B. DES CONFLITS DE COMPÉTENCE NON TRANCHÉS
1. Le débat sur la compétence de la CNIL
Comme il a été vu ci-dessus, avant la loi du 21 janvier 1995, la doctrine était déjà divisée sur la compétence de la CNIL en matière de vidéosurveillance.
Pour cette raison, en 1995, le législateur a souhaité trancher ce débat. La compétence de la CNIL a été écartée, le texte adopté disposant sans ambiguïtés que « les enregistrements visuels de vidéosurveillance ne sont considérés comme des informations nominatives, au sens de la loi du 6 janvier 1978 [...], que s'ils sont utilisés pour la constitution d'un fichier nominatif ».
Les raisons de ce choix étaient diverses :
- la charge de travail déjà excessive de la CNIL ;
- l'éloignement de la CNIL, l'examen de chaque demande d'installation exigeant de bien connaître les situations locales ;
- le rejet de l'argument selon lequel tout système numérique serait constitutif d'un traitement automatisé ;
- une jurisprudence qui refuse d'assimiler les enregistrements analogiques à une succession de photos constituant chacune une information nominative en tant que telle.
Cette rédaction avait également pour effet d'écarter la compétence de la CNIL pour tous les systèmes de vidéosurveillance , y compris ceux ne relevant pas de la loi du 21 janvier 1995, c'est-à-dire ceux installés dans les lieux non ouverts au public.
Toutefois, la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés pour la protection des données a sensiblement modifié cet équilibre.
Si la loi continue d'écarter la compétence de la CNIL pour les systèmes de vidéosurveillance relevant de la loi du 21 janvier 1995, sauf si les enregistrements sont utilisés dans un traitement automatisé -dans ce cas, la CNIL a une compétence exclusive-, en revanche :
- elle ne dispose plus explicitement que les enregistrements ne sont pas des informations nominatives, donc insusceptibles d'entrer dans le champ de la loi du 6 janvier 1978 ;
- elle n'exclut plus la compétence de la CNIL et l'application de la loi du 6 janvier 1978 pour les enregistrements de vidéosurveillance ne relevant pas de la loi du 21 janvier 1995.
Il en résulte que la CNIL est compétente pour les systèmes de vidéosurveillance dans les lieux non ouverts au public au sens de la jurisprudence. Tel est notamment le cas des entrepôts ou des locaux réservés à l'usage des personnels (dans ces lieux, le code du travail et la législation sur le droit à l'image s'appliquent également).
On ajoutera que la loi du 21 janvier 1995 modifiée par la loi du 6 août 2004 prévoit désormais que le Gouvernement transmet chaque année à la CNIL un rapport faisant état de l'activité des commissions départementales chargées d'émettre un avis et de contrôler les systèmes de vidéosurveillance et, de manière plus générale, des conditions d'application de cette législation.
Enfin, la loi du 6 août 2004 a considérablement élargi le champ d'application de la loi du 6 janvier 1978.
L'article 2 de la loi du 6 janvier 1978 dispose désormais que :
« La présente loi s'applique aux traitements automatisés de données à caractère personnel, ainsi qu'aux traitements non automatisés de données à caractère personnel contenues ou appelées à figurer dans des fichiers [...].
« Constitue une donnée à caractère personnel 31 ( * ) toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne.
« Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction.
« Constitue un fichier de données à caractère personnel tout ensemble structuré et stable de données à caractère personnel accessibles selon des critères déterminés. »
Tant la définition des données à caractère personnel que celle des traitements automatisés offrent des arguments en faveur d'une reconnaissance de la compétence de la CNIL en matière de vidéosurveillance dès lors que celle-ci donne lieu à enregistrement et utilise la technologie numérique .
Enfin, les perspectives de développement de la biométrie, en particulier de la reconnaissance faciale, relèvent incontestablement de la CNIL. Les traitements ayant recours à des techniques biométriques sont en effet soumis sans exception à une procédure d'autorisation préalable par la CNIL, en vertu notamment des articles 25-8° et 27 de loi « informatique et libertés ».
Ces modifications législatives ainsi que la généralisation de la technologie numérique ont relancé les débats sur la compétence de la CNIL en matière de vidéosurveillance des espaces publics.
2. Des distinctions subtiles selon le lieu et la technologie utilisée
Dans une note publique au ministre de l'intérieur, la CNIL a récemment exposé son analyse relative aux autorités compétentes en matière de vidéosurveillance.
a) Les systèmes numériques : qui est compétent ?
Quelques points ne semblent pas prêter à discussion.
-> La CNIL est compétente lorsqu'un dispositif de vidéosurveillance est installé dans un lieu non accessible au public (entrepôts, réserves, bureaux fermés au public) et que les images sont enregistrées ou conservées sur un support informatisé de type disque dur ou enregistreur numérique, ce qui est le cas de la quasi-totalité des systèmes actuellement dans le commerce.
On précisera que conformément à l'article 2 de loi du 6 janvier 1978, les traitements mis en oeuvre pour l'exercice d'activités exclusivement personnelles ne sont pas soumis à cette législation. Il en résulte que l'installation par un particulier d'un système de vidéosurveillance filmant l'intérieur de son domicile privé ou l'intérieur des limites de sa propriété n'est pas soumise à déclaration préalable auprès de la CNIL.
Elle est également compétente dans tous les cas et quel que soit le lieu lorsqu'une technique biométrique est couplée à un système de vidéosurveillance.
-> L'autorité préfectorale est compétente pour l'ensemble des systèmes analogiques. Ceux-ci sont toutefois en voie de disparition.
De même, les systèmes prévoyant uniquement la visualisation sans enregistrement d'images de la voie publique ou d'un lieu ouvert au public, que ces systèmes soient numériques ou analogiques, relèvent de la compétence du préfet. La CNIL ne considère pas la seule visualisation d'images comme un traitement automatisé au sens de la loi « informatique et libertés ».
En revanche, les systèmes numériques de vidéosurveillance avec enregistrement sur la voie publique ou dans les lieux ouverts au public suscitent une controverse importante.
La CNIL estime qu'un système de vidéosurveillance, dès lors qu'il est numérique , entre dans le champ d'application de la loi « informatique et libertés ».
Cette analyse se fonde sur la nouvelle définition des « données à caractère personnel » et des « traitements automatisés » issue de la loi du 6 août 2004. Tout système numérique répondrait ainsi à la qualification de « traitement automatisé » et devrait faire l'objet d'une déclaration à la CNIL.
Vos co-rapporteurs ont interrogé les différentes personnes auditionnées sur cette interprétation de la CNIL.
Force est de reconnaître que les avis sont très divergents, le ministère de l'intérieur la rejetant 32 ( * ) .
Plusieurs remarques peuvent toutefois être faites.
Tout d'abord, le législateur a clairement souhaité que la loi du 21 janvier 1995 prévoyant la compétence du préfet s'applique aux systèmes de vidéosurveillance de la voie publique et des lieux ouverts au public, sans considération de la technologie utilisée.
L'exception disposant que les enregistrements visuels de vidéosurveillance utilisés dans des traitements automatisés ou contenus dans des fichiers structurés relèvent de la loi du 6 janvier 1978 est peut-être mal rédigée, mais il est certain que la volonté du législateur n'était pas d'exclure la compétence du préfet dès qu'un système est numérique. Cette exception ne vise que le cas où un système de vidéosurveillance est couplé à un véritable fichier permettant d'identifier, directement ou indirectement, les personnes filmées.
Par ailleurs, tout en reconnaissant la validité des arguments de la CNIL quant à sa compétence, celle-ci ne peut écarter la compétence du préfet. Si la loi « informatique et libertés » est une loi générale, la loi du 21 janvier 1995 modifiée est une loi spéciale et l'emporte donc.
Pour concilier ces différents points de vue, on peut admettre une compétence conjointe. Autrement dit, une personne souhaitant installer un système de vidéosurveillance numérique dans un espace public doit, d'une part, obtenir l'autorisation du préfet et, d'autre part, déclarer ce système à la CNIL.
Sans trancher définitivement le débat, il faut souligner, à la suite de la CNIL au demeurant, « l'extrême gravité du problème posé, compte tenu du fait que la concurrence des deux régimes juridiques conduit à rendre le cadre légal de la vidéosurveillance extrêmement complexe, flou et aléatoire, dans un domaine touchant aux libertés publiques fondamentales. »
A cet égard, la CNIL est de plus en plus saisie par des citoyens et des responsables de traitement de la question de savoir si les dispositifs de vidéosurveillance doivent également lui être soumis, si elle est exclusivement compétente, ou s'il est nécessaire de saisir les commissions départementales.
b) Le problème des lieux mixtes
La loi du 21 janvier 1995 est relative à la vidéosurveillance sur la voie publique et dans les lieux et établissements ouverts au public.
La définition jurisprudentielle des lieux ouverts au public est relativement claire. Un jugement du Tribunal de grande instance de Paris du 13 octobre 1986 confirmé par la Cour d'appel le définit comme « un lieu accessible à tous, sans autorisation spéciale de quiconque, que l'accès en soit permanent et inconditionnel ou subordonné à certaines conditions » comme un droit d'entrée.
Un véhicule pourra être considéré comme tel. C'est le cas des bus des lignes de transport public. Par contre, les cars des lignes à longue distance seront considérés comme des lieux non ouverts au public, parce qu'il faut généralement réserver et acquitter le prix du voyage à l'avance. Un établissement scolaire est également considéré comme un lieu non ouvert au public.
Toutefois, cette distinction entre les lieux ouverts et non ouverts au public aboutit dans de nombreux cas à appliquer deux régimes juridiques -loi du 21 janvier 1995 et loi du 6 janvier 1978- à un même système de vidéosurveillance.
En effet, de nombreux bâtiments ou espaces sont des lieux mixtes : une partie des locaux est ouverte au public, une autre ne l'est pas.
Or, le responsable de ce bâtiment prévoira généralement un système de vidéosurveillance à la fois dans une zone ouverte au public et dans une ou plusieurs zones non accessibles au public.
Il en est ainsi pour les grandes surfaces de distribution, au sein desquelles un même système de caméras surveille à la fois une zone ouverte au public (les rayons de la surface de vente), et des zones non accessibles au public (réserves, quais de déchargement) accessibles uniquement aux employés.
Chaque zone obéit alors à des régimes juridiques distincts.
* 31 La loi du 6 août 2004 a substitué la notion de « données à caractère personnel » à celle « d'informations nominatives ». Les informations nominatives étaient définies comme celles permettant « sous quelque forme que ce soit, directement ou non, l'identification des personnes physiques auxquelles elles s'appliquent, que le traitement soit effectué par une personne physique ou par une personne morale ».
* 32 La circulaire du 22 octobre 1996 relative à l'application de la loi du 21 janvier 1995 dans sa version initiale écarte clairement la compétence de la CNIL. Elle mériterait néanmoins une mise à jour étant donné qu'elle ne tient pas du tout compte des modifications consécutives à la loi du 6 août 2004.