AgentPublic/cnil huggingface dataset:
46. En l’espèce, dès lors que la société ne dispose d’aucun établissement dans l’Union européenne et que l'extension [...]n’est pas liée à une offre de biens ou de services aux " personnes concernées " telles que définies au § 28 de la présente décision, la formation restreinte relève que ni le critère de l’établissement prévu au paragraphe 1 de l’article 3 du RGPD, ni celui relatif à l’offre de services aux personnes concernées dans l’Union prévu au paragraphe 2, a) du même article ne sont applicables.
47. En ce qui concerne le critère relatif au suivi de comportement des personnes concernées, prévu au paragraphe 2, b) de ce même article 3 et dont l’applicabilité est invoquée par le rapporteur, la formation restreinte relève que si la société traite effectivement des données à caractère personnel de personnes situées dans l’Union européenne et, en particulier, en France, il n’est pas établi que ces personnes fassent l’objet d’un suivi de comportement par la société. En effet, la formation restreinte relève que la constitution de la base de données par la société repose uniquement sur le rapprochement entre des données de contacts professionnels (téléphone, adresse électronique) avec l’identité des personnes dont le profil est visité sur LinkedIn afin d’en vérifier la véracité. Il ne s’agit donc pas, en l’espèce, d’un traitement qui consiste à analyser ou prédire un comportement, les préférences personnelles ou les déplacements d’une personne, ses intérêts, sa situation économique ou son état de santé. La formation restreinte considère que la société n’utilise pas de techniques de traitement de données à caractère personnel qui consistent en un profilage d’une personne physique. 
 
48. Il résulte de ce qui précède que le RGPD n’est pas applicable au traitement en cause. Par conséquent, il n’entre pas dans les pouvoirs de la formation restreinte de prononcer une sanction.
49. Il apparaît opportun que l’ensemble des utilisateurs des applications en cause soient informés que les traitements mis en œuvre par la société X ne sont pas soumis au RGPD. Il convient en conséquence d’ordonner la publication de la présente délibération.
 
 
 
 
PAR CES MOTIFS
 
 
La formation restreinte de la CNIL, après en avoir délibéré, décide : 
 
 
• qu’il n’y a pas lieu au prononcé d’une sanction ;
 
• de rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication.
 
Le président
 Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données  ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données  ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 10 et 22-1  ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 41, 45-1 et 45-2 ;
Après avoir le cas échéant entendu M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Décide :
Article 1
Les agents de la direction de la protection des droits et des sanctions de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés et ceux nommés en application du premier alinéa de l'article 41 du décret n° 2019-536 du 29 mai 2019 modifié, sont habilités à établir un rapport en application du cinquième alinéa de l'article 22-1 de la loi du 6 janvier 1978 modifiée :
Mme Rose-Marie ABEL ;
Mme Madeleine CAZETTES DE SAINT LEGER ;
Mme Virginie CLAUDE-LOONIS ;
M. Antoine DROIN ;
M. Rodolphe GÉNISSEL ;
Mme Marie GAILLARDON ;
Mme Sarah GUILLOU ;
M. Jérémie KOUZMINE ;
Mme Noémie LICHON ;
Mme Isabelle MANTZ ;
Mme Clothilde MAULIN ;
Mme Oriane MAURICE ;
Mme Nina MCEVOY ;
Mme Lola TAIEB.
Article 2
La délibération n° HAB-2022-004 du 23 juin 2022 portant habilitation de certains agents de la Commission nationale de l'informatique et des libertés est abrogée.
Article 3
Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 4
La présente décision sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de la transition écologique d'une demande d'avis concernant un projet de décret portant sur l'encadrement de l'utilisation de caméras et capteurs sur des aéronefs circulant sans personne à bord pour la connaissance des phénomènes naturels et la police administrative des risques technologiques ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu le 
code de l'environnement
, notamment ses articles L. 125-2-2 et L. 171-5-2 ;
Vu la 
loi n° 78-17 du 6 janvier 1978
 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Alain DRU, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie pour avis par le ministère de la transition écologique d'un projet de décret portant sur l'encadrement de l'utilisation de caméras et capteurs sur des aéronefs circulant sans personne à bord pour la connaissance des phénomènes naturels et la police administrative des risques technologiques.
L'article 1er du projet de décret prévoit que les services de l'Etat, les collectivités territoriales et les établissements publics peuvent mettre en œuvre des traitements de données provenant des caméras et capteurs installés sur des aéronefs circulant sans personne à bord et opérés par un télépilote, pour la connaissance et la prévision des phénomènes naturels dangereux.
L'article 2 du projet de décret prévoit que les agents chargés des contrôles prévus à l'
article L. 170-1 du code de l'environnement
 et des enquêtes prévues à l'
article L. 142-21 du code de l'énergie
 peuvent mettre en œuvre des traitements de données provenant des caméras et capteurs installés sur des aéronefs circulant sans personne à bord et opérés par un télépilote, pour des actions de police administrative dans les installations classées pour la protection de l'environnement (prévues à l'
article L. 511-1 du code de l'environnement
) ou les installations et ouvrages soumis à la police de l'eau (soumis aux articles 
L. 214-1
 et 
L. 214-2
 du code de l'environnement ou autorisés en application du titre Ier du livre V du code de l'énergie ou concédés au titre du même code).
Ce projet de décret a pour objet notamment de définir :
les cas où les drones peuvent être utilisés dans le cas des risques naturels (article 1er du projet de décret) et des installations classées pour la protection de l'environnement et ouvrages hydrauliques (article 2 du projet de décret) ;
les précautions relatives à l'usage des données collectées (définition des agents ayant accès, formation et habilitation de ces agents) ;
es modalités d'exercice des droits des personnes concernées, notamment les modalités d'information du public.
Sur les finalités et le régime juridique applicable :
S'agissant des traitements prévus à l'article 1er du projet de décret, les finalités des traitements sont mentionnées au II du projet d'article R. 125-88 du code de l'environnement. Au regard des finalités mentionnées, lesquelles portent sur l'observation de phénomènes naturels ainsi que sur la formation et la pédagogie des agents, les traitements relèvent du régime du RGPD.
S'agissant des traitements prévus à l'article 2 du projet de décret, les finalités des traitements sont mentionnées au II du projet d'article R. 172-10 du code de l'environnement. Au regard des finalités mentionnées et dans la mesure où il s'agit de constater uniquement des infractions passibles de sanctions administratives, indépendamment de toute poursuite pénale, ces traitements relèvent également du régime du RGPD.
Sur les lieux concernés :
S'agissant des traitements prévus à l'article 1er du projet de décret, le projet d'article R. 125-88 du code de l'environnement prévoit que les traitements peuvent être mis en œuvre en tous lieux, y compris dans des lieux privés lorsque cela est strictement nécessaire à la poursuite des finalités. La Commission observe dès lors que les traitements pourront être mis en œuvre dans les lieux d'habitation dans lesquels des phénomènes naturels sont en cours ou susceptibles de se produire et de mettre en danger la vie des populations.
L'
article L. 125-2-2, alinéa 2, du code de l'environnement
 prévoit que  lorsque ces opérations conduisent au survol d'espaces privés, toutes précautions sont prises pour limiter la collecte de données personnelles concernant ces espaces privés .
La Commission considère que le ministère devrait prévoir des règles spécifiques lorsque les dispositifs sont utilisés au sein de lieux d'habitation, comme restreindre la possibilité de le faire à certaines circonstances et garantir une information individuelle systématique de la personne concernée, notamment dans les situations sans urgence particulière. Elle prend acte de ce que les critères de nature à définir ces circonstances soient précisés dans la doctrine d'usage.
La Commission prend acte de ce que le ministère a indiqué que les agents qui mèneront les survols et qui seront amenés à consulter les images feront l'objet d'une procédure de formation et d'habilitation visant notamment à assurer que les meilleures pratiques de limitation de collecte de données à caractère personnel sont acquises et mises en œuvre. Le ministère a indiqué que les parties d'images permettant l'identification de personnes ou de véhicules seront par ailleurs floutés au retour de survol. Elle considère que ces éléments devront être précisés dans la doctrine d'usage prévue par le projet d'article R. 125-90 du code de l'environnement.
S'agissant des traitements prévus à l'article 2 du projet de décret, le projet d'article R. 172-10 du code de l'environnement prévoit que les traitements peuvent être mis en œuvre en tous lieux, y compris dans des lieux privés lorsque cela est strictement nécessaire à la poursuite des finalités.
Contrairement à l'
article L. 125-2-2 du code de l'environnement
, l'article L. 171-5-2 du même code ne prévoit pas expressément que les dispositifs peuvent être déployés  en tous lieux . Cet article précise que  lorsqu'elles sont mises en œuvre dans l'espace public, les opérations […] sont réalisées de telle sorte qu'elles ne visualisent ni les images de l'intérieur des domiciles ni, de façon spécifique, celles de leurs entrées . De plus, cet article indique que les caméras  ne sont utilisées que dans les sites ou aux abords des sites dont la surveillance est rendue nécessaire pour l'accomplissement des missions et de la poursuite des infractions  passibles de sanctions administratives.
La Commission s'interroge sur la nécessité de faire usage de ces dispositifs au sein de lieux privés. Elle demande, a minima, que cette possibilité soit restreinte à certaines circonstances particulières. En outre, au regard des finalités des traitements, elle considère que les lieux privés susceptibles de faire l'objet d'une captation d'images ne devraient pas comprendre les lieux d'habitation.
La Commission prend acte des précisions apportées par le ministère selon lesquelles la procédure d'habilitation des agents prévue visera à s'assurer que les inspecteurs de l'environnement concernés sont dûment informés de l'interdiction de prise d'images de ces lieux et des bonnes pratiques permettant de l'éviter. La Commission considère que ces bonnes pratiques devront être précisées dans la doctrine d'usage.
Sur les données collectées :
S'agissant des traitements prévus à l'article 1er du projet de décret, les données collectées sont précisées au projet d'article R. 125-89 du code de l'environnement et comprennent : les images et données physiques, le jour et la plage horaire d'enregistrement, l'identification des agents responsables de l'aéronef lors de l'enregistrement des données, ainsi que le lieu ou la zone géographique où ont été collectées les données.
Les données physiques mentionnées au 1° du projet d'article R. 125-89 du code de l'environnement couvrent les notions suivantes : distances, aires, volumes mesurés ou calculés, températures des milieux (eau, air, sol), des surfaces d'installations (cheminées, toitures, murs, tuyauteries, etc.), à l'exclusion de la température corporelle des personnes.
Les données relatives à l'identification des agents responsables de l'aéronef lors de l'enregistrement des données couvrent le nom et prénom de l'agent et le service d'appartenance. Elle considère que ces précisions pourraient figurer dans le projet de décret.
En outre, le ministère a indiqué qu'aucune donnée sensible au sens des articles 9 du RGPD et 6 de la loi du 6 janvier 1978 modifiée ne sera collectée. La Commission considère que cette mention devrait figurer dans le projet de décret.
Par ailleurs, le projet d'article R. 125-89 du code de l'environnement prévoit notamment qu'il est interdit de procéder à l'analyse des images issues de leurs caméras au moyen de dispositifs automatisés de reconnaissance faciale. Outre les dispositifs de reconnaissance faciale, l'analyse d'images issues des caméras pourrait également se faire au moyen de dispositifs constitués de logiciels de traitements automatisés (dits dispositifs de vidéo-augmentée ). Dans la mesure où les dispositifs peuvent captés des images en tous lieux, y compris dans des lieux privés lorsque cela est strictement nécessaire à la poursuite des finalités, elle estime que l'usage de ces dispositifs devrait être strictement limité et encadré. Dès lors l'usage de dispositifs de vidéo-augmentée devrait être interdit et cela devrait figurer dans le projet de décret.
Enfin, le projet d'article R. 125-89 du code de l'environnement prévoit que les données physiques et images captées peuvent être transmises en temps réel au poste de commandement du service chargé de la conduite et de l'exécution des opérations. Cette modalité n'est pas prévue par l'
article L. 125-2-2 du code de l'environnement
. La Commission demande que des critères objectifs de nature à définir les circonstances permettant la transmission en temps réel soient définis dans le projet de décret, qui seront précisés dans la doctrine d'usage.
S'agissant des traitements prévus à l'article 2 du projet de décret, les données collectées sont précisées au projet d'article R. 172-11 du code de l'environnement et comprennent : les images et données physico-chimiques, le jour et la plage horaire d'enregistrement, l'identification des agents responsables de l'aéronef lors de l'enregistrement des données, ainsi que le lieu ou la zone géographique où ont été collectées les données.
Les données physico-chimiques couvrent des distances, aires, volumes mesurés ou calculés, température des milieux, des surfaces d'installations, à l'exclusion de la température corporelle des personnes, ainsi que la composition chimique des fumées et rejets dans l'air d'installations industrielles ou agricoles.
Les données relatives à l'identification des agents responsables de l'aéronef lors de l'enregistrement des données couvrent les nom et prénom de l'agent et le service d'appartenance. La Commission considère que ces précisions pourraient figurer dans le projet de décret.
L'
article L. 171-5-2 du code de l'environnement
prévoit que  sont prohibés l'analyse des images issues des caméras au moyen de dispositifs automatisés de reconnaissance faciale, ainsi que les interconnexions, rapprochements ou mises en relation automatisés des données à caractère personnel collectées avec d'autres traitements de données à caractère personnel . Pour les raisons précédemment indiquées, la Commission considère que le projet d'article R. 172-11 du code de l'environnement devrait prévoir que l'usage de  dispositifs de vidéo-augmentée  est interdit.
Sur les accédants et destinataires :
S'agissant des traitements prévus à l'article 1er du projet de décret, les accédants et destinataires sont mentionnés au projet d'article R. 125-91 du code de l'environnement.
Concernant les accédants, ces derniers sont les suivants :
1° le responsable du service, de la collectivité territoriale ou de l'établissement public mentionné à l'article R. 125-88 mettant en œuvre le traitement ;
2° les agents individuellement désignés et spécialement habilités par le responsable de service, de la collectivité territoriale ou de l'établissement public.
A titre liminaire, à la première phrase de ce projet d'article, la référence à l'article visé concernant les données et informations devrait être l'article R. 125-89 et non l'article R. 125-88.
En outre, aux 1°, 2° et à la dernière phrase du I du projet d'article R. 125-91 du code de l'environnement, le projet de décret devrait préciser qu'il s'agit du responsable de service de l'Etat .
Par ailleurs, les précisions apportées par le ministère selon lesquelles les besoins d'en connaitre qui justifient l'accès à un enregistrement sont la contribution à une expertise ou à une décision en matière de prévention des risques par l'autorité administrative, au regard des observations des phénomènes naturels décrites dans les finalités. Ces précisions devraient figurer dans la doctrine d'usage.
Concernant les destinataires, la Commission prend acte de ce que le ministère s'engage à transmettre à la CNIL l'arrêté du ministre chargé de l'environnement qui définira la liste des services de l'Etat, les collectivités territoriales et établissements publics dont les agents peuvent être destinataires des données et qui est prévu au II du projet d'article R. 125-91 du code de l'environnement. Elle rappelle que la liste des destinataires devra être strictement encadrée et limitée aux personnes ayant besoin d'en connaître. Dans la mesure où les catégories de destinataires sont mentionnées de manière large dans le projet de décret, elle considère que le projet de décret devrait préciser ces catégories, sans pour autant mentionner la liste précise des destinataires qui sera définie dans l'arrêté du ministre chargé de l'environnement transmis ultérieurement à la CNIL.
En outre, à l'instar des accédants, le projet de décret devrait mentionner la limitation  à raison de leurs attributions et dans la limite du besoin d'en connaître s'agissant des destinataires.
S'agissant des traitements prévus à l'article 2 du projet de décret, les accédants et destinataires sont mentionnés au projet d'article R. 172-13 du code de l'environnement.
Concernant les accédants, ces derniers sont les suivants :
1° Le responsable du service mentionné à l'article R. 172-10 mettant en œuvre le traitement ;
2° Les agents individuellement désignés et spécialement habilités par le responsable du service de l'Etat.
A titre liminaire, à la première phrase de ce projet d'article, la référence à l'article visé concernant les données et informations devrait être l'article R. 172-11 et non l'article R. 172-10.
En outre, la mention  responsable du service mentionné à l'article R. 172-10  au 1° du I du projet d'article R. 172-13 est imprécise dans la mesure où le projet d'article R. 172-10 ne mentionne pas les termes responsable du service . La Commission prend acte de ce que cette mention sera clarifiée dans le projet de décret.
Concernant les destinataires, la Commission prend acte de ce que le ministère s'engage à transmettre à la CNIL l'arrêté du ministre chargé de l'environnement qui définira la liste des services de l'Etat et les établissements publics dont les agents peuvent être destinataires des données et qui est prévu au II du projet d'article R. 125-91 du code de l'environnement. Dans la mesure où les catégories de destinataires sont mentionnées de manière large dans le projet de décret, elle considère toutefois que le projet de décret devrait préciser ces catégories, sans pour autant mentionner la liste précise des destinataires qui sera définie dans l'arrêté du ministre chargé de l'environnement transmis ultérieurement à la CNIL.
En outre, à l'instar des accédants, le projet de décret devrait mentionner la limitation  à raison de leurs attributions et dans la limite du besoin d'en connaitre  s'agissant des destinataires.
Sur la durée de conservation des données :
L'
article L. 125-2-2 du code de l'environnement
 prévoit que  lorsqu'ils contiennent des données à caractère personnel, ces enregistrements ou les données à caractère personnel qu'ils contiennent sont supprimés au terme d'une durée de six mois . La Commission relève que cet article ne précise pas la durée de conservation des données enregistrées dans le traitement qui ne sont pas des données à caractère personnel.
En outre, l'
article L. 171-5-2 du code de l'environnement
prévoit que  lorsque les enregistrements liés à ces opérations réalisés dans l'espace public donnent lieu à une procédure administrative, ils sont conservés jusqu'à l'expiration des délais de recours contre les actes pris dans le cadre de cette procédure et, en cas de recours contentieux, jusqu'à la clôture des procédures juridictionnelles et l'épuisement des voies de recours. Lorsqu'ils ne donnent pas lieu à une procédure administrative, ils sont effacés au bout de six mois, et au bout de trente jours lorsqu'ils comportent des données à caractère personnel .
Le projet de décret ne contient pas d'article portant sur la durée de conservation des données à caractère personnel et informations contenues dans les traitements prévus aux articles 1 et 2 du projet de décret. Seuls les projets d'article R. 125-92 et R. 172-14 du code de l'environnement portent sur la durée de conservation des données de journalisation. La Commission considère que le projet de décret devrait contenir un article sur la durée de conservation des données à caractère personnel et informations enregistrées dans chacun des traitements projetés, qui devrait préciser le point de départ du délai de conservation.
Sur les droits des personnes concernées :
S'agissant du droit à l'information, le projet d'article R. 125-93 du code de l'environnement prévoit que hors situations d'urgence précisées dans la doctrine d'usage et visite inopinée, une déclaration préalable de survol est transmise au représentant de l'Etat dans le département. De plus, le projet d'article R. 172-15 du même code prévoit que hors situations d'urgence précisées dans la doctrine d'usage et contrôles inopinés des inspecteurs des installations classées pour la protection de l'environnement, une déclaration préalable de survol est transmise au représentant de l'Etat dans le département.
Outre la déclaration précitée, la Commission prend acte des précisions apportées par le ministère de ce qu'une information générale du public sur l'emploi des dispositifs aéroportées de captation d'images est organisée par le ministère de la transition écologique. Elle considère que ces éléments devraient être mentionnés dans le projet de décret, qui devront être précisés dans la doctrine d'usage. En outre, conformément à l'article 13 du RGPD, la Commission considère qu'une information préalable individuelle, hors situation d'urgence, devrait être prévue dans le projet de décret. La Commission prend acte de ce que lorsque cela sera possible, et sans que cela n'engendre un traitement de données supplémentaires pour la seule finalité d'information ou des efforts disproportionnés, les personnes concernées seront invitées à consulter les mentions d'informations complètes disponibles en ligne.