le 21/11/2019

L’avertissement de la CNIL à l’encontre du projet de captation de bruit suspect par la ville de Saint Etienne

Par un courrier daté du 25 octobre 2019, la CNIL a adressé un avertissement à la ville de Saint Etienne pour son projet de captation et d’analyse des sons sur le territoire de la commune. Cette décision fait suite à un contrôle sur pièce effectué par la CNIL le 26 mars 2019 et d’une audition de représentant de la ville de Saint Etienne et de la métropole de Saint Etienne effectuée le 12 juin 2019.

Le dispositif envisagé prévoyait que la captation d’un bruit suspect déclenche une alerte aux opérateurs du centre de supervision urbaine qui avaient alors la possibilité d’orienter les caméras de vidéoprotection vers la zone concernée. Il est à noter que la ville de Saint Etienne a envisagé un temps que l’alerte déclenche un dispositif de drone se rendant sur place pour identifier la source de l’alerte.

Lors de son audition, la délégation a informé la commission que la finalité des traitements envisagés était « l’amélioration de la qualité de vie des citoyens en accélérant et facilitant l’intervention des pompiers, du SAMU et de la police municipale ». De plus, la CNIL indique dans son courrier que lors d’une réunion publique, dont la retranscription a été communiquée à l’autorité de contrôle, la délégation avait précisé que « le dispositif de capteurs sonores [est] destiné à améliorer la tranquillité publique ».

En premier lieu, sur l’existence d’un traitement de données personnelles. La CNIL indique dans ce courrier que le dispositif envisagé permet de capter de manière indifférenciée les sons émis sur la voie publique. Ainsi les voix et conversations des personnes sont susceptibles de faire l’objet d’une captation. Or, la CNIL rappelle à la ville de Saint Etienne que « la voix d’une personne constitue une donnée à caractère personnel au sens de l’article 4-1) du RGPD ». L’autorité de contrôle ajoute que « si les dispositifs de captation et d’analyse des sons ne permettent pas d’identifier directement les personnes, leur association avec le système de vidéoprotection existant peut permettre in fine cette identification » car l’alerte enclenchera l’orientation des caméras de vidéoprotection vers le lieu de l’alerte, ce qui permettra in fine une identification des personnes.

En second lieu, sur le régime juridique applicable au dispositif projeté, tout d’abord la CNIL rappelle que le dispositif de captation et d’analyse des sons ne relève ni des dispositions du code de la sécurité intérieur concernant les dispositifs de vidéoprotection ni des dispositions du code de la sécurité intérieur encadrant les caméras mobiles.

Ensuite, la CNIL rappelle que ce projet « ne saurait se fonder sur la base légale de l’intérêt légitime du responsable de traitement, évoquée lors de l’audition du 12 juin 2019. Le dernier alinéa de l’article 6-1 du RGPD prévoit en effet que cette base légale ne s’applique pas au traitement effectué par les autorités publiques dans l’exécution de leurs missions ».

Par suite, la CNIL précise que le traitement pourrait être fondé sur l’exécution d’une mission d’intérêt public car la répression des atteintes à la tranquillité publique est l’une des missions de la police municipale du maire (article L. 2212-2 du CGCT).

D’autre part la CNIL rappelle qu’indépendamment des finalités évoquées, les responsables du projet ne peuvent pas exclure l’application de la directive européenne « police justice » du 27 avril 2016 pour le projet envisagé. En effet, les sons qui seront détectés peuvent correspondre à des infractions volontaires ou involontaires pouvant aller jusqu’à des infractions criminelles dans le cas de coup de feu.

En troisième lieu, sur la nécessité d’un encadrement législatif. L’autorité de contrôle développe cinq points du dispositif envisagé qui sont susceptibles de contrevenir au cadre législatif existant.

Le dispositif envisagé repose sur une captation continue systématique et indifférenciée des sons dans l’espace public et peut donc capter des conversations privées, ce qui est susceptible de porter atteinte aux libertés individuelles.

Le couplage de ce dispositif avec la vidéoprotection apparaît pour la CNIL fortement intrusif. En outre, pour la CNIL, le risque d’atteinte au droit à la vie privée est d’autant plus important « qu’aucune garantie technique ou juridique ne permet de prévenir, de manière suffisante, une écoute en direct des sons ou un enregistrement de ceux-ci ».

Le traitement est susceptible de porter sur des catégories de données à caractère personnel dites « sensibles » telles que les opinions politiques, les convictions religieuses, l’orientation sexuelle ou la santé.

La CNIL relève que le dispositif envisagé prive les personnes du droit de s’opposer au traitement consacré par les articles 21 du RGPD et 110 de la loi « Informatique et Libertés ». Or, la limitation du droit des personnes est strictement prévue par le droit de l’Union européenne ou le droit des Etats membres. De plus la CNIL relève que si le traitement devait relever des dispositions de la directive « Police Justice », l’article 110 de la loi « Informatique et Libertés » prévoit que « toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel le concernant fasse l’objet d’un traitement ».

Le dispositif a pour effet d’intervenir dans le champ d’autres droits fondamentaux tels que « la liberté d’expression, de manifestation, d’association et d’aller et venir ». Par conséquent les personnes concernées seront probablement amenées à changer leur comportement en censurant leurs propos tenus dans l’espace public ou en modifiant leurs déplacements.

En conséquence, pour ces différentes raisons, la CNIL considère qu’une « base législative spécifique apparaît nécessaire avant toute mise en œuvre opérationnelle, que ce soit à titre expérimental ou non ». Ainsi, le projet ne saurait trouver son fondement dans les dispositions législatives d’ordre général ou dans le seul pouvoir réglementaire de la ville de Saint Etienne et donc nécessite « une intervention préalable du législateur ». À défaut, le traitement de données personnelles envisagé dans ce projet « ne saurait être mis en œuvre de façon licite ».

À la suite de ce courrier de la CNIL, la ville de Saint Etienne a indiqué dans un communiqué de presse qu’elle « ne fera pas appel de la décision de la décision de la CNIL auprès du Conseil d’Etat » et que « compte tenu de l’absence de cadre législatif clairement arrêté, la ville de Saint-Etienne ne mènera pas l’expérimentation des capteurs sonores envisagée au printemps dernier ».