Intervention de Marie-Laure Denis

Je vous remercie de donner à la CNIL l'occasion de venir présenter, devant votre commission des lois, l'avis rendu par le collège sur la proposition de loi relative à la sécurité globale. Je suis accompagnée par Louis Dutheillet de Lamothe, secrétaire général de la CNIL, et par Émilie Seruga-Cau, cheffe du service des affaires régaliennes et des collectivités territoriales.

Permettez-moi de souligner le caractère novateur de votre démarche. C'est en effet la première fois qu'il est fait usage des nouvelles dispositions de l'article 8 de la loi du 6 janvier 1978, introduites par la loi du 20 juin 2018, qui a donné la faculté au Président de l'Assemblée nationale, au Président du Sénat, aux présidents des commissions permanentes ou au président d'un groupe parlementaire de ces assemblées de saisir la CNIL, pour avis, sur une proposition de loi. Je crois que c'était particulièrement opportun sur ce texte.

En effet, il contient plusieurs dispositions qui relèvent de notre compétence et qui soulèvent de significatifs enjeux juridiques, techniques, mais aussi éthiques. Nous avons souligné, dans notre délibération, les implications éthiques attachées au déploiement d'outils présentant intrinsèquement des risques d'atteinte aux libertés publiques et à la vie privée des individus.

Dans l'analyse développée dans notre avis, nous nous sommes attachés à la recherche de l'équilibre le plus respectueux des intérêts en cause : préserver les finalités légitimes de la sécurité publique tout en garantissant la protection de la vie privée. J'insiste sur le fait que c'est naturellement au Parlement qu'il revient de retenir, ou non, une finalité, par un choix qui est de nature politique. Nous nous sommes attachés à vérifier si les finalités prévues par la proposition de loi répondent à certaines exigences juridiques pour nous assurer qu'elles sont suffisamment précises et que l'usage des drones ou d'autres formes de captations vidéo est proportionné et suffisamment encadré.

À cet égard, je voudrais souligner trois points avant d'entrer dans les détails de notre analyse. Tout d'abord, la CNIL salue le fait que soit discuté un encadrement législatif de ces systèmes qui, jusqu'à présent, n'en disposaient pas, s'agissant des caméras aéroportées - plus couramment appelées drones, même si la notion ainsi désignée est réductrice. Depuis plusieurs années, la CNIL appelait de ses voeux un tel encadrement. L'encadrement de l'ensemble des dispositifs de vidéoprotection, et pas des seuls drones, demeure incomplet puisque les dispositions du code de la sécurité intérieure relatives à la vidéoprotection sont en partie obsolètes depuis l'entrée en vigueur du Règlement général sur la protection des données (RGPD) et méritent d'être globalement repensées.

Ensuite, nous constatons que le recours, accentué ces dernières années, à des dispositifs technologiques de plus en plus performants, en particulier dans le domaine de la vidéo, est décidé sans que l'efficacité de ces systèmes ait été démontrée ni que ces dispositifs aient fait l'objet d'une évaluation rigoureuse.

Enfin, je précise que je n'aborderai pas - et l'avis de la CNIL non plus - la totalité des sujets inscrits dans la proposition de loi ; nous nous sommes concentrés sur ce qui relève de nos compétences. Ainsi, s'agissant de l'article 24 relatif à la pénalisation de la diffusion d'images des forces de l'ordre dans le but manifeste qu'il soit porté atteinte à leur intégrité physique ou psychique, notre avis ne s'est pas étendu sur un dispositif principalement appréhendé sous l'angle pénal, même si nous rappelons que l'enregistrement et la diffusion des images captées dans ce cadre constituent un traitement de données à caractère personnel.

Le sujet qui a suscité l'attention particulière du collège de la CNIL est celui des caméras aéroportées. En l'état actuel, l'encadrement juridique est inexistant, alors que le choix de recourir à ce dispositif soulève des enjeux substantiels en matière de vie privée et pour l'exercice d'autres libertés fondamentales. Il ne faut pas sous-estimer les difficultés qu'il y a à transposer aux drones les règles applicables à des systèmes de vidéoprotection classiques. Les drones sont tout sauf anodins : en effet, les caméras aéroportées sont, par nature, discrètes, mobiles et furtives. Leur position en hauteur permet de filmer des lieux qui, jusqu'ici, étaient difficiles d'accès. La captation d'images est dont considérablement élargie et peut être individualisée, permettant même le suivi des personnes.

Les drones permettent ainsi, en théorie, l'identification de toute personne circulant dans l'espace public, alors même que cet espace public est le lieu où s'exercent de nombreuses libertés publiques et individuelles. Enfin, s'ils peuvent incontestablement être utilisés pour des finalités légitimes, il faut aussi tenir compte de ce que peut ressentir le citoyen qui les aperçoit au-dessus de lui. Ce changement de paradigme participe des débats plus larges autour de la société de surveillance et j'insiste sur la nécessité de traiter le sujet méthodiquement, en déterminant d'abord précisément les finalités pour lesquelles on accepte de recourir à des drones, en s'assurant, pour chacune de ces finalités, que les circonstances précises des missions menées justifient l'emploi de ces dispositifs et, enfin, en s'attachant à prévoir les garanties appropriées à mettre en oeuvre.

J'en viens maintenant à la liste des finalités pour lesquelles la proposition de loi prévoit que les drones pourront être utilisés. S'agissant, tout d'abord, de celle visant « au constat et à la poursuite d'infractions », la CNIL estime que la proposition de loi ou les dispositions réglementaires qui en découleront doivent impérativement définir plus précisément les infractions susceptibles de justifier l'utilisation des caméras aéroportées. Le drone est-il vraiment utile à la lutte contre toutes les infractions prévues par le code pénal, ou seulement pour certaines d'entre elles ? La deuxième exigence est celle de la proportionnalité : est-il raisonnable de recourir à l'identification par drone de toute personne se trouvant dans la rue pour constater de simples contraventions de cinquième classe ? Une autre finalité prévue par le texte est celle de la surveillance des rassemblements de personnes, particulièrement délicate puisqu'elle intervient dans le champ de l'exercice de la liberté de manifester. La CNIL estime, à cet égard, que des critères plus resserrés doivent être prévus, notamment en ce qui concerne la condition de risques de troubles graves à l'ordre public.

Pour d'autres finalités, le recours aux drones n'apparaît pas clairement justifié. Il en va ainsi pour les objectifs rédigés de manière générique comme « la protection des bâtiments et installations publics et de leurs abords » ou « le secours aux personnes ». Les formulations mériteraient d'être restreintes : il peut paraître plus justifié de recourir à ce dispositif intrusif pour protéger, par exemple, le site du Sénat ou celui de l'Élysée, que pour assurer la sécurité des abords immédiats du musée de la vie romantique à Paris...

Il en va de même de la « surveillance des littoraux et des zones frontalières » : la CNIL estime qu'il convient de ne pas se limiter à définir la finalité en mentionnant tout type de surveillance sur une zone géographique donnée, mais d'indiquer à quelle fin cette surveillance par drone pourrait être déployée aux frontières.

Certaines finalités méritent aussi d'être explicitées, comme celle relative à la prévention des risques naturels et technologiques, afin de démontrer la nécessité du recours aux drones. Il conviendrait d'en restreindre l'utilisation à des types de situations dans lesquelles les circonstances de l'intervention le justifient, par exemple pour accéder à des lieux difficiles ou présentant un danger particulier.

Par ailleurs, une seconde réserve nous semble s'imposer : pour les usages pour lesquels la nécessité est établie, il convient de s'assurer que les circonstances précises des missions menées justifient l'emploi de ces dispositifs. À une même finalité abstraite correspondent en effet de nombreux cas d'usage concret possibles, dont certains ne justifient pas le recours aux drones.

Il ne s'agit pas de prévoir l'ensemble des cas de figure dans la loi ou dans le décret, mais nous suggérons que les précisions normatives qui pourront être apportées s'accompagnent de la publication, par les responsables de traitement, d'une doctrine d'usage des drones établie à l'intention des services pour les guider, afin de déterminer les cas dans lesquels il est proportionné de recourir à des drones.

En outre, la CNIL estime que des garanties complémentaires pour la mise en oeuvre de ces drones devront être apportées dans le décret en Conseil d'État qui nous sera soumis pour avis. Des garanties techniques devront, en particulier, être prévues, afin de s'assurer de l'absence de possibilité d'identification ou d'enregistrement pour certains usages qui ne nécessitent pas de procéder à l'identification des personnes, comme la régulation des flux de transport.

Enfin, et c'est un point important, le collège de la CNIL invite le législateur à conditionner l'utilisation des caméras aéroportées à une expérimentation préalable dont la durée serait limitée dans le temps et dont il conviendrait de tirer toutes les conséquences dans un bilan qui serait transmis au Parlement, et dont la CNIL serait également destinataire.

J'en viens aux autres technologies abordées dans la proposition de loi. Tout d'abord, les caméras individuelles des forces de l'ordre. Ces dispositifs ne sont pas nouveaux pour la CNIL, qui a eu l'occasion de les examiner à plusieurs reprises. Un point d'attention concerne la nouvelle finalité, introduite par ce texte, les images pouvant être utilisées pour « informer le public sur les circonstances de l'intervention ». La CNIL comprend qu'il peut y avoir là une utilité pour permettre une forme de transparence sur les conditions d'intervention des forces de l'ordre, en particulier lorsqu'elles sont mises en cause. Cependant, il n'est pas anodin de diffuser publiquement des images prises, généralement dans l'espace public, qui plus est dans les circonstances d'une intervention policière. Il faudrait donc davantage préciser les motifs qui justifient cette diffusion, et prévoir des garanties plus précises, notamment pour flouter ce qui peut l'être.

Autre changement : la possibilité désormais offerte aux agents de la police nationale, de la gendarmerie nationale et de la police municipale d'accéder directement aux enregistrements auxquels ils procèdent dans le cadre d'une procédure judiciaire ou d'une intervention. Une telle modification paraît légitime dans le cas d'une procédure judiciaire afin, par exemple, d'établir un rapport aussi précis que possible, mais pas nécessairement dans tous les cas de figure. La CNIL insiste aussi sur la nécessité de préserver la sécurité et l'intégrité des images transmises et de s'assurer que celles-ci ne feront pas l'objet d'une visualisation sans motif légitime, ni d'une modification ni d'une suppression. Si l'on considère la vidéoprotection dans son ensemble, nous observons une extension des accès à ces images, ce qui doit conduire à maintenir des garanties techniques fortes, comme des accès restreints ou des habilitations strictes.

La proposition de loi modifie le code de la construction et de l'habitation, pour permettre de collecter de manière plus large les images des systèmes installés dans les parties communes des immeubles collectifs à usage d'habitation. La CNIL s'est interrogée sur les insuffisances du dispositif actuel qui justifieraient un tel élargissement des modalités de transmission des images aux forces de l'ordre, la transmission n'étant désormais plus subordonnée à un certain niveau de gravité des événements rencontrés. En tout état de cause, il conviendrait de prévoir que la durée de cette transmission n'excède pas celle qui est effectivement prévue pour permettre l'intervention des forces de l'ordre, afin de ne pas risquer de placer sous surveillance continue les parties communes des habitations.

Une autre modification envisagée par ce texte porte sur le visionnage en temps réel des images des systèmes vidéo de la SNCF et de la RATP : la CNIL demande qu'il soit limité à des cas précisément définis et présentant un degré de gravité suffisant.

En conclusion, permettez-moi de dire que la CNIL se montrera particulièrement vigilante sur les conditions effectives de mise en oeuvre des dispositions législatives qui seront votées, que ce soit au travers de l'examen des dispositions réglementaires qui lui seront soumises ou dans le cadre de l'exercice de ses pouvoirs de contrôle.

Le collège de la CNIL, dans son avis, a fait un ensemble de suggestions précises pour apporter un éclairage au Parlement et nous nous réjouissons beaucoup que ce débat puisse avoir lieu. Si les finalités poursuivies sont légitimes, les technologies dont il est question, notamment le recours aux drones, sont intrinsèquement intrusives. Nous appelons donc à une vigilance particulière sur la nécessaire robustesse du socle minimal de garanties à apporter pour protéger au mieux la vie privée.