La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de décret relatif aux conditions de l’expérimentation de l’usage de caméras individuelles par les sapeurs-pompiers dans le cadre de leurs interventions ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu le code général des collectivités territoriales, notamment ses articles L. 1424-2 et
L. 1424-3 ;
Vu le code de la sécurité intérieure, notamment ses articles L. 241-1 et L. 241-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8 et les II et IV de son article 26 ;
Vu la loi n° 2018-697 du 3 août 2018 relative à l'harmonisation de l'utilisation des caméras mobiles par les autorités de sécurité publique, notamment son article 1

Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Sophie LAMBREMON, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
1. La Commission a été saisie pour avis par le ministre de l’intérieur d’un projet de décret relatif aux conditions de l’expérimentation de l’usage de caméras individuelles par les sapeurs-pompiers dans le cadre de leurs interventions.
2. Cette expérimentation, d’une durée de trois ans, est prévue par l’article 1

Sur le cadre juridique applicable
3. L’article 1

sapeurs-pompiers peuvent utiliser des caméras individuelles dans l’exercice de leurs missions de prévention, de protection et de lutte contre les risques de sécurité civile, de protection des personnes et des biens et de secours d’urgence. Les enregistrements audiovisuels doivent leur permettre de prévenir les incidents au cours de leurs interventions, de constater des infractions et de poursuivre leurs auteurs par la collecte de preuves. Il est également prévu que ces enregistrements soient utilisés dans le cadre de la formation et de la pédagogie des agents.
4. Si les traitements projetés poursuivent notamment des finalités de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, entrant dans le champ de la directive (UE) 2016/680 du 27 avril 2016 susvisée, la Commission relève – au regard notamment des missions confiées aux services d’incendie et de secours – que ces derniers ne constituent pas des autorités compétentes au sens de cette directive. Elle estime dès lors qu’il y a lieu de faire application des dispositions du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après RGPD ).
5. Eu égard aux finalités des traitements projetés et à la nature des données enregistrées, qui sont susceptibles de faire apparaître, directement ou indirectement, des
éléments mentionnés au I de l’article 8
6. Elle rappelle que cet article implique que les traitements projetés soient mis en œuvre
pour le compte de l’État
7. Elle relève en outre que le projet de décret a vocation à constituer un acte réglementaire unique, au sens de l’article 26-IV de la loi du 6 janvier 1978 modifiée. A cet égard, la Commission observe que le projet de décret prévoit la réalisation d’un engagement de conformité auprès de la CNIL. Elle prend acte que cette obligation incombe aux personnes mentionnées au I de l’article 2 du projet de décret qui ont également qualité pour solliciter l’autorisation auprès du préfet.
8. La Commission rappelle enfin que, conformément à l’article 35-1 du RGPD, le responsable de traitement effectue une analyse d’impact relative à la protection des données à caractère personnel (ci-après AIPD ) lorsque le traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques. Ce même article prévoit qu’une seule et même analyse d’impact puisse porter sur un ensemble d’opérations de traitement similaires qui présentent des risques élevés similaires. Elle relève que l’article 35-10 du RGPD prévoit expressément que, dans certaines conditions, une AIPD générale puisse être réalisée à l’appui de dispositions légales relatives à la mise en œuvre de traitements de données à caractère personnel.
9. La Commission relève qu’en l’espèce, la réalisation d’une AIPD unique élaborée, comme le projet de décret, par le ministère de l’intérieur apparaît également justifiée par le fait qu’elle se rapporte à des traitements qui, conformément aux dispositions de l’article 26-IV de la loi du 6 janvier 1978 modifiée, répondent à des finalités ainsi qu’à des modalités de mise en œuvre identiques.
Sur la demande d’autorisation préfectorale et les pièces accompagnant cette demande
10. L’article 1

11. A cet égard, la Commission estime que l’objet de l’autorisation préfectorale ainsi délivrée est distinct de celui poursuivi par le présent acte réglementaire unique, dès lors que ladite autorisation ne saurait avoir pour objet de s’assurer du respect des règles relatives à la protection des données personnelles.
12. En outre, l’article 2-II du projet de décret prévoit que la demande d’autorisation préfectorale est accompagnée d’un dossier technique de présentation du traitement envisagé, de l’engagement de conformité destiné à la CNIL précisant le nombre de caméras que compte le dispositif et les centres d’incendie et de secours ou services utilisateurs, ainsi que
le cas échéant, [des] éléments nécessités par les circonstances locales de mise en œuvre du traitement, complémentaire à l’[AIPD] adressée à la [Commission] par le ministère de l’intérieur avec la demande d’avis sur les dispositions du présent décret .
13. La Commission observe qu’aucune précision n’est apportée dans le projet de décret s’agissant des
circonstances locales
circonstances locales
Sur les finalités des traitements
14. A titre liminaire, la Commission relève que les traitements projetés ont pour base légale l’article 6-1-e) du RGPD dans la mesure où ils sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement.
15. La Commission prend acte que, de manière générale, le déploiement des dispositifs de caméras individuelles entend répondre à un besoin de sécurisation physique des sapeurs-pompiers dans le cadre de leurs interventions.
16. L’article 3 du projet de décret prévoit que les traitements de données à caractère personnel provenant des caméras individuelles ont pour finalités :
la prévention des incidents au cours des interventions des agents ;
le constat des infractions et la poursuite de leurs auteurs par la collecte de preuves, dans le cadre d’une procédure judiciaire ;
la formation et la pédagogie des agents.
17. La Commission observe que l’article 1

dans le cadre d’une procédure judiciaire
18. Or, elle relève que le projet de décret semble également prévoir l’utilisation des enregistrements dans le cadre de procédures administratives ou disciplinaires. Cette possibilité est évoquée tant dans les dispositions législatives susmentionnées, s’agissant de la durée de conservation des données, que dans les dispositions réglementaires projetées, notamment en ce qui concerne les destinataires et les personnes habilitées à accéder aux données et informations collectées.
19. Si la Commission n’entend pas remettre en question l’utilisation d’enregistrements issus de tels dispositifs dans le cadre d’une procédure administrative ou disciplinaire engagée à l’encontre d’un agent à l’origine d’un incident au cours de l’exécution d’une mission de sécurité civile, elle considère que le projet de décret devrait faire expressément mention de cette finalité, conformément aux dispositions de l’article 29 de la loi du 6 janvier 1978 modifiée. A cet égard, elle prend acte que le ministère entend supprimer dans le projet de décret la mention
dans le cadre d’une procédure judiciaire .
20. Par ailleurs, s’il ne lui appartient pas de remettre en cause les circonstances dans lesquelles le législateur a entendu permettre – à titre expérimental - l’utilisation de ces dispositifs par les sapeurs-pompiers, la Commission relève que, s’agissant de cette même finalité de constat des infractions et de poursuite de leurs auteurs par la collecte de preuves, les autorités compétentes pourraient se voir transmettre ces enregistrements en leur qualité de tiers autorisés.
Sur le périmètre des dispositifs et la nature des données traitées

de caméras individuelles, le projet de décret prévoit expressément que seules les caméras individuelles fournies aux sapeurs-pompiers au titre de l’équipement des personnels sont autorisées, ce qui exclut le recours à tout autre dispositif permettant la captation d’éléments visuels et sonores, et notamment à des caméras personnelles.
En ce qui concerne le périmètre de mise en œuvre des dispositifs
22. S’agissant des situations dans lesquelles les sapeurs-pompiers sont autorisés à déclencher l’enregistrement, l’article 1

lorsque se produit ou est susceptible de se produire un incident de nature à mettre en péril [l’]intégrité physique des [sapeurs-pompiers], eu égard aux circonstances de l’intervention ou au comportement des personnes concernées .
l’enregistrement n’est pas permanent et ne peut être déclenché dans le cas où il est susceptible de porter atteinte au secret médical
23. La Commission relève que le projet de décret n’apporte pas davantage de précisions quant aux situations et aux lieux dans lesquels les sapeurs-pompiers sont autorisés à activer leurs caméras. A cet égard, elle observe que, contrairement par exemple à ce qui a été prévu par le législateur s’agissant des dispositifs utilisés par les agents de police municipale, rien n’indique en l’espèce que les enregistrements pourraient être réalisés en tous lieux et, notamment au sein du domicile des particuliers. Dans ce contexte, elle s’interroge sur le périmètre exact dans lequel ceux-ci pourront être utilisés. La Commission estime que le projet de décret devrait être complété sur ce point.
24. La Commission relève par ailleurs que l’AIPD transmise avec le projet de décret fait mention d’une instruction relative à l’emploi des caméras individuelles destinée notamment à fournir des consignes aux sapeurs-pompiers sur leur utilisation. Cette instruction sera accessible sur le site internet du ministère de l’intérieur, sur le site internet et par voie d’affichage dans les locaux des services d’incendie et de secours.
25. La Commission estime qu’à défaut pour le ministère de pouvoir dresser une liste exhaustive des circonstances de nature à justifier le déclenchement des caméras, il conviendrait que cette instruction prévoie des critères objectifs commandant l’utilisation de ces dispositifs, afin d’éviter toute collecte disproportionnée de données à caractère personnel. Elle considère que des règles spécifiques devraient être prévues, en particulier dans l’hypothèse où les caméras pourraient être utilisées au sein de lieux d’habitation, comme restreindre la possibilité de le faire à certaines circonstances et garantir une information individuelle systématique de la personne concernée, le cas échéant, à l’issue de l’intervention.

, l’article 4 du projet de décret énumère les catégories de données à caractère personnel et informations enregistrées dans les traitements mis en œuvre, à savoir les images et les sons captés par les caméras individuelles, le jour et les plages horaires d’enregistrement, l’identification de l’agent porteur de la caméra lors de l’enregistrement des données, ainsi que le lieu où sont collectées les données.
S’agissant des données traitées
27. Si l’utilisation de systèmes d’enregistrement sonore couplés à des dispositifs vidéo peut poser des difficultés au regard de l’exigence de proportionnalité résultant des textes relatifs à la protection des données personnelles, la collecte de données sonores apparaît néanmoins pertinente en l’espèce et compte tenu des finalités poursuivies par ces dispositifs.
28. Le projet de décret prévoit que les données enregistrées dans les traitements sont susceptibles de faire apparaître, directement ou indirectement, des données sensibles, à l’exception des données concernant la santé.
29. La Commission rappelle que le I de l’article 8 de la loi du 6 janvier 1978 modifiée pose le principe d’une interdiction de traitement de telles données. Toutefois, le IV de ce même article dispose que ne sont pas soumis à l’interdiction prévue au I les traitements, automatisés ou non, justifiés par l’intérêt public et autorisés dans les conditions prévues au II de l’article 26, ce qui est l’objet du présent projet de décret.
30. En outre, l’article 9-2-g) du RGPD prévoit que le traitement de telles données est possible lorsqu’il est nécessaire pour un motif d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques à la sauvegarde des droits fondamentaux et des intérêts de la personne concernée, ce qui est le cas en l’espèce. Il convient alors que le traitement offre des garanties appropriées pour les droits et libertés de la personne concernée. A ce titre, la Commission relève qu’il sera notamment interdit de sélectionner dans les traitements une catégorie particulière de personnes à partir de ces seules données.
31. La Commission relève que, conformément aux dispositions de l’article 1

32. S’agissant de l’utilisation d’enregistrements audiovisuels à des fins pédagogiques et de formation, l’article 7 du projet de décret prévoit que ceux-ci soient anonymisés. A cet égard, la Commission rappelle que l’anonymisation implique d’empêcher toute ré-identification individuelle des personnes concernées par les enregistrements. Il en résulte que celle-ci devra porter sur les éléments visuels ( floutage ) et sonores (déformation ou suppression, notamment des conversations ambiantes) de ces enregistrements, qu’elle devra notamment concerner toute caractéristique physique ainsi que tout élément tenant à la situation individuelle des personnes concernées ou au contexte particulier de l’intervention.
33. Dans ces conditions, la Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 5-1-c) du RGPD.
Sur la durée de conservation des données
34. L’article 1

à compter du jour de leur enregistrement
35. Cette durée de conservation, supérieure aux durées communément admises par la Commission dans le cadre de la mise en œuvre de dispositifs de vidéosurveillance, doit permettre de tenir compte des délais moyens de traitement des procédures judiciaires, administratives ou disciplinaires. A cet égard, la Commission relève que la durée de conservation est une durée fixe et non une durée maximale. Il en résulte que les données traitées ne sauraient être supprimées avant le terme de ce délai, au risque de priver les personnes concernées de la possibilité d’accéder aux données qui les concernent et donc de les faire valoir, le cas échéant, dans le cadre d’une procédure.
36. L’article 7 du projet de décret précise qu’au terme de ce délai les enregistrements font l’objet d’une purge automatique, et que lorsque les données ont été extraites et transmises pour les besoins d’une procédure, elles sont conservées selon les règles propres à chaque type de procédure.
37. La Commission considère que les données collectées sont conservées pendant une durée qui n’excède pas la durée nécessaire compte tenu des finalités pour lesquelles elles sont collectées et traitées, conformément à l’article 5-1-e) du RGPD.
Sur les destinataires des données
38. L’article 6-I du projet de décret prévoit que sont habilités à accéder aux données, dans la limite de leurs attributions respectives et de leur besoin d’en connaître : le directeur et le directeur adjoint du service d’incendie et de secours, le commandant et le commandant en second de la brigade des sapeurs-pompiers de Paris, le commandant et le commandant en second du bataillon de marins-pompiers de Marseille, d’une part, et les agents individuellement désignés et habilités par les autorités précitées, d’autre part. Seules ces mêmes personnes sont habilitées à procéder à des extractions des données et informations, dans un cadre légal précis (procédure judiciaire, disciplinaire ou administrative ouverte) ou pour les besoins d’une action de formation ou de pédagogie des agents.
39. Par ailleurs, l’article 6-II du projet de décret prévoit que peuvent être destinataires de tout ou partie des données et informations enregistrées dans les traitements, chacun dans la limite de leurs attributions respectives et sous réserve du besoin d’en connaître dans le cadre d’une procédure judiciaire, administrative ou disciplinaire, ainsi que d’une action de formation : les officiers et agents de police judiciaire de la police et de la gendarmerie nationales, les inspecteurs et inspecteurs associés de l’inspection générale de la sécurité civile, l’autorité de gestion exerçant le pouvoir disciplinaire ainsi que les agents en charge de l’instruction des dossiers présentés à ces instances et les agents chargés de la formation des personnels.
40. Ces catégories de personnes habilitées et de destinataires n’appellent pas d’observation particulière.
Sur l’information et les droits des personnes concernées
41. S’agissant de l’information des personnes concernées, l’article 1 de la loi du 3 août 2018 prévoit que les caméras sont portées de façon apparente par les agents et qu’un signal visuel spécifique indique si la caméra enregistre. Il prévoit également que le déclenchement de l’enregistrement fait l’objet d’une information des personnes filmées,
sauf si les circonstances l’interdisent .
42. Au regard de ces garanties, la Commission considère qu’il ne pourra être procédé à un enregistrement à l’insu de la personne concernée. Elle estime toutefois que, si certaines circonstances interdisent d’informer immédiatement les personnes concernées du déclenchement de l’enregistrement, les dispositions précitées ne dispensent pas les agents de délivrer cette information de manière différée, dès que ces circonstances ont cessé et, au plus tard, au terme de l’intervention. Elle rappelle qu’une telle information doit permettre aux personnes concernées d’exercer, effectivement, leurs droits.
43. L’article 1

44. S’agissant des droits d’information et d'accès, l’article 9-III du projet de décret prévoit que les personnes concernées peuvent les exercer directement auprès de l’autorité de gestion du service d’incendie et de secours territorialement compétent. Il prévoit en outre qu’afin de garantir la sécurité publique, la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces et la protection des droits et libertés d’autrui, le droit d’accès peut faire l’objet de limitations en application du 1 de l’article 23 du RGPD. En cas de limitations, le droit d’accès s’exerce auprès de la CNIL.
45. De manière générale, la Commission relève que le périmètre générique de ces limitations, qui reprennent les dispositions c), d) et i) du 1 de l’article 23 du RGPD, apparaît particulièrement large, sans que des précisions n’aient été apportées sur la possibilité, en l’espèce, de mobiliser ces dispositions. En l’absence de telles précisions, elle estime ne pas être en mesure d’apprécier le caractère nécessaire et proportionné d’une telle mesure.
46. La Commission rappelle par ailleurs que, dans l’hypothèse où le ministère entendrait effectivement limiter la portée du droit d’accès, il lui reviendrait notamment de justifier de l’étendue de la limitation introduite conformément aux dispositions de l’article 23-2-c) du RGPD. En l’espèce, la Commission s’interroge sur l’opportunité de prévoir l’exercice d’un droit d’accès avec limitations. En particulier, elle relève qu’en cas de limitations, l’effectivité réelle du droit d’accès aux données ne pourra être garantie pour toutes les personnes susceptibles d’être concernées par les traitements en cause (personnes filmées, personnes tierces à l’intervention mais susceptibles d’apparaître dans les enregistrements et agents publics) au regard de la durée de conservation des données (six mois sauf engagement d’une procédure judiciaire, administrative ou disciplinaire) et du caractère non centralisé de ces traitements.
47. S’agissant du droit à la limitation du traitement, la Commission relève que l’AIPD unique transmise indique que celui-ci est garanti par l’article 7 du projet décret qui prévoit que, lorsque les données ont, dans le délai de conservation de six mois, été extraites et transmises pour les besoins d’une procédure judiciaire, administrative ou disciplinaire, elles sont conservées selon les règles propres à chacune des procédures par l’autorité qui en a la charge.
48. La Commission considère que l’objet de cette disposition est à distinguer de celui de l’article 18 du RGPD dont le périmètre est plus large. En tout état de cause, elle rappelle que l’existence du droit de demander la limitation du traitement doit être porté à la connaissance des personnes concernées, conformément aux dispositions de l’article 13-2°-b) du RGPD. Elle demande dès lors que le projet de décret soit complété sur ce point et fasse expressément mention de l’existence de ce droit.
49. La Commission relève que, s’agissant du droit d’opposition, le projet de décret précise qu’en application de l’article 23 du RGPD et de l’article 38 de la loi du 6 janvier 1978 modifiée, celui-ci n’a pas vocation à s’appliquer aux traitements projetés.
50. Enfin, elle prend acte que les droits à l’effacement et à la portabilité des personnes concernées ne s’appliquent pas en l’espèce ce qui, au regard des dispositions des articles 17-3-b) et 20-3 du RGPD, n’appelle pas d’observation particulière. La Commission prend également acte des précisions apportées selon lesquelles l’exercice du droit de rectification ne pourra, en l’occurrence, être mis en œuvre.
Sur les mesures de sécurité
51. L’article 1

52. La Commission estime que ces interdictions de principe doivent être accompagnées de mesures techniques de nature à garantir l’absence de consultation des enregistrements par les agents. En outre, il pourrait être envisagé des mesures opérationnelles garantissant que les enregistrements, une fois transférés sur un serveur dédié, ne soient visionnés que dans un cadre légal précis (procédure judiciaire, disciplinaire ou administrative ouverte).
53. Concernant les contrôles d’accès aux données, la Commission rappelle que l’authentification des personnes habilitées à accéder aux données traitées doit être conforme à sa doctrine, précisée dans la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
54. La Commission recommande également que la gestion des habilitations des utilisateurs et des administrateurs du traitement fasse l’objet d’une procédure formalisée, validée par le responsable de traitement et portée à la connaissance des utilisateurs.
55. L’article 8 du projet de décret prévoit que chaque opération de consultation, d’extraction et d’effacement de données fait l’objet d’un enregistrement dans le traitement ou, à défaut, d’une consignation dans un registre spécialement ouvert à cet effet qui comporte les matricule, nom, prénom et grade de l’agent procédant à l’opération, la date et l’heure de l’opération, ainsi que le motif judiciaire, administratif, disciplinaire ou pédagogique, le service ou l’unité destinataire des données et l’identification des enregistrements audiovisuels extraits et de la caméra dont ils sont issus. En l’absence de toute précision sur ce point, la Commission rappelle que le registre doit être conservé dans des conditions de nature à garantir l’intégrité des données et qu’il ne saurait être laissé à la disposition des agents concernés.
56. En tout état de cause, elle recommande qu’une journalisation automatique soit intégrée au logiciel de gestion des enregistrements et que les traces soient analysées régulièrement.
57. En l’absence de précisions concernant l’architecture de journalisation, la Commission ne peut que rappeler qu’il convient de centraliser localement les journaux d’événements horodatés sur la base d’une source de temps fiable et exportés de manière sécurisée, et d’assurer la sécurité des équipements de journalisation et des informations journalisées.
58. L’article 8 du projet de décret prévoit que les traces sont conservées pendant trois ans. A cet égard, la Commission s’interroge sur la pertinence de conserver les traces des opérations de consultation, d’extraction et d’effacement pendant une telle durée alors même que les données qui font l’objet de ces opérations sont elles-mêmes effacées au bout de six mois, hors le cas où elles sont utilisées dans le cadre d’une procédure judiciaire, administrative ou disciplinaire.
59. La Commission relève que différents types de matériels existent qui ne prévoient pas systématiquement le chiffrement des données stockées sur la carte mémoire présente dans la caméra, ce qui pourrait permettre un visionnage des séquences vidéo par un tiers, en cas de vol du matériel. A cet égard, elle relève que l’AIPD prévoit le recours à des caméras disposant d’une mémoire inamovible, constituant un premier niveau de garantie. Au regard notamment de la nature des données traitées, elle considère que les responsables de traitement devraient également privilégier les dispositifs faisant l’objet d’un chiffrement réel et non d’une simple obfuscation, et dont l’accès soit réservé au logiciel de gestion des enregistrements.
60. En outre, une solution intégrée devrait être mise en œuvre afin d’assurer la sécurité des enregistrements depuis le déchargement de la caméra jusqu’à leur exploitation dans le cadre de procédures judiciaires, administratives ou disciplinaires. Il conviendrait notamment que les enregistrements soient conservés unitairement chiffrés, signés et horodatés sur le serveur de stockage, et que ce dernier fasse l’objet de mesures de sauvegarde.
61. La Commission relève que l’AIPD prévoit expressément qu’en cas de recours à la sous-traitance, il appartient au service d’incendie et de secours de compléter l’analyse d’impact réalisée par le ministère de l’intérieur pour démontrer que le niveau de sécurité est garanti. A cet égard, Commission rappelle que l’hébergement externe des données conduit à considérer le fournisseur de la solution d’hébergement comme un sous-traitant au sens de l’article 28 du RGPD. Elle rappelle l’obligation faite au responsable de traitement d’établir une convention avec son sous-traitant afin de définir la répartition des responsabilités et obligations incombant à chacun des cocontractants.
62. Sous réserve des précédentes observations, les mesures de sécurité décrites par le ministère de l’intérieur pour les dispositifs mis en œuvre par les autorités de gestion des services d’incendie et de secours au bénéfice des sapeurs-pompiers semblent conformes à l’exigence de sécurité prévue par l’article 32 du RGPD. La Commission rappelle toutefois que cette obligation implique la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques et de l’analyse d’impact de manière subséquente.
Sur la transmission d’un bilan
63. La Commission relève que l’article 10 du présent projet de décret prévoit que, dans un délai de neuf mois avant la fin de l’expérimentation, l’autorité de gestion du service d’incendie et de secours adresse au ministre de l’intérieur un rapport sur l’emploi des caméras individuelles des sapeurs-pompiers comprenant une évaluation de l’impact de l’emploi de ces caméras sur le déroulement des interventions et le nombre de procédures judiciaires, administratives et disciplinaires pour les besoins desquelles il a été procédé à la consultation et à l’extraction de données provenant des caméras individuelles. A cet égard, il conviendrait que la Commission soit également rendue destinataire de ces éléments qui feront l’objet d’un examen attentif afin qu’elle puisse se prononcer en pleine connaissance de cause si ce type de dispositif devait être pérennisé.
La Présidente
M-L. DENIS