AgentPublic/cnil huggingface dataset:
[10] Conformément à l’article R. 40-40 du CPP, ledit magistrat doit autoriser l’exploitation d’enregistrements vidéo par le biais d’un LRJ pour chaque procédure qu'il contrôle. Cette autorisation, comme la mise en œuvre elle-même, doivent faire l'objet d'une mention en procédure et, à la clôture de cette dernière, un rapport d’exploitation des données doit y être joint.
[11] Permettant un gain de temps de visionnage par la compression des temps morts ainsi que la détection d’un objet ou d’une personne, grâce [à] différents filtres (couleur, forme d’objet, direction, arrêt près de telle zone sélectionnée), plaques minéralogiques, similitudes d’apparence ( reconnaissance de formes d’une silhouette similaire grâce à une photo ) (PV 2023-259/2 du 21 mai 2024).
[12] Outil d’analyse souverain développé par le département des technologies appliquées à l’investigation D@TA-i de la direction nationale de la police judiciaire (DNPJ) et ayant vocation à être déployé de manière généralisée.
[13] Les engagements de conformité au RU-18 des logiciels suivants – ne rentrant pas dans le cadre des constatations effectuées lors des contrôles sur place menés par la CNIL – ont également été reçus : la DGGN a transmis à la CNIL deux engagements de conformité concernant respectivement le logiciel LARC (le 27 juillet 2023) et le logiciel DA-DT (le 28 juillet 2023), qui ne sont pas des logiciels d’analyse vidéo.
[14] Les engagements de conformité au RU-18 des logiciels suivants – ne rentrant pas dans le cadre des constatations effectuées lors des contrôles sur place menés par la CNIL – ont également été reçus : la DGPN a transmis à la CNIL, le 20 juillet 2023, deux engagements de conformité concernant respectivement le logiciel souverain Système V et le logiciel Pathfinder de la société CELLEBRITE, ainsi qu’un engagement relatif au logiciel souverain SIGMA le 23 mai 2024.
[15] Les AIPD des logiciels suivants – ne rentrant pas dans le cadre des constatations effectuées lors des contrôles sur place menés par la CNIL – ont également été reçus : la DGGN a transmis à la CNIL deux AIPD concernant respectivement le logiciel LARC et le logiciel DA-DT (le 9 janvier 2024), qui ne sont pas des logiciels d’analyse vidéo.
[16] La DGPN a transmis à la CNIL sans AIPD les engagements de conformité concernant respectivement le logiciel souverain Système V et le logiciel Pathfinder de la société CELLEBRITE – ne rentrant pas dans le cadre des constatations effectuées lors des contrôles sur place menés par la CNIL.
La DGPN a transmis à la CNIL le 11 juillet 2024 une AIPD concernant le logiciel souverain SIGMA .
[17] https://www.cnil.fr/fr/la-cnil-appelle-la-tenue-dun-debat-democratique-sur-les-nouveaux-usages-des-cameras-video
[18] https://www.cnil.fr/fr/reconnaissance-faciale-pour-un-debat-la-hauteur-des-enjeux
[19] Communiqué de presse de la société BRIEFCAM publié le 12 décembre 2023 sur son site web indiquant qu’ Avec la sortie de 2024 M1, BriefCam introduit la flexibilité d’implémenter une licence en excluant la capacité de reconnaissance faciale. Conçue pour étendre la puissante technologie BriefCam aux organisations soumises à des restrictions strictes en matière d’utilisation de la reconnaissance faciale, BriefCam a développé sa solution pour mieux répondre aux besoins réglementaires internationaux et en constante évolution. Les utilisateurs de BriefCam peuvent passer à une version où la reconnaissance faciale est complètement désactivée et exclue de l’interface utilisateur et des algorithmes. .
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 18 novembre 2024 sous la présidence de Madame Marie-Laure DENIS ;
 
Siégeaient, outre la Présidente de la Commission, Madame Sophie LAMBREMON, Vice-présidente déléguée, et Madame Anne DEBET, Vice-présidente ;
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après, la 241080 loi Informatique et Libertés 241080), notamment son article 20 ;
 
Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
 
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
 
Vu la décision no MED-2024-150 du 15 novembre 2024 de la Présidente de la Commission mettant en demeure le ministère l’Intérieur ;
 
A adopté la délibération suivante :
 
Par décision du 15 novembre 2024, la Présidente de la Commission a, sur le fondement de l’article 20 de la loi Informatique et Libertés, mis en demeure le ministère l’Intérieur, sis 1, place Beauvau à Paris (75008), sous un délai de deux mois à compter de sa notification :
d’effectuer un engagement de conformité au 241080 RU-018 – Logiciel de rapprochement judiciaire à des fins d'analyse criminelle 241080 (ci-après, 241080 RU-018 241080) ainsi qu’une analyse d’impact relative à la protection des données (AIPD) pour l’ensemble les logiciels de traitements d’analyse automatisée des images (ci-après, 241080 logiciels d’analyse vidéo 241080) utilisés par ses services n’en ayant pas fait l’objet ;
de prendre les mesures adéquates permettant d’empêcher l’utilisation des fonctionnalités de reconnaissance faciale de certains des logiciels d’analyse vidéo utilisés.
 
Dans cette décision, sur le fondement de l’article 20 de la loi précitée, la Présidente de la Commission a également adressé au ministère un rappel aux obligations légales, pour avoir utilisé des logiciels d’analyse vidéo pour répondre à des réquisitions judiciaires (logiciels de rapprochement judiciaire) sans transmission préalable à la CNIL des engagements de conformité correspondants, en méconnaissance des articles 4 et 31 de la loi Informatique et Libertés.
 
En application du dernier alinéa du III de l’article 20 la loi Informatique et Libertés, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 18 novembre 2024.
Après en avoir délibéré, le bureau estime que la publicité se justifie tout d’abord par le fait que la décision de contrôle de la CNIL à l’encontre du ministère de l’Intérieur a été prise dans un contexte de couverture médiatique du sujet. 
 
En effet, cette décision faisait suite à la publication par le journal d’investigation Disclose, le 14 novembre 2023, d’une enquête révélant l’utilisation par les services du ministère de l’Intérieur d’un logiciel d’analyse vidéo édité par la société BRIEFCAM. Cette enquête faisait état d’une utilisation de ce logiciel par plusieurs directions et services du ministère, commissariats de police et brigades de gendarmerie, progressivement depuis 2015, afin notamment de rechercher un individu en fonction de différents critères (filtres relatifs à la couleur ou la forme d’un objet par exemple), ou d’une fonctionnalité de reconnaissance faciale.
Le lendemain de cette publication, la Commission – dont l’une des thématiques de contrôles 2023 portait sur 241080 L’utilisation de caméras 241080augmentées241080 par les acteurs publics 241080 – a initié une procédure de contrôle auprès du ministère de l’Intérieur et a rendu cette information publique. Le ministre de l’Intérieur a quant à lui annoncé avoir demandé qu’une mission inter-inspections sur l’usage de logiciels d'analyse vidéo par les services de police et de gendarmerie nationales soit diligentée par l’inspection générale de l’administration (IGA), l’inspection générale de la police nationale (IGPN) et l’inspection générale de la gendarmerie nationale (IGGN). Le rapport de cette mission a été publié le mois dernier.
 
Ces informations ont fait l’objet de nombreuses reprises dans la presse et ont également eu des retentissements au sein des parlements français[1] comme européens[2]. Elles ont également donné lieu à plusieurs recours devant le juge administratif[3].
 
Dans ce contexte, le bureau estime opportun que le grand public soit informé des constatations effectuées par la CNIL à l’égard de ces faits dénoncés publiquement, ainsi que des actions mises en œuvre pour les vérifier, comme la CNIL s’y était engagée.
Cette publicité permet en outre de rendre compte de la réalité des pratiques constatées par la CNIL lors de ses opérations de contrôle, de faire état des manquements retenus dans ce cadre ainsi que des mesures qu’il est à présent demandé au ministère de l’Intérieur de prendre pour y remédier, pour les manquements qui perdurent.
 
La publicité de la décision se justifie en outre par la nature et la grande sensibilité du traitement concerné, qui présente un risque particulier au regard de la vie privée, s’agissant de l’usage, par les pouvoirs publics, d’un logiciel disposant d’une fonctionnalité de reconnaissance faciale. En effet, la reconnaissance faciale sur la voie publique soulève des enjeux d’une particulière sensibilité en matière de protection des données, en raison des risques d’atteintes aux libertés individuelles qu’elle est susceptible d’induire, qui sont considérables, pour la liberté d’aller et venir anonymement notamment.
 
Au vu de ce qui précède, et compte tenu de la sensibilité de ces questions, le bureau considère opportun de rendre publiques les constations opérées par la CNIL, qui ne font état que d’un cas d’usage isolé de cette fonctionnalité du logiciel de la société BRIEFCAM par l’un des services du ministère de l’Intérieur, fonctionnalité qui avait été intégrée par l’éditeur lors d’une mise à jour du logiciel.
Si aucune autre utilisation de cette fonctionnalité n’a été constatée par les services de la CNIL, le bureau estime nécessaire de rappeler publiquement que les dispositifs d’identification ou de caractérisation des personnes physiques à partir de leurs données biométriques, utilisés de manière opérationnelle comme expérimentale, ne sont pas autorisés par le législateur dans l’espace public, et de rendre publique l’injonction formulée à l’encontre du ministère pour qu’il prenne les mesures requises pour s’assurer, à l’avenir, qu’une telle fonctionnalité ne puisse plus être utilisée.
 
Le bureau considère également nécessaire de rendre publiques les garanties qu’il est à présent demandé au ministère de l’Intérieur d’apporter, en complément de premières mesures adoptées tardivement, afin de fournir à la CNIL l’ensemble des engagements de conformité et AIPD devant être effectuées pour la mise en œuvre de ces traitements, permettant ainsi à la CNIL d’être pleinement en mesure d’exercer sa mission de contrôle, notamment a priori. 
 
Enfin, le bureau estime intéressant d’informer le public que les constations des services de la CNIL, issues des contrôles effectués, rejoignent la plupart de celles faites par la mission inter-inspections diligentée par le ministère.
 
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision no MED-2024-150 de la Présidente de la CNIL prise à l’encontre du ministère de l’Intérieur.
Le bureau rappelle que cette décision ne revêt pas le caractère d’une sanction. Si le ministère de l’Intérieur se conforme en tout point aux exigences de la mise en demeure dans le délai imparti, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
 
Enfin, tant la décision de mise en demeure précitée que la présente délibération ne permettront plus d’identifier nommément l’organisme à l’expiration d’un délai de deux ans à compter de leur publication.
 
 
La Présidente
 
 
 
Marie-Laure DENIS
[1] V. notamment : questions au gouvernement nos 09083 du 23 novembre 2023, 1335S du 30 mai 2024 et 0105S du 17 octobre 2024.
[2] V. notamment : Lettre ouverte des membres du Parlement européen concernant les révélations de reconnaissance faciale illégale en France, à la lumière des négociations de la loi sur l'IA envoyée par 45 députés européens au président de la République, à la première ministre et au ministre de l’intérieur.
[3] V. notamment : CE, 21 décembre 2023, no 489990 ; TA Nice, 23 novembre 2023, no 2305692 ; TA Lille, 29 novembre 2023, nos 2310103 et 2310163.
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable du Comité de protection des personnes Ile de France IV du 10 octobre 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-001.
Destinataires des données directement identifiantes
La collecte des nom, prénom, ainsi que des coordonnées téléphoniques et électroniques est nécessaire pour assurer le suivi centralisé des participants par le service de pharmacie à usage intérieur de l’hôpital européen Georges Pompidou. Les participants en sont informés. 
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. 
Information et droits des personnes 
Tous les participants recevront une note d’information individuelle. 
Durées de conservation en base active et en archivage 
 
Les données nominatives et les coordonnées seront détruites à la fin du suivi.
Autres données :
Base active : six ans 
Archivage : quinze ans. 
 
AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 février 2024.
Modification substantielle du traitement de données
La modification envisagée concerne les modalités d’appariement des données de la BNDMR avec les données du SNDS.
 
Pour les patients dont les données n’auront pas été appariées grâce au NIR faute de disponibilité de ce dernier, un appariement probabiliste sera réalisé grâce à la date de naissance du patient (mois et année), son éventuelle date de décès (mois et année), son sexe, sa région de résidence, les dates d’hospitalisation et de consultation, ainsi que le code CCAM correspondant à la ponction lombaire.
 
Les autres conditions de mise en œuvre de l’étude demeurent inchangées.
 
AUTORISE la société LFB-BIOTECHNOLOGIES à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
N° de demande d'avis : 24008825.
			Thématiques : transports ; lutte contre la fraude ; recouvrement ; amendes ; fiabilisation de l'adresse des contrevenants.
			Organisme(s) à l'origine de la saisine : ministère de la transition écologique et de la cohésion des territoires.
			Fondement de la saisine : article L. 2241-2-1 du code des transports.
L'essentiel :
1. L'article L. 2241-2-1 du code des transports permet aux agents des exploitants de services de transport chargés du recouvrement, d'obtenir communication de la part des administrations publiques et des organismes de sécurité sociale, par l'intermédiaire d'une personne morale unique, d'informations relatives à l'identité et à l'adresse des contrevenants à la police des transports.
2. Le projet de décret précise les conditions de mise en œuvre de ce dispositif visant à fiabiliser les données relatives à l'identité et à l'adresse des contrevenants recueillies lors de la constatation d'une contravention à la police des transports.
3. La CNIL rappelle que la mise en œuvre de ce dispositif implique des traitements de données à caractère personnel, qui devront donc respecter les exigences du RGPD et de la loi informatique et libertés . A cet égard, elle relève que le projet de décret introduit des garanties essentielles pour le respect du droit à la vie privée des personnes concernées. Elle invite néanmoins le ministère à compléter le projet de décret concernant la nature des informations pouvant être échangées et les droits des personnes concernées. Elle considère par ailleurs que certaines durées de conservation prévues par le projet de décret doivent être révisées afin de respecter les exigences de l'article 5.1.d du RGPD.
4. La CNIL recommande également que l'information des personnes concernées soit fournie par l'inscription de mentions au dos du reçu du procès-verbal d'infraction et, le cas échéant, dans l'avis de recouvrement.
5. Enfin, la CNIL rappelle que, dès lors que les traitements mis en œuvre sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques, une analyse d'impact relative à la protection des données à caractère personnel devra être réalisée avant leur mise en œuvre.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code des transports, notamment son article L. 2241-2-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ;
Vu la loi n° 2016-339 du 22 mars 2016 relative à la prévention et à la lutte contre les incivilités, contre les atteintes à la sécurité publique et contre les actes terroristes dans les transports collectifs de voyageurs (loi Savary ) ;
Vu la délibération n° 2017-045 du 23 février 2017 portant avis sur un projet de décret en Conseil d'Etat pris en application de l'article L. 2241-2-1 du code des transports ;
Après avoir entendu le rapport de M. Alain Dru, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la deliberation suivante :
I. - La saisine
A. - Le contexte
L'article L. 2241-2-1 du code des transports, créé par la loi n° 2016-339 du 22 mars 2016, ouvre la possibilité aux exploitants du service de transport, dans le cadre du recouvrement des sommes dues au titre de la transaction mentionnée à l'article 529-4 du code de procédure pénale, d'obtenir communication de la part des administrations publiques et des organismes de sécurité sociale des informations relatives aux contrevenants. Il impose que cette communication se fasse par l'intermédiaire d'une personne morale unique.
Ce droit de communication vise à fiabiliser les données relatives à l'identité et à l'adresse du contrevenant recueillies lors de la constatation d'une contravention à la police des transports.
Ce dispositif participe à la lutte contre la fraude dans les transports publics en permettant d'améliorer le recouvrement des amendes. Le manque de fiabilité des adresses communiquées par les contrevenants constitue en effet l'un des facteurs pouvant expliquer la faiblesse du taux de recouvrement de ces sommes. L'Union des transporteurs publics et ferroviaires évalue le gain financier du recours à ce dispositif à environ trois millions d'euros, auquel s'imputeront cinq cent mille euros de frais de fonctionnement.
B. - L'objet de la saisine
La CNIL a été saisie, le 21 juin 2024, par le ministère de la transition écologique et de la cohésion des territoires, d'une demande d'avis relative à un projet de décret en Conseil d'Etat pris en application de l'article L. 2241-2-1 du code des transports. Une saisine rectificative a été transmise le 5 juillet 2024.
Le projet de décret :
- a pour objet de préciser les modalités d'exercice de ce droit de communication par le biais d'une personne morale unique, dont il liste les missions ;
- précise le contenu des demandes formulées par les exploitants de services de transport et des réponses fournies par la personne morale unique. Il fixe la durée de conservation des données ;
- renvoie la définition des spécifications techniques du dispositif de fiabilisation des données à des conventions spécifiques conclues entre la personne morale unique et les administrations publiques et organismes de sécurité sociale.
II. - L'avis de la CNIL
A. - Sur les conditions générales d'exercice du droit de communication