Question de M. CHEVALIER Cédric (Marne - Les Indépendants) publiée le 18/12/2025
M. Cédric Chevalier appelle l'attention de M. le garde des sceaux, ministre de la justice sur les incertitudes persistantes entourant l'obligation de réaliser une analyse d'impact relative à la protection des données (AIPD) dans le cadre des dispositifs de vidéoprotection mis en place par les communes, et ce malgré la réponse apportée à la question écrite n° 05209 de Mme Anne-Sophie Romagny.
En l'absence de repères précis ou de seuils indicatifs, les communes, en particulier les plus petites, peinent à déterminer si leur dispositif de vidéoprotection entre ou non dans le champ d'une AIPD obligatoire. Cette situation conduit à des interprétations divergentes selon les préfectures ou les délégués à la protection des données, alors même que les communes concernées présentent des configurations similaires.
Il souhaiterait en particulier obtenir des clarifications sur la notion de « volume considérable de données à caractère personnel au niveau régional, national ou supranational, susceptibles d'affecter un nombre important de personnes et d'engendrer un risque élevé pour leurs droits et libertés ». Cette référence, habituellement associée à des traitements d'ampleur bien supérieure à ceux mis en oeuvre localement, demeure difficile à transposer à l'échelle communale. Les élus ne savent dès lors pas dans quelle mesure ce critère doit être retenu pour apprécier la nécessité d'une AIPD dans le cadre de dispositifs de vidéoprotection de portée strictement locale.
Afin de garantir une application homogène et opérationnelle du règlement général sur la protection des données (RGPD), il demande au Gouvernement s'il envisage de définir des seuils indicatifs, même non contraignants, portant notamment sur la population potentiellement concernée, l'étendue du périmètre filmé ou la durée de conservation des images ; de mettre à disposition une grille d'aide à la décision ou une typologie des cas les plus courants ; et d'harmoniser les pratiques d'appréciation au sein des préfectures, afin de limiter les disparités actuelles et de sécuriser l'action des collectivités.
- page 6116
Réponse du Ministère délégué auprès du Premier ministre, chargé des relations avec le Parlement publiée le 09/01/2026
Réponse apportée en séance publique le 08/01/2026
Mme la présidente. La parole est à M. Cédric Chevalier, auteur de la question n° 847, adressée à M. le garde des sceaux, ministre de la justice.
M. Cédric Chevalier. Monsieur le ministre, j'appelle votre attention sur les incertitudes qui persistent autour de l'obligation de réaliser une analyse d'impact relative à la protection des données (AIPD) dans le cadre des dispositifs de vidéoprotection mis en place par les communes, et ce malgré les réponses récemment apportées à plusieurs questions écrites sur le sujet.
Très concrètement, de nombreuses communes, en particulier les plus petites, ne savent pas, faute de repères clairs ou de seuils indicatifs, si leur dispositif relève ou non d'une AIPD obligatoire.
Il en résulte des interprétations très différentes selon les préfectures ou les délégués à la protection des données, alors même que les situations locales sont souvent comparables.
Je souhaite notamment vous interroger sur la notion de « volume considérable de données à caractère personnel » susceptibles « d'affecter un nombre important de personnes » et « d'engendrer un risque élevé » pour les « droits et libertés des personnes concernées ».
Cette notion renvoie habituellement à des traitements d'ampleur nationale, voire supranationale, et reste difficile à apprécier à l'échelle d'un dispositif communal de vidéoprotection.
Les élus locaux ne savent donc pas toujours si ce critère doit ou non être retenu dans leur situation. Pouvez-vous nous apporter des précisions sur ce point ?
Enfin, dans un souci de clarté et de sécurité juridique pour les collectivités, j'ai trois questions complémentaires à vous poser.
Envisagez-vous de définir des seuils indicatifs, même non contraignants, portant par exemple sur la population concernée, l'étendue du périmètre filmé ou la durée de conservation des images ?
Entendez-vous mettre à la disposition des communes une grille d'aide à la décision ou une typologie des situations les plus courantes ?
Enfin, prévoyez-vous d'harmoniser les pratiques d'appréciation au sein des préfectures, afin de réduire les disparités actuelles et de sécuriser l'action des élus locaux ?
Mme la présidente. La parole est à M. le ministre délégué.
M. Laurent Panifous, ministre délégué auprès du Premier ministre, chargé des relations avec le Parlement. Monsieur le sénateur Cédric Chevalier, le garde des sceaux m'a confié le soin de vous répondre.
Le règlement général sur la protection des données (RGPD) prévoit dans son considérant 84 que, « lorsque les opérations de traitement sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement devrait assumer la responsabilité d'effectuer une analyse d'impact relative à la protection des données pour évaluer, en particulier, l'origine, la nature, la particularité et la gravité de ce risque ».
L'article 35 du RGPD encadre expressément les exigences en matière d'analyse d'impact. Son paragraphe 3, en son point c, précise ainsi que celle-ci est requise dans le cas d'une « surveillance systématique à grande échelle d'une zone accessible au public ».
Concernant cette notion de « risque élevé à grande échelle », les lignes directrices adoptées en octobre 2017 au niveau européen recommandent de prendre en compte plusieurs facteurs tels que le nombre de personnes concernées, le volume de données, la durée ou la permanence de l'activité de traitement des données ou encore l'étendue géographique de l'activité.
En complément, le considérant 91 du RGPD précise que les opérations de traitement à grande échelle sont celles qui visent « à traiter un volume considérable de données à caractère personnel au niveau régional, national ou supranational, qui peuvent affecter un nombre important de personnes concernées et qui sont susceptibles d'engendrer un risque élevé » pour les droits et libertés de ces dernières.
Cette notion doit s'apprécier au cas par cas. Cela signifie qu'elle ne peut pas faire l'objet d'une interprétation stricte, que ce soit au regard du nombre précis de personnes concernées ou de l'étendue géographique précise. Une appréciation trop rigide risquerait de créer des effets de seuil contraires à l'esprit de ces notions de risque.
En ce qui concerne l'installation de caméras par une commune, la consultation préalable de la préfecture peut être utile afin de savoir si cette dernière a déjà effectué une analyse d'impact sur la protection des données en la matière. Si tel est le cas, la commune concernée pourra utilement s'appuyer dessus.
Par ailleurs, la Commission nationale de l'informatique et des libertés (Cnil), de même que l'association Déclic, qu'elle soutient, met à disposition de nombreuses recommandations sur l'AIPD dans le cadre de son activité d'accompagnement.
- page 138
Page mise à jour le