Règlementation
DERNIÈRES LÉGISLATIONS :
– 29 avril 2015 :
Décret n° 2015-489 du 29 avril 2015 relatif à la vidéoprotection aux abords immédiats des commerces et modifiant le code de la sécurité intérieure (partie réglementaire) : Il s’agit du décret d’application de l’article L251-2 du Code de la sécurité intérieure.
– 4 décembre 2013 :
Code de la sécurité intérieure : Articles R 251-1 à R 253-4, créés par le décret 2013-1113 du 4 décembre 2013 – art.IX, abrogeant le décret 96-926 du 17 octobre 1996.
– 12 mars 2012 :
Code de la sécurité intérieure : Articles L 223-1 à L 223-9, L 251-1 à
L 255-1 et L 613-13, créés par Ordonnance 2012-351 du 12 mars 2012 – art.V, abrogeant la Loi 95-73 du 21 janvier 1995 modifiée.
Quelles sont les activités concernées ?
La législation relative à la vidéosurveillance concerne toutes les caméras installées sur la voie publique et dans des lieux ouverts au public. Les lieux ouverts au public sont les lieux accessible à toute personne, sans nécessité d’une autorisation spéciale de quiconque (Banques, commerces, cinémas, espaces découverts de centre commerciaux, etc…).
Les lieux dont l’accès est strictement limité ne sont pas considérés comme ouverts au public et relèvent de la compétence de la CNIL. Il en est de même des espaces strictement réservés au personnel.
Demande d’autorisation auprès de la Préfecture, ou déclaration auprès de la CNIL ?…
Si une caméra filme une zone ouverte au public (par exemple le guichet d’une mairie ou un commerce), qu’il y ait enregistrement d’images ou non, il faut déposer une demande d’autorisation en Préfecture.
Si une caméra filme une zone privée (par exemple : une réserve, un atelier, le parking du personnel), et que les images sont enregistrées, ce dispositif doit faire l’objet d’une déclaration auprès de la CNIL.
source : www.cnil.fr
Quelles sont les sanctions pénales en cas de non-déclaration d’un système de vidéosurveillance ?
Art. L253-4 du Code de la sécurité intérieure :
A la demande de la commission départementale de vidéoprotection, de la Commission nationale de l’informatique et des libertés ou de sa propre initiative, le représentant de l’Etat dans le département et, à Paris, le préfet de police peuvent fermer pour une durée de trois mois, après mise en demeure non suivie d’effets dans le délai qu’elle fixe, un établissement ouvert au public dans lequel est maintenu un système de vidéoprotection sans autorisation. Lorsque, à l’issue du délai de trois mois, l’établissement n’a pas sollicité la régularisation de son système, l’autorité administrative peut lui enjoindre de démonter ledit système. S’il n’est pas donné suite à cette injonction, une nouvelle mesure de fermeture de trois mois peut être prononcée.
A la demande de la commission départementale de vidéoprotection, de la Commission nationale de l’informatique et des libertés ou de sa propre initiative, le représentant de l’Etat dans le département et, à Paris, le préfet de police peuvent fermer pour une durée de trois mois, après mise en demeure non suivie d’effets dans le délai qu’elle fixe, un établissement ouvert au public dans lequel est maintenu un système de vidéoprotection sans autorisation. Lorsque, à l’issue du délai de trois mois, l’établissement n’a pas sollicité la régularisation de son système, l’autorité administrative peut lui enjoindre de démonter ledit système. S’il n’est pas donné suite à cette injonction, une nouvelle mesure de fermeture de trois mois peut être prononcée.
Art. L254-1 du Code de la sécurité intérieure :
Le fait d’installer un système de vidéoprotection ou de le maintenir sans autorisation, de procéder à des enregistrements de vidéoprotection sans autorisation, de ne pas les détruire dans le délai prévu, de les falsifier, d’entraver l’action de la commission départementale de vidéoprotection ou de la Commission nationale de l’informatique et des libertés, de faire accéder des personnes non habilitées aux images ou d’utiliser ces images à d’autres fins que celles pour lesquelles elles sont autorisées est puni de trois ans d’emprisonnement et de 45 000 euros d’amende, sans préjudice des dispositions des articles 226-1 du code pénal et L. 1121-1, L. 1221-9, L. 1222-4 et L. 2323-32 du code du travail.
Quelles sont les conditions à respecter avant de mettre en place des dispositifs de vidéosurveillance ?
Deux préalables :
1- Bien comprendre la distinction entre un lieu public et un lieu privé (non ouvert au public) pour savoir quelle formalité est nécessaire.
- le lieu public ou ouvert au public : tout lieu du secteur public ou du secteur privé où le public peut accéder. Exemple : le guichet d’une mairie ou une boulangerie.
- le lieu privé ( lieu non ouvert au public ) : tout lieu du secteur public ou du secteur privé où le public ne peut pas accéder. Exemple : la chaîne de montage d’une entreprise automobile ou le parking du personnel d’une mairie.
2- L’état actuel du droit se caractérise par la concurrence de deux régimes juridiques applicables :
- celui de la loi informatique et Libertés du 6 janvier 1978 modifiée en 2004
- celui du Code de la Sécurité Intérieure (articles L 223-1 à L 223-9, L 251-1 à
L 255-1, L 613-13, et R 251-1 à R 253-4)
Le régime juridique est le suivant :
Premier cas (lieu public) : Seule une autorisation préfectorale est nécessaire.
C’est le cas quand le dispositif de vidéosurveillance est installé dans un lieu public ou ouvert au public et qu’aucune image n’est enregistrée ni conservée dans des traitements informatisés ou des fichiers structurés qui permettent d’identifier des personnes physiques.
C’est le cas quand le dispositif de vidéosurveillance est installé dans un lieu public ou ouvert au public et qu’aucune image n’est enregistrée ni conservée dans des traitements informatisés ou des fichiers structurés qui permettent d’identifier des personnes physiques.
Deuxième cas (lieu privé) : Seule une déclaration auprès de la CNIL est nécessaire.
C’est le cas quand le dispositif est installé dans un lieu non public et que les images sont enregistrées ou conservées dans des traitements informatisés ou des fichiers structurés qui permettent d’identifier des personnes physiques.
C’est le cas quand le dispositif est installé dans un lieu non public et que les images sont enregistrées ou conservées dans des traitements informatisés ou des fichiers structurés qui permettent d’identifier des personnes physiques.
source : www.cnil.fr
Vidéoprotection de la voie publique pour les commerces
Conformément à l’Article L251-2 du Code de la sécurité intérieure et au décret d’application n° 2015-489 du 29 avril 2015, des commerçants peuvent mettre en œuvre sur la voie publique un système de vidéoprotection aux fins d’assurer la protection des abords immédiats de leurs bâtiments et installations, dans les lieux particulièrement exposés à des risques d’agression ou de vol.
Le décret précise les conditions de mise en œuvre de dispositifs de vidéoprotection sur la voie publique, dans les lieux particulièrement exposés à des risques d’agression ou de vol, aux abords immédiats des bâtiments et installations des commerçants, ainsi que le type de bâtiments et d’installations concernés, incluant les lieux de vente et d’entrepôt.
Lieux pouvant disposer des caméras donnant sur la voie publique :
Dans les lieux qui sont particulièrement exposés à des risques d’agression ou de vol à raison notamment de la nature des biens ou services vendus ou de la situation des bâtiments ou installations :
– les lieux ouverts au public où se déroulent les opérations de vente de biens ou de services ;
– les lieux où sont entreposés lesdits biens ou marchandises destinés à ces opérations de vente.
Les contraintes :
La ou les caméras composant le dispositif de vidéoprotection sont déconnectées des caméras installées à l’intérieur du lieu ouvert au public de manière à ce que le responsable ou ses subordonnés ne puissent avoir accès aux images enregistrées par la ou les caméras extérieures.
Le visionnage des images ne peut être assuré que par des agents de l’autorité publique individuellement désignés et habilités des services de police et de gendarmerie nationale. Ils renseignent un registre lors de chaque visionnage. Ils sont seuls habilités à extraire des images du dispositif d’enregistrement.
Les démarche :
1- Information du maire de la commune concernée
2- Autorisation des autorités publiques compétentes (préfecture)
Si le système s’accompagne d’un dispositif biométrique de reconnaissance faciale
Le système de videosurveillance doit alors faire l’objet d’une demande d’autorisation auprès de la CNIL puisqu’il fait appel à une technique biométrique. Compte-tenu du fait que les images sont dans ce cas enregistrées et conservées dans des traitements informatisés ou des fichiers structurés qui permettent d’identifier des personnes physiques, doit-on considérer que l’autorisation préfectorale est également nécessaire si le dispositif de vidéosurveillance est installé dans un lieu public ou ouvert au public ?
Placés sous le contrôle de la CNIL, les procédés biométriques sont soumis à un encadrement juridique plus ou moins contraignant. En effet, il n’existe pas un régime juridique unique. Le contrôle exercé par la CNIL est gradué et varie en fonction du procédé biométrique utilisé, des conditions de stockage des données recueillies et de la finalité de sa mise en œuvre.
– A propos du procédé biométrique utilisé : la reconnaissance du contour de la main ne laisse pas de traces susceptibles d’être captées à l’insu de la personne identifiée et d’être ainsi utilisée à des fins étrangères à la finalité assignée au dispositif. Il n’en va pas de même pour l’empreinte digitale, la reconnaissance faciale, de l’iris de l’œil.
– A propos du mode de stockage des données recueillies : le support individuel (carte à puce, clef USB) dont la personne visée a le contrôle exclusif permet de garantir que les données ne seront pas captées à l’insu de cette personne. Il n’en va pas de même pour un stockage dans une base centralisée ou sur un lecteur.
– A propos de la finalité poursuivie : le contrôle de l’accès dans les locaux de l’entreprise (ou dans une cantine scolaire) ou le contrôle des horaires de travail du salarié sont reconnus comme motifs licites.
A l’inverse, le recours à la biométrie (empreintes digitales) a été refusé à un grand hôtel parisien pour l’accès aux chambres (décision de la CNIL du 30 mai 2006). En d’autres termes, plus le procédé, le mode de conservation ou la finalité sont intrusifs, plus la procédure de contrôle est interventionniste.
Dans ce sens, deux types de procédures coexistent (bien que la terminologie utilisée par la CNIL prête à confusion) : un régime déclaratif et un régime d’autorisation.
La procédure de déclaration s’applique dès lors que le dispositif biométrique respecte les prescriptions définies par la CNIL dans l’une des ses 3 autorisations du 27 avril 2006
Les garanties à respecter
Le nécessaire respect de la vie privée :
Les dispositifs de vidéosurveillance ne doivent permettre de visualiser ni l’intérieur des immeubles d’habitation ni, de façon spécifique, leurs entrées.
Une durée de conservation limitée :
Pour les lieux publics ou ouverts au public, sauf enquête ou information judiciaire, les enregistrements doivent être détruits dans le délai de conservation fixé par l’autorisation préfectorale, qui ne peut excéder un mois. La durée de conservation des images doit être la même pour les systèmes de vidéosurveillance installés dans les lieux non ouverts au public.
L’information des personnes :
L’existence du système de vidéosurveillance et l’identité de l’organisme qui le gère doivent être portées à la connaissance de toute personne filmée ou susceptible de l’être. Cette information doit être assurée de façon claire et permanente, par exemple au moyen de panonceaux apposés à l’entrée des locaux ouverts au public.
Le droit d’accès :
Toute personne peut demander au responsable du système à avoir accès aux enregistrements qui la concernent ou à vérifier leur effacement dans le délai prévu. Les coordonnées (nom ou qualité et numéro de téléphone) du responsable doivent apparaître sur les supports d’information évoqués ci-dessus.
Les destinataires des images :
Ils doivent être précisément visés et si l’autorisation préfectorale prévoit que des agents des services de la police ou de la gendarmerie nationale sont destinataires des images et enregistrements, ceux-ci doivent être individuellement désignés et dûment habilités par le chef du service dans lequel ils sont affectés.
Le code du travail
Selon le code du travail, un employeur a le droit de surveiller ses salariés en ayant recours à un système de vidéosurveillance. Il est à noter que le code du travail prévoit une information individuelle et collective des salariés sur l’existence d’un traitement contenant des données personnelles les concernant. L’information doit être diffusée en amont de l’installation du dispositif et non après son démarrage.
Il est aussi informé, préalablement à leur introduction dans l’entreprise, sur les traitements automatisés de gestion du personnel et sur toute modification de ceux-ci.
Le comité d’entreprise est informé et consulté, préalablement à la décision de mise en oeuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés.
De plus, l’information des salariés, individuelle ou collective, implique la consultation du comité d’entreprise (dans la mesure où l’entreprise en est doté). Un arrêt rendu par la Cour de Cassation (Arrêt du 07 juin 2006) a estimé que la vidéosurveillance ne constituait pas une preuve licite dans le cas où le comité d’entreprise était ignorant de la présence du système dans les locaux.
Art. L2323-32 (information/consultation des instances représentatives du personnel) :
Le comité d’entreprise est informé, préalablement à leur utilisation, sur les méthodes ou techniques d’aide au recrutement des candidats à un emploi ainsi que sur toute modification de celles-ci.
Art. L1221-9 (information individuelle des candidats à un emploi) :
Aucune information concernant personnellement un candidat à un emploi ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance.
Art. L1222-4 (information individuelle des salariés) :
Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance.
Art. L1121-1 (principe de proportionnalité) :
Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché.
Le code civil
Art. 9 (protection de la vie privée) :
Chacun a droit au respect de sa vie privée. Les juges peuvent, sans préjudice de la réparation du dommage subi, prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée : ces mesures peuvent, s’il y a urgence, être ordonnées en référé.
Le code pénal
Art. 226-1 (enregistrement de l’image d’une personne à son insu dans un lieu privé) :
Est puni d’un an d’emprisonnement et de 45000 euros d’amende le fait, au moyen d’un procédé quelconque, volontairement de porter atteinte à l’intimité de la vie privée d’autrui :
Est puni d’un an d’emprisonnement et de 45000 euros d’amende le fait, au moyen d’un procédé quelconque, volontairement de porter atteinte à l’intimité de la vie privée d’autrui :
1 – En captant, enregistrant ou transmettant, sans le consentement de leur auteur, des paroles prononcées à titre privé ou confidentiel ;
2 – En fixant, enregistrant ou transmettant, sans le consentement de celle-ci, l’image d’une personne se trouvant dans un lieu privé.
Lorsque les actes mentionnés au présent article ont été accomplis au vu et au su des intéressés sans qu’ils s’y soient opposés, alors qu’ils étaient en mesure de le faire, le consentement de ceux-ci est présumé
Art. 226-16 (non-déclaration auprès de la CNIL) :
Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. Est puni des mêmes peines le fait, y compris par négligence, de procéder ou de faire procéder à un traitement qui a fait l’objet de l’une des mesures prévues au 2° du I de l’article 45 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
Art. 226-18 (collecte déloyale ou illicite) :
Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende.
Art. 226-20 (durée de conservation excessive) :
Le fait de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d’autorisation ou d’avis, ou par la déclaration préalable adressée à la Commission nationale de l’informatique et des libertés, est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende, sauf si cette conservation est effectuée à des fins historiques, statistiques ou scientifiques dans les conditions prévues par la loi. Est puni des mêmes peines le fait, hors les cas prévus par la loi, de traiter à des fins autres qu’historiques, statistiques ou scientifiques des données à caractère personnel conservées au-delà de la durée mentionnée au premier alinéa.
Art. 226-21 (détournement de la finalité du dispositif) :
Le fait, par toute personne détentrice de données à caractère personnel à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, de détourner ces informations de leur finalité telle que définie par la disposition législative, l’acte réglementaire ou la décision de la Commission nationale de l’informatique et des libertés autorisant le traitement automatisé, ou par les déclarations préalables à la mise en oeuvre de ce traitement, est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende.
Art. R625-10 (absence d’information des personnes) :
Lorsque cette information est exigée par la loi, est puni de l’amende prévue pour les contraventions de la cinquième classe le fait, pour le responsable d’un traitement automatisé de données à caractère personnel :
1° De ne pas informer la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant :
- a) De l’identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
- b) De la finalité poursuivie par le traitement auquel les données sont destinées ;
- c) Du caractère obligatoire ou facultatif des réponses ;
- d) Des conséquences éventuelles, à son égard, d’un défaut de réponse ;
- e) Des destinataires ou catégories de destinataires des données ;
- f) De ses droits d’opposition, d’interrogation, d’accès et de rectification ;
- g) Le cas échéant, des transferts de données à caractère personnel envisagés à destination d’un Etat non membre de la Communauté européenne ;
2° Lorsque les données sont recueillies par voie de questionnaire, de ne pas porter sur le questionnaire les informations relatives :
- a) A l’identité du responsable du traitement et, le cas échéant, à celle de son représentant ;
- b) A la finalité poursuivie par le traitement auquel les données sont destinées ;
- c) Au caractère obligatoire ou facultatif des réponses ;
- d) Aux droits d’opposition, d’interrogation, d’accès et de rectification des personnes auprès desquelles sont recueillies les données ;
3° De ne pas informer de manière claire et précise toute personne utilisatrice des réseaux de communications électroniques :
- a) De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations stockées dans son équipement terminal de connexion ou à inscrire, par la même voie, des informations dans son équipement terminal de connexion ;
- b) Des moyens dont elle dispose pour s’y opposer ;
4° De ne pas fournir à la personne concernée, lorsque les données à caractère personnel n’ont pas été recueillies auprès d’elle, les informations énumérées au 1° et au 2° dès l’enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données.
