AgentPublic/cnil huggingface dataset:
Peuvent être destinataires de tout ou partie des données et informations enregistrées dans les traitements, chacun dans la limite de leurs attributions respectives et sous réserve du besoin d’en connaître dans le cadre d’une procédure judiciaire, administrative ou disciplinaire, ainsi que d’une action de formation : les officiers et agents de police judiciaire de la police et de la gendarmerie nationales, les agents des services d’inspection générale de l’État, le maire et le président de l’établissement public de coopération intercommunale et les agents chargés de la formation des personnels. Ces destinataires n’appellent pas d’observation particulière.
Par ailleurs, sont habilités à accéder aux données, dans la limite de leurs attributions respectives, le responsable du service de la police municipale, d’une part, et les agents de police municipale individuellement désignés et habilités par le responsable du service, d’autre part. Seules ces mêmes personnes sont habilitées à procéder à des extractions des données et informations, dans un cadre légal précis (procédure judiciaire, disciplinaire ou administrative ouverte) ou pour les besoins d’une action de formation ou de pédagogie des agents. La Commission considère que cet accès doit, au même titre que ce qui est prévu pour les destinataires, être subordonné au strict respect du besoin d’en connaître . A cet égard, elle prend acte de l’engagement du ministère de compléter le projet de décret en ce sens.
Sur l’information et les droits des personnes concernées
S’agissant de l’information des personnes concernées, l’article L. 241-2 du CSI prévoit que les caméras sont portées de façon apparente par les agents et qu’un signal visuel spécifique indique si la caméra enregistre. Il prévoit également que le déclenchement de l’enregistrement fait l’objet d’une information des personnes filmées,  sauf si les circonstances l’interdisent .
A cet égard, le ministère de l’intérieur estime que le critère posé par l’article L. 241-2 du CSI apparaît suffisamment strict pour limiter les hypothèses dans lesquelles l’enregistrement est réalisé sans que la personne concernée ait été informée, faisant valoir que d’autres garanties sont par ailleurs prévues par le texte (caméra portée de manière visible et signal visuel spécifique). La Commission prend acte que, dans ces conditions, il ne pourra être procédé à un enregistrement à l’insu de la personne concernée. Elle estime toutefois que, si certaines circonstances interdisent d’informer immédiatement les personnes concernées du déclenchement de l’enregistrement, les dispositions précitées ne dispensent pas les agents de délivrer cette information de manière différée, dès que ces circonstances ont cessé et, au plus tard, au terme de l’intervention. La Commission considère en effet qu’une telle information doit permettre aux personnes concernées d’exercer leurs droits.
L’article L 241-2 du CSI prévoit également qu’une information générale du public sur l’emploi des caméras individuelles est organisée par le ministre de l’intérieur. Le projet de décret précise que cette information est délivrée sur le site internet de la commune ou, à défaut, par voie d’affichage en mairie.
Le projet de décret dispose que les personnes concernées peuvent exercer leurs droits d’information, d'accès et d'effacement directement auprès du maire, ou de l’ensemble des maires des communes concernées lorsque le traitement est mis en œuvre par un établissement public de coopération intercommunale. A cet égard, la Commission prend acte que la rédaction adoptée n’a pas pour objet d’imposer à la personne qui souhaiterait exercer ses droits, dans l’hypothèse d’un traitement mis en œuvre par un EPCI, de saisir individuellement chaque maire de l’ensemble des communes concernées. En effet, une telle exigence alourdirait de manière significative la démarche que constitue l’exercice des droits, produisant un effet dissuasif pour les personnes concernées. De plus, elle ne serait pas de nature à faciliter la prise en compte dans un délai de deux mois du droit exercé auprès d’un EPCI composé d’un nombre important de communes. Ainsi, la personne qui souhaiterait exercer ses droits pourra le faire auprès de chacun des maires des communes de l’EPCI.
Le projet de décret prévoit qu’afin d’éviter de gêner des enquêtes, des recherches et des procédures administratives ou judiciaires, et d’éviter de nuire à la prévention ou à la détection d’infractions pénales, aux enquêtes ou aux poursuites en la matière, des restrictions à l’exercice des droits d’accès et d’effacement soient possibles et ce, dans les conditions des 2° et 3° du II et du III de l’article 70-21 de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, ces droits s’exercent de manière indirecte auprès de la CNIL dans les conditions prévues à l’article 70-22 de la loi susmentionnée.
De manière générale, la Commission relève que le périmètre générique de ces restrictions, qui reprend in extenso les dispositions susmentionnées, apparaît particulièrement large, sans que des précisions suffisantes n’aient été apportées sur la possibilité, en l’espèce, de mobiliser ces dispositions. Elle rappelle, en tout état de cause, que les restrictions aux droits prévus par les actes instaurant les traitements, si elles sont nécessaires, doivent être précisément justifiées au regard des finalités poursuivies par chaque traitement.
La Commission relève en outre que le projet de décret n’indique pas les conditions dans lesquelles il sera procédé à la limitation du traitement, dans les hypothèses prévues au III de l’article 70-20 de la loi Informatique et Libertés . Elle estime que le projet de décret pourrait être complété en ce sens.
Enfin, le projet de décret précise qu’en application de l’article 38 de la loi du
6 janvier 1978 modifiée, le droit d’opposition n’a pas vocation à s’appliquer aux traitements projetés.
La Commission rappelle que, si les dispositions de la directive 2016/680 du
27 avril 2016 susvisée telles que transposées en droit interne ne mentionnent pas la possibilité pour les personnes concernées de s’opposer au traitement mis en œuvre, les Etats membres conservent, en tout état de cause, la possibilité de prévoir des garanties plus étendues que celles établies dans ladite directive pour la protection des droits et des libertés des personnes concernées à l’égard du traitement des données à caractère personnel par les autorités compétentes.
Dans ce contexte, elle considère que l’article 38 susmentionné, qui n’a pas été abrogé par la loi relative à la protection des données personnelles et dont l’application aux traitements relevant de la directive précitée n’est pas davantage exclue par les dispositions des articles 70-1 et suivants de la loi Informatique et Libertés , a également vocation à s’appliquer aux traitements relevant du champ d’application de cette directive. Elle relève à cet égard que cet article 38 prévoit la possibilité d’écarter le droit d’opposition lorsque le traitement répond à une obligation légale ou lorsqu’une disposition expresse de l’acte réglementaire autorisant le traitement l’exclut.
En l’espèce, la Commission considère que l’exclusion du droit d’opposition telle que prévue par le projet de décret est proportionnée au regard des finalités poursuivies par les traitements projetés. Compte tenu de ce qui précède, elle estime que la limitation apportée à l’exercice du droit d’opposition s’inscrit dans le cadre des dispositions du droit national relatives à la protection des données à caractère personnel et n’est pas de nature à porter une atteinte excessive aux droits et libertés des personnes concernées.
Sur les mesures de sécurité 
L’article L. 241-2 du CSI prévoit que les personnels auxquels les caméras individuelles sont fournies ne peuvent avoir accès directement aux enregistrements auxquels ils procèdent. Le projet de décret précise que les données enregistrées par les caméras individuelles sont transférées sur un support informatique sécurisé dès le retour des agents au service. Il ajoute que les enregistrements ne peuvent être consultés qu’à l’issue de l’intervention et après leur transfert sur le support informatique sécurisé. Aucun système de transmission permettant de visionner les images à distance en temps réel ne peut être mis en œuvre.
La Commission estime que ces interdictions de principe doivent être accompagnées de mesures techniques de nature à garantir l’absence de consultation des enregistrements par les agents. En outre, il pourrait être envisagé des mesures opérationnelles garantissant que les enregistrements, une fois transférés sur un serveur dédié, ne soient visionnés que dans un cadre légal précis (procédure judiciaire, disciplinaire ou administrative ouverte).
Concernant les contrôles d’accès aux données, la Commission rappelle que l’authentification des personnes habilitées à accéder aux données traitées doit être conforme à sa doctrine, précisée dans la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
Elle recommande également que la gestion des habilitations des utilisateurs et des administrateurs du traitement fasse l’objet d’une procédure formalisée, validée par le responsable de traitement et portée à la connaissance des utilisateurs.
Le projet de décret prévoit que chaque opération de consultation, d’extraction et d’effacement de données fait l’objet d’un enregistrement dans le traitement ou, à défaut, d’une consignation dans un registre spécialement ouvert à cet effet qui comporte les matricule, nom, prénom et grade de l’agent procédant à l’opération, la date et l’heure de l’opération, ainsi que le motif judiciaire, administratif, disciplinaire ou pédagogique, le service ou l’unité destinataire des données et l’identification des enregistrements audiovisuels extraits et de la caméras dont ils sont issues. En l’absence de toute précision sur ce point, la Commission rappelle que le registre doit être conservé dans des conditions de nature à garantir l’intégrité des données et qui ne sauraient être laissées à la disposition des agents concernés.
En tout état de cause, elle recommande qu’une journalisation automatique soit intégrée au logiciel de gestion des enregistrements et que les traces soient analysées régulièrement.
En l’absence de précisions concernant l’architecture de journalisation, la Commission ne peut que rappeler qu’il convient de centraliser localement les journaux d’événements horodatés sur la base d’une source de temps fiable et exportés de manière sécurisée, et d’assurer la sécurité des équipements de journalisation et des informations journalisées.
Le projet de décret prévoit que les traces sont conservées pendant trois ans. A cet égard, la Commission s’interroge sur la pertinence de conserver les traces des opérations de consultation, d’extraction et d’effacement pendant une telle durée alors même que les données qui font l’objet de ces opérations sont elles-mêmes effacées au bout de six mois, hors le cas où elles sont utilisées dans le cadre d’une procédure judiciaire, administrative ou disciplinaire.
La Commission relève que différents types de matériels existent qui ne prévoient pas systématiquement le chiffrement des données stockées sur la carte mémoire présente dans la caméra, ce qui pourrait permettre un visionnage des séquences vidéo par un tiers, en cas de vol du matériel. Dès lors, la Commission considère que les responsables de traitement devraient privilégier le recours à des caméras disposant d’une mémoire inamovible, faisant l’objet d’un chiffrement réel et non d’une simple obfuscation, et dont l’accès soit réservé au logiciel de gestion des enregistrements.
En outre, une solution intégrée devrait être mise en œuvre afin d’assurer la sécurité des enregistrements depuis le déchargement de la caméra jusqu’à leur exploitation dans le cadre de procédures judiciaires, administratives ou disciplinaires. Il conviendrait notamment que les enregistrements soient conservés unitairement chiffrés, signés et horodatés sur le serveur de stockage, et que ce dernier fasse l’objet de mesures de sauvegarde.
Enfin, il est prévu que les responsables de traitement adressent un dossier technique à la Commission à l’occasion de la réalisation de leur engagement de conformité à l’acte réglementaire unique prévu par le présent projet de décret. A cet égard, la Commission considère qu’un tel dossier permet de documenter la conformité des traitements au cas par cas en précisant les mesures techniques adoptées en fonction du type de dispositif choisi, s’inscrivant ainsi dans la logique de responsabilisation portée par le Paquet européen sur la protection des données . Ceci étant, elle estime qu’il n’est pas nécessaire que ce dossier technique lui soit transmis à l’occasion de l’engagement de conformité et que celui-ci pourrait être simplement tenu à sa disposition par chaque responsable de traitement.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le ministère de l’intérieur pour les dispositifs mis en œuvre par les communes au bénéfice des agents de police municipale semblent conformes à l’exigence de sécurité prévue par l’article 70-13 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation implique la mise à jour de l’analyse d’impact, ainsi que des mesures de sécurité au regard de la réévaluation régulière des risques.
 
La Présidente
 
 
 
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 13 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 3 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ;
 
Après avoir procédé au vote, en présence de Mme Nacima BELKACEM, commissaire du Gouvernement,
Constate :
 
Article 1
Mme Sophie LAMBREMON est élue vice-présidente déléguée de la Commission.
 
Article 2
Le bureau de la Commission nationale de l'informatique et des libertés est ainsi composé de Mme Marie-Laure DENIS, présidente de la Commission, Mme Sophie LAMBREMON, vice-présidente déléguée, et de M. Eric PERES, vice-président.
 
Article 3
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 13 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 70 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ;
 
Après avoir procédé au vote, en présence de Mme Nacima BELKACEM, commissaire du Gouvernement,
Constate :
 
Article 1
M. Philippe-Pierre CABOURDIN, Mme Anne DEBET, Mme Sylvie LEMMET, M. Alexandre LINDEN et Mme Christine MAUGÜE sont élus membres de la formation restreinte de la commission.
 
Article 2
M. Alexandre LINDEN est élu président de la formation restreinte de la commission.
 
Article 3
M. Philippe-Pierre CABOURDIN est élu vice-président de la formation restreinte de la commission.
 
Article 4
La formation restreinte de la commission est ainsi composée de :
M. Alexandre LINDEN, président.
M. Philippe-Pierre CABOURDIN, vice-président.
Mme Anne DEBET.
M. Philippe GOSSELIN.
Mme Sylvie LEMMET.
Mme Christine MAUGÜE.
 
Article 5
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2004-575 du 21 juin 2004 modifiée pour la confiance dans l'économie numérique, notamment son article 6-1 ;
Vu le décret n° 2015-125 du 5 février 2015 relatif au blocage des sites provoquant à des actes de terrorisme ou en faisant l'apologie et des sites diffusant des images et représentations de mineurs à caractère pornographique, notamment son article 5 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ;
 
Après avoir procédé au vote, en présence de Mme Nacima BELKACEM, commissaire du Gouvernement,
Constate :
 
Article 1 En savoir plus sur cet article...
M. Alexandre LINDEN est désigné comme personnalité qualifiée mentionnée au troisième alinéa de l'article 6-1 de la loi du 21 juin 2004 susvisée.
 
Article 2
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, notamment son article 35 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2018-327 du 11 octobre 2018 portant adoption de la liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise ;
Vu les lignes directrices du Comité européen de la protection des données concernant l'analyse d'impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est susceptible d'engendrer un risque élevé aux fins du règlement (UE) 2016/679 adoptées le 4 avril 2017 ;
Vu l'avis 9/2018 du Comité européen de la protection des données relatif au projet de liste de l'autorité de contrôle française portant sur les types d'opération de traitements pour lesquelles une analyse d'impact relative à la protection des données (article 35.4 du RGPD), adopté le 25 septembre 2018 ;
 
Après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Décide :
De modifier l'annexe de la délibération n° 2018-327 du 11 octobre 2018, dans la rubrique Traitement de données biométriques aux fins de reconnaissance des personnes parmi lesquelles figurent des personnes dites vulnérables (élèves, personnes âgées, patients, demandeurs d'asile, etc.) en remplaçant, les mots : aux fins de reconnaissance des personnes par la formulation : aux fins d'identifier une personne physique de manière unique .
La présente délibération sera publiée au Journal officiel de la République française.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la Directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 16 ;
Vu le décret du 31 janvier 2019 portant nomination de la présidente de la Commission nationale de l'informatique et des libertés - Mme DENIS (Marie-Laure) ;
Vu la délibération n° 2019-014 du 21 février 2019 portant élection du vice-président délégué de la Commission nationale de l'informatique et des libertés ;
 
Après avoir entendu Mme Marie-Laure DENIS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Décide :
 
Article 1
En application de l' article 16 de la loi du 6 janvier 1978 susvisée, il est donné délégation au bureau de la Commission nationale de l'informatique et des libertés à l'effet d'exercer l'attribution mentionnée au dernier alinéa de l'article 19 de la même loi.
 
Article 2
La délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés est abrogée.
 
Article 3
Le président de la Commission est chargé de l'exécution de la présente délibération, qui sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés modifiée, notamment son article 15 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 34 ;
Vu le décret du 31 janvier 2019 portant nomination de la présidente de la Commission nationale de l'informatique et des libertés - Mme DENIS (Marie-Laure) ;
Vu la délibération n° 2019-014 du 21 février 2019 portant élection du vice-président délégué de la Commission nationale de l'informatique et des libertés ;
 
Après avoir entendu Mme Marie-Laure DENIS, présidente, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Décide :
 
Article 1 En savoir plus sur cet article...
I. - En application de l' article 15 de la loi du 6 janvier 1978 susvisée, il est donné délégation à la présidente de la Commission nationale de l'informatique et des libertés et à la vice-présidente déléguée à l'effet d'exercer les attributions mentionnées aux articles suivants de la même loi :
- aux e et f du 2° de l'article 11 ;
- au c du 2° de l'article 11 ;
- au d du 4° de l'article 11 ;
- aux articles 41, 42 et 70-22 ;
- aux articles 54, 62 et 64.
II. - En application de l' article 15 de la loi du 6 janvier 1978 susvisée, il est également donné délégation à la présidente de la Commission nationale de l'informatique et des libertés et à la vice-présidente déléguée à l'effet d'exercer les attributions mentionnées aux dispositions suivantes du règlement (UE) 2016/679 du 27 avril 2016 susvisé :
- au 4 de l'article 34, pour les seules décisions donnant acte du respect des conditions mentionnées au 3 du même article 34 ;
- aux a et h du 3 de l'article 58.
 
Article 2 En savoir plus sur cet article...
La Commission reste toutefois compétente pour adopter, à l'initiative de la présidente ou de la vice-présidente déléguée, ceux des référentiels, règlements types et méthodologies de référence mentionnés aux articles 54 et 62 de la loi du 6 janvier 1978 susvisée, ainsi que celles des autorisations mentionnées aux articles 54 et 64 de la même loi, qui présentent des difficultés ou une complexité particulières.
Elle reste également compétente pour adopter, à l'initiative de la présidente ou de la vice-présidente déléguée, ceux des décisions, avis et autorisations mentionnés aux dispositions précitées du règlement (UE) 2016/679 du 27 avril 2016 susvisé qui présentent des difficultés ou une complexité particulières.
 
Article 3
La délibération n° 2014-073 du 4 février 2014 portant délégation de pouvoirs de la Commission nationale de l'informatique et des libertés à sa présidente et à son vice-président délégué est abrogée.
 
Article 4
La présidente de la Commission est chargée de l'exécution de la présente délibération, qui sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis