Ville – Documents relatifs à des caméras de surveillance – Marché public – Analyse d'impact – Ordre public – Sécurité de la population – Données à caractère personnel – Secret des affaires – Communication partielle



[…],

Partie requérante,

CONTRE :           

La Ville de Fleurus,

Partie adverse,


Vu l’article 32 de la Constitution,
Vu l’article 8, § 1^er, du décret du 30 mars 1995 relatif à la publicité de l’Administration (ci-après, le décret du 30 mars 1995),
Vu l’article L3211-3, ainsi que les articles L3231-1 et suivants du Code de la démocratie locale et de la décentralisation (ci-après, le CDLD),
Vu l’arrêté du Gouvernement wallon du 9 juillet 1998 fixant la composition et le fonctionnement de la Commission d’accès aux documents administratifs,
Vu le recours introduit par courriel le 16 août 2024,
Vu la demande d’informations adressée à la partie adverse le 21 août 2024 et reçue le 22 août 2024,
Vu la réponse de la partie adverse du 6 septembre 2024,
Vu la note d’observations de la partie adverse, transmise à la partie requérante le 3 octobre 2024.

   
« a) la liste de l'ensemble des caméras fixes installées dans les lieux ouverts accessibles au public de votre commune, en ce compris les localisations et les responsables de traitement ;

b) les documents relatifs aux marchés publics (appels d’offre, cahiers de charges, documents d’attribution, contrats signés pour l’ensemble des marchés passés, dans le cas des marchés classiques et des accords-cadres) concernant les systèmes de surveillance (p.e. logiciels, caméras fixes et mobiles, visuelles et/ou thermiques, drones et bodycams, ANPR, etc.) acquis depuis 2006, par la commune et la zone de police, conformément à la loi du 17 juin 2016 relative aux marchés publics et de l’arrêté royal du 30 juin 2017 relatif à la passation des marchés publics dans les secteurs classiques.

c) les analyses d’impact, effectuées par la commune et la zone de police, relatives aux différents dispositifs de surveillance déployés conformément aux lois du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et du 5 août 2002 sur la Fonction de Police ».

   
 
La partie adverse a explicitement rejeté la demande le 17 juillet 2024 et a communiqué sa décision via Transparencia le 18 juillet 2024.

La partie requérante a introduit son recours auprès de la Commission le 16 août 2024, soit dans le délai de 30 jours prévu à l’article 8bis, alinéa 1^er, premier tiret, du décret du 30 mars 1995, et rendu applicable par l’article L3231-5, § 1^er, du CDLD.

Dès lors, le recours est recevable.
   
Dans le cadre de ses prérogatives de réformation, la Commission est elle-même compétente pour apprécier dans quelle mesure il y a lieu de faire droit à la demande d'accès au document administratif, en procédant, le cas échéant, à la mise en balance requise entre l’intérêt de la publicité des documents administratifs et l’intérêt protégé par le motif d’exception invoqué.
 
« L’autorité administrative fédérale ou non fédérale rejette la demande de consultation, d’explication ou de communication sous forme de copie d’un document administratif si elle a constaté que l’intérêt de la publicité ne l’emporte pas sur la protection de l’un des intérêts suivants :
1° la sécurité de la population ;
[…]
4° l’ordre public, la sûreté ou la défense nationale ;
5° la recherche ou la poursuite de faits punissables ;
[…] ».
Elle argumente sa décision ainsi :

« [qu’il] apparaît que les informations opérationnelles concernant la surveillance par caméra (y compris les spécifications sur le fonctionnement du système de surveillance par caméra, le nombre de caméras présentes dans une zone et le choix de l'emplacement des caméras) ne peuvent pas être libérées ;

Que suite à la publication de ces informations il en résulterait une publication possible d'informations en lien avec le déploiement opérationnel et tactique de la zone de police Brunau ;

Considérant qu'afin d'enquêter et de poursuivre des infractions pénales sur le territoire de la Ville de Fleurus et dans l'intérêt de l'ordre public de la sécurité, ces données ne peuvent être libérées ;

Considérant d'autre part qu'une gestion prudentielle des installations de vidéosurveillance s'impose également face aux cyberattaques et aux menaces nombreuses en la matière ;

Considérant que l'intérêt public (lié à la protection du public, l'ordre et la sécurité, la sécurité de la population et l'enquête ou la poursuite d'infractions pénales), l'emporte sur les initiatives visant à rendre publiques ces mêmes données ;

Considérant que les choix concernant, entre autres, le nombre et le type de caméras par emplacement implique naturellement des conséquences tactiques ;

Considérant que si cela était rendu public l'ordre et la sécurité [publics] pourraient être gravement menacés et la détection des infractions pénales serait compromise ».

La Commission examine l’admissibilité de cette argumentation au regard des différents objets de la demande.

A. La liste des caméras de surveillance, de leur localisation et des responsables de traitement
En outre, dans les deux législations, l’installation de caméras de surveillance dans les lieux ouverts au public doit faire l’objet d’un avis positif ou d’une autorisation préalable du conseil communal, notamment fondé sur le lieu concerné et la finalité de la surveillance, et même sur le type de caméra concerné (article 5 de la loi du 21 mars 2007 et article 25/4 de la loi sur la fonction de police), donnant donc également une publicité à ces informations. Selon l’article 25/4, § 4, alinéa 3, « l'autorisation visée au paragraphe 1^er fait l'objet d'une publicité, lorsqu'elle concerne des missions de police administrative ».

Tenant compte de ces multiples mesures de publicité, la liste des caméras fixes installées sur le territoire de la ville de Fleurus (en ce compris leur localisation) constitue une information publique, dont la partie adverse dispose (au sens de l’article 1^er du décret du 30 mars 1995). Les différentes justifications apportées par la partie adverse et reproduites au point 5 ne changent rien à ce constat.

Cette liste doit par conséquent être communiquée à la partie requérante.

Pour le reste, la Commission constate que la partie adverse a mentionné les responsables de traitement des caméras concernées dans sa note d’observations, qui a été transmise à la partie requérante, de sorte que la demande a perdu son objet sur ce point.

B. Les documents relatifs aux marchés publics conclus pour l’achat des caméras
 
En outre, les appels d’offre et les cahiers des charges des marchés concernés ne contiennent par définition aucune information d’entreprise ou de fabrication communiquée à l’autorité, puisque ces documents émanent de l’autorité elle-même, avant de savoir quelle entreprise se verra attribuer le marché.
 
La protection du secret des affaires est en effet déduite de l’article 6, § 2, 1°, du décret du 30 mars 1995, et est prévue expressément par l’article 6, § 1^er, 7°, de la loi du 11 avril 1994 relative à la publicité de l’administration qui dispose :   


« L'autorité administrative fédérale ou non fédérale rejette la demande de consultation, d’explication ou de communication sous forme de copie d’un document administratif si elle a constaté que l'intérêt de la publicité ne l'emporte pas sur la protection de l'un des intérêts suivants : […]      
7° au caractère par nature confidentiel des informations d’entreprises ou de fabrication communiquées à l'autorité ».            

Selon la Commission européenne, ce principe protège notamment « les informations techniques et financières relatives au savoir-faire, les méthodes de calcul des coûts, les secrets et procédés de fabrication, les sources d’approvisionnement, les quantités produites et vendues, les parts de marché, les fichiers de client et de distributeurs, la stratégie commerciale, la structure de coûts et de prix ou encore la politique de vente d’une entreprise ».          


Le secret des affaires est également protégé par le Code de droit économique, dont l’article I.17/1, 1°, le définit comme suit :            


« information qui répond à toutes les conditions suivantes :      
a) elle est secrète en ce sens que, dans sa globalité ou dans la configuration et l'assemblage exacts de ses éléments, elle n'est pas généralement connue des personnes appartenant aux milieux qui s'occupent normalement du genre d'information en question, ou ne leur est pas aisément accessible ;
b) elle a une valeur commerciale parce qu'elle est secrète ;       
c) elle a fait l'objet, de la part de la personne qui en a le contrôle de façon licite, de dispositions raisonnables, compte tenu des circonstances, destinées à la garder secrète ».

Seules les informations qui répondent à ces définitions sont donc susceptibles d’être occultées par la partie adverse. Une version non confidentielle des rapports d’attribution, des décisions d’attribution et des documents contractuels des marchés concernés par la demande doit donc être communiquée par la partie adverse.

 C. Les analyses d’impact
 
Dès lors, conformément à l’article 8ter, alinéa 2, du décret du 30 mars 1995, la partie adverse doit communiquer les documents à la partie requérante, moyennant le respect des exceptions prévues à l'article 6 du même décret.
 
Selon la partie adverse, la communication des analyses d’impact demandées porterait atteinte à la sécurité de la population, l’ordre public, la recherche ou la poursuite de faits punissables.

L’analyse d’impact est en réalité prévue par l’article 58 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, selon lequel :

« Lorsqu'un type de traitement, en particulier par le recours aux nouvelles technologies, est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, le responsable du traitement effectue préalablement au traitement une analyse d'impact des opérations de traitement envisagées sur la protection des données à caractère personnel. 

L'analyse visée à l'alinéa 1er contient au moins une description générale des traitements envisagés, une évaluation des risques pour les droits et libertés des personnes concernées, les mesures envisagées pour faire face à ces risques, les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du présent titre, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes intéressées ».

L’analyse d’impact est également imposée, dans des termes similaires, par l’article 35 du Règlement général sur la protection des données (RGPD). Selon l’article 35, § 7, du RGPD, en particulier :

« L'analyse contient au moins :
a), une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l'intérêt légitime poursuivi par le responsable du traitement;
b), une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités;
c), une évaluation des risques pour les droits et libertés des personnes concernées conformément au paragraphe 1; et
d), les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du présent règlement, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées ».

L’article 23 de la loi précitée du 30 juillet 2018 renforce encore ces exigences, en disposant qu’ « en exécution de l'article 35.10 du Règlement, une analyse d'impact spécifique de protection des données est effectuée avant l'activité de traitement, même si une analyse d'impact générale relative à la protection des données a déjà été réalisée dans le cadre de l'adoption de la base légale ».

Des analyses d’impact à propos de caméras de surveillance sont encore prévues par les articles 25/4, § 2, alinéa 2 et 44/11/3octies, alinéa 2, de la loi du 5 août 1992 sur la fonction de police.

L’ensemble de ces dispositions démontrent que l’objectif principal des analyses d’impact est la protection des données à caractère personnel, au travers de l’identification des risques, d’une part, et des mesures prises pour y répondre, d’autre part.

En ce qui concerne l’identification des risques, certes, une partie des finalités de la surveillance par caméra concerne la sécurité de la population, l’ordre public et la recherche et la poursuite de faits punissables. La partie adverse n’établit cependant pas concrètement en quoi toute description des traitements des données récoltées par les caméras serait susceptible de porter atteinte à ces finalités. Seules les informations, contenues dans les analyses d’impact, affectant concrètement la sécurité de la population, l’ordre public ou la recherche et la poursuite de faits punissables, pourraient être considérées comme confidentielles. A défaut pour la Commission d’avoir pu prendre connaissance d’une analyse d’impact, ces exceptions ne semblent à première vue pas applicables aux parties des analyses d’impact relative à la description des traitements et des finalités, à l’évaluation de la nécessité et de la proportionnalité des traitements, et à l’évaluation des risques causés par ces traitements (article 35, § 7, a, b et c, du RGPD). En revanche, lorsque ces parties du rapport contiennent des informations techniques considérées comme confidentielles par le fournisseur du matériel concerné, ces informations techniques spécifiques ne doivent pas être communiquées, conformément aux exceptions précitées relatives aux secrets d’affaires. Les parties d’une analyse d’impact correspondant à l’article 35, § 7, a), b) et c) du RGPD doivent donc être communiquées, à l’exception des informations constituant des secrets d’affaires.

En ce qui concerne les mesures prises en réponse aux risques identifiés, d’autre part, la publicité des mesures de sécurité techniques, infrastructurelles ou informatiques adoptées paraît, à première vue, pouvoir porter atteinte à la protection des données personnelles, et plus largement, pouvoir menacer les finalités poursuivies par la surveillance par caméras, dont notamment la sécurité de la population, l’ordre public ou la recherche et la poursuite de faits punissables. La partie des analyses d’impact relative à ces mesures, correspondant à l’article 35, § 7, d), du RGPD, ne doit donc pas être communiquée.


Par ces motifs, la Commission décide :

Le recours est partiellement fondé. La partie adverse communique à la partie requérante les documents suivants :
  et ce dans un délai de 30 jours à compter de la notification de la présente décision.

Le recours est rejeté pour le surplus.