AgentPublic/cnil huggingface dataset:
Par conséquent, la CNIL demande que le projet de texte soit modifié en ce sens.
 
 
D. Sur l’information des personnes concernées
 
Le I de l’article 7 du projet d’arrêté prévoit que les usagers sont informés des données collectées, des traitements mis en œuvre et de leurs droits par des mentions d’information publiées sur le site internet des responsables du traitement.
 
Ces mentions devront contenir l’ensemble des informations mentionnées aux I et II de l’article 104 de la loi "informatique et libertés".
 
Au regard du risque de défaut de paiement plus élevé sur les axes en flux-libre, la CNIL prend acte de ce que le site du ministère de la transition écologique et de l’aménagement du territoire fournit une présentation générale du "flux libre".
 
Elle recommande que ce dernier soit complété des 
informations sur 
les modalités de collecte et de gestion des données personnelles ainsi que sur les modalités relatives à l’exercice des droits des personnes, en cas de défaut de paiement du péage.
 
A cet égard, le ministère a précisé que la présentation introductive du système de péage sur le site web du ministère serait modifiée comme suit : "Une autoroute à péage en flux libre est une autoroute payante, mais sans barrière de péage. Ce dispositif permet de ne plus avoir à s’arrêter, car des portiques équipés notamment de cameras de lecture des plaques d'immatriculation calculent automatiquement pendant le trajet ce que chaque automobiliste doit payer.
La suppression des barrières de péages permet de réduire les risques d’accrochage, de passer moins de temps sur la route et d’économiser du carburant".
 
Enfin plus largement et au-delà du périmètre de l’arrêté, s’agissant des dispositifs de LAPI déployés sur les axes en flux libre, la CNIL s’interroge sur l’absence actuelle de signalisation permettant l’information des usagers sur le traitement des plaques d’immatriculation.
 
Elle invite donc le ministère à rapidement déployer une information claire et visible des usagers au plus tard au moment de la collecte de ces données.
 
E. Sur les aspects techniques et mesures de sécurité
 
Des mesures de sécurité, qui ont vocation à être mises en place par les SCA, en particulier, dans le cadre des traitements dont elles seront responsables, sont énumérées dans l’AIPD-cadre. 
 
La CNIL invite le ministère à compléter cette dernière sur les questions de sécurisation et de limitation des accès aux données, ainsi que d’habilitation, afin en particulier que les responsables du traitement s’assurent que l’accès aux données ne soit effectivement possible que pour les personnes citées au I de l’article 6, "à raison de leurs attributions et dans la limite du besoin d’en connaître". Cette précision apparaît nécessaire pour répondre adéquatement aux risques d’accès illégitime aux données traitées. 
 
 
Les autres dispositions du projet d’arrêté n’appellent pas d’observations de la part de la CNIL.
 
 
 
La présidente,
 
 
 
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu l’avis favorable du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 janvier 2026 ;
Sur la proposition de Mme Marie Zins, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement :
La société OSPI est spécialisée dans l’amélioration le pilotage et le codage des différentes activités des établissements hospitaliers. Elle a notamment développé un outil destiné à analyser l’activité, la performance, permettant aux établissements de santé de comparer leur activité à celles d’autres établissements à partir des données du Programme de médicalisation des systèmes d’information (PMSI), une des bases composant le Système national des Données de Santé (SNDS).
La société OSPI définit les indicateurs d’activité qui seront calculés et mis à disposition des établissements. Elle définit les modalités de calculs et la méthodologie d’analyse ainsi que les objectifs des études en vue de produire les indicateurs. 
La liste des indicateurs calculés, est définie de manière autonome et exclusive par la société OSPI.
 
Sur la finalité du traitement et son caractère d’intérêt public :
Les traitements nécessitant un accès aux données du PMSI ont pour finalité la réalisation d’études destinées à la construction d’indicateurs d’activité sur l’ensemble des établissements de santé français pour permettre aux établissements utilisateurs de solutions de la société OSPI de se comparer aux autres établissements.
 
 
Ces indicateurs, qui ont été détaillés dans le dossier de demande, auront pour objectifs : 
la planification et l’amélioration de l’offre de soins, 
la consolidation et l’élévation de leur performance, 
l’élaboration et l’évolution des projets médicaux, 
l’analyse de la pertinence de coopérations entre établissements de santé.
 
Sur la licéité des traitements et l’exception permettant de traiter des données concernant la santé :
Les traitements mis en œuvre par la société OSPI s’inscrivent dans le cadre de son activité commerciale.
Ils sont nécessaires aux fins de la poursuite des intérêts légitimes de la société, compte tenu du caractère indirectement identifiant des données ainsi que des garanties prévues par les textes encadrant la mise à disposition des données du SNDS, notamment s’agissant des droits des personnes.
Ces traitements sont, à ce titre, licites au regard du f) du 1 de l’article 6 du règlement général sur la protection des données (RGPD).
Ces traitements, nécessaires à des fins de recherche scientifique, remplissent la condition prévue au point j) du 2 de l’article 9 du RGPD permettant de traiter des données concernant la santé. 
Sur le traitement de données issues du SNDS :
Pour chacun des traitements mis en œuvre dans le cadre de la présente décision unique (quatre études par an), seules les données strictement nécessaires et pertinentes au regard des objectifs poursuivis devront être traitées. 
 
Sous réserve que ces fichiers soient diffusables par l’ATIH, les données concernant les activités suivantes sont nécessaires à la réalisation de ces études : 
médecine, chirurgie, obstétrique et odontologie (MCO) ; 
hospitalisation à domicile (HAD) ; 
séjours en soins médicaux et de réadaptation (SMR) 
les soins en psychiatrie.
 
Les traitements inclus dans le cadre de la décision unique portent sur les données nationales du PMSI dont la profondeur historique maximale sera de cinq ans, qui seront mise à disposition en fenêtre roulante (données de 2020 à 2025, puis de 2021 à 2026, etc.).
L’ensemble des dispositions législatives et réglementaires relatives au SNDS sont applicables en l’espèce, notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique (CSP) et l’obligation de communiquer à la Plateforme des données de santé (PDS) plusieurs éléments avant et après les études.
 
Par ailleurs, le caractère adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles les données sont traitées, la zone géographique concernée et la profondeur historique des données consultées devront être justifiés dans ce registre pour chaque traitement mis en œuvre dans le cadre de cette décision unique. 
 
Sur l'information et les droits des personnes :
Conformément aux dispositions du b) du 5 de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle exigerait des efforts disproportionnés, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. 
 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront prises par le responsable de traitement afin de rendre publiquement disponible l’information concernant la mise en œuvre de ces traitements.
La CNIL relève qu’une rubrique dédiée aux traitements mis en œuvre dans le cadre de cette décision unique est publiée sur le site web de la société OSPI au sein de laquelle figurent :
une note d’information générale sur les traitements mis en œuvre dans le cadre de cette décision unique, qui inclut l’ensemble des mentions prévues par l’article 14 du RGPD ;
une fiche descriptive de chaque analyse ou étude.
Sur les accédants et les destinataires des données :
Seul le responsable du traitement et les personnes habilitées par lui ont accès aux données dans le cadre de la présente décision unique. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. 
 
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. 
 
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
 
Sur la sécurité des données et la traçabilité des actions :
La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l’étude s'effectue sous la responsabilité du responsable de traitement, y compris chez des tiers agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD ainsi que de l’arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au SNDS et de ses mises à jour ultérieures.
 
Les données seront mises à disposition auprès du responsable de traitement par l’intermédiaire du prestataire d’accès sécurisé désigné par l’ATIH, à savoir le CASD.
 
Seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction. 
La CNIL rappelle que les responsables de traitement doivent réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. Si ces trois critères ne peuvent être réunis, une analyse approfondie des risques d’identification doit être menée afin de démontrer que ces derniers, avec des moyens raisonnables, sont inexistants.
Sur la durée d’accès aux données :
Les données à caractère personnel du PMSI ne peuvent faire l’objet d’une conservation par le responsable de traitement en dehors de la plateforme du CASD, leur exportation étant interdite.
La durée d’accès aux données dans la plateforme sécurisée doit être limitée à la durée nécessaire à la mise en œuvre des traitements, qui ne saurait être supérieure à trois ans à compter de la date d’accès effectif aux données.
Sur l’opportunité du recours à la décision unique : 
Les traitements décrits répondent à une même finalité, portent sur des catégories de données identiques, les seules données du PMSI, et concernent des catégories de destinataires identiques, les personnes habilitées par le responsable de traitement.
Ces traitements relevant du régime prévu par les dispositions des articles 66 et 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après la loi "informatique et libertés"), la CNIL estime opportun, au vu des éléments présentés dans le dossier de demande, de faire application des dispositions de l’article 66 IV de cette même loi. 
 
 
Dans ces conditions, la CNIL autorise la société OSPI à mettre en œuvre les traitements de données à caractère personnel décrits ci-dessus pour une durée de trois ans, avec obligation de remise d’un bilan détaillant les analyses réalisées et la méthodologie suivie à l’issue de ce délai. 
 
La Présidente,
Marie-Laure Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b ;
 
Après avoir entendu le rapport de M. Didier Kling, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement 
 
Formule les observations suivantes :
 
Les données de localisation des véhicules connectés sont au cœur de nombreux usages des acteurs de l’écosystèmes des véhicules connectés : leur exploitation permet de proposer des services innovants pouvant permettre une amélioration de l’expérience du déplacement (gestion d’une flotte commerciale, aide à la navigation, info-divertissement, maintenance, etc.), des gains de sécurité (assistance et dépannage, etc.) ou encore l’optimisation et l’amélioration des véhicules et des services proposés.
Or, ces données sont considérées comme des données hautement personnelles, particulièrement intrusives pour la vie privée des personnes, puisqu’elles sont susceptibles de révéler leurs déplacements, leurs lieux de fréquentation ou encore, leurs centres d’intérêts. Leur traitement appelle donc à une vigilance particulière. 
 
Cette recommandation a pour objectif d’aider les professionnels concernés dans leur démarche de mise en conformité. Elle n’est ni prescriptive ni exhaustive. Elle a été élaborée à la suite de travaux en concertation avec des représentants des acteurs concernés et de la société civile. Elle a également fait l’objet d’une consultation publique du 25 mars au 20 mai 2025. 
 
Décide : 
 
Article 1er : La délibération n° 2010-096 du 8 avril 2010 portant recommandation relative à la mise en œuvre, par les compagnies d’assurance et les constructeurs automobiles, de dispositifs de géolocalisation embarqués dans les véhicules est abrogée.
 
Article 2 : La recommandation figurant en annexe est adoptée. 
 
Article 3 : La présente délibération sera publiée au Journal officiel de la République française. 
 
 
La présidente
 
M.-L. Denis
 
ANNEXE
Vous pouvez consulter l'intégralité du texte avec ses images à partir de l'extrait du Journal officiel électronique authentifié : JORF n°0151 du 30 juin 2026
N° de la saisine : n°25018328
Thématiques : Caméras individuelles, transport public de voyageurs par autobus et par autocars
Organisme(s) à l’origine de la saisine : ministère de l’aménagement du territoire et de la décentralisation
Fondement de la saisine : article 11 de la loi n° 2025-379 du 28 avril 2025 relative au renforcement de la sûreté dans les transports 
 
L’essentiel :
 
La CNIL a été saisie pour avis par le ministère de l’aménagement du territoire et de la décentralisation d’un projet de décret visant à encadrer les modalités d’application de l’article 11 de la loi n° 2025-379 du 28 avril 2025 relative au renforcement de la sûreté dans les transports, qui prévoit une expérimentation pour une durée de trois ans de dispositifs de caméras individuelles par les conducteurs des services réguliers de transport public par autobus ou par autocar. 
 
Elle regrette l’absence d’analyse relative à la protection des données (AIPD) "cadre" rédigée par le ministère, qui constitue une garantie pour la protection des droits et des libertés des personnes concernées à l’égard des traitements projetés.
 
La CNIL considère que le ministère devra guider les responsables de traitement dans la rédaction des doctrines d’emploi des caméras individuelles afin de garantir leur harmonisation et qu’elles devront contenir une liste détaillée des situations justifiant une transmission en temps réel des enregistrements.
 
 
 
La Commission nationale de l'informatique et des libertés,
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Sophie Lambremon, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
 
ADOPTE LA DELIBERATION SUIVANTE :
 
I. La saisine
 
A. Le contexte de la saisine
 
Ce projet de décret est pris en application de l’article 11 de la loi n °2025-379 du 28 avril 2025 relative au renforcement de la sûreté dans les transports qui autorise, à titre expérimental pour une durée de trois ans, les conducteurs des services réguliers de transport public par autobus ou par autocar à procéder, sur le territoire national, à un enregistrement audiovisuel dans le cadre de leurs missions au moyen de caméras individuelles. Cette disposition prévoit qu’un décret en Conseil d’État pris après avis de la CNIL viendra préciser ses modalités d’application et celles d’utilisation des données collectées.
Pour rappel, les agents des services internes de sécurité de la SNCF et de la RATP ainsi que les agents des exploitants des services de transport disposent de caméras individuelles (CNIL, SP, 2 octobre 2025, avis sur un projet de décret relatif à l’usage des caméras individuelles par les agents mentionnés au 4° du I de l’article L. 2241-1 du code des transports, par les agents de l’exploitant du service de transport ou de l’entreprise de transport exerçant des missions de nature équivalente à celles exercées par les agents mentionnés au même 4° et par les agents des services internes de sécurité de la SNCF et de la RATP, n° 2025-085, publié).
 
L’objet de la saisine 
La CNIL a été saisie pour avis d’un projet de décret relatif à l'usage de caméras individuelles par les conducteurs des services réguliers de transport public par autobus ou par autocar, conformément à l’article 8, 4°, a) de la loi n° 78-17 du 6 janvier 1978, modifiée, relative à l’informatique, aux fichiers et aux libertés.
Le projet de décret vise à prévoir les modalités d’application de l’article 11 de la loi n° 2025-379 du 28 avril 2025 relative au renforcement de la sûreté dans les transports. 
 
 
II. L’avis de la CNIL
 
A. Sur le régime juridique applicable
La finalité poursuivie par les dispositifs de caméras individuelles est "la prévention des incidents au cours de l’exercice des missions des conducteurs. Est considéré comme un incident au sens du présent décret tout évènement affectant ou susceptible d’affecter la sécurité des conducteurs, des voyageurs ou des véhicules" (article 1er du projet de décret).
 
Les conducteurs des services réguliers de transport public par autobus ou par autocar peuvent assurer des lignes régulières de transports en commun, conduire sur des lignes régionales, nationales ou internationales, effectuer un transport scolaire et périscolaire, effectuer un transport de personnel ou encore conduire des navettes urbaines.
Ils ont pour mission principale de transporter les passagers en assurant leur confort et leur sécurité. Ils peuvent également assurer le contrôle visuel des titres de transport. Ils doivent gérer les situations d'urgence et les comportements difficiles des passagers. Ils doivent notamment identifier, signaler et reporter les incidents mécaniques. L’usage des caméras individuelles se limite aux missions qu’ils exercent dans le véhicule.
 
Au regard de la finalité poursuivie par les traitements et des missions des conducteurs, la CNIL relève que le régime juridique applicable à ces traitements est le règlement général sur la protection des données (RGPD). 
 
B. Sur l’analyse d’impact relative à la protection des données (AIPD)
Conformément à l’article 35-1 du RGPD, le responsable de traitement effectue une AIPD lorsque le traitement, compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques. Ce même article prévoit qu’une seule et même AIPD puisse porter sur un ensemble d’opérations de traitement similaires qui présentent des risques élevés similaires. 
 
La CNIL relève que l’article 35-10 du RGPD prévoit expressément que, dans certaines conditions, une AIPD "cadre" puisse être réalisée à l’appui de dispositions légales relatives à la mise en œuvre de traitements de données à caractère personnel. La réalisation d’une AIPD "cadre" est de nature à constituer une garantie supplémentaire pour la protection des droits et des libertés des personnes concernées. Dans le cas du présent traitement, cette AIPD pourrait constituer le socle de référence des garanties minimales à mettre en œuvre par l’ensemble des responsables de traitement qui seront dotés de caméras individuelles.
 
En l’espèce, le ministère a fait le choix de ne pas réaliser une AIPD "cadre" et de laisser le soin à chaque responsable de traitement de réaliser sa propre AIPD. La CNIL regrette l’absence de ce document, qui aurait pu servir d’appui aux responsables de traitement.
 
C. Sur la doctrine d’emploi des caméras individuelles
La CNIL prend acte de l’obligation pour chaque responsable de traitement mettant en œuvre un dispositif de caméras individuelles de rédiger une doctrine d’emploi de ces caméras afin d’informer, guider et former les conducteurs pour éviter une collecte disproportionnée de données personnelles au regard de la finalité du traitement. 
 
Le ministère a indiqué que la réalisation d’un modèle de doctrine d’emploi par le ministère n’était pas prévue. La CNIL regrette ce choix et considère que le ministère devra accompagner les responsables de traitement dans la rédaction de ces doctrines d’emploi afin de garantir leur harmonisation. 
 
Par ailleurs, conformément au II de l’article 4 du projet de décret, par exception les enregistrements audiovisuels pourront être transmis en temps réel vers le poste de commandement du service concerné lorsque la sécurité des conducteurs, des voyageurs ou des véhicules est menacée. La CNIL considère que la doctrine d’emploi devra contenir une liste détaillée des situations justifiant cette transmission en temps réel des enregistrements. 
 
D. Sur les mesures de sécurité