L’essentiel : Le Conseil d’Etat a jugé illégal l’usage de drones à Paris et a condamné la commune de Lisses pour l’installation de caméras thermiques mobiles, portant atteinte au droit à la vie privée. Les caméras fixes, ne nécessitant pas d’enregistrement des températures, n’ont pas été considérées comme un traitement de données personnelles. En revanche, les caméras portables, imposant une prise de température pour accéder aux établissements, ont été reconnues comme un traitement de données de santé, sans base légale ni consentement, violant ainsi le RGPD. La CNIL souligne également les risques de surveillance excessive et d’atteinte aux libertés individuelles.

 Après avoir jugé illégal l’usage de drones au-dessus de la capitale, le Conseil d’Etat, saisi en référé par la Ligue des droits de l’homme a jugé que la commune de Lisses (Essonne), en installant des caméras thermiques mobiles, a porté une atteinte manifestement illégale au droit au respect de la vie privée des élèves et du personnel, qui comprend le droit à la protection des données personnelles et la liberté d’aller et venir.

Traitement de données personnelles au sens du RGDP

Concernant une première caméra fixe situé à l’entrée de l’établissement, le juge des référés a relevé que les personnes entrant dans les locaux municipaux ont le choix de se placer ou non dans l’espace permettant la prise de température et qu’un refus n’empêche pas l’accès aux locaux. En cas de prise de température, celle-ci ne donne lieu à aucun enregistrement, et aucun agent de la commune ne manipule la caméra ni a accès aux résultats. En conséquence, le juge des référés a estimé que cette caméra ne donnait pas lieu à un traitement de données à caractère personnel au sens du règlement général sur la protection des données (RGPD) et a rejeté la demande tendant à ce qu’il soit mis fin à leur utilisation.

S’agissant en revanche des caméras thermiques portables utilisées dans les écoles, le juge des référés a constaté que les élèves, les enseignants et les personnels devaient obligatoirement se soumettre à cette prise de température pour accéder à l’établissement et qu’un résultat anormal entrainait l’obligation pour eux de quitter l’établissement. Cette collecte de données de santé constituait bien un traitement automatisé de données personnelles au sens du RGPD. En l’absence notamment de texte justifiant l’utilisation de ces caméras pour des raisons de santé publique et en l’absence de consentement des élèves et du personnel, les conditions ne sont pas remplies pour permettre un tel traitement des données.

Caméras thermiques et/ou intelligentes : ce que dit la CNIL

Certes avec un masque, le risque de reconnaissance faciale est limité mais tout de même, la liberté de circuler est en jeu et des règles précises s’appliquent. Au préalable, faire non de la tête en passant devant une caméra n’est pas une modalité (crédible) du droit de s’opposer à la collecte de ses données (l’image faciale est une donnée personnelle).

En premier lieu, lorsque les images thermiques des personnes captées par ces caméras peuvent permettre l’identification des personnes (visage ou corps), il s’agit non seulement de données à caractère personnel mais surtout de données de santé et donc de données sensibles soumises à un régime restrictif. Le traitement de ces données est en principe interdit sauf si l’une des exceptions prévues à l’article 9.2 du RGPD est remplie. Le traitement de données de santé peut notamment être justifié par i) des motifs d’intérêt public importants (article 9.2.g) du RGPD) ; ii) ou spécifiquement des motifs d’intérêt public dans le domaine de la santé publique (article 9.2.i) du RGPD). Dans ce cas, un texte spécifique (de l’Union européenne ou de l’État) doit donc venir autoriser de tels dispositifs. Des données de santé peuvent également être traitées si la personne y a consenti (article 9.2.a du RGPD).

En second lieu, de source CNIL, un tel dispositif présente également un risque de ne pas repérer les personnes infectées puisque certaines sont asymptomatiques et que le dispositif peut, en outre, être contourné par la consommation de produits antipyrétiques (médicaments permettant de diminuer la température corporelle, sans pour autant traiter les causes de la fièvre).

En second lieu, les droits des personnes sur leurs données personnelles doivent être respectés. L’un de ces droits essentiels est celui pour toute personne de s’opposer à faire l’objet d’une captation de son image dans l’espace public (article 21 du RGPD). Ce droit d’opposition doit être garanti par le responsable de traitement lorsque celui-ci se fonde sur un intérêt public ou son intérêt légitime.

Or la mise en œuvre de tels dispositifs dans l’espace public ou ouverts au public se heurte à l’obligation de prendre en compte et de respecter de manière effective ce droit d’opposition. En effet, les dispositifs vidéo captent automatiquement l’image des personnes passant dans leur spectre de balayage, sans possibilité d’éviter les personnes ayant exprimé préalablement leur opposition. En pratique, ces personnes pourront uniquement obtenir la suppression de leurs données et non éviter leur collecte.

Ainsi, si le droit d’opposition ne peut pas être appliqué en pratique, les dispositifs concernés doivent être spécifiquement autorisés par un cadre légal spécifique prévu soit par l’Union européenne, soit par le droit français.

Quid des caméras intelligentes?

Dans le contexte de déconfinement suite à l’épidémie de COVID-19, de nouveaux dispositifs de caméras vidéo dites « intelligentes » sont déployés, notamment dans l’espace public ou dans des lieux ouverts au public. En pratique, il s’agit : i) soit de l’ajout d’une couche logicielle à des systèmes de vidéoprotection préexistants ; ii) soit du déploiement de dispositifs de prise de température automatique (caméras thermiques), de détection du port de masque, de respect des mesures de distanciation sociale, etc. Ces dispositifs doivent apporter des garanties au regard du RGPD : i) la démonstration de leur proportionnalité ; ii) une durée de conservation limitée ; iii) des mesures de pseudonymisation ou d’anonymisation ; iv) l’absence de suivi individuel ; etc.

Le recours à des caméras « intelligentes » n’est aujourd’hui prévu par aucun texte particulier.

Les garanties minimales suivantes doivent être respectées:

Si des données sensibles sont traitées, telle que la captation d’informations personnelles de santé ou d’informations biométriques, ou si le droit d’opposition n’est pas possible (du fait, par exemple, du « balayage vidéo » de la caméra dans une rue), il est nécessaire de mettre en place un cadre légal adapté qui respecte l’article 9 et/ou l’article 23 du RGPD.

Si les objectifs généralement assignés à ces dispositifs, c’est-à-dire participer à la lutte contre la propagation du virus ou veiller à la salubrité publique, sont le plus souvent légitimes, la CNIL a rappelé que leur déploiement risque de généraliser un sentiment de surveillance chez les citoyens, de créer un phénomène d’accoutumance et de banalisation de technologies intrusives, et d’engendrer une surveillance accrue, susceptible de porter atteinte au bon fonctionnement de notre société démocratique. Les dispositifs légalement mis en œuvre dans cette période doivent être considérés comme exceptionnels et rester proportionnés aux objectifs particuliers de cette période.

Les organismes qui décident de déployer ce type de dispositifs, même à titre expérimental, doivent avoir clairement caractérisé les finalités poursuivies et la base légale appropriée aux traitements de données (comme, par exemple, l’exécution d’une mission d’intérêt public pour les autorités publiques ou l’intérêt légitime des organismes privés dans les conditions prévues à l’article 6 du RGPD).

Les traitements qui seraient mis en œuvre par une autorité compétente, au sens de l’article 3 de la directive « Police-Justice » et à des fins de prévention et de détection des infractions pénales, doivent faire l’objet d’une analyse d’impact relative à la protection des données (AIPD) soumise à consultation obligatoire de la CNIL et à l’adoption d’un texte réglementaire.

La nécessité et la proportionnalité doivent être avérées. Les dispositifs en cause doivent n’être déployés qu’avec le consentement des personnes filmées ou s’ils sont « nécessaires » aux objectifs poursuivis. Ils doivent également répondre au principe de « proportionnalité », c’est à dire ne pas porter une atteinte disproportionnée à la vie privée.

Le caractère nécessaire et proportionné du recours à des dispositifs de caméras « intelligentes » doit être notamment démontré au regard : i) de l’absence de moyens moins intrusifs pour les droits et libertés des personnes concernées permettant d’atteindre les finalités envisagées, ii) de l’importance des données traitées, iii) du périmètre de déploiement des dispositifs dans l’espace et dans le temps (nombre de caméras concernées, étendue de leur champ, durée de leur déploiement, etc.), iv) des remontées d’informations aux responsables de traitement. Télécharger la décision

Q/R juridiques soulevées :

Quel est le jugement du Conseil d’Etat concernant l’utilisation de caméras thermiques à Lisses ?

Le Conseil d’Etat a jugé que l’installation de caméras thermiques mobiles par la commune de Lisses portait une atteinte manifestement illégale au droit au respect de la vie privée des élèves et du personnel.

Cette décision a été prise après que la Ligue des droits de l’homme a saisi le Conseil d’Etat en référé. Le juge a souligné que l’utilisation de ces caméras, qui obligeait les élèves et le personnel à se soumettre à une prise de température pour accéder à l’établissement, constituait un traitement automatisé de données personnelles au sens du RGPD.

En revanche, une caméra fixe à l’entrée de l’établissement, qui ne nécessitait pas d’enregistrement des données et ne bloquait pas l’accès en cas de refus, a été jugée conforme à la législation.

Quelles sont les implications du RGPD concernant le traitement des données personnelles ?

Le Règlement Général sur la Protection des Données (RGPD) définit les données personnelles comme toute information se rapportant à une personne physique identifiée ou identifiable.

Dans le cas des caméras thermiques portables, le traitement de données de santé, qui est une catégorie de données sensibles, est soumis à des règles strictes. Le RGPD stipule que le traitement de ces données est interdit, sauf si certaines conditions sont remplies, comme le consentement explicite de la personne concernée ou des motifs d’intérêt public.

Le juge a noté qu’aucun texte ne justifiait l’utilisation de ces caméras pour des raisons de santé publique, ce qui a conduit à la conclusion que les conditions pour un traitement légal des données n’étaient pas remplies.

Quels sont les risques associés à l’utilisation de caméras thermiques selon la CNIL ?

La CNIL a mis en avant plusieurs risques liés à l’utilisation de caméras thermiques, notamment le fait qu’elles ne permettent pas toujours d’identifier les personnes infectées, car certaines peuvent être asymptomatiques.

De plus, des personnes peuvent contourner ces dispositifs en prenant des médicaments antipyrétiques, ce qui fausse les résultats de la prise de température.

La CNIL souligne également que le droit d’opposition des individus à la captation de leur image doit être respecté. Cependant, les dispositifs de captation automatique ne permettent pas toujours aux personnes de s’opposer à la collecte de leurs données, ce qui pose un problème de conformité avec le RGPD.

Quelles sont les exigences pour le déploiement de caméras intelligentes ?

Le déploiement de caméras intelligentes doit respecter plusieurs exigences pour être conforme au RGPD.

Tout d’abord, il est nécessaire de démontrer la proportionnalité des dispositifs, c’est-à-dire que leur utilisation doit être justifiée par des objectifs légitimes et ne pas porter atteinte de manière disproportionnée à la vie privée des individus.

Les organismes doivent également établir une durée de conservation limitée des données, mettre en place des mesures de pseudonymisation ou d’anonymisation, et s’assurer qu’il n’y a pas de suivi individuel des personnes filmées.

En l’absence d’un cadre légal spécifique, le déploiement de ces dispositifs pourrait être considéré comme illégal, ce qui soulève des préoccupations quant à la surveillance accrue des citoyens.

Quels sont les droits des personnes concernant la captation de leur image ?

Les droits des personnes concernant la captation de leur image sont protégés par le RGPD, notamment par le droit d’opposition.

Ce droit permet à toute personne de s’opposer à la collecte de son image dans l’espace public. Cependant, la mise en œuvre de dispositifs de captation automatique, comme les caméras thermiques, complique l’exercice de ce droit.

En effet, ces dispositifs captent automatiquement les images des personnes sans possibilité d’éviter la collecte pour celles qui ont exprimé leur opposition. Cela signifie que, même si une personne s’oppose à la collecte, ses données peuvent être enregistrées, ce qui pose un problème de conformité avec le RGPD.

Quelles sont les conséquences d’une surveillance accrue sur la société démocratique ?

La CNIL a averti que le déploiement de dispositifs de surveillance, comme les caméras intelligentes, pourrait engendrer un sentiment de surveillance généralisée parmi les citoyens.

Cela pourrait mener à une banalisation des technologies intrusives et à une accoutumance à la surveillance, ce qui pourrait nuire au bon fonctionnement de la société démocratique.

Les dispositifs de surveillance doivent être considérés comme exceptionnels et proportionnés aux objectifs spécifiques de la période de crise, comme celle liée à la pandémie de COVID-19.

Il est crucial que les organismes qui déploient ces technologies aient clairement défini les finalités et la base légale appropriée pour le traitement des données, afin de respecter les droits des individus et de maintenir la confiance du public.