AgentPublic/cnil huggingface dataset:
La Commission estime en effet que le terme " accédant ", que n’utilise ni le RGPD, ni la loi " Informatique et libertés " mais qui a été créé par la doctrine, désigne, s’agissant en l’espèce d’un traitement automatisé de données mis en œuvre par une administration et encadré par un acte réglementaire, les personnes qui, au sein du responsable de traitement, seront appelées à effectuer les diverses opérations de traitement et, à ce titre, à accéder au système informatique en cause. Les habilitations des différents accédants peuvent être définies par l’acte réglementaire, et ne se limitent généralement pas à la seule consultation des données mais incluent aussi l’enregistrement, la correction ou l’effacement des données. Par ailleurs, au sens de la réglementation, et notamment du RGPD, les " destinataires " sont les personnes à qui le responsable de traitement peut être amené à communiquer les données et sur lesquelles il doit fournir une information aux personnes concernées. En pratique, cette communication peut prendre plusieurs formes, qu’il s’agisse d’une transmission d’un extrait des données ou d’une simple faculté de consultation par un accès sécurisé au système informatique.
En l’espèce, la Commission comprend du projet de décret que les personnes mentionnées comme " accédants " ne seront pas seulement chargées d’accéder aux images mais de décider de l’utilisation des aéronefs et de déclencher l’enregistrement. La Commission invite dès lors le ministère à préciser le projet de décret sur ce point pour éviter toute ambiguïté ainsi qu’à indiquer que ces " accédants " seront autorisés à enregistrer les données prévues par le projet d’article R. 242-2 du CSI et à les consulter.
S’agissant de la catégorie des " agents chargés de la formation des personnels ", le ministère a indiqué que le choix de ces agents relève de la responsabilité du directeur du service d’incendie et de secours (SIS), du commandant des formations militaires et du président de l’association ou de leur représentant désigné.
La Commission considère que le projet de décret pourrait être complété afin de préciser qui sera chargé de désigner les agents chargés de la formation des personnels et prend acte de ce que cette disposition sera complétée afin d’indiquer qu’ils sont " désignés par le responsable du service, de l’unité ou de l’association mentionné à l’article L. 242-6 ou de leur représentant désigné ".
Sur les durées de conservation
Le projet d’article R. 242-4 du CSI prévoit que les données et informations sont conservées pendant une durée de trente jours à compter de leur enregistrement. Il est précisé que lorsque les données, dans le délai de trente jours, ont été extraites ou transmises pour les besoins d’une procédure judiciaire, administrative ou disciplinaire, elles sont conservées selon les règles propres à chacune de ces procédures par l’autorité qui en a la charge.
La Commission prend acte des précisions apportées par le ministère selon lesquelles dans le cas où elles ont été extraites ou transmises pour les besoins d’une procédure judiciaire, administrative ou disciplinaire, les données seront supprimées à l’issue du délai de trente jours dans les présents traitements.
Dans ces conditions, la Commission considère que les données sont conservées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément à l'article 4-5° de la loi du 6 janvier 1978 modifiée.
Sur les droits des personnes concernées
En premier lieu, s'agissant des modalités d’information du public sur l’emploi des caméras installées sur des aéronefs circulant sans personne à bord et opérés par un télépilote ou sur des aéronefs captifs, la Commission relève que l’article L. 242-3 du CSI prévoit une information individuelle du public par tout moyen approprié de la mise en œuvre de dispositifs aéroportés de captation d'images et de l'autorité responsable, sauf lorsque les circonstances l'interdisent. Cette disposition indique également qu’une information générale du public sur l'emploi de dispositifs aéroportés de captation d'images doit être organisée par le ministre de l'intérieur. A cet égard, elle observe que des moyens appropriés d’information individuelle du public sont cités dans l’AIPD, tels que des dispositifs sonores ou visuels permettant d’avertir le public qu’une action est en cours et qu’il est susceptible d’être filmé ou un dispositif physique de zonage. Elle prend également acte de ce qu’il est prévu que cette information est délivrée sur le site web du service, de l’unité ou de l’association autorisé à recourir à ces caméras ou, à défaut, par voie d’affichage dans leurs locaux, sauf si les circonstances l’interdisent.
La Commission prend acte de ce que cette information pourra être limitée, voire impossible, en raison de l’urgence de la situation et prend acte qu’il n’est plus prévu d’y déroger dans l’hypothèse où cette information " entrerait en contradiction avec les objectifs poursuivis " conformément à l’article L. 242-3 du CSI, le ministère ayant retiré cette mention dans le projet de décret.
Elle relève que la rédaction retenue " sauf si les circonstances l’interdisent " telle que mentionnée au I de l’article R. 242-6 du CSI est particulièrement large. Sans remettre en cause la nécessité de limiter l’information des personnes en cas d’urgence et si la Commission prend acte des précisions apportées par le ministère selon lesquelles la liste des moyens appropriés n’est pas exhaustive, elle considère néanmoins que le ministère devrait déterminer des critères objectifs permettant d’apprécier les circonstances visées dans le projet de décret et qui pourraient être précisés dans une doctrine d’emploi.
En second lieu, le projet d’article R. 242-6 du CSI prévoit que le droit d’opposition ne s’applique pas aux traitements projetés. Elle prend acte de ce que le ministère entend mobiliser, au titre de l’article 23 du RGPD, la sécurité publique. Elle prend acte de ce que l’AIPD sera complétée sur ce point et considère que le projet de décret pourrait également préciser l’exception mobilisée au titre du 1) de l’article 23 du RGPD.
Les autres modalités d'exercice des droits n'appellent pas d'observations particulières.
Sur la qualité d’acte réglementaire unique du projet de décret
La Commission relève que, selon la saisine, le projet de décret qui lui est soumis pour avis constitue un " acte réglementaire unique ", au sens du IV de l’article 31 de la loi du 6 janvier 1978 modifiée, permettant aux services d’incendie et de secours, aux services de l’Etat et militaires des unités investis à titre permanent des missions de sécurité civile et aux associations agréées de sécurité civile au sens de l’article L. 725-1 du CSI de mettre en œuvre en tous lieux des traitements de données à caractère personnel provenant de caméras installées sur des aéronefs circulant sans personne à bord. Elle observe qu’une seule et même AIPD portant sur un ensemble d’opérations de traitement similaires lui a été transmise conformément à l’article 35-10 du RGPD. Elle relève qu’il est prévu par le projet de décret que chaque responsable de traitement devra, lors de l’envoi de l’engagement de conformité à la Commission, lui adresser, le cas échéant, les éléments nécessités par les circonstances locales de mise en œuvre du traitement, complémentaires à l’AIPD " cadre ".
Elle rappelle que ce régime de l’acte réglementaire unique ne concerne, ainsi qu’en dispose l’article 31 de la loi du 6 janvier 1978 modifiée, que les traitements projetés, d’une part, mis en œuvre " pour le compte de l’Etat " et, d’autre part, qui intéressent " la sûreté de l'Etat, la défense ou la sécurité publique " ou qui ont " pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté ". En l’espèce, la Commission relève que le Gouvernement estime que la sécurité civile relève de la notion de " sécurité publique " au sens de cet article.
Par ailleurs, la Commission observe qu’il résulte des dispositions de l’article L. 1424-2 du code général des collectivités territoriales (CGCT) que les services d’incendie et de secours et les militaires des unités investis à titre permanent de missions de sécurité civile ont pour missions la prévention, la protection et la lutte contre les risques de sécurité civile, la protection des personnes et des biens et le secours d’urgence. Elle relève également, que ces services appartiennent au génie militaire ou sont placés, pour emploi, sous l’autorité du maire ou du préfet agissant dans le cadre de leurs pouvoirs de police. A ce titre, ils exercent bien des missions " pour le compte de l’Etat " dans le cadre des traitements projetés.
Elle observe que les personnels des services de l’Etat au sein du groupement d’intervention du déminage (GID) relèvent du ministre chargé de la sécurité civile, sur les terrains civils et du ministre de la défense en cas de découverte d’objets pyrotechniques isolés sur des terrains relevant de sa responsabilité. La condition apparait donc également remplie pour ces personnels.
Toutefois, s’agissant des associations agréées de sécurité civile au sens de l’article L. 725-1 du CSI, la Commission relève que le Gouvernement estime que ces traitements projetés seront mis en œuvre " pour le compte de l’Etat " : elle ne le remet pas en cause mais considère, en tout état de cause, qu’il reviendra au Conseil d’Etat d’apprécier ce point. Elle prend acte des précisions apportées par le ministère selon lesquelles, en l’espèce, l’article L. 725-3 du CSI rattache les missions des associations agréées aux prérogatives des autorités de police, que ces associations apportent leur concours aux services d’incendie et de secours au sens de l’article R. 725-3 du CSI et que leur participation à une opération de secours doit être décidée soit par convention avec l’Etat, la commune, ou le service d’incendie et de secours, soit par réquisition de l’autorité de police.
Sur les mesures de sécurité
En premier lieu, la Commission relève que, s’agissant des aspects liés à la sécurité, le ministère indique que chaque responsable de traitement devra démontrer qu’il respecte les mesures de sécurité décrites, notamment par une homologation de sécurité des systèmes d’information (SSI).
En deuxième lieu, la Commission prend acte de ce que, à ce jour, les aéronefs qui seront utilisés dans le cadre de la mise en œuvre du décret sont des " drones grand public " et qu’il n’existe pas de mesures visant à ne pas permettre à l’industriel fabriquant des aéronefs d’avoir accès à des données relatives au vol opéré, telles que la durée, la géolocalisation, etc.
La Commission souligne que l’accès à ces données par l’industriel prestataire constitue une transmission de données au sens du RGPD, voire un transfert si cette transmission intervient en dehors de l’Union européenne, et qu’il convient que ce dernier soit encadré et s’effectue avec toutes les précautions nécessaires. Il conviendrait ainsi de vérifier et formaliser ces points auprès de chaque industriel choisi, voire d’inciter les futurs responsables de traitement à utiliser des produits limitant fortement ce risque, notamment en passant par le biais d’un marché dédié.
En troisième lieu, la Commission relève que les données, notamment les images captées, sont stockées en clair sur chaque aéronef, sans aucune mesure de chiffrement. Toute personne tierce ayant physiquement accès à un aéronef (par perte ou vol de celui-ci, ou accès à son lieu de stockage) est ainsi en mesure d’accéder aux données qu’il contient. Par ailleurs, lorsque les aéronefs en cours d'intervention transmettent par ondes hertziennes des flux vidéo (notamment afin d'opérer les aéronefs non-captifs), toute personne suffisamment proche de la zone d'intervention est en mesure de capter ces flux, et en conséquence d’accéder aux images, si ces derniers ne sont pas chiffrés.
La Commission invite le ministère à mettre en place une obligation de prendre des mesures visant à réduire ce risque, que ce soit dans sa gravité, par exemple en préconisant le recours à des aéronefs chiffrant les données transmises et stockées par exemple, ou dans sa probabilité d’occurrence, en obligeant, par exemple, les services opérant ces aéronefs à intégrer des traceurs GPS externes et autonomes limitant le risque de perte. De même, la Commission incite le ministère à mettre en place une obligation de protection des flux vidéo, par exemple en imposant le chiffrement de ces derniers.
En outre, la Commission insiste sur le fait qu’il ne devrait techniquement pas être possible d’extraire les données enregistrées sur l’aéronef sans contrôle et qu’il serait fortement souhaitable, comme cela est réalisé pour les systèmes de caméras individuelles d’agents, que cette opération ne soit possible que sur un dock dédié et reconnu. Ceci limiterait le risque d’extraction suite à la perte d’un aéronef, mais aussi le risque de détournement des images par un opérateur.
En quatrième lieu, la Commission relève ensuite que les données extraites après une intervention sont conservées sur un serveur sécurisé. Elle prend acte de ce qu’il n’est pas prévu que les données soient chiffrées et que cette possibilité est laissée à l’appréciation des responsables de traitement.
La Commission estime qu’il serait souhaitable que le ministère incite lesdits responsables de traitement à procéder de la sorte afin d’augmenter le niveau de sécurité général et d’harmoniser, au niveau national, les pratiques de chaque futur responsable de traitement. Elle prend acte de ce que le projet d’article R. 242-4 du code de la sécurité intérieure sera complété afin de préciser que les données et informations mentionnées à l'article R. 242-2 sont conservées sur " un support informatique sécurisé " et que le ministère incitera, dans une doctrine d'emploi, les responsables de traitement à chiffrer les données et informations conservées.
En cinquième lieu, la Commission prend acte de ce que les vidéos captées par l’aéronef seront pseudonymisées dans le cas où ces dernières sont utilisées à des fins de formation. Si la Commission accueille favorablement cette pseudonymisation, elle s’interroge tout de même sur la possibilité de flouter, a posteriori, une certaine partie des images captées, notamment dans le cas où, lors d’une opération, des parties privatives jouxtant la zone d’intervention seraient enregistrées. La Commission invite le ministère à mener une réflexion plus générale sur ce point.
En sixième lieu, la Commission relève qu’une grande partie des mesures, tant techniques qu’organisationnelles relatives à la sécurité du traitement, telles que le chiffrement précité, mais également le cloisonnement des données, les mesures de sécurité physique, la sécurité des accès logiques, la gestion des incidents et violations, etc. sont laissés, comme indiqué en point 1, à l’appréciation du futur responsable de traitement, qui devra réaliser une AIPD.
La Commission estime nécessaire que le ministère incite les responsables de traitement à mettre en œuvre certaines mesures de sécurité qui seraient décrites dans l’AIPD qu’il a transmise, afin de limiter fortement les risques et d’harmoniser les pratiques. Sur ce point, elle prend acte de ce que le ministère s'engage à lui transmettre l'AIPD complétée en ce sens ultérieurement.
En septième lieu, la Commission souligne que l’article R. 242-5 du projet de décret prévoit un dispositif de journalisation concernant les opérations de collecte, de modification, de consultation, de communication et d’effacement des données à caractère personnel. Cette journalisation contient l’identifiant de l’auteur, la date, l’heure, le motif de l’opération et, le cas échéant, les destinataires des données.
La Commission prend acte des précisions apportées par le ministère selon lesquelles cette durée de conservation initialement prévue pour trois (3) ans est réduite à six (6) mois, la durée de conservation des données du traitement étant de trente (30) jours.
La Commission accueille favorablement cette modification et rappelle que, lorsque cela est possible, la mise en place d’un outil proactif et automatique d’analyse de ces journaux est fortement conseillée.
La Présidente
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés modifiées, notamment son article 13 ;
Vu le décret n° 2019 536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78 17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret du 31 janvier 2019 portant nomination de la présidente de la Commission nationale de l'informatique et des libertés - Mme DENIS (Marie-Laure) ;
Vu la délibération n° 2021-102 du 9 septembre 2021 portant élection du vice-président délégué de la Commission nationale de l’informatique et des libertés ;
Après avoir entendu Mme Marie-Laure DENIS, présidente, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Décide :
Article 1er
I. En application de l’article 13 de la loi du 6 janvier 1978 susvisée, il est donné délégation à la présidente de la Commission nationale de l’informatique et des libertés et à la vice-présidente déléguée à l’effet d’exercer les attributions mentionnées aux articles suivants de la même loi :
aux f et g du I de l’article 8 ;
au d du 2° de l’article 8 ;
au d du 4° du I de l’article 8 ;
aux articles 52, 108 et 118 ;
à l’article 66.
II. En application de l’article 13 de la loi du 6 janvier 1978 susvisée, il est également donné délégation à la présidente de la Commission nationale de l’informatique et des libertés et à la vice-présidente déléguée à l’effet d’exercer les attributions mentionnées aux dispositions suivantes du règlement (UE) 2016/679 du 27 avril 2016 susvisé :
au 4 de l'article 34, pour les seules décisions donnant acte du respect des conditions mentionnées au 3 du même article 34 ;
aux a et h du 3 de l'article 58.
Article 2
La Commission reste toutefois compétente pour adopter, à l’initiative de la présidente ou de la vice-présidente déléguée, ceux des référentiels, règlements types et méthodologies de référence mentionnés à l’article 66 de la loi du 6 janvier 1978 susvisée, ainsi que celles des autorisations mentionnées à l’article 66 de la même loi, qui présentent des difficultés ou une complexité particulières.
Elle reste également compétente pour adopter, à l’initiative de la présidente ou de la vice-présidente déléguée, ceux des décisions, avis et autorisations mentionnés aux dispositions précitées du règlement (UE) 2016/679 du 27 avril 2016 susvisé qui présentent des difficultés ou une complexité particulières.
Article 3
La délibération n° 2019-021 du 28 février 2019 portant délégation de pouvoirs de la Commission nationale de l’informatique et des libertés à sa présidente et à sa vice-présidente déléguée est abrogée.
Article 4
La présidente de la Commission est chargée de l’exécution de la présente délibération, qui sera publiée au Journal officiel de la République française.
La présidente
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 15 ;
Vu le décret n° 2019 536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78 17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
Vu le décret du 31 janvier 2019 portant nomination de la présidente de la Commission nationale de l'informatique et des libertés - Mme DENIS (Marie-Laure) ;
Vu la délibération n° 2021-102 du 9 septembre 2021 portant élection du vice-président délégué de la Commission nationale de l’informatique et des libertés ;
Vu la délibération n° 2021-002 du 14 janvier 2021 portant élection du vice-président de la Commission nationale de l’informatique et des libertés ;
Après avoir entendu Mme Marie-Laure DENIS, présidente, en son rapport, et M Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations ;
Décide :
Article 1er
En application de l’article 15 de la loi du 6 janvier 1978 susvisée, il est donné délégation au bureau de la Commission nationale de l’informatique et des libertés à l’effet d’exercer l’attribution mentionnée au dernier alinéa de l’article 10 de la même loi.
Article 2
La délibération n° 2019-020 du 28 février 2019 portant délégation de pouvoirs de de la Commission nationale de l’informatique et des libertés à son bureau est abrogée.
Article 3
La présidente de la Commission est chargée de l’exécution de la présente délibération, qui sera publiée au Journal officiel de la République française.
La Présidente
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la Directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés modifiée ;
Vu la loi n° 2020-290 du 23 mars 2020 d'urgence pour faire face à l'épidémie de covid-19 ;
Vu l’ordonnance n° 2020-347 du 27 mars 2020 adaptant le droit applicable au fonctionnement des établissements publics et des instances collégiales administratives pendant l'état d'urgence sanitaire, notamment son article 4 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2019-021 du 28 février 2019 portant délégation de pouvoirs de la Commission nationale de l'informatique et des libertés à sa présidente et à sa vice-présidente déléguée ;
Vu la délibération n° 2020-037 du 2 avril 2020 relative à l’organisation des délibérations de la Commission nationale de l’informatique et des libertés pendant l'état d'urgence sanitaire liée au covid-19 ;
Après avoir entendu Mme Marie-Laure DENIS, présidente, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Décide :
 
Article 1er
Outre les attributions mentionnées dans la délibération du 28 février 2019 susvisée, il est donné délégation à la présidente de la Commission nationale de l’informatique et des libertés, en application de l’article 4 de l’ordonnance du 27 mars 2020 susvisée et dans les conditions prévues par la présente décision, à l’effet d’exercer les attributions mentionnées aux articles 2 et 3 de la présente décision.
 
Article 2
La présidente de la Commission peut exercer les attributions mentionnées aux articles suivants de la loi du 6 janvier 1978 susvisée :
- au III de l’article 6 ;
- au a) du 2° du I de l’article 8 ; 
- au a) du 4° du I de l’article 8 ;
- au premier alinéa de l’article 30 ; 
- au 6° de l’article 44 ; 
- au premier alinéa de l’article 67 ; 
- à l’article 89 ;
- au troisième alinéa de l’article 90. 
 
Article 3
Par dérogation à l’article 2 de la délibération du 28 février 2019 susvisée, la présidente de la Commission peut adopter les autorisations mentionnées à la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 susvisée qui présentent des difficultés ou une complexité particulières. Elle peut également adopter les avis mentionnés au 2 de l’article 36 du règlement (UE) 2016/679 du 27 avril 2016 susvisé qui présentent des difficultés ou une complexité particulières.
 
Article 4