Vidéosurveillance : la CNIL fait le point sur trois ans de contrôles

Après avoir contrôlé durant trois ans plus de 450 dispositifs de vidéosurveillance, tant dans des villes que dans des entreprises qui veillent ainsi à la sécurité de leurs locaux ou de leurs biens, la Commission nationale de l’informatique et des libertés (CNIL) vient de dévoiler ses principales constatations. Si la très grande majorité des manquements constatés ne sont pas volontaires selon l’institution, des problèmes relativement récurrents ont été observés. 

À l’occasion de la publication de son dernier rapport annuel (PDF), la CNIL a dévoilé la semaine dernière les principales conclusions se dégageant des contrôles exercés depuis trois ans par ses agents s’agissant des systèmes de vidéosurveillance. Et pour cause. Suite à l’adoption de la LOPPSI 2 en 2011 et à l’augmentation du nombre de caméras dans l’espace public, l’autorité administrative avait régulièrement expliqué qu’elle allait être particulièrement vigilante quant à ces dispositifs.

Au total, la CNIL affirme avoir contrôlé plus de 450 dispositifs de vidéosurveillance depuis 2011, dont environ 130 l’année dernière. « Ce sont ainsi plusieurs dizaines de milliers de caméras qui ont pu être contrôlées » se félicite l’institution. Avec une différence toutefois : les caméras installées sur la voie publique ou dans des lieux ouverts au public (transports en commun, restaurants, commerces...) dépendent depuis la LOPPSI du Code de la sécurité intérieure, tandis que celles mises en place dans des lieux privés (dans les entreprises notamment) relèvent de la loi « Informatique et Libertés ».

Plus de 450 contrôles sur trois ans, une multitude de problèmes

Résultat ? La gardienne des données personnelles ne tire pas le signal d’alarme, mais a tout de même relevé de sérieux problèmes. Petit tour d’horizon :

• Des dispositifs « parfois trop intrusifs » : Sans entrer dans les détails, la CNIL indique avoir mis en demeure, uniquement sur l’année 2013, sept communes qui ne respectaient pas suffisamment l’interdiction de filmer l’intérieur des habitations ou leurs entrées. Même si l’institution ne le relève pas, rappelons que des entreprises ont également été épinglées, l’une d’entre elle ayant par exemple été condamnée en octobre dernier à payer 10 000 euros d’amende. En cause, notamment, une caméra qui « filmait en continu les toilettes, les vestiaires, un bureau et la réserve du magasin », le tout sans autorisation ni information suffisante des salariés.
• Des mesures de sécurité jugées « insatisfaisantes » : La CNIL explique que « dans plus de 30% des cas », ses contrôleurs ont relevé des manquements au regard de l’obligation de sécuriser l’accès aux images, que ce soit un accès en temps réel ou en différé (enregistrements). Rapporté au 450 dispositifs contrôlés, cela donne tout de même 135 systèmes trop facilement accessibles... Cette fois, ce sont la « mauvaise gestion des mots de passe permettant l’accès au dispositif de visualisation ou d’enregistrement » et le « mauvais paramétrage du système » qui sont mis en cause. L’autorité administrative précise que ces défauts « rend[ent] parfois les caméras concernées accessibles depuis Internet ».
• Des images conservées trop longtemps : « Environ 15 % des contrôles ont démontré une durée de conservation des images supérieure à celle autorisée par le préfet pour les dispositifs de vidéoprotection, ou admise par la CNIL pour la vidéosurveillance » indique l’institution. Là encore, ces manquements seraient involontaires, le mauvais paramétrage des dispositifs d’enregistrement étant pointé du doigt par la Commission.
• Les personnes filmées trop peu ou mal informées : Alors que la CNIL fait valoir que l’information est « une des garanties essentielles » apportée par la loi aux personnes filmées, l’autorité a relevé que dans plus de 30 % des cas, « cette information était soit inexistante soit insuffisante (par exemple, en ce qu’elle n’indique pas les coordonnées de la personne à contacter pour exercer le droit d’accès) ».

Rarement de réelle volonté d’enfreindre la loi

Aux regards de ces premiers éléments, la CNIL reste malgré tout optimiste. La Commission retient en effet que « les manquements relevés résultent le plus souvent d’une mauvaise connaissance du cadre légal plutôt que de la volonté de mettre en place un dispositif portant atteinte aux droits et libertés des personnes ». L’autorité administrative brandit en guise de preuve le nombre de mises en conformité ayant suivi à un simple courrier de sa part : 94 % des cas en 2013. « D’une manière générale, les organismes souhaitent se conformer aux préconisations qui sont adressées par la CNIL » insiste ainsi l’institution.

Seize mises en demeure ont malgré tout été décidées en 2013 pour des caméras de surveillance qui ne respectaient pas la loi Informatique et Libertés ou le Code de la sécurité intérieure.

Le ministère de l’Intérieur alerté en vue d'une évolution du cadre légal

En conclusion, la CNIL indique avoir fait part au ministère de l’Intérieur de différents problèmes appelant une réponse d’ordre législative. L’institution a tout d’abord remarqué que les dispositifs de vidéosurveillance relevant du Code de la sécurité intérieure n’étaient pas tous soumis aux mêmes contraintes. Et pour cause. La mise en œuvre de tels dispositifs se fait suite à l’accord du préfet territorialement compétent. Or tous n’interprètent pas la législation de la même manière. « Ainsi, explique la CNIL parmi d’autres exemples, certaines préfectures ont interdit des dispositifs de vidéoprotection dont la mise en œuvre prévoyait un traitement et une conservation des images dans un pays étranger, alors que d’autres préfectures l’ont admis. »

Deuxièmement, ce sont les évolutions techniques relatives aux caméras qui poussent la Commission à réclamer une évolution du cadre législatif qui leur est applicable. L’institution fait ainsi tout particulièrement référence aux dispositifs permettant à leurs gestionnaires d’y accéder depuis un smartphone, mais pour lesquels « la sécurité de l’accès aux images et enregistrements n’est pas toujours assurée ».

Aussi, la CNIL évoque le sujet des caméras qui enregistrent les images mais également le son. « Cette possibilité [d’enregistrer du son, ndlr] n’est ni prévue, ni interdite par le Code de la sécurité intérieure bien qu’elle pose des questions au regard de la protection de la vie privée » retient ainsi l’autorité administrative. Cette dernière soulève enfin la question de la proportionnalité des moyens mis en œuvre lorsqu’il est question de vidéosurveillance. La CNIL évoque les caméras de type dôme. À ses yeux, « ces caméras, qui sont capables de filmer à 360° avec une redoutable capacité de précision, défient la notion juridique de « proportionnalité », centrale en matière de protection des données à caractère personnel ».