AgentPublic/cnil huggingface dataset:
33. Le premier paragraphe de l’article 87 de la loi Informatique et Libertés, premier article du titre III de la loi, dispose : " le présent titre s'applique, sans préjudice du titre Ier, aux traitements de données à caractère personnel mis en œuvre, à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, par toute autorité publique compétente ou tout autre organisme ou entité à qui a été confié, à ces mêmes fins, l'exercice de l'autorité publique et des prérogatives de puissance publique, ci-après dénommés autorité compétente ".
34. Ce titre III s’applique donc aux traitements qui répondent à une double caractéristique relative à leur finalité, d’une part, et à la qualité du responsable de traitement, d’autre part.
35. S’agissant des finalités poursuivies par les traitements nés des vols de drones équipés d’une caméra, il ressort des déclarations effectuées par […], par […] et par […] que les images ont été utilisées, par ces trois acteurs, afin de s’assurer du respect des mesures de confinement adoptées dans le cadre de l’état d’urgence sanitaire et, pour le dernier d’entre eux uniquement, pour d’autres finalités, telles que des missions de police judiciaire, de maintien de l’ordre, de gestion de crise et de contrôle routier.
36. La formation restreinte considère que les missions précitées entrent dans le champ des finalités visées par l’article 87 de la loi Informatique et Libertés, soit parce qu’elles visent à prévenir ou détecter des infractions pénales – par exemple, lorsque les drones sont utilisés afin de veiller au respect des mesures de confinement ou de contrôle routier –, à enquêter ou poursuivre en matière pénale – par exemple pour les missions de police judiciaire – à la protection contre les menaces pour la sécurité publique et la prévention de telles menaces – par exemple pour les missions de maintien de l’ordre ou de gestion de crise.
37. La formation restreinte considère également que, dans le cadre de ces missions, […] doit être regardé comme l’autorité compétente, au regard de l’article 1er du décret no 2020-874 du 15 juillet 2020 relatif aux attributions du […] (précédemment décret no 2017-1070 du 24 mai 2017), précité.
38. En conséquence, la formation restreinte considère qu’en l’espèce, les traitements mis en œuvre par […] pour les différentes finalités ci-dessus évoquées doivent respecter les dispositions du titre III de la loi Informatique et Libertés.
D. Sur les manquements
1. Sur le manquement relatif à la licéité du traitement et à l’absence d’étude d’impact
39. Le second paragraphe de l’article 87 de la loi Informatique et Libertés prévoit que les traitements visés par le titre II de la loi " ne sont licites que si et dans la mesure où ils sont nécessaires à l'exécution d'une mission effectuée, pour l'une des finalités énoncées au premier alinéa, par une autorité compétente au sens du même premier alinéa et où sont respectées les dispositions des articles 89 et 90 ".
40. Aux termes du I de l’article 89 de la loi, " si le traitement est mis en œuvre pour le compte de l'État pour au moins l'une des finalités énoncées au premier alinéa de l'article 87, il est prévu par une disposition législative ou réglementaire prise dans les conditions prévues au I de l'article 31 et aux articles 33 à 36 ". En application du II du même article, si le traitement porte sur des données visées par l'article 6 de la loi (dites données sensibles), il doit être prévu par une disposition législative ou réglementaire prise dans les conditions prévues au II de l'article 31. L’article 31 de la loi auquel il est fait référence impose que les traitements de données en cause soient autorisés par arrêté du ministre ou des ministres compétents, pris après avis motivé et publié de la Commission et, en cas de traitement de données sensibles, par un décret en Conseil d’État pris après avis motivé et publié de la CNIL.
41. L’article 90 de la loi dispose : " si le traitement est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, notamment parce qu'il porte sur des données mentionnées au I de l'article 6, le responsable de traitement effectue une analyse d'impact relative à la protection des données à caractère personnel ".
42. À titre liminaire, la formation restreinte relève que […] ne conteste pas la caractérisation de ce manquement, ayant considéré à tort que les traitements en cause ne portaient pas sur des données à caractère personnel.
43. Au regard des dispositions de l’article 89, la formation restreinte relève qu’aucun cadre législatif ou réglementaire ne vient autoriser et encadrer les traitements de données à caractère personnel nés de l’utilisation par […] de drones équipés d’une caméra. En indiquant que des travaux sont engagés pour élaborer un cadre légal dans les plus brefs délais, […] confirme ce point.
44. S’agissant des dispositions de l’article 90, la formation restreinte considère que les traitements mis en œuvre en l’espèce sont susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes concernées. Ce risque élevé naît, d’une part, des caractéristiques des drones, qui sont des objets volants embarquant une caméra capable de filmer dans des résolutions importantes, en tout lieu et à tout moment. Ils sont donc capables de filmer toute personne circulant dans l’espace public, de la suivre et de traiter des données personnelles intangibles telles que les traits de son visage. Le risque naît, d’autre part, de l’utilisation faite des drones par […], notamment lors de manifestations, occasions au cours desquelles les opinions politiques, les convictions religieuses ou philosophiques des personnes, ou leur appartenance syndicale, sont susceptibles d’être révélées. Enfin, le risque est aggravé par le fait que les traitements sont potentiellement mis en œuvre à l’insu des personnes, celles-ci n’étant souvent pas conscientes de la présence de drones, de l’activation de la caméra et de la captation de leur image. Ce risque est à cet égard aggravé, en l’espèce, par l’absence d’information des personnes à l’occasion des vols réalisés.
45. La formation restreinte note que l’article 90 de la loi Informatique et Libertés précise que ce risque peut aussi naître " en raison de l’utilisation de nouveaux mécanismes ", ce qui est bien le cas en l’espèce.
46. En conséquence, la formation restreinte considère que l’utilisation de drones équipés d’une caméra fait naître un risque élevé pour les droits et les libertés des personnes physiques et que, dès lors, il revenait au […] de réaliser une analyse d’impact relative à la protection des données à caractère personnel.
47. La formation restreinte relève qu’aucune analyse d’impact n’a été réalisée.
48. Il ressort de l’ensemble de ces éléments que les conditions de licéité des traitements mis en œuvre ne sont pas remplies. La formation restreinte considère donc que des manquements aux articles 89 et 90 de la loi Informatique et Libertés sont constitués.
2. Sur le manquement relatif à l’information des personnes
Aux termes de l’article 104 de la loi Informatique et Libertés, " Le responsable de traitement met à la disposition de la personne concernée les informations suivantes :
1° L'identité et les coordonnées du responsable de traitement et, le cas échéant, celles de son représentant ;
2° Le cas échéant, les coordonnées du délégué à la protection des données ;
3° Les finalités poursuivies par le traitement auquel les données sont destinées ;
4° Le droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés et les coordonnées de la commission ;
5° L'existence du droit de demander au responsable de traitement l'accès aux données à caractère personnel, leur rectification ou leur effacement, et l'existence du droit de demander une limitation du traitement des données à caractère personnel relatives à une personne concernée ".
49. À titre liminaire, la formation restreinte relève que […] ne conteste pas la caractérisation de ce manquement, rappelant seulement les engagements pris pour assurer, à l’avenir, l’information des personnes concernées.
50. La formation restreinte note que […] et […] ont indiqué, dans leur réponse au questionnaire envoyé, que les personnes étaient informées de la présence du drone par un message vocal les invitant à se disperser. […] a indiqué qu’aucun dispositif spécifique d’information n’avait été mis en place.
51. Il ressort des réponses apportées qu’aucune information répondant aux exigences de l’article 104 de la loi Informatique et Libertés n’a été communiquée aux personnes concernées.
52. La formation restreinte relève que, si l’article 107 de la loi Informatique et Libertés permet, sous certaines conditions, des restrictions aux droits des personnes et notamment au droit à l’information, ces restrictions doivent être " prévues par l’acte instaurant le traitement ". En l’espèce, en l’absence de tout acte instaurant les traitements en question, aucune limitation au droit à l’information ne pouvait être prévue.
53. Il ressort de l’ensemble de ces éléments que l’information délivrée aux personnes, quand elle existait, ne répondait pas aux exigences légales. La formation restreinte considère donc qu’un manquement à l’article 104 de la loi Informatique et Libertés est constitué.
III. Sur les mesures correctrices et leur publicité
54. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 :
" Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes :
1° Un rappel à l'ordre ;
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; (…) ".
55. La rapporteure propose à la formation restreinte que soient prononcés un rappel à l’ordre ainsi qu’une injonction de mettre le traitement en conformité avec les dispositions la loi Informatique et Libertés. Elle propose également que cette décision soit rendue publique.
56. En défense, […] estime que le prononcé d’une mesure correctrice ne se justifie pas, une mise en demeure lui semblant suffisante en l’espèce, et que la publicité de l’éventuelle mesure à intervenir n’apparaît pas nécessaire. Enfin, il considère que l’injonction de cesser l’usage des drones n’est pas envisageable, cet usage constituant désormais une nécessité opérationnelle indéniable.
57. La formation restreinte considère que, dans le cas d’espèce, les manquements précités justifient que soit prononcé un rappel à l’ordre à l’encontre du […] pour les motifs suivants.
58. La formation restreinte relève la gravité du manquement relatif à la licéité des traitements, ce manquement privant l’ensemble des traitements mis en œuvre de base légale. Elle souligne également que les personnes concernées étaient privées de l’ensemble des garanties dont elles auraient dû bénéficier, notamment une information relative aux traitements ainsi que sur l’exercice de leurs droits.
59. Elle relève également les risques importants pour les droits et libertés des personnes, précédemment évoqués, liés à la possibilité offerte par ces nouveaux dispositifs d’identifier toute personne circulant sur l’espace public, y compris dans des circonstances pouvant révéler des informations particulièrement sensibles, par exemple liées à leurs opinions politiques, leurs convictions religieuses ou philosophiques ou leur appartenance syndicale.
60. Elle note aussi que les évolutions technologiques rendent les drones de plus en plus discrets avec des capacités augmentées de captation de leurs caméras qui donnent au […] la possibilité de faire voler ses drones à des altitudes de plus en plus importantes, tout en conservant une image d’une grande précision. Les personnes sont donc peu susceptibles de prendre conscience des traitements opérés et de la captation de leur image.
61. Enfin, la formation restreinte considère que le perfectionnement de technologies telles que la reconnaissance faciale pourrait entraîner, à l’avenir, des risques encore plus importants pour les droits et libertés individuelles si elles étaient couplées à l’utilisation de drones. Elle considère donc que leur déploiement en dehors de tout cadre légal doit être sévèrement sanctionné.
62. La formation restreinte estime que les éléments précités rendent également nécessaire qu’une injonction soit prononcée. En outre, […] ayant indiqué lors de la séance qu’il n’entendait pas renoncer, y compris temporairement, à l’usage de drones équipés d’une caméra, le prononcé d’une injonction constitue la mesure appropriée pour l’amener à n’utiliser des drones à cet effet que lorsqu’un cadre légal l’y autorisant aura été adopté.
63. Enfin, et pour les mêmes raisons, la formation restreinte estime nécessaire que sa décision soit rendue publique. Elle relève, sur ce point, que le public a démontré, au cours des derniers mois, un intérêt légitime pour les questions relatives au traitement de ses données à caractère personnel par l’État. La publicité d’une décision de sanction par l’autorité spécialement chargée de la protection des données à caractère personnel apparaît ainsi pleinement justifiée.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre du […] un rappel à l’ordre pour les manquements aux articles 89, 90 et 104 de la loi Informatique et Libertés ;
• prononcer à l’encontre du […] une injonction de mettre en conformité les traitements visés avec les obligations résultant de l’article 87 de la loi Informatique et Libertés, et en particulier :
o pour les finalités relevant du titre III de la loi Informatique et Libertés, ne recourir à la captation de données à caractère personnel à partir de drones qu’après l’adoption d’un cadre normatif autorisant la mise en œuvre de traitements de telles données ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément […] à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 9 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 4 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ;
Après avoir procédé au vote,
Constate :
Article 1
M. François PELLEGRINI est élu vice-président de la Commission.
Article 2
Le bureau de la Commission nationale de l'informatique et des libertés est ainsi composé de :
Mme Marie-Laure DENIS, présidente,
Mme Sophie LAMBREMON, vice-présidente déléguée,
M. François PELLEGRINI, vice-président.
Article 3
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 9 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 6 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ;
Après avoir procédé au vote,
Constate :
Article 1
M. Alain DRU et M. Bertrand DU MARAIS sont élus membres de la formation restreinte de la Commission.
Article 2
La formation restreinte de la Commission nationale de l'informatique et des libertés est ainsi composée de :
M. Alexandre LINDEN, président,
M. Philippe-Pierre CABOURDIN, vice-président,
M. Alain DRU,
Mme Anne DEBET,
M. Bertrand DU MARAIS,
Mme Christine MAUGÜE.
Article 3
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant un projet de décret modifiant le décret relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions, notamment son article 11 ;
Vu la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Les modifications envisagées par le projet de décret visent à :
- renforcer le dispositif de traçage des chaînes de transmission du virus, notamment s'agissant des personnes asymptomatiques ;
- identifier les lieux et évènements pour lesquels il existe un risque élevé de propagation du virus, afin d'orienter les politiques publiques pour la gestion de la crise, en fournissant des données utiles aux politiques d'ouverture et de fermeture des lieux recevant du public. A cet égard, la Commission invite le ministère à le préciser dans la notice du texte ;
- renforcer l'accompagnement social et sanitaire en cas d'isolement des personnes.
La Commission souligne que le projet de décret prévoit d'étendre considérablement et substantiellement les informations collectées dans le système d'information. Elle note toutefois que ce dispositif reste conditionné au volontariat des personnes interrogées.
Sur l'élargissement des catégories des personnes concernées par le traitement
La Commission attire l'attention du ministère sur la nécessité d'harmoniser les termes utilisés dans le décret. Elle relève en effet qu'il est parfois fait mention de personne évaluée comme contact à risque de contamination ou de cas contact . Dès lors, afin de garantir la lisibilité du décret, elle invite le ministère à ne faire usage, pour désigner les personnes concernées, que des termes ayant fait l'objet d'une définition à l'article 1er.
Concernant les personnes co-exposées
Le projet d'article 1er.II.2 bis prévoit d'étendre le système d'information Contact Covid aux personnes co-exposées afin de permettre leur identification et de procéder à la collecte des données les concernant. Cette modification conduira à une extension significative du nombre de personnes dont les données seront traitées dans Contact Covid , données qui seront identiques à celles concernant les cas contacts.
La Commission relève que la notion de personne co-exposée renvoie à une personne s'étant trouvée dans le même lieu, rassemblement ou évènement, où les gestes barrières n'ont pu être pleinement respectés identifié par le patient zéro comme étant à l'origine possible de sa contamination . Elle invite le ministère à :
- clarifier la définition de la notion de personne co-exposée , afin de faire apparaître clairement ses critères de distinction avec celle de cas contact, notamment par l'absence de contact direct avéré avec une personne diagnostiquée positive ;
- préciser les durées de coprésence auxquelles renvoient les notions de fréquentation et de participation ;
- préciser les cas dans lesquels il pourra être considéré que les gestes barrières n'ont pu être pleinement respectés .
La Commission invite le ministère à diffuser ces informations, par exemple en les rendant publiques sur son site web.
La Commission relève qu'il est envisagé de supprimer le 3° de l'article 1er du décret du 12 mai 2020 modifié prévoyant le recours aux recommandations du Haut Conseil de santé publique (HCSP) pour l'évaluation d'une personne comme contact à risque de contamination. Le ministère a en effet précisé que les notions de cas contact et de personne co-exposée permettant l'application du décret du 12 mai 2020 modifié ont été définies par l'Agence nationale de santé publique (ANSP ou Santé publique France). La Commission invite le ministère à inscrire cette précision dans le décret.
Concernant les responsables des lieux, rassemblements, évènements ou activités
Le projet d'article 1er.I.4° du décret prévoit la collecte de données relatives au responsable du lieu, du rassemblement, de l'évènement ou de l'activité auquel les personnes concernées ont participé. Le ministère a précisé à la Commission que le terme responsable correspondait à la personne en mesure de fournir des informations sur les personnes ayant participé à un rassemblement, un évènement ou une activité (responsable opérationnel ), qui n'est pas nécessairement le responsable juridique. La Commission invite le ministère à préciser ces éléments dans le décret.
Sur l'ajout de nouvelles catégories de données
Concernant la collecte de nouvelles catégories de données communes à toutes les personnes concernées (patients zéro, cas contacts et personnes co-exposées )
La Commission relève que les projets d'articles 2.II.1°.k et l ainsi que les projets d'articles 2.II.2°.k et l prévoient que des informations relatives à la fréquentation d'un lieu accueillant du public ou la participation à un rassemblement, évènement ou activité seront collectées dès lors que des contaminations peuvent y avoir lieu. Elle invite le ministère à détailler selon quels critères la possibilité qu'une contamination a eu lieu sera établie.
La Commission rappelle que les informations collectées ne pourront être utilisées à d'autres fins que celles prévues dans le décret et notamment ne peuvent être utilisées pour une finalité de surveillance du respect des mesures visant à lutter contre l'épidémie de covid-19.
Elle relève que les projets d'articles 2.II.1°.k et l ainsi que les projets d'articles 2.II.2°.k et l prévoient le recueil de la nature, de la date de fréquentation, de l'adresse postale et de la dénomination :
- de certains lieux et structures fréquentés dans les quatorze derniers jours par les personnes concernées ;
- de certains rassemblements, évènements ou activités auxquels les personnes concernées auraient participé dans les quatorze derniers jours.
Sur les lieux et structures