AgentPublic/cnil huggingface dataset:
Depuis le 1er janvier 2021, ces déclarations ont été dématérialisées et sont désormais remontées via le dispositif de déclaration sociale nominative (DSN) pour les marins salariés, et via un portail ad hoc pour les marins non salariés.
L'identification des marins se fait principalement sur la base de leur numéro d'inscription au répertoire national d'identification des personnes physiques (NIR), et non plus à partir du numéro de marin, dont la transmission est devenue facultative.
Ce changement est sans conséquence sur les activités des organismes autorisés à traiter le NIR, tels que la direction générale des finances publiques (DGFiP), l'union de recouvrement des cotisations de sécurité sociale et d'allocations familiales (URSSAF) de Poitou-Charentes, et l'Etablissement national des invalides de la marine (ENIM).
Toutefois, la rédaction actuelle du décret-cadre NIR ne mentionne pas la DGAMPA parmi les organismes susceptibles de traiter ce numéro. Dans ces conditions, la DGAMPA établit les lignes de service par des rapprochements d'informations sur la base des nom, prénoms, commune et département de naissance, et le numéro de marin s'il est fourni des personnes concernées.
Les ministères indiquent que ce procédé mobilise une partie importante des ressources de la direction et ne présente pas les garanties de fiabilité nécessaires.
B. - L'objet de la saisine
Le projet de décret prévoit d'insérer, au sein de la partie C. - Dans les champs de l'insertion, du travail et de l'emploi du secteur privé et du secteur public de l'article 2 du décret-cadre NIR , une nouvelle disposition accordant aux services compétents du ministère chargé de la mer la possibilité de traiter le NIR pour l'établissement des services pris en compte pour la délivrance et la revalidation des titres de formation professionnelle maritime.
II. - L'avis de la CNIL
Ce nouvel usage du NIR apparaît légitime et proportionné à la finalité poursuivie, et n'appelle pas d'observations de la part de la Commission.
La présidente,
M.-L. Denis
Date de l’avis
 : 15 juin 2023
N° de la délibération
 : 2023-068
N° de demande d’avis
 : 23006451
 
N° d’acte réglementaire unique
 : RU-75
Texte concerné
 : Projet de décret 
relatif aux modalités de mise en œuvre des traitements algorithmiques sur les images collectées au moyen de systèmes de vidéoprotection et de caméras installées sur des aéronefs, pris en application de l’article 10 de la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions
Thématiques
 : Jeux Olympiques et Paralympiques de 2024, caméras "augmentées", traitements algorithmiques.
Fondement de la saisine : 
Article 10, V. de la loi 
n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions
L’essentiel
 :
Le projet de décret, pris en application de l’article 10 de la loi 
relative aux jeux Olympiques et Paralympiques de 2024 qui introduit la possibilité de mettre en œuvre des dispositifs de caméras "augmentées", a pour objet de lister les évènements prédéterminés qu’un traitement algorithmique peut avoir pour objet de détecter.
Le dispositif considéré se décompose en trois phases : phase de conception, phase d’exploitation et phase d’amélioration et de correction.
Par ailleurs, la CNIL rappelle que, aussi bien pour la phase de conception que pour la phase d’exploitation, l’information des personnes est un élément essentiel pour assurer la loyauté des traitements dans un objectif de transparence à l’égard du public. C’est pourquoi elle recommande notamment que les dérogations au droit à l’information prévues lors de la phase d’exploitation soient particulièrement limitées et précisées dans le projet de décret.
Enfin, la CNIL relève que le ministère a réalisé, comme le prévoit la loi, une étude d’impact abstraite relative à la protection des données (AIPD) des risques et avantages des dispositifs qui vont être expérimentées. Elle souligne que ces études d’impact devront être complétées lorsque les dispositifs seront choisis et mis en place, avant leur déploiement opérationnel.
LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTES,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de décret relatif aux modalités de mise en œuvre des traitements algorithmiques sur les images collectées au moyen de systèmes de vidéoprotection et de caméras installées sur des aéronefs, pris en application de l’article 10 de la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le code de sécurité intérieure, notamment ses articles L. 251-1 à L. 255-1, L. 242-1 à L. 242-8, L. 722-1 ;
Vu l’article 10 de la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions ;
Après avoir entendu le rapport de M. Claude CASTELLUCCIA, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
ADOPTE LA DÉLIBERATION SUIVANTE :
I- La saisine
A. Le contexte 
La loi n° 2023-380 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions a été promulguée le 19 mai 2023 (ci-après la "loi"). Son article 10 instaure un cadre expérimental permettant la mise en œuvre de traitements algorithmiques d’analyse automatisée des images provenant des dispositifs de vidéoprotection et de caméras installées sur des aéronefs afin de détecter et de signaler en temps réel des évènements prédéterminés.
Ces traitements ne peuvent être mis en œuvre :
qu’à la seule fin d’assurer la sécurité des manifestations sportives, récréatives ou culturelles qui, par l’ampleur de leur fréquentation ou par leurs circonstances, sont particulièrement exposées à des risques d’actes de terrorisme ou d’atteintes graves à la sécurité des personnes ;
que par les services de la police et de la gendarmerie nationales, les services d’incendie et de secours, les services de police municipale et les services internes de sécurité de la SNCF et de la RATP dans le cadre de leurs missions respectives, qui assumeront la qualité de responsables de traitement.
La CNIL s’est prononcée le 8 décembre 2022 dans sa délibération n° 2022-118 sur ce projet de loi ; elle a notamment relevé que le recours à ces dispositifs soulève des enjeux nouveaux et substantiels en matière de vie privée, mais a néanmoins considéré que les garanties prévues permettent de limiter les risques d’atteinte aux données et à la vie privée des personnes et vont dans le sens des préconisations formulées dans sa prise de position sur les caméras "augmentées" publiée en juillet 2022.
Dans sa décision du 17 mai 2023, le Conseil constitutionnel a jugé l’article 10 de la loi conforme à la Constitution - avec une réserve d’interprétation - en ce qu’il ne méconnaît ni la liberté d’aller et de venir, ni le principe de sauvegarde de la dignité de la personne humaine, ni la liberté d’expression collective des idées et des opinions, ni le droit à la sûreté, ni le principe d’égalité devant la loi, ni aucune autre exigence constitutionnelle.
B. L’objet de la saisine
Le V de l’article 10 de la loi prévoit que le recours au traitement algorithmique, visé au I du même article, doit être autorisé par un décret, pris après avis de la CNIL. Ce décret doit fixer les caractéristiques essentielles du traitement et indiquer notamment "les évènements prédéterminés 
que le traitement a pour objet de signaler, le cas échéant les spécificités des situations justifiant son emploi, les services mentionnés au même I susceptibles de le mettre en œuvre, les éventuelles conditions de leur participation financière à l’utilisation du traitement et les conditions d’habilitation et de formation des agents pouvant accéder aux signalements du traitement".
C’est dans ce contexte que la CNIL a été saisie par le ministère de l’intérieur et des outre-mer du présent projet de décret.
Il ressort du projet de décret que le recours aux traitements algorithmiques se décompose en plusieurs phases :
La phase de conception : conformément à l’article 4 du projet de décret, cette phase doit permettre d’identifier des indicateurs et des critères de pertinence caractérisant les évènements prédéterminés susceptibles de présenter ou de révéler un risque d’actes de terrorisme ou d’atteintes graves à la sécurité des personnes. Au cours de cette phase, un paramétrage peut être réalisé sur les images provenant des dispositifs de vidéoprotection et de caméras installées sur des aéronefs visant à adapter l’algorithme aux conditions d’utilisation réelles. A ce titre, la CNIL demande que la rédaction de l’article 4 du projet de décret soit clarifiée pour être pour être plus compréhensible et accessible. Elle prend acte de la volonté du Gouvernement d’ajouter une nouvelle finalité ayant pour objet d "paramétrer des outils permettant la détection et le signalement en temps réel, à partir de ces images, des évènements prédéterminés".
Les traitements à des fins de conception sont mis en œuvre par l’Etat ou par un sous-traitant conformément aux dispositions du chapitre II du projet de décret. L’Etat a toutefois la possibilité d’acquérir des solutions algorithmiques qui ont déjà fait l’objet d’une phase de conception par un tiers fournisseur de solutions. Dans cette hypothèse, l’article 11 du projet de décret prévoit que l’Etat devra s’assurer que le traitement a été conçu dans le respect des exigences du VI de l’article 10 de la loi.
La phase d’exploitation : les services autorisés mettent en œuvre les traitements algorithmiques afin de détecter et de signaler en temps réel les évènements prédéterminés dans les conditions prévues au chapitre IV du projet de décret. Il s’agit d’un signalement d’attention, les dispositifs ne pouvant pas fonder de décision individuelle ou acte de poursuite.
La phase d’amélioration et de correction : si au cours de la phase d’exploitation, un besoin est identifié d’améliorer la qualité de la détection des événements prédéterminés, les biais ou erreurs peuvent être corrigés dans les conditions prévues au chapitre II du projet de décret.
Les dispositions du projet de décret appellent les observations suivantes.
 
II- L’avis de la CNIL
 
A. Sur les dispositions générales 
Sur les évènements prédéterminés
L’article 3 du projet de décret liste les évènements prédéterminés qu’un traitement algorithmique, visé au I de l’article 10 de la loi, est autorisé à détecter. La CNIL relève que cet article prévoit bien, conformément à la décision précitée du Conseil constitutionnel, que de tels évènements ne pourront être détectés qu’en ce qu’ils sont susceptibles de présenter ou de révéler un risque d’acte de terrorisme ou d’atteinte grave à la sécurité des personnes.
La liste d’évènements prédéterminés de l’article 3 du projet de décret est limitative de telle sorte qu’aucun traitement algorithmique ne pourra être conçu, acquis par l’Etat ou mis en œuvre en phase d’exploitation pour détecter d’autres évènements que ceux qui y sont énumérés.
Les évènements prédéterminés listés à l’article 3 apparaissent pertinents dans le cadre de l’expérimentation. Leur définition appelle les observations suivantes :
En premier lieu, la CNIL prend acte de ce que la détection d’objets abandonnés a uniquement pour objet d’identifier l’abandon de ces objets et ne permet donc pas de suivre des individus.
En deuxième lieu, s’agissant de la détection du "non-respect du sens de circulation par une personne", la CNIL estime que ce cas d’usage ne s’entend que dans l’hypothèse où un sens de circulation serait imposé aux personnes. Elle prend acte de l’engagement du Gouvernement de compléter le décret en ce sens.
En troisième lieu
, la CNIL considère que la détection d’une personne au sol ne devrait concerner que les seuls cas où celle-ci aurait chuté quelle qu’en soit la cause (par exemple un accident, un malaise ou un choc), et non les cas où une personne est assise à terre de façon continue. Elle prend acte de l’engagement du Gouvernement de préciser le décret en ce sens.
Sous les réserves énoncées ci-dessus, la CNIL considère que la liste des évènements prédéterminés entre dans le cadre de la loi.
Sur les garanties communes
L’article 2 du projet de décret rappelle les garanties prévues par la loi : les traitements ne peuvent utiliser aucune donnée biométrique ni aucune technique de reconnaissance faciale, ils ne peuvent procéder à aucun rapprochement, interconnexion ou mise en relation automatisée avec d’autres traitements ou encore fonder, par eux-mêmes, aucune décision individuelle ni poursuites automatisées.
La CNIL prend acte de l’engagement du Gouvernement selon lequel les traitements ne permettront pas le suivi ou la réidentification de personnes, et ce même grâce à des données autres que biométriques (par exemple par le biais de la reconnaissance de vêtements).
La CNIL insiste à nouveau sur l’importance de ces garanties, comme l’a d’ailleurs fait le Conseil constitutionnel dans sa décision précitée en indiquant que "si un tel traitement n’a ni pour objet ni pour effet de modifier les conditions dans lesquelles ces images sont collectées, il procède toutefois à une analyse systématique et automatisée de ces images de nature à augmenter considérablement le nombre et la précision des informations qui peuvent en être extraites. Dès lors, la mise en œuvre de tels systèmes de surveillance doit être assortie de garanties particulières de nature à sauvegarder le droit au respect de la vie privée".
B. Sur la mise en œuvre des traitements pendant la phase de conception lorsque cette dernière est assurée par l’Etat ou pour son compte
Sur le régime juridique applicable lors de la phase de conception
Le Gouvernement a précisé qu’eu égard aux finalités poursuivies :
les traitements à des fins de conception de l’algorithme relèvent du RGPD ;
les traitements mis en œuvre dans le cadre de la phase d’exploitation relèvent du titre III de la loi "informatique et libertés" concernant les dispositions applicables aux traitements relevant de la directive "police-justice", à l’exception de ceux mis en œuvre par les services d’incendie et de secours qui sont régis par le RGPD.
La CNIL relève à cet égard qu’une décision du Conseil d’Etat n° 451653 du 22 juillet 2022, est venue considérer que les traitements mis en œuvre en l’espèce lors de la phase de conception et d’apprentissage d’un système d’intelligence artificielle répondaient au même régime juridique (à savoir le titre III de la loi "informatique et libertés") que ceux mis en œuvre lors de la phase d’exploitation du système au motif que les outils ainsi conçus visaient exclusivement à la recherche d’infractions pénales. Le Conseil d’Etat semble ainsi considérer que l’usage opérationnel des traitements algorithmiques en phase d’exploitation étant précisément identifié dès la phase de conception, les traitements opérés dans les deux phases satisfont une seule et même finalité globale et doivent relever du même régime juridique.
La CNIL prend toutefois acte de la position du Gouvernement considérant que la phase de conception des traitements algorithmiques sera unique, quelque soit le responsable du traitement en phase d’exploitation et qu’il ne pourra pas être déterminé durant cette phase de conception du traitement algorithmique s’il sera in fine utilisé par des autorités compétentes au sens du titre III de la loi "informatique et libertés" en phase d’exploitation.
Sur les garanties mises en œuvre et les mesures de sécurité
Le paragraphe VI de l’article 10 de la loi dispose que le traitement doit satisfaire à un certain nombre d’exigences (sur les données utilisées pour entraîner les algorithmes, sur la mise en œuvre de mesures de traçabilité, de prévention de biais, sur les modalités d'interruption du traitement à tout moment etc.).
A cet égard, l’article 6 du projet de décret prévoit que seules les exigences prévues aux deuxième à cinquième alinéas du VI de l’article 10 de la loi sont applicables à la phase de conception. Toutefois, et conformément au VI de l’article 10 de la loi, l’ensemble des exigences prévues au même VI (alinéa 1° à 5° compris) sont applicables aux traitements acquis ou conçus par l’Etat directement ou pour son compte. La CNIL prend acte de l’engagement du Gouvernement de modifier le projet de décret en ce sens.
Enfin, la CNIL demande que les données traitées dans le cadre de la phase de conception fassent systématiquement l’objet d’opérations de pseudonymisation ou de floutage lorsque de telles opérations ne compromettent pas la qualité technique du traitement. La CNIL prend acte de l’engagement du Gouvernement de suivre cette demande dans la mesure du possible.
Sur l’information des personnes concernées
L’information des personnes est un élément essentiel pour assurer la loyauté des traitements dans un objectif de transparence, et ce dès la phase de conception des traitements algorithmiques. 
L’article 10 du projet de décret prévoit, pour la phase de conception, une information des personnes concernées sur le fondement de l’article 14 du RGPD. La CNIL insiste sur la nécessité, pour le ministère de l’intérieur en qualité de responsable du traitement durant cette phase, de fournir aux personnes concernées, a minima sur son site web, toutes les informations visées à l’article 14 du RGPD et particulièrement le lieu, la date de la manifestation filmées et la finalité de la réutilisation des images.
La CNIL insiste sur l’utilité d’anticiper, autant que possible, l’identification des manifestions pour lesquelles les images issues des dispositifs de vidéoprotection et de caméras installées sur des aéronefs, pourraient être utiles à la conception des algorithmes. En effet, dans cette hypothèse les personnes concernées pourraient être préalablement informées, par les responsables de traitement ayant mis en œuvre ces dispositifs de vidéoprotection ou ces caméras installées sur des aéronefs, conformément à l’article 13.3 du RGPD, de la réutilisation, par le ministère de l’intérieur, des images les concernant à des fins de conception de traitements algorithmiques. Une telle anticipation et le caractère préalable de l’information donnée aux personnes permettraient d’assurer une meilleure transparence et loyauté à l’égard du public. Dans cette hypothèse, si le Gouvernement ne serait pas tenu d’informer les personnes conformément à l’article 14.5.a) du RGPD, la CNIL recommande qu’il fournisse aux personnes une information générale contenant a minima le lieu et la date des manifestations concernées et la finalité de la réutilisation.
En tout état de cause, la CNIL insiste sur la nécessité de délivrer une information compréhensible et accessible afin de permettre aux personnes concernées de prendre conscience des conditions précises dans lesquelles leurs données sont susceptibles d’être collectées et pour quelles finalités.
C. Sur la mise en œuvre des traitements pendant la phase d’exploitation
Sur les accédants
L’article 15 du projet de décret liste les agents des différents services responsables de traitements qui sont autorisés à accéder aux signalements du traitement algorithmique mis en œuvre.
Si seuls des agents individuellement désignés et spécialement habilités et dans la limite de leur besoin d’en connaître pourront accéder à ces signalements, en pratique, le nombre de ces accédants pourrait rapidement être élevé.
A cet égard, compte tenu du caractère novateur et de la haute technicité de ces traitements algorithmiques, des risques qu’il peuvent impliquer par nature pour les libertés individuelles et de leur déploiement inédit et en conditions réelles, la CNIL recommande : 
de limiter au strict nécessaire le nombre d’habilitations octroyées, par exemple en faisant remonter le niveau d’habilitation ;
d’élargir la formation des agents aux fins d’être habilités, prévue au II de l’article 15 du projet de décret, a minima au fonctionnement opérationnel et technique de l’outil mis à disposition. La CNIL prend acte de l’engagement du Gouvernement de préciser le projet de décret en ce sens ;
de fournir une doctrine d’emploi des traitements algorithmiques aux services responsables de traitements et aux agents habilités.
Si le contenu de la formation ne peut pas être défini dans le décret, la CNIL considère en l’état du projet que l’exigence du V de l’article 10 de la loi selon laquelle le décret doit indiquer "les conditions d’habilitation et de formation des agents pouvant accéder aux signalements du traitement" n’est pas entièrement satisfaite. En effet, ces modalités de formation présentent des enjeux majeurs au regard du caractère inédit du déploiement de ces dispositifs.
Enfin, le III de l’article 15 du projet de décret prévoit que "les signalements du traitement font l’objet d’un contrôle par un personnel chargé de superviser la mise en œuvre du traitement". Cette disposition est particulièrement imprécise notamment quant au type de contrôle réalisé, leur objet et le personnel visé. La CNIL prend acte de l’engagement du Gouvernement de préciser la nature du contrôle dans le projet de décret.
Sur les éventuels accès de données hors de l’Union européenne
Il ressort de l’avis du délégué à la protection des données du ministère sur l’AIPD transmise par le Gouvernement que :
pour les traitements relevant du titre III de la loi "informatique et libertés", aucun transfert de données hors de l’Union européenne n’est autorisé conformément à la règlementation ;
pour les traitements soumis au RGPD, des transferts de données à caractère personnel hors de l’Union européenne sont susceptibles d’avoir lieu en cas d’hébergement de l’algorithme ou des données qui en sont issues (traitements opérés hors de l’UE par un sous-traitant) ou via le recours à un sous-traitant localisé en UE mais soumis à un droit extraterritorial tiers (accès en cas de réquisition des données par des autorités étrangères).
Cet avis indique à cet égard qu’il sera nécessaire d’ajouter dans l’AIPD une mise en garde ferme contre les risques de transfert ou de transfert potentiel sans les garanties appropriées. La CNIL estime que cette seule mise en garde ne saurait suffire et rappelle que :
les éventuels transferts de données vers un pays ne faisant pas l’objet d’une décision d’adéquation de la Commission européenne ne peuvent avoir lieu sans être strictement encadrés par des garanties appropriées ou justifiés au regard des dérogations autorités par l’article 49 du RGPD. En l’absence de telles garanties ces transferts ne peuvent avoir lieu ;
les responsables des traitements algorithmiques ayant recours à un sous-traitant soumis à un droit extraterritorial tiers devront s’assurer que celui-ci présente des garanties suffisantes conformément à l’article 28 du RGPD, en vérifiant notamment si les législations et les pratiques locales sont susceptibles de permettre aux autorités étrangères d’accéder aux données stockées sur le territoire de l’Union européenne.
En tout état de cause, la CNIL recommande fortement, au regard de la sensibilité et du caractère inédit des traitements algorithmiques envisagés, qu’aucun transfert de données hors de l’UE ou accès aux données par des autorités étrangères ne puisse avoir lieu, autant en phase de conception que d’exploitation.
Sur l’information des personnes concernées
Comme la CNIL l’a rappelé dans sa délibération sur le projet de loi sur les jeux Olympiques et Paralympiques de 2024, l’information des personnes "est indispensable pour permettre le déploiement de dispositifs de caméras "augmentées" dans un climat de confiance à l’égard des autorités publiques".
A cet égard, une information du public est prévue à l’article 17 du projet de décret (en application des articles 104 de la loi "informatique et libertés" ou 14 du RGPD selon le déploiement considéré et le régime juridique applicable). Toutefois, ces articles sont applicables dans les hypothèses où les données personnelles n’auraient