Début

Covid-19 / Caméras thermiques : le Conseil d’État précise l’application du RGPD

Paris - Publié le lundi 29 juin 2020 à 16 h 43 - n° 11208 « Mettre fin à l’usage des caméras thermiques portables dans les écoles de la commune ». C’est ce que demande le juge des référés du Conseil d’ÉtatConseil d’Etat à la commune de Lisses (Essonne) dans une ordonnance du 26 juin 2020, au sujet d’un dispositif de caméras thermiques déployé pour mieux lutter contre le Covid-19. « L’atteinte aux libertés fondamentales résultant du traitement de données de santé personnelles ainsi mis en œuvre paraît […] manifestement illégal », indique le juge administratif.

La Ligue des droits de l’homme attaquait devant la haute juridiction la décision de la commune essonnienne d’installer des caméras thermiques à l’entrée des « établissements communaux recevant du public » pour « contrôler la température corporelle » des personnes qui y entraient et détecter celles qui étaient potentiellement infectées par le coronavirus.

La publication de cette ordonnance, qui définit à quelles conditions un dispositif de caméras thermiques entre dans le champ du RGPDRGPDRèglement Général relatif à la Protection des Données, intervient une dizaine de jours après que la CnilCommission Nationale de l’Informatique et des Libertés a demandé (communiqué du 17 juin) un « encadrement normatif spécifique » pour ces systèmes de surveillance.
Conseil d’État - © D.R.
Conseil d’État - © D.R.

Un système de caméras thermiques peut constituer un traitement automatisé de données personnelles

« L’enregistrement des données recueillies dans un fichier suffit à entraîner l’application du RGPDRGPDRèglement Général relatif à la Protection des Données au fichier » et « il en va de même si le traitement est automatisé en tout ou en partie », est-il rappelé dans l’ordonnance sur la base du texte du règlement.

En l’espèce, « le signalement d’un écart à la moyenne, qui suppose que la donnée mesurée soit ensuite comparée à une norme de référence pour aboutir au signalement de la conformité ou de l’écart à la norme, constitue une automatisation du traitement de la donnée qui le fait relever du RGPD », est-il expliqué.

Par ailleurs, le traitement « doit être regardé comme portant sur une donnée personnelle au sens du RGPD » lorsque sa mise en œuvre « implique nécessairement que la personne au sujet de laquelle une donnée est recueillie soit connue ou identifiée à cette occasion », et ce « alors même que la donnée collectée ne serait pas la source ou le fondement de l’identification ».

3 conditions pour qu’un tel dispositif soit conforme au RGPD

« En application de l’article 9, le traitement de telles données personnelles de santé est interdit souligne le juge administratif, sauf si, pour ce qui concerne les caméras thermiques » :

  • soit il est conduit « sur la base d’un texte encadrant le motif d’intérêt public l’ayant rendu nécessaire et comportant les protections adéquates » ;
  • soit il est conduit « dans le cadre d’une politique de prévention par des professionnels de santé tenus au secret médical et sur le fondement d’un texte régissant cette politique » ;
  • soit « il fait l’objet du consentement de chaque personne intéressée à ce traitement », un consentement qui « doit répondre aux exigences de l’article 7 du RGPD », c’est-à-dire être « libre, exprès, spécifique, retirable et traçable » - et « s’il concerne des mineurs, respecter les règles de protection de l’article 8 du RGPD ».

Raisons pour lesquelles une caméra thermique installée dans les locaux municipaux ne relève pas du RGPD

Sur la base de cette clarification, le juge estime que « la caméra thermique fixe installée dans des locaux municipaux » et qui « indique par un code couleur à la personne se plaçant volontairement dans l’espace permettant sa mise en fonctionnement, si sa température corporelle est supérieure à la normale », ne relève pas du RGPD, car :

  • elle « ne donne lieu à aucun enregistrement, le fournisseur l’ayant, à la demande de la commune, livrée sans capacité mémoire » ;
  • « aucun préposé du responsable du traitement ne manipule la caméra ni n’a accès aux résultats de son fonctionnement » ;
  • « aucune conséquence n’est tirée de l’existence ou de l’absence de prise volontaire de température corporelle par les personnes qui s’y prêtent ». L’accès aux locaux tant pour les agents que pour les usagers du service est possible sans aucune difficulté en évitant le recours à la caméra thermique. Aucun texte ni information ne permet de considérer comme contraint ou induit ou même suggéré le recours à cette caméra.

Raisons pour lesquelles les caméras thermiques installées à l’entrée des écoles sont illégales au regard du RGPD

En revanche, « les caméras thermiques portables manipulées par des agents municipaux dans les écoles » et utilisées pour « mesurer la température corporelle des élèves, des enseignants et des personnels municipaux actifs au sein des locaux scolaires » relèvent pour leur part du règlement européen. Ce traitement, qui « collecte la donnée de température pour ensuite afficher l’existence ou l’absence d’un écart à la normale », est « automatisé », est-il souligné.

Selon l’ordonnance, « il résulte du contexte même de mise en œuvre des caméras que l’identité des personnes donnant lieu à leur utilisation est nécessairement connue dès avant la collecte de la donnée et afin de l’exploiter » : « les données traitées sont donc personnelles au sens du RGPD », indique le juge.

Il ajoute que « la circonstance que l’accès des enfants à l’école soit subordonné à l’acceptation de l’utilisation de la prise de température par caméra thermique exclut en tout état de cause que le consentement puisse être regardé comme libre ».

Fin
loader mask
1