La CNIL approuve le recours à la vidéo intelligente dans les transports (fr)

France >  Droit privé > Droit du numérique >  Protection des données personnelles

Gérard HAAS, avocat au barreau de Paris et Elise Hausherr [1]
Mars 2021

Depuis le 10 mars 2021 , des dispositifs de vidéo intelligente peuvent être utilisés dans les transports publics pour mesurer le taux de port du masque dans le contexte de la crise sanitaire.

Le décret 1] relatif à ces dispositifs prévoit en effet que les exploitants de services de transport et les gestionnaires des espaces affectés à ces services dans les territoires où une mesure législative impose le port d'un masque, peuvent recourir à des systèmes de vidéoprotection afin de veiller au respect de cette obligation, tout en excluant le droit d’opposition des personnes concernées au traitement de leurs données.

Appel à la vigilance de la CNIL

Dès le mois de juin 2020, la CNIL avait appelé à la vigilance sur l’utilisation des caméras intelligentes et des caméras thermiques qui commençaient à se généraliser. Avec pour objectif de faciliter la gestion de la crise sanitaire, elles étaient destinées notamment à mesurer la température, détecter la présence ou encore s’assurer du respect de la distanciation sociale ou du port du masque.

Selon la CNIL, le développement incontrôlé de tels dispositifs présente le risque d’engendrer une surveillance accrue de la population, de généraliser un sentiment de surveillance chez les citoyens et de créer un phénomène d’accoutumance et de banalisation des technologies intrusives.

Elle insiste ainsi sur la nécessité d’apporter un encadrement textuel adéquat qui respecte les articles 9 ou 23 du RGPD dès lors que des données sensibles sont traitées ou que le droit d’opposition ne peut pas s’appliquer (notamment du fait du balayage vidéo d’un espace public).

Ce cadre doit en outre s’ajouter à toutes les garanties que doivent prévoir ces dispositifs de vidéo intelligente au regard du RGPD (démonstration de leur nécessité et proportionnalité, durée de conservation limitée, mesures de pseudonymisation ou d’anonymisation, absence de suivi individuel, information des personnes concernées…).

Avis de la CNIL sur les garanties apportées par le décret

La CNIL a ainsi partagé ses recommandations dans un avis du 17 décembre 2020 afin de compléter les garanties initialement prévues par le gouvernement dans son projet de décret sur l’utilisation de dispositifs de vidéo intelligente.

Ses recommandations pointent notamment :

• La nécessité d’apporter des précisions suffisantes sur la finalité et les caractéristiques essentielles des traitements envisagés

• Le caractère impératif de l’information des personnes concernées

• Sur les finalités du dispositif

Selon le décret, les exploitants de service de transport public peuvent ainsi utiliser un dispositif de vidéoprotection pour :

• Produire des évaluations statistiques sur le respect de l’obligation de port du masque ;

• Adapter leurs actions d’information et de sensibilisation du public.

De ce fait, ces dispositifs n’ont pas pour finalité, ni ne peuvent permettre techniquement, l’identification des personnes et n’ont donc pas vocation à traiter des données biométriques.

La CNIL relève dans son avis que ces dispositifs n’ont pas vocation à sanctionner les infractions à la réglementation relative au port du masque mais à diffuser des messages d’annonce dans les lieux où serait constaté un taux moyen de port du masque insuffisant. Ils n’ont pas non plus pour objectif de permettre le déploiement d’agents chargés du respect de cette réglementation sur les lieux, mais de redéployer des agents d’information en vue de sensibiliser les usagers à leurs obligations.

La CNIL estime donc que cette finalité est déterminée, explicite et légitime au sens de l’article 5.1.b du RGPD.

Sur l’exclusion du droit d’opposition des personnes concernées

Selon le décret, les personnes concernées ne peuvent pas s'opposer au traitement. Le gouvernement utilise ainsi la faculté prévue par l'article 23 du RGPD qui permet à un Etat membre de limiter la portée des droits des personnes lorsque la limitation respecte « l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir » un des objectifs énumérés.

La CNIL confirme dans son avis que les traitements envisagés poursuivent des objectifs importants d’intérêt public et notamment des objectifs de santé publique et de protection des personnes et permettent donc la limitation des droits des personnes concernées.

Néanmoins, pour apporter des limitations aux droits des personnes, selon l’article 23.2 du RGPD des garanties doivent être apportées et notamment des dispositions spécifiques minimales doivent être précisées dans la mesure législative.

C’est pourquoi la CNIL souligne que la finalité et les caractéristiques essentielles des traitements doivent être décrites avec des précisions suffisantes et que les personnes concernées doivent être informées de la limitation de leur droit et notamment de leur droit d’opposition, dans la mesure où cela ne risque pas de nuire à la finalité de cette exclusion.

Sur la durée d’application

Le décret prévoit que la durée de ces mesures est limitée à un an à compter de sa publication.

La CNIL confirme la nécessité de cette limitation de durée au regard de la nature potentiellement intrusive des dispositifs mis en place. En tout état de cause, ces dispositifs ne pourront être autorisés que tant qu’une mesure législative impose le port du masque dans les transports.

Périmètre du décret

Le décret précise ainsi que les images peuvent être collectées uniquement par des caméras fixes situées dans les espaces accessibles au public affectés au transport public de voyageurs.

Ces images sont instantanément transformées en données anonymes pour établir le pourcentage de personnes portant le masque et ne sont ni stockées ni transmises à des tiers.

En outre, le produit du traitement qui rassemble les données d’un même espace ne peut être actualisé dans une période inférieure à vingt minutes.

Il ne porte que sur le nombre de personnes détectées et le pourcentage de ces personnes portant un masque, et ne permet pas la ré-identification des personnes.