Vidéoprotection des collectivités locales et analyse d'impact relative à la protection des données

Mme la présidente. La parole est à M. Cédric Chevalier, auteur de la question n° 847, adressée à M. le garde des sceaux, ministre de la justice.

M. Cédric Chevalier. Monsieur le ministre, j'appelle votre attention sur les incertitudes qui persistent autour de l'obligation de réaliser une analyse d'impact relative à la protection des données (AIPD) dans le cadre des dispositifs de vidéoprotection mis en place par les communes, et ce malgré les réponses récemment apportées à plusieurs questions écrites sur le sujet.

Très concrètement, de nombreuses communes, en particulier les plus petites, ne savent pas, faute de repères clairs ou de seuils indicatifs, si leur dispositif relève ou non d'une AIPD obligatoire.

Il en résulte des interprétations très différentes selon les préfectures ou les délégués à la protection des données, alors même que les situations locales sont souvent comparables.

Je souhaite notamment vous interroger sur la notion de « volume considérable de données à caractère personnel » susceptibles « d'affecter un nombre important de personnes » et « d'engendrer un risque élevé » pour les « droits et libertés des personnes concernées ».

Cette notion renvoie habituellement à des traitements d'ampleur nationale, voire supranationale, et reste difficile à apprécier à l'échelle d'un dispositif communal de vidéoprotection.

Les élus locaux ne savent donc pas toujours si ce critère doit ou non être retenu dans leur situation. Pouvez-vous nous apporter des précisions sur ce point ?

Enfin, dans un souci de clarté et de sécurité juridique pour les collectivités, j'ai trois questions complémentaires à vous poser.

Envisagez-vous de définir des seuils indicatifs, même non contraignants, portant par exemple sur la population concernée, l'étendue du périmètre filmé ou la durée de conservation des images ?

Entendez-vous mettre à la disposition des communes une grille d'aide à la décision ou une typologie des situations les plus courantes ?

Enfin, prévoyez-vous d'harmoniser les pratiques d'appréciation au sein des préfectures, afin de réduire les disparités actuelles et de sécuriser l'action des élus locaux ?

Mme la présidente. La parole est à M. le ministre délégué.

M. Laurent Panifous, ministre délégué auprès du Premier ministre, chargé des relations avec le Parlement. Monsieur le sénateur Cédric Chevalier, le garde des sceaux m'a confié le soin de vous répondre.

Le règlement général sur la protection des données (RGPD) prévoit dans son considérant 84 que, « lorsque les opérations de traitement sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement devrait assumer la responsabilité d'effectuer une analyse d'impact relative à la protection des données pour évaluer, en particulier, l'origine, la nature, la particularité et la gravité de ce risque ».

L'article 35 du RGPD encadre expressément les exigences en matière d'analyse d'impact. Son paragraphe 3, en son point c, précise ainsi que celle-ci est requise dans le cas d'une « surveillance systématique à grande échelle d'une zone accessible au public ».

Concernant cette notion de « risque élevé à grande échelle », les lignes directrices adoptées en octobre 2017 au niveau européen recommandent de prendre en compte plusieurs facteurs tels que le nombre de personnes concernées, le volume de données, la durée ou la permanence de l'activité de traitement des données ou encore l'étendue géographique de l'activité.

En complément, le considérant 91 du RGPD précise que les opérations de traitement à grande échelle sont celles qui visent « à traiter un volume considérable de données à caractère personnel au niveau régional, national ou supranational, qui peuvent affecter un nombre important de personnes concernées et qui sont susceptibles d'engendrer un risque élevé » pour les droits et libertés de ces dernières.

Cette notion doit s'apprécier au cas par cas. Cela signifie qu'elle ne peut pas faire l'objet d'une interprétation stricte, que ce soit au regard du nombre précis de personnes concernées ou de l'étendue géographique précise. Une appréciation trop rigide risquerait de créer des effets de seuil contraires à l'esprit de ces notions de risque.

En ce qui concerne l'installation de caméras par une commune, la consultation préalable de la préfecture peut être utile afin de savoir si cette dernière a déjà effectué une analyse d'impact sur la protection des données en la matière. Si tel est le cas, la commune concernée pourra utilement s'appuyer dessus.

Par ailleurs, la Commission nationale de l'informatique et des libertés (Cnil), de même que l'association Déclic, qu'elle soutient, met à disposition de nombreuses recommandations sur l'AIPD dans le cadre de son activité d'accompagnement.