Feu vert pour la caméra thermique installée dans des locaux municipaux, qui se borne à indiquer à la personne qui se place volontairement dans son champ d'action si sa température corporelle excède ou pas la normale, sans constituer une condition d'accès aux services.
En revanche, la caméra thermique portable que des agents municipaux manipulent dans les écoles pour détecter les enseignants, élèves ou personnel dont la température excède la normale et les inviter alors à quitter l'établissement constitue un traitement automatisé de données personnelles au sens du Règlement général sur la protection des données (RGPD). Comme les conditions légales d'un tel traitement de données de santé personnelles ne sont pas respectées, il y a atteinte manifestement illégale à une liberté fondamentale, à laquelle il est urgent de remédier. La commune est invitée à mettre fin immédiatement à l'utilisation des caméras thermiques portables déployées dans les établissements scolaires. Mais elle peut conserver les caméras fixes dans ses conditions actuelles d'usage.
Pour en arriver à ces conclusions, le juge des référés confronte les caractéristiques techniques des caméras aux stipulations pertinentes du RGPD :
1/ Si la caméra se borne à donner une information instantanée exclusivement à celui qui la souhaite, sans intervention d'un tiers, même pour manipuler l'équipement, et sans enregistrement, elle ne donne pas lieu à un traitement au sens de l'article 4 du Règlement.
2/ Si elle permet la saisie d'une information par une personne agissant au nom de celle qui en a décidé l'emploi et qui est susceptible de déclencher une action, alors la caméra procède à des opérations de collecte et d'utilisation de données, constitutives d'un traitement au sens de l'article 4. Ce traitement entre dans le champ du RGPD si les données sont enregistrées dans un fichier. C'est le cas également si le traitement est automatisé.
3/ Tant que la caméra se borne à mesurer une variable quantifiée, il n'y a pas automatisation.
Si, au contraire pour les caméras fixes, elle permet de confronter la mesure à une norme pour aboutir au signalement de la conformité ou de l'écart à la norme, le traitement est alors regardé comme automatisé et le Règlement s'applique. Le traitement porte en l'occurrence sur des données personnelles de santé.
Précautions non prises relevées par l’ordonnance en référé :
- comme il s'agit de données sensibles affectant la vie privée, une analyse d'impact aurait dû précéder l'utilisation du dispositif (article 35). L'absence de cette analyse suffit à elle seule à justifier l'illégalité du système.
- le système aurait pu braver l'interdit de principe qui frappe le traitement de données personnelles de santé (article 9) s'il avait été conduit sur la base d'un texte encadrant le motif d'intérêt public qui l'anime et prévoyant des protections adéquates (article 9, 2, g).
- ou s'il s'était inséré dans une politique de prévention menée par des professionnels de santé tenus au secret médical, toujours sur le fondement d'un texte (article 9, 2, h et article9, 3).
- ou encore s'il avait reposé sur le consentement (libre, exprès, spécifique, retirable et traçable) de la personne testée (article 9, 2, a).
Aucune de ces conditions n'était remplie par les caméras fixes.
Référence :
