B. UN DISPOSITIF RÉGLEMENTAIRE QUASIMENT ACHEVÉ
1. L'ensemble des mesures réglementaires nécessaires à l'application de la loi « JOP » ont été prises
Afin de favoriser la préparation de l'évènement et d'en assurer la déclinaison opérationnelle la plus efficiente, une deuxième loi - après celle du 26 mars 2018 - relative aux jeux Olympiques et Paralympiques a été adoptée par le Parlement le 19 mai 2023. Celle-ci, outre des mesures ayant trait à la lutte contre le dopage, comprend des mesures de trois ordres en matière de sécurité des JOP et, plus largement, des grands événements.
En premier lieu, trois articles concernent l'utilisation des images captées sur la voie publique afin, à titre principal, d'autoriser l'utilisation expérimentale de traitements algorithmiques sur les images de vidéoprotection et des drones, et à titre plus subsidiaire, d'assurer la conformité des dispositions existantes avec les évolutions du Règlement général de protection des données (RGPD) et de permettre aux agents de la RATP et de la SNCF, présents au sein du centre de coordination opérationnelle de la sécurité dans les transports d'Île-de-France (CCOS), de visionner des images prises sur la voie publique dans la mesure où celles-ci concernent les « abords immédiats » de leurs emprises.
Pour mémoire, s'agissant de l'expérimentation de la vididéoprotection dite « intelligente » ou « augmentée », le législateur a permis, à titre expérimental et jusqu'au 30 juin 2025, l'utilisation de traitements algorithmiques sur les images captées par les dispositifs de vidéoprotection et les drones afin de détecter et de signaler, en temps réel, des évènements prédéterminés susceptibles de menacer la sécurité des personnes.
L'expérimentation de la vidéo
surveillance algorithmique :
des modalités strictement
définies par le législateur
Le législateur a, par une série de conditions, strictement encadré les conditions du déploiement de la vidéo surveillance « augmentée » dans l'article 10 de la loi dite « JOP » de 2023. Ainsi :
- la finalité est unique : il s'agit d'assurer la sécurité de manifestations sportives, récréatives ou culturelles qui, par leur ampleur ou leurs circonstances sont particulièrement exposées à des risques d'actes de terrorisme ou d'atteintes graves à l'intégrité des personnes ;
- le périmètre dans lequel ces traitements pourraient être déployés est précisément défini : il s'agirait des lieux accueillant ces manifestations, de leurs abords, des moyens de transport et des voies les desservant ;
- les traitements pouvant être déployés sont qualifiés de « traitements algorithmiques », ayant pour « unique objet de détecter, en temps réel, des événements prédéterminés susceptibles de présenter ou de révéler [les risques susmentionnés] et de les signaler en vue de la mise en oeuvre des mesures nécessaires », à l'exclusion expresse de toute fonctionnalité dite de « reconnaissance faciale » ;
- les acteurs susceptibles de mettre en oeuvre ces traitements sont limitativement énumérés. Il s'agit des services de la police et de la gendarmerie nationales, des services d'incendie et de secours, des services de police municipale et des services internes de sécurité de la SNCF et de la Régie autonome des transports parisiens ;
- des conditions strictes et particulières d'information du public devront être déployées ;
- l'utilisation de ces traitements est limitée à un rôle d'aide à la décision, ces traitements procéderaient exclusivement à un signalement d'attention, strictement limité à l'indication de l'évènement prédéterminé qu'ils ont été programmés pour détecter. Ils ne pourraient ainsi produire aucun autre résultat et ne pourraient fonder aucune décision individuelle ou acte de poursuite par eux-mêmes. Ils seraient placés en permanence sous le contrôle des personnes chargées de leur mise en oeuvre ;
- des modalités d'évaluation particulière par un double collège pluraliste et transpartisan sont prévues ;
- ce dispositif est expérimental et, sauf intervention du législateur, prendra fin le 1er mars 2025.
En deuxième lieu, un article visait à établir, pour l'ensemble de la « plaque parisienne » - soit le périmètre de la région Île-de-France - et pour la seule durée des JOP, une unité unique et centralisée de commandement en matière de sécurité : le préfet de police de Paris.
En troisième lieu, deux articles visaient, de façon à assurer une meilleure sécurisation des grands événements, à élargir la procédure d'enquête administrative dite de « criblage » existante aux personnes chargées de sécuriser les zones de retransmission des JOP et aux intérimaires des entreprises de transports.
En dernier lieu, il a été fait le choix de permettre aux gestionnaires d'enceintes sportives, culturelles, ou récréatives, de s'équiper de scanners corporels à ondes millimétriques en remplacement des palpations de sécurité opérées par les agents de sécurité privée, plus chronophages.
Ces mesures législatives nécessitaient, pour être pleinement applicables, l'édiction de quatre mesures réglementaires13(*).
Entre le 9 août et le 27 novembre 2023 - soit dans un délai de moins de six mois après la promulgation de loi - l'ensemble des mesures d'application ont été prises, deux mesures complémentaires sont venues compléter le dispositif14(*).
Ainsi pour l'application de l'article 9, a été pris, le 27 novembre 2023, le décret n° 2023-1102 portant application des articles L. 251-1 et suivants du code de la sécurité intérieure et relatif à la mise en oeuvre des traitements de données à caractère personnel provenant de systèmes de vidéoprotection et des caméras installées sur des aéronefs. Composé de sept articles, ce décret vise à traduire, en matière réglementaire, les évolutions du cadre juridique relatif à la vidéoprotection modifié par la loi dite « JOP » afin de le mettre en conformité avec le RGPD et la directive (UE) 2016/680 du 27 avril 2016, dite « police-justice ». En outre, ce décret modifie les dispositions relatives aux caméras installées sur des aéronefs pour des missions de police administrative afin de prévoir la compétence du préfet de police dans les départements des Hauts-de-Seine, de la Seine-Saint-Denis et du Val-de-Marne et sur les emprises des aérodromes de Paris-Charles de Gaulle, Paris-Le-Bourget et Paris-Orly.
Compte tenu de la prise en compte par le pouvoir réglementaire de l'ensemble des observations de la CNIL, en particulier s'agissant de l'effectivité des droits à l'information et d'accès aux données à caractère personnel ainsi collectées, les rapporteurs considèrent que ce décret est conforme aux intentions exprimées par le législateur lors de l'examen du projet de loi dit « JOP ».
S'agissant des mesures réglementaires prises en application de l'article 10, les rapporteures constatent que l'ensemble des textes réglementaires nécessaires à l'application des mesures de l'article 10 devant intervenir afin de déployer ces nouvelles technologies ont été prises.
Trois décrets ont successivement été pris à cet égard :
• le décret n° 2023-828 du 28 août 2023 relatif aux modalités de mise en oeuvre des solutions d'IA et cas d'usages :
Ce décret constitue la première phase de l'expérimentation de la vidéoprotection « intelligente » en ce qu'il formalise l'autorisation du recours aux traitements algorithmiques par un décret pris après avis de la commission nationale de l'informatique et des libertés et en précise les conditions afin que l'État développe ou achète les traitements ainsi autorisés.
Son article 3 a fixé huit « évènements prédéterminés ou « cas d'usage » susceptibles d'être détectés par des traitements algorithmiques dans le cadre de cette expérimentation. Il s'agit de :
- présence d'objets abandonnés ;
- présence ou utilisation d'armes, parmi celles mentionnées à l'article R. 311-2 du code de la sécurité intérieure ;
- non-respect par une personne ou un véhicule, du sens de circulation commun ;
- franchissement ou présence d'une personne ou d'un véhicule dans une zone interdite ou sensible ;
- présence d'une personne au sol à la suite d'une chute ;
- mouvement de foule ;
- densité trop importante de personnes ;
- départs de feux.
D'après les informations transmises par la direction des libertés publiques et des affaires juridiques (DLPAJ) et confirmées par la direction des entreprises et partenariats de sécurité et des armes (DEPSA), ils ont été choisis en prenant en compte trois critères :
• le cadre légal : l'article 10 de la loi JOP dispose que les évènements qui peuvent être détectés sont ceux qui sont susceptibles de présenter ou de révéler des risques d'actes de terrorisme ou d'atteintes graves à la sécurité des personnes ;
• les besoins opérationnels : les besoins des services de la police nationale et de la gendarmerie nationale, les services d'incendie et de secours, les services de police municipale et les services internes de sécurité de la SNCF et de la Régie autonome des transports parisiens ont été recensés ;
• les capacités technologiques : l'état de l'art et les capacités des industriels ont été répertoriés afin de ne prévoir dans le décret que des évènements dont la détection est aujourd'hui techniquement possible.
Les rapporteures constatent que l'ensemble de ces cas d'usage sont conformes au cadre légal ainsi qu'aux intentions du législateur émises lors de l'examen de la loi dite « JOP ». Toutefois, cette liste soulève deux remarques.
En premier lieu, auditionnés sur ce point, les services internes de sécurité de la SNCF et de la RATP ont fait part du manque de consultation préalable à l'établissement de ces cas d'usage, ayant abouti, à leurs yeux, à certains choix tantôt impossibles à mettre en oeuvre pratiquement eu égard à l'absence de solution mature sur le marché - il en va ainsi de la détention d'armes - tantôt inadaptées aux besoins opérationnels - à titre d'exemple la détection d'objets abandonnés sans suivi du propriétaire ne correspond pas aux nécessités opérationnelles de ces acteurs.
Ainsi, la SNCF, particulièrement avancée sur le sujet du fait de la conduite, validée par la CNIL, de nombreuses expérimentations en la matière entre 2017 et 2019, a transmis aux rapporteures une cartographie des résultats obtenus (qualité et performance) pour de nombreux cas d'usages des solutions existantes à l'achat et développées par des entreprises françaises ou étrangères spécialisées en la matière.
Cartographie de la performance et de la
qualité des solutions
algorithmiques existantes en fonction des
événements prédéterminés
Source : d'après des documents transmis par
la SNCF
aux rapporteures et anonymisés par la commission.
En second lieu, la préfecture de police de Paris a fait part des difficultés opérationnelles rencontrées à tester « en conditions réelles » le cas d'usage des départs de feu en ce qu'il est particulièrement improbable que sur la seule durée d'un événement remplissant les critères pour permettre le déploiement de l'expérimentation - moins d'une demi-journée - un tel événement se produise ;
• le décret n° 2023-855 du 4 septembre 2023 relatif à la déclaration des intérêts de la personne développant ou fournissant des solutions algorithmiques à l'État ;
• et le décret n° 2023-939 du 11 octobre 2023 relatif aux modalités de pilotage et d'évaluation de l'expérimentation de traitements algorithmiques d'images légalement collectées au moyen de systèmes de vidéoprotection et de caméras installées sur des aéronefs.
Ce décret, pris après avis de la CNIL et du Conseil d'État, a préfiguré le comité dit « Vigouroux » chargé de l'évaluation de cette expérimentation. S'agissant de sa composition, les rapporteures s'interrogent sur l'absence de représentants d'usagers en son sein, mais se félicitent de l'établissement d'un comité indépendant, dont la composition - librement choisie par son président - présente l'ensemble des garanties de nature à permettre une évaluation transparente, objective, constructive et complémentaire à celle émise par la CNIL, dans la perspective du bilan devant être rendu au Parlement avant son terme.
Si l'adoption, conformément aux intentions du législateur, de ces mesures ne peut qu'être saluée par les rapporteures, il n'en demeure pas moins regrettable que le pouvoir réglementaire ait mis plus de trois mois à édicter le décret d'application de l'expérimentation de la vidéoprotection « augmentée » et plusieurs mois encore pour la constitution du « comité Vigouroux »15(*). Cela a retardé la mise en oeuvre effective de ces technologies nouvelles, limitant le temps utile d'expérimentation conféré par le législateur au pouvoir réglementaire pour déployer cette nouvelle technologie afin d'espérer sa pleine opérationnalité pour l'été 2023.
Enfin, une dernière phase a été finalisée par les services du ministère de l'intérieur : l'allotissement des différents lots du marché passé par l'État pour acquérir les traitements algorithmiques nécessaires et déployés par des tiers. Celui-ci a bénéficié, lors des phases de réponses aux appels d'offres et à leur demande, d'un appui de la CNIL.
Ainsi, le déploiement de cette nouvelle technologie a été rendu possible à partir du début du mois de mars 2024, soit près d'un an après la promulgation de la loi dite « JOP », empêchant le déploiement pourtant envisagé d'une telle solution sur les marchés de Noël de l'hiver 2023.
Toutefois, les rapporteures ont pu constater, au cours de leur déplacement à la préfecture de police de Paris, que la première installation effective de la vidéosurveillance « intelligente » avait été opérationnelle le 3 mars 2024 sur le site de l'Accord Arena de Paris Bercy pour la sécurisation du concert de Depeche Mode. La préfecture de police de Paris, forte d'une expérience éprouvée tant en matière de sécurisation de grands évènements que s'agissant de l'utilisation de la vidéosurveillance, a fait le choix de tester quatre cas d'usage, sur un réseau de six caméras en mobilisant des serveurs dédiés pendant deux soirées et après déploiement d'une signalétique spécifique aux abords des installations ainsi surveillées.
S'il semble que les services de la préfecture de police aient un retour d'expérience positif sur trois des cas d'usage testés, les rapporteures considèrent que malgré l'expertise avérée des personnels en la matière, un tel outil nécessitait d'importantes mesures de préfiguration et de réglage afin d'être pleinement efficace. Au surplus, eu égard à la faible ampleur du test ainsi réalisé, il y a, aux yeux des rapporteures, fort à craindre qu'y compris pour la préfecture de police de Paris, une telle solution ne puisse être utilement mise en oeuvre à une échelle pertinente et permettant d'économiser le nombre de forces de sécurité intérieure engagée du fait de l'aide à la décision ainsi mis à leur disposition.
Au surplus, les services de sécurité de la SNCF et de la RATP, éligibles au déploiement de l'expérimentation, ont fait part aux rapporteures de la nécessité de conduire une phase de préfiguration et d'interconnexion de leurs systèmes avec les solutions technologiques retenues par l'État en dehors des « conditions réelles » d'un évènement. Toutefois, il apparaît que le cadre légal applicable ne permet pas, en l'état, de procéder à de tels réglages et tests en amont d'un évènement, étant donné que le déploiement n'est autorisé que pour la durée de l'évènement à sécuriser. Une telle difficulté, combinée au retard pris par le déploiement de l'expérimentation, faisait craindre à ces acteurs une impossibilité à déployer, pour les JOP, mais également d'ici à la fin de l'expérimentation prévue le 1er mars 2025, effectivement et dans des conditions satisfaisantes une solution technologique qu'ils appellent pourtant de leurs voeux.
2. L'adoption et l'actualisation de plusieurs « décrets grands événements » adaptés aux besoins de chaque séquence
En complément, les rapporteures constatent avec satisfaction qu'ont été adoptés plusieurs décrets « grands événements » adaptés aux contraintes opérationnelles propres à chaque type de séquence des JOP et impliquant des mesures de sécurité porteuses de restrictions individuelles et collectives proportionnées à chaque évènement16(*) :
- le 27 octobre 2021, un décret pour désigner les JOP comme « grand évènement » ;
- le 22 décembre 2023, un second décret pour désigner le relais de la Flamme, olympique et paralympique, comme « grand évènement ».
Le cadre applicable aux « grands
évènements » : l'article L. 211-11-1
du
code de la sécurité intérieure
« Sont désignés par décret les grands événements et les grands rassemblements de personnes ayant pour objet d'assister à la retransmission d'événements exposés à un risque d'actes de terrorisme en raison de leur nature et de l'ampleur de leur fréquentation. Ce décret désigne également les établissements et les installations qui les accueillent ainsi que leur organisateur.
« L'accès de toute personne, à un autre titre que celui de spectateur, à tout ou partie des établissements et des installations désignés par le décret mentionné au premier alinéa est soumis, pendant la durée de l'événement ou du rassemblement et de leur préparation, à une autorisation de l'organisateur délivrée sur avis conforme de l'autorité administrative. C
Cette autorité administrative rend son avis à la suite d'une enquête administrative qui peut donner lieu à la consultation, selon les règles propres à chacun d'eux, du bulletin n° 2 du casier judiciaire et de certains traitements automatisés de données à caractère personnel relevant de l'article 31 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, à l'exception des fichiers d'identification. Un avis défavorable ne peut être émis que s'il ressort de l'enquête administrative que le comportement ou les agissements de la personne sont de nature à porter atteinte à la sécurité des personnes, à la sécurité publique ou à la sûreté de l'État ».
De telles mesures réglementaires permettent, par l'utilisation de dispositifs juridiques éprouvés et bien connus des acteurs de la sécurité d'évènements de cette ampleur, de disposer d'une large palette d'outils et de prérogatives afin de sécuriser l'évènement. Ainsi, ils permettent de réaliser des criblages de sécurité à l'égard de toute personne qui accéderait aux sites, à l'exception des spectateurs, pendant toute la durée de l'événement - à savoir la durée des JOP et le temps consacré à sa préparation.
Ce choix est d'autant plus pertinent que ces décrets ont fait, depuis lors, l'objet de plusieurs actualisations tenant compte des évolutions des plans de sécurisation17(*). En effet, si la première version du décret relatif aux JOP ne comportait qu'un site - l'immeuble « PULSE », siège du Cojop -, l'actualisation a permis d'intégrer à la liste les 57 premiers sites de compétition ou d'entraînement pour lesquels les périmètres et périodes soumis à des contrôles d'accès par l'organisateur, résultant des enquêtes de sécurité menées par le SNEAS, étaient connus. Plus précisément, il s'agit de 21 sites de compétition et 36 sites d'entraînement. Cette même actualisation réglementaire a également permis de tirer les conséquences du décret n° 2023-776 précité pris en application de l'article 15 de la loi dite « JOP » qui élargit le champ des personnes susceptibles d'être soumises aux « criblages de sécurité » du SNEAS afin d'y inclure les participants aux compétitions sportives olympiques et paralympiques.
3. Un chantier réglementaire en voie d'achèvement : d'ultimes ajustements qui ne sauraient être retardés
À ce stade, plusieurs mesures réglementaires méritent toutefois d'être prises ou ajustées, sans plus attendre.
Ainsi, les rapporteures appellent, dans le prolongement de la démarche initiée par le ministre de l'intérieur, à la prise rapide des décrets « grands évènements » liés à la sécurisation de la cérémonie d'ouverture des JO et aux « clubs 2024 ».
De façon analogue, certains de ces décrets doivent être ajustés afin de tenir compte des sites d'épreuves itinérantes ou encore des sites d'entraînement olympiques comme paralympiques. Ainsi, près de 80 nouveaux sites identifiés par le ministère de l'intérieur, le Cojop et les collectivités pour les JOP ne sont pas intégrés au décret « grands évènements » des JOP. De façon analogue, des nouveaux sites - en particulier en Nouvelle-Calédonie - du relais de la flamme ont été annoncés et n'ont pas encore donné lieu à une actualisation du décret applicable à cet évènement.
Par ailleurs, les rapporteures ont, au cours de leurs auditions, été alertées sur la probabilité que deux autres décrets - l'un tenant aux clubs 2024, l'autre permettant d'intégrer les fan-zones - soient pris d'ici au mois de juin.
Les rapporteures appellent à leur édiction sans plus tarder, afin de permettre à l'ensemble des acteurs économiques et des particuliers de s'approprier les mesures de sécurisation ainsi édictées et de faciliter l'adhésion à celles-ci, condition de leur mise en oeuvre effective et efficiente.
* 13 Pour l'article 9, il s'agit du décret n° 2023-1102 du 27 novembre 2023. Pour l'article 10, ont été pris les décrets n° 2023-828 du 28 août 2023 et n° 023-855 du 4 septembre 2023. Ce dispositif a été complété par le décret n° 2023-939 du 11 octobre 2023.
* 14 Décrets n° 2023-1388 du 29 décembre 2023 et n° 2024-107 du 14 février 2024 pour l'application de l'article 14.
* 15 Décret du 28 novembre 2023 portant nomination du président du comité d'évaluation de l'expérimentation de traitements algorithmiques d'images légalement collectées au moyen de systèmes de vidéoprotection et de caméras installées sur des aéronefs.
* 16 Décrets n° 2021-1397 du 27 octobre 2021 portant application de l'article L. 211-11-1 du code de la sécurité intérieure aux jeux Olympiques et Paralympiques de 2024 et n° 2023-1243 du 22 décembre 2023 portant application de l'article L. 211-11-1 du code de la sécurité intérieure au relais de la flamme olympique et au relais de la flamme paralympique.
* 17 Décrets n° 2023-1120 du 29 novembre 2023 et n° 2024-239 du 19 mars 2024.