AgentPublic/cnil huggingface dataset:
S'agissant de l'information des personnes concernées, la Commission relève que l’article L. 241-1 a organisé un régime particulier, en prévoyant une information orale, sauf exception, au moment du déclenchement de l’enregistrement, complétée d’une information générale du public sur l’emploi de ces caméras individuelles. Le décret prévoit que cette information est donnée sur quatre sites internet nationaux. La Commission invite le Gouvernement, d’une part, à fournir dans cette information générale tous les renseignements mentionnés à l’article 104 de la loi " informatique et libertés " complétés de tous renseignements utiles au public et, d’autre part, à prévoir également une information sur des sites internet de services administratifs déconcentrés, comme ceux des préfectures. Elle rappelle que cette disposition, si elle ne prévoit pas que l’information soit fournie individuellement à chaque personne en cas de collecte directe, impose au responsable de traitement de la " mettre à disposition " des personnes, de façon permanente et sans demande de leur part. Elle attire donc l’attention sur le fait que la rédaction du décret selon laquelle le droit à l’information " s’exerce auprès " de l’administration semble inappropriée. A cet égard, elle prend acte de l’engagement du ministère d’ajouter un III à l'article R. 241-16 du CSI afin d’indiquer que " Les informations prévues aux dispositions de l’article 104 de la même loi sont mises à disposition des personnes concernées ".
Par ailleurs, la Commission prend acte de ce que le ministère n’entend apporter aucune restriction générale et permanente au droit à l’information des personnes concernées.
Le ministère précise toutefois que des restrictions ponctuelles et temporaires peuvent être apportées, comme le permet l’alinéa 4 de l’article L.241-1 du CSI. Ainsi, l’information sera délivrée oralement aux personnes concernées par l’agent avant le déclenchement de la caméra sauf si :
la situation laisse craindre un risque immédiat d’atteinte à la vie ou à l’intégrité d’une personne ;
les agents agissent dans le cadre de l’article 73 du code de procédure pénale (crime ou délit flagrants) ;
la personne concernée a pris la fuite et ne revient pas sur les lieux de l’intervention.
Cependant, la Commission souligne que le Conseil constitutionnel, dans sa décision du 20 mai 2021 précitée, a relevé que si l’article L. 241-1 du CSI permet que le déclenchement de l'enregistrement puisse, par exception, ne pas faire l'objet de cette information lorsque " les circonstances l'interdisent ", ces circonstances recouvrent les seuls cas où cette information est " rendue impossible pour des raisons purement matérielles et indépendantes des motifs de l'intervention ".
Dans ces conditions, la Commission demande que le ministère limite expressément les hypothèses dans lesquelles l'enregistrement est réalisé à l'insu de la personne concernée aux seuls cas conformes à la décision précitée. Si cela semble être le cas d’un risque immédiat d’atteinte à l’intégrité d’une personne ou d’une fuite de l’individu filmé, elle s’interroge sur l’inclusion du critère de la flagrance. Elle considère que le projet de décret devrait comporter les critères repris de la décision du Conseil constitutionnel, qui pourraient être ensuite précisés dans la doctrine d'emploi élaborée par le ministère. La Commission prend acte de ce qu'il n'existera pas de droit des particuliers à demander le déclenchement des caméras et que ces dernières ne peuvent être déclenchées que dans le cadre des dispositions de l'article L. 241-1 du CSI.
En outre, elle relève qu’il ressort de l’AIPD que, si l’intervention l’exige, un mode " sécurité " pourra être activé par l’agent porteur de la caméra, désactivant ainsi les voyants et le signal sonore pour plus de discrétion. Sur ce point, le ministère indique que l'enregistrement est également interrompu par le déclenchement de ce mode, et considère dès lors que l’information des personnes ne serait pas requise. Toutefois, la Commission relève que l’utilisation du mode " sécurité " active la récupération des 30 secondes de mémoire tampon précédant son déclenchement et qu’il y aura bien un traitement de données à caractère personnel par l’enclenchement de ce mode. Par conséquent, les personnes concernées devront être informées. Elle rappelle que le Conseil constitutionnel n’a admis la possibilité de ne pas informer les personnes que pour des raisons purement matérielles. La Commission demande en conséquence la suppression de ce mode " sécurité ".
Sur les mesures de sécurité
La Commission prend acte de ce que le dispositif ne fonctionne qu’avec des ordiphones professionnels spécifiques, dits " NEO " (Nouvel Equipement Opérationnel), qui font l’objet de mesures de sécurité spécifiques.
Le ministère indique que les données (images, son et métadonnées) sont chiffrées sur le dispositif, puis lors de leur transfert puis à nouveau lors du stockage, et ce au moyen d’algorithmes conformes à l’annexe B1 du référentiel général de sécurité (RGS). Le choix de ces chiffrements par morceaux implique que les données seront manipulées en clair à plusieurs étapes. La Commission prend acte de ce que le ministère a pris des mesures organisationnelles (notamment de contrôle d’accès par authentification forte sur la caméra et de journalisation des accès) pour limiter les risques d’atteinte à la confidentialité. Au vu de la nature des données traitées, elle encourage fortement le ministère à effectuer une veille sur les possibilités d’évolutions du système envisagé afin de supprimer ces étapes de déchiffrement intermédiaire qui ne sont pas justifiées par la nécessité de visualiser les données. Par ailleurs, la Commission souligne l’importance de la robustesse des mécanismes de gestion des clés pour se prévaloir du niveau de sécurité que peut fournir ces chiffrements. Elle rappelle qu’elle considère les mécanismes décrits dans l’annexe B2 du RGS comme définissant l’état de l’art en la matière, et considère comme nécessaire qu’ils soient effectivement mis en œuvre par le ministère. Enfin, elle recommande d’auditer les mécanismes de stockage de clé (notamment sur le dispositif) afin de s’assurer de leur robustesse et de la difficulté, pour un tiers, à contourner le chiffrement.
Dans le cadre d’une exportation effectuée dans le cadre légal, le fichier extrait doit être effacé manuellement de l’ordinateur sur lequel l’extraction est faite. La Commission prend acte de ce qu’un contrôle de ces effacements sera effectué périodiquement par l’administrateur. Elle considère qu’un mécanisme (technique ou organisationnel) permettant de s’assurer que le contrôle périodique par l’administrateur a bien lieu devrait être mis en œuvre. En outre, elle recommande au ministère, à moyen terme, d’étudier des solutions alternatives et plus fiables qui permettraient d’automatiser cette suppression. En tout état de cause, elle rappelle au ministère son obligation d’assurer cette suppression effective dans les délais définis.
La Commission prend acte de ce qu’un mécanisme d’authentification par mots de passe correspondant à sa recommandation minimale est prévu pour la connexion au logiciel de gestion ou en salle de commandement. Au vu de la sensibilité des données, elle recommande au ministère de renforcer cette politique d’authentification. Une authentification par carte agent pourrait, par exemple, répondre à cette recommandation.
Sur la journalisation, la Commission estime nécessaire de distinguer deux types de traces :
tout d’abord, les métadonnées: le matricule (" RIO ") du porteur, le
par ailleurs, des traces applicatives sont générées au niveau du logiciel de gestion des vidéos afin de tracer les opérations effectuées ainsi que le motif justifiant ces opérations. La Commission rappelle que le traitement de ces données a, en principe, pour seule finalité la détection et la prévention d'opérations illégitimes sur les données principales.
La Commission prend acte de ce que des moyens de contrôle ponctuels, que ce soit par l’autorité hiérarchique directe ou par le bureau de l’audit de la protection et de la gouvernance des données de l’inspection générale de la gendarmerie nationale d’une part, et par les services de l’Inspection générale de la police nationale d’autre part, sont prévus. Cependant, elle considère comme nécessaire que soient prévues des mesures organisationnelles pour compléter cette vérification ponctuelle par une vérification périodique et systématique (par exemple, par la mise en œuvre d’une revue annuelle des traces) afin de valoriser ces données et de contribuer à la détection des comportements anormaux.
Dans ces conditions, la durée de conservation visée de six ans apparaît excessive, particulièrement dans la mesure où aucune valorisation proactive systématique des traces n’est mise en œuvre et aucun risque spécifique d’atteinte à la sécurité n’est identifié justifiant une telle durée. La Commission considère donc que cette durée devrait être réduite. À titre d’information, une durée de trois ans a été considérée comme proportionnée par la Commission dans des dossiers similaires. 
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement semblent conformes à l’exigence de sécurité prévue par l’article 4-6° de la loi du 6 janvier 1978 modifiée. 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour de l’AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'économie, des finances et de la relance d'une demande d'avis concernant un projet de décret portant modalités de mise en œuvre par le pôle d'expertise de la régulation numérique de traitements informatisés et automatisés permettant la collecte de données publiquement accessibles mises à disposition du public par les opérateurs de plateforme,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données, ci-après " RGPD ") ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2021-1382 du 25 octobre 2021 relative à la régulation et à la protection de l'accès aux œuvres culturelles à l'ère numérique, notamment son article 36 ;
Vu le décret n° 2020-1102 du 31 août 2020 portant création d'un service à compétence nationale dénommé " Pôle d'expertise de la régulation numérique " (PEReN) ;
Après avoir entendu le rapport de M. Bertrand du MARAIS, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
ETANT RAPPELÉS LES ELEMENTS DE CONTEXTE SUIVANTS :
Le pôle d'expertise de la régulation numérique (ci-après le " PEReN ") est un service à compétence nationale créé par le décret n° 2020-1102 du 31 août 2020 et placé sous l'autorité conjointe des ministres chargés de l'économie, de la culture et du numérique.
Le PEReN a notamment pour missions :
de fournir un appui aux autorités administratives indépendantes et aux autorités publiques indépendantes intervenant dans la régulation des plateformes numériques. Dans ce cas, le cadre d’intervention est défini par des conventions ;
d’apporter son expertise dans le cadre de travaux de recherche commandités par ces services, en réalisant des études à caractère exploratoire ou scientifique.
Depuis sa mise en place, le PEReN fait valoir des difficultés, dans l’exercice de ses activités, liées au cadre de collecte des données publiquement accessibles utiles à ses travaux et au refus de certaines plateformes numériques de coopérer avec lui. Il s’est ainsi vu refuser par un opérateur de plateforme l’accès à son interface de programmation (API) mise à disposition des chercheurs, tandis que les conditions générales d’utilisation (CGU) des services des plateformes numériques interdisent explicitement la collecte automatisée de données en dehors de telles API (" moissonnage du web ", ou " web
scrapping ").
En conséquence, le législateur a autorisé, par l’article 36 de la loi n° 2021-1382 du 25 octobre 2021, ce service à effectuer des collectes de données publiquement accessibles en ligne sans que les opérateurs des plateformes puissent lui opposer un refus d’accès aux services existants de mise à disposition de ces données ou une interdiction de collecte automatisée au travers des CGU.
Le projet de décret, pris pour l’application de cet article, a pour objet :
d’une part, de prévoir la liste des autorités administratives indépendantes et des autorités publiques indépendantes autorisées à recourir à l’expertise du PEReN dans le cadre de conventions (article 1er du projet de décret) ; et
d’autre part, d’encadrer les traitements automatisés permettant la collecte de données publiquement accessibles sur les plateformes en ligne. Ces traitements interviendront dans le cadre d’expérimentations, c’est-à-dire en l’espèce de programme de recherche, visant à concevoir ou évaluer des outils techniques destinés à aider les autorités publiques en bénéficiant, dans leur mission de régulation des opérateurs de plateformes en ligne.
Si la Commission n’a pas de remarques à formuler sur l’article 1er du projet de décret, les articles 2 et suivants concernant les modalités de mise en œuvre des expérimentations appellent les observations suivantes.
FORMULE LES OBSERVATIONS SUIVANTES SUR LE PROJET DE DECRET :
Concernant l’économie générale des traitements de données à caractère personnel envisagés 
Sur l’objet et le fonctionnement des expérimentations 
A titre liminaire, il semble nécessaire de relever que les activités d’expérimentation du PEReN impliquent la mise en œuvre non pas d’un seul mais de plusieurs traitements automatisés de données à caractère personnel, chaque expérimentation ayant ses caractéristiques propres. Le projet de décret a vocation à définir un cadre règlementaire pour plusieurs traitements présentant des caractéristiques communes. Les finalités de ces traitements, qui devront s’inscrire dans l’objet précisé par le projet de décret, seront définies ultérieurement dans le cadre des analyses d’impact sur la protection des données (AIPD) qui devront être réalisées pour chaque expérimentation, ainsi que le prévoit l’article 7 du projet.
Au regard de ces éléments, la Commission prend acte de l’engagement du Gouvernement de modifier la deuxième phrase de l’article 5 du projet de décret en ce sens : " Ces traitements permettent de mener des activités d’expérimentation visant à concevoir ou évaluer des outils techniques destinés à la régulation des opérateurs mentionnés au I de l’article L. 111-7 du code de la consommation ou ayant pour objet la réflexion portant sur cette régulation ".
Chaque expérimentation se décomposera en plusieurs phases. Dans un premier temps, en vertu des dispositions du cinquième alinéa l’article 36 de la loi du 25 octobre 2021, le PEReN peut à son initiative propre, mener une expérimentation, y compris dans le cadre de l’expression d’un besoin formulé par une autorité administrative. En amont de la collecte, le PEReN doit adresser une notification à l’opérateur de plateforme en ligne concerné. Celui-ci dispose d’un délai de six semaines pour formuler ses observations sur la préservation de la sécurité de ses services et, le cas échéant, fournir les informations nécessaires à l’utilisation de ses interfaces de mise à disposition de données (ou API, pour " Application Programing Interface "). Une phase de détermination des critères techniques devra permettre d'orienter l'opération de collecte par la sélection des contenus nécessaires aux objectifs de l’outil que le PEReN sera chargé de concevoir. La collecte des données sera ensuite activée sur l’ensemble des plateformes précédemment ciblées et notifiées, notamment par des techniques d’extraction du contenu de sites, via des scripts ou des programmes automatisés ou encore l’utilisation d’API. Les données collectées feront ensuite l’objet de traitements automatisés afin de séparer les informations à conserver (celles qui correspondent aux catégories de données formant le modèle de données préalablement défini) de celles qui doivent être immédiatement supprimées (à savoir, les données
non nécessaires à la finalité et les données sensibles). Les données conservées à l’issue de cette opération seront ensuite exploitées en vue de la finalité préalablement définie.
Au regard de ces éléments, quelle que soit l’utilisation finale de l’outil visant à être conçu ou évalué, la Commission estime que les expérimentations menées par le PEReN relèveront du RGPD dès lors qu’elles ont pour seul objet la mise au point d’outils techniques en vue d’améliorer la réflexion portant sur la régulation des opérateurs de plateformes en ligne. La base légale des traitements de données sera l'exécution de sa mission d'intérêt public, conformément à l’article 6.1.e du RGPD. Conformément à l’article 36 de de la loi n°2021-1382 du 25 octobre 2021 les traitements seront sous la responsabilité du PEReN, placé sous l’autorité de son chef de service.
Sur la légitimité des expérimentations et les garanties prévues par le projet de décret
La seule circonstance que les données soient accessibles sur Internet n’autorise pas toute personne à les collecter et à les exploiter pour toute finalité, la licéité de chaque traitement devant être appréciée au cas par cas. De plus, la nature de tels traitements est susceptible de porter atteinte à certains droits et libertés fondamentaux, dont la liberté d’expression et la liberté d’opinion ; . De telles atteintes ne peuvent être admises que si des garanties suffisantes sont prévues. Ainsi, une attention particulière doit être accordée au principe de transparence ainsi qu’aux principes de minimisation des données et de protection des données dès la conception.
En l’espèce, les expérimentations sont justifiées au titre de l’article 36 de la loi n°2021-1382 du 25 octobre 2021 précitée, par l’objectif légitime de renforcer les moyens des services de l'Etat intervenant dans le champ de la régulation des opérateurs de plateformes numériques, et qui se heurtent au refus d’accès aux services existants de mise à disposition de ces données ou à une interdiction de collecte automatisée au travers des contrats qui lient ces opérateurs avec leurs usagers. Le PEReN a souligné lors des échanges qu’une partie des expérimentations aura un intérêt propre, indépendamment d’un besoin exprimé par un service de l’Etat ou d’un projet de création d’un outil spécifique. Cependant, s’agissant des expérimentations qui auront précisément pour objet de concevoir un outil particulier pour une autorité publique, le PEReN et les autorités bénéficiaires devront être particulièrement vigilants à ce que leur utilisation puisse elle-même être licite dans le cadre des procédures et missions des autorités, et ce à droit constant ou en faisant évoluer le cadre juridique. En particulier, si les outils mis à disposition des autorités bénéficiaires conduisent celles-ci à opérer une analyse automatique de catégories de données publiquement accessibles, il conviendra de s’interroger sur la licéité de ce mode d’enquête ou d’étude, qui implique souvent un traitement massif de données à caractère personnel, notamment au regard de l’exigence constitutionnelle de
proportionnalité des atteintes à la vie privée.
Le projet de décret prévoit d’ores et déjà plusieurs garanties que la Commission juge essentielles.
Tout d’abord, le projet rappelle que, conformément à l’article 36 de la loi, seules les données publiquement accessibles sur les plateformes en ligne des opérateurs concernés pourront être collectées. La Commission prend acte de ce que, selon les précisions apportées par le PEReN, la référence aux " contenus publiquement accessibles " exclut les contenus faisant l’objet d’un accès restreint, notamment lorsqu’ils nécessitent une demande d’accès préalable ou une étape de validation de connexion (par exemple, un groupe fermé sur un réseau social ou un service de messageries en ligne). Par ailleurs, ces données devront être détruites à l’issue des travaux d’expérimentation, au plus tard, au terme d’un délai de neuf mois après leur collecte. Par ailleurs, si le projet de décret autorise la création de comptes dédiés sur les plateformes concernées, il précise que ces derniers ne pourront pas être utilisés par les agents du PEReN pour entrer en relation avec les personnes concernées. En outre, il interdit toute réutilisation des données à d’autres fins que celles prévues dans le cadre de l’expérimentation ayant justifié la collecte et exclut la transmission des données à des tiers autre qu’un sous-traitant du service. Enfin, afin d’assurer une transparence sur les traitements de données mis en œuvre dans le cadre des expérimentations menées, le projet de décret vient préciser le contenu du rapport annuel qui devra être transmis au Parlement et à la Commission.
Compte tenu de ces garanties, et sous réserve des observations qui suivent, la Commission considère que les traitements envisagés sont proportionnés.
Concernant les dispositions du projet de décret
Sur les modalités de la collecte et de l’exploitation des données 
A titre liminaire, la Commission prend acte de ce qu’aucun traitement de données à caractère personnel ne sera mis en œuvre au cours de la phase de détermination des critères techniques de chaque activité d’expérimentation.
En premier lieu, la Commission attire l’attention du Gouvernement sur la nécessité de mettre en place des garanties appropriées pour s’assurer que l’intégralité des données à caractère personnel publiquement accessibles sur les plateformes en ligne ne soit pas collectée et ainsi assurer la proportionnalité de la collecte.
Tout d’abord, la Commission considère que la phase de détermination des critères techniques doit permettre de cibler la collecte en s’assurant que seules les informations dont le type et le la nature sont proportionnées aux finalités préalablement définies dans le cadre des AIPD soient collectées.
Ensuite, conformément aux précisions apportées par le ministère, la Commission invite le ministère à compléter le projet de décret afin de préciser que la collecte ne s’effectuera que sur des échantillons de données aléatoires et de faible amplitude ; cette amplitude devra être documentée dans le cadre de chaque AIPD.
En second lieu, en raison des contraintes imposées aujourd’hui par les interfaces de mise à disposition des données ou des caractéristiques inhérentes aux opérations de moissonnage (" scraping ") mises en œuvre, l’opération de collecte déclenchée sur la base des critères techniques préalablement déterminés pourra, en pratique, conduire à collecter des données non nécessaires aux finalités préalablement définies ainsi que des catégories particulières de données à caractère personnel qui pourraient constituer des données sensibles (opinions politiques, convictions religieuses ou philosophiques, état de santé ou orientation sexuelle, etc.). Le 6° et le 7° de l’article 7 du projet de décret prévoient que ces données seront immédiatement et automatiquement supprimées.