Plainte collective CNIL : obliger Paris à publier une carte de ses caméras

[Oncela]

Maintenir à jour une carte des cameras d'une ville est fastidieux, au point que c'est rarement fait. C'est pourtant crucial pour nos luttes.

À bien y réfléchir, il pourrait s'agir d'une obligation pour les villes de publier un telle carte (c'est ce que je discute dans la partie I ci-dessous).

Et on pourrait les y forcer par une plainte collective, que je propose de faire contre Paris pour commencer (c'est ce que je discute dans la partie II).

I. Raisonnement juridique

A. Droit applicable

Le comité européen à la protection des données (CEPD) est l'institution internationale créée par le RGPD qui réunit les CNIL de tous les États membres afin de clarifier les règles de protection des données personnelles. Il a récemment publié de très utiles lignes directrices sur les traitements vidéo (en anglais seulement).

Je souligne que ces lignes directrices concernent le RGPD, alors que les caméras de surveillance déployées dans nos rues par les villes me semblent plutôt relever d'un autre texte - la directive « police-justice » 2016/680. Mais la distinction n'est pas si claire et les caméras pourrait bien aussi relever du RGPD, après tout. Dans tous les cas, ces deux textes prévoient les mêmes choses pour ce qui va nous intéresser ici et, justement, les lignes directrices du CEPD précisent bien en introduction, s'agissant des règles qu'elles donnent, que « the general reasoning can be applied to all potential areas of use ».

La partie des lignes directrices qui nous intéressent commence page 26. Je traduis moi-même les citations que je fais ci-dessous, en sélectionnant les plus utiles.

Il est admis de longue date en droit européen de la protection des données que les personnes concernées doivent être conscientes (aware) du fait qu'une surveillance vidéo est réalisée. Elles doivent être informées de façon détaillées quant aux lieux surveillés.

Au sujet de la surveillance vidéo, les informations les plus importantes doivent être affichées sur le panneau signalétique lui-même (premier niveau) alors que les autres détails obligatoires peuvent être fournis par d'autres moyens (second niveau).

Sur le « premier niveau » d'information :

L'information doit être positionnée d'une telle façon que les personnes concernées peuvent facilement identifier le contexte de surveillance avant d'entrée dans la zone surveillée (approximativement à hauteur d'yeux). Il n'est pas nécessaire de révéler la position de la caméra du moment qu'il n'y a aucun doute quant aux lieux qui font l'objet de la surveillance et que le contexte de surveillance est clarifié de façon univoque. Les personnes concernées doivent être cabale d'estimer quelle zone est capturée par une caméra afin qu'elles puissent éviter la surveillance ou adapter leur comportement si nécessaire.

Ces exigences sont très spécifiques et très protectrices. C'est sur elles qu'on va principalement se baser par lui suite. Mais je continue de citer d'autres parties des lignes directrices qui seront utiles pour mettre en forme nos demandes.

Le premier niveau d'information (panneau signalétique) doit généralement fournir les plus importantes informations, exemple : le détails de la finalité du traitement, l'identité du responsable et les droit des personnes concernées

Sur le second niveau d'information :

Il doit être possible d'accéder au second niveau d'information sans entrer dans la zone surveillée, particulièrement si l'information est fournie numériquement (par exemple via un lien).

En conclusion :

En plus de ces options, et aussi pour les rendre plus efficaces, le CEPD promeut l'utilisation de moyens technologiques pour informer les personnes concernées. Par exemple, il peut s'agir de la géolocalisation des caméras et de l'ajout de ces information dans des applications de cartographie ou des sites Web pour que les personnes puissent facilement, d'un côté, identifier et spécifier les sources vidéos liées à l'exercice de les droits et, d'un autre côté, obtenir plus d'information quant aux opérations de traitement.

Ce dernier passage n'est pas des plus enthousiasmants. Le CEPD présente comme une « recommandation » ce qu'on aimerait être une obligation. Mais il faut bien voir que ces lignes directrices visent en premier lieu les caméra dans les magasins (la plupart des exemples données les concernent) et qu'il serait un peu excessif d'exiger que tous les magasins publient en ligne un plan de leur locaux et des zones surveillées. Des écriteaux sur place semblent faire l'affaire et même être plus efficaces.

On peut légitimement demander des règles bien plus strictes s'agissant de la surveillance des rues, où le contexte est très différent.

Pour être complet, je donne enfin les règles précises prévues par la loi (par la directive police-justice) que je considère s'imposer aux villes lorsqu'elles utilisent des caméras de surveillance en ville :

Article 12, §1
Les États membres prévoient que le responsable du traitement prend des mesures raisonnables pour fournir toute information visée à l'article 13 [...] à la personne concernée d'une façon concise, compréhensible et aisément accessible, en des termes clairs et simples. Les informations sont fournies par tout moyen approprié, y compris par voie électronique.

Article 13, §1
Les États membres prévoient que le responsable du traitement met à la disposition de la personne concernée au moins les informations suivantes:
a) l'identité et les coordonnées du responsable du traitement;
b) le cas échéant, les coordonnées du délégué à la protection des données;
c) les finalités du traitement auquel sont destinées les données à caractère personnel;
d) le droit d'introduire une réclamation auprès d'une autorité de contrôle et les coordonnées de ladite autorité;
e) l'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, leur rectification ou leur effacement, et la limitation du traitement des données à caractère personnel relatives à une personne concernée.

Ces règles se retrouvent quasiment à l'identique aux articles 109 et 104 la loi de 1978.

B. Application à l'espèce

De mes premières vérifications de terrain à Paris, la ville ne respecte pas du tout son obligation d'information. Les caméras posées dans les rues ne sont accompagnées d'aucun écriteau, tant est si bien que je ne sais même pas si ce sont des caméras de la ville ou des caméras posées par un farceur (ce qui me donne envie de poser de fausses caméras et de voir ce qui se passerait, d'ailleurs).

La ville viole donc la loi sans qu'aucun débat supplémentaire ne soit nécessaire pour le démontrer.

II. Plainte collective

A. En théorie

L'article 55 de la directive police-justice permet à de nombreuses personnes de mandater une association pour saisir la CNIL contre une violation des règles de protection des données. C'est l'équivalent de ce que LQDN avait fait en mai 2018 dans les plaintes collectives anti-GAFAM (sauf qu'à l'époque c'était sur la base du RGPD, mais ça ne change rien dans notre cas).

Les plaintes viseraient le fait que la ville viole ses obligations d'informations.

L'article 47, §2, de la directive police-justice prévoit que :

chaque autorité de contrôle dispose de pouvoirs effectifs en matière d'adoption de mesures correctrices, tels que, par exemple, [...] ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions adoptées en vertu de la présente directive, le cas échéant, de manière spécifique et dans un délai déterminé

Nous demanderions à la CNIL d'exiger que la ville respecte son obligation d'information. Ayant constaté que l'information ayant intégralement échouée à être donnée par écriteaux, nous exigerons qu'elle soit aussi donnée sur Internet, par une carte détaillées des zones filmées, ce qui est ici la façon la plus efficace et la plus sûr de réaliser ce que le CEPD exige : que chaque personne puisse connaître les zones surveiller et adapter son comportement en conséquence.

B. En pratique

Je propose de commencer par Paris pour l'exemple. C'est la ville la plus grande et, si on gagne, aucune autre ville de France n'aura d'excuse pour ne pas s'aligner.

C'est aussi la ville où on aura éventuellement le plus de signataires et où on pourra avoir le plus d'écho médiatique.

Si on gagne, l'idée sera ensuite de recommencer (ou de menacer de recommencer) pour toutes les autres villes.

Je peux me porter volontaire pour rédiger le projet de plainte.

Il nous faudra ensuite aller recueillir des mandats de parisiennes et parisiens souhaitant se joindre à notre plainte. C'est un truc qu'on a déjà fait pour les GAFAM, donc je peux aussi m'occuper de l'aspect technique de la chose (un formulaire Web que la CNIL a reconnu valable dans notre action de 2018).

Il restera ensuite à aller chercher les signatures concrètement. Et là toute aide sera la bienvenue :D J'imagine qu'on pourra aller afficher des affiches dans la rue et sous les caméras etc., mais on y pensera au fur et à mesure :)

Conclusion

Que pensez-vous de ce projet ?

Pour ouvrir, quelques autres trucs à réfléchir :

• étendre nos exigence d'informations aux drones (ex. la police doit publier en temps réel sur une page Web toutes les heures de décolage des drones et leur parcours)
• exiger que les caméras indiquent leur présence par un signal sonore (l'avis de 2004 du G29 - ancien CEPD - sur la vidéo surveillance exige en effet que l'obligation d'information doit prendre en considération les personnes mal-voyantes).
• voir si d'autres villes ne publient pas déjà spontanément des cartes de leurs caméra

[Alouette]

C'est une super idée ! Et pour recueillir des signatures, ce serait possible de le faire par voie électroniques ? ça apporte quoi exactement d'avoir plein de signature ? C'est un truc "en plus" ou c'est important ?
merci pour ce long message :)

[Marne]

super idée !

@Alouette a dit dans Plainte collective CNIL : obliger Paris à publier une carte de ses caméras :

C'est une super idée ! Et pour recueillir des signatures, ce serait possible de le faire par voie électroniques ? ça apporte quoi exactement d'avoir plein de signature ? C'est un truc "en plus" ou c'est important ?

On a déposé 5 plaintes collectives avec La Quadrature en 2018 (contre les GAFAM)
On avait fait un formulaire en ligne et il y avait eu 12000 signataires. Ça nous a donné pas mal de poids dans les médias principalement. (une centaine d'articles sur le sujet en un mois)

[Alouette]

@Marne ok super alors faisons ça !!

[Oncela]

En vrai, pourquoi se limiter à Paris ?
Pour les GAFAM, on avait bien 5 plaintes différentes (identiques sur le fond, mais visant 5 entreprises différentes).
On pourrait se dire qu'on attaque Paris, Lyon et Marseille.
Je pense qu'on trouvera pas mal d'aide sur place pour nous aider, et un truc nationale aura plus de gueule au niveau médiatique et populaire qu'un truc juste parisien.
Faut juste vérifier que les obligations d'info sont bien violées par chaque ville.

Aller au delà de 3 me semble pas forcément utile.

[eda]

A fond pour le faire pour Marseille, on fera signer, diffuser etc, c'est sûr.

Pour cartographier intensivement avec d'autres les caméras depuis quelques mois ici à Marseille, je confirme qu'il y en a bcp bcp où le panneau de la ville n'y est pas, on a donc aucune info. On peut vous les fournir sur une carte si besoin et continuer à noter cette info. Je peux faire passer l'info pour les autres cartographes du coin aussi.

A Marseille la mairie se vante dans les conférences (libdev, conférence universitaire sur l'IA, pour citer que deux endroits où j'étais par hasard) et partout où elle peut de sa stratégie open data. On peut lire là : https://www.journaldunet.com/economie/services/1189782-les-strategies-open-data-des-20-plus-grandes-villes-francaises/ qu'ils se placent 2ème en France, on peut lire là : https://www.archimag.com/univers-data/2020/02/11/open-data-ville-marseille-vote-ouverture-donnees-culture-patrimoine qu'ils viennent de voter l'open data pour le patrimoine culturel aujourd'hui lors du dernier conseil municipal de Gaudin (snif snif ;)

Sinon d'après la loi pour une République numérique (https://www.economie.gouv.fr/republique-numerique) on peut pas demander quelque chose aussi ? Ou alors c'est vraiment que du vent.

Dernière chose @Oncela, tu parles dans premier niveau d'information de :

Les personnes concernées doivent être cabale d'estimer quelle zone est capturée par une caméra afin qu'elles puissent éviter la surveillance ou adapter leur comportement si nécessaire.

Or on constate nous en cartographie qu'il est très difficile justement de savoir précisémment quelle est le rayon de portée de l'objectif des caméras dôme. Cela dépends de la hauteur de la caméra (ça on peut le mesurer, pour notre cartopartie on le fera précisémment avec un télèmetre laser, en général c'est dans les 4 - 5 mètres) mais aussi du modèle de la caméra. Et ça on n'en sait rien. Et puis même tous ses calculs c'est à nous de les faire, ce qui rend donc le fait de savoir si on est ou pas dans une aire de vidéo-surveillance très difficile, voire impossible à moins que la mairie vise à nous inciter à faire des maths pour tenir notre cerveau en bonne santé.
Donc en réalité, on ne sait même pas où et quand on est filmés, car on ne connait pas précisément le rayon d'action des caméras publiques.

Dernière chose : lors des ateliers de travail Technopolice on avait dit qu'il fallait appeler la mairie et demander ses images (il sont 10 jours pour nosu les donner) filmées dans la rue. Est-ce que ce serait utile de faire cette action en masse pour voir si la mairie réponds effectivement à son obligation, est-ce que cela aiderait la plainte?

[Oncela]

@eda a dit dans Plainte collective CNIL : obliger Paris à publier une carte de ses caméras :

je confirme qu'il y en a bcp bcp où le panneau de la ville n'y est pas, on a donc aucune info. On peut vous les fournir sur une carte si besoin et continuer à noter cette info

carrément ! Photo de caméra sans écriteaux + adresse de la caméra, et tout ça réparti sur une carte, ça aurait trop de gueule dans une plainte !

loi pour une République numérique ... on peut pas demander quelque chose aussi ? Ou alors c'est vraiment que du vent.

Ma proposition est de demander la même chose mais en mettant la pression de la sanction directement. Les demandes d'informations publiques, en théorie ça revient au même, mais en pratique on a beaucoup moins de levier qu'en faisant un truc massif médiatique et mettant la CNIL en obligation d'agir.

Donc j'ai envi de dire : passons directement à l'étape la plus efficace.

on ne sait même pas où et quand on est filmés, car on ne connait pas précisément le rayon d'action des caméras publiques.

Je me doutais effectivement que c'était bien difficile pour nous de mesurer ça. Ça pourrait être intéressant de formaliser ce témoignage dans la plainte. même si, de toute façon, la ville a déjà l'obligation de nous donner l'info, peut importe qu'il soit facile ou non pour nous de la reconstituer.

appeler la mairie et demander ses images (il sont 10 jours pour nosu les donner) filmées dans la rue. Est-ce que ce serait utile de faire cette action en masse pour voir si la mairie réponds effectivement à son obligation, est-ce que cela aiderait la plainte?

Pour la plainte, j'ai du mal à voir comment ça pourrait aider.

Pour savoir si c'est utile de faire cette action en masse, je suis toujours un peu dubitatif sur ces quesions. Les actions juridiques individuelles, c'est souvent pratique pour tester des stratégies nouvelles ou chercher des infos. Mais en tant que moyen de pression, si on a pas des garanties de victoires fortes ni des moyens de médiatiser le truc, j'ai peur que ce soit peu efficace et donc plus une source de frustration qu'autre chose.

J'ai plus confiance dans les plaintes collective : plus simple à médiatiser, car la « masse » est concentrée dans une seule action juridique, et plus de chance de succès, car ça met bien la pression sur l'autorité saisie.

Après, y a plein d'actions individuelles cool à faire avec les caméra, hein, là je donne juste mon sentiment sur les actions juridiques :)

[eda]

@Oncela a dit dans Plainte collective CNIL : obliger Paris à publier une carte de ses caméras :

carrément ! Photo de caméra sans écriteaux + adresse de la caméra, et tout ça réparti sur une carte, ça aurait trop de gueule dans une plainte !

Ok ça roule, on va essayer d'organiser ça. Est-ce qu'on se concentre que sur les caméras de la ville (on irait plus vite) où celles privées posées en façade aussi?

Je me doutais effectivement que c'était bien difficile pour nous de mesurer ça. Ça pourrait être intéressant de formaliser ce témoignage dans la plainte.

C'est une question qui reviens souvent, posée naturellement, une des premières, par les gens qui viennent nous voirpar exemple à l'expo Technopolice (non techniciens, pas forcément militants). "C'est quoi le rayon? Comment je sais si je suis dedans? Celle en face de mon immeuble me voit-elle ? Si elle voit chez moi, dans ma maison, elle a le droit de filmer?" Je le précise car des fois en tant que militants on peut penser qu'on exagère, qu'on cherchela bête etc, mais c'est la question la plus fréquente qu'on nous pose. "Que voient-elles ces caméras?" Et nous ben on a du mal à leur répondre précisément. Et comme tu dis de toute façon c'est pas notre travail, on ne doit pas se substituer aux manquements des pouvoirs publics, on est d'accord.

En plus si on a une plainte qui porte dessus, on peut vraiment s'amuser à coller partout et afficher l'appel à signer, ça parlera très facilement et rapidement aux gens. Ce serait vraiment top cette plainte, merci @Oncela .

[Oncela]

@eda a dit dans Plainte collective CNIL : obliger Paris à publier une carte de ses caméras :

on peut vraiment s'amuser à coller partout et afficher l'appel à signer, ça parlera très facilement et rapidement aux gens

Ce serait tellement cool :D ça fait plaisir à imaginer !!

Est-ce qu'on se concentre que sur les caméras de la ville ?

pour la plainte, aucune raison de documenter autre chose que les caméra de la ville, j'ai l'impression.

[tuxayo]

Par rapport à cette photo qui concerne les panneaux panneau (pas) réglementaire à Marseille:

https://forum.technopolice.fr/topic/439/photos-et-infos-des-caméras-de-surveillance/3

Il se trouve qu'aucune caméra publique dans Marseille n'a un panneau réglementaire finalement.

https://www.service-public.fr/particuliers/vosdroits/F2517

«Droit à l'information»
=>
lien «les droits des personnes filmées doivent être respectées»
https://www.cnil.fr/fr/la-videosurveillance-videoprotection-sur-la-voie-publique
=>
«Quelle information ?»

Ils doivent a minima comporter, outre un pictogramme représentant une caméra qui indique que le lieu est placé sous vidéoprotection :

• les finalités du traitement installé ;
• la durée de conservation des images ;
• le nom ou la qualité et le numéro de téléphone du responsable/du délégué à la protection des données (DPO) ;
• l’existence de droits « Informatique et libertés » ;
• le droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), en précisant ses coordonnées.

• «la durée de conservation des images» => non, disqualifié
• «le nom ou la qualité et le numéro de téléphone du responsable/du délégué à la protection des données (DPO) ;» => non, pas de nom ou qualité de la personne responsable, disqualifié
• «l’existence de droits « Informatique et libertés »» => non, disqualifié
• «le droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), en précisant ses coordonnées.» => non, disqualifié

4 carton rouges... alors que c'est les panneaux les plus récents et complets.
Il en en quoi à Paris des panneaux?

Exemple de bonne et mauvaise pratique de la CNIL elle-même:

https://www.cnil.fr/fr/la-videosurveillance-videoprotection-sur-la-voie-publique

Pour aller plus loin:

1. les finalités du traitement installé

Il y a des caméras avec écrit soit

• «vidéo protection[mdr]»
• «vidéo verbalisation»
• «vidéo protection[mdr] et vidéo verbalisation»

Il faut donc confirmer si en pratique il n'est pas possible de se faire verbaliser via une caméra qui parle seulement de «vidéo protection[mdr]»
Et qu'il n'est pas possible d'être repéré (envoi d'une patrouille) ou incriminé (utilisation lors d'un interrogatoire ou procès) pour une caméra qui parle seulement de «vidéo verbalisation»

2. l’existence de droits « Informatique et libertés »

Qui pointe vers: https://www.cnil.fr/fr/respecter-les-droits-des-personnes

Les droits d’accès et de rectification

Toute personne peut,
accéder à l’ensemble des informations la concernant,

Ça tends donc à confirmer qu'il y a un droit pour voir ses propres images.

C'est même explicite ici: https://www.service-public.fr/particuliers/vosdroits/F2517
=> Droit d'accès

Toute personne peut accéder aux enregistrements la concernant et en vérifier la destruction dans le délai fixé par l'autorisation préfectorale.

La conservation des images ne peut pas dépasser 1 mois sauf procédure judiciaire en cours.
La demande d'accès doit être adressée au responsable du système de vidéoprotection.
Cet accès est un droit.
Toutefois, il peut être refusé pour les motifs suivants : sûreté de l'État, défense, sécurité publique, lors d'une instruction judiciaire en cours ou pour protéger le secret de la vie privée d'autres personnes.

Autres infos intéressantes pour des recours (en cas de caméra non réglementaire ou de refus de droit d'accès je suppose)

toujours dans la même page (https://www.service-public.fr/particuliers/vosdroits/F2517)

section «Contrôle et recours en cas de difficulté d'accès»

1re possibilité: commission départementale des systèmes de vidéoprotection

La commission départementale des systèmes de vidéoprotection a les missions suivantes :
Contrôle du fonctionnement des dispositifs (sauf en matière de défense nationale)
Recommandations
Proposition de suspension ou suppression des dispositifs non autorisés, non conformes à leur autorisation ou s'il en est fait un usage anormal. Elle informe le maire de la commune de cette proposition.
Toute personne intéressée peut saisir par courrier la commission d'une difficulté liée au fonctionnement d'un dispositif de vidéoprotection.

Il y a un formulaire juste après.

2e possibilité: Commission nationale de l'informatique et des libertés (Cnil)

La Cnil vérifie que le dispositif respecte les règles : respect de l'autorisation préfectorale, durée de conservation des images, information des personnes filmées...
En cas de manquement, après mise en demeure du responsable du système, elle peut demander au préfet de suspendre ou de faire supprimer le dispositif de vidéoprotection.
La Cnil en informe le maire de la commune.
Toute personne intéressée peut saisir la Cnil d'une difficulté liée au fonctionnement d'un dispositif de vidéoprotection.
https://www.cnil.fr/fr/plaintes

3e possibilité: Recours devant le juge

Toute personne peut s'adresser à la juridiction compétente même si elle a déjà saisi la commission départementale des systèmes de vidéoprotection.
Il peut s'agir du juge administratif ou du juge judiciaire, suivant les situations et l'objet du recours.
L'intéressé peut déposer, s'il le juge nécessaire, une demande en référé.