Ville – Documents relatifs à des caméras de surveillance – Marché public – Analyse d'impact – Ordre public – Sécurité de la population – Données à caractère personnel – Communication



[…],

Partie requérante,

CONTRE :           

La Ville de Wavre,

Partie adverse,


Vu l’article 32 de la Constitution,
Vu l’article 8, § 1^er, du décret du 30 mars 1995 relatif à la publicité de l’Administration (ci-après, le décret du 30 mars 1995),
Vu l’article L3211-3, ainsi que les articles L3231-1 et suivants du Code de la démocratie locale et de la décentralisation (ci-après, le CDLD),
Vu l’arrêté du Gouvernement wallon du 9 juillet 1998 fixant la composition et le fonctionnement de la Commission d’accès aux documents administratifs,
Vu le recours introduit par courriel le 9 septembre 2024,
Vu la demande d’informations adressée à la partie adverse le 10 septembre 2024 et reçue le 11 septembre 2024,
Vu la réponse de la partie adverse du 26 septembre 2024,
Vu la décision de proroger le délai prévu à l’article 8quinquies, § 1^er, du décret du 30 mars 1995, compte tenu de la charge de travail importante de la Commission.

   
« a) la liste de l'ensemble des caméras fixes installées dans les lieux ouverts accessibles au public de votre commune, en ce compris les localisations et les responsables de traitement ;

b) les documents relatifs aux marchés publics (appels d’offre, cahiers de charges, documents d’attribution, contrats signés pour l’ensemble des marchés passés, dans le cas des marchés classiques et des accords-cadres) concernant les systèmes de surveillance (p.e. logiciels, caméras fixes et mobiles, visuelles et/ou thermiques, drones et bodycams, ANPR, etc.) acquis depuis 2006, par la commune et la zone de police, conformément à la loi du 17 juin 2016 relative aux marchés publics et de l’arrêté royal du 30 juin 2017 relatif à la passation des marchés publics dans les secteurs classiques.

c) les analyses d’impact, effectuées par la commune et la zone de police, relatives aux différents dispositifs de surveillance déployés conformément aux lois du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et du 5 août 2002 sur la Fonction de Police ».

2.   Par une décision du 12 septembre 2024 postérieure à l'introduction du recours, le collège communal de la partie adverse a décidé ce qui suit :

« Article 1^er – de faire droit partiellement à la demande d’accès aux informations sur les dispositifs de surveillance de la commune formulée par […], en transmettant la liste de l’ensemble des caméras fixes installées dans les lieux ouverts accessibles au public ainsi que les documents relatifs aux marchés publics (à l’exception des informations confidentielles des offres).

Art. 2 – De ne pas faire droit à la demande d’accès aux informations sur les dispositifs de surveillance de la commune formulée par […] en ce qui concerne les analyses d’impact effectuées par la commune et la zone de police, relatives aux différents dispositifs de surveillance déployées conformément aux lois du 30 juillet 2018 relative à la protection des données physiques à l’égard des traitements de données à caractère personnel et du 5 août 2022 sur la Fonction de Police ».
                    
Par courriel du 24 octobre 2024, la partie requérante confirme maintenir son recours uniquement en ce qu’il vise sa demande de communication des analyses d’impact précitées.
Il s’ensuit que la Commission n’examine la demande qu’en cet objet particulier.
3.   La Commission est compétente pour connaître du recours.
   
« L’autorité administrative provinciale ou communale qui ne peut pas réserver de suite immédiate à une demande de publicité ou qui la rejette communique dans un délai de trente jours de la réception de la demande les motifs de l’ajournement ou du rejet. En cas d’ajournement, le délai ne pourra jamais être prolongé de plus de quinze jours.

En cas d’absence de communication dans le délai prescrit, la demande est réputée avoir été rejetée ».
 
La partie adverse a explicitement rejeté la demande le 12 août 2024.

La partie requérante a introduit son recours auprès de la Commission le 9 septembre 2024, soit dans le délai de 30 jours prévu à l’article 8bis, alinéa 1^er, premier tiret, du décret du 30 mars 1995, et rendu applicable par l’article L3231-5, § 1^er, du CDLD.

Dès lors, le recours est recevable.

   
Dans le cadre de ses prérogatives de réformation, la Commission est elle-même compétente pour apprécier dans quelle mesure il y a lieu de faire droit à la demande d'accès au document administratif, en procédant, le cas échéant, à la mise en balance requise entre l’intérêt de la publicité des documents administratifs et l’intérêt protégé par le motif d’exception invoqué.
 
« L’autorité administrative fédérale ou non fédérale rejette la demande de consultation, d’explication ou de communication sous forme de copie d’un document administratif si elle a constaté que l’intérêt de la publicité ne l’emporte pas sur la protection de l’un des intérêts suivants :
[…]
4° l’ordre public, la sûreté ou la défense nationale ;
[…] ».

Elle argumente sa décision ainsi :

« [q]ue certaines mesures préventives et correctives liés aux risques de pertes de données décrites dans les analyses d’impact des traitements des images de ces caméras, sont descriptives des infrastructures techniques ;

Que leur diffusion pourrait entraîner des faillites de sécurité de l’information et partant, constituer une atteinte à l’ordre public ;

Considérant qu’une gestion prudente de ces informations s’impose face aux menaces de cyberattaques ;

Qu’à titre éminemment subsidiaire, ces analyses d’impact doivent être considérées comme des documents sous "diffusion restreinte" conformément à l’article 20 de l’AR du 24 mars 2000 portant exécution de la loi du 11 décembre 1998 relative à la classification et aux habilitations de sécurité ; qu’en conséquence, ces analyses ne peuvent être utilisées que pour la finalité pour laquelle elles ont été constituées sur le principe du "need-to-know" ;

Considérant que la Ville confirme que ces analyses d’impact ont bien été réalisées et envoyées à l’Organe de Contrôle compétent en matière de respect des obligations de la zone de police pour la protection des données ;

Considérant que l’intérêt public (lié à la protection de l’ordre public, à la sécurité publique et à la recherche et la poursuite des faits punissables) l’emporte dans ce cas précis sur le droit constitutionnel d’accès aux documents administratifs ».

La Commission examine l’admissibilité de cette argumentation au regard de l’objet relatif aux analyses d’impact.
« Lorsqu'un type de traitement, en particulier par le recours aux nouvelles technologies, est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, le responsable du traitement effectue préalablement au traitement une analyse d'impact des opérations de traitement envisagées sur la protection des données à caractère personnel. 

L'analyse visée à l'alinéa 1^er contient au moins une description générale des traitements envisagés, une évaluation des risques pour les droits et libertés des personnes concernées, les mesures envisagées pour faire face à ces risques, les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du présent titre, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes intéressées ».

L’analyse d’impact est également imposée, dans des termes similaires, par l’article 35 du Règlement général sur la protection des données (RGPD). Selon l’article 35, § 7, du RGPD, en particulier :

« L'analyse contient au moins :
a), une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l'intérêt légitime poursuivi par le responsable du traitement;
b), une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités;
c), une évaluation des risques pour les droits et libertés des personnes concernées conformément au paragraphe 1; et
d), les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du présent règlement, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées ».

L’article 23 de la loi précitée du 30 juillet 2018 renforce encore ces exigences, en disposant qu’ « en exécution de l'article 35.10 du Règlement, une analyse d'impact spécifique de protection des données est effectuée avant l'activité de traitement, même si une analyse d'impact générale relative à la protection des données a déjà été réalisée dans le cadre de l'adoption de la base légale ».

Des analyses d’impact à propos de caméras de surveillance sont encore prévues par les articles 25/4, § 2, alinéa 2 et 44/11/3octies, alinéa 2, de la loi du 5 août 1992 sur la fonction de police.

L’ensemble de ces dispositions démontrent que l’objectif principal des analyses d’impact est la protection des données à caractère personnel, au travers de l’identification des risques, d’une part, et des mesures prises pour y répondre, d’autre part.
 
En l’espèce, la partie adverse n’expose pas – et la commission n’aperçoit pas – en quoi les informations reprises dans les analyses d’impact quant à l’identification des risques ne doivent pas être communiquées.
 
En l’espèce, si les analyses d’impact produites donnent certaines indications sur les mesures de sécurité prises, il reste que ces informations demeurent relativement générales. Elles n’identifient pas clairement la localisation des dispositifs de sécurité ni ne précisent dans le détail les modalités concrètes de protection. Partant, leur divulgation ne semble pas de nature à entraîner des failles de sécurité de l’information sur les infrastructures techniques.

Ces informations particulières doivent être également communiquées. 
 
« Les documents dont l'autorité d'origine veut limiter la diffusion aux personnes qualifiées pour en connaître sans attacher à cette limitation les effets juridiques prévus par la loi, sont revêtus de la mention " Diffusion restreinte " ».

L’autorité d’origine est définie, à l’article 1^er, 2°, de l’arrêté royal du 24 mars 2000 comme suit :

« […] le titulaire d'une habilitation de sécurité qui est :
  a) l'auteur ou le responsable de la pièce;
 b) le supérieur hiérarchique à l'autorité duquel ressortit la pièce ».

En l’espèce, la partie adverse ne soutient pas être titulaire d’une habilitation de sécurité en vertu de l’article 22 de la loi du 11 décembre 1998 relative à la classification, aux habilitations de sécurité, attestations de sécurité, avis de sécurité et au service public réglementé, ni a fortiori en quoi celle-ci peut viser les analyses d’impact litigieuses.

Il y a lieu de rejeter cet argument.





Par ces motifs, la Commission décide :

Le recours a perdu son objet en ce qui concerne les points a) et b) de la demande.
Le recours est fondé en tant qu’il porte sur le point c) de la demande. La partie adverse communique à la partie requérante les analyses d’impact existantes et ce dans un délai de 15 jours à compter de la notification de la présente décision.