L'essentiel :
1. La CNIL a été saisie pour avis par le ministère de la justice d'un projet de décret visant à prévoir les modalités d'application de l'article L. 223-20 du code de l'administration pénitentiaire qui pérennise et généralise l'utilisation des caméras individuelles par les personnels de surveillance de l'administration pénitentiaire, en application de la loi n° 2023-1059 du 20 novembre 2023 d'orientation et de programmation du ministère de la justice 2023-2027.
2. L'usage de ces caméras individuelles a fait l'objet d'une expérimentation entre octobre 2020 et février 2022, sur laquelle la CNIL s'était prononcée.
3. La CNIL considère que le traitement s'accompagne de garanties satisfaisantes (formulaire de déclenchement de l'enregistrement, actions de formation et de sensibilisation, durée de conservation du registre de journalisation réduite à un an, intégrité des données, etc.). Elle estime néanmoins que le projet de décret devra être complété sur les motifs permettant le déclenchement d'un enregistrement audiovisuel. Elle prend acte de l'engagement du ministère d'inclure des exemples non exhaustifs de cas de déclenchement des caméras individuelles au sein de l'ensemble des supports d'information des personnes, ainsi que dans la doctrine d'emploi. Enfin, elle prend acte de l'ensemble des précisions apportées en matière d'information des personnes.

La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (« loi informatique et libertés ») ;
Sur la proposition de Mme Sophie Lambremon, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :

I. - La saisine
A. - Le contexte

L'usage de caméras individuelles par les personnels de surveillance de l'administration pénitentiaire a fait l'objet d'une expérimentation entre octobre 2020 et février 2022, dans des établissements pénitentiaires (dont certains quartiers pour mineurs) et lors d'interventions en unités hospitalières et en missions extérieures. Cette expérimentation a été autorisée par la loi n° 2018-697 du 3 août 2018 et le décret n° 2019-1427 du 23 décembre 2019, pour une durée de trois ans, pris après avis de la CNIL (CNIL, SP, 5 décembre 2019, délibération, projet de décret relatif aux caméras individuelles des personnels de surveillance de l'administration pénitentiaire, n° 2019-140, publiée).
La CNIL a examiné les résultats de l'expérimentation menée jusqu'à juillet 2021 dans la perspective de la pérennisation de ce dispositif via la loi n° 2023-22 du 24 janvier 2023 d'orientation et de programmation du ministère de l'intérieur (CNIL, SP, 3 mars 2022, délibération, projet de loi LOPMI, n° 2022-028, publiée). La pérennisation et la généralisation du port de caméras individuelles à l'ensemble des structures pénitentiaires ont finalement été introduites par l'article 43 de la loi n° 2023-1059 du 20 novembre 2023 d'orientation et de programmation du ministère de la justice 2023-2027 (article L. 223-20 du code de l'administration pénitentiaire).

B. - L'objet de la saisine

Le ministère de la justice a saisi la CNIL d'un projet de décret d'application de l'article L. 223-20 du code de l'administration pénitentiaire. S'agissant d'un traitement de données unique, une analyse d'impact relative à la protection des données (AIPD) unique a été transmise, à laquelle l'ensemble des établissements pénitentiaires devront se conformer.

II. - L'avis de la CNIL
A. - Sur la généralisation des caméras individuelles

Dans sa délibération n° 2022-028 du 3 mars 2022 portant avis sur un projet de loi d'orientation et de programmation du ministère de l'intérieur (LOPMI), la CNIL avait observé que le rapport destiné au Parlement, qui lui avait été transmis, dressait « un bilan mitigé de l'expérimentation conduite entre octobre 2020 et juillet 2021 ».
L'expérimentation, qui a pris fin le 5 février 2022, n'a pas fait l'objet de rapport complémentaire. Le ministère a néanmoins fait valoir :

• une évolution de la prise de conscience, par les personnels de surveillance de l'administration pénitentiaire, de la dangerosité de leurs missions, coïncidant avec une augmentation du taux d'occupation des établissements pénitentiaires et des violences, y compris de la part des détenus mineurs ;
• la création de nouvelles équipes locales de sécurité pénitentiaire ayant pour mission la réalisation de missions extérieures ;
• ainsi qu'un renouvellement du matériel (amélioration de l'autonomie des caméras).

Elle prend acte de ce que le périmètre du traitement est élargi :

• à l'ensemble des établissements recevant des mineurs et non plus seulement les quartiers spécifiques pour mineurs en établissement pénitentiaire ordinaire ;
• à l'ensemble des établissements pénitentiaires, y compris dans la cellule ou à l'extérieur, sur la voie publique lors du transport de la personne détenue, sous réserve de se trouver dans l'une des situations ou missions autorisant le déclenchement de l'enregistrement.

B. - Sur les modalités d'utilisation des caméras individuelles

Le projet de décret prévoit que : « dans le cadre des missions et dans les conditions prévues à l'article L. 223-20, lorsque se produit ou est susceptible de se produire un incident, les personnels désignés peuvent procéder à un enregistrement audiovisuel de leurs interventions ». Il indique que ce traitement a pour finalités :

• la prévention des incidents et des évasions ;
• le constat des infractions et la poursuite de leurs auteurs par la collecte de preuves ;
• la formation des agents.

L'AIPD précise que « le risque d'incident peut notamment consister en un acte de violence, physique ou verbale, une mutinerie ou une évasion ».
Les finalités prévues par l'article L. 223-20 du code de l'administration pénitentiaire sont bien mentionnées dans le projet de décret. Celles-ci font référence à des incidents qui nécessitent l'intervention du personnel pénitentiaire, ce qui induit un premier critère de gravité. Néanmoins, la CNIL considère que le projet de décret devrait davantage préciser les motifs permettant le déclenchement d'un enregistrement audiovisuel. Elle prend acte de l'engagement du ministère d'inclure des exemples non exhaustifs de cas de déclenchement des caméras individuelles au sein de l'ensemble des supports d'information des personnes prévus au sein de l'AIPD, ainsi que dans la doctrine d'emploi.
Elle accueille favorablement les garanties suivantes qui résultent de l'AIPD et des déclarations du ministère :

• une doctrine d'emploi, en cours de finalisation, prévoit le renseignement d'un motif dès lors qu'un enregistrement a fait l'objet d'un déclenchement, tout comme le formulaire de déclenchement qui en permet la traçabilité écrite ;
• au cours d'une intervention de nature médicale, en structures hospitalières, médicales ou dans les locaux utilisés pour une prise en charge sanitaire, les agents ne peuvent procéder à aucun enregistrement, quand bien même un incident aurait lieu à cette occasion, afin de respecter le secret médical ;
• des actions de formation et de sensibilisation visent à accompagner le déploiement du dispositif afin de sensibiliser les personnels aux risques et bénéfices de l'utilisation de caméras mobiles ;
• des contrôles réguliers sont effectués par la hiérarchie dans le cadre de la finalité disciplinaire.

Le déclenchement des caméras peut être manuel ou automatique. En particulier, le nouvel équipement permet de déclencher automatiquement la caméra, lorsque l'agent fait usage du Pistolet à Impulsion Electrique (PIE) ou le sort (selon le modèle) dans un rayon de 20 mètres environ. Il s'agit de sécuriser l'intervention armée et d'obtenir une captation des images avec plusieurs angles de vue simultanés permettant de saisir l'incident dans sa globalité.
La CNIL prend acte de ce que :

• l'activation manuelle d'une caméra ne pourra pas déclencher d'enregistrement des caméras situées à proximité, contrairement à l'hypothèse où l'agent fait usage du PIE ou le sort ;
• la récupération des trente secondes de vidéos précédentes en mémoire tampon vaut pour tous les modes de déclenchement (manuels et automatiques).

C. - Sur les durées de conservation

Le projet de décret prévoit que la durée de conservation des données et informations est réduite à trois mois à compter du jour de leur enregistrement. Au terme de ce délai, ces données sont effacées automatiquement du traitement, hors procédure judiciaire, administrative ou disciplinaire (conservation selon les règles propres à chacune de ces procédures).
S'agissant des durées de conservation des traces, le projet de décret prévoit une durée de conservation des informations enregistrées dans le journal réduite à un an, au lieu de trois ans lors de l'expérimentation.
La CNIL considère justifiée la durée de conservation des traces.
L'AIPD précise que pour les vidéos conservées à des fins pédagogiques, la suppression des données ne pourra se faire automatiquement à l'issue du délai de trois mois et qu'un « formulaire de gestion d'une vidéo à potentiel pédagogique » permettra d'encadrer les pratiques et assurer la suppression des données. La CNIL comprend que, dans ce cadre, la suppression ne pourra être effectuée que manuellement, et prend acte de ce que le ministère veillera à anonymiser les données.

D. - Sur l'absence de transmission en temps réel des enregistrements et d'accès direct aux enregistrements par les agents

L'article L. 223-20 du code pénitentiaire autorise :

• d'une part, la transmission en temps réel des enregistrements ;
• et d'autre part, l'accès direct aux enregistrements par les agents.

Le projet de décret ferme au contraire ces possibilités et prévoit que :

• « les enregistrements sont transférés sur un support informatique sécurisé dès la fin de la mission au cours de laquelle la caméra a été déclenchée » ;
• « les enregistrements ne peuvent être consultés qu'à l'issue de l'intervention et après leur transfert sur un support informatique sécurisé ».

L'AIPD précise qu'à défaut des infrastructures nécessaires mises en place dans les établissements pénitentiaires (absence de réseau sans fil sécurisé n'interférant pas avec le brouillage des établissements pour permettre l'envoi sécurisé des vidéos en salle de crise et prise en compte du risque sécuritaire induit sur la connectivité des caméras individuelles), les possibilités de transmission en temps réel et d'accès direct aux enregistrements par les agents, prévues par le code pénitentiaire, ne seront pas mises en œuvre.
La CNIL prend acte de ce que ni la transmission en temps réel ni l'accès direct aux enregistrements ne sont mis en œuvre à ce jour du fait des contraintes techniques propres aux structures pénitentiaires et des perspectives de déploiement de dispositifs de brouillage dans l'ensemble des établissements pénitentiaires. Elle rappelle que la CNIL devra être saisie de toute modification du décret préalablement à leur mise en place.

E. - Sur l'information des personnes

Le projet de décret prévoit que l'information générale du public est réalisée sur le site internet du ministère de la justice et par affichage au sein des établissements pénitentiaires.
Les mesures annoncées par le ministère sont satisfaisantes, avec notamment une attention particulière portée au caractère effectif de l'information des mineurs :

• les notices d'information sont adaptées en détention en des termes simples et adaptés, formulés sous forme de questions, notamment pour la compréhension des personnes vulnérables ;
• une vulgarisation individuelle complète des mentions d'information est accessible à l'arrivée de chaque détenu dans le guide « je suis en détention » et est disponible en dix langues ;
• dans le cadre du parcours arrivant de la personne détenue mineure, ses représentants légaux se voient remettre un courrier les informant du fonctionnement de la détention, dans lequel l'information relative aux caméras individuelles est intégrée (fonctionnement, finalités, etc.

L'article L. 223-20 du code pénitentiaire dispose que : « le déclenchement de l'enregistrement fait l'objet d'une information expresse des personnes filmées, sauf si les circonstances l'interdisent ». L'AIPD précise qu'un signal visuel spécifique, accompagné d'une annonce orale de l'agent, indique si la caméra enregistre. Le témoin lumineux aura deux signaux distincts selon que la caméra « préenregistre » (mémoire tampon) ou que le déclenchement de l'enregistrement a été effectué. Les cas d'interventions urgentes seront des circonstances ne permettant pas l'information préalable.
La CNIL prend acte de ce que la doctrine d'emploi indiquera que lorsque l'information n'a pu être délivrée oralement, par exception, elle sera effectuée de manière différée, dès que les circonstances qui le justifient auront cessé et, au plus tard, au terme de l'intervention. Elle relève que les témoins lumineux « signaleront » en tout état de cause qu'un enregistrement est en cours.
L'AIPD indique que les affiches contiendront des mentions portant sur « le fonctionnement concret des dispositifs mis en œuvre notamment s'agissant des modalités précises de déclenchement de la captation et d'enregistrement des images ».
La CNIL prend acte de l'engagement du ministère d'étendre à son site web ces mentions d'information.

F. - Sur les mesures de sécurité et l'anonymisation

Le projet de décret prévoit que « les données mentionnées au 1° de l'article R. 223-14 utilisées à des fins pédagogiques et de formation sont anonymisées ». La CNIL considère que les mesures détaillées dans l'AIPD pour la mise en place de l'anonymisation (notamment un floutage des personnes filmées, l'incrustation d'éléments sonores sur les noms, la modification des voix, le floutage de tous documents administratifs permettant d'identifier le nom de l'établissement pénitentiaire et de toute identité inscrite) pourraient être considérées comme acceptables. Elle rappelle cependant qu'il est extrêmement difficile d'anonymiser des vidéos (c'est-à-dire de rendre impossible toute réidentification ultérieure des personnes) par un procédé systématique, tout en préservant leur utilité pour une exploitation ultérieure. Ces contraintes conduisent donc le plus souvent à se limiter à une simple pseudonymisation des vidéos, ce qui permet leur utilisation pour les finalités assignées au traitement sans porter une atteinte disproportionnée aux droits des personnes (CNIL, SP, 3 février 2022, avis sur un projet de décret pris en application de l'article 61 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés, n° 2022-012, publié). La CNIL prend acte de ce que l'angle et la portée des caméras individuelles, ainsi que leur contexte d'exploitation pourront faciliter l'anonymisation. Elle invite toutefois le ministère à mentionner plutôt une pseudonymisation ou à fournir une analyse poussée du caractère non réidentifiant des données anonymisées. Elle prend par ailleurs acte des engagements du ministère de mettre à jour l'AIPD sur plusieurs points relatifs à l'anonymisation, notamment sur le logiciel utilisé et les mesures de sécurité qui lui sont spécifiquement associés (cloisonnement réseau par exemple).
La CNIL relève que des mesures de chiffrement destinées à garantir la sécurité du stockage et des flux de données sont prévues. Elle prend acte de l'engagement du ministère de préciser dans l'AIPD les mesures techniques mises en œuvre pour en assurer la confidentialité (enclave sécurisée, etc.).
Elle prend acte de l'engagement du ministère de compléter l'AIPD pour préciser notamment la politique relative aux mots de passe, la traçabilité des opérations de maintenances, les modalités d'exportations sur les supports type CD/DVD, ainsi que sur les mécanismes garantissant l'intégrité des fichiers (empreinte des données avec une fonction de hachage conforme à l'annexe B1 du référentiel général de sécurité). Elle prend également acte de ce que le plan d'actions actuellement mis en place sur les mesures d'hygiène en matière de sécurité informatique sera détaillé directement dans l'AIPD.
Elle prend enfin acte de ce que la fréquence et les modalités des mises à jour des briques technologiques seront précisées dans l'AIPD.
Les autres mesures de sécurité n'appellent pas de remarque de la CNIL. Elle rappelle toutefois que les obligations relatives à la loi du 6 janvier 1978 modifiée nécessitent la mise à jour de l'AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.