AgentPublic/cnil huggingface dataset:
Les dispositifs d'appel d'urgence permettent, à la suite d’incident ou d’un accident subi par un véhicule, d’être mis en communication de façon manuelle ou automatique avec le centre de secours le plus proche et de lui transférer les informations essentielles sur le véhicule et en particulier sa géolocalisation. Ils contribuent ainsi à la sauvegarde des vies humaines et la sécurisation des voies de circulation. La finalité du traitement est donc de mettre en communication un véhicule avec un centre d'assistance ou de secours et de lui transférer la géolocalisation du véhicule et les éléments techniques disponibles. Les informations ainsi transmises ne doivent être utilisées qu’aux fins de faire venir les secours sur le lieu de l’accident le plus rapidement possible.  
Sur les données collectées :
Les données collectées dans le cadre de la mise en œuvre d’un dispositif de géolocalisation des véhicules par les compagnies d’assurance et les constructeurs automobiles doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles le traitement est mis en œuvre. 
Concernant la géolocalisation
Les trois catégories de dispositifs collectent des données de géolocalisation, mais ce n'est que dans le cas du PAYD qu'il y a une véritable sensibilité en matière de vie privée.
En effet, dans le cas du Tracking et de l'eCall, la géolocalisation, en vue de retrouver ou porter assistance à un véhicule, est effectuée de façon exceptionnelle et ponctuelle à la demande de la personne concernée.
En revanche, pour le PAYD, la géolocalisation, qui n'est que l'accessoire d'un traitement plus complexe, est effectuée de façon permanente pendant tout le temps de la conduite du véhicule. En l’occurrence, elle n'est pas activée par la personne concernée. 
Concernant les autres données collectées dans le cadre du PAYD
Concernant la vitesse, le traitement est susceptible de permettre la constatation d'éventuels dépassements de limitations de vitesse, qui constituent des infractions au code de la route. Or, l'article 9 de la loi du 6 janvier 1978 modifiée en août 2004 énumère limitativement les catégories de personnes autorisées à mettre en œuvre des traitements visant à faire apparaître directement des données relatives aux infractions, au nombre desquels ne figurent pas les compagnies d’assurance et les constructeurs automobiles.
Dès lors, sans faire obstacle aux règles spécifiques actuelles ou à venir, propres aux transports routiers, la Commission rappelle que les infractions éventuelles ne doivent pas être identifiées et que seul le traitement de la vitesse moyenne peut être, le cas échéant, réalisé.
Concernant les autres items collectés, la Commission recommande de ne pas les multiplier et de s'en tenir à des dispositifs simples : la multiplication des données contrôlées serait en effet de nature à engendrer pour les conducteurs un sentiment de pression et de surveillance constante aboutissant à l'inverse du but poursuivi. Elle relève notamment que si la collecte des données relatives à la façon de conduire (par exemple, le recueil des accélérations ou décélérations du véhicule, généralement utilisé pour d’autres finalités comme l’éco-conduite) est possible techniquement, leur traitement afin de les traduire en termes de conduite à risque soulève de difficiles problèmes d'interprétation et de proportionnalité.
Sur la durée de conservation des données de géolocalisation
Les données relatives à la localisation d’un véhicule ne peuvent être conservées que pour une durée pertinente au regard de la finalité du traitement qui a justifié cette géolocalisation. 
La modulation des tarifs d’assurance automobile (PAYD)
Dans la mesure où la collecte systématique associée à la conservation des données relatives à la localisation des véhicules n’apparaît pas proportionnée par rapport au but poursuivi, les données de géolocalisation ne devront être conservées que pendant le temps nécessaire pour caractériser chaque item utile au calcul de la prime d’assurance. En effet, si de telles données devaient être conservées, celles-ci porteraient atteinte à la vie privée des personnes concernées et contreviendraient à la liberté d’aller et venir anonymement.
La lutte contre le vol (Tracking)
La Commission préconise que les données de localisation du véhicule ne remontent qu’à partir de la déclaration de vol et que la conservation de ces données soit ensuite limitée aux strictes nécessités de l’enquête et de l’instruction du dossier par les autorités judiciaires compétentes. Les données à caractère personnel seront en tout état de cause supprimées à la demande de l’assuré ou à la demande de toute personne autorisée par ce dernier, à l’issue d’une procédure de levée de doute n’aboutissant pas à la confirmation du vol du véhicule ou, à défaut, à l’issue de la relation contractuelle. 
L'appel d'urgence (eCall)
Les données de localisation du véhicule ne remontent qu’une fois l’appel déclenché. Ces données doivent ensuite être effacées du traitement à l’issue de leur utilisation à des fins d’assistance ou de secours sous réserve des nécessités résultant de l’application des réglementations et normes en vigueur.
Sur les personnes pouvant avoir accès aux informations :
Sont destinataires des informations, les personnes qui, dans le cadre de leur fonction, peuvent légitimement en avoir connaissance au regard des finalités. Il en est ainsi :
pour la finalité modulation des tarifs d’assurance automobile (PAYD), des personnes habilitées des compagnies d’assurance et/ou de leur prestataire ;
pour la finalité de lutte contre le vol, des agents habilités de la plate-forme de télésurveillance et les autorités judiciaires compétentes ; la Commission estime que les abonnés à ce service – personnes physiques ou morales – ne doivent pas avoir accès aux informations relatives à la localisation de leur véhicule ;
pour la finalité de secours aux personnes (appel d’urgence), du centre d’appel d’urgence, les équipes de secours, les personnes habilitées des compagnies d’assurance et/ou des constructeurs automobiles et les laboratoires d’étude en accidentologie ;
Sur les mesures de sécurité :
Le responsable de traitement doit en tout état de cause prendre toutes les précautions utiles pour préserver la sécurité et la confidentialité des données traitées et pour empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisées puissent en prendre connaissance. 
A cette fin, la Commission invite les compagnies d’assurance et les constructeurs automobiles à faire appel à des prestataires de services dans le cadre de l’utilisation de ces dispositifs de géolocalisation. Ces relations devront, conformément à l’article 35 de la loi 6 janvier 1978 modifiée en août 2004, être encadrées par un contrat comportant des clauses de confidentialité et de sécurité.
En particulier, le responsable de traitement s’assure d’une gestion rigoureuse des contrôles d’accès. Ainsi, la CNIL recommande que les accès aux traitements de données s’effectuent par un identifiant et un mot de passe individuels, régulièrement renouvelés, ou par tout autre moyen d’identification garantissant, a minima, un même niveau de sécurité. 
Le responsable de traitement établit un état journalier des accès afin de pouvoir en assurer le contrôle. Il doit également disposer de moyens humains suffisants et formés. La Commission préconise d’interdire l’extraction locale des données de localisation provenant du boîtier embarqué.
Pour le PAYD et la lutte contre le vol, la Commission recommande que la consultation à distance ou que la transmission des données via un réseau de communications électroniques soit assurée par des protocoles sécurisés (chiffrement des communications) permettant notamment au responsable de traitement de se prémunir contre les risques d’intrusion et contre le détournement de finalité. 
La Commission recommande également de prévoir une certification des procédures et des boîtiers par des experts indépendants.
Plus spécifiquement pour le PAYD, la CNIL préconise que les données soient agrégées si possible directement dans le boitier afin qu’aucune information détaillée ne remonte ni au prestataire ni à l’assureur. A défaut, la CNIL préconise que les données soient agrégées par le prestataire, à charge pour ce dernier d’adresser à l’assureur les données déjà agrégées. 
Sur le consentement et l’information des personnes concernées :
L’article L.34-I-IV du code des postes et des communications électroniques (CPCE) pose le principe du consentement préalable de la personne concernée à l’utilisation de tout service de géolocalisation. Dès lors, les personnes concernées par les dispositifs de géolocalisation doivent manifester individuellement et par écrit leur consentement exprès préalablement à la mise en œuvre du traitement.
A ce titre, la CNIL recommande qu’un document spécifique annexé au contrat ou qu’une clause contractuelle type, insérée audit contrat, indique que la signature du client vaut consentement à la mise en œuvre d’un traitement de géolocalisation.
Cette préconisation s’applique à toutes les finalités y compris aux dispositifs d’appel d’urgence quand bien même tout appel destiné à un service d’urgence vaut consentement de l’utilisateur jusqu'à l’aboutissement de l’opération de secours qu’il déclenche et seulement pour en permettre la réalisation. 
Outre le consentement des automobilistes, une information préalable de ces derniers est obligatoire, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée et à l’article L34-1-IV du CPCE. Les automobilistes doivent être informés individuellement, préalablement la mise en œuvre du traitement :
de la finalité ou des finalités poursuivies par le traitement ;
des catégories de données collectées ;
de la durée de conservation des données de géolocalisation les concernant ;
des destinataires ou catégories de destinataires des données ;
de l’existence d’un droit d’accès, de rectification et d’opposition et de leurs modalités d’exercice ;
le cas échant, des transferts de données à caractère personnel envisagés à destination d’un Etat non membre de l’Union européenne.
A ce titre, la CNIL recommande que l’information des personnes concernées par un dispositif de géolocalisation puisse se faire notamment lors de la conclusion du contrat, via l’ordinateur de bord des véhicules dotés d’un dispositif de géolocalisation, par un signal sonore distinctif, par un voyant sur le tableau de bord du véhicule ou par une mention de rappel apposée sur les factures émises par le responsable de traitement.
La Commission rappelle que chaque automobiliste doit pouvoir avoir accès aux données le concernant en s’adressant au service ou à la personne qui lui aura été préalablement indiquée.
Sur la présence d'un système de désactivation automatique du dispositif de géolocalisation
L’article L. 34-I-IV précité du CPCE dispose que doit être prévue la possibilité pour la personne concernée de retirer ou suspendre à tout moment et gratuitement son consentement à être géolocalisée. En matière de géolocalisation, le retrait du consentement s’effectue généralement par la désactivation du système. 
Cette possibilité doit pouvoir s’exercer, pour les systèmes de lutte contre le vol, via un bouton de désactivation sur le dispositif qui peut être couplé à une demande, auprès de la compagnie d’assurance ou du constructeur automobile, de retrait du dispositif embarqué. 
En revanche, pour le PAYD, la possibilité d'une désactivation est en quelque sorte contradictoire avec le contrat lui-même, puisqu'elle ne permettrait plus de vérifier les engagements du conducteur.
Concernant l’appel d’urgence, la Commission relève que l'installation d'un dispositif de désactivation instantanée a été recommandée dans le cadre du groupe de travail de l'article 29 de la directive du 24 octobre 1995. Cependant, après plusieurs années de mise en œuvre de dispositifs d’appel d’urgence en France, elle a constaté que les risques d’atteinte à la vie privée apparaissent restreints, puisque les données de géolocalisation ne sont collectées et transmises que dans le cas d’une connexion volontaire ou dans celui d’un accident impliquant le déclenchement d’un airbag. De plus, la possibilité d’une désactivation manuelle serait susceptible de créer une insécurité juridique, compte tenu des problèmes de preuves qui se poseraient en cas de dommages subis suite à un accident non suivi d'un appel. C'est pourquoi, la Commission considère que l'implantation d'une désactivation instantanée dans les véhicules équipés d'un système d'appel d'urgence ne peut être imposée, dès l'instant que ce système aura été acquis librement et en toute connaissance de cause par le propriétaire du véhicule, et que celui-ci se sera engagé à  informer les utilisateurs du véhicule ainsi équipé.
La présente délibération sera publiée au Journal officiel de la République française
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la Directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 1er et 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la demande d’autorisation déposée par la société VESALIS de mise en œuvre à titre expérimental d’un traitement de données à caractère personnel ayant pour objet la reconnaissance faciale en temps réel de personnes en environnement non contraint ;
Sur le rapport de M. Dominique RICHARD, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement.
Formule les observations suivantes :
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifié en août 2004, la Commission est saisie par la société VESALIS d’une demande d’autorisation de mise en œuvre à titre expérimental d’un traitement de données à caractère personnel ayant pour objet de tester un dispositif de reconnaissance faciale en temps réel des personnes volontaires dans un stade sportif en environnement « non contraint ».
Les membres de ce consortium sont des partenaires universitaires (laboratoires de recherche GIPSA Lab/DIS, LASMEA, EURECOM, IT-Sud Paris), des industriels (les sociétés VESALIS, EFFIDENCE, IBM, MAYA, SPIE), et des stades sportifs (le Parc des Princes de Paris et le stade Gabriel Montpied de Clermont-Ferrand). La gouvernance du consortium est assurée conjointement avec le ministère de l’Intérieur et le cabinet du Préfet de Police de Paris.
La demande d’autorisation concerne ainsi la mise en œuvre, dans un cadre de recherche applicative, d’un système biométrique de reconnaissance faciale en temps réel en environnement non contraint. A terme, l’application développée pourrait fonctionner sur la base d’analyse d’images provenant de systèmes de vidéosurveillance préexistants.
Sur les finalités poursuivies
La Commission rappelle tout d’abord que de façon générale, les applications de reconnaissance faciale constituent des traitements de données biométriques, que le législateur a entendu soumettre à un contrôle préalable particulier de la Commission, compte tenu du caractère sensible de ce type de données.
La Commission relève que la technologie devant résulter de l’expérimentation est destinée, à terme, à être mise en œuvre à grande échelle à des fins d’identification de personnes à des fins de sécurité publique.
La Commission considère ainsi que la mise en œuvre de systèmes de reconnaissance faciale qui ne nécessiteraient plus la coopération active des personnes concernées voire à leur insu, implique nécessairement l’augmentation très significative des potentialités d’identification et de localisation de personnes physiques, en particulier dans un contexte de fort développement, d’interopérabilité technique des dispositifs de vidéosurveillance de voie publique comme dans les lieux privés.
Elle estime aussi que ce type d’application comporte des risques importants d'atteinte à la vie privée et à la liberté d’aller et venir des personnes qu’il convient d’évaluer précisément.
La Commission rappelle que la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée le 6 août 2004 énonce en son article 1er que l’informatique doit être au service de chaque citoyen et qu’elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques.
La Commission souligne par conséquent que l’autorisation donnée pour la mise en œuvre de ce type de traitement dans un contexte expérimental, au vu des garanties juridiques et des mesures de sécurité techniques, ne préjuge en aucune façon de son appréciation ultérieure de la légitimité et de la proportionnalité de la mise en œuvre, en situation réelle et opérationnelle, de tels dispositifs.
Sur le déroulement de l’expérimentation
L'expérimentation consiste à vérifier si le système de reconnaissance faciale parvient, en exploitant la base de données comportant les données biométriques des personnes volontaires, à les identifier en temps réel parmi une foule de figurants dans un contexte expérimental.
La Commission relève que la durée de l’expérimentation est fixée à 36 mois.
En pratique, les caméras utilisées pour l'expérimentation seront des caméras installées sur site de façon temporaire spécialement à cet effet par les laboratoires, et non, comme cela était initialement prévu, des caméras de vidéosurveillance de dispositifs réels préexistants des stades sportifs partenaires.
Au total, 200 volontaires seront recrutés (sur la base d’un groupe de 50 volontaires tous les 9 mois). Parmi ces volontaires, seulement 10 personnes par groupe seront choisies pour être enrôlées dans la base de données.
Compte tenu du caractère sensible du traitement objet de l’expérimentation, ainsi que des finalités, à terme, poursuivies, la Commission demande à être tenue informée du déroulement de l’expérimentation et à avoir communication des bilans d’étape annuels ainsi que le bilan final détaillé de l’expérimentation. 
Enfin, la Commission souhaite pouvoir, à l’issue des tests, mener une enquête auprès des personnes volontaires afin d’évaluer leur degré d’acceptabilité d’un tel dispositif.
Sur le recueil du consentement exprès des personnes volontaires
La Commission prend acte de ce que toutes les personnes volontaires seront informées de l’objectif poursuivi par cette expérimentation, de leurs droits, de la durée de conservation, ainsi que des coordonnées du responsable de traitement par une mention figurant sur le formulaire de consentement exprès, qu’elles seront amenées à signer pour donner leur accord à leur participation à l’expérimentation Biorafale.
La Commission relève par ailleurs que, les volontaires dont les données biométriques seront collectées et conservées en base de données signeront un formulaire spécifique à la collecte et au traitement de leurs données biométriques. Ces formulaires ne comporteront, hormis la signature manuscrite de la personne concernée, aucune autre donnée directement identifiante.
Sur la collecte de données biométriques
La collecte de données biométriques s’effectuera hors match, dans des conditions de laboratoire, à Clermont-Ferrand et à Paris. Au cours de cette phase, jusqu’à cinq photographies du visage de chaque personne, prises sous différents angles, pourront être ainsi collectées. Des gabarits biométriques seront ensuite calculés à partir de ces photographies. 
Ces gabarits ainsi que l’image du visage des personnes enrôlées seront enregistrés dans l’une des deux bases de données distinctes qui seront constituées (une par stade participant à l’expérimentation) et hébergées sur un serveur sécurisé. Ces données seront conservées pendant 9 mois à compter de leur enregistrement.
Un numéro identifiant non signifiant constitué de 20 chiffres sera communiqué à chaque personne enrôlée par remise sur place en main propre ou par courrier électronique. Chaque personne concernée sera la seule à connaître son identifiant. Elle pourra notamment l’utiliser à des fins de mise à jour de ses données.
Sur les destinataires habilités à accéder aux données biométriques
La Commission relève que seront seuls habilités à accéder aux données les responsables de chaque laboratoire (LASMEA, GIPSA-LAB et EURECOM) et le responsable du projet VESALIS, qui signeront un engagement spécifique de confidentialité.
Sur les mesures de sécurité
La Commission estime que les mesures de sécurité et de confidentialité mises en œuvre par la société VESALIS dans le cadre de l’expérimentation peuvent être considérées satisfaisantes.
Elles comportent notamment le chiffrement des données du serveur de traitement, la sécurisation de leur transmission par un canal sécurisé, ainsi qu’un registre mentionnant les enregistrements réalisés et la date de destruction des images tenu par le responsable du projet.
Dans ces conditions, la Commission autorise la société VESALIS, à mettre en œuvre le traitement de données à caractère personnel à titre expérimental pour une durée de 36 mois à compter de la présente délibération. 
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, et notamment son article 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Emmanuel de Givry, Vice-président délégué et les observations de  Mme Elisabeth Rolin, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société Cofiroute à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la constatation et le suivi des infractions au péage, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
La société Cofiroute
Finalités
Le dispositif présenté concerne la lutte contre la fraude au péage à partir des constats sur place ou à distance grâce aux images vidéos et aux photographies ainsi que dans les cas des clients sans moyen de paiement. Il permet la constatation et le suivi des infractions au péage commises par les clients de Cofiroute, infractions prévues à l’article R. 421-9 du code de la route, commises par un conducteur soit refusant d'acquitter le montant du péage soit décidant de se soustraire d'une manière quelconque à ce paiement et passible de ce fait de l'amende prévue pour les contraventions de la deuxième classe.
Caractéristiques particulières du traitement