AgentPublic/cnil huggingface dataset:
35. Cette durée de conservation, supérieure aux durées communément admises par la Commission dans le cadre de la mise en œuvre de dispositifs de vidéosurveillance, doit permettre de tenir compte des délais moyens de traitement des procédures judiciaires, administratives ou disciplinaires. A cet égard, la Commission relève que la durée de conservation est une durée fixe et non une durée maximale. Il en résulte que les données traitées ne sauraient être supprimées avant le terme de ce délai, au risque de priver les personnes concernées de la possibilité d’accéder aux données qui les concernent et donc de les faire valoir, le cas échéant, dans le cadre d’une procédure.
36. L’article 7 du projet de décret précise qu’au terme de ce délai les enregistrements font l’objet d’une purge automatique, et que lorsque les données ont été extraites et transmises pour les besoins d’une procédure, elles sont conservées selon les règles propres à chaque type de procédure.
37. La Commission considère que les données collectées sont conservées pendant une durée qui n’excède pas la durée nécessaire compte tenu des finalités pour lesquelles elles sont collectées et traitées, conformément à l’article 5-1-e) du RGPD.
Sur les destinataires des données
38. L’article 6-I du projet de décret prévoit que sont habilités à accéder aux données, dans la limite de leurs attributions respectives et de leur besoin d’en connaître : le directeur et le directeur adjoint du service d’incendie et de secours, le commandant et le commandant en second de la brigade des sapeurs-pompiers de Paris, le commandant et le commandant en second du bataillon de marins-pompiers de Marseille, d’une part, et les agents individuellement désignés et habilités par les autorités précitées, d’autre part. Seules ces mêmes personnes sont habilitées à procéder à des extractions des données et informations, dans un cadre légal précis (procédure judiciaire, disciplinaire ou administrative ouverte) ou pour les besoins d’une action de formation ou de pédagogie des agents.
39. Par ailleurs, l’article 6-II du projet de décret prévoit que peuvent être destinataires de tout ou partie des données et informations enregistrées dans les traitements, chacun dans la limite de leurs attributions respectives et sous réserve du besoin d’en connaître dans le cadre d’une procédure judiciaire, administrative ou disciplinaire, ainsi que d’une action de formation : les officiers et agents de police judiciaire de la police et de la gendarmerie nationales, les inspecteurs et inspecteurs associés de l’inspection générale de la sécurité civile, l’autorité de gestion exerçant le pouvoir disciplinaire ainsi que les agents en charge de l’instruction des dossiers présentés à ces instances et les agents chargés de la formation des personnels.
40. Ces catégories de personnes habilitées et de destinataires n’appellent pas d’observation particulière.
Sur l’information et les droits des personnes concernées
41. S’agissant de l’information des personnes concernées, l’article 1 de la loi du 3 août 2018 prévoit que les caméras sont portées de façon apparente par les agents et qu’un signal visuel spécifique indique si la caméra enregistre. Il prévoit également que le déclenchement de l’enregistrement fait l’objet d’une information des personnes filmées,  sauf si les circonstances l’interdisent .
42. Au regard de ces garanties, la Commission considère qu’il ne pourra être procédé à un enregistrement à l’insu de la personne concernée. Elle estime toutefois que, si certaines circonstances interdisent d’informer immédiatement les personnes concernées du déclenchement de l’enregistrement, les dispositions précitées ne dispensent pas les agents de délivrer cette information de manière différée, dès que ces circonstances ont cessé et, au plus tard, au terme de l’intervention. Elle rappelle qu’une telle information doit permettre aux personnes concernées d’exercer, effectivement, leurs droits.
43. L’article 1er de la loi du 3 août 2018 prévoit également qu’une information générale du public sur l’emploi des caméras individuelles est organisée par le ministre de l’intérieur. L’article 9-I du projet de décret précise que cette information est délivrée sur le site internet du service d’incendie et de secours ou, à défaut, par voie d’affichage dans le service.
44. S’agissant des droits d’information et d'accès, l’article 9-III du projet de décret prévoit que les personnes concernées peuvent les exercer directement auprès de l’autorité de gestion du service d’incendie et de secours territorialement compétent. Il prévoit en outre qu’afin de garantir la sécurité publique, la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces et la protection des droits et libertés d’autrui, le droit d’accès peut faire l’objet de limitations en application du 1 de l’article 23 du RGPD. En cas de limitations, le droit d’accès s’exerce auprès de la CNIL.
45. De manière générale, la Commission relève que le périmètre générique de ces limitations, qui reprennent les dispositions c), d) et i) du 1 de l’article 23 du RGPD, apparaît particulièrement large, sans que des précisions n’aient été apportées sur la possibilité, en l’espèce, de mobiliser ces dispositions. En l’absence de telles précisions, elle estime ne pas être en mesure d’apprécier le caractère nécessaire et proportionné d’une telle mesure.
46. La Commission rappelle par ailleurs que, dans l’hypothèse où le ministère entendrait effectivement limiter la portée du droit d’accès, il lui reviendrait notamment de justifier de l’étendue de la limitation introduite conformément aux dispositions de l’article 23-2-c) du RGPD. En l’espèce, la Commission s’interroge sur l’opportunité de prévoir l’exercice d’un droit d’accès avec limitations. En particulier, elle relève qu’en cas de limitations, l’effectivité réelle du droit d’accès aux données ne pourra être garantie pour toutes les personnes susceptibles d’être concernées par les traitements en cause (personnes filmées, personnes tierces à l’intervention mais susceptibles d’apparaître dans les enregistrements et agents publics) au regard de la durée de conservation des données (six mois sauf engagement d’une procédure judiciaire, administrative ou disciplinaire) et du caractère non centralisé de ces traitements.
47. S’agissant du droit à la limitation du traitement, la Commission relève que l’AIPD unique transmise indique que celui-ci est garanti par l’article 7 du projet décret qui prévoit que, lorsque les données ont, dans le délai de conservation de six mois, été extraites et transmises pour les besoins d’une procédure judiciaire, administrative ou disciplinaire, elles sont conservées selon les règles propres à chacune des procédures par l’autorité qui en a la charge.
48. La Commission considère que l’objet de cette disposition est à distinguer de celui de l’article 18 du RGPD dont le périmètre est plus large. En tout état de cause, elle rappelle que l’existence du droit de demander la limitation du traitement doit être porté à la connaissance des personnes concernées, conformément aux dispositions de l’article 13-2°-b) du RGPD. Elle demande dès lors que le projet de décret soit complété sur ce point et fasse expressément mention de l’existence de ce droit.
49. La Commission relève que, s’agissant du droit d’opposition, le projet de décret précise qu’en application de l’article 23 du RGPD et de l’article 38 de la loi du 6 janvier 1978 modifiée, celui-ci n’a pas vocation à s’appliquer aux traitements projetés.
50. Enfin, elle prend acte que les droits à l’effacement et à la portabilité des personnes concernées ne s’appliquent pas en l’espèce ce qui, au regard des dispositions des articles 17-3-b) et 20-3 du RGPD, n’appelle pas d’observation particulière. La Commission prend également acte des précisions apportées selon lesquelles l’exercice du droit de rectification ne pourra, en l’occurrence, être mis en œuvre.
Sur les mesures de sécurité
51. L’article 1er de la loi du 3 août 2018 prévoit que les personnels auxquels les caméras individuelles sont fournies ne peuvent avoir accès directement aux enregistrements auxquels ils procèdent. L’article 5 du projet de décret précise que les données enregistrées par les caméras individuelles sont transférées sur un support informatique sécurisé dès le retour des agents au service. Cet article ajoute que les enregistrements ne peuvent être consultés qu’à l’issue de l’intervention et après leur transfert sur un support informatique sécurisé. Aucun système de transmission permettant de visionner les images à distance en temps réel ne peut être mis en œuvre.
52. La Commission estime que ces interdictions de principe doivent être accompagnées de mesures techniques de nature à garantir l’absence de consultation des enregistrements par les agents. En outre, il pourrait être envisagé des mesures opérationnelles garantissant que les enregistrements, une fois transférés sur un serveur dédié, ne soient visionnés que dans un cadre légal précis (procédure judiciaire, disciplinaire ou administrative ouverte).
53. Concernant les contrôles d’accès aux données, la Commission rappelle que l’authentification des personnes habilitées à accéder aux données traitées doit être conforme à sa doctrine, précisée dans la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
54. La Commission recommande également que la gestion des habilitations des utilisateurs et des administrateurs du traitement fasse l’objet d’une procédure formalisée, validée par le responsable de traitement et portée à la connaissance des utilisateurs.
55. L’article 8 du projet de décret prévoit que chaque opération de consultation, d’extraction et d’effacement de données fait l’objet d’un enregistrement dans le traitement ou, à défaut, d’une consignation dans un registre spécialement ouvert à cet effet qui comporte les matricule, nom, prénom et grade de l’agent procédant à l’opération, la date et l’heure de l’opération, ainsi que le motif judiciaire, administratif, disciplinaire ou pédagogique, le service ou l’unité destinataire des données et l’identification des enregistrements audiovisuels extraits et de la caméra dont ils sont issus. En l’absence de toute précision sur ce point, la Commission rappelle que le registre doit être conservé dans des conditions de nature à garantir l’intégrité des données et qu’il ne saurait être laissé à la disposition des agents concernés.
56. En tout état de cause, elle recommande qu’une journalisation automatique soit intégrée au logiciel de gestion des enregistrements et que les traces soient analysées régulièrement.
57. En l’absence de précisions concernant l’architecture de journalisation, la Commission ne peut que rappeler qu’il convient de centraliser localement les journaux d’événements horodatés sur la base d’une source de temps fiable et exportés de manière sécurisée, et d’assurer la sécurité des équipements de journalisation et des informations journalisées.
58. L’article 8 du projet de décret prévoit que les traces sont conservées pendant trois ans. A cet égard, la Commission s’interroge sur la pertinence de conserver les traces des opérations de consultation, d’extraction et d’effacement pendant une telle durée alors même que les données qui font l’objet de ces opérations sont elles-mêmes effacées au bout de six mois, hors le cas où elles sont utilisées dans le cadre d’une procédure judiciaire, administrative ou disciplinaire.
59. La Commission relève que différents types de matériels existent qui ne prévoient pas systématiquement le chiffrement des données stockées sur la carte mémoire présente dans la caméra, ce qui pourrait permettre un visionnage des séquences vidéo par un tiers, en cas de vol du matériel. A cet égard, elle relève que l’AIPD prévoit le recours à des caméras disposant d’une mémoire inamovible, constituant un premier niveau de garantie. Au regard notamment de la nature des données traitées, elle considère que les responsables de traitement devraient également privilégier les dispositifs faisant l’objet d’un chiffrement réel et non d’une simple obfuscation, et dont l’accès soit réservé au logiciel de gestion des enregistrements.
60. En outre, une solution intégrée devrait être mise en œuvre afin d’assurer la sécurité des enregistrements depuis le déchargement de la caméra jusqu’à leur exploitation dans le cadre de procédures judiciaires, administratives ou disciplinaires. Il conviendrait notamment que les enregistrements soient conservés unitairement chiffrés, signés et horodatés sur le serveur de stockage, et que ce dernier fasse l’objet de mesures de sauvegarde.
61. La Commission relève que l’AIPD prévoit expressément qu’en cas de recours à la sous-traitance, il appartient au service d’incendie et de secours de compléter l’analyse d’impact réalisée par le ministère de l’intérieur pour démontrer que le niveau de sécurité est garanti. A cet égard, Commission rappelle que l’hébergement externe des données conduit à considérer le fournisseur de la solution d’hébergement comme un sous-traitant au sens de l’article 28 du RGPD. Elle rappelle l’obligation faite au responsable de traitement d’établir une convention avec son sous-traitant afin de définir la répartition des responsabilités et obligations incombant à chacun des cocontractants.
62. Sous réserve des précédentes observations, les mesures de sécurité décrites par le ministère de l’intérieur pour les dispositifs mis en œuvre par les autorités de gestion des services d’incendie et de secours au bénéfice des sapeurs-pompiers semblent conformes à l’exigence de sécurité prévue par l’article 32 du RGPD. La Commission rappelle toutefois que cette obligation implique la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques et de l’analyse d’impact de manière subséquente.
 
Sur la transmission d’un bilan
63. La Commission relève que l’article 10 du présent projet de décret prévoit que, dans un délai de neuf mois avant la fin de l’expérimentation, l’autorité de gestion du service d’incendie et de secours adresse au ministre de l’intérieur un rapport sur l’emploi des caméras individuelles des sapeurs-pompiers comprenant une évaluation de l’impact de l’emploi de ces caméras sur le déroulement des interventions et le nombre de procédures judiciaires, administratives et disciplinaires pour les besoins desquelles il a été procédé à la consultation et à l’extraction de données provenant des caméras individuelles. A cet égard, il conviendrait que la Commission soit également rendue destinataire de ces éléments qui feront l’objet d’un examen attentif afin qu’elle puisse se prononcer en pleine connaissance de cause si ce type de dispositif devait être pérennisé.
 
 
La Présidente
 
 
 
M-L. DENIS
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques modifiée par la directive 2009/136/CE du 25 novembre 2009 ;
Vu la directive 2008/63/CE relative à la concurrence dans les marchés des équipements terminaux de télécommunications, notamment son article 1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-I-2° b et 82 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu les lignes directrices sur le consentement au sens du règlement (UE) 2016/679 adoptées le 10 avril 2018 par le groupe de travail de l'article 29 sur la protection des données et endossées par le Comité européen de la protection des données (CEPD) le 25 mai 2018 ;
Vu la déclaration du 25 mai 2018 du comité européen de la protection des données sur la révision de la directive vie privée et communications électroniques et son incidence sur la protection de la vie privée et la confidentialité des communications électroniques ;
Vu l'avis 5/2019 sur la relation entre la directive vie privée et communications électroniques et le RGPD, concernant en particulier la compétence, les missions et pouvoirs des autorités de protection des données, adopté par le Comité européen de la protection des données (CEPD) le 12 mars 2019 ;
Vu la délibération n° 2013-378 du 5 décembre 2013 portant adoption d'une recommandation relative aux cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978 ;
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Adopte les lignes directrices suivantes :
La Commission nationale de l'informatique et des libertés (CNIL) est chargée de veiller au respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (ci-après la loi Informatique et Libertés ), ainsi que des autres textes relatifs à la protection des données à caractère personnel.
Les présentes lignes directrices ont pour objet de rappeler le droit applicable aux opérations de lecture ou écriture dans le terminal d'un utilisateur, et notamment l'usage des cookies et autres traceurs. Elles résultent notamment des dispositions de la directive 2002/58/CE modifiée vie privée et communications électroniques (ou ePrivacy ) transposée en droit français à l'article 82 de la loi Informatique et Libertés , et de la définition du consentement figurant à l'article 4 du règlement général sur la protection des données (RGPD) tel qu'interprété dans les lignes directrices du Comité européen de la protection des données (CEPD).
En cas de manquement à ces dispositions, la Commission rappelle qu'elle peut prendre toutes mesures correctrices et sanctions vis-à-vis des organismes qui y sont soumis, en application de l'article 3 de la loi, et ce notamment de manière indépendante des dispositions du chapitre VII du RGPD en matière de coopération et de cohérence , dans la mesure où l'article 82 résulte de la transposition d'une directive distincte.
L'article 82 de la loi dispose que :
 Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant :
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s'y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. 
Cet article, qui transpose l'article 5 (3) de la directive vie privée et communications électroniques , impose ainsi le recueil du consentement avant toute action visant à stocker des informations ou à accéder à des informations stockées dans l'équipement terminal d'un abonné ou d'un utilisateur, en dehors des exceptions applicables.
La Commission rappelle que les présentes lignes directrices ne concernent que la mise en œuvre des dispositions de l'article 82 de la loi Informatique et Libertés ; les éventuels traitements de données à caractère personnel utilisant les données collectées via les opérations de lecture ou écriture doivent, par ailleurs, respecter l'ensemble des dispositions légales applicables.
Le consentement prévu par ces dispositions doit être conforme à la définition et aux conditions prévues aux articles 4 (11) et 7 du RGPD.
Le RGPD est venu renforcer les exigences en matière de consentement des personnes, en apportant des clarifications sur ses conditions d'obtention et sur la nécessité d'en démontrer le recueil.
Le renforcement des droits des personnes conduit la Commission à abroger sa délibération n° 2013-378 du 5 décembre 2013 portant adoption d'une recommandation relative aux cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978 (ci-après la recommandation cookies et autres traceurs ) pour la remplacer par les présentes lignes directrices. Ces lignes directrices seront complétées ultérieurement par des recommandations sectorielles ayant notamment vocation à préciser les modalités pratiques du recueil du consentement.
 
Article 1
Sur le champ d'application des lignes directrices.
Les présentes lignes directrices s'appliquent à toutes les opérations visant à accéder, par voie de transmission électronique, à des informations déjà stockées dans le terminal de l'abonné ou de l'utilisateur ou à inscrire des informations dans cet équipement.
La Commission relève que l'article 1er de la directive 2008/63/CE définit l' équipement terminal comme tout équipement qui est connecté directement ou indirectement à l'interface d'un réseau public de télécommunications pour transmettre, traiter ou recevoir des informations ; dans les deux cas, direct ou indirect, la connexion peut être établie par fil, fibre optique ou voie électromagnétique ; une connexion est indirecte si un appareil est interposé entre l'équipement terminal et l'interface du réseau public .
Cette définition englobe de nombreux dispositifs couramment utilisés, tels qu'une tablette, un mobile multifonction ( smartphone ), un ordinateur fixe ou mobile, une console de jeux vidéo, une télévision connectée, un véhicule connecté, un assistant vocal, ainsi que tout autre objet connecté à un réseau de télécommunication ouvert au public.
Les présentes lignes directrices s'appliquent quels que soient les systèmes d'exploitation, les logiciels applicatifs (tels que les navigateurs) ou les terminaux utilisés.
Les lignes directrices portent sur l'utilisation des cookies HTTP, par lesquels ces actions sont le plus souvent réalisées, mais ont également vocation à s'appliquer au recours à d'autres techniques : les local shared objects (objets locaux partagés) appelés parfois les cookies Flash , le local storage (stockage local) mis en œuvre au sein du HTML 5, les identifications par calcul d'empreinte du terminal, les identifiants générés par les systèmes d'exploitation (qu'ils soient publicitaires ou non : IDFA, IDFV, Android ID, etc.), les identifiants matériels (adresse MAC, numéro de série ou tout autre identifiant d'un appareil), etc. Pour l'application des présentes lignes directrices, le mot traceur désignera l'ensemble des dispositifs visés par l'article 82 de la loi.
Le fait que les informations (stockées et/ou consultées) soient ou non des données à caractère personnel au sens du RGPD n'est pas une condition préalable à l'application de l'article 5, paragraphe 3 de la directive 2002/58/CE. Par conséquent, l'article 82 précité s'applique indépendamment du fait que les données concernées soient à caractère personnel ou non.