AgentPublic/cnil huggingface dataset:
La CNIL observe que le projet de décret prévoit la possibilité d'enregistrer les images en continu, alors que l'article 14 de la loi ne contient aucune disposition imposant le recours à des systèmes de captation continue des images.
Interrogé sur les raisons de son choix, le ministère a indiqué les difficultés des opérateurs à interrompre la captation lors des arrêts en station, susceptibles de mettre en question leur participation à l'expérimentation et notamment :
- la vigilance que le conducteur doit porter à sa conduite et à la sécurité du transport ne permet pas le déclenchement manuel du dispositif d'enregistrement par le conducteur ;
- la technologie permettant l'interruption automatisée de la captation d'images à l'arrêt par couplage de la caméra à la vitesse du tramway n'existe pas à ce stade et nécessiterait un développement dont le coût apparaît disproportionné pour une expérimentation ;
- la survenance d'accidents lorsque le tramway est à l'arrêt (accident de tramway survenu à Strasbourg le 11 janvier 2025 alors que la rame percutée était à l'arrêt au moment du choc) et les phases de redémarrage sont des configurations dans lesquelles des événements sont susceptibles de se produire (nécessaires pour une vision globale de l'environnement avant la survenance d'un événement).
Pour cette expérimentation, l'article 14 de la loi prévoit que les caméras embarquées sont employées "de telle sorte qu'elles ne visent pas à recueillir les images de l'intérieur des domiciles ni, de façon spécifique, celles de leurs entrées. Lorsque l'emploi de ces caméras conduit à visualiser de tels lieux, l'enregistrement est immédiatement interrompu. Toutefois, lorsqu'une telle interruption n'a pu avoir lieu compte tenu des circonstances de la captation des images, les images enregistrées sont supprimées dans un délai de quarante-huit heures à compter de leur captation, sauf transmission dans ce délai dans le cadre d'un signalement à l'autorité judiciaire sur le fondement de l'article 40 du code de procédure pénale" ;
A cet égard, l'article 7 du projet de décret précise que les caméras frontales embarquées sont centrées sur l'axe de la rame et ne peuvent capter les images que dans un angle d'ouverture maximal de soixante degrés dans le plan horizontal.
La CNIL considère que la finalité de prévention ou d'analyse d'éventuels accidents peut justifier que la caméra filme en continu pendant la mise en service d'un tramway sur la voie publique, puisqu'il n'est pas possible de prévoir le moment de l'accident. Elle prend également en compte les difficultés pratiques concernant la mise en œuvre d'interruptions répétitives et récurrentes des enregistrements à chaque arrêt en station. Elle accueille favorablement la garantie selon laquelle les caméras devraient en principe être amenées à filmer uniquement la voie de circulation du train, à l'avant, ainsi que, éventuellement, ses abords immédiats, de manière limitée :
- dans le temps (arrêts courts en stations de tramways contrairement aux gares ferroviaires) ;
- et dans l'espace, par l'angle d'ouverture maximal de soixante degrés.
Elle considère que ces mesures sont de nature à minimiser les atteintes à la vie privée et que de tels dispositifs poursuivent un objectif légitime.
Elle relève cependant que certains opérateurs ont fait valoir que cet angle d'ouverture restreint ne serait pas forcément efficace en pratique.
La CNIL prend en compte ces difficultés et considère que l'expérimentation prévue devrait permettre d'évaluer la pertinence de cette garantie à l'occasion de sa mise en œuvre et d'en tirer toutes les conséquences dans le rapport d'évaluation.
2. Sur la pseudonymisation à l'enregistrement des images
Le projet de décret prévoit que les images captées par les caméras frontales embarquées soient "soumises à pseudonymisation […] dès leur enregistrement".
La CNIL appelle l'attention du ministère sur la distinction entre une telle pseudonymisation et une pseudonymisation à la captation, telle qu'évoquée par certains opérateurs dans les documents complémentaires fournis par le ministère. En effet, les deux procédés ne sont pas équivalents et supposent des mécanismes de mise en œuvre distincts. Elle indique que l'observation formulée ci-après concerne le mécanisme de pseudonymisation dès l'enregistrement des images et incite le ministère à préciser ces modalités auprès des opérateurs.
Ensuite, bien que les éléments complémentaires apportés par le ministère indiquent qu'une pseudonymisation à l'enregistrement constitue un "obstacle technique majeur à la mise en œuvre de l'expérimentation", la CNIL ne considère pas comme telle cette modalité et estime, en outre, qu'une telle mesure est de nature à limiter les atteintes aux droits et libertés des personnes concernées. Elle note de surcroît que les limitations identifiées par le ministère sur la mise en place d'une pseudonymisation à l'enregistrement, bien que non bloquantes, peuvent être aussi en partie expliquées par un manque de disponibilités sur le marché de dispositifs d'enregistrement vidéo offrant une minimisation des données collectées par conception.
Ainsi pour la mettre en place, le ministère pourrait considérer, de manière non exhaustive, les éléments suivants :
- sur le moment effectif de la pseudonymisation : l'enregistrement pourrait être considéré comme ayant effectivement lieu lorsque les images sont transférées du disque dur situé dans l'enregistreur physiquement embarqué dans chaque rame vers un système centralisé. Ainsi la pseudonymisation pourrait avoir lieu avant ou à bref délai après la centralisation ou extraction des données, ce qui réduirait ainsi les difficultés identifiées par les différents opérateurs. Cette modalité de pseudonymisation nécessiterait toutefois qu'une attention toute particulière soit apportée aux modalités de sécurisation du stockage et des transmissions, telles qu'évoquées ci-après. En tout état de cause, la CNIL prend acte de l'engagement du ministère de modifier le projet de décret afin de clarifier la temporalité de l'enregistrement. Cette dernière permettra aux opérateurs de procéder à la pseudonymisation soit dès la captation, soit au plus tard lors du transfert des données vers un système centralisé de stockage des données ;
- sur les modalités concrètes de pseudonymisation : elle appelle l'attention du ministère sur la nécessité, lors de la pseudonymisation, de considérer a minima : une obfuscation (par le biais d'un floutage ou d'un masquage) des personnes présentes sur l'image mais aussi des véhicules et de tout autre élément directement identifiant (les plaques d'immatriculation par exemple).
Enfin, le ministère précise que, malgré l'exigence d'effectivité de la pseudonymisation dès l'enregistrement, des données brutes pourront être adressées aux autorités compétentes dans le cadre de procédures judiciaires, administratives ou disciplinaires. Cette opération est qualifiée de "levée de pseudonymisation" dans le projet de décret. La CNIL invite le ministère à ne pas faire mention de cette opération puisqu'elle ne reflète pas la réalité du traitement de données effectué. En effet, tel que précisé dans les éléments transmis, il y a, au moins dans certains cas, conservation des données sous deux formes distinctes. Si elle rappelle que l'article 14 de la loi du 28 avril 2025 ne s'oppose pas à de telles modalités, elle considère que le projet de décret est insuffisamment précis sur ce point. A des fins de lisibilité pour les opérateurs et les personnes concernées, elle estime que le projet de décret doit être modifié en précisant :
- la dualité de la nature des informations concernées ;
- mais aussi le périmètre des données concernées par une conservation non pseudonymisée.
Elle prend acte de l'engagement du ministère de modifier le projet de décret en vue de :
- supprimer la mention de l'opération de "levée de pseudonymisation" ;
- clarifier le fait que sont conservées des données pseudonymisées et non pseudonymisées et, pour ces dernières, faire apparaître les fins pour lesquelles elles sont conservées (procédures judiciaires, administratives et disciplinaires).
3. Concernant l'anonymisation
Le projet de décret prévoit de conserver, au-delà du délai prévu, les données anonymisées.
La CNIL rappelle cependant qu'il est extrêmement difficile d'anonymiser des vidéos (c'est-à-dire de rendre impossible toute réidentification ultérieure des personnes, par la mise en œuvre de procédés de floutage par exemple) par un procédé systématique, tout en préservant leur utilité pour une exploitation ultérieure. Ces contraintes conduisent donc le plus souvent à se limiter à une simple pseudonymisation des vidéos, ce qui permet leur utilisation pour les finalités assignées au traitement sans porter une atteinte disproportionnée aux droits des personnes (CNIL, SP, 3 février 2022, avis sur un projet de décret pris en application de l'article 61 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés, n° 2022-012, publié).
Elle prend acte de l'engagement du ministère de supprimer la mention d'anonymisation dans le projet de décret.
E. - Sur les durées de conservation et l'effacement des données
L'article 8 du projet de décret prévoit que les données et informations enregistrées dans le traitement peuvent être conservées pendant une durée maximale de trente jours à compter du jour de leur enregistrement. Au terme de ce délai, ces données sont effacées automatiquement des traitements ou "anonymisées".
L'article 14 de la loi du 28 avril 2025 précise que ces enregistrements sont effacés dans le délai précité, hors les cas où ils sont utilisés dans le cadre d'une procédure judiciaire, administrative ou disciplinaire.
La CNIL attire dès lors l'attention des responsables de traitement sur le principe d'une conservation de ces données pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, et qui pourra être inférieure à trente jours. Elle appelle, par conséquent, à ce que la durée de conservation des enregistrements soit fixée au regard tant des besoins opérationnels d'usage de ces données, que des contraintes techniques associées.
F. - Sur le bilan d'expérimentation
La mise en œuvre de ces dispositifs doit se faire de manière expérimentale. A cet égard :
- la loi prévoit qu'elle fait l'objet d'un rapport d'évaluation remis au Parlement au plus tard six mois avant son terme afin d'évaluer l'opportunité du maintien des mesures qu'elle prévoit ;
- plus particulièrement, l'article 14 du projet de décret prévoit que les opérateurs adressent au ministre chargé des transports un bilan de l'emploi des caméras au plus tard le 1er septembre 2027.
La CNIL relève une forte disparité des solutions envisagées par les opérateurs selon les difficultés rencontrées, en particulier pour les modalités de pseudonymisation et de stockage des images. L'hétérogénéité de ces solutions ne permet pas à la CNIL d'appréhender en toute connaissance de cause la variété des risques susceptibles d'être engendrés pour les personnes concernées en matière de sécurité des données. Elle rappelle que l'obligation qui incombe aux responsables de traitement de mettre en place des mesures de sécurité adaptées à ces risques n'est pas atténuée par le fait que ces traitements interviennent dans le cadre d'une expérimentation. Elle estime en outre nécessaire que le ministère définisse, en lien avec les responsables de traitement, un socle commun de mesures de sécurité aptes à limiter fortement les risques et d'harmoniser a minima les pratiques. Aussi, elle attend que les bilans d'emplois des caméras transmis ainsi que le rapport d'évaluation, fassent apparaître une analyse des risques et un socle minimal de mesures qui paraîtraient importantes à réunir en perspective d'une éventuelle pérennisation.
La CNIL considère que le rapport d'évaluation remis au Parlement devrait pouvoir faire apparaître la vision d'ensemble du ministère en précisant notamment :
- la méthodologie d'expérimentation ;
- l'évaluation de l'efficience des différentes modalités retenues de pseudonymisation ;
- les contraintes opérationnelles rencontrées par les différents opérateurs et les mesures associées.
Elle considère, en outre, que ce rapport d'expérimentation devrait lui être transmis.
Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des
personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces
données ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des
personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des
fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution
de sanctions pénales, et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment
ses articles 10 et 22-1 ;
Vu le décret no 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi du 6 janvier 1978, notamment
ses articles 41, 45-1 et 45-2 ;
Après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement ;
Décide :
Art. 1er. – Les agents de la direction des contrôles et des sanctions de la Commission nationale de
l’informatique et des libertés (CNIL) ci-après désignés et ceux nommés en application du premier alinéa de
l’article 41 du décret no 2019-536 du 29 mai 2019 modifié sont habilités à établir un rapport en application du
cinquième alinéa de l’article 22-1 de la loi du 6 janvier 1978 modifiée :
Mme Fabienne AMIARD ;
Mme Madeleine CAZETTES DE SAINT LEGER ;
Mme Virginie CLAUDE-LOONIS ;
Mme Audrey DANEL ;
Mme Ludivine DELELIS ;
Mme Caroline DEROUET ;
M. Martin FRIEYRO ;
Mme Marie GAILLARDON ;
Mme Sophie GEISTEL ;
M. Rodolphe GÉNISSEL ;
Mme Sarah GUILLOU ;
Mme Marion JABOT ;
Mme Lucile JOURDANNAUD ;
Mme Morgane LE HIR ;
Mme Maud LETAY ;
Mme Alexandrine MANDRON ;
Mme Isabelle MANTZ ;
Mme Clothilde MAULIN ;
Mme Oriane MAURICE ;
Mme Nina MCEVOY ;
Mme Rébecca PRADEL ;
Mme Aude RICHARD ;
Mme Louise VANDEVILLE.
Art. 2. – Les habilitations mentionnées à l’article 1er sont délivrées pour une durée de cinq ans.
Art. 3. – La délibération no HABS-2025-005 du 25 septembre 2025 portant habilitation de certains agents de la
Commission nationale de l’informatique et des libertés est abrogée.
Art. 4. – La présente décision sera publiée au Journal officiel de la République française.
La présidente,
M.-L. DENIS
Les développements de la délibération comportant des données à caractère personnel ou des secrets protégés par la loi sont remplacés par le signe […] –
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. KLING, membres,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ;
Vu la décision n° 2024-205C du 6 novembre 2024 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 17 février 2025 ;
Vu le rapport de M. Tarissan, commissaire rapporteur, notifié à la société le 25 juillet 2025 ;
Vu les observations écrites de la société FREE MOBILE reçues le 15 septembre 2025 ;
Vu la réponse du rapporteur notifiée à la société FREE MOBILE le 15 octobre 2025 ;
Vu les observations écrites de la société FREE MOBILE reçues le 17 novembre 2025 ;
Vu la clôture de l’instruction notifiée à la société FREE MOBILE le 18 novembre 2025 ;
Vu la demande de huis-clos formulée le 15 septembre 2025 et refusée le 3 décembre 2025 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 15 décembre 2025 ;
Vu la note en délibéré produite par la société le 19 décembre 2025 ;
Vu les autres pièces du dossier,
Étaient présents, lors de la séance de la formation restreinte du 15 décembre 2025 :
- Monsieur Tarissan, commissaire, entendu en son rapport ;
En qualité de représentants de la société FREE MOBILE :
- […]
Le président ayant vérifié l’identité des représentants du mis en cause, présenté le déroulé de la séance et rappelé que le mis en cause peut, s’il le souhaite, présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte.
La société FREE MOBILE ayant été informée de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier.
Après en avoir délibéré, a adopté la décision suivante :
I. Faits et procédure
1. Le groupe ILIAD, spécialisé dans les télécommunications en Europe, compte plus de 50,2 millions d’abonnés. La société française ILIAD est la maison mère du groupe du même nom. Elle détient à 100 % la société FREE MOBILE (ci-après la société ), qui exerce une activité d’opérateur de téléphonie mobile et comptait, au 31 décembre 2024, environ 15,5 millions d’abonnés mobiles. En 2024, le chiffre d’affaires de la société ILIAD était de 10,024 milliards d’euros pour un résultat net de 367 millions d’euros.
2. La société FREE MOBILE a été alertée le 21 octobre 2024, par un attaquant s’étant introduit dans son système d’information, de la compromission de la confidentialité des données de ses abonnés (y compris d’abonnés convergents c’est-à-dire à la fois clients de la société FREE MOBILE et de la société FREE). A la suite de cette alerte, la société a conduit des investigations qui ont permis de confirmer la survenance d’une violation de données (ci-après la violation de données en cause ). Celle-ci a duré du 28 septembre au 22 octobre 2024.
3. La société a notifié cette violation de données à la Commission nationale de l’informatique et des libertés (ci-après la Commission ou la CNIL ), le 23 octobre 2024, puis a complété cette notification le 5 novembre 2024. Par ailleurs, elle a informé les personnes concernées de la survenance de la violation de données, par courriel, de manière échelonnée entre le 24 et le 29 octobre 2024 afin de ne pas saturer les serveurs de messagerie.
4. Au jour de la notification du rapport de sanction, la CNIL avait reçu 2 614 plaintes de personnes concernées par cette violation de données.
5. Par décision n° 2024-205C du 6 novembre 2024, la Présidente de la Commission a chargé le secrétaire général de procéder ou de faire procéder à une mission de contrôle afin de vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi Informatique et Libertés ou LIL ) et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le RGPD ou le Règlement ), de tout traitement mis en œuvre par les sociétés FREE MOBILE et FREE.
6. En application de cette décision, le 8 novembre 2024, une délégation a procédé à une mission de contrôle sur place dans les locaux des sociétés FREE MOBILE et FREE sis 16 rue de la Ville L’Évêque à Paris (75008).
7. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 17 février 2025, désigné Monsieur Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés.
8. Le 24 juillet 2025, la présidente de la Commission a informé les sociétés FREE MOBILE et FREE de sa décision de disjoindre la procédure de sanction initialement intentée à l’égard des deux sociétés, chacune de celles-ci étant désormais poursuivies dans le cadre d’une procédure distincte.
9. A l’issue de son instruction, le rapporteur a fait notifier le 25 juillet 2025 à la société FREE MOBILE un rapport détaillant les manquements aux articles 5-1-e), 32 et 34 du RGPD qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société et une injonction assortie d’une astreinte de mettre en conformité le traitement avec les dispositions des articles 5- 1- e) et 32 du RGPD. Il proposait également que cette décision soit rendue publique.
10. Le 15 septembre 2025, la société a produit des observations en réponse au rapport de sanction.
11. Le rapporteur a répondu aux observations de la société le 15 octobre 2025.
12. Le 17 novembre 2025, la société a produit ses secondes observations en réponse.
13. Par courrier du 18 novembre 2025, le rapporteur a, en application du III de l’article 40 du décret n° 2019-536 susvisé, informé la société et le président de la formation restreinte que l’instruction était close.
14. Par courrier du 18 novembre 2025, la société a été informée que le dossier était inscrit à l’ordre du jour de la séance de la formation restreinte du 4 décembre 2025.
15. Le 18 novembre 2025, la société a, par l’intermédiaire de son conseil, sollicité le report de la séance de la formation restreinte. Le 25 novembre 2025, le président de la formation restreinte a fait droit à cette demande de report et a informé la société de l’inscription du dossier à l’ordre du jour de la séance du 15 décembre 2025.
16. Le 3 décembre 2025, le président de la formation restreinte a refusé la demande de huis-clos formée par la société dans ses observations du 15 septembre 2025. Il a rappelé que la procédure devant la formation restreinte étant écrite et que si la société ne souhaitait pas dévoiler devant des tiers des éléments susceptibles de lui porter préjudice, elle pouvait, lors de la séance, renvoyer à ses observations écrites.
17. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. La violation de données en cause
18. Il résulte de l’enquête menée par la société FREE MOBILE, à la suite de l’alerte reçue le 21 octobre 2024, que l’attaquant s’est d’abord connecté à son réseau privé virtuel (ci-après VPN ) […]