La Commission nationale de l’informatique et des libertés,

Saisie par le ministère de la transition écologique d’une demande d’avis concernant un projet de décret relatif au contrôle par vidéo des déchargements de déchets dans les installations de stockage et d’incinération de déchets non dangereux ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;

Vu le code de l’environnement, notamment son article L. 541-30-3 ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 31-I ;

Sur la proposition de M. Alain DRU, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,

Émet l’avis suivant :

La Commission a été saisie pour avis par le ministre de la transition écologique d’un projet de décret pris en application de l’article L. 541-30-3 du code de l’environnement créé par l’article 116 de la loi n° 2020-105 du 10 février 2020 relative à la lutte contre le gaspillage et l’économie circulaire.

Ce nouvel article prévoit que le déchargement des déchets non dangereux non inertes dans les installations de stockage ou d’incinération (comme par exemple les refus de tri de centres de tri de déchets d’activités économiques, les bennes tout venant de déchetteries, les encombrants, les ordures ménagères résiduelles) doit faire l’objet d’un dispositif de contrôle par vidéo.

La Commission relève que ce contrôle, qui pourra reposer sur des supports de caméras fixes ou mobiles (lesquels permettront de contrôler le champ de vision), permettra de s’assurer du respect des règles de bonne gestion des déchets, qui priorisent le tri et le recyclage des déchets par rapport à leur élimination. Elle relève que l’article L. 541-30-3 du code de l’environnement précise que les modalités d’application du dispositif de contrôle par vidéo, s’agissant en particulier des procédés de mise en œuvre du contrôle vidéo, de ses modalités de maintenance et d’utilisation ainsi que des règles de recueil, d’archivage et de mise à disposition des données collectées à des fins de contrôle sont fixées par décret, lequel doit lui être soumis pour avis.

Au regard des impératifs environnementaux, la Commission observe que le législateur a entendu mettre en œuvre de manière pérenne et immédiate ce dispositif sans avoir recours au préalable à une expérimentation. Si la Commission prend acte de ce choix, elle rappelle néanmoins que des garanties particulières sont à mettre en œuvre au regard des risques inhérents à l’emploi de ce type de dispositifs.

La Commission prend acte des précisions apportées par le ministère selon lesquelles l’objectif premier du contrôle ainsi réalisé est de permettre d’optimiser la gestion des déchets et de prévenir les atteintes à l’environnement quand bien même, à titre secondaire, il pourra permettre de constater d’éventuels comportements infractionnels. Si elle relève par ailleurs que chaque exploitant d’une installation de stockage ou d’incinération de déchets sera responsable de traitement au sens de l’article 4 du RGPD, la Commission considère que le traitement projeté également sera mis en œuvre pour le compte de l’Etat au sens de l’article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée. Dans ces conditions, elle estime que les traitements mis en œuvre dans le cadre de l’article L. 541-30-3 du code de l’environnement relèvent du RGPD et qu’il y a lieu de faire également application des dispositions du 2° du I de l’article 31 de la loi du 6 janvier 1978 modifiée.

Ces éléments rappelés, la Commission invite le ministère à élaborer et à diffuser une doctrine d’emploi des caméras à destination des exploitants d’installations visées, lesquels devront par ailleurs déterminer si le traitement mis en œuvre nécessite la réalisation d’une analyse d’impact sur la protection des données (AIPD) et sa transmission à la Commission dans les conditions prévues aux articles 35 et 36 du RGPD.

Sur les conditions de mise en œuvre du dispositif projeté

En premier lieu, s’agissant des procédés de mise en œuvre et des modalités d’utilisation du dispositif de contrôle par vidéo ainsi que des règles de recueil des données collectées, le projet d’article D. 541-48-6 du code de l’environnement prévoit que le dispositif de contrôle par vidéo enregistre :

• les images des opérations de déchargement de manière à pouvoir identifier le contenu qui est déchargé ;
• la plaque d’immatriculation de chaque véhicule réceptionné dans l’installation à cette fin.

La Commission prend acte de ce que les caméras ne filmeront ni la voie publique, ni les espaces ouverts au public. A cet égard, le ministère a indiqué que les installations de traitement des déchets sont des espaces non ouverts au public qui sont clôturés avec un accès contrôlé et restreint au personnel du site et aux transporteurs de déchets. Elle prend également acte de ce qu’au regard des zones où devront être installés ces dispositifs (zones dédiées aux déchargements des déchets, dans une décharge ou un incinérateur), la présence de salariés demeure occasionnelle.

La Commission rappelle par ailleurs qu’en application du principe de minimisation des données, il appartiendra à chaque exploitant de veiller à ce que seules les données pertinentes soient collectées, en s’assurant notamment que les caméras soient orientées de façon à ne filmer que le strict nécessaire au regard de l’objectif poursuivi. A cet égard, elle relève que le projet de décret prévoit que le dispositif ne puisse enregistrer que les opérations de déchargement des déchets de manière à pouvoir identifier le contenu qui est déchargé et la plaque d’immatriculation de chaque véhicule réceptionné dans l’installation.

Sur ce point, la Commission prend acte des précisions apportées par le ministère selon lesquelles l’enregistrement de la plaque d’immatriculation est nécessaire pour permettre d’établir un lien direct entre l’infraction constatée et le producteur ou détenteur des déchets, responsable de leur bonne gestion. En effet, en cas d’infraction relevée par l’inspecteur lors du contrôle des enregistrements vidéo, le numéro d’immatriculation du véhicule relevé dans l’enregistrement vidéo pourra faire l’objet d’un rapprochement, par une seule comparaison visuelle, avec les données du registre des déchets entrants dans l’installation, qui contient les numéros d’immatriculation de tous les véhicules déchargeant les déchets dans l’installation, afin d’identifier l’origine des déchets et de poursuivre les responsables. La Commission relève que le registre des déchets est, à ce jour, tenu par chaque exploitant et qu’il est prévu, à terme et pour les installations de stockage et d’incinération de déchets non dangereux, que les données qu’il contient soient transmises par voie dématérialisée au registre national des déchets en application de l’article L. 541-7 du code de l’environnement.

La Commission relève en outre que le projet d’article D. 541-48-10 du code de l’environnement impose, si des personnes ont été filmées, que leur image soit anonymisée par tous moyens de nature à empêcher leur identification . A cet égard, elle prend acte de ce que les caméras seront orientées de façon à éviter de filmer, autant que possible, les salariés, que ce soit le personnel de l’installation ou les chauffeurs. Elle rappelle qu’il incombera à chaque responsable de traitement d’être particulièrement vigilant sur l’orientation de ces dispositifs, qui devra faire l’objet de vérifications régulières et que la mise en œuvre d’un procédé d’anonymisation, au sens du RGPD, implique la mise en œuvre de conditions techniques particulièrement strictes.

La Commission relève enfin que le projet d’article D. 541-48-10 du code de l’environnement exclut l’enregistrement de données sonores, ce dont elle prend acte au titre des garanties apportées dans le cadre de la mise en œuvre des dispositifs projetés.

En second lieu, s’agissant des modalités de maintenance du dispositif de contrôle par vidéo, la Commission relève que celles-ci sont détaillées dans le projet d’article D. 541-48-9 du code de l’environnement et n’appellent pas d’observations particulières.

Sur les règles d’archivage des données collectées

La Commission relève que le projet d’article D. 541-48-10 du code de l’environnement prévoit que les données sont conservées un an. Au terme de ce délai, les données sont effacées automatiquement. Le projet d’article D. 541-48-11 du code de l’environnement précise en outre que lorsque les données ont, dans le délai d’un an, été extraites et transmises aux agents de l’Etat mentionnés à l’article L. 541-44 du même code pour les besoins d’une procédure judiciaire ou administrative, elles sont conservées selon les règles propres à chacune de ces procédures.

La Commission prend acte des précisions apportées par le ministère selon lesquelles cette durée doit permettre de tenir compte de la fréquence annuelle des contrôles réalisés par l’inspection des installations classées pour la protection de l’environnement, sous réserve que les images des personnes qui auraient été filmées fassent l’objet d’une anonymisation au sens du RGPD, comme le prévoit le projet d’article D. 541-48-10 du code de l’environnement.

Sur les règles de mise à disposition des données collectées

Le projet d’article D. 541-48-11 du code de l’environnement prévoit qu’ont seuls accès aux données contenues dans le traitement, le cas échéant en temps réel, le personnel de l’installation habilité à cet effet par l’exploitant.

Cet article prévoit également que les données, le cas échéant en temps réel, peuvent être consultées par :

• les agents de l’Etat mentionnés à l’article L. 541-44 du code de l’environnement ;
• les personnes intervenant, à la demande de l’exploitant ou des agents de l’Etat précités, pour le compte d’organismes d’audit ou de conseil. Cet accès est soumis à l’autorisation de l’exploitant et à la présence, au moment de la visualisation, d’une personne de l’installation habilitée par l’exploitant.

Le projet d’article D. 541-48-11 du code de l’environnement prévoit en outre que les données sont accessibles sur site et qu’elles sont transmises sous une forme utilisable à la demande des agents de l’Etat précités.

La Commission rappelle qu’en tout état de cause, l’accès aux données du traitement projeté ainsi que leur consultation doivent être réalisés dans la limite des attributions respectives des agents précités et de leur besoin d’en connaître dans le cadre de leurs missions. A cet égard, elle recommande que ces précisions figurent expressément dans le projet d’article D. 541-48-11 du code de l’environnement.

La Commission rappelle par ailleurs que le personnel de l’installation habilité à cet effet par l’exploitant à accéder aux données devra être particulièrement formé et sensibilisé aux règles de mise en œuvre d’un système de vidéosurveillance.

Dans ces conditions, la Commission estime que ces accédants et destinataires présentent un intérêt légitime à connaître des données contenues dans le traitement.

Sur l’information et les droits des personnes concernées

En premier lieu, s’agissant de l’information des personnes concernées, la Commission relève que le projet d’article D. 541-48-8 du code de l’environnement prévoit que la présence d’un dispositif de contrôle par vidéo des déchargements fait l’objet d’une signalisation à l’entrée de l’installation ainsi que dans les locaux filmés, au moyen de panneaux, en nombre suffisant, affichés en permanence, lisibles et compréhensibles, dans les lieux concernés, qui comportent a minima :

• le pictogramme d’une caméra indiquant que le lieu est placé sous surveillance vidéo ;
• la finalité du traitement installé ;
• la durée de conservation des images ;
• le nom ou la qualité et le numéro de téléphone du responsable de l’exploitation ;
• le droit d’introduire une réclamation auprès de la CNIL ;
• la procédure à suivre pour demander l’accès aux enregistrements visuels les concernant.

Le projet d’article D. 541-48-8 du code de l’environnement prévoit par ailleurs que l’exploitant informe individuellement les salariés de l’exploitation de la présence et de la localisation du dispositif de contrôle par vidéo des déchargements des déchets. En outre, cet article prévoit que l’exploitant s’assure que les producteurs, détenteurs et transporteurs des déchets réceptionnés dans l’installation informent individuellement leurs salariés susceptibles d’être filmés dans la zone de contrôle par vidéo de l’installation.

A cet égard, la Commission rappelle que les salariés devront être informés individuellement de l’ensemble des mentions d’information prévues à l’article 13 du RGPD et, qu’en tout état de cause, les institutions représentatives du personnel devront être consultées avant l’installation du dispositif de contrôle (projet d’article

D. 541-48-7 du code de l’environnement).

En second lieu et dans la mesure où les traitements sont mis en œuvre pour le compte de l’Etat , la Commission estime que le projet de décret devrait mentionner, s’agissant des droits des personnes concernées et au regard des dispositions de l’article 35 de la loi du 6 janvier 1978 modifiée, les informations génériques correspondant à l’exercice de ces droits, sans préjudice de la responsabilité de chaque exploitant quant à sa conformité à la réglementation applicable à la protection des données à caractère personnel.

Sur les mesures de sécurité

De manière générale, la Commission rappelle que, conformément à l’article 32 du RGPD, les exploitants devront mettre en œuvre des mesures techniques et organisationnelles afin de garantir un niveau de sécurité adapté aux risques et que les mesures de sécurité devront être mises à jour au regard de la réévaluation régulière des risques.

Concernant spécifiquement l’anonymisation des images des personnes qui auraient été filmées, la Commission prend acte de ce que des solutions techniques seront mises à la disposition des responsables de traitement leur permettant de mettre en œuvre des solutions de floutage en temps réel.

La Présidente

M.-L. DENIS