de la saisine

Dans sa délibération n° 2019-056 du 9 mai 2019, la CNIL s'est prononcée sur l'expérimentation de l'usage de caméras individuelles des sapeurs-pompiers et des marins-pompiers des services d'incendie et de secours.

B. - L'objet de la saisine

La CNIL a été saisie par le ministère de l'intérieur pour avis sur un projet de décret portant application de l'article L. 241-3 du code de la sécurité intérieure (CSI) et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des sapeurs-pompiers et des marins-pompiers des services d'incendie et de secours.

L'article L. 241-3 du CSI a pérennisé l'usage des caméras individuelles par ces agents qui était autorisé à titre expérimental par l'article 1er de la loi n° 2018-697 du 3 août 2018 relative à l'harmonisation de l'utilisation des caméras mobiles par les autorités de sécurité publique. L'article L. 241-3 du CSI prévoit que les modalités d'application sont précisées par un décret en Conseil d'Etat, pris après avis motivé et publié de la CNIL.

Le projet de décret constitue un acte réglementaire unique au sens du IV de l'article 31 de la loi « informatique et libertés ». Conformément au projet d'article R. 241-18 du CSI, l'envoi de l'engagement de conformité à la CNIL pourra être accompagné des éléments nécessités par les circonstances locales de mise en œuvre du traitement, complémentaires à l'analyse d'impact relative à la protection des données (AIPD) cadre transmise à la CNIL.

Les traitements de données à caractère personnel provenant des caméras individuelles ont pour finalités :

- la prévention des incidents au cours des interventions des agents ;

- le constat des infractions et la poursuite de leurs auteurs par la collecte de preuves.

Dans la mesure où les services d'incendie et de secours ne constituent pas des « autorités compétentes » au sens de la directive 2016/680 du 27 avril 2016, ces traitements relèvent du régime juridique du RGPD.

II. - L'avis de la CNIL

A. - Sur le périmètre des dispositifs de caméras individuelles

Le ministère de l'intérieur a élaboré une doctrine d'emploi relative à l'utilisation des caméras individuelles et l'a transmis aux services d'incendie et de secours. La CNIL considère que cette doctrine d'emploi devra lui être transmise et être régulièrement mise à jour.

S'agissant des situations dans lesquelles les sapeurs-pompiers sont autorisés à déclencher l'enregistrement, l'article L. 241-3 du CSI dispose que les caméras individuelles peuvent être utilisées « lorsque se produit ou est susceptible de se produire un incident de nature à mettre en péril leur intégrité physique, eu égard aux circonstances de l'intervention ou au comportement des personnes concernées ». Le ministère a indiqué que dans le cadre de leurs missions, les sapeurs-pompiers peuvent être victimes d'infractions qui peuvent prendre diverses formes (par exemple, outrages, menaces de mort, violences physiques volontaires, entrave aux secours). De plus, ces infractions peuvent survenir dans des contextes différents (par exemple, violences isolées, violences liées aux manifestations ou rassemblements, troubles urbains). Si la CNIL prend acte de ce que la diversité des situations opérationnelles auxquelles les sapeurs-pompiers sont confrontés ne permet pas de définir dans le projet de décret des critères objectifs commandant l'utilisation des caméras individuelles, elle considère que de telles précisions devront figurer dans la doctrine d'emploi.

S'agissant des lieux, l'article L. 241-3 du CSI autorise la mise en œuvre des caméras individuelles « en tous lieux ». Le projet de décret n'apporte pas davantage de précisions quant aux lieux concernés. La CNIL estime que la collecte d'images dans les lieux particulièrement sensibles pour la vie privée des personnes, comme par exemple les lieux d'habitation, doit être particulièrement limitée au regard du principe de minimisation des données. Elle prend acte de l'engagement du ministère sur ce point.

S'agissant de la transmission en temps réel des enregistrements, l'article L. 241-3 du CSI mentionne que « lorsque la sécurité des agents ou la sécurité des personnes ou des biens est menacée, les images captées et enregistrées au moyen de caméras individuelles peuvent être transmises en temps réel au poste de commandement du service concerné et aux personnels impliqués dans la conduite et l'exécution de l'intervention ». Le I du projet d'article R. 241-21 du CSI précise que « la sécurité des agents, des biens ou des personnes est réputée menacée lorsqu'il existe un risque immédiat d'atteinte à leur intégrité ». Le critère posé par le projet de décret peut correspondre à un grand nombre de situations, la nécessité de recourir à un enregistrement s'appréciant au cas par cas. La CNIL considère, d'une part, que le « risque immédiat d'atteinte à leur intégrité » devrait être limité aux risques d'atteintes graves et, d'autre part, que des typologies de menaces et des critères objectifs pour caractériser le risque devront être déterminés dans la doctrine d'emploi.

B. - Sur le droit à l'information

L'article L. 241-3 du CSI prévoit qu'une information générale du public sur l'emploi des caméras individuelles est organisée par le ministre de l'intérieur. A cet égard, le projet d'article R. 241-25 du CSI précise que cette information sera délivrée sur le site web du service d'incendie et de secours ou, à défaut, par voie d'affichage dans le service.

En outre, l'article L. 241-3 du CSI prévoit que le déclenchement de l'enregistrement fait l'objet d'une information orale des personnes filmées, « sauf si les circonstances l'interdisent ».

Cette exception a fait l'objet d'une réserve d'interprétation par le Conseil constitutionnel dans sa décision n° 2021-817 DC du 20 mai 2021 s'agissant des caméras individuelles des agents de police et gendarmerie nationales et de la police municipale. Le Conseil considère que, d'une part, cette information se fait « lors du déclenchement » de l'enregistrement et que, d'autre part, « ces circonstances recouvrent les seuls cas où cette information est rendue impossible pour des raisons purement matérielles et indépendantes des motifs de l'intervention ». Le ministère a indiqué que les hypothèses dans lesquelles l'enregistrement est réalisé à l'insu de la personne concernée seront précisées dans la doctrine d'emploi et qu'elles ont vocation à couvrir uniquement les cas où l'information est rendue impossible pour des raisons purement matérielles et indépendantes des motifs de l'intervention. L'AIPD cadre précise à cet égard que « l'urgence de l'état de la victime ou l'imminence d'une agression peuvent empêcher l'information de la personne concernée, qui en sera informé a posteriori ». La CNIL considère que le projet de décret devrait comporter des critères objectifs permettant de définir les circonstances interdisant d'informer les personnes, qui pourraient être précisés dans la doctrine d'emploi.

Par ailleurs, l'article L. 241-3 du CSI prévoit que les caméras sont portées de façon apparente par les agents et qu'un signal visuel spécifique indique si un enregistrement est en cours. L'AIPD indique que « l'utilisation des caméras permet un enregistrement complémentaire rétroactif maximal des 30 secondes préalable au déclenchement ». Le ministère a indiqué que l'utilisation d'une mémoire tampon n'est qu'une possibilité donnée aux services d'incendie et de secours dans l'AIPD cadre et, lorsqu'elle est utilisée, la détermination de sa durée (dans une limite de 30 secondes) et de son fonctionnement relèvent de la compétence de chaque responsable de traitement. La CNIL s'interroge sur la compatibilité de la possibilité d'utiliser une mémoire tampon avec l'information visuelle fournie aux personnes filmées. En effet, lorsque la caméra est activée, l'enregistrement des 30 secondes précédant son activation est conservé alors que, pendant cette période, le signal lumineux avait indiqué une absence d'enregistrement. De plus, la CNIL s'interroge sur la compatibilité de la possibilité d'utiliser une mémoire tampon avec l'information vocale des personnes filmées qui doit être réalisée lors du déclenchement de l'enregistrement.

C. - Sur les mesures de sécurité

De nombreux éléments de sécurité seront définis dans le futur référentiel technique portant label de sécurité civile française. Ce référentiel inclura les points suivants :

- un chiffrement de l'espace de stockage des caméras dans une configuration permettant de limiter les risques en confidentialité dans le cas où une caméra serait perdue ou volée ;

- des mesures d'analyse proactive automatique ou semi-automatique des données de journalisation afin d'assurer l'efficacité de la journalisation ;

- une spécification détaillée du niveau d'efficacité à cibler, et les mesures pratiques à exiger et vérifier pour anonymiser les vidéos utilisée à des fins pédagogiques et de formation. Une attention particulière devra être portée au traitement des caractéristiques particulières dans ce contexte, celles-ci pouvant révéler des données sensibles ou particulièrement ré-identifiantes.

La CNIL rappelle que le traitement des données de journalisation doit avoir pour seule finalité la détection et la prévention d'opérations illégitimes sur les données du traitement. De plus, la durée de conservation des journaux de trois ans n'est pas conforme aux préconisations de la CNIL pour ce type de traitement, d'autant plus lorsque les données et informations à protéger ne sont conservées que six mois et qu'aucune disposition réglementaire ne justifie l'application d'une durée différente.

Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.