Drones, caméras et CNIL, dans le projet de loi Responsabilité pénale et Sécurité intérieure

Déposé le 20 juillet dernier, le projet de loi relatif à la responsabilité pénale et à la sécurité intérieure sera examiné par les députés le 14 septembre prochain. Le gouvernement revoit l’encadrement des captations d’images, celui des drones ou caméras embarquées, mais en garde à vue.

La « loi pour une sécurité globale préservant les libertés » n'a finalement pas préservé les libertés, indiquions-nous après censure constitutionnelle de dispositions phares du texte gouvernemental. Ce 20 mai 2021, les neuf Sages déclaraient en particulier inconstitutionnel l’article 47 relatif à l’usage des drones par les autorités.

Les drones à nouveau sur la piste de décollage

Ces yeux électroniques, dans un ciel déjà visé par plusieurs missiles sol-air venus du Conseil d’État et de la CNIL, souffraient d’un trop grand nombre de malfaçons juridiques.

Il faut dire qu’« eu égard à leur mobilité et à la hauteur à laquelle ils peuvent évoluer, ces appareils sont susceptibles de capter, en tout lieu, et sans que leur présence soit détectée, des images d'un nombre très important de personnes et de suivre leurs déplacements dans un vaste périmètre », constatait le Conseil constitutionnel avant d’exiger d’inévitables « garanties particulières de nature à sauvegarder le droit au respect de la vie privée ».

C’est dans cette quête d’équilibre, entre sécurité et liberté, que le gardien de la Constitution a constaté que le compte n’y était pas : ces drones en capacité de flairer depuis les airs toutes les infractions, même des contraventions, n’étaient encadrés par « aucune limite au périmètre dans lequel la surveillance peut être mise en œuvre », pas plus que dans les contours de leur usage, conditionné à une simple autorisation préfectorale. Censure.

Après censure, la rustine gouvernementale

C’est après cette gifle constitutionnelle que le gouvernement espère rectifier le tir. Dans l’étude d’impact associée au nouveau projet de loi sécuritaire déposé le 20 juillet dernier, il rappelle qu’à ce jour, seuls deux régimes coexistent : la « vidéoprotection », novlangue de la vidéosurveillance dans les espaces publics, et les caméras individuelles (ou caméras piétons).

Or, les drones n’entrent ni dans l’une ni dans l’autre catégorie. Maigre pitance, « seules les réglementations relatives à l’aviation civile ou militaire encadraient l’usage de ces aéronefs, sans que ne soit spécifiquement abordée l’exploitation des images captées par les autorités publiques concernées ».

Dans le même temps, au-dessus de nos têtes, parler de flotte ou d’essaim de drones n’est pas minorer l’envergure de cette surveillance. Dans le même document, on apprend ainsi que ces appareils « ont effectué 3 000 heures de vols en 2019 pour 300 drones répartis dans 100 départements de métropole et d'outre-mer, pour une force qui couvre plus de 95 % du territoire ». En somme, seuls cinq petits pour cent du territoire échappent à ces dispositifs sans pilote, et encore s’agissait-il de chiffres vieux de deux ans.

Que prévoit le projet de loi discuté à la rentrée ? Tout simplement, un encadrement de leur usage taillé dans le sillage de la décision du Conseil constitutionnel. Ces moyens embarqués sur aéronefs, drones compris, ne seront ainsi ouverts qu’à la police et gendarmerie nationale, et uniquement « dans l’exercice de missions de prévention des atteintes à l’ordre public et de protection de la sécurité des personnes et des biens »

Six finalités leur sont attribuées afin de justifier juridiquement ces captations possiblement attentatoires à la vie privée. On y trouve notamment la prévention des atteintes à la sécurité des personnes, mais seulement pour un lieu « particulièrement exposé (…) à des risques d’agression, de vol ou de trafic d’armes, d’êtres humains ou de stupéfiant ». De même, s’ajoutent le secours aux personnes, la prévention du terrorisme ou encore « la sécurité des rassemblements de personnes » si seulement ils sont « susceptibles d’entraîner des troubles graves à l’ordre public ».

« Conformément aux principes fondamentaux qui régissent le droit de la protection des données à caractère personnel (licéité et loyauté de la collecte, caractère déterminé, explicite et légitime des finalités), les traitements d’images par drones poursuivent en l’espèce des finalités précises, clairement justifiées par l’intérêt général et légitimes au regard des services chargés de leur mise en œuvre », assure l’étude d’impact.

Dans la loi sur la sécurité globale, avant censure, il était prévu que ces opérations soient « réalisées de telle sorte que [les caméras] ne visualisent pas les images de l’intérieur des domiciles ni, de façon spécifique, celles de leurs entrées ».

Dans le projet de loi, la disposition est affinée. Par exemple, lorsque l’emploi de ces drones « conduit à visualiser ces lieux, l’enregistrement [sera] immédiatement interrompu ». Mais, « lorsqu’une telle interruption n’a pu avoir lieu compte tenu des circonstances de l’intervention », alors cette suppression interviendra dans un délai de 48 heures à compter de la fin de l’intervention, sauf transmission à l’autorité judiciaire.

Le régime reste soumis à une autorisation du préfet, mais la demande initiale devra détailler beaucoup plus d’informations que dans la pudique loi sur la sécurité globale.

Comme l’avait réclamé le Conseil constitutionnel, il faudra notamment préciser « la justification de la nécessité de recourir au dispositif, permettant notamment d’apprécier la proportionnalité de son usage au regard de la finalité poursuivie », les caractéristiques techniques du matériel, le nombre de caméras susceptibles de fonctionner simultanément, la durée souhaitée de l’autorisation ou encore le périmètre géographique concerné.

Une procédure d’urgence est introduite pour évacuer ce formalisme. Le préfet recevra simplement une information préalable, mais « au‑delà d’une durée de quatre heures, la poursuite de la mise en œuvre du traitement [sera] subordonnée à son autorisation expresse et ne [pourra] excéder une durée de vingt‑quatre heures ».

Enfin, le dispositif sera contingenté. Un arrêté du ministère de l’Intérieur fixera « le nombre maximal de caméras pouvant être simultanément utilisées dans chaque département ».

Encadrement des caméras embarquées dans les véhicules

Prévu à l’article 9, ce nouveau régime autorise les services de police et de gendarmerie nationales, mais aussi à la sécurité civile à filmer et enregistrer leurs interventions « lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances (…) ou au comportement des personnes concernées ».

Tout autant que pour les drones, le gouvernement entend prendre « en compte les critiques formulées par le Conseil constitutionnel », afin d’apporter un lot de garanties oubliées.

Pour vanter leur utilité, l’étude d’impact relève d’abord que « ces dispositifs sont d’usage courant au sein de la population et présentent également un intérêt opérationnel majeur pour les forces de sécurité intérieure, qui pourraient ainsi améliorer la prévention des incidents en lien avec des interventions impliquant un moyen de transport, notamment les véhicules terrestres »

Ces caméras pourront être embarquées dans ces véhicules, mais aussi des bateaux en missions de prévention des atteintes à l’ordre public et de protection des personnes et des biens. Une finalité et une seule : assurer la sécurité des interventions des agents de la police nationale, des gendarmes, des sapeurs‑pompiers, mais aussi des « personnels des services de l’État » et des « militaires des unités investis à titre permanent de missions de sécurité civile ».

Les enregistrements ne pourront être décidés lors des interventions dans des lieux publics que « lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances ou au comportement des personnes concernées ».

Ils ne pourront davantage être permanents, mais seulement lancés que lors de la réunion de ces conditions, et pas au-delà.

Au titre du droit à l’information des personnes filmées, une signalétique particulière sera apposée sur le véhicule équipé, sachant que cette obligation de signalement ne s’appliquera « pas aux véhicules ne comportant pas d’équipements ou de dispositifs de signalisation spécifiques et affectés à des missions impliquant l’absence d’identification du service concerné ».

Autre garantie : « un signal visuel ou sonore spécifique » témoignera du lancement de l’enregistrement, sauf si les circonstances l’interdisent. « Une information générale du public sur l’emploi des caméras embarquées [sera] organisée par le ministre de l’Intérieur ». On pense évidemment à une page dédiée sur le site officiel.

Ces images pourront être transmises en temps réel au poste de commandement lorsque la sécurité des agents sera menacée. Le texte prévient que seules les images seront transmises, donc pas les sons… Un oubli ?

Les enregistrements comportant des données à caractère personnel seront conservés pendant sept jours, maximum. Personne ne pourra y avoir accès, sauf pour les besoins d’un signalement à l’autorité judiciaire, seule exception autorisée.

Comme pour les drones, « les caméras embarquées [seront] employées de telle sorte qu’elles ne visent pas à recueillir les images de l’intérieur des domiciles ni, de façon spécifique, celles de leurs entrées ». En cas de captation de ces lieux sanctuarisés, l’enregistrement sera immédiatement interrompu ou, en fonction des circonstances, dans les 48 heures, sauf transmission à l’autorité judiciaire. Un décret en Conseil d’État pris après la CNIL en détaillera les modalités pratiques.

Vidéosurveillance durant les gardes à vue

L’article 20 bis AA de la loi sur la sécurité globale avait été ajouté par amendement du gouvernement dans le sillage d’un arrêt du Conseil d’État qui avait validé le maintien en surveillance constante (24h24, 7j/7) de Salah Adbelslam.

Mais ce régime n’a pas survécu à la décision du 20 mai 2021, où « le Conseil constitutionnel a censuré l’ensemble du dispositif adopté, en considérant que le législateur n’avait pas assuré une conciliation équilibrée entre, d'une part, les objectifs de valeur constitutionnelle de prévention des atteintes à l'ordre public et de recherche des auteurs d'infractions, et d'autre part, le droit au respect de la vie privée ».

Et le gouvernement a donc été contraint là encore de revoir sa copie.

Selon les termes du projet, cette « vidéosurveillance dans les lieux de privation de liberté » ne sera possible que s’il existe des raisons sérieuses de penser qu’une personne en garde à vue « pourrait tenter de s’évader ou représenter une menace pour elle‑même ou pour autrui ». Elle sera plafonnée à 24 heures sur décision de l’autorité administrative et, au-delà, avec le feu vert de l’autorité judiciaire. Cette dernière pourra y mettre fin à tout moment. Elle pourra être saisie par la personne en GAV.

Celle-ci sera en effet informée de ce placement sous surveillance et elle pourra demander la conservation des enregistrements pendant 7 jours, contre 24 heures. Elle bénéficiera des droits issus de la loi Informatique et Libertés « à l’exception du droit d’opposition ».

Ce système de vidéosurveillance permettra « un contrôle en temps réel de la personne placée en garde à vue ». Il est simplement prévu « un pare‑vue fixé dans la cellule de garde à vue » pour garantir son intimité, « tout en permettant la restitution d’images opacifiées ». L’emplacement des caméras devra être visible.

Le gouvernement précise qu’« aucun dispositif biométrique ou de captation du son [ne sera] couplé avec ces traitements de vidéosurveillance ».

La CNIL sera consultée sur le futur décret d’application attendu, qui précisera « notamment l’utilisation des données collectées, les dispositifs permettant de préserver l’intimité des personnes gardées à vue ainsi que les mesures techniques mises en œuvre pour garantir la sécurité des enregistrements et assurer la traçabilité des accès aux images ». Elle a déjà été consultée en amont, mais son avis n’a toujours pas été diffusé.

Simplification des procédures devant la CNIL

Remarquons que le projet de loi revoit également les pouvoirs de la CNIL, eu égard à l’augmentation du nombre des plaintes réceptionnées par l’autorité chaque année depuis l’entrée en application du RGPD.

« Pour l’année 2019, alors que la CNIL a reçu 14 000 plaintes, elle a prononcé 8 sanctions, dont 7 amendes administratives d’un montant total de 51 370 000 euros et 5 injonctions sous astreinte ». Face à ces chiffres, l’exécutif estime nécessaire « de fluidifier et de simplifier le déroulé des procédures de sanction devant la CNIL, de doter le président de la CNIL et le président de la formation restreinte de nouveaux pouvoirs, et d’améliorer les modalités permettant le prononcé de mesures correctrices ».

« Simplifier les procédures de mise en demeure et de sanction de la Commission nationale de l'informatique et des libertés », voilà en conséquence l’objectif assigné à l’article 19 du projet de loi.

Aujourd’hui, le président de la CNIL « peut avertir un responsable de traitement ou son sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du règlement » sur la protection des données. Ce projet de loi veut permettre ces mêmes rappels à la loi en cas cette fois de violation avérée.

Dans le cadre d’une mise en demeure cette fois, le président pourra « demander au responsable de traitement ou au sous-traitant de justifier de la mise en conformité, sans que cette demande soit pour autant systématique ». Si la conformité est constatée, il prononcera la clôture de la mise en demeure.

« L’objectif est ici de permettre au président de la CNIL, pour des manquements avérés, mais mineurs, d’adopter formellement une mesure correctrice, sans avoir à enclencher la procédure de sanction devant la formation restreinte qui est beaucoup plus lourde », dixit l’étude d’impact.

Lorsque la formation restreinte sera saisie, son président pourra enjoindre le responsable de traitement de produire les éléments demandés par la Commission, « en cas d’absence de réponse à une précédente mise en demeure ». Il pourra alors assortir cette injonction d’une astreinte d’au maximum 100 € par jour de retard, la liquider et même constater qu’il n’y a plus lieu de statuer.

Une procédure simplifiée est donc introduite. Le président de la CNIL pourra directement saisir celui de la formation restreinte (ou un autre membre désigné par lui), s’agissant d’affaires peu graves et simples. Les amendes seront plafonnées à 20 000 euros, et les astreintes à 100 euros. « Ces montants représentent 0,1% des montants nominaux maximaux prévus par le règlement ».

Autre particularité : les sanctions ne seront pas publiques. Ainsi, « cette procédure simplifiée consiste à permettre le prononcé de sanctions, et singulièrement d’amendes administratives, par un « juge unique », sans la collégialité de la formation restreinte, après une procédure contradictoire accélérée par rapport aux délais d’instruction actuels et sans obligation de tenue d’une audition ou de présentation d’observations orales », résume l’étude d’impact.

Selon le même document, ces dispositions permettront à la CNIL de prononcer dans le même temps plus de mises en demeure et autres mesures correctrices. Avec cette réforme, le travail des agents n’en sera pas allégé pour autant. Elle aura au contraire pour effet « d’augmenter, par le nombre de dossiers traités, l’activité répressive de la CNIL ». Le gouvernement vante malgré tout une meilleure allocation des ressources.