AgentPublic/cnil huggingface dataset:
L’article 107 de la loi Informatique et Libertés prévoit la possibilité, pour le responsable de traitement, de restreindre les droits des personnes concernées lorsque cette restriction est une mesure nécessaire et proportionnée. Le même article impose que ces restrictions soient prévues par l'acte instaurant le traitement.
La délégation a été informée que les personnes intégrées au fichier X n’en sont pas informées, alors même que les X contrôlés sont systématiquement intégrés au fichier. Par ailleurs, aucune information générale n’est mise à disposition du public concernant le fichier X, par exemple sur le portail internet de la X.
Or, la délégation a constaté qu’aucun acte ne vient encadrer les traitements nés de l’utilisation du fichier X et donc qu’aucune restriction prévue par un tel acte ne vient limiter le droit des personnes concernées à recevoir les informations prévues par le II de l’article 104 de la loi Informatique et Libertés. Par ailleurs, les personnes contrôlées et intégrées au fichier X doivent pouvoir accéder aux informations prévues par le I du même article, ce qui n’est pas le cas en l’espèce.
Les faits évoqués constituent un manquement à l’article 104 de la loi du 6 janvier 1978 modifiée quant à l’obligation pour le responsable du traitement d’informer les personnes que leurs données à caractère personnel sont traitées, ainsi qu’au principe énoncé à l’article 107 de la loi en vertu duquel un responsable de traitement ne peut restreindre les droits des personnes que dans les conditions prévues par l’acte instaurant le traitement. Le X devra donc garantir l’information des personnes.
En conséquence, le XX, sis X, est mis en demeure sous un délai de 6 (six) mois à compter de la notification de la présente décision et sous réserve des mesures qu’il aurait déjà pu adopter, de :
• édicter un acte législatif ou règlementaire après avis de la CNIL portant création du X; à défaut, cesser de procéder au traitement des données en cause ;
• sous réserve de licéité du fichier X, distinguer les données des différentes catégories de personnes y étant inscrites ;
• sous réserve de licéité du fichier X, informer les personnes y étant inscrites, dans les conditions prévues au chapitre III du titre III de la loi Informatique et Libertés ;
• justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si le XX s’est conformé à la présente mise en demeure, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, si le XX ne s’est pas conformé à la présente mise en demeure, il est rappelé qu’un rapporteur peut être désigné pour requérir que la formation restreinte prononce l’une des mesures correctrices prévues par l’article 20 de la loi du 6 janvier 1978 modifiée.
La Présidente
Marie-Laure DENIS
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 13 avril 2023 sous la présidence de Madame Marie-Laure DENIS ;
Siégeaient, outre la Présidente de la Commission, Madame Sophie LAMBREMON, Vice-présidente déléguée, et Monsieur François PELLEGRINI, Vice-président ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° MED-2023-018 du 3 avril 2023 de la Présidente de la Commission mettant en demeure XX ;
A adopté la délibération suivante :
Par décision du 3 avril 2023, la Présidente de la Commission a, sur le fondement de l’article 20 de la loi du 6 janvier 1978 modifiée, mis en demeure le X, sis X, de faire cesser sous un délai de 6 (six) mois les manquements constatés à cette même loi relatifs à la licéité du traitement, à la distinction entre les données de différentes catégories de personnes concernées et à l’information des personnes.
 
En application du dernier alinéa du II de l’article 20 la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 13 avril 2023.
 
Après en avoir délibéré, le bureau estime que la publicité se justifie tout d’abord par l’illicéité flagrante d’un fichier mis en œuvre X et ayant notamment pour objet la recherche d’infractions : le système X utilisé par X qui y inscrit de manière systématique les personnes contrôlées X.
En outre, le bureau note le nombre particulièrement important de personnes susceptibles d’être touchées par le traitement en cause et cette surveillance systématique dès lors que les X ont automatiquement accès à de nombreuses informations X. C’est le cas de la plupart des X, et s’agissant des X, seul le propriétaire est intégré au fichier X, mais les agents participant au contrôle peuvent aléatoirement intégrer au fichier tous les occupants. La délégation a constaté que 45 973 personnes dont 392 mineurs étaient intégrés au fichier X.
 
En outre, la publicité de la décision de mise en demeure se justifie par la nature et la grande sensibilité du traitement concerné qui présente un risque particulier au regard de la vie privée et a pour objet notamment la recherche d’infractions. En effet, X collecte et intègre au fichier X des données en lien avec l’identité et les déplacements des X, notamment des informations sur leur état civil, leur adresse, leur profession, leur fonction X, les informations relatives à la propriété ou à la location X, et leur géolocalisation. La délégation a constaté que le fichier X contenait les copies de 9 646 passeports et de 3051 cartes nationales d’identité.
 
Le bureau estime également nécessaire d’informer le public sur les manquements constatés et de le sensibiliser, ainsi que les pouvoirs publics, sur la protection des données à caractère personnel dans un contexte de collecte de données à large échelle.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° MED-2023-018 de la Présidente de la CNIL mettant en demeure le X.
 
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. Si l’organisme se conforme en tout point aux exigences de la mise en demeure dans le délai imparti, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
 
Enfin, tant la décision de mise en demeure précitée que la présente délibération ne permettront plus d’identifier nommément l’organisme à l’expiration d’un délai de deux ans à compter de leur publication.
 
La Présidente
 
 
 
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur et des outre-mer, le ministre de l'économie, des finances et de la souveraineté industrielle et numérique et le ministre des armées d'une demande d'avis concernant un projet de décret portant application des articles L. 242-1 et suivants du code de la sécurité intérieure et relatif à la mise en œuvre de traitements d'images au moyen de dispositifs de captation installés sur des aéronefs par les services de la police nationale, de la gendarmerie nationale, des douanes ainsi que par les militaires des armées déployés sur le territoire national dans le cadre des réquisitions prévues à l'article L. 1321-1 du code de la défense ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son titre III ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après "la Commission") a été saisie par le ministère de l'intérieur et des outre-mer, le ministère de l'économie, des finances et de la souveraineté industrielle et numérique et le ministère des armées d'un projet de décret portant application des articles L. 242-1 et suivants du code de la sécurité intérieure (CSI) et relatif à la mise en œuvre de traitements d'images au moyen de dispositifs de captation installés sur des aéronefs par les services de la police nationale, de la gendarmerie nationale, des douanes ainsi que par les militaires des armées déployés sur le territoire national dans le cadre des réquisitions prévues à l'article L. 1321-1 du code de la défense.
Les articles L. 242-1 et suivants du CSI ont été créés par l'article 47 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés et modifiés par l'article 15 de la loi n° 2022-52 du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure. Ces dispositions, sur lesquelles la CNIL a eu l'occasion de rendre plusieurs avis, déterminent les conditions dans lesquelles les services concernés peuvent procéder, au moyen de caméras installées sur des aéronefs, à la captation, à l'enregistrement et à la transmission d'images.
L'article L. 242-8 du CSI prévoit que les modalités d'application des dispositions précités et d'utilisation des données collectées doivent être précisées par un décret en Conseil d'Etat, pris après avis motivé et publié de la Commission.
Sur les finalités et le régime juridique applicable :
En premier lieu, s'agissant des traitements mis en œuvre par les services de la police nationale, de la gendarmerie nationale, et les militaires des armées déployés sur le territoire national dans le cadre des réquisitions prévues à l'article L. 1321-1 du code de la défense, les finalités des traitements sont mentionnées au I du projet d'article R. 242-8 du CSI, qui sont une reprise de celles mentionnées à l'article L. 242-5 du CSI.
Le Gouvernement considère que le régime juridique applicable à ces traitements est celui de la directive (UE) 2016/680 du 27 avril 2016, transposée au titre III de la loi du 6 janvier 1978 modifiée.
Si les finalités mentionnées du 1° au 5° relèvent bien de la directive précitée, il n'en est pas nécessairement de même s'agissant de la finalité relative au secours aux personnes (6°). Interrogé sur ce point, le Gouvernement a indiqué que la finalité de secours aux personnes s'exerce de manière conjointe à une autre mission de sécurité publique (par exemple, la recherche de personne disparue ou le sauvetage en mer de migrants dans le cadre d'une opération de contrôle aux frontières).
La Commission considère dès lors que les traitements mis en œuvre par les services de la police et de la gendarmerie nationales, et les militaires des armées déployés sur le territoire national relèvent du régime de la directive précitée.
En second lieu, s'agissant des traitements mis en œuvre par les agents des douanes, le II du projet d'article R. 242-8 du CSI mentionne qu'ils ont pour finalité la prévention des mouvements transfrontaliers de marchandises prohibés. Cette finalité est une reprise de celle mentionnée à l'article L. 242-5 du CSI.
La Commission considère que cette finalité relève du régime de la directive précitée.
Sur la qualité d'acte réglementaire unique :
Le projet de décret constituera un acte réglementaire unique au sens du IV de l'article 31 de la loi du 6 janvier 1978 modifiée. La mise en œuvre des traitements est ainsi subordonnée à l'envoi préalable à la Commission d'un engagement de conformité par la direction générale de la police nationale, la direction générale de la gendarmerie nationale, la préfecture de police, la direction générale des douanes et des droits indirects (DGDDI) et le ministère des armées pour les services qui leur sont rattachés.
Dans la mesure où les traitements projetés sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques, notamment parce qu'ils sont susceptibles de porter sur des données sensibles, les ministères ont réalisé une analyse d'impact relative à la protection des données à caractère personnel (AIPD), laquelle a été adressée à la Commission avec la demande d'avis.
La Commission relève que, si la directive "police-justice" ne prévoit pas explicitement qu'une seule et même AIPD puisse porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires, la réalisation d'une telle analyse d'impact, dans le cas présent, est de nature à constituer une garantie supplémentaire pour la protection des droits et des libertés des personnes concernées à l'égard des traitements projetés. En effet, elle estime que cette AIPD "cadre" a vocation à constituer le socle de référence des garanties minimales à mettre en œuvre par l'ensemble des responsables de traitement, au regard des risques identifiés dans le cadre de l'usage de ces dispositifs. Cette AIPD cadre pourra, le cas échéant, être complétée, d'une AIPD des caractéristiques particulières de chacun des traitements mis en œuvre qui ne figurent pas dans l'AIPD cadre.
Sur les conditions générales de mise en œuvre des dispositifs :
En premier lieu, les ministères concernés ont prévu de rédiger une doctrine d'emploi propre à chacune des institutions concernées (police nationale, gendarmerie nationale, militaires et douanes). Cette doctrine rappellera le cadre juridique des caméras aéroportées, précisera certains cas d'usage, les conditions d'emploi et les conduites à tenir, en particulier s'agissant de l'information des personnes et des restrictions de captation et d'enregistrement des lieux privés.
Si la Commission prend acte de ce que la diversité des situations opérationnelles auxquelles les forces de sécurité sont confrontées ne permet pas de définir dans le projet de décret des critères objectifs encadrant la captation, l'enregistrement et la transmission d'images, elle considère que de telles précisions devront figurer dans la doctrine d'emploi qui devra lui être transmise.
En deuxième lieu, l'article L. 242-5 du CSI prévoit que les services de la police nationale et de la gendarmerie nationale, les militaires et les agents des douanes peuvent être autorisés à procéder à la captation, à l'enregistrement et à la transmission d'images au moyen de caméras aéroportées.
S'agissant de la captation et l'enregistrement d'images, le projet de décret n'indique pas de critères permettant de distinguer d'une part, les situations où une simple captation d'images avec visualisation des images en direct est suffisante, et d'autre part les situations où la captation s'accompagne d'un enregistrement vidéo.
A cet égard, les ministères ont indiqué que l'enregistrement sera déclenché dans le cas où il apporte une plus-value par rapport au simple visionnage afin de matérialiser des faits objectifs, et qu'il s'agit d'une appréciation au cas par cas. De plus, l'enregistrement pourra être remis le cas échéant aux autorités compétentes pour les besoins d'une procédure judiciaire, administrative ou disciplinaire.
Les ministères ont indiqué que les doctrines d'emploi préciseront, sans exhaustivité, des recommandations en la matière.
S'agissant de la transmission d'images, l'article L. 242-2 du CSI mentionne que "les images captées peuvent être transmises au poste de commandement du service concerné et aux personnels impliqués dans la conduite et l'exécution de l'intervention, qui peuvent les visionner en temps réel ou différé pendant la durée strictement nécessaire à l'intervention".
Le projet de décret ne précise pas de critères commandant la transmission en temps réel ou différé des images.
L'AIPD indique que la transmission des images au centre de commandement peut être déclenchée lorsque le centre de commandement a besoin de mieux comprendre la situation en cours de déroulement, de disposer d'une vue globale de l'intervention pour adapter ses instructions en direct, ou de réaliser une analyse en différé pendant la durée strictement nécessaire à l'intervention.
Les images captées peuvent également être transmises aux personnels impliqués dans la conduite et l'exécution de l'intervention, sur le terrain, afin qu'ils puissent avoir connaissance du déroulement des opérations et prendre les décisions appropriées à leur conduite.
A cet égard, les ministères concernés ont indiqué que les doctrines d'emploi préciseront les cas d'usage (non exhaustifs) pouvant conduire à cette transmission.
En troisième lieu, s'agissant des lieux concernés, l'article L. 242-5 du CSI indique que "les dispositifs aéroportés sont employés de telle sorte qu'ils ne visent pas à recueillir les images à l'intérieur des domiciles ni, de façon spécifique, celles de leurs entrées. Lorsque l'emploi de ces dispositifs conduit à visualiser ces lieux, l'enregistrement est immédiatement interrompu. Toutefois, lorsqu'une telle interruption n'a pu avoir lieu compte tenu des circonstances de l'intervention, les images enregistrées sont supprimées dans un délai de 48h à compter de la fin du déploiement du dispositif, sauf transmission dans ce délai dans le cadre d'un signalement à l'autorité judiciaire, sur le fondement de l'article 40 du code de procédure pénale
". Ces dispositions qui résultent de la loi sont reprises au II du projet d'article R. 242-11 du CSI.
S'agissant des raisons opérationnelles qui peuvent empêcher l'arrêt des enregistrements, les ministères ont indiqué à titre d'exemples des impératifs liés à la mission ou des zones à forte densité d'habitation.
Au regard des risques pour la vie privée des personnes, la Commission considère qu'il est nécessaire de préciser les circonstances de l'intervention empêchant l'interruption des enregistrements dans les lieux précités. Si elle prend acte de ce que la diversité des situations opérationnelles auxquelles les forces de sécurité sont confrontées ne permet pas de définir de manière exhaustive dans le projet de décret les circonstances empêchant une telle interruption, elle considère que de telles précisions devront être listées dans la doctrine d'emploi. Cette dernière devra par ailleurs être régulièrement passée en revue afin que les cas décrits répondent strictement à une situation dans laquelle il n'était effectivement pas possible d'interrompre l'enregistrement.
Sur les données collectées :
Les données à caractère personnel collectées sont mentionnées au projet d'article R. 242-9 du CSI.
Le projet de décret exclut la captation du son, ce qui est conforme à l'article L. 242-4 du CSI.
En outre, en vertu du deuxième alinéa de l'article L. 242-4 du CSI, les dispositifs aéroportés ne peuvent pas comporter de traitements automatisés de reconnaissance faciale, et la réglementation en vigueur n'autorise aucun dispositif de vidéo "augmentée" sur les images captées par des caméras installées sur des aéronefs.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
Sur les accédants et les destinataires :
Les accédants et destinataires aux données sont mentionnés au projet d'article R. 242-10 du CSI.
S'agissant des accédants, le 1° du I du projet d'article R. 242-10 du CSI mentionne "le chef du service de police, le commandant de l'unité de gendarmerie ou le chef du service des douanes" . A des fins de clarté, la Commission considère que le projet de décret devrait préciser qu'il s'agit de la "police nationale" afin d'éviter toute confusion avec les services de police municipale qui ne peuvent pas, en l'état de la réglementation en vigueur, mettre en œuvre des traitements d'images au moyen de dispositifs de caméras aéroportées. La Commission prend acte de l'engagement du ministère de modifier le projet de décret dans le sens préconisé.
S'agissant des destinataires, la Commission considère que le projet de décret devrait être complété afin de préciser quels sont les "agents chargés de la formation des personnels" de manière à s'assurer qu'ils appartiennent bien à l'une des catégories de personnes mentionnées au projet d'article R. 242-10 du CSI.
Sur les durées de conservation :
Le II du projet d'article R. 242-11 du CSI indique qu' "à l'issue de l'intervention et au plus tard dans un délai de quarante-huit heures à compter de la fin de celle-ci, les personnels mentionnés au 2° et 3° du I de l'article R. 242-10 suppriment les images de l'intérieur des domiciles et de façon spécifique leurs entrées lorsque l'interruption de l'enregistrement n'a pas pu avoir lieu compte tenu des circonstances de l'intervention, sauf transmission dans ce délai d'un signalement à l'autorité judiciaire, sur le fondement de l'article 40 du code de procédure pénale".
Le III du projet d'article R. 242-11 du CSI mentionne que les données n'ayant pas fait l'objet de la suppression concernant les images de l'intérieur et des entrées des domiciles "sont conservées pendant une durée maximale de sept jours à compter de la fin du déploiement du dispositif, sans que nul ne puisse y avoir accès, sauf transmission dans ce délai d'un signalement à l'autorité judiciaire, sur le fondement de l'article 40 du code de procédure pénale".
La Commission considère que les données sont conservées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément à l'article 4-5° de la loi du 6 janvier 1978 modifiée.
Sur les droits des personnes concernées :
S'agissant du droit à l'information, l'article L. 242-3 du CSI prévoit que "le public est informé par tout moyen approprié de l'emploi de dispositifs aéroportés de captation d'images et de l'autorité responsable de leur mise en œuvre, sauf lorsque les circonstances l'interdisent ou que cette information entrerait en contradiction avec les objectifs poursuivis. Une information générale du public sur l'emploi des dispositifs aéroportés de captation d'images est organisée par le ministère de l'intérieur".
S'agissant des modalités de mise en œuvre de l'information des personnes filmées, la Commission considère que la première phrase du I du projet d'article R. 242-13 du CSI devrait être modifiée afin de faire référence à "l'information des personnes susceptibles d'être filmées" et non à "l'information du public". Elle estime que l'information des personnes susceptibles d'être filmées doit se faire sur le lieu de l'opération au cours de laquelle les caméras aéroportées seront utilisées. A cet égard, l'AIPD prévoit que l'information pourra se faire sur le lieu de l'opération par exemple via des dispositifs sonores permettant d'avertir le public qu'une action est en cours et qu'elle est susceptible de donner lieu à un enregistrement, ou des dispositifs physiques (comme des barrières) matérialisant les différentes zones du périmètre susceptible d'être filmé. Dans le cas particulier de l'utilisation des caméras aéroportées pour assurer la sécurité des rassemblements de personnes sur la voie publique ou dans les lieux ouverts au public, les modalités d'information des personnes filmées pourraient en outre être précisées dans la décision autorisant le recours aux drones, pour filmer le rassemblement. La Commission considère que les doctrines d'emploi devront préciser des modalités devant être mises en œuvre pour informer de manière concise, transparente, compréhensible et aisément accessible les personnes filmées.
Par ailleurs, s'agissant des modalités de mise en œuvre de l'information générale du public, l'AIPD prévoit une information du public sur l'emploi de dispositifs aéroportés sur le site internet du ministère de l'intérieur et de la DGDDI. S'agissant des caméras aéroportées mises en œuvre par les militaires relevant du ministère des armées, la Commission considère qu'une information du public sur l'emploi de ces dispositifs pourrait également être réalisée sur le site web du ministère des armées. La Commission rappelle que l'information délivrée au public devra être effective, compréhensible et complète en tenant compte des spécificités liées aux dispositifs en cause.