AgentPublic/cnil huggingface dataset:
Afin d'assurer la cohérence d'ensemble du projet d'arrêté, le ministère s'est engagé à prévoir la suppression de l'alinéa 2 de l'article 2-1 de l'arrêté du 19 mai 1993, qui dispose que les données relatives aux personnes faisant l'objet d'une mesure d'exclusion, qu'elle soit volontaire ou administrative, sont conservées jusqu'à la levée de cette mesure et au maximum pendant une durée de vingt ans . Une fois le fichier transmis, il ne semble en effet pas pertinent de conserver les données à caractère personnel des personnes interdites de jeux dans le fichier des casinos et des salles de jeux géré par le ministère de l'intérieur.
Sur les données à caractère personnel traitées au sein du fichier des interdits de jeux
Bien que le projet d'arrêté prévoie en son article 3 la liste des données à caractère personnel traitées par l'ANJ en fonction, d'une part, de la nature de l'interdiction de jeux prononcée (volontaire, administrative ou judiciaire) et, d'autre part, de la personne sollicitant la mesure pour les interdits dits volontaires , il ne précise pas les catégories de données relatives aux interdits de jeux dits administratifs pouvant être portées à la connaissance de l'ANJ par le ministère de l'intérieur, en application de son article 3.IV.2°. La Commission estime qu'il conviendrait que le projet d'arrêté soit complété sur ce point.
La Commission prend par ailleurs acte des précisions apportées concernant l'absence de traitement de données relatives à la santé des personnes interdites de jeux dans le cadre des entretiens téléphoniques ayant lieu de façon obligatoire lors de la demande d'inscription dans le fichier et, de façon facultative, lors de l'éventuelle levée de la mesure.
Sur la durée de conservation des données à caractère personnel
Le projet d'arrêté prévoit en son article 7 que les données traitées au sein du fichier des interdits de jeux sont conservées durant l'interdiction de jeu et pour une durée de six ans à compter du jour où elle prend fin .
La Commission prend acte à cet égard des précisions apportées dans le cadre de la saisine concernant la durée de six ans ainsi fixée qui a pour objectif de permettre le cas échéant l'application de l'article L. 324-5 du code de la sécurité intérieure et la sanction pénale des opérateurs qui permettent le jeu d'une personne frappée d'une mesure d'interdiction.
Sur les droits des personnes concernées
L'article 9 du projet d'arrêté prévoit que les droits d'opposition, de limitation, d'effacement et de portabilité des personnes concernées ne sont pas applicables dans le cadre du traitement des données du fichier des personnes interdites de jeux.
La Commission constate toutefois que le droit à la limitation du traitement prévu par l'article 18 du RGPD apparaît pouvoir être exercé par les personnes concernées, notamment en application du a de cet article qui prévoit son application lorsque l'exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au responsable du traitement de vérifier l'exactitude des données à caractère personnel . La Commission prend toutefois acte de l'engagement du ministère de modifier le projet d'arrêté de sorte que les personnes inscrites sur le fichier puissent exercer, le cas échéant, leur droit à la limitation du traitement.
La Commission prend acte du fait que les personnes interdites de jeux seront informées de leurs droits, ainsi que de leurs modalités d'exercice, par l'existence d'une page dédiée sur le site web de l'ANJ et ce, quel que soit le motif de leur interdiction.
Les interdits volontaires seront également informés par le formulaire d'inscription et les correspondances avec l'ANJ et à l'occasion de la notification de la décision d'interdiction. Les interdits judiciaires et administratifs seront, quant à eux, également informés par l'ANJ lors de la phase d'inscription par courrier et le cas échéant par courrier électronique.
La Commission souligne à cet égard que l'information ainsi transmise devra être conforme aux prescriptions de l'article 13 du RGPD.
Sur les mesures de sécurité
La Commission prend acte du fait que le téléservice proposé par l'ANJ pour traiter les demandes d'interdiction volontaire suit les recommandations techniques publiées par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) dans sa note technique recommandations pour la sécurisation des sites web .
La Commission prend également acte du fait que les transferts de données aux casinotiers se font en utilisant un outil de création d'archives chiffrées sécurisées approuvé par l'ANSSI et que les modalités de transmissions et de révocation des secrets est satisfaisante. En ce qui concerne la mise à disposition via des serveurs DNS, la Commission recommande comme algorithme de calcul d'empreinte l'utilisation d'un algorithme conforme à l'annexe B1 du référentiel général de sécurité.
La Commission prend acte du fait que les données stockées sont chiffrées avec des algorithmes et des procédures de gestion de clés conformes à l'annexe B1 du référentiel général de sécurité et font l'objet de calculs d'empreintes afin de garantir leur intégrité.
Elle prend également acte de la mise en place d'une sauvegarde régulière, chiffrée avec un outil validé par l'ANSSI et conservée dans une armoire forte.
La Commission prend acte de la mise en place d'une journalisation applicative/système. Elle rappelle que le traitement de ces données a en principe pour seule finalité la détection et la prévention d'opérations illégitimes sur les données principales. La Commission considère comme nécessaire que soient prévues des mesures organisationnelles (par exemple la génération de rapports réguliers et contrôle humain par la hiérarchie des données pour les composantes les plus sensibles du traitement) qui permettent de valoriser ces données et qui contribuent à la détection des comportements anormaux.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Anne DEBET et Christine MAUGÜE, membres ;
Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision no 2020-076C du 7 mai 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par […] ou pour son compte ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 2 octobre 2020 ;
Vu le rapport de Madame Sophie LAMBREMON, commissaire rapporteure, notifié au […] le 30 octobre 2020 ;
Vu les observations écrites versées par […] le 1er décembre 2020 ;
Vu les observations orales formulées lors de la séance de la formation restreinte, le 10 décembre 2020 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte :
- Madame Sophie LAMBREMON, commissaire, entendu en son rapport ;
En qualité de représentants du […] :
- […] ;
- […] ;
[…] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. À la suite du confinement décidé par le Gouvernement au mois de mars 2020, plusieurs articles de presse ont fait état de l’utilisation, par les forces de police (notamment […]) et de gendarmerie (notamment […]), de drones équipés d’une caméra afin de veiller au respect des mesures prises dans ce contexte. L’utilisation de tels drones lui paraissant susceptible de mettre en œuvre des traitements de données à caractère personnel, la présidente de la Commission nationale de l'informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a, par courrier du 23 avril 2020, demandé au […] des précisions quant aux traitements réalisés dans ce cadre.
2. En l’absence de réponse, la présidente de la Commission a, par la décision no 2020-076C du 7 mai 2020, initié une procédure de contrôle à l’encontre du […]. Cette procédure avait pour objet de vérifier le respect, par […], de l’ensemble des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le Règlement " ou " le RGPD "), de la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 " ou " la loi Informatique et Libertés "), de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " la directive police-justice ") et des dispositions prévues aux articles L251-1 et suivants du code de la sécurité intérieure. Dans le cadre de cette procédure, la présidente de la Commission a, le 8 mai 2020, fait parvenir au […], à […], au […] et au […] des questionnaires portant sur l’utilisation de drones afin de faire respecter les mesures de confinement déployées dans le cadre de l’état d’urgence sanitaire. […] a répondu à l’ensemble de ces questionnaires par courrier du 27 mai 2020.
3. Le 9 juillet 2020, une délégation de la CNIL s’est rendue dans les locaux de […] afin de procéder à un contrôle sur place. Ce contrôle a notamment permis à la délégation de contrôle de faire procéder à un vol d’essai d’un drone utilisé par […].
4. Différents échanges sont intervenus par courriel entre […] et la délégation de contrôle entre les mois de juillet et de septembre 2020. Ces échanges concernaient la transmission de documents demandés à l’occasion du contrôle ainsi que de précisions demandées ultérieurement.
5. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 2 octobre 2020, désigné Madame Sophie LAMBREMON en qualité de rapporteure, sur le fondement de l’article 22 de la loi du 6 janvier 1978.
6. À l’issue de son instruction, la rapporteure a, le 30 octobre 2020, fait signifier au […] un rapport détaillant les manquements à la loi Informatique et Libertés qu’elle estimait constitués en l’espèce. La rapporteure proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions de l’article 87 de la loi Informatique et Libertés, ainsi qu’un rappel à l’ordre. Elle proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément […] à l’expiration d’un délai de deux ans à compter de sa publication.
7. Le même jour, […] a été informé que ce dossier était inscrit à l’ordre du jour de la séance de la formation restreinte du 10 décembre 2020.
8. Le 1er décembre 2020, […] a produit des observations.
9. […] et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur l’existence d’un traitement de données à caractère personnel
10. La rapporteure observe que […], […] et […] ont utilisé des drones afin de vérifier le respect des mesures de confinement. Par ailleurs, […] a également utilisé ces dispositifs pour d’autres finalités, telles que des missions de police judiciaire (reconnaissance d’un lieu avant une interpellation, surveillance d’un trafic de stupéfiants), des opérations de maintien de l’ordre (surveillance de manifestations) ou de gestion de crise et des contrôles routiers (surveillance de rodéos urbains).
11. La rapporteure relève que les drones utilisés sont équipés d’une caméra permettant la captation d’images en haute résolution et possédant des capacités de zoom pouvant agrandir l’image entre six et vingt fois.
12. Au regard de ces capacités techniques, la rapporteure considère que l’utilisation de ces drones par […] donne lieu à un traitement de données à caractère personnel dès lors que des personnes sont filmées dans des conditions permettant leur identification.
13. […], quant à lui, a d’abord affirmé en réponse aux questionnaires envoyés par la présidente de la CNIL que le vol des drones ne donnait lieu à aucun traitement de données à caractère personnel, les personnes n’étant pas identifiables. Dans ses observations en réponse au rapport de sanction, il a ensuite considéré que l’incertitude juridique relative à la nature des données traitées démontrait la bonne foi de […], qu’en tout état de cause, le système de floutage mis en œuvre excluait tout traitement de données à caractère personnel, tout en précisant que des considérations techniques empêchaient que ce système de floutage soit exécuté au niveau du drone captant les images et avant toute transmission de celles-ci.
14. La formation restreinte estime que la qualification de traitement de données à caractère personnel s’applique à un système de captation vidéo filmant des personnes pour les raisons suivantes.
15. En premier lieu, sur l’existence d’un traitement de données à caractère personnel, l’article 2 de la loi Informatique et Libertés dispose : " sauf dispositions contraires, dans le cadre de la présente loi s'appliquent les définitions de l'article 4 du règlement (UE) 2016/679 du 27 avril 2016 ".
16. Aux termes de l’article 4 du RGPD, constitue un traitement de données à caractère personnel " toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ". Ce même article définit une donnée à caractère personnel comme " toute information se rapportant à une personne physique identifiée ou identifiable […] ; est réputée être une " personne physique identifiable " une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence […] à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ".
17. Au regard de ces définitions, la formation restreinte relève que tout opération – notamment la captation, la transmission, la modification ou la consultation – portant sur l’image de personnes pouvant être reconnues constitue un traitement de données à caractère personnel.
18. La formation restreinte observe que cette analyse, adoptée de longue date par la CNIL, a été consacrée par la jurisprudence européenne dès 2014 : " l’image d’une personne enregistrée par une caméra constitue une donnée à caractère personnel au sens de la disposition visée au point précédent dans la mesure où elle permet d’identifier la personne concernée " (CJUE, 11 décembre 2014, Ryneš, affaire C-212/13, point 22). Elle a été rappelée très récemment par le Comité européen de la protection des données (ci-après " le CEPD ") dans ses lignes directrices 3/2019 du 29 janvier 2020 sur le traitement des données à caractère personnel par des dispositifs vidéo : " La surveillance systématique et automatisée d’un espace spécifique par des moyens optiques ou audiovisuels, principalement à des fins de protection des biens ou de protection de la vie et de la santé des personnes, est devenue un phénomène important de notre époque. Cette activité entraîne la collecte et la conservation d’informations picturales ou audiovisuelles sur toutes les personnes entrant dans l’espace surveillé qui sont identifiables sur la base de leur apparence ou d’autres éléments spécifiques. L’identité de ces personnes peut être établie sur la base de ces informations ".
19. S’agissant plus spécifiquement des drones équipés d’une caméra, le juge des référés du Conseil d'État a considéré que " le dispositif de surveillance litigieux […] qui consiste à collecter des données, grâce à la captation d’images par drone, à les transmettre, dans certains cas, au centre de commandement de la préfecture de police pour un visionnage en temps réel et à les utiliser pour la réalisation de missions de police administrative constitue un traitement " (Conseil d'État, ordonnance du 18 mai 2020, nos 440442 et 440445). Constatant qu’aucun dispositif n’était mis en place pour empêcher, dans tous les cas, que les informations collectées puissent conduire à rendre les personnes identifiables, cette juridiction conclut que " les données susceptibles d’être collectées par le traitement litigieux doivent être regardées comme revêtant un caractère personnel ".
20. Enfin, dans un avis du 20 septembre 2020 relatif à l’usage de dispositifs aéroportés de captation d’images par les autorités publiques, le Conseil d'État a précisé que " eu égard notamment aux technologies actuellement disponibles et à leur évolution et aux moyens matériels dont disposent les autorités publiques, le Conseil d’État estime que les images de personnes captées au moyen de caméras aéroportées par ces autorités dans le cadre de missions de sécurité publique ou de sécurité civile doivent, en principe, être regardées comme des données personnelles et que, par suite, la collecte et l’utilisation de ces images sont soumises au respect des textes rappelés ci-dessus. Il pourrait toutefois en aller autrement en cas d’emploi dans des conditions particulières excluant l’existence de possibilités raisonnables d’identifier des personnes, ou dans l’hypothèse où seraient mis en œuvre des dispositifs techniques empêchant l’identification " (Conseil d'État, section de l’intérieur, séance du mardi 20 septembre 2020, no 401 214).
21. La formation restreinte rappelle qu’en l’espèce, […], […] et […] ont reconnu avoir utilisé des drones équipés d’une caméra dans le cadre de vérifications du respect des mesures de confinement et, pour […], pour d’autres finalités, notamment judiciaires et de maintien de l’ordre. Ces drones ont volé à une altitude comprise, selon les acteurs, entre 30 et 120 mètres et étaient équipés d’un objectif de 12 millions de pixels pouvant agrandir l’image entre six et vingt fois.
22. La délégation de contrôle, ayant fait réaliser un vol d’essai de drone le 9 juillet 2020, a constaté que les caractéristiques techniques évoquées ci-dessus permettent l’identification des personnes.
23. En second lieu, s’agissant d’un éventuel dispositif de floutage qui pourrait permettre de rendre les personnes concernées non identifiables, la formation restreinte note, tout d’abord, que […], […] et […] ont indiqué, dans leur réponse aux questionnaires envoyés, qu’aucun dispositif de floutage n’avait été mis en place.
24. Elle observe ensuite que […] a ultérieurement indiqué, lors du contrôle réalisé le 9 juillet 2020, qu’un dispositif de floutage était en cours de développement. […] a précisé, durant la séance du 10 décembre 2020, que son déploiement était effectif depuis la fin du mois d’août 2020.
25. En conséquence, la formation restreinte relève, d’une part, qu’un tel dispositif n’était pas mis en œuvre lors des vols évoqués dans les questionnaires envoyés aux services opérationnels, et que des drones équipés d’une caméra ont donc procédé à de nombreux vols sans floutage des images collectées avant le déploiement du mécanisme. Elle considère, d’autre part, que le dispositif décrit durant la présente procédure ne saurait, pour autant, soustraire les images collectées à la règlementation applicable en matière de la protection des données à caractère personnel.
26. En effet, premièrement, le système de floutage évoqué ne s’applique pas aux images captées par la caméra présente sur le drone et transmises au pilote du drone. Si la visualisation d’images non floutées par le pilote du drone s’explique aisément par des impératifs de sécurité (contrôle de l’appareil pendant le temps de vol), ce que la formation restreinte ne remet pas en question, il reste que la captation d’images non floutées par la caméra et leur transmission au pilote constituent des opérations de traitement de données à caractère personnel.
27. Deuxièmement, il résulte des réponses apportées par […] qu’elle a procédé à l’enregistrement d’images non floutées lors de l’utilisation de drones pour les besoins de missions de police judiciaire, ce qui constitue également un traitement de données à caractère personnel.
28. Enfin, et contrairement aux déclarations faites par […] durant la séance, il ressort des pièces communiquées en défense, et plus particulièrement de la note relative au floutage intitulée " Traitement de flux vidéo provenant des drones ", datée du 23 novembre 2020, que les flux floutés peuvent être consultés en clair par les agents de […] : " Le dispositif de floutage étant maîtrisé par la […], il est impossible à la […] d’accéder aux flux non floutés. L’accès aux flux non floutés nécessiterait une modification de la configuration actuellement en œuvre ; seul un ingénieur ayant les droits sur l’ensemble du dispositif peut faire ce travail laborieux. Les ingénieurs ayant ces droits sont placés sous un commandement différent de celui du […]. " La formation restreinte déduit de ce document que, bien que " laborieux ", l’accès à des flux non floutés demeure possible par des personnes placées sous la responsabilité du responsable de traitement. Dès lors, le traitement doit être qualifié de traitement de données à caractère personnel.
B. Sur l’identification du responsable de traitement
29. La formation restreinte souligne que l’ensemble des traitements visés par la présente procédure, ayant pour finalités de s’assurer du respect des mesures de confinement adoptées dans le cadre de l’état d’urgence sanitaire, d’intervenir au profit de missions de police judiciaire, de missions de maintien de l’ordre, ou dans le cadre de la gestion de crise ou de contrôle routier, relèvent de la compétence du […], conformément aux dispositions du décret no 2017-1070 du 24 mai 2017 relatif aux attributions du […], lequel dispose " le […] prépare et met en œuvre la politique du Gouvernement en matière de sécurité intérieure, de libertés publiques, d'administration territoriale de l'État, d'immigration, d'asile et de sécurité routière ".
30. Elle souligne également que les services concernés ([…], […] et […]) agissent tous sous la tutelle du […].
31. […] se considère bien comme le responsable de traitement, ses services centraux ayant d’ailleurs rédigé une instruction de commandement prévoyant le recours aux drones notamment dans le cadre du confinement.
32. Dès lors, la formation restreinte, retient que ce dernier doit être considéré le responsable des traitements concernés par la présente procédure.
C. Sur la loi applicable