AgentPublic/cnil huggingface dataset:
En premier lieu, le ministère indique, s’agissant des catégories de données relatives au statut de l’aéronef circulant sans personne à bord et au statut de la zone survolée, que les données liées à l’aéronef circulant sans personne à bord sont " nécessaires pour apprécier l’attitude de l’aéronef en fonction de la position et de la route suivie (dangerosité, hostilité, …) et prendre les mesures de prévention et d’alerte adaptées ".
La Commission prend acte de ce que l’attitude dangereuse d’un aéronef circulant sans personne à bord est déterminée par l’agent à partir des éléments à sa disposition dans le traitement SSD auquel il accède (par exemple, le statut du drone, sa position, sa trajectoire, ou le statut de la zone concernée). Elle prend également acte de ce qu’aucun autre traitement automatisé n’est mis en œuvre pour qualifier l’attitude de l’aéronef. Elle considère que le ministère devrait préciser si les données utilisées à cette fin constituent ou non des données à caractère personnel. Sur ce point, elle prend acte de ce que le ministère estime que toutes les données visées ne constituent pas des données à caractère personnel, en particulier celles utilisées pour déterminer l’attitude du drone mais qu’il a été fait le choix de les inscrire dans le projet d’arrêté par souci de transparence.
En second lieu, s’agissant de l’enregistrement de " données relatives aux aéronefs circulant sans personne à bord "  la Commission prend acte de ce que, conformément aux dispositions de l’arrêté du 27 décembre 2019 définissant les caractéristiques techniques des dispositifs de signalement électronique et lumineux de ces aéronefs, le numéro d’identifiant est enregistré. Il peut être constitué :
soit d’un identifiant unique codé sur 30 octets et composé de trois champs (le trigramme du constructeur, le modèle de l’aéronef ou le modèle du dispositif de signalement et le numéro de série de l’aéronef) ;
soit d’un identifiant unique conforme à la norme ANSI/CTA/2063 (numéro de série physique).
La Commission relève ainsi que le numéro d’identifiant de l’aéronef ne contiendra pas de données à caractère personnel relatives au propriétaire de l’aéronef circulant sans personne à bord.
Les autres catégories de données n'appellent pas d'observation de la part de la Commission.
Dans ces conditions, la Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
Sur les accédants et les destinataires
La liste des accédants et des destinataires est indiquée à l’article 4 du projet d’arrêté.
S’agissant de la catégorie d’accédants relative aux agents relevant des ministres mentionnés à l’article 1er et chargés de la sécurité des zones mentionnées au 1° du même article, individuellement désignés, la Commission prend acte de ce que cette catégorie comprend le " responsable fonctionnel du traitement " qui est un officier de la gendarmerie des transports aériens. Par ailleurs, si l’ensemble des agents de police et de gendarmerie nationales sont susceptibles d’être accédants et destinataires, la Commission prend acte de ce que l’accès reste soumis à une habilitation individuelle motivée et au besoin d’en connaitre. Dans ces conditions, elle estime l’encadrement suffisant.
Sur les durées de conservation
L’article 3 du projet d’arrêté prévoit que les données et informations enregistrées dans les traitements SSD sont conservées une heure à compter de leur enregistrement, ce qui n’appelle pas d’observation de sa part.
Sur les droits des personnes concernées
En premier lieu, s'agissant de l'information des personnes concernées, la Commission considère que la rédaction du projet d’arrêté relative au droit à l'information est ambigüe et mériterait d'être précisée dans la mesure où, en vertu de l'article 104-I de la loi du 6 janvier 1978 modifiée, il incombe au responsable de traitement de mettre à la disposition de la personne concernée les informations listées et non à la personne de demander communication de ces informations. Elle prend acte de l’engagement du ministère de modifier le projet d’arrêté sur ce point.
Le ministère indique qu’il est matériellement impossible de mettre en œuvre un affichage des mentions d’information à l’endroit où les personnes concernées se trouvent (c’est-à-dire dans un rayon pouvant s’étendre à plus de 5 km du site). Quant à l’hypothèse d’un panneau au niveau du site lui-même, le ministère estime qu’elle ne présente aucune utilité car il ne serait pas lisible du télépilote (via son drone) avant d’être déjà au niveau de la zone interdite et donc identifié comme menace potentielle.
La Commission estime toutefois qu’un tel affichage pourrait être utile en complément de la cartographie disponible en ligne (www.geoportail.gouv.fr), pour les zones dont l’implantation est fixe (par exemple, les centrales nucléaires de production électrique ou les sites militaires sensibles) et pour lesquelles la lecture se ferait certes à proximité de la zone, mais non dans celle-ci. La circonstance selon laquelle l’aéronef serait déjà identifié comme menace est sans incidence dans la mesure où, d’une part, la position de tous les aéronefs en vol est connue en permanence et, d’autre part, ceux présents à proximité d’une zone interdite ne sont, par définition, pas entrés dans cette zone.
En second lieu, la Commission relève que le projet d’arrêté prévoit que les droits d’accès, de rectification, d’effacement et à la limitation des données peuvent faire l’objet de restriction en application des 2° et 3° du II et du III de l’article 107 de la loi du 6 janvier 1978 modifiée et que le droit d’opposition prévu à l’article 110 de la loi précitée ne s’applique pas, ce qui n'appelle pas d'observation.
Sur les mesures de sécurité
La Commission observe que l’accès aux traitements s’effectue par le biais du SSO Proxyma (GN) ou Cheops NG (PN) pour les agents habilités, correspondant donc à une authentification forte et n’a pas d’observation à formuler sur ce point.
La Commission comprend des éléments transmis que le dispositif global fonctionne de la façon suivante : les aéronefs circulant sans personne à bord émettent un signal donc les caractéristiques sont définies par la Commission européenne, soit une trame Wi-fi non chiffrée sur la bande 2400 – 2483,5 MHz, afin de pouvoir " être captées directement par des appareils mobiles existants situés dans la zone de radiodiffusion ". Dès lors que l’aéronef se trouve dans un rayon d’un kilomètre d’une borne, cette dernière capte le signal, le transmet au SSD local qui le transfère au système " Infodrones ".
La Commission relève que de l’antenne au traitement SSD, puis du traitement SSD au traitement " Infodrones ", les flux sont chiffrés et n’a pas d’observation à formuler sur ce point.
La Commission souligne cependant, bien que le ministère n’ait pas la maîtrise de ces éléments dans la mesure où les spécifications sont issues de la Commission européenne, que de l’aéronef à l’antenne, le flux circule en clair, exposant par conséquent les données.
La Commission relève que les traitements mettent en œuvre un dispositif de journalisation, pour une durée de trois ans. Cette journalisation concerne les identifiants des utilisateurs, les informations " groupe date-heure " (date, heure, fuseau horaire), les actions réalisées (collecte, consultation, interconnexion et suppression), les motifs de consultation et de communication et, le cas échéant, les destinataires des données.
Lors des échanges avec la Commission, il a été confirmé que " les données de traçabilité comprennent logiquement l’identifiant des drones, afin d’être en mesure d’identifier les agents ayant effectué une recherche sur cet aéronef ".
Si la Commission prend acte de ce que le nombre de personnes ayant accès à ces traces est limité au personnel des inspections générales en charges de l’usage des fichiers, ce qui correspond par exemple à trois personnels de l’inspection générale de la gendarmerie nationale, elle s’interroge toutefois d’une durée de conservation aussi longue sachant que les données collectées au sein des traitements SSD ne sont conservées qu’une heure. La Commission encourage le ministère à réduire drastiquement cette durée et prend acte de son engagement à réduire à un an la conservation de ces données.
La Présidente
Marie-Laure DENIS
Délibération du bureau de la Commission nationale de l’informatique et des libertés n° MEDP-2022-001 du 5 mai 2022 décidant de rendre publique 22 mises en demeure prises à l’encontre de communes.
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 5 mai 2022 sous la présidence de Madame Marie-Laure DENIS ;
Siégeaient, outre la Présidente de la Commission, Madame Sophie LAMBREMON, Vice-présidente déléguée, et Monsieur François PELLEGRINI, Vice-président ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu les décisions de la Présidente de la Commission du 25 avril 2022 mettant en demeure les communes d’[…] (n° MED-2022-057), […] (n° MED-2022-044), […] (n° MED-2022-032), […] (n° MED-2022-033), […] (n° MED-2022-051), […] (n° MED-2022-048), […] (n° MED-2022-059), […] (n° MED-2022-060), […] (n° MED-2022-034), […] (n° MED-2022-038), […] (n° MED-2022-042), […] (n° MED-2022-041), […] (n° MED-2022-050), […] (n° MED-2022-055), […] (n° MED-2022-043), […] (n° MED-2022-056), […] (n° MED-2022-037), […] (n° MED-2022-036), […] (n° MED-2022-046), […] (n° MED-2022-049), […] (n° MED-2022-053) et […] (n° MED-2022-054).
A adopté la délibération suivante :
Dans le cadre des missions définies à l’article 8 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, la Présidente de la Commission nationale de l’informatique et des libertés (ci-après CNIL ) a adressé le 2 juin 2021 aux communes susvisées une lettre relevant l’absence de désignation d’un délégué à la protection des données ( DPD ou DPO ) auprès de la CNIL, alors que cette obligation concerne tout organisme public mettant en œuvre des traitements de données à caractère personnel.
Les communes concernées n’ont pas apporté de réponse à cette lettre et n’ont pas désigné de délégué à la protection des données auprès de la CNIL.
Par décision du 25 avril 2022, la Présidente de la Commission a, sur le fondement de l’article 20 de la loi du 6 janvier 1978 modifiée, mis en demeure lesdites communes de procéder à la désignation d’un délégué à la protection des données, conformément aux dispositions des articles 37 et suivants du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après RGPD), sous un délai de quatre mois.
En application du dernier alinéa du II de l’article 20 de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision. Le bureau a été réuni à cette fin le 5 mai 2022.
Après en avoir délibéré, le bureau estime que la publicité des décisions de mise en demeure est justifiée en raison notamment du rôle central de la fonction de délégué à la protection des données, dont la désignation est obligatoire pour les autorités publiques depuis l’entrée en application du RGPD, soit depuis près de quatre ans.
A cet égard, il convient tout d’abord de rappeler que les collectivités territoriales, compte tenu de leurs missions parfois sensibles et de l’exercice de l’autorité publique, doivent particulièrement veiller à la protection des données à caractère personnel qui leur sont confiées. Cette protection s’avère d’autant plus essentielle s’agissant de l’obligation de sécurité, dès lors que les systèmes d’information des acteurs publics sont la cible d’attaques informatiques récurrentes.
Ensuite, le bureau relève qu’en application du 4° de l’article 38 du RGPD, une des fonctions du délégué à la protection des données est d’être l’interlocuteur des personnes pour toutes les questions relatives au traitement de leurs données à caractère personnel dont elles font l’objet et à l'exercice des droits que leur confère le RGPD.
Le bureau insiste également sur les multiples missions, définies à l’article 39 du RGPD, d’information et de conseil du délégué à la protection des données ainsi que de contrôle du respect des règles applicables, qui illustrent l’importance de cette fonction dans la mise en conformité des traitements de données réalisés par l’organisme auprès duquel il exerce ses fonctions.
En outre, le délégué est le point de contact de l’organisme avec l’autorité de contrôle sur les sujets relatifs à la protection des données. A cet égard, il coopère avec la CNIL et participe par exemple à la résolution de plaintes et à l’élaboration par l’autorité de contrôle des projets destinés à guider les professionnels dans la mise en œuvre des sujets relatifs à la protection des données.
A cet égard, le bureau rappelle qu’un seul délégué à la protection des données peut être désigné pour plusieurs autorités publiques, cette mutualisation permettant de bénéficier d’une expertise adéquate ainsi que d’outils et de procédures ayant fait leur preuve auprès d’autres acteurs publics.
Le bureau estime nécessaire d’informer les administrés des communes concernées sur le manque de prise en compte des problématiques de protection des données de la part de leur commune et sur le fait que l’absence d’un DPD/DPO les prive d’un interlocuteur dédié à ce sujet. En outre, le bureau considère qu’il est important d’alerter l’ensemble des acteurs publics sur l’obligation légale de désigner un délégué à la protection des données et l’importance de ses fonctions dans le déploiement de projets dès leur conception et la mise en œuvre des opérations de traitements.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique les décisions susvisées.
Le bureau rappelle que ces mises en demeure ne revêtent pas le caractère d’une sanction. Si les communes concernées se conforment en tout point aux exigences des mises en demeure dans le délai imparti, celles-ci feront l’objet de clôtures qui seront également rendues publiques.
Enfin, tant les décisions de mise en demeure précitées que la présente délibération ne permettront plus d’identifier nommément les communes concernées à l’expiration d’un délai d’un an à compter de leur publication.
La Présidente
Marie-Laure DENIS
La Présidente
COMMUNE DE X
MONSIEUR LE MAIRE
[…]
Paris, le 25 avril 2022
Références à rappeler dans toute correspondance :
N/Réf. : xxx - CTX -2022-029
Décision de mise en demeure n°MED-2022-032 du 25 avril 2022
Monsieur le Maire,
Par lettre du 2 juin 2021, je vous alertais sur l’absence de désignation d’un délégué à la protection des données (ou DPO ) au sein de votre commune.
A ce jour, cette lettre est restée sans suite de votre part.
S’agissant des règles applicables, je vous rappelle que l’article 37.1 a) du règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des données à caractère personnel (ci-après, le RGPD ou le Règlement ) impose la désignation d’un délégué à la protection des données lorsque le traitement est effectué par une autorité publique ou un organisme public. Cette obligation concerne ainsi les collectivités territoriales traitant de données à caractère personnel dans le cadre de leurs différentes activités (données d’agents publics, d’administrés, d’élus etc.).
Il vous appartiendra de veiller à ce que la désignation du délégué ne donne pas lieu à un conflit d’intérêt (ce qui empêche notamment qu’un élu soit désigné pour sa propre collectivité), que le délégué puisse réaliser ses missions de manière indépendante et enfin à ce qu’il dispose du soutien actif et pérenne de la commune dans ses missions. Il doit à cet effet bénéficier de ressources suffisantes pour mener à bien ses missions et doit être associé, de façon appropriée et en temps utile, à toutes les questions relatives à la protection des données.
Je vous rappelle que le délégué à la protection des données joue un rôle essentiel dans la conformité des traitements de données à caractère personnel mis en œuvre.
En effet, au titre des missions définies à l’article 39 du RGPD, il a vocation à accompagner votre commune, notamment en communiquant et conseillant sur les règles relatives à la protection des données à caractère personnel ainsi que sur les moyens de s’y conformer, à la fois auprès de son représentant légal (vous-même) et de chacun des acteurs pertinents (services supports et opérationnels). Son rôle, en collaboration avec les équipes informatiques, est également essentiel en matière de sécurité des systèmes d’information.
J’attire votre attention sur le fait que le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions visées à l'article 39.
A cet égard, je vous précise que votre commune peut choisir de désigner un délégué à la protection des données externe (personne physique ou morale), celui-ci pouvant être mutualisé avec d’autres collectivités afin de bénéficier d’une expertise adéquate ainsi que d’outils et de procédures ayant fait leur preuve auprès d’autres acteurs publics.
Dès lors, le fait de ne pas avoir procédé à la désignation d’un délégué à la protection des données constitue un manquement à l’article 37 du RGPD.
En conséquence, conformément à l’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée, la commune de X, établie à l’adresse indiquée ci-dessus, est mise en demeure sous un délai de quatre (4) mois à compter de la notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de procéder à la désignation d’un délégué à la protection des données, conformément aux dispositions des articles 37 et suivants du RGPD.
Il est demandé à la commune de fournir dans le délai imparti tout document utile pour attester des actions prises dans le cadre de sa mise en conformité.
A cette fin, vous pourrez utilement vous reporter au guide pratique de la CNIL intitulé Délégués à la protection des données en ce qu’il détaille notamment les règles et modalités de désignation d’un DPO (https://www.cnil.fr/sites/default/files/atoms/files/guide_pratique_rgpd_-_delegues_a_la_protection_des_donnees.pdf).
Si la commune ne s’est pas conformée à la présente mise en demeure à l’issue du délai imparti, je pourrai désigner au sein de la CNIL un rapporteur et saisir la formation restreinte de la CNIL afin que soit prononcée l’une des mesures prévues par les articles 20 et suivants de la loi du 6 janvier 1978 modifiée, dans les conditions fixées par le décret n° 2019-536 du 29 mai 2019 modifié.
À l’inverse, si la commune s’est conformée à la mise en demeure à l’issue du délai imparti, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens. 
Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS
La Présidente
COMMUNE DE X
MONSIEUR LE MAIRE
[…]
 
Paris, le 25 avril 2022
Références à rappeler dans toute correspondance :
N/Réf. : xxx - CTX -2022-030
Décision de mise en demeure n°MED-2022-033 du 25 avril 2022
Monsieur le Maire,
Par lettre du 2 juin 2021, je vous alertais sur l’absence de désignation d’un délégué à la protection des données (ou " DPO ") au sein de votre commune.
A ce jour, cette lettre est restée sans suite de votre part.
S’agissant des règles applicables, je vous rappelle que l’article 37.1 a) du règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des données à caractère personnel (ci-après, le " RGPD " ou le " Règlement ") impose la désignation d’un délégué à la protection des données lorsque le traitement est effectué par une autorité publique ou un organisme public. Cette obligation concerne ainsi les collectivités territoriales traitant de données à caractère personnel dans le cadre de leurs différentes activités (données d’agents publics, d’administrés, d’élus etc.).
A cette fin, vous pourrez utilement vous reporter au guide pratique de la CNIL intitulé " Délégués à la protection des données " en ce qu’il détaille notamment les règles et modalités de désignation d’un DPO (https://www.cnil.fr/sites/default/files/atoms/files/guide_pratique_rgpd_-_delegues_a_la_protection_des_donnees.pdf).
Si la commune ne s’est pas conformée à la présente mise en demeure à l’issue du délai imparti, je pourrai désigner au sein de la CNIL un rapporteur et saisir la formation restreinte de la CNIL afin que soit prononcée l’une des mesures prévues par les articles 20 et suivants de la loi du 6 janvier 1978 modifiée, dans les conditions fixées par le décret n° 2019-536 du 29 mai 2019 modifié.
À l’inverse, si la commune s’est conformée à la mise en demeure à l’issue du délai imparti, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens.
Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS
La Présidente
COMMUNE DE X
MONSIEUR LE MAIRE
MAIRIE
X
 
 
 
Paris, le 25 avril 2022
 
Références à rappeler dans toute correspondance :
X - CTX -2022-057
 Décision de mise en demeure n°MED-2022-034 du 25 avril 2022
 Monsieur le Maire,
Par lettre du 2 juin 2021, je vous alertais sur l’absence de désignation d’un délégué à la protection des données (ou DPO ) au sein de votre commune.
A ce jour, cette lettre est restée sans suite de votre part.
S’agissant des règles applicables, je vous rappelle que l’article 37.1 a) du règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des données à caractère personnel (ci-après, le RGPD ou le Règlement ) impose la désignation d’un délégué à la protection des données lorsque le traitement est effectué par une autorité publique ou un organisme public. Cette obligation concerne ainsi les collectivités territoriales traitant de données à caractère personnel dans le cadre de leurs différentes activités (données d’agents publics, d’administrés, d’élus etc.).
A cette fin, vous pourrez utilement vous reporter au guide pratique de la CNIL intitulé Délégués à la protection des données en ce qu’il détaille notamment les règles et modalités de désignation d’un DPO (https://www.cnil.fr/sites/default/files/atoms/files/guide_pratique_rgpd_-_delegues_a_la_protection_des_donnees.pdf).
Si la commune ne s’est pas conformée à la présente mise en demeure à l’issue du délai imparti, je pourrai désigner au sein de la CNIL un rapporteur et saisir la formation restreinte de la CNIL afin que soit prononcée l’une des mesures prévues par les articles 20 et suivants de la loi du 6 janvier 1978 modifiée, dans les conditions fixées par le décret n° 2019-536 du 29 mai 2019 modifié.
À l’inverse, si la commune s’est conformée à la mise en demeure à l’issue du délai imparti, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens. 
 Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS