AgentPublic/cnil huggingface dataset:
Sur la durée de conservation des données
 
Les données directement identifiantes seront conservées en base active durant dix-huit mois, afin de collecter les données de suivi des personnes concernées. A l’issue de ce délai, les données seront supprimées.
 
Les données indirectement identifiantes seront conservées en base active durant trente mois puis en archivage pour une durée de dix ans.
 
La Commission considère que cette durée n’excède pas la durée nécessaire au regard de la finalité pour laquelle elles sont collectées et traitées, conformément aux dispositions de l’article 5, paragraphe 1, point e) du RGPD.
 
Sur la sécurité des données et la traçabilité des actions
 
La Commission recommande que les permissions d'accès soient attribuées pour une durée déterminée et limitée, après validation hiérarchique, qu’elles soient supprimées dès qu'un utilisateur n'est plus habilité et qu’une revue globale des habilitations attribuées soit opérée régulièrement.
 
Au vu de la sensibilité des données dont le traitement est envisagé, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé. Elle recommande que la création de comptes utilisateur, le paramétrage du canal utilisé pour la transmission des codes à usage unique et le renouvellement du mot de passe soient également sécurisés par le moyen précité.
Sous réserve de la prise en compte des recommandations précitées, les mesures de sécurité décrite par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5-1-f) et 32 du RGPD.
 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour régulière des mesures de sécurité, de l’analyse d’impact relative à la vie privée ainsi que de l’homologation de sécurité au regard de la réévaluation régulière des risques.
 
 
 
Dans ces conditions, la Commission autorise le CENTRE HOSPITALIER UNIVERSITAIRE DE NANTES à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’une étude portant sur la fréquence, les conséquences et les déterminants des soins suboptimaux dans la prise en charge initiale de la maltraitance physique de l’enfant âgé de moins de six ans dans la région Ouest.
 
 
 
 
La présidente
 
 
 Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de loi relatif à la responsabilité pénale et à la sécurité intérieure ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-I-4°a) pour les articles 7 à 10 du projet de loi et 8-I-2°e) pour l’article 16 du projet de loi ;
Vu la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés ;
Vu la décision n° 2021-817 DC du 20 mai 2021 du Conseil constitutionnel relative à la loi pour une sécurité globale préservant les libertés ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés (ci-après la Commission ) a été saisie, en urgence, le 15 juin 2021, par le ministère de l’intérieur, de plusieurs dispositions du projet de loi relatif à la responsabilité pénale et à la sécurité intérieure (ci-après le projet de loi ).
Le titre III du projet de loi comprend plusieurs dispositions relatives à la captation d’images, qui visent à tirer les conséquences de la décision du Conseil constitutionnel relative à la loi pour une sécurité globale préservant les libertés (Conseil constitutionnel, décision n° 2021-817 DC du 20 mai 2021). D’autres dispositions du projet de loi, relatives au fichier national des personnes interdites d’acquisition et de détention d’armes (FINIADA) et à la mise en place de relevés signalétiques forcés, intéressent également la protection des données à caractère personnel.
A titre liminaire, s’agissant des dispositions relatives aux caméras aéroportées et embarquées, la Commission rappelle qu’elle s’est déjà prononcée, dans sa délibération n° 2021-011 du 26 janvier 2021, sur des dispositions ayant le même objet. Elle est à nouveau appelée à se prononcer sur de tels dispositifs, qu’il convient d’examiner au regard de la réglementation en matière de protection des données et à la lumière de la décision du Conseil constitutionnel précitée. A titre général, la Commission relève que le présent projet de loi reprend les garanties apportées dans le cadre des travaux parlementaires sur la loi pour une sécurité globale précitée, notamment à la lumière de ses observations et de celles que le Conseil constitutionnel a estimé nécessaires. A ce titre, ce projet de loi permet de préciser l’usage des dispositifs de captation d’images et de renforcer leur cadre légal.
Néanmoins, la Commission considère que le présent projet de loi n’épuise pas les problématiques relatives à l’encadrement juridique en matière de vidéoprotection. Elle rappelle en effet que de nombreuses dispositions du code de la sécurité intérieure (CSI), qui constitue le cadre juridique général en la matière, sont obsolètes depuis l’évolution de la réglementation en matière de protection des données à caractère personnel intervenue en 2018, et qu’elles ne permettent donc pas aux responsables de traitement de connaitre l’état réel de leurs obligations en la matière ni aux personnes concernées de savoir de quelle manière exercer leurs droits. La Commission appelle dès lors l’attention du Gouvernement sur la nécessité de compléter le cadre juridique encadrant ces dispositifs.
En tout état de cause, les dispositions du projet de loi qui lui sont soumises appellent les observations suivantes de la Commission.
Sur les dispositions relatives aux caméras aéroportées
L’article 8 du projet de loi vise à créer un cadre juridique permettant l’usage par les autorités publiques des caméras installées sur les aéronefs.
A titre liminaire, la Commission observe que les modifications projetées ne visent pas seulement les caméras installées sur des aéronefs circulant sans personne à bord (notamment les drones), mais concerneront également les autres aéronefs équipés d’une caméra (ballons captifs, avions, hélicoptères et autres aéronefs).
La Commission relève par conséquent que la captation d’images permise par ces aéronefs sera élargie, dans la mesure où elle concernera tous les moyens aéroportés utilisés par les services de la police et de la gendarmerie nationales ainsi que par les services investis de missions de sécurité civile.
En premier lieu, tout en prenant acte de la volonté du législateur de recourir à de tels dispositifs, la Commission rappelle que, dans sa délibération n° 2021-011 précitée, elle a appelé solennellement l’attention du législateur sur le changement de nature et d’ampleur de ce type de dispositif par rapport à la vidéoprotection classique . Elle réitère sa proposition de conditionner l’utilisation des caméras aéroportées à une expérimentation préalable, dont la durée serait limitée, afin de s’assurer que ces dispositifs sont nécessaires et toujours proportionnés au regard des finalités déterminées. En dehors même d’un cadre expérimental, la publication d’un rapport évaluant l’efficacité et la proportionnalité de ces dispositifs par les forces de police serait également pertinente, après une première période d’utilisation.
En deuxième lieu, s’agissant des
finalités pour lesquelles l’usage des caméras aéroportées serait fait, la Commission constate que leur usage est fortement réduit par rapport à l’article 47 de la loi pour une sécurité globale préservant les libertés. En effet, cet article autorisait de façon générale, sur autorisation du procureur de la République ou du juge d’instruction, l’utilisation de drones pour constater, rechercher ou poursuivre tous les crimes et délits punis de plus de cinq ans d’emprisonnement et toutes les autres infractions, y compris toutes les contraventions, à condition qu’il soit particulièrement difficile de procéder à la recherche ou au constat par d’autres moyens. Le projet de texte qui est soumis à la Commission ne prévoit plus ces finalités et la Commission en déduit que le recours à des caméras aéroportées, pour des finalités de police judiciaire, ne sera possible que dans les conditions du droit commun des enquêtes pénales, régies par le code de procédure pénale (CPP), sous le contrôle du procureur de la République ou du juge d’instruction. Le projet de texte conserve en revanche les finalités relatives à la police administrative.
De façon générale, le projet de texte exige que l’utilisation des caméras soit strictement nécessaire à l’exercice des missions concernées et adaptée au regard des circonstances de chaque intervention. Elle ne peut être permanente , ce que la Commission juge satisfaisant. S’agissant en particulier des usages des caméras aéroportées pour la police administrative, il est en outre prévu que leur utilisation peut uniquement être autorisée lorsque le service concerné n’est pas en mesure d’atteindre la finalité poursuivie par d’autres moyens ou lorsque l’utilisation de ces autres moyens serait susceptible d’entraîner des menaces graves pour l’intégrité physique des agents 
. Cette nécessité devra être appréciée au cas par cas, s’agissant tant du principe de recourir à des caméras aéroportées que de la détermination de l’étendue géographique et temporel de ces autorisations.
Au-delà de cette condition de nécessité, il convient de s’assurer que chaque finalité constitue un usage proportionné des caméras aéroportées, eu égard à l’atteinte causée à la vie privée des personnes.
Ainsi, l’usage des caméras aéroportées serait notamment autorisé pour la prévention des atteintes à la sécurité des personnes et des biens et serait limité aux lieux particulièrement exposés à des risques d’agression, de vol ou de trafic d’armes, d’êtres humains ou de stupéfiants . La Commission estime que l’usage de ces dispositifs devrait être réservé à la lutte contre les infractions d’un degré élevé de gravité et que le projet de loi devrait être précisé vis-à-vis de la qualification des risques de vol, qui peuvent faire l’objet d’une interprétation très large au regard de la rédaction retenue.
En ce qui concerne les rassemblements de personnes sur la voie publique ou dans les lieux ouverts au public , la Commission rappelle qu’elle a souligné qu’il est particulièrement impérieux de s’assurer que l’atteinte portée à l’exercice d’autres libertés publiques fondamentales soit limitée au strict nécessaire. Elle relève, à cet égard, qu’une condition de risque de troubles graves à l’ordre public est prévue pour permettre de mettre en œuvre ces dispositifs.
La Commission observe enfin que certaines finalités sont énoncées de manière générale pour des objectifs moins impérieux de sécurité publique. Sur ce point, elle rappelle qu’elle avait considéré, dans sa délibération n° 2021-011 précitée, que le caractère proportionné du recours aux drones afin de permettre, de manière générale, la régulation des flux de transport et la protection des bâtiments et installations publics et de leurs abords immédiats, lorsqu’ils sont particulièrement exposés à des risques d’intrusion ou de dégradation , n’était pas démontré. Si elle observe que des garanties supplémentaires ont été ajoutées dans le projet de loi, elle considère que cette observation demeure pertinente Ces finalités peuvent en effet permettre, en théorie, la circulation d’un grand nombre de caméras aéroportées pendant de longues périodes, pour des objectifs qui ne sont pas centrés sur les atteintes les plus graves à l’ordre public. Elle estime en revanche que, à la lumière de la décision du Conseil constitutionnel et des garanties apportées, la finalité de secours aux personnes peut être admise.
S’agissant des lieux concernés pour la mise en œuvre de ces finalités, la Commission observe qu’ils pourraient être aussi bien des lieux ouverts au public que des lieux privés. En l’absence de précisions sur les lieux privés concernés, notamment s’agissant des domiciles, elle considère que le projet de loi devrait restreindre plus strictement le périmètre des lieux concernés et, en particulier, limiter les lieux privés visés aux seuls lieux découverts, à l’exception des finalités pour lesquelles la pénétration dans un bâtiment est réellement pertinente et proportionnée (tel le secours aux personnes).Elle invite le gouvernement à préciser davantage les cas et conditions permettant que les caméras aéroportées filment des parties privées.
En troisième lieu, s’agissant des garanties encadrant l’usage des caméras aéroportées, la Commission rappelle que de tels dispositifs doivent être encadrés de fortes garanties au regard des dispositions du RGPD et la directive 2016/680 du 27 avril 2016. Elle souligne qu’à la suite de son avis n° 2021-011 du 26 janvier 2021, les travaux parlementaires avaient conduit à substantiellement modifier le texte qui lui avait été soumis, pour mieux encadrer le recours à des drones par les services de l’Etat concourant à la sécurité intérieure et à la défense nationale. Ainsi, avaient été prévus une prohibition de captation du son, d’analyse automatique ou de reconnaissance faciale, ainsi que de toute forme de mise en relation automatisée ; l’édiction de lignes directrices conformément à la recommandation de la Commission ; une durée d’effacement des images au bout de trente jours fixée au niveau législatif ; un mécanisme d’autorisation judiciaire ou préfectorale selon les finalités ; des précisions sur les modalités d’information du public.
La Commission accueille favorablement le fait que le projet qui lui est soumis reprenne la plus grande partie de ces garanties, en les adaptant aux exigences résultant de la décision du Conseil constitutionnel. Elle relève en particulier que sont prévus : un double contingentement du nombre de caméras aéroportées, à la fois au niveau du département par arrêté ministériel et dans chaque autorisation préfectorale délivrée ; une interdiction de procéder à la captation du son et à des traitements automatisés de reconnaissance faciale ; une interdiction de procéder à des rapprochements, interconnexions ou mises en relation automatisés avec d’autres traitements de données à caractère personnel ; une interdiction de les faire fonctionner de manière permanente ; une interdiction de visualiser les images de l’intérieur des domiciles ou de leurs entrées. La Commission approuve le principe d’un contingentement au niveau du département, qui est de nature à limiter quantitativement l’intensité de la surveillance par tous les types d’instruments vidéos dont disposeront les forces de police et de gendarmerie, hors les caméras individuelles régies par d’autres dispositions du CSI ou les caméras embarquées examinées ci-dessous. Elle accueille favorablement que la durée de conservation légale des enregistrements, lorsqu’ils ne sont pas versés à une procédure, ait été abaissée à dix jours. Elle formule cependant les observations suivantes.
La Commission rappelle qu’elle avait considéré que les précisions apportées dans les normes législatives et réglementaires devraient être complétées par la publication, par le ministère, d’une doctrine d’usage des caméras aéroportées. Cet acte de droit souple pourrait permettre de préciser les principaux cas d’usage pertinents pour chacune des finalités, les modalités d’utilisation selon ces cas d’usage (nombre et durée) et les précautions pratiques à prendre. Elle prend acte de ce que le ministère a précisé qu’il est prévu de mettre à jour les différentes doctrines d’emploi sur ce point.
En ce qui concerne la durée de l’autorisation, celle-ci est délivrée pour une durée maximale de six mois, renouvelable dans les mêmes conditions. Pour la finalité relative à la sécurité des rassemblements de personnes sur la voie publique ou dans des lieux ouverts au public, l’autorisation n’est délivrée que pour la seule durée du rassemblement concerné. La Commission ne dispose pas d’éléments permettant de justifier une telle durée au regard de l’ensemble des finalités prévues par le projet de loi. Elle demande, d’une part, qu’il soit prévu que la nécessité de l’autorisation soit réexaminée lors de son éventuel renouvellement et, d’autre part, qu’une autorisation doit être abrogée dès lors qu’il apparaîtrait, après un temps suffisant, que le risque n’est plus avéré. Les durées pertinentes étant variables selon les finalités, la doctrine d’usage pourrait également permettre d’affiner les durées pertinentes, selon les cas, dans la limite de cette durée maximale de six mois.
Le projet d’article L. 242-5 du CSI prévoit en outre que lorsqu’ils sont mis en œuvre sur la voie publique, ces dispositifs sont employés de telle sorte qu’ils ne visualisent pas les images de l’intérieur des domiciles ni, de façon spécifique, celles de leurs entrées . La Commission rappelle que les contrôles qu’elle mène démontrent la difficulté, pour les systèmes de caméras fixes existants, de respecter l’interdiction de filmer l’intérieur ou les entrées des immeubles d’habitation : les mesures techniques mises en place sont souvent insuffisantes, voire inopérantes. Elle ne peut dès lors que s’interroger sur le caractère effectif des garanties techniques prévues par le projet de loi s’agissant de dispositifs mobiles.
Enfin, s’agissant de l’information des personnes concernées, il est prévu par l’article L. 242-3 du CSI que le public est informé par tout moyen approprié de la mise en œuvre de dispositifs aéroportés de captation d’images et de l’autorité responsable, sauf lorsque les circonstances l’interdisent ou que cette information entrerait en contradiction avec les objectifs poursuivis. Une information générale du public sur l’emploi de dispositifs aéroportés de captation d’images est en outre organisée par le ministre de l’intérieur. Si la Commission observe que cette disposition n’est pas modifiée par le présent projet de loi, elle constate néanmoins que de telles exceptions permettent de déroger très largement à l’obligation d’information des personnes et estime, dès lors, qu’elles devraient être précisées par voie réglementaire.
Sur les dispositions relatives aux caméras embarquées
L’article 9 du projet de loi vise à créer un cadre juridique pour la captation d’images au moyen de dispositifs de vidéo installés dans les différents moyens de transport utilisés par les services de l’Etat ( caméras embarquées ).
A titre liminaire et de manière générale, la Commission renvoie aux observations et préconisations qu’elle a faites en matière de caméras aéroportées et à la recommandation qu’une expérimentation préalable soit menée. Elle constate que les finalités prévues par ce dispositif spécifique sont considérablement réduites par rapport à la loi du 25 mai 2021 pour une sécurité globale préservant les libertés, puisque leur usage est limité aux seules fins d’assurer la sécurité de leurs interventions […] lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances ou au comportement des personnes concernées  et que ne sont plus prévues des finalités générales de constat et poursuite de tout type d’infraction, de surveillance des littoraux, frontières et eaux intérieures, etc. L’enregistrement n’est pas permanent et doit être déclenché lorsqu’il apparaît pertinent. Parmi les garanties prévues figure notamment l’indication, par un signal visuel ou sonore spécifique, que la caméra enregistre. Ce régime rapproche fortement ce dispositif des caméras individuelles que peuvent porter les policiers et gendarmes. La Commission relève qu’une partie des finalités supprimées pourra être poursuivie en utilisant des caméras à l’intérieur d’aéronefs conduits par un pilote, selon le régime et les restrictions exposés ci-dessus, mais pas dans un véhicule terrestre. Elle renvoie à ses observations sur les caméras aéroportées et formule les observations complémentaires
En premier lieu, il est prévu par le projet de loi que les autorités publiques mentionnées aux articles L. 242-5 et L. 242-6 du CSI peuvent être autorisées à procéder, au moyen de caméras embarquées, à un enregistrement de leurs interventions lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances ou au comportement des personnes . La Commission demande au Gouvernement que, soit la loi, soit le décret d’application prévu par ces dispositions, précise les conditions d’emploi, comme cela a été fait pour les caméras individuelles des agents de police et de gendarmerie.
En deuxième lieu, s’agissant de l’information des personnes concernées, il est prévu que le public soit informé par une signalétique spécifique apposée sur le moyen de transport, de son équipement par une caméra, sauf s’il s’agit de véhicules bénéficiant d’une dispense d’identification, au regard de la nature des missions . Une information générale du public sur l’emploi des caméras embarquées est également organisée par le ministre de l’intérieur.
La Commission relève que les termes de véhicules bénéficiant d’une dispense d’identification, au regard de la nature des missions sont imprécis et regrette de ne pas s’être vu communiquer davantage d’éléments à ce sujet. Elle prend acte de ce que cette rédaction sera précisée pour indiquer qu’il s’agira des véhicules ne comportant pas d’équipements ou de dispositifs de signalisation spécifiques et affectés à des missions impliquant l’absence d’identification du service concerné . En outre, le projet de loi mentionne qu’ un signal visuel ou sonore spécifique indique si la caméra enregistre, sauf si les circonstances de l’intervention y font obstacle . La Commission demande au Gouvernement de préciser, dans des dispositions réglementaires, les hypothèses justifiant une dispense d’information et de les réduire autant que possible.
Sur les dispositions relatives à la mise en œuvre de systèmes de vidéosurveillance au sein des cellules de garde à vue
L’article 7 du projet de loi vise à créer un cadre juridique dédié aux dispositifs de vidéosurveillance dans les cellules de garde à vue, placés sous la responsabilité des services de la police et de la gendarmerie nationales. A la différence de l’article 41 de la loi pour une sécurité globale préservant les libertés, qui a été censuré par le Conseil constitutionnel dans sa décision n° 2021-817 DC précitée, les dispositions projetées ne couvrent pas la vidéosurveillance dans les chambres d’isolement des centres de rétention administrative.
La Commission rappelle que, dans sa délibération précitée portant avis sur une proposition de loi relative à la sécurité globale, elle ne s’est pas prononcée sur ce cadre juridique, dont les dispositions ont été ajoutées après qu’elle a rendu son avis.
A titre liminaire, la Commission relève que de tels dispositifs qui permettent une surveillance permanente portent par nature une atteinte grave au droit au respect de la vie privée et à la protection des données à caractère personnel d’individus déjà soumis à des mesures restrictives de libertés. Une telle atteinte ne peut dès lors être admise que si elle apparaît strictement nécessaire au but poursuivi et si des garanties fortes sont prévues, de nature à assurer la proportionnalité des dispositifs mis en œuvre. Elle souligne en outre que le développement de ce type de dispositifs est susceptible de conduire à en banaliser l’usage et de se substituer aux moyens humains de surveillance.