Par une ordonnance du 22 mai 2020, le Tribunal administratif de Versailles a rejeté la demande de la Ligue des Droits de l’Homme qui demandait le retrait des caméras thermiques installées à l’entrée de bâtiments administratifs et scolaires.
En l’espèce, la commune de Lisses (91) a décidé en 17 avril 2020 d’installer des caméras thermiques fixes et portables dans l’enceinte de certains locaux des services municipaux, afin de contrôler la température corporelle des personnes entrant dans l’enceinte du pôle administratif de la commune et dans les autres établissements communaux recevant du public, y compris les bâtiments scolaires.
Concrètement, lorsqu’une personne se présente à une distance déterminée de la caméra, matérialisée par une marque au sol, un écran fixé sur le mur affiche alors un carré rouge ou vert, en fonction de la température relevée. Les caméras ne permettent pas d’identifier directement les personnes et ne comportent pas de carte de stockage.
Après avoir relevé le contexte particulier dans lequel la France est plongée depuis le mars 2020 en raison du Covid-19, le Tribunal rappelle qu’il appartient aux différentes autorités compétentes de prendre, en vue de sauvegarder la santé de la population, toutes dispositions de nature à prévenir ou à limiter les effets de l’épidémie. Ces mesures, qui peuvent limiter l’exercice des droits et libertés fondamentaux doivent, dans cette mesure, être nécessaires, adaptées et proportionnées à l’objectif de sauvegarde de la santé publique qu’elles poursuivent.
Avant de déclarer si le dispositif était légal ou illégal, le Tribunal administratif de Versailles s’est penché sur la question de savoir si le dispositif mis en place par la mairie de Lisse constituait un traitement de données à caractère personnel.
Le juge relève en l’espèce que les données analysées par le dispositif sont la température corporelle de l’individu ainsi que sa forme corporelle. Selon le Tribunal, l’ensemble des informations et images qui s’affichent à l’écran, fixe ou mobile, est susceptible d’engendrer l’utilisation de données à caractère personnel et doit ainsi être regardé comme un traitement : « ces matériels ne comportent, en l’état de l’instruction, aucun dispositif technique de nature à éviter, dans tous les cas, que les informations recueillies puissent conduire, au bénéfice d’un autre usage que celui actuellement pratiqué, à rendre les personnes auxquelles elles se rapportent identifiables, compte tenu notamment de la forme corporelle qui s’affiche sur l’écran ».
Ces données sont qualifiées de données de santé dans la mesure où la température corporelle relevée est susceptible de donner des indications quant à l’état de santé de l’individu testé.
Il s’agit donc de données sensibles, dont le traitement est interdit en vertu de l’article 9 du RGPD, à moins, notamment, que la personne concernée ait consentie à un tel traitement.
Pour dire que les personnes concernées avaient consenti au traitement de leurs données de santé, le Tribunal administratif de Versailles relève tout d’abord que le dispositif est signalé de manière très visible par une signalétique au sol. Par ailleurs, un panneau d’affichage indique également que l’utilisateur du bâtiment entre dans une zone de prise de température.
Il est également indiqué que le dispositif n’aurait aucun caractère obligatoire : « Or, compte tenu de la configuration des locaux, suffisamment large contrairement à ce qui est allégué pour pénétrer dans le bâtiment sans passer dans le faisceau de prise de température, il est tout à fait loisible aux agents, clairement informés du dispositif, d’entrer dans les locaux sans avoir à se soumettre à une prise de température. » (…) « Ainsi, eu égard au caractère volontaire que revêt en l’espèce la prise de température corporelle, le dispositif de caméra fixe en cause ne méconnaît pas le principe d’interdiction posé par les dispositions de l’article 9 précité du règlement général sur la protection des données ».
Au sujet des enfants qui auraient pu subir le dispositif, le juge administratif relève : « il n’est ni établi ni même allégué, et ne résulte d’ailleurs d’aucun élément de l’instruction, qu’une prise de température opérée du fait de leur utilisation n’aurait pas donné lieu au consentement préalable des parents des enfants, avant l’entrée dans les bâtiments scolaires et périscolaires, et des personnels les encadrant ».
Cette décision nous semble critiquable au regard des exigences posées par le RGPD en matière de consentement. Il est bien évident que c’est au responsable du traitement d’apporter la preuve du consentement reçu. En effet, l’article 7§1 du RGPD prévoit explicitement que « le responsable de traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel le concernant ». Le Juge des référés a donc renversé la charge de la preuve.
Rappelons que le consentement au traitement des données sensibles doit être libre, éclairé, univoque et explicite[1].
Le Tribunal a déduit du comportement des personnes qu’elles avaient consenties au traitement, alors qu’il aurait dû vérifier qu’elles aient expressément consenties à ce traitement.
Par ailleurs, le consentement éclairé implique une information claire et complète des personnes. Quand bien même les personnes concernées étaient informées du dispositif, le Tribunal n’a pas recherché, comme il aurait dû le faire, si les informations fournies respectaient les prescriptions de l’article 13 du RGPD[2] et si les informations étaient compréhensibles par les enfants.
Le Tribunal n’a pas non plus recherché les conséquences du refus de passer le test thermique. Les personnes concernées sont-elles autorisées à pénétrer dans l’enceinte du bâtiment si elles refusent ce test ? Dans la négative, le consentement ne saurait être libre, puisque conditionné.
En tout état de cause, le consentement tel qu’il est décrit dans cette décision ne nous apparaît ni explicite, ni éclairé.
La ligue des Droits de l’Homme soutenait par ailleurs qu’aucune étude d’impact telle que prévue par l’article 35 du règlement n’avait été effectuée, mais le juge n’a pas statué sur ce point.
Selon le juge des référés, le « dispositif de caméras thermiques installé et utilisé sur le territoire de la commune de Lisses ne porte pas une atteinte grave et manifestement illégale au droit au respect de la vie privée, au droit de chacun au respect de sa liberté personnelle et à la liberté d’aller et venir. »
Nul doute que cette décision doit faire l’objet d’une procédure au fond.
Charlotte GALICHET
Sophie RENAUDIN
[1] https://www.village-justice.com/articles/consentement-valide-sens-rgpd,30428.html
[2] Identité et coordonnées du responsable de traitement ainsi que du DPO le cas échéant, les finalités du traitement, la base juridique du traitement, les destinataires et catégories de destinataires des données, le cas échéant l’existence de transferts de données hors UE, les durées de conservations, l’existence de sous-traitants, et surtout les droits des personnes concernées.