Quatre communes épinglées par la CNIL pour verbalisation assistée par ordinateur illicite

Quatre communes ont été mises en demeure par la CNIL pour verbalisation assistée par ordinateur. Si les noms n’ont pas été révélés, l’autorité a profité de l’épisode pour rappeler les fondamentaux en matière de lecture automatisée des plaques d'immatriculation.

Équiper les véhicules de police municipale de caméras couplées à un système de LAPI (lecture automatique de plaque d’immatriculation). Les faire circuler dans les rues pour rechercher activement et constater la matérialité d’éventuelles infractions. La tentation peut être grande pour les municipalités, parfois en mal d’effectifs.

Seulement, cette quête par traitement de données personnelles impose avant tout le respect impérieux d’un corps de règles. Le régime en vigueur dépend des conditions de mise en œuvre. Avec les systèmes LAPI, des communes peuvent vouloir rechercher des infractions pénales, ou bien d’autres incivilités ne relevant pas de ce code.

Deux situations. L’une est interdite. L’autre encadrée.

Les LAPI destinées à rechercher des infractions pénales

Hier, la CNIL a indiqué avoir adressé des mises en demeure « à quatre communes en raison d’une telle utilisation de ces dispositifs ». Les noms n’ont pas été révélés, la mise en demeure n’étant pas publique, nous a-t-elle indiquée.

Pour comprendre les raisons de cette décision, il faut revenir à la loi de 1978. Le texte fondateur autorise les traitements de données « qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ». Il faut néanmoins disposer d’un arrêté pris après avis de la commission, pour leur offrir une base juridique suffisante.  

S’agissant des communes, ce cadre a été fixé le 14 avril 2009 avec cet arrêté « autorisant la mise en œuvre de traitements automatisés dans les communes ayant pour objet la recherche et la constatation des infractions pénales par leurs fonctionnaires et agents habilités ». L’intérêt d’un tel texte est d’éviter aux communes de solliciter une autorisation spécifique pour chacun des traitements. La seule formalité se limite en effet à l’envoi d’un engagement de conformité.

Problème, si l’arrêté-cadre dresse la liste des données pouvant être aspirées automatiquement, la photographie des véhicules verbalisés n’en fait pas partie. Par principe, un maire souhaitant mettre en œuvre une LAPI se retrouve donc dans une impasse : ce traitement n'est pas compatible avec le texte de 2009. La difficulté n’est pas nouvelle. En témoigne, bien avant le communiqué d’hier, une question parlementaire de la députée PS Valérie Fourneyron posée en 2016.

Sa missive était restée sans réponse, mais l’élue relevait que « si les traitements de données personnelles mis en œuvre dans le cadre de la recherche et la constatation des infractions pénales par les agents des services de police municipale sont ainsi encadrés par l'arrêté ministériel du 14 avril 2009 (…), ledit texte ne prévoit actuellement pas la photographie des véhicules verbalisés dans la liste des données susceptibles d'être enregistrées par lesdits services (article 6) ».

Au Sénat, Mme Brigitte Micouleau (LR) avait eu plus de chance. Gérard Collomb, ministre de l’Intérieur lui avait confirmé en 2017 que « l'arrêté du 14 avril 2009 autorisant la mise en œuvre de traitements automatisés dans les communes ayant pour objet la recherche et la constatation des infractions pénales par leurs fonctionnaires et agents habilités ne peut servir de base juridique à de tels traitements de données puisqu'il ne permet pas la collecte et l'enregistrement de photographies ou de vidéos ». Les traitements ne peuvent « comporter de fichier photographique » tambourinait déjà la CNIL sur sa page dédiée à l’arrêté. 

Les LAPI pour contrôler les forfaits de post-stationnement

La même CNIL prévient néanmoins que « le recours à des dispositifs de type LAPI est autorisé dans le cadre du contrôle du forfait de post-stationnement ». Cette différence de traitement s’explique par une différence de régime. Depuis le 1er janvier 2018, l'absence et l'insuffisance de paiement du stationnement ne sont plus des infractions pénales. L’amende due dans un tel cadre a disparu, pour laisser place à une redevance pour occupation du domaine public. C’est le forfait de post-stationnement, dont le montant fixé par chaque agglomération.

Cette fois, on sort du cadre de l’arrêté de 2009 relatif aux infractions pénales, et les communes n’ont plus qu’à respecter les règles générales relatives aux traitements de données à caractère personnel. Voilà pourquoi dans certaines d'entre-elles, des véhicules équipés de caméras sillonnent les rues pour qu’ensuite, des agents constatent le défaut ou l’insuffisance de paiement de la redevance. « Cette possibilité est cependant limitée au seul domaine du stationnement payant (absence et insuffisance de paiement) » avait prévenu en ce sens le ministère de l’Intérieur dans sa réponse de 2017.

Ainsi, « toute utilisation d'un dispositif de lecture automatisée des plaques d'immatriculation pour constater les faits restant dans le champ infractionnel (stationnements gênants, très gênants, interdits, abusifs ou dangereux) continue de relever du régime de l'autorisation par acte réglementaire et nécessite donc un arrêté du ministre d'État, ministre de l'Intérieur ». Une prose qu’on retrouvait déjà dans ce billet de la CNIL, publié à l’occasion de ce changement de régime. 

Relevons que les articles L. 251-2 et suivants du Code de la sécurité intérieure (CSI), prévoient bien l'utilisation de la vidéoprotection pour constater les « infractions aux règles de la circulation ». Ces systèmes peuvent être installés par les collectivités territoriales après autorisation de l'autorité préfectorale territorialement compétente.

Quand une commune part au combat devant le Conseil d'État

Seulement les LAPI obéissent à un régime spécifique au regard du traitement de masse mis en œuvre. Ces traitements « vont au-delà de l'enregistrement et la visualisation d'images », nous précise la CNIL. Celle-ci l’avait là encore déjà détaillé dans une délibération sanctionnant une commune en quête d’une telle solution : « ce dispositif permet d'analyser les flux vidéo issus de boîtiers de prise de vue afin de capturer et de lire en temps réel les plaques d'immatriculation des véhicules passant dans le champ des caméras de vidéoprotection ».

En l’occurrence, la ville voulait que la police municipale puisse collecter et enregistrer « dans une base de données les plaques d'immatriculation de tous les véhicules empruntant la voie publique filmée, ainsi que la photographie de ces derniers et l'horaire de son passage ». Ces données, conservées pendant vingt et un jours, allaient ensuite être « mises à disposition de la gendarmerie nationale, sur réquisition judiciaire, à des fins d'identification des auteurs d'infractions ».

La Commission lui avait alors répondu « qu'en application des articles L. 233-1 et L. 233-2 du Code de la sécurité intérieure, seuls les services de police et de gendarmerie nationales, ainsi que ceux des douanes, peuvent mettre en œuvre des dispositifs fixes ou mobiles de contrôle automatisé des données signalétiques des véhicules prenant la photographie de leurs occupants ».

Elle détaillait aussi que les finalités d’un tel traitement sont très limitées et ne concernent que « la prévention, la constatation et la répression d'infractions particulièrement graves, ainsi que, à titre temporaire, la préservation de l'ordre public ».

« Seuls les services de police, de gendarmerie et des douanes peuvent mettre en œuvre ces systèmes. Ils ont pour but la lutte contre le terrorisme, la criminalité organisée et les vols de véhicules, et sont reliés au fichier relatif aux véhicules volés ou signalés et au système d'information Schengen » avait renchéri le gouvernement, au fil d’un échange au Sénat.

La commune avait certes attaqué la délibération, mais le Conseil d’État rejeta sa requête.