AgentPublic/cnil huggingface dataset:
(article 7)
L’article 7 du projet de loi modifie l’article L2251-4-2 du code des transports afin d’étendre les images de vidéoprotection que les agents des services internes de sécurité de la SNCF et de la RATP peuvent visionner lorsqu’ils sont affectés au sein des salles d’information et de commandement relevant de l’Etat (CCOS). Cette disposition limite aujourd’hui le visionnage de ces agents aux images des systèmes de vidéoprotection transmises en temps réel dans ces salles depuis les véhicules et emprises immobilières des transports publics de voyageurs relevant de leurs compétences, aux seules fins de faciliter la coordination avec ces derniers lors des interventions de leurs services au sein desdits véhicules et emprises.
Le projet de loi élargit les possibilités de visionnage des agents des services internes de sécurité de la SNCF et de la RATP.
Le ministère indique que les agents des services internes de sécurité de la SNCF et de la RATP ne pourront pas avoir accès à l’ensemble des images des systèmes de vidéoprotection susceptibles d’être transmises en temps réel dans les salles d’information et de commandement relevant de l’Etat, mais seulement à celles issues des systèmes situés au sein de leurs véhicules, de leurs emprises et de leurs abords.
En pratique, cela permettra une meilleure gestion des flux de supporters se rendant vers des sites desservis par les moyens de transport des deux opérateurs, ou les quittant à l’issue de la manifestation sportive. L’objectif poursuivi par cette évolution, qui consiste en l’amélioration de la communication entre les différentes personnes étant amenées à intervenir sur le flux de personnes dans le cadre d’événements sportifs d’ampleur, est légitime.
Il est néanmoins rappelé que les services internes de sécurité de la SNCF et de la RATP sont uniquement chargés, dans le cadre d’une mission de prévention, de veiller à la sécurité des personnes et des biens dans l’emprise de leur entreprise, de protéger leurs agents, leur patrimoine et de veiller au bon fonctionnement des services.
A cet égard, la Commission estime que la possibilité offerte à ces agents de visualiser davantage d’images des systèmes de vidéoprotection transmises en temps réel ne doit pas conduire à étendre leurs compétences telles que définies par les textes, ou à leur permettre d’utiliser les images transmises à d’autres fins que celles prévues.
Au regard des précisions apportées par le ministère, la Commission considère que la rédaction retenue dans le projet de loi, qui pourrait laisser penser que ces agents auraient la possibilité d’accéder à l’ensemble des images transmises en temps réel au sein du CCOS (RATP, SNCF mais aussi préfecture de police notamment), sans restriction, devrait être clarifiée.
Sur l’élargissement de la procédure de criblage prévue à l’article L211- 11-1 du CSI aux fans-zones et aux participants aux grands évènements 
(article 9)
L’article 9 du projet de loi modifie le dispositif d’accès aux grands évènements désignés par décret en raison de leur exposition à un risque exceptionnel de menace terroriste en application de l’article L211-11-1 du CSI.
Cet article du CSI impose aujourd’hui aux organisateurs de certains grands évènements de demander l’avis de l’autorité administrative compétente avant d’autoriser une personne n’étant ni un spectateur ni un participant (par exemple : sportifs, équipe médicale, juges arbitres etc.) d’accéder à un établissement ou une installation accueillant ces évènements. Cet avis doit être rendu à la suite d’une enquête administrative sur la personne concernée qui peut donner lieu à la consultation de certains traitements automatisés de données à caractère personnel, selon les règles propres à chacun d'eux.
En premier lieu, l’article 9 du projet de loi prévoit que cette procédure s’applique également aux lieux situés dans l’espace public accueillant de grands rassemblements de personnes afin d’assister à des retransmissions de ces évènements  désignés par décret, comme par exemple les fan zones .
Le ministère précise que la notion de lieux situés dans l’espace public fait référence à l’ensemble des espaces destinés à l’usage de tous sans restriction et vise à englober tant les voies publiques (les voies ouvertes à la circulation publique) que les lieux ouverts au public (les lieux non fréquentés exclusivement pour cet évènement, comme par exemple les parcs, les transports collectifs ou encore les commerces). Au regard du périmètre particulièrement large des lieux susceptibles d’être visés, la Commission invite le ministère à établir des critères objectifs permettant de définir ces lieux au niveau réglementaire ou dans une doctrine d’emploi, en lien avec l’appréciation de la menace qui permet de justifier la réalisation d’enquêtes administratives (par exemple, des critères relatifs au nombre de personnes, au type de retransmission, ou encore à la définition du risque au regard de la zone, etc.). Sur ce point, elle prend acte de ce que l’instruction du ministre de l'intérieur du 23 août 2021 relative à la mise en œuvre de la procédure de désignation d'un grand événement sera actualisée à la suite de ces évolutions législatives.
En second lieu, cet article ajoute les participants aux personnes dont l’accès est subordonné à une autorisation de l’organisateur délivrée après enquête préalable de l’autorité administrative. Selon le ministère, la notion de participant recouvre par exemple les acteurs, les sportifs mais aussi leurs équipes (entraîneurs, médecins, kinésithérapeutes, etc.) et les autres personnes participant au bon déroulement de l’évènement (arbitres, chronométreurs, etc.). Ainsi, à l’exception des spectateurs, l’intégralité des personnes accédant aux lieux concernés, quels que soient leur statut et leurs fonctions, devront faire l’objet d’une enquête administrative.
En l’espèce, une telle évolution conduira à élargir de manière très substantielle le périmètre des personnes concernées par ces dispositions. Cela pourrait en effet représenter environ 50.000 à 60.000 participants pour les seuls jeux olympiques et paralympiques selon le ministère.
D’une part, si l’organisation d’un évènement d’ampleur tel que les jeux olympiques et paralympiques comporte des risques pouvant justifier la réalisation d’enquêtes administratives, la Commission regrette toutefois de ne pas avoir eu davantage de précisions sur les éléments justifiant un tel élargissement pour les jeux olympiques et paralympiques de 2024 et de manière pérenne au-delà de cette période (par exemple quant aux éventuelles lacunes que présente le maillage actuel ou la nécessité d’étendre à ces catégories de personnes). Elle regrette également de ne pas avoir disposé d’éléments de comparaison pour déterminer si ce contrôle est habituel pour ce type de manifestation, notamment dans les pays de l’Union européenne ou déclarés adéquats pour le transfert de données à caractère personnel. La transmission de l’ensemble de ces informations aurait pu lui permettre d’apprécier la nécessité et la proportionnalité de cette extension particulièrement significative.
D’autre part, la réalisation de ces enquêtes administratives impliquera un traitement de données à caractère personnel ainsi que la consultation de certains fichiers dits de police . Les données collectées dans ce cadre par le service national des enquêtes administratives de sécurité (SNEAS) pourront être conservées pour une durée pouvant aller jusqu’à cinq ans au sein du fichier mis en œuvre par ce service, dans le cadre du traitement automatisé de données à caractère personnel dénommé Automatisation de la consultation centralisée de renseignements et de données (ACCReD).
A cet égard, la Commission souligne que les données ainsi traitées doivent être conservées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées et considère qu’elles ne sauraient être enregistrées pour une durée supérieure à celle des évènements concernés.
Elle rappelle en outre la nécessité de mettre en place des garanties pour que l’automatisation des consultations des fichiers concernés ne conduise pas à ce que des avis ou des décisions résultent de la seule inscription d’une personne dans un traitement de données à caractère personnel. En effet, des préjudices importants pour les personnes concernées peuvent découler d’un avis ou d’une décision défavorable à la suite de ces consultations. Elle prend acte de ce que le service en charge des enquêtes doit procéder à des vérifications complémentaires lorsqu'il prend connaissance de données pouvant a priori justifier un avis défavorable.
Sur la possibilité de mettre en place des scanners corporels à l’entrée des enceintes sportives (article 10)
L’article 10 du projet de loi permet l’utilisation de scanners à ondes millimétriques à l’entrée des enceintes accueillant des manifestations sportives. Le recours à cette technique pour procéder aux opérations d’inspection-filtrage des personnes, déjà déployée dans les aéroports, vise à fluidifier et sécuriser l’accès aux lieux concernés.
Leur usage est soumis à différentes conditions définies dans le projet de loi :
l’inspection-filtrage ne peut être réalisée qu’avec le consentement des personnes concernées ;
l’analyse des images est effectuée par des opérateurs qui ne connaissent pas l’identité de la personne et qui ne peuvent pas visualiser simultanément l’image produite par le dispositif d’imagerie ;
le dispositif doit comporter un système brouillant la visualisation du visage ;
l’enregistrement et la conservation des images sont interdits ;
ces opérations sont limitées aux zones déterminées par un arrêté conjoint du ministre chargé des sports et du ministre de l’intérieur.
La mise en place de ces garanties est de nature à réduire l’atteinte portée à la vie privée et l’intimité des personnes concernées.
Elle rappelle que la mise en œuvre d’un scanner corporel constitue un traitement de données à caractère personnel soumis à la réglementation en la matière. Sur ce point, il ressort de la Communication de la Commission au Parlement européen et au Conseil sur l'utilisation de scanners de sécurité dans les aéroports de l'Union européenne du 15 juin 2010 (COM/2010/0311 final) que la captation et le traitement de l'image d'une personne identifiée ou non identifiable par scanners corporels afin de permettre à un examinateur d'effectuer l'évaluation pertinente en matière de sécurité relèvent de la réglementation en matière de protection des données. En effet, certaines technologies peuvent révéler un affichage détaillé du corps humain ainsi que des particularités médicales.
Par ailleurs, s’agissant des modalités de recueil du consentement des personnes concernées, le ministère envisage de disposer des affiches qui pourront être apposées en amont du passage dans le scanner corporel et/ou des agents pourront être chargés d’orienter les participants et de s’assurer de leur consentement. En cas de refus, la personne pourra être soumise à un autre dispositif de contrôle. Elle sera alors orientée sur une autre file afin d’être soumise à des palpations manuelles, assurées par un agent du même sexe.
La Commission souligne l’importance des modalités de mise en œuvre d’information et de recueil du consentement des personnes afin de garantir leur effectivité. Ces dernières devront également être informées suffisamment à l’avance de l’existence d’un autre dispositif de contrôle afin de pouvoir faire un choix éclairé.
Enfin, l’article 31 de la loi du 6 janvier 1978 modifiée prévoit que les traitements de données qui intéressent la sûreté de l’Etat, la défense ou la sécurité publique mis en œuvre pour le compte de l’Etat, ce qui pourrait être le cas en l’espèce, doivent être autorisés par un acte réglementaire pris après avis motivé et publié de la CNIL. Le cas échéant, la Commission invite le ministre à préciser si le projet de texte tend à déroger à cette disposition et, si ce n’est pas le cas, estime qu’il conviendra de prendre les actes réglementaires en question.
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2021-113C du 17 mai 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à la vérification de la conformité des traitements de données à caractère personnel mis en œuvre dans le cadre de l’utilisation des systèmes d’exploitation [...] et [...] aux dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 10 janvier 2022 ;
Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société [...] le 27 juillet 2022 ;
Vu les observations écrites versées par la société [...] le 19 septembre 2022 ;
Vu la réponse du rapporteur à ces observations notifiée à la société [...] le 19 octobre 2022 ;
Vu les nouvelles observations écrites versées par la société [...] le 21 novembre 2022, ainsi que les observations orales formulées lors de la séance de la formation restreinte du 12 décembre 2022 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte :
- Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;
En qualité de représentants de la société [...] :
- […] ;
La société [...] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. Le groupe [...] (la société [...] et ses filiales, collectivement le " groupe [...] ") conçoit, fabrique et commercialise des dispositifs de communication et de média mobiles, des ordinateurs personnels et vend une gamme de logiciels, services et périphériques, solutions réseau, contenus numériques et applications tierces en relation avec ces produits.
2. Les produits du groupe [...], qui incluent notamment […] (téléphone mobile multifonctions), sont fournis chacun avec un système d’exploitation spécifique pré-installé conçu au sein du groupe [...] ([…]).
3. Le groupe [...] vend et délivre ses contenus numériques et ses applications à travers ses magasins d’applications en ligne qui sont [...].
4. La société [...] détient, en règle générale, directement ou indirectement au travers d’entités intermédiaires, des participations dans toutes les filiales du groupe. Il s’agit notamment des sociétés [...] (ci-après la société " […] "), [...], [...] et [...] (ci-après la société " […] ").
5. La société [...] est située à […] et emploie environ […] salariés. Elle se présente comme étant l’entité responsable des ventes et de la distribution des produits du groupe [...] en Europe. Elle se considère également comme responsable de traitement des données à caractère personnel en lien avec l’activité des plateformes de publicité du groupe [...] dans l’Espace économique européen.
6. Pour l’année 2021, la société [...] a réalisé un chiffre d’affaires d’environ […] dollars, soit environ […] euros […] (selon le taux de change actuel).
7. La société [...] est située […] et emploie environ […] salariés. Elle ne vend ni ne distribue de produits en France. Son rôle est de soutenir les ventes et le marketing des produits commercialisés par la société [...] auprès des partenaires de distribution sur le marché français, en vertu d'un " contrat de service d’aide à la vente et de marketing " en vigueur depuis le 1er octobre 2018.
8. La société [...] est située […]. Son rôle est de vendre et de distribuer en France des produits du groupe [...].
9. La société [...], qui a son siège social dans […], possède une succursale en France qui porte le même nom ([...]), dont le siège social est situé […].
10. La société [...], qui a son siège social dans […], possède une succursale en France qui porte le même nom ([...]), dont le siège social est situé […].
11. Le 10 mars 2021, la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a été saisie par l’association […] d’une plainte à l’encontre d’[...]. La plainte concerne les traitements mis en œuvre par le groupe [...] au travers de ses systèmes d’exploitation [...] et [...]. Il est notamment indiqué dans cette plainte que le paramètre de confidentialité " Publicités personnalisées " présent dans les réglages des appareils commercialisés par le groupe [...] et fonctionnant avec les systèmes d’exploitation [...] et [...] est activé par défaut, ce qui ne permet pas aux utilisateurs de consentir valablement aux traitements de ciblage publicitaire.
12. Deux missions de contrôle en ligne sur des appareils équipés du système d’exploitation [...] et [...] ont été effectuées les 8 et 16 juin 2021.
13. Les procès-verbaux n° 2021-113/1 et 2021-113/2, dressés par la délégation le jour des contrôles, ont été notifiés aux sociétés [...] et [...] le 24 juin 2021. À cette occasion, des demandes de complément d’information leur ont été adressées. La société [...] y a répondu par courriels des 5 et 12 juillet 2021. En revanche, par courriels des 30 juin et 8 juillet 2021, la société [...] a indiqué ne pas être en mesure de répondre aux demandes de la délégation, ne jouant pas un " un rôle déterminant dans les traitements faisant l’objet du contrôle ".
14. Un contrôle sur pièces a également été effectué auprès des sociétés [...], [...] et [...] le 13 juillet 2021. Ces sociétés ont communiqué leur réponse à la CNIL, par courriels du 25 août 2021. Par courriels du 31 août 2021, les sociétés [...] et [...] ont complété ces réponses en transmettant, chacune pour ce qui la concerne, le registre des traitements mis en œuvre. À cette occasion, une demande de complément d’information a été adressée à la société [...], qui y a répondu par courriel du 5 octobre 2021.
15. Un contrôle sur place, dans les locaux de la société [...], a enfin été effectué le 13 octobre 2021 afin qu’elle apporte des précisions sur ses relations avec la société [...], sur l’activité des salariés occupant la fonction de […].
16. Le procès-verbal n° 2021-113/3, dressé par la délégation le jour du contrôle, a été notifié aux sociétés [...] et [...], respectivement les 19 octobre et 14 décembre 2021. À cette occasion, une demande de complément d’information a été adressée à la société [...], qui y a répondu par courriel du 25 octobre 2021.
17. Une demande de complément d’information a été adressée à la société [...] par courrier du 15 novembre 2021, qui y a répondu par courriels des 17 novembre et 3 décembre 2021.
18. Par courriel du 7 décembre 2021, la CNIL a adressé une nouvelle demande de complément à la société [...], qui y a répondu par courriel du 22 décembre 2021.
19. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 10 janvier 2022, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
20. Par courriel du 18 février 2022, la société [...] a sollicité une audition afin d’exposer au rapporteur le contexte dans lequel s’inscrit la plainte déposée par l’association […] et de lui faire part d’informations relatives au cadre dans lequel s’effectuent les opérations techniques réalisées sur les terminaux mobiles exécutant le système d’exploitation [...].
21. Le rapporteur ayant répondu favorablement à cette demande, l’audition de la société a eu lieu le 16 mars 2022 dans les locaux de la CNIL.
22. Le procès-verbal n° CTX-2021-106 dressé à l’issue de cette audition a été notifié par courriel à la société [...] le 17 mars 2022. La communication de documents complémentaires a de nouveau été sollicitée par la CNIL.
23. Les 30 mars, 12 avril et 3 juin 2022, la société [...] a communiqué les documents sollicités à la CNIL.
24. Le rapporteur a, le 27 juillet 2022, fait notifier à la société un rapport proposant à la formation restreinte de prononcer une amende administrative d’un montant de six millions d’euros au regard du manquement à l’article 82 de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés ") qu’il estimait constitué en l’espèce. Il proposait également que cette décision soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
25. Le 29 juillet 2022, la société a sollicité un délai complémentaire pour présenter ses observations en réponse.
26. Le 4 août 2022, le président de la formation restreinte a rejeté cette demande.
27. Le 19 septembre 2022, la société a produit ses observations en réponse au rapport de sanction.
28. Le 19 octobre 2022, le rapporteur a adressé sa réponse aux observations de la société.
29. Le 24 octobre 2022, la société a sollicité un délai complémentaire pour présenter ses deuxièmes observations en réponse.
30. Le 26 octobre 2022, la président de la formation restreinte a rejeté cette demande.
31. Le 21 novembre 2022, la société a produit de nouvelles observations en réponse à celles du rapporteur.
32. Le 22 novembre 2022, le rapporteur a informé la société et le président de la formation restreinte de la clôture de l’instruction. Le même jour, le président de la formation restreinte a adressé une convocation à la séance de la formation restreinte du 8 décembre 2022.
33. Le 23 novembre 2022, la société a sollicité le report de la séance de la formation restreinte.
34. Le 24 novembre 2022, la président de la formation restreinte a fait droit à cette demande en fixant la date de la séance au12 décembre 2022.
35. Le rapporteur et la société [...] ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur la compétence de la CNIL
1. Sur la compétence matérielle de la CNIL et l’applicabilité du mécanisme de " guichet unique " prévu par le RGPD
36. Aux termes de l’article 82 de la loi Informatique et Libertés, qui constitue la transposition en droit interne de l’article 5(3) de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, " tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 2° Des moyens dont il dispose pour s'y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. […] ".