AgentPublic/cnil huggingface dataset:
La Commission relève, à cet égard, qu’aucune des finalités visées par le projet d’ordonnance ne semble entrer dans le champ de ces exceptions. Pour autant, certains projets d’articles précisent que le consentement de la personne concernée pour le traitement des données n’est pas requis (projets d’articles L. 1514-1, L. 1514-2, L. 1514-4, L. 1514-5, L. 1514-6, L. 1514-7 et L. 1514-8 du code des transports).
La Commission s’interroge donc sur la possibilité d’exclure le recueil du consentement des personnes au regard des textes applicables, sauf si le ministère entend rattacher les accès concernés :
soit aux domaines exclus du champs d’application de la directive 2002/58/CE par son article 1er ;
soit aux dérogations prévues par l’article 15 de la directive 2002/58/CE, notamment en ce qu’il prévoit que Les États membres peuvent adopter des mesures législatives visant à limiter la portée des droits et des obligations prévus aux articles 5 […] de la présente directive lorsqu'une telle limitation constitue une mesure nécessaire, appropriée et proportionnée, au sein d'une société démocratique, pour sauvegarder […] la sécurité publique, ou assurer la prévention, la recherche, la détection et la poursuite d'infractions pénales ;
soit à la transposition des dispositions d’une directive ou d’un règlement européen dérogeant expressément aux dispositions de la directive précitée.
Sur ce point, le ministère a précisé que les finalités visées par les projets d’articles L. 1514-1 (détection des accidents et des conditions dangereuses de circulation), L.1514-2 (connaissance de l’état de l’infrastructure et de son équipement), L. 1514-4 et L. 1514-5 (accès aux données au bénéfice des organismes chargés de l’enquête technique et de l’enquête de sécurité aux données des enregistreurs d’évènement et d’état de délégation de conduite) du code des transports concourent à la sécurité routière : prévention des accidents ou amélioration de l’intervention en cas d’accident, connaissance et cartographie de l’état du patrimoine permettant d’identifier des anomalies de l’état de l’infrastructure pouvant générer des accidents, étude et analyse des accidents permettant de tirer des enseignements sur les systèmes de transport et ainsi éviter de nouveaux accidents.
Le ministère entend rattacher la notion de sécurité routière à la finalité de sécurité publique explicitement exclue du champ d’application de la directive vie privée et communications électroniques . Si la sécurité routière peut être appréhendée comme une composante de la sécurité publique, elle-même rattachée à l’ordre public, la Commission rappelle toutefois que la prévention des atteintes à l’ordre public et, notamment, des atteintes à la sécurité des personnes et des biens, relève des missions dévolues à la puissance publique. Elle invite donc le ministère à s’assurer que les acteurs accédant aux données dans le cadre d’une politique de sécurité publique entrent dans cette catégorie.
S’agissant des dispositions du projet d’article L. 1514-7 du code des transports (correction télématique de certains défauts de sécurité), la Commission relève que si la finalité du texte poursuit un intérêt légitime et contribue au bon fonctionnement du service fourni par le véhicule, celle-ci n’est pas visée parmi les exceptions au principe du consentement. Elle note à ce sujet que les débats en cours, sur la révision de la directive 2002/58/CE, ont permis d’aboutir, dans le dernier état du projet de texte au jour de la présente délibération, à l’inclusion d’une exception au consentement préalable spécifiquement applicable à ce cas de figure assortie de certaines conditions.
Ces dispositions étant encore en cours de discussion, la Commission ne peut qu’attirer l’attention du ministère sur la nécessité de tenir le plus grand compte des dispositions en vigueur précitées. Elle souligne que l’intérêt de ces corrections, et le confort apporté par la possibilité d’une mise à jour à distance évitant de déplacer le véhicule en atelier, semblent de nature à emporter l’adhésion des personnes concernées et à faciliter le recueil de leur consentement.
Enfin, le projet d’article L. 1514-8 du code des transports prévoit que lorsque les données recueillies par le système d’automatisation d’un véhicule terrestre à moteur à délégation de conduite caractérisent des scénarios de conduite utilisés pour la réception par type des véhicules, celles-ci sont mises à disposition des organismes désignés par le ministre chargé des transports pour élaborer ces scénarios selon des modalités fixées par voie règlementaire et ce, sans que le consentement des utilisateurs soit préalablement requis. Sur ce point également, la Commission s’interroge sur l’articulation entre cette disposition et l’article 82. Elle rappelle la nécessité de justifier de l’absence de recueil du consentement au regard de la directive 2002/58/CE ou d’autres règles de droit qui seraient applicables.
Evaluation du projet au regard des dispositions du RGPD, en particulier la protection des données à caractère personnel du véhicule dès la conception et par défaut
A titre liminaire, la Commission relève que l’ordonnance ne fait pas état de la nature exacte des données collectées, de la fréquence de la collecte ou encore, de l’ampleur de celle-ci. En l’absence de visibilité du ministère sur ces différents éléments, les remarques de la Commission sont d’ordre général et ne préjugent pas d’une analyse plus approfondie qu’elle pourrait mener dans le cadre d’un avis sur un projet de décret d’application.
L’enjeu de protection des données des véhicules a été abordé par le Comité européen de la protection des données (CEPD) dans ses lignes directrices relatives au traitement des données à caractère personnel dans le cadre des véhicules connectés et des applications liées à la mobilité, ce qui témoigne de l’intérêt porté par les autorités européennes de protection des données à ce sujet.
La Commission relève que la connectivité de ces véhicules implique le recueil de données touchant parfois à la vie privée de l’individu (ses déplacements, son comportement au volant, etc.) et pose de sérieuses questions en matière de protection des données à caractère personnel et de respect des droits et libertés fondamentaux. Dès lors, ces systèmes doivent présenter les meilleures garanties possibles pour protéger la confidentialité des données de leurs usagers, permettre le respect de la liberté d’aller et venir anonymement des conducteurs et assurer la disponibilité et la qualité de l’information délivrée aux conducteurs et aux équipements automatisés dans les véhicules.
La Commission rappelle que les données à caractère personnel produites par le véhicule sont protégées par le RGPD, et que leur accès ainsi que les traitements qui en découlent, ne sauraient avoir pour effet d’amoindrir le niveau de protection des personnes. Ainsi, un tel accès ne peut avoir pour effet de créer, au bénéfice des constructeurs de véhicules et de tout autre acteur, un droit de collecter de manière systématique les données produites par le véhicule ou de s’en considérer comme propriétaire .
S’agissant du traitement local des données à caractère personnel, de l’anonymisation des données et du rôle des constructeurs
Les projets d’articles L. 1514-1, L. 1514-2, L. 1514-3, L. 1514-4, L. 1514-5 du code des transports placent les constructeurs au cœur du mécanisme d’accès aux données mais ne précisent pas leurs rôles et obligations.
Les responsables du traitement sont tenus de veiller à ce que les technologies déployées soient configurées de manière à respecter la vie privée des personnes en appliquant les obligations de protection des données dès la conception et par défaut, conformément à l'article 25 du RGPD. Ainsi, la Commission attire l’attention du ministère sur le fait que l’intégration, dès la conception du véhicule, des techniques décrites ci-dessous, peut contribuer à atténuer les risques pour les droits et libertés des personnes physiques associés aux véhicules connectés.
Sur le traitement des données à caractère personnel en local 
La Commission estime qu’il convient de configurer, dès leur conception, les équipements des véhicules de manière à ce que seules les données pertinentes puissent être collectées, puis conservées en local, et de prévoir des mécanismes permettant de sécuriser la transmission de ces données, en ne récupérant, au cas par cas, que les données strictement nécessaires pour satisfaire les finalités visées par les dispositions pertinentes, en fonction de la qualité du destinataire des données.
Le traitement des données en local, c’est-à-dire à l’intérieur du véhicule et sans accès distant, est à privilégier dès lors que les dispositions qui lui sont soumises indiquent que les données […] sont rendues accessibles […] par le constructeur du véhicule terrestre à moteur ou son représentant , sans prévoir une obligation de collecte systématique et par défaut des données concernées par le constructeur, ni d’obligation de stockage de ces données dans des serveurs distants à des fins de mise à disposition ultérieure aux tiers autorisés par la loi. Une telle collecte systématique et par défaut ne semble pas pouvoir se fonder sur une obligation légale imposée au constructeur, au regard des projets d’articles soumis à la Commission qui n’évoquent que le fait de rendre accessibles les données produites par les véhicules et non, la mise en place d’un traitement préalable réalisé par les constructeurs aux fins de mise à disposition ultérieure des données au bénéfice des destinataires autorisés.
Sur les techniques d’anonymisation des données
Les projets d’articles portant sur les données permettant la détection d’accidents et de conditions dangereuses de circulation, la connaissance de l’état de l’infrastructure et de son équipement, ainsi que celles permettant la connaissance du trafic (projets d’articles L. 1514-1, L. 1514-2, L. 1514-3 et L. 1514-8 du code des transports) prévoient que ces données sont anonymisées par un procédé garantissant la suppression irréversible du lien entre lesdites données et le numéro de série ou tout identifiant . 
La Commission recommande, lorsque cela est techniquement possible, que cette anonymisation soit réalisée à l’intérieur du véhicule. Elle préconise que les textes règlementaires imposent aux constructeurs d’intégrer des mécanismes d’anonymisation lors de la conception des systèmes intégrés ou de tout dispositif visant à produire des données au sein des véhicules.
Afin d’assurer une anonymisation effective, les procédés d'anonymisation mis en œuvre doivent respecter les trois critères définis dans l'avis du groupe de l'article 29 n° 05/2014 sur les techniques d’anonymisation (individualisation, corrélation et inférence). Si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit être menée afin de démontrer que les risques liés à la production et à la mise à disposition du jeu de données anonymes n’ont pas d’impact sur la vie privée et les libertés des personnes concernées. A cet égard, une vigilance particulière doit être assurée s’agissant de certaines données, (par exemple, les données de géolocalisation horodatées ou encore, les données produites par les capteurs de type caméras), dont l’anonymisation pourrait s’avérer plus complexe et, en cas d’échec, source de risques pour la vie privée des personnes concernées. La Commission souligne que la seule suppression du numéro de série ou de tout autre identifiant ne saurait garantir le caractère anonyme des données concernées et rappelle qu’à défaut d’anonymisation complète , le RGPD est pleinement applicable.
Sur le rôle des constructeurs
La Commission regrette que le projet ne donne pas d’indications sur le statut des constructeurs s’agissant des données traitées, à savoir s’ils agissent en tant que responsable du traitement autonome, responsable du traitement conjoint avec les destinataires, ou sous-traitant de ces derniers. La détermination de leur statut est un préalable nécessaire pour clarifier leurs obligations, notamment vis-à-vis des personnes concernées par les données traitées, ainsi que la finalité des traitements qu’ils souhaiteraient opérer sur les données.
S’agissant du respect du principe de minimisation des données 
La Commission prend acte des précisions du ministère selon lesquelles la plupart des données seront définies par voie réglementaire ou relèvent de réglementations internationales en vigueur (par exemple, pour les EDR) ou en cours de discussion (par exemple, pour les enregistreurs d’état de délégation de conduite). La Commission sera particulièrement vigilante sur le caractère proportionné des différents dispositifs envisagés par le texte, s’agissant notamment des données issues des DSSAD rendues accessibles aux assureurs par le projet d’article L. 1514-6 du code des transports.
S’agissant de la sécurité
La Commission souligne que si le projet de texte qui lui est soumis pour avis ne précise pas les modalités pratiques de traitement des données ni les conditions de sécurité associées, les traitements concernés porteront sur des données potentiellement très intrusives et concerneront à terme un très grand nombre de citoyens. En conséquence, la Commission sera particulièrement vigilante sur les conditions de mise en œuvre de ces traitements : la conformité avec l’obligation de sécurité imposée par le RGPD nécessite que chaque maillon de la chaine de traitement des données mette en œuvre les mesures de sécurité nécessaires.
En pratique, la Commission considère qu’un soin particulier devra être apporté à la gestion des habilitations d’accès aux données, aux mesures de traçabilité des opérations réalisées par les personnes habilitées, au chiffrement des échanges de données réalisés entre les véhicules et les infrastructures utilisées, ainsi qu’à l’encadrement des opérations confiées à des sous-traitants et aux objectifs de sécurité qui leur seront fixés.
Enfin, la Commission rappelle également que les traitements envisagés sont, pour une très grande partie d’entre eux, soumis à l’obligation de mener une analyse d’impact relative à la protection des données, laquelle devra être régulièrement mise à jour.
S’agissant des durées de conservation
Le projet d’ordonnance prévoit des durées de conservation des données particulièrement longues s’agissant des données des EDR et des DSSAD sans exclure un stockage à l’extérieur du véhicule. En effet, les projets d’articles L. 1514-4 et L. 1514-5 du code des transports prévoient, pour les finalités visées par ces dispositions, que les données des EDR et des DSSAD seront conservées six ans à compter de la date de l’accident considéré, par le constructeur du véhicule (ce délai correspondant à la prescription en matière délictuelle).
La Commission souligne qu’une telle durée de conservation fait peser le risque de conduire à la création de fichiers de suivi continu des états de délégation de conduite et des données liées à des évènements de tous les véhicules terrestres à moteur soumis à la loi française, placés sous la responsabilité des constructeurs, fichiers dont l’encadrement soulève de nombreuses questions au regard des principes de protection des données à caractère personnel.
S’agissant des données des EDR, la conservation des données pour une durée de six ans n’apparaît pas conforme aux prescriptions du règlement européen 2019/2144 précité (obligation d’anonymiser les données et système d’écrasement des données). La durée de conservation similaire pour les DSSAD suscite des interrogations sur les modalités de stockage pendant cette période (en local ou hors du véhicule) et les acteurs qui en auront la charge.
Le projet d’article L. 1514-6 du code des transports prévoit, quant à lui, que les données des DSSAD seront conservées dix ans à compter de la date de l’accident considéré par le constructeur du véhicule pour les assureurs et le fonds de garantie des assurances. Ce délai correspond à celui de prescription des actions en responsabilité civile (de la victime à l’encontre de l’assureur du responsable) dans le cas de dommages corporels. Or, dans les faits, il est possible que le véhicule accidenté ayant généré ces données ait fait l’objet d’une destruction et d’un recyclage pendant cette période. La question de l’accès et du stockage des données sur une telle durée se posera inévitablement.
En tout état de cause, la Commission rappelle qu’à l’issue du délai de conservation, les accédants ou destinataires des données devront s’assurer de l’effectivité de leur destruction, quels que soient le support et le mode de conservation.
S’agissant de l’information des personnes
Si les projets d’articles L. 1514-1, L. 1514-2, L. 1514-3 et L. 1514-7 du code des transports prévoient que les personnes concernées sont informées du traitement de leurs données par le constructeur du véhicule ou son représentant en France, les projets d’articles L. 1514-4, L. 1514-5, L. 1514-6, L. 1514-8 et L. 1514-9 du même code restent silencieux sur ce point.
La Commission rappelle que les responsables du ou des traitements de données devront porter à la connaissance des personnes, qu’il s’agisse par exemple, du conducteur du véhicule ou du titulaire du certification d’immatriculation, l’ensemble des informations prévues par l’article 13 ou 14 du RGPD, s’agissant de chaque traitement de données personnelles visé par le projet d’ordonnance, dès lors que ces dernières ne sont pas anonymisées avant d’être extraites du véhicule terrestre à moteur.
S’agissant de l’exercice des droits 
Le projet d’ordonnance ne précise pas les modalités d’exercice des droits des personnes s’agissant des données à caractère personnel collectées via les dispositifs visant à produire des données au sein des véhicules. Le ministère indique que le régime général prévu par le RGPD sera applicable en la matière.
A cet égard, la Commission souligne que les personnes concernées devront être en mesure d’exercer leurs droits, conformément aux articles 15 à 22 du RGPD, le cas échéant, avant toute anonymisation de leurs données à caractère personnel, si cette dernière n’est pas opérée directement dans le véhicule mais après extraction des données à caractère personnel de celui-ci. Plus particulièrement, la Commission souligne que les personnes ont le droit de s'opposer, pour des raisons tenant à leur situation particulière, à un traitement des données à caractère personnel les concernant lorsque celui-ci est fondé sur l'article 6.1.e du RGPD (lorsqu’il est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement) et cela à tout moment, y compris préalablement à la mise en œuvre d’un traitement visant à l’anonymisation des données collectées. Enfin, dans ce cadre, les différents responsables de traitement devront s’assurer de la qualité de la personne concernée, qu’il s’agisse du titulaire du certificat d’immatriculation ou d’une autre personne, notamment de la personne qui conduisait effectivement le véhicule lors de la période considérée, lorsqu’elle est différente du titulaire du certificat d’immatriculation.
La Présidente
M.-L. DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de la culture d’une demande d’avis concernant un projet de décret modifiant le décret 2010-236 relatif au traitement automatisé de données à caractère personnel autorisé par l’article L. 331-29 du code de la propriété intellectuelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données, ci-après RGPD ) ;
Vu le code de la propriété intellectuelle, notamment son article L. 331-29 ;
Vu le code des postes et des communications électroniques, notamment ses articles L. 34-1 et R. 10-13 ;
Vu la loi n° 2009-669 du 12 juin 2009 favorisant la diffusion et la protection de la création sur Internet et créant la Haute Autorité pour la diffusion des œuvres et la protection des droits sur Internet (ci-après HADOPI ) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données à caractère personnel ;
Vu le décret n° 2010-236 du 5 mars 2010 relatif au traitement automatisé de données à caractère personnel autorisé par l’article L. 331-29 du code de la propriété intellectuelle dénommé Système de gestion des mesures pour la protection des œuvres sur Internet modifié par le décret n° 2011-264 du 11 mars 2011 ;
Sur la proposition de M. Christian KERT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
Le ministère de la culture a saisi la Commission d’une demande d’avis concernant un projet de décret modifiant le décret n° 2010-236 relatif au traitement automatisé de données à caractère personnel autorisé par l’article L. 331-29 du code de la propriété intellectuelle dénommé Système de gestion des mesures pour la protection des œuvres sur Internet .
Sur la modification apportée
Le projet de décret soumis à la Commission vise à ajouter le port source parmi les données pouvant être enregistrées par la HADOPI dans le traitement de la procédure de réponse graduée et, plus précisément, sur la partie relative à l’identification des abonnés qui, à ce jour, ne se base que sur la seule adresse IPv4.
Selon le ministère de la culture, en raison de la pénurie des adresses IPv4, les fournisseurs d’accès à Internet ont de plus en plus recours au partage de ces adresses entre plusieurs abonnés, en dédiant à chaque abonné une plage de ports associée à l’adresse IPv4.
Cette pratique rendrait impossible l’identification du titulaire d’abonnement à partir de la seule adresse IPv4 horodatée et ferait obstacle à la pleine efficacité de la mise en œuvre de la procédure de réponse graduée.
La Commission note que la collecte du port source permettrait à la HADOPI de conserver, de traiter et de transmettre cette donnée aux fournisseurs d’accès à Internet, en complément de l’adresse IPv4 horodatée, en vue de l’identification des abonnés dont l’adresse IPv4 est partagée.
La Commission considère qu’il s’agit d’une adaptation technique permettant le fonctionnement de la procédure de réponse graduée telle que confiée par le législateur à la Commission de protection des droits de la HADOPI.
Dans ce contexte, la Commission n’a pas d’observations sur le projet de décret qui lui a été soumis.
La Présidente
Marie-Laure Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Christine MAUGÜÉ, Monsieur Bertrand du MARAIS et Monsieur Alain DRU, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2020-107C de la présidente de la CNIL du 12 mai 2020 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société […] ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 12 avril 2021 ;
Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié à la société […] le 23 juin 2021 ;
Vu les observations écrites versées par la société […] le 23 juillet 2021 ;