Conférence relative à la mise en œuvre de la Directive 95/46 du 24 octobre 1995, Bruxelles, 30 septembre / 1 er octobre 2002

Transcription

1 Commission Nationale de l Informatique et des Libertés Conférence relative à la mise en œuvre de la Directive 95/46 du 24 octobre 1995, Bruxelles, 30 septembre / 1 er octobre 2002 Intervention de M. Hubert BOUCHET, Vice-président délégué de la Commission Nationale de l Informatique et des Libertés (CNIL), Paris : les traitements des données relatives aux images et aux sons : l expérience française Il résulte clairement de la directive que, dans son principe, les traitements des images et des sons relèvent de son champ d application, au regard d une part, de la définition que donne l article 2a de la directive, de la notion de données à caractère personnel 1, d autre part, du considérant 14 qui précise que compte tenu de l importance du développement en cours, dans le cadre de la société de l information, des techniques pour capter, transmettre, manipuler, enregistrer, conserver ou communiquer les données constituées par des sons et des images, relatives aux personnes physiques, la présente directive est appelée à s appliquer aux traitements portant sur ces données. Mais le point de savoir si la vidéosurveillance devait ou non relever du champ d application de la directive européenne a été l un des plus âprement discutés. Deux réserves doivent à cet égard être faites. La première réserve tient à l exclusion explicite de certains traitements de vidéosurveillance du champ d application de la directive. En effet, compte tenu de la position, alors isolée, de la France sur cette question, la directive européenne précise 1 toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale. 1

2 dans un de ses considérants (le considérant 16), que les traitements des données constituées par des sons et des images, tels que ceux de vidéosurveillance, ne relèvent pas du champ d application de la directive s ils sont mis en oeuvre à des fins de sécurité publique, de défense, de sûreté de l Etat ou pour l exercice des activités de l Etat relatives à des domaines du droit pénal ou pour l exercice d autres activités qui ne relèvent pas du champ d application du droit communautaire. La seconde réserve figure à l article 33 de la directive européenne. Cet article, le dernier du texte européen, fait obligation à la Commission européenne de faire périodiquement, et au plus tard pour la première fois, trois ans après la date d entrée en vigueur de la directive, un rapport au Parlement européen et au Conseil sur l application de la directive. Le deuxième alinéa de cet article précise que la Commission examine en particulier, l application de la présente directive aux traitements de données constituées par des sons et des images, relatives aux personnes physiques, et elle présente les propositions appropriées qui pourraient s avérer nécessaires en tenant compte des développements de la technologie de l information et à la lumière de l état des travaux sur la société de l information. 1. L application de la loi française de protection des données personnelles aux traitements d images et de sons : C est en 1991 que la CNIL a statué pour la première fois en matière de vidéosurveillance. Mais dès 1988, la Commission avait été interrogée par une commune sur l installation de caméras de vidéosurveillance dans les rues de la ville. La CNIL s est ainsi déclarée compétente lorsque les systèmes de vidéosurveillance recouraient à la numérisation de l image et lorsque les enregistrements étaient conservés et a rendu des avis sur les systèmes de téléassistance de la Société française de transports ferroviaires ou de la vidéosurveillance dans le métro ou encore sur l installation de caméras autour d un parc des sports, les images étant dans ces trois cas à la fois numérisées et conservées pendant un certain délai. C est sur la base de ces mêmes principes que la Commission, après avoir entrepris une étude d ensemble de ces systèmes, a adopté en 1994 une recommandation de portée générale sur les systèmes de vidéosurveillance dans les lieux publics suivie en 1996, d un rapport plus général intitulé «voix, image et protection des données personnelles». La doctrine de la CNIL en ce domaine est la suivante : l image d une personne, et tout particulièrement son visage, de même que le son d une voix constituent des informations indirectement nominatives dans la mesure où elles permettent d identifier la personne à laquelle elles se rapportent ; lorsque l image captée est numérisée, le système dans son entier constitue un traitement automatisé d informations nominatives au sens de l article 5 de la loi française de protection des données. Ce traitement doit donc faire l objet de formalités préalables de déclaration auprès de la CNIL et doit répondre aux 2

3 exigences de fond de la loi :loyauté de la collecte; information des personnes, notamment sur les destinataires ; confidentialité des informations, durée de conservation limitée. Il en est de même des dispositifs d enregistrement des conversations téléphoniques. Cette doctrine est aujourd hui appliquée quel que soit le type d application ou le secteur d activités concerné :systèmes de vidéosurveillance mis en place dans les lieux privés, notamment dans les entreprises, domaine où la Commission a été saisie de déclarations et de nombreuses demandes de conseil, traitements d imagerie médicale et de télémédecine (premiers avis rendus en 1991), dispositifs de caméras permettant aux parents par internet, d observer les activités de leur enfant (avis favorable du 16 janvier 2001) ou encore installation par des communes de webcams permettant aux internautes de visualiser les différentes places touristiques de la ville ( la CNIL a demandé que les zooms des caméras soient «bridées» pour éviter toute identification des personnes ). Enfin, la CNIL est fréquemment saisie par des particuliers qui s interrogent sur la régularité de l implantation des systèmes de vidéosurveillance dans les immeuble collectifs avec diffusion des images sur les postes de télévision des locataires (systèmes dits de co-surveillance ou de co-gardiennage ). S agissant des dispositifs d écoutes téléphoniques, plusieurs organismes bancaires ont déclaré des traitements de numérisation des enregistrements téléphoniques pour contrôle et preuve. De même, la multiplication des services par téléphone et des centres d appels a conduit les entreprises à surveiller la qualité du service, et en particulier de la réponse apportée par le salarié. Sur ce point, la CNIL a développé un corpus de recommandations pratiques diffusées sur le site Internet de la CNIL. Ainsi, les salariés doivent être prévenus, préalablement à la mise en oeuvre d un système d écoutes téléphoniques, de son existence, des conséquences individuelles qui pourront en résulter, et des périodes pendant lesquelles leurs conversations seront enregistrées. Vis à vis des clients qui peuvent être identifiés, des dispositions doivent être prises pour porter à leur connaissance l existence de ce dispositif (information préalable sur les modalités des enregistrements, leur finalité, la durée de leur conservation, les destinataires des informations, ainsi que sur l existence d un droit d accès et de rectification). Enfin, les salariés doivent avoir connaissance du compte rendu de la conversation enregistrée et doivent pouvoir formuler leurs observations. S agissant des modalités pratiques de cette information, la CNIL précise qu elle peut être donnée lors de la souscription d un contrat de services vocaux. Lorsqu il s agit de personnes avec lesquelles aucun lien contractuel n existe, la Commission admet, lorsque la personne ne fournit que des informations nécessaires pour une commande ou une demande de documentation, que l information relative à la loi du 6 janvier 1978 soit réalisée dans le premier contact qui suit l appel téléphonique dès lors qu il s avère matériellement impossible de transmettre ces informations au moment de l entretien téléphonique, ce qui est souvent le cas en pratique. 3

4 S agissant de la durée de conservation des enregistrements, la CNIL adapte ses préconisations en fonction de la finalité du traitement. C est ainsi que, s agissant, par exemple, des contrôles de la qualité du service téléphonique rendu, la CNIL recommande que les bandes soient effacées dès que le salarié les a écoutées en présence de son supérieur hiérarchique. 2. Les autres textes applicables en France: 2.1. Les dispositions du Code Pénal : L article du code pénal incrimine le fait de porter volontairement atteinte à l intimité de la vie privée d autrui, en, notamment, fixant, enregistrant ou transmettant, sans le consentement de celle-ci, l image d une personne se trouvant dans un lieu privé. Cet article précise que lorsque ce fait a été accompli au vu et au su des intéressés sans qu ils s y soient opposés alors qu ils étaient en mesure de le faire, le consentement de ceux-ci est présumé. De même cet article incrimine le fait de capter, enregistrer ou transmettre sans le consentement de leur auteur des paroles prononcées à titre privé ou confidentiel et l'article incrimine le fait commis de mauvaise foi d'intercepter, détourner, utiliser ou divulguer des correspondances émises, transmises ou reçues par la voie des télécommunications ou de procéder à l'installation d'appareils conçus pour réaliser de telles interceptions. 2.2.Le cas particulier de la vidéosurveillance sur les lieux publics La loi du 21 janvier 1995 a offert un nouvel encadrement juridique à la vidéosurveillance dans les lieux publics ou les lieux privés ouverts au public. L article 10 de cette loi précise que les enregistrements visuels de vidéosurveillance ne sont pas, dans ce cas, des informations nominatives au sens de la loi française de protection des données, sauf lorsqu ils sont utilisés pour constituer un fichier nominatif. La loi de 1995 transfère à l autorité administrative, dans chaque département, la compétence pour autoriser la mise en place de systèmes de vidéosurveillance dans les lieux publics ou les lieux privés ouverts au public, après avis d une commission présidée par un magistrat de l ordre judiciaire. Mais les principes et les règles fixés par cette législation spéciale sont très proches de ceux des législations de la protection des données. Ainsi, la loi de 1995 énumère limitativement les finalités qui peuvent être poursuivies par les autorités publiques ou les responsables de lieux ou établissements ouverts au public qui souhaitent installer des caméras de vidéosurveillance. Elle prévoit aussi un délai maximum de conservation des enregistrements (un mois), une information claire et permanente de l existence du système de vidéosurveillance et de l identité de la personne responsable, ainsi que le droit d accès des personnes aux enregistrements. Il doit être relevé que la loi de 1995 précise que les opérations de vidéosurveillance de la voie publique doivent être réalisées de telle sorte qu elles ne visualisent pas les 4

5 images de l intérieur d immeubles d habitation ni, de façon spécifique, celles de leurs entrées. Aux termes de la loi, la CNIL est compétente si les enregistrements visuels de vidéosurveillance sont utilisés pour la constitution d un fichier nominatif, c est-à-dire, par exemple, si des visages de personnes ou si des renseignements issus de la visualisation de ces images sont intégrés dans un fichier, informatique ou non. Tel a été le cas du dispositif de contrôle des véhicules empruntant le tunnel sous la Manche (avis favorable de la CNIL du 21février 1995) ainsi que d un système automatisé de lecture numérique des plaques d immatriculation des véhicules empruntant les autoroutes Paris-Rhin-Rhône (avis défavorable du 10 septembre 1996) La législation sur les écoutes téléphoniques: Outre les dispositifs particuliers de contrôle des interceptions de sécurité mis en place par la loi du 10 juillet 1991 relative au secret des correspondances émises par la voie des télécommunications, il doit être noté qu en application des dispositions du Code pénal, toute acquisition ou détention d appareils d enregistrement de conversations téléphoniques doit faire l objet d une autorisation délivrée par une commission consultative instituée auprès du Premier ministre. L autorisation est délivrée pour une durée maximale de 3 ans et peut subordonner l utilisation des appareils à des conditions destinées à en éviter tout usage abusif. Plus de 200 demandes sont déposées par an ; elles proviennent principalement d établissements financiers, de sociétés de télésurveillance, de services de sécurité et de secours, enfin d entreprises pour leurs besoins de formation des employés et de contrôle des centres d appels. La demande d autorisation doit préciser la finalité de l enregistrement, les conditions de sa mise en œuvre et doit comporter un engagement par lequel le responsable du dispositif s engage à prévoir une information préalable des personnes concernées, à mettre en place une procédure d accès aux enregistrements ainsi que de destruction des enregistrements dans un certain délai. Le demandeur doit enfin s engager par écrit à respecter les dispositions de la loi de protection des données. Une collaboration s est ainsi instaurée entre la CNIL et les services du Premier ministre, sous la forme en particulier d échanges réguliers d informations Le Code du travail La loi du 31 décembre 1992 a posé les jalons d un droit informatique et libertés dans l entreprise. Principe de proportionnalité ( nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas proportionnées au but recherché ) ; consultation du comité d entreprise lors de l introduction de nouvelles technologies; information préalable des salariés. 5

6 Ces règles qui s inspirent largement des principes de protection des données trouvent application en matière de vidéo-surveillance ou d écoutes téléphoniques dans l entreprise et la Cour de cassation, faisant application sur ce point d une jurisprudence constante depuis 1991, a ainsi rappelé par un arrêt du 14 mars 2000 s agissant de l enregistrement des conversations téléphoniques de salariés qui, affectés à des opérations de passage d ordres boursiers, utilisaient le téléphone à des fins privées ( pour des prises de paris sur internet,) que l employeur a le droit de contrôler et de surveiller l activité de ses salariés pendant le temps de travail ; que seul l emploi de procédé clandestin de surveillance est illicite. En conclusion, qu il s agisse de la vidéosurveillance ou des écoutes téléphoniques sur les lieux de travail, la loi française de protection des données s applique sous réserve des législations spéciales qui, toutefois, s inspirent pour une large part des principes clés de la protection des données personnelles. 6