AgentPublic/cnil huggingface dataset:
- l'état psychique ou la personnalité de la personne ;
- les propos exprimant une intention de suicide ;
- les faits ayant justifié la mesure de garde à vue ;
- les éventuelles mesures antérieures au cours desquelles les agents ont constaté des passages à l'acte violents ou des tentatives d'évasion de la personne placée en garde à vue ou en retenue douanière.
De manière générale, la CNIL considère que ces éléments doivent présenter un caractère sérieux, dans la mesure où la surveillance permanente par vidéo porte une atteinte grave au droit au respect de la vie privée et le recours à ce type de dispositif ne doit présenter qu'un caractère subsidiaire. En particulier, les faits ayant justifié la mesure de garde à vue doivent résulter d'actes de violence d'une particulière gravité démontrant la nécessité d'une surveillance permanente par vidéosurveillance.
Des doctrines d'emploi des caméras seront rédigées par chacun des ministères concernés (ministère de l'intérieur et ministère chargé du budget). Elles comporteront notamment :
- des éléments d'aide à la décision orientant les agents sur les cas dans lesquels une mesure de vidéosurveillance peut être prise ;
- des critères permettant d'encadrer le visionnage des images en temps réel par le chef de service ou son représentant individuellement désigné et habilité par lui, pour les seules finalités mentionnées au projet d'article R. 256-1 du CSI.
La CNIL considère que ces doctrines d'emploi devront lui être transmises et être régulièrement mises à jour autant que de besoin pour résoudre les éventuels problèmes de mise en œuvre.
Par ailleurs, l'article L. 256-3 du CSI indique qu'un pare-vue fixé à la cellule de garde à vue ou de retenue douanière garantit l'intimité de la personne tout en permettant la restitution d'images opacifiées, et que l'emplacement des caméras est visible.
L'intimité de la personne s'entend au sens de l'intimité physique et corporelle. Dans ce cadre, la présence de sanitaires dans les cellules de garde à vue et de retenue douanière est de nature à nécessiter la préservation de l'intimité de la personne. Seules les cellules équipées de sanitaires seront équipées d'un système d'opacification des images (pare-vue opacifiant). La CNIL recommande que le pare-vue ou filtre opacifiant placé entre la caméra et la zone sanitaire dans les cellules soit orienté de manière à ce que l'ensemble de la zone sanitaire ne puisse pas être filmé.
La CNIL prend acte de ce qu'il ne peut y avoir en même temps dans une même cellule de garde à vue ou de retenue douanière une personne placée sous vidéosurveillance et une autre qui ne l'est pas. Seules les personnes faisant l'objet d'un placement sous vidéosurveillance peuvent ainsi être filmées.
En outre, l'article L. 256-3 du CSI interdit :
- tout dispositif biométrique ou de captation du son ;
- tout rapprochement, interconnexion ou mise en relation automatisé avec d'autres traitements de données à caractère personnel.
La CNIL prend acte de ce qu'il n'est pas envisagé de recourir à des traitements algorithmiques d'analyse automatisée des images ( vidéo augmentée ).
C. - Sur le droit à l'information
L'article L. 256-1 du CSI prévoit qu'une affiche apposée à l'entrée de la cellule équipée d'un système de vidéosurveillance informe de l'existence du système ainsi que des modalités d'accès et de rectification des données recueillies.
Le modèle d'affiche, transmis à la CNIL, comporte les mentions d'information requises conformément à l'article 104 de la loi informatique et libertés .
Outre les affiches apposées à l'entrée des cellules, la CNIL prend acte de ce que les mentions d'information requises au titre de l'article 104 de la loi informatique et libertés figureront également sur le site web des ministères concernés.
D. - Sur les mesures de sécurité
La CNIL prend acte des mesures de sécurité mises en place par les ministères pour limiter les risques de disparition, de modification ou d'accès illégitime aux données de vidéosurveillance.
Concernant les moyens d'authentification, la CNIL accueille favorablement le recours à l'authentification forte lorsque cela est possible, ainsi que l'utilisation de mots de passe complexes associés à des mécanismes de verrouillage suivant plusieurs tentatives de connexion infructueuses. Si la plupart des accès aux données du traitement se feront par le biais de comptes nominatifs, la CNIL relève que certaines opérations pourront localement être réalisées par des comptes génériques. A ce titre, elle recommande l'usage systématique de comptes individuels et nominatifs.
Concernant la qualité et l'intégrité des données du traitement, la CNIL accueille favorablement l'intégration de données d'horodatage et de localisation dans les images, ainsi que les mesures de chiffrement et de signature numérique mises en place pour garantir la sécurité des données extraites. Afin de décourager la copie optique directe des enregistrements, la CNIL recommande également l'utilisation du tatouage (ou filigranage) numérique des images collectées.
La CNIL prend acte des mesures de journalisation mises en place dans le cadre du traitement. Elle accueille favorablement l'encadrement strict de l'accès aux données de traçabilité et prend acte de la durée de conservation d'un an prévue pour ces données. La CNIL accueille favorablement le passage progressif des registres papier à des systèmes de gestion dématérialisée des traces, et recommande pour ceux-ci la mise en place de moyens permettant la détection proactive des comportements illicites ainsi que la purge automatique des journaux.
Enfin, la CNIL prend acte de l'intention du ministère de l'intérieur d'enregistrer certaines données de traçabilité dans le traitement dénommé Informatisation de la gestion des gardes à vue ( iGAV ).
Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
Date de l'avis : 7 septembre 2023
N° de la délibération : 2023-084
N° de demande d'avis : 23010145
			Organisme(s) à l'origine de la saisine : ministère des sports et des jeux Olympiques et Paralympiques
Texte concerné : projet de décret relatif à l'organisation et au fonctionnement de la plateforme nationale de lutte contre la manipulation des compétitions
Thématiques :
			Plateforme nationale de lutte contre la manipulation des compétitions sportives, sport, paris sportifs, Autorité nationale des jeux
Fondement de la saisine :
article L. 335-2 du code du sport
L'essentiel :
			La teneur du projet de décret n'appelle pas d'observation de fond de la CNIL. Elle relève néanmoins que les éléments concernant les modalités, notamment techniques, des échanges d'informations utiles à la lutte contre la manipulation des compétitions sportives avec les acteurs nationaux et internationaux ne sont pas décrits dans le projet de décret.
			Les traitements de données à caractère personnel mis en œuvre au sein de la plateforme semblant relever du champ de l'article 31 de la loi informatique et libertés , la CNIL prend acte de l'engagement du ministère d'autoriser le traitement par la voie d'un arrêté.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ;
Vu le code du sport, notamment son article L. 335-2 ;
Sur la proposition de Mme Aminata NIAKATÉ, commissaire, et après avoir entendu les observations de M. Damien MILIC commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
La Convention du Conseil de l'Europe sur la manipulation de compétitions sportives du 18 septembre 2014 (dite Convention de Macolin ) a pour objectif de combattre la manipulation des compétitions sportives telle que définie à l'article 3 de cette convention, afin de protéger l'intégrité du sport et l'éthique sportive. Dans ce but, elle vise à :
- prévenir, détecter et sanctionner la manipulation nationale ou transnationale de compétitions sportives nationales ou internationales ;
- promouvoir la coopération nationale et internationale, entre les autorités publiques concernées et avec les organisations impliquées dans le sport et dans les paris sportifs.
Cette convention impose aux Etats parties d'identifier une plateforme nationale chargée de traiter de la manipulation de compétitions sportives. Elle les oblige également à adopter l'encadrement juridique permettant de s'assurer que toutes les mesures prises en la matière respectent la réglementation applicable en matière de protection des données à caractère personnel.
Signée et ratifiée par la France, la Convention de Macolin entrera en vigueur sur le territoire national le 1er octobre 2023. Elle réunit d'autres membres du Conseil de l'Europe (38 signataires à ce jour) et trois pays non-membres (Australie, Fédération de Russie et Maroc).
L'article L. 335-1 du code du sport, introduit par la loi n° 2022-296 du 2 mars 2022 visant à démocratiser le sport en France, confère une assise légale à la plateforme nationale de lutte contre la manipulation des compétitions (ci-après la plateforme ). Jusqu'à présent, celle-ci était encadrée par un accord datant du 28 janvier 2016 et un règlement intérieur.
La plateforme veille notamment à :
- servir de centre de recueil, de collecte et de partage des informations et des documents utiles à la lutte contre la manipulation des compétitions sportives en procédant, le cas échéant, à leur transmission aux autorités compétentes et aux organisations sportives ;
- favoriser la coopération avec les acteurs nationaux et internationaux concernés, notamment à travers l'échange d'informations avec ces derniers.
Le projet de décret prévoit que la plateforme comportera deux formations :
- l'une, de prévention et de sensibilisation au risque de manipulation des compétitions sportives (ci-après la formation de prévention ) ;
- l'autre, de surveillance du marché français des paris sportifs (ci-après la formation de surveillance ).
En application de l'article L. 335-2 du code du sport, les membres de la plateforme peuvent se communiquer entre eux et échanger avec les acteurs nationaux et internationaux intéressés par la lutte contre la manipulation des compétitions sportives les informations et documents utiles, y compris ceux couverts par le secret professionnel et sous réserve de respecter les règles applicables en matière de procédure pénale. Les conditions et les modalités de ces échanges et communications doivent être prévues par un décret en Conseil d'Etat pris après avis de la Commission nationale de l'informatique et des libertés (ci-après la CNIL ).
B. - L'objet de la saisine
La CNIL a été saisie, le 9 novembre 2022, par le ministère des sports et des jeux Olympiques et Paralympiques d'un projet de décret relatif à l'organisation et au fonctionnement de la plateforme nationale de lutte contre la manipulation des compétitions. Deux saisines rectificatives lui ont été transmises respectivement le 8 août 2023 et le 23 août 2023.
Le projet de décret précise la composition et le fonctionnement de la plateforme et organise, par ailleurs, les échanges d'informations entre les membres de la plateforme ainsi qu'avec des acteurs nationaux et internationaux.
Ce projet ne constitue pas un acte de création des traitements de données à caractère personnel mis en œuvre au sein de la plateforme. Par conséquent, l'avis de la CNIL n'est requis, à ce stade, qu'au titre de l'article L. 335-2 du code du sport. La CNIL constate qu'elle ne dispose que de peu d'éléments, dans la version actuelle du projet de décret, pour se prononcer sur les conditions et modalités des échanges d'informations et de données à caractère personnel utiles à la lutte contre la manipulation des compétitions sportives.
II. - L'avis de la CNIL
A. - Sur la responsabilité des acteurs mettant en œuvre les traitements de données à caractère personnel au sein de la plateforme aux fins d'exécuter les missions qui lui sont confiées
Selon l'article 4-7 du RGPD, le responsable des traitements de données à caractère personnel est la personne physique ou morale, l'autorité publique, le service ou un autre organisme, qui seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement. Il peut être désigné, à certaines conditions, par le droit d'un Etat membre.
Par ailleurs, les lignes directrices n° 07/2020 du Comité européen de la protection des données (CEPD), adoptées le 7 juillet 2021, concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, précisent que la loi peut indirectement désigner le responsable de traitement. Il en est par exemple ainsi lorsqu'une entité légalement chargée d'une mission de service public ne peut exécuter celle-ci sans traiter certaines données à caractère personnel, créer une base de données ou un registre.
La CNIL s'interroge sur les responsabilités des différents acteurs mettant en œuvre des traitements de données à caractère personnel au sein de la plateforme, aux fins d'exécuter ses missions. En effet, la répartition des compétences exercées tant par le ministère chargé des sports que par l'Autorité nationale des jeux (ANJ) au sein de la plateforme, telle que décrite aux articles L. 335-1-II et III du code du sport et aux projets d'article R. 335-1 et suivants de ce même code, ne permet pas d'identifier le rôle respectif de ces autorités dans la détermination des finalités et des moyens du traitement et, en conséquence, de leur attribuer les qualifications définies par le RGPD et relatives aux traitements de données à caractère personnel mis en œuvre.
Par conséquent, la CNIL recommande au ministère de clarifier le régime de responsabilité applicable aux traitements mis en œuvre au sein de la plateforme aux fins d'exécuter ses missions. Comme l'autorise l'article 4-7 du RGPD, ce régime pourra être défini par l'acte réglementaire créant le traitement, dont la CNIL sera saisie.
B. - Sur le traitement des données relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes
La CNIL prend acte de l'engagement du ministère de ce que des données relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes, au sens du l'article 10 du RGPD ne seront pas traitées. Elle rappelle que le traitement de cette catégorie de données à caractère personnel est strictement encadré par l'article 46 de la loi informatique et libertés .
C. - Sur les transferts de données hors de l'Union européenne
La formation de surveillance de la plateforme peut transmettre à des acteurs internationaux tout ou partie des informations ou documents communiqués ou mis à sa disposition. Le projet d'article R. 335-7-III du code du sport indique qu'un accord permettant de garantir le secret de ces informations et documents doit être préalablement conclu entre les parties concernées.
La transmission des informations et documents à des acteurs internationaux, dont certains situés hors de l'Union européenne et non soumis au RGPD s'effectue via la plateforme Antidoping Denmark et, pour le traitement d'un cas de manipulation, via Europol et Interpol. Les flux de données provenant d'un exportateur soumis au RGPD vers un importateur situé hors de l'Union européenne et non soumis au RGPD constituent des transferts de données à caractère personnel au sens du RGPD.
La nécessité de réaliser ces transferts n'est pas remise en cause par la CNIL. La CNIL rappelle toutefois que les exportateurs devront s'assurer que leurs transferts de données, au sens du RGPD, seront réalisés conformément au chapitre V du RGPD. A cette fin, elle prend acte de ce que les accords visés au projet d'article R. 335-7-III du code du sport intégreront des dispositions sur les modalités d'encadrement des transferts réalisés.
D. - Sur les conditions et les modalités techniques d'échange d'informations
L'article L. 335-2 du code du sport indique que le décret en Conseil d'Etat prévoit les conditions et modalités d'échanges des informations et des documents utiles à la lutte contre la manipulation de compétitions sportives : d'une part, avec les membres de la plateforme et, d'autre part, avec des acteurs nationaux et internationaux.
S'agissant des échanges d'informations avec les membres de la plateforme, le projet d'article R. 335-7-I et II du code du sport prévoient les conditions selon lesquelles l'ANJ effectue cette transmission. Le projet d'article R. 335-8 du code du sport prévoit également les modalités d'échanges en précisant seulement que ceux-ci sont réalisés par le biais d'un système informatique sécurisé. La CNIL relève à cet égard que les principaux choix techniques ne semblent pas avoir été arrêtés à ce stade par le ministère.
La circulaire n° 6404/SG du 31 mai 2023 portant actualisation de la doctrine d'utilisation de l'informatique en nuage par l'Etat (ci-après, la circulaire cloud au centre ) promeut le cloud comme mode d'hébergement et de production par défaut des services numériques de l'Etat. Interrogé sur l'application de celle-ci, le ministère a fait savoir qu'aucune donnée sensible n'était traitée par la plateforme. Or, le champ d'application de la circulaire cloud au centre est indépendant du caractère sensible ou non des données. La CNIL invite donc le ministère à réexaminer la question de l'inscription de ce système informatique dans la circulaire cloud au centre .
Au surplus, et si le système informatique sécurisé, mentionné au projet d'article R. 335-8, reposait sur une offre de cloud commercial, le premier alinéa de la règle R9 de la circulaire cloud au centre s'appliquerait (indépendamment du caractère sensible des données). La CNIL attire donc l'attention du ministère sur ces dispositions, qui rappellent la nécessité de se conformer au RGPD dès lors que des données à caractère personnel sont traitées.
La CNIL recommande au ministère le recours à une solution disposant de la qualification SecNumCloud. Cette qualification fournit des garanties fortes en matière de protection des données vis-à-vis des législations non-européennes à portée extraterritoriale.
S'agissant du partage d'informations avec les acteurs nationaux ou internationaux, la CNIL estime que le projet de décret n'en précise pas les modalités, notamment techniques, contrairement à ce que prévoit l'article L. 335-2 du code du sport.
E. - Sur la mise en conformité du traitement de données à caractère personnel de la plateforme
Si le projet de décret ne constitue pas un acte de création de traitement, la CNIL estime que le traitement de données à caractère personnel mis en œuvre par la plateforme semble relever du champ de l'article 31 de la loi informatique et libertés .
La CNIL prend acte de l'engagement du ministère d'autoriser le traitement par la voie d'un arrêté, dont elle sera saisie conformément aux exigences de l'article 31 de la loi informatique et libertés .
Par ailleurs, la plateforme constitue un outil de centralisation des données en vue de les transmettre à ses membres et de les communiquer également à des acteurs nationaux et internationaux en lien avec la lutte contre la manipulation des compétitions sportives. Dès lors, les traitements de données à caractère personnel réalisés au sein de cette instance sont mis en relation avec de nombreux autres traitements de données à caractère personnel réalisés notamment par l'ANJ, le ministère de la justice et le ministère de l'intérieur et des Outre-mer.
La CNIL rappelle, à cet égard, que les actes encadrant les traitements qui alimentent ou sont destinataires des données issues de la plateforme devront être mis à jour. Les responsables de ces traitements devront s'assurer de leur conformité à l'égard de la réglementation en vigueur avant la mise en œuvre des traitements modifiés.
Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
Date de l'avis : 9 novembre 2023
N° de la délibération : 2023-119
N° de demande d'avis : 23008253
Texte concerné : projet de décret relatif à la mise en œuvre de traitements d'images au moyen de dispositifs de captation installés sur des aéronefs pour des missions de police judiciaire
Thématiques : caméras installées sur des aéronefs, missions de police judiciaire
Fondement de la saisine : articles 89 et suivants de la loi du 6 janvier 1978 modifiée
L'essentiel :
			Le projet de décret autorise la mise en œuvre de traitements d'images au moyen de dispositifs de captation installés sur des aéronefs pour des missions de police judiciaire dans les lieux publics et privés.
			La Commission nationale de l'informatique et des libertés (CNIL) estime que ces finalités sont légitimes.
			S'agissant du périmètre du traitement, la CNIL invite le Gouvernement à clarifier les notions de lieu public et de lieu privé dans le projet de décret. Des exemples précis sur les lieux pouvant être concernés pourraient également être inclus dans l'AIPD et les doctrines d'emploi.
			La CNIL précise les rôles respectifs de l'AIPD et des doctrines d'emploi.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret relatif à la mise en œuvre de traitements d'images au moyen de dispositifs de captation installés sur des aéronefs pour des missions de police judiciaire ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 89 et suivants ;
Après avoir entendu le rapport de Mme Christine MAUGÜÉ, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Contexte de la saisine
Le recours à des fins judiciaires à des dispositifs aéroportés de captation d'images présente, selon le ministère de la justice, un intérêt opérationnel majeur, notamment en raison de la discrétion du dispositif et de la possibilité de visualiser des images captées en direct, sans nécessité d'engager des services d'enquête sur le terrain.
Les caméras peuvent être installées sur des drones mais également d'autres aéronefs (notamment les ballons captifs, les avions ou les hélicoptères).
Le code de procédure pénale (CPP) prévoit deux cadres dans lesquels il peut être recouru à la mise en place d'un tel dispositif technique. Lorsque des personnes se trouvent :
- dans un lieu public, cette technique d'enquête est encadrée par les articles 230-47 à 230-53 du CPP ;
- dans un lieu privé, le régime applicable est celui prévu aux articles 706-96 à 706-98 du CPP.
Le projet de décret est pris pour l'application de ces deux séries de dispositions légales.
B. - Objet de la saisine
Le ministère de la justice a saisi la CNIL d'une demande d'avis concernant un projet de décret relatif à la mise en œuvre de traitements d'images au moyen de dispositifs de captation installés sur des aéronefs pour des missions de police judiciaire.
Le projet de décret vise à assurer la cohérence globale du dispositif par un cadre réglementaire unique, quel que soit le lieu dans lequel se trouvent les personnes filmées.
Selon le ministère, les opérations de traitement de données qui résulteront de la mise en œuvre de ces dispositifs de captation, qu'elles soient effectuées dans un lieu public ou privé, poursuivent les mêmes finalités et obéissent aux mêmes règles quant aux caractéristiques essentielles du traitement (nature des données, durées et modalités de conservation, etc.).
II. - L'avis de la CNIL
A. - Sur le régime juridique applicable et les finalités du traitement
Le projet d'article R. 40-57 du CPP permet la mise en œuvre, dans les conditions prévues par les articles 230-47 à 230-53 et 706-96 à 706-98 du même code, d'un traitement de données à caractère personnel comportant les images provenant de caméras installées sur des aéronefs lorsque cela est nécessaire à la constatation des infractions, au rassemblement des preuves de ces infractions et à la recherche de leurs auteurs, ainsi qu'à la recherche d'une personne en fuite ou des causes de la mort ou de la disparition d'une personne.