Accueil
Le quotidien du droit en ligne
-A+A
Article

Quand l’usage des caméras thermiques est-il soumis au RGPD ?

Seules les caméras thermiques dont l’usage est totalement facultatif et qui ne délivrent d’information qu’à l’intéressé peuvent être mises en place sans prendre en compte le règlement général pour la protection des données.

par Marie-Christine de Monteclerle 1 juillet 2020

Le juge des référés du Conseil d’État a ordonné, le 26 juin, à la commune de Lisses de mettre fin sans délai à l’utilisation des caméras thermiques portables déployées dans ses établissements scolaires. Il précise, à cette occasion, dans quelles conditions le recours à de tels dispositifs est soumis au règlement général pour la protection des données (RGPD).

La commune de l’Essonne avait, d’une part, installé une caméra thermique fixe dans les locaux municipaux, d’autre part, doté les agents des écoles de caméras portables pour leur permettre de mesurer, au début de la journée scolaire mais aussi au cours de celle-ci, la température corporelle des élèves, des enseignants et des personnels municipaux. Le tribunal administratif de Versailles avait rejeté le recours en référé-liberté de la Ligue des droits de l’homme (LDH) tendant au retrait de ces caméras.

L’appel de la LDH amène le juge des référés du Conseil d’État à préciser que lorsqu’une caméra thermique, « installée à la disposition d’un public donné, a pour seule fonction de donner aux personnes qui le souhaitent une information instantanée, sans intervention d’un tiers ou d’une personne manipulant l’équipement, sans aucune conséquence quant à l’accès à un lieu, un bien ou un service, et sans enregistrement ou communication de la donnée autrement qu’à l’intéressé, de sorte que l’information instantanée saisie par l’équipement n’est pas accessible ni utilisable par son responsable, qui ne pratique ainsi avec cet équipement aucune collecte de données, cette caméra ne peut être regardée comme donnant lieu à un traitement au sens et pour l’application du RGPD. En revanche, alors même que des caméras thermiques utilisées ne procèdent pas à l’enregistrement de données, si elles permettent la saisie d’une information, par une personne agissant au nom de celle qui en a décidé l’emploi, et que cette dernière, sur le fondement de cette donnée, décide d’une action, elles doivent être regardées comme donnant lieu à des opérations de collecte et d’utilisation de données, donc à un traitement au sens de l’article 4 du RGPD. »

« L’enregistrement des données recueillies dans un fichier suffit à entraîner l’application du RGPD au fichier. Il en va de même si le traitement est automatisé en tout ou en partie. Ainsi, la seule prise de température au moyen d’un appareil électronique ne peut être regardée comme automatisée, dès lors qu’elle se borne à la mesure d’une variable quantifiée. En revanche, le signalement d’un écart à la moyenne, qui suppose que la donnée mesurée soit ensuite comparée à une norme de référence pour aboutir au signalement de la conformité ou de l’écart à la norme, en ce qui concerne les caméras thermiques par l’affichage d’un code couleur, constitue une automatisation du traitement de la donnée qui le fait relever du RGPD. »

« Ce traitement, s’il porte sur des personnes identifiables, et dès lors qu’il vise à apprécier l’état d’un paramètre significatif de leur état de santé au regard d’une pathologie particulière, porte sur des données personnelles de santé. » « Par application de l’article 35 du RGPD, au regard de la sensibilité des données concernées et de leur impact sur la vie privée, un tel traitement, lorsqu’il repose comme en l’espèce sur des dispositifs antérieurement peu utilisés, et dont l’utilité pour la santé publique est controversée, ne peut être mis en œuvre qu’au terme d’une analyse d’impact permettant d’en préciser les conditions et risques de fonctionnement et de décider des mesures nécessaires à la prévention des risques élevés qu’il comporte. »

En application de l’article 9, « le traitement de telles données personnelles de santé est interdit, sauf si, pour ce qui concerne les caméras thermiques, soit il est conduit sur la base d’un texte encadrant le motif d’intérêt public l’ayant rendu nécessaire et comportant les protections adéquates, soit il est conduit dans le cadre d’une politique de prévention par des professionnels de santé tenus au secret médical et sur le fondement d’un texte régissant cette politique, soit il fait l’objet du consentement de chaque personne intéressée à ce traitement. »

La caméra fixe dans les locaux municipaux de Lisses n’enregistre aucune donnée, elle n’est manipulée par personne. Surtout, son usage n’est ni contraint ni même suggéré. Elle ne donne donc pas lieu à un traitement de données et le recours de la LDH est rejeté en ce qui la concerne. En revanche, les caméras dans les écoles sont manipulées par des agents et lorsqu’un écart anormal à la moyenne est détecté, l’intéressé est invité à quitter les lieux. En outre, « il est possible que l’image traitée par le système soit identifiante ». Le juge conclut donc à un traitement de données personnelles au sens du RGPD. Or, aucun texte ne régit un tel traitement et ces données ne sont pas manipulées par des personnels de santé. La commune ne démontre pas qu’un consentement conforme aux règles du RGPD a été recueilli. « L’atteinte aux libertés fondamentales résultant du traitement de données de santé personnelles ainsi mis en œuvre paraît donc manifestement illégal. La réalisation d’une analyse d’impact aurait permis d’établir les dangers du déploiement de ces caméras thermiques dans ces conditions, analyse dont le défaut, en méconnaissance de l’article 35 du RGPD, suffirait en outre à lui seul à entraîner l’illégalité du traitement. »