CNIL - Courrier à LA QUADRATURE DU NET du 27 septembre 2023 concernant la commune d’ORLÉANS

CNIL.
COMMISSION NATIONALE INFORMATIQUE & LIBERTES

La présidente

LA QUADRATURE DU NET
115 RUE DE MENILMONTANT 75020
PARIS

LRAR n° 2C15196142809

Instruction du dossier :
N/Réf. : MLD/VEI/CLA232582
Saisine N°21022264
(à rappeler dans toute correspondance)

Paris, le 27 SEP. 2023

Madame, Monsieur,

Vous avez saisi la Commission Nationale de l’Informatique et des Libertés (CNIL) d’une plainte & l’encontre de la Commune d’Orléans relative à un dispositif automatisé de détection des bruits anormaux sur la voie publique installé sur son territoire, en vertu d’un partenariat conclu avec la société USS SENSIVIC.

Vous indiquez dans votre réclamation que le dispositif en cause permettrait une identification indirecte des personnes et un potentiel traitement de données sensibles au sens du Règlement général sur la protection des données (RGPD). Vous vous interrogez sur la réalisation d’une analyse d’impact rendue obligatoire compte tenu du risque élevé pour les droits et libertés des personnes concernées par le traitement en cause. Vous arguez de l’illégalité de la convention passée entre la commune d’Orléans et la société USS SENSIVIC, laquelle ne reposerait sur aucune base légale et autoriserait un traitement manifestement « excessif, non-adéquat et non-pertinent » et disproportionné.

Comme cela vous a été indiqué durant l’instruction de ce dossier, une procédure de contrôle a été menée à la suite de votre plainte.

Il ressort des vérifications effectuées, ainsi que des éléments recueillis par la CNIL que, par convention datée du 12 octobre 2021, la commune a autorisé la société USS SENSIVIC à expérimenter sur son territoire un dispositif ayant pour objet la détection des sons, et en particulier la détection automatisée de « bruits anormaux » (ondes de choc du type coups de feu, explosion, voiture bélier, bris de vitre, accident...). Ce dispositif a été déployé à compter du mois de novembre 2021.

Après analyse factuelle de l’installation et de l’exploitation du dispositif SENSIVIC, je considère que la commune et la société doivent être regardées comme responsables conjoints du traitement effectué décrit ci-dessous.

Il ressort des constats effectués que la convention passée entre la commune d’Orléans et la société SENSIVIC s’est matérialisée en 2 phases.

Durant la première phase, les détecteurs SENSIVIC ont été reliés au dispositif de vidéoprotection déjà mis en place au sein de la commune. Ceux-ci permettaient, une fois les sons captés, que ces derniers soient immédiatement découpés en de très courts échantillons puis, transformés de manière à les anonymiser. L’analyse automatisée de ces sons permettait le cas échéant de créer une alerte qui déclenchait un mouvement de la caméra de vidéoprotection associée au détecteur vers l’origine de la source du bruit. Il a été constaté que les sons n’étaient ni enregistrés ni retransmis (ni à la société, ni au centre de sécurité orléanais), et qu’aucune des données traitées n’avait une durée de vie supérieure à 64 millisecondes, temps nécessaire à l’anonymisation de l’échantitlon sonore.

Pour autant, il doit être considéré que le couplage des données sonores et visuelles constitue un traitement de données à caractère personnel, en ce qu’il est susceptible de permettre la réidentification d’une personne physique.

Cette expérimentation a pris fin le 27 octobre 2022 et la commune d’Orléans a indiqué ne plus être destinataire d’aucune information provenant des détecteurs depuis cette date.

Durant une seconde phase, les détecteurs étant toujours en place, la société USS SENSIVIC a précisé continuer de les exploiter aux fins d’amélioration de son dispositif, sans que le couplage avec le dispositif de vidéoprotection ne perdure.

Il ressort des caractéristiques matérielles du dispositif développé par la société USS SENSIVIC, tel que paramétré au moment du contrôle pris isolément, que la société ne met pas en œuvre de traitement de données à caractère personnel.

L’ensemble des faits et éléments susmentionnés m’ont conduite, par deux décisions distinctes, à prononcer, à l’encontre des organismes visés par votre plainte, la Commune d’Orléans et la société USS SENSIVIC, une mesure de rappel de leurs obligations légales, en application des dispositions de l’article 58.2.b du RGPD et de l’article 20.I1 de la Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

En effet, les dispositions applicables du code de la sécurité intérieure (CSI), dans leur version en vigueur au jour des contrôles, prévoient uniquement la possibilité d’installer des systèmes de vidéoprotection de les communes sans captation du son. L’installation et l’exploitation du dispositif durant la première phase, couplé à la vidéoprotection, étaient alors illicites.

Je précise que les décisions prises dans ce dossier n’ont pour objet que le dispositif tel que paramétré lors des constatations effectuées et ne préjugent ni de la position de la CNIL si de quelconques modifications étaient amenées à intervenir, ni de la licéité du dispositif, même décorrélé du système de vidéoprotection, à l’ensemble des autres dispositions légales et réglementaires en vigueur.

J’ajoute avoir appelé l’attention de ces acteurs sur la position de la CNIL relative au fait que compte tenu des risques pour les libertés susceptibles d’être induits par un tel dispositif, seule une loi spécifique, adaptée aux caractéristiques techniques et aux enjeux en question serait de nature à fournir un encadrement adéquat, en application de l’article 34 de la Constitution.

Au regard de l’ensemble de ces éléments, il est procédé à la clôture de votre dossier.

Je vous prie d’agréer, Madame, Monsieur, mes salutations distinguées.

Marie-Laure DENIS

Sous réserve de l’intérêt pour agir des requérants, les décisions de la CNIL sont susceptibles de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de leur notification.