JO 2024 : un décret précise le traitement des données personnelles lié à la vidéoprotection et aux drones

Le projet de loi relatif aux Jeux olympiques et paralympiques (JOP) de 2024 a été adopté par le Parlement le 12 avril 2023, débouchant sur la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions.

Ce texte de loi comporte un important volet consacré à la sécurité et à l’expérimentation de dispositifs de vidéoprotection régis par des algorithmes.

Les dispositions du décret n° 2023-1102 portent sur l’application des articles L. 251-1 et suivants du code de la sécurité intérieure. Ils sont relatifs à la mise en œuvre des traitements de données à caractère personnel provenant des systèmes de vidéoprotection et des caméras installées sur des drones.

La Cnil avait rendu un avis en date du 15 juin 2023 sur ce projet de décret. Accueillant favorablement la démarche de mise en conformité du cadre réglementaire entreprise, la Cnil estimait que des précisions devaient être apportées (personnes habilitées à visionner les images, droit à l’information des personnes, droit d’accès et floutage des visages).

En premier lieu, ce texte actualise les dispositions réglementaires régissant l’autorisation et les modalités de mise en œuvre de traitements de données à caractère personnel provenant de systèmes de vidéoprotection (modification des articles R. 251-1 et suivants du code de la sécurité intérieure).

Dans ce cadre, il élargit la liste des personnes qui sont autorisées à mettre en œuvre des traitements de données à caractère personnel provenant des systèmes de vidéoprotection :

• sur la voie publique ;

• dans des lieux et établissements ouverts au public.

Ainsi, sur la voie publique, il ouvre la possibilité aux commerçants de mettre en œuvre, sous réserve de certaines conditions, des dispositifs de vidéoprotection afin d’assurer la protection des abords immédiats des bâtiments et installations particulièrement exposés à des risques d’agression ou de vol en raison notamment de la nature des biens ou services vendus ou de la situation des bâtiments ou installations. Sont visés les lieux ouverts au public où se déroulent les opérations de vente de biens ou de services et les lieux où sont entreposés ces biens ou marchandises destinés à ces opérations de vente.

Dans ce cadre, le texte prévoit que les caméras composant le dispositif de vidéoprotection seront déconnectées des caméras installées à l’intérieur du lieu ouvert au public pour que le responsable ou ses subordonnés ne puissent pas avoir accès aux images enregistrées par les caméras extérieures.

Par ailleurs, le texte permet aux personnes morales de mettre en œuvre des systèmes de vidéoprotection dans les lieux et établissements ouverts au public pour assurer la sécurité des personnes et des biens lorsque ces lieux et établissements sont particulièrement exposés à des risques d’agression ou de vol ou à des risques de terrorisme.

En deuxième lieu, il clarifie la procédure applicable à l’installation d’un système de vidéoprotection. Des précisions sont apportées concernant notamment :

• le contenu de la demande d’autorisation qui doit être déposée, en principe, à la préfecture du département du lieu d’implantation. Concernant spécifiquement le contenu du dossier administratif et technique qui accompagne la demande d’autorisation, le texte indique que celui-ci doit mentionner la désignation du responsable de la maintenance s’il s’agit d’une personne ou d’un service différent de la personne ou du service responsable du système. Auparavant, le dossier devait indiquer la désignation de la personne ou du service responsable du système et, s’il s’agit d’une personne ou d’un service différent, la désignation du responsable de sa maintenance, ainsi que toute indication sur la qualité des personnes chargées de l’exploitation du système et susceptibles de visionner les images, en particulier la copie des agréments et autorisations délivrés. Par ailleurs, le texte a supprimé l’obligation de faire figurer, au sein de ce dossier technique, les consignes générales données aux personnels d’exploitation du système pour le fonctionnement de celui-ci et le traitement des images ;

• le fonctionnement de la commission départementale de vidéoprotection instituée dans chaque département, laquelle doit émettre un avis dans un délai de trois mois sur chaque demande d’autorisation dont elle est saisie (les modalités de nomination et de composition de cette entité restent inchangées) ;

• les modalités de délivrance de l’autorisation d’installer un système de vidéoprotection.

En troisième lieu, il encadre la mise en œuvre des traitements de données à caractère personnel provenant de systèmes de vidéoprotection. A ce titre, il définit :

• les données à caractère personnel et les informations pouvant être enregistrées dans les traitements. En particulier, il interdit d’utiliser des dispositifs de captation sonore ;

• les personnes pouvant accéder aux données et celles pouvant en être destinataires ;

• la durée de conservation des données selon un délai fixé par l’autorisation préfectorale qui ne peut excéder un mois ;

• les droits des personnes concernées ;

• les droits à l’information et à l’accès aux données enregistrées. Le texte évoque les deux niveaux d’information qui doivent bénéficier au public. Ainsi, l’information au public est délivrée par voie d’affiches ou de panonceaux comportant un pictogramme représentant une caméra. Lorsque les affiches ou les panonceaux ne peuvent pas comporter l’ensemble des informations devant y figurer, ils mentionnent, au moins, l’identité du responsable du système, les finalités poursuivies par le traitement et les droits des personnes concernées. Les autres informations sont alors communiquées par tout autre moyen ;

• l’engagement de conformité. Lorsqu’ils sont mis en œuvre par les autorités publiques compétentes agissant pour le compte de l’Etat, la mise en œuvre des traitements de données à caractère personnel provenant de systèmes de vidéoprotection est subordonnée à l’envoi préalable à la Commission nationale de l’informatique et des libertés d’un engagement de conformité au texte. Cet envoi est réalisé par le responsable du système ;

• les modalités de contrôle du respect de ces dispositions et les sanctions encourues.

En dernier lieu, ce texte modifie le code de la sécurité intérieure pour prévoir que les caméras installées sur des aéronefs utilisées à des fins de police administrative sont, dans les départements des Hauts-de-Seine, de la Seine-Saint-Denis et du Val-de-Marne ainsi que sur les trois principaux aéroports parisiens (Roissy, Orly, Le Bourget), autorisées par le préfet de police (création de l’article R. 242-15).