La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur et par la ministre chargée des sports et des jeux Olympiques et Paralympiques d’une demande d’avis concernant un projet de loi portant avis sur un projet de loi portant sur les jeux Olympiques et Paralympiques de 2024 ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code du sport, notamment ses articles L. 232-9 et suivants ;
Vu le code civil, notamment ses articles 16-10 et 16-11 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON et M. Claude CASTELLUCCIA, commissaires, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
ETANT RAPPELES LES ELEMENTS DE CONTEXTE SUIVANTS
La Commission a été saisie par le ministère de l’intérieur et des Outre-mer ainsi que par le ministère des sports et des jeux Olympiques et Paralympiques, des articles 4, 5, 6, 7, 9 et 10 du projet de loi relatif aux jeux olympiques et paralympiques.
Ces articles portent sur :
l’autorisation de l’examen des caractéristiques génétiques ou de la comparaison d’empreintes génétiques pour les analyses antidopage ;
la mise en conformité du code de la sécurité intérieure (CSI) avec le RGPD et la loi du 6 janvier 1978 modifiée ;
l’utilisation de traitements algorithmiques sur les images captées par des dispositifs de vidéoprotection ou des aéronefs afin de détecter et de signaler en temps réel des évènements prédéterminés susceptibles de menacer la sécurité des personnes ;
l’extension des images de vidéoprotection que les agents des services internes de la Société nationale des chemins de fer français -SNCF) et de la Régie autonome des transports parisiens (RATP) peuvent visionner lorsqu’ils sont affectés au sein des salles d’information et de commandement relevant de l’Etat ;
l’élargissement de la procédure de criblage prévue à l’article L211- 11-1 du CSI aux fans-zones et aux participants aux grands évènements ;
la possibilité de mettre en place des scanners corporels à l’entrée des enceintes sportives.
De manière générale, la Commission regrette d’avoir à se prononcer en urgence sur les évolutions envisagées par le projet de texte, compte tenu de la prévisibilité, largement connue à l’avance, de l’événement et des enjeux importants s’agissant de la vie privée des personnes concernées.
Les articles du projet de loi dont elle a été saisie appellent les observations suivantes.
EMET L’AVIS SUIVANT SUR LE PROJET DE LOI
Sur l’autorisation de l’examen des caractéristiques génétiques ou de la comparaison d’empreintes génétiques du sportif aux fins de la lutte contre le dopage (article 4)
L’article 4 du projet de loi autorise, aux seules fins de lutte contre le dopage, l’analyse des caractéristiques génétiques ou la comparaison des empreintes génétiques à partir des échantillons biologiques prélevés sur les sportifs à l’occasion d’un contrôle antidopage (mise en évidence d’une substance ou l’usage par le sportif d’une méthode, interdites en vertu de l’article L. 232-9 du code du sport).
Il introduit une dérogation nouvelle aux différentes dispositions qui limitaient jusqu’à présent strictement les hypothèses pour lesquelles est autorisé l’examen des caractéristiques génétiques d’une personne ou son identification par ses empreintes génétiques. En effet, d’une part, s’agissant des tests génétiques (article 16-10 du Code civil), le consentement de la personne vivante doit systématiquement être recueilli sauf dans une hypothèse très spécifique liée à la recherche, hypothèse dans laquelle un droit d’opposition est prévu (article L.1130-5 du Code de la santé publique). D’autre part, la règle s’applique aussi pour les empreintes génétiques (article 16-11 du Code civil). Hors l’hypothèse du matériel biologique qui se serait naturellement détaché du corps de l'intéressé, seules les personnes condamnées pour crime ou déclarées coupables d'un délit puni de dix ans d'emprisonnement peuvent être contraintes à se soumettre à la réalisation de telles empreintes sur réquisitions écrites du procureur de la République (article 706-56, I, 5e alinéa du Code de procédure pénale). L’exception introduite par l’article 4 du projet de loi est donc beaucoup plus large que celles qui existaient antérieurement, tant en ce qui concerne les personnes (sont visés ici tous les sportifs) que de l’examen réalisé (examen des caractéristiques génétiques constitutionnelles d’une personne et non une simple identification par ses empreintes génétiques).
Cet article répond au besoin de mettre en conformité le droit français avec :
les dispositions de l’article 6-2 du code mondial antidopage (CMA) entré en vigueur le 1

plusieurs règlements antidopage adoptés par l’Agence mondiale antidopage (AMA).
Le projet de loi répond également au besoin d’autoriser le laboratoire antidopage français (LADF) à procéder à l’analyse, le cas échéant, des caractéristiques génétiques des échantillons prélevés sur les sportifs. En effet, lors des jeux olympiques et paralympiques de 2024, de telles analyses seront réalisées par le LADF pour le compte de l’International Testing Agency (ITA), organisme indépendant missionné par le Comité international olympique (CIO) et le Comité international paralympique (CIP) pour appliquer le programme mondial antidopage.
Le projet de loi indique que les conditions de réalisation des analyses génétiques à des fins de lutte contre le dopage seront précisées par un décret en Conseil d’État, pris après avis de la CNIL.
En premier lieu,
Son article 6-2 prévoit que
les échantillons et les données d’analyse afférentes, ainsi que les informations sur le contrôle du dopage, seront analysés afin d’y détecter les substances interdites et les méthodes interdites énumérées dans la liste des interdictions et toute autre substance dont la détection est demandée par l’AMA conformément à l’article 4.5, ou afin d’aider une organisation antidopage à établir un profil à partir des paramètres pertinents dans l’urine, le sang ou une autre matrice du sportif, y compris le profil ADN ou le profil génomique, ou à toute autre fin antidopage légitime
Le standard international adopté par l’AMA portant
Liste des interdictions
Enfin, différents documents techniques élaborés par l’AMA décrivent les analyses ADN à réaliser pour mettre en évidence une substance ou une méthode interdite.
La majorité des États se sont engagés
à adopter les mesures appropriées aux niveaux national et international qui soient conformes aux principes énoncés par le code ,
En France, l’ordonnance n° 2021-488 du 21 avril 2021 relative aux mesures relevant du domaine de la loi nécessaires pour assurer la conformité du droit interne aux principes du code mondial antidopage et renforcer l’efficacité de la lutte contre le dopage a transposé en droit interne dans le code du sport les principes du nouveau CMA. Cependant, eu égard aux questionnements qu’un tel procédé pouvait soulever et au calendrier d’adoption de l’ordonnance, les analyses génétiques des échantillons n’ont pas été autorisées par ce texte.
D’après le ministère, l’AMA a considéré que l’impossibilité, en France, de procéder à une analyse génétique des échantillons prélevés sur les sportifs n’était pas conforme au CMA.
En second lieu
seules fins de mettre en évidence la présence et l’usage d’une substance ou d’une méthode interdite en vertu de l’article L. 232-9
L’article 4 du projet de loi appelle les observations complémentaires suivantes :
d’abord, le projet d’article L. 232-12-2 du code du sport instaure une nouvelle dérogation au principe d’obligation de recueil du consentement exprès, recueilli par écrit préalablement à l’examen des caractéristiques génétiques (article 16-10 du code civil) ou à l’identification d'une personne par ses empreintes génétiques (article 16-11 du code civil).
La CNIL estime que la formulation retenue par le projet de texte (
même en l’absence de consentement du sportif concerné


La Commission s’interroge sur le renvoi à cet article qui est de nature à créer une confusion quant à une éventuelle réutilisation des échantillons biologiques du sportif, alors même que celle-ci est, selon les précisions apportées par le ministère, exclue par les normes internationales applicables en matière de lutte contre le dopage. Contre ce risque de confusion, le ministère a précisé que le fait de renvoyer aux
conditions
Les autres points de l’article 4 du projet de loi n’appellent pas d’observations particulières de la Commission.
Sur la mise en conformité du CSI avec le RGPD et la loi du 6 janvier 1978 modifiée
(article 5)
L’article 5 du projet de loi vise à mettre en conformité le régime de vidéoprotection prévu par les articles L251-1 à L255-1 du CSI avec le RGPD et la loi du 6 janvier 1978 modifiée.
La Commission a rappelé à plusieurs reprises que plusieurs dispositions du CSI étaient obsolètes depuis l’évolution de la réglementation en matière de protection des données à caractère personnel intervenue en 2018. En effet, elles ne permettent plus aux responsables de traitement de connaître l’état réel de leurs obligations en la matière ni aux personnes concernées de savoir de quelle manière exercer leurs droits, alors même que ces dispositions constituent le cadre juridique général en la matière. Si elle accueille ainsi favorablement la démarche de mise en conformité du ministère, la Commission constate que celui-ci a fait le choix de modifier

En premier lieu
Sans remettre en cause le souhait du ministère de maintenir des règles particulières pour les systèmes de vidéoprotection dans le CSI, l’évolution de l’article L251-1 interroge. Le ministère a précisé que la modification projetée avait pour objectif de clarifier le fait , d’une part, que le CSI encadre le dispositif de vidéoprotection en lui-même (procédure d’autorisation, etc.) , d’autre part, que les traitements qui en découlent sont régis par la réglementation en matière de protection des données, dès lors que des données à caractère personnel sont traitées.
Si la Commission accueille favorablement cette interprétation, la rédaction retenue dans le projet de loi est ambigüe. En effet, dès lors qu’il est précisé par le projet de texte que les enregistrements visuels de vidéoprotection relèvent du CSI, il conviendrait de clarifier, dans la mesure où ils portent sur l’image de personnes, que ce sont des traitements de données à caractère personnel qui sont réalisés et soumis à la réglementation en la matière. A cet égard, la Commission rappelle que toute opération – notamment la captation, la transmission, la modification ou la consultation – portant sur l’image de personnes pouvant être reconnues constitue un traitement de données à caractère personnel. Elle considère par conséquent que les images captées par les dispositifs de vidéoprotection, même si elles ne font pas l’objet d’un enregistrement ultérieur, sont soumises à la réglementation en matière de protection des données à caractère personnel.
Il conviendrait ainsi de clarifier l’article L251-1 du CSI pour prévoir que les systèmes de vidéoprotection relèvent des dispositions du CSI et que le traitement (la captation, l’enregistrement, la conservation, etc.) d’images par ces systèmes constituent des traitements de données à caractère personnel soumis au respect de la loi du 6 janvier 1978 modifiée et du RGPD ainsi que de la directive (UE) 2016/680 le cas échéant. Cette articulation n’exclurait pas la possibilité de prévoir des dispositions spécifiques dans le CSI concernant les traitements de données à caractère personnel dès lors qu’elles sont compatibles avec les textes relatifs à la protection des données.
En second lieu
A cet égard, des modifications supplémentaires seraient nécessaires pour assurer la bonne articulation entre le CSI et la réglementation relative à la protection des données à caractère personnel.
D’une part,
les conditions dans lesquelles le public est informé de l'existence d'un dispositif de vidéoprotection
Par ailleurs, le ministère envisage d’encadrer ces modalités par un décret qui a vocation à constituer un acte réglementaire unique pour l’ensemble de ces systèmes. La Commission s’interroge sur la faisabilité d’un tel encadrement par un seul texte général au regard de la diversité des finalités des systèmes visés, de leurs régimes juridiques susceptibles d’être distincts (notamment, le RGPD et/ou la directive (UE) 2016/680) ou encore de la pluralité des situations que les systèmes de captation et de traitement vidéo ont vocation à couvrir. Elle recommande ainsi au ministère, dans la mesure du possible, de prévoir un encadrement général mais différencié (au moyen, par exemple, de plusieurs actes réglementaires uniques) en fonction notamment des particularités présentées par les systèmes de vidéoprotection.
D’autre part,
En conclusion,
Sur le recours à des traitements algorithmiques sur les images captées par des dispositifs de vidéoprotection ou des aéronefs afin de détecter et de signaler en temps réel des évènements prédéterminés susceptibles de menacer la sécurité des personnes (article 6)
L’article 6 du projet de loi instaure un cadre expérimental permettant la mise en œuvre de traitements algorithmiques d’analyse automatisée des images provenant des dispositifs de vidéoprotection et de caméras installées sur des aéronefs afin de détecter et de signaler en temps réel des évènements prédéterminés. Ces traitements ne pourraient être mis en œuvre qu’à la seule fin d’assurer la sécurité des manifestations sportives, récréatives ou culturelles, qui, par leur ampleur ou leurs circonstances, sont particulièrement exposées à des risques d’actes de terrorisme ou à des risques d’atteinte grave à la sécurité des personnes. Ces dispositifs, appelés plus communément caméras augmentées ou intelligentes , ne pourraient être mis en œuvre que par les services de la police et de la gendarmerie nationale, les services d’incendie et de secours, les services de police municipale et les services internes de sécurité de la SNCF et de la RATP dans le cadre de leurs missions respectives, qui assumeraient la qualité de responsables de traitement.
Le ministère fait valoir que les Jeux olympiques et paralympiques de 2024 impliquent la mise en place de mesures de sécurisation accrues de certains lieux et que la multiplicité des lieux concernés et le niveau de sécurité attendu rendent nécessaire l’optimisation de l’emploi des forces de sécurité intérieure et des forces de sécurité civile. Seul le traitement en temps réel, par des traitements algorithmiques, des images issues des dispositifs de vidéoprotection et des drones serait de nature à permettre cette optimisation. Le ministère considère ainsi qu’il est nécessaire de permettre l’utilisation des dispositifs de caméras augmentées pour sécuriser l’ensemble des manifestations sportives, récréatives et culturelles.
Si de tels objectifs sont légitimes, la Commission relève, comme l’indique d’ailleurs le ministère, que
le recours à de telles technologies à des fins de prévention du terrorisme et d’atteinte à la sécurité des personnes est inédit en France
ces dispositifs soulève des enjeux nouveaux et substantiels en matière de vie privée
la Commission considère que le déploiement, même expérimental, de ces dispositifs de caméras
augmentées est un tournant qui va contribuer à définir le rôle qui sera confié dans notre société à ces technologies, et plus généralement à l’intelligence artificielle
Ces risques sont accrus lorsque les traitements algorithmiques sont utilisés sur des images provenant de caméras installées sur des aéronefs, qui sont eux-mêmes des dispositifs mobiles, discrets et dont la position en hauteur leur permet de filmer des lieux difficiles d’accès voire interdits aux caméras classiques.
La Commission souligne que l’encadrement des traitements algorithmiques, créé par le projet de loi, prend en compte une large partie de ses recommandations :
Cet encadrement relève du niveau législatif :
Le recours à des analyses automatisées est réservé à des hypothèses restreintes,
Cet encadrement prévoit un certain nombre de garanties à même de limiter les risques d’atteinte aux données à caractère personnel et à la vie privée des personnes
Sur le cadre expérimental et le rôle de la Commission
L’article 6 du projet de loi crée un cadre juridique pour la mise en œuvre expérimentale de ces traitements algorithmiques, dont le terme est fixé au 31 décembre 2024. Compte tenu de l’ensemble des enjeux soulevés par les dispositifs de caméras augmentées , la CNIL considère qu’une expérimentation est indispensable.
Le Gouvernement devra mener dès le début de l’expérimentation une réflexion sur la mise en place d’un protocole d’évaluation permettant de mesurer de façon rigoureuse, contradictoire et pluridisciplinaire l’apport des technologies d’analyse automatisée des images.
Cette expérimentation ne saurait en aucun cas préjuger d’une éventuelle pérennisation de ces systèmes.
Le cadre juridique prévu par le projet de loi doit, lui-même, être limité à la période expérimentale et temporaire et ne saurait préjuger d’un éventuel encadrement et du schéma de gouvernance applicables dans la perspective de la proposition de règlement pour l’intelligence artificielle actuellement en cours d’élaboration au niveau européen.
La Commission travaille actuellement à l’élaboration d’une doctrine générale en matière d’intelligence artificielle afin d’accompagner les responsables de traitement, et qui se traduira notamment par la publication de recommandations dans le courant de l’année 2023. En parallèle, la Commission se tiendra à la disposition des responsables de traitement pour les accompagner dans le déploiement conforme des dispositifs visés à l’article 6 du présent projet de loi. La légalité des dispositifs déployés pourra, en tout état de cause, être contrôlée par la Commission dans le cadre des pouvoirs de contrôle prévus à l’article 19 de la loi informatique et libertés .
Un rapport d’évaluation devra être produit dans un délai maximum de six mois avant le terme de l’expérimentation et remis au Parlement. La Commission s’interroge toutefois sur la cohérence de ce calendrier qui conduirait à une remise du rapport d’évaluation au Parlement avant la tenue des Jeux Olympiques et Paralympiques de 2024.
La Commission demande que ce rapport lui soit également transmis. Si elle prend acte du fait que son contenu sera fixé par décret, elle recommande d’ores et déjà qu’outre les éléments visés au paragraphe VIII de l’article 6, il contienne

une exposition du protocole d’évaluation (les étapes de l’évaluation, son organisation concrète, dans le temps et l’espace, les indicateurs et critères de succès et d’échecs…) afin de permettre un examen contradictoire fidèle à la méthodologie scientifique ;
une présentation détaillée :
des résultats obtenus au regard des performances techniques :

des résultats obtenus au regard des besoins ou objectifs opérationnels :
des résultats obtenus au regard des impacts sociétaux :
une présentation de l’évaluation des mesures de contrôle humain et du système de gestion des risques permettant de prévenir et de corriger la survenue de biais éventuels ou de mauvaise utilisation ;
des éléments relatifs à la mise en place de garanties pour la protection de la vie privée telles que la pseudonymisation ou le floutage des images et, dans le cas où le choix serait fait de ne pas appliquer de telles mesures, une analyse démontrant que leur impact sur le niveau de performance de l’algorithme en phase opérationnelle nuirait à l’atteinte des finalités des traitements ;
des éléments relatifs à l’information des personnes concernées (supports utilisés, éventuels motifs d’exclusion du droit à l’information…) ;
des éléments quantitatifs et qualitatifs concernant l’exercice des droits par les personnes concernées et ;
des éléments sur les mesures de sécurité mises en place afin d’assurer la disponibilité, la confidentialité et l’intégrité des données traitées.
La Commission recommande par ailleurs que l’évaluation soit conduite en association avec des experts indépendants.
Sur le régime juridique
Le paragraphe V du projet de loi prévoit que les traitements algorithmiques seront autorisés par un décret, pris après avis de la CNIL, qui aura notamment pour objet de lister les évènements prédéterminés qui en font l’objet. Un arrêté préfectoral devra ensuite autoriser le recours au traitement concernant la détection d’un évènement particulier au regard des circonstances d’espèce qui devront justifier sa mise en œuvre.
L’article 6 prévoit que les traitements algorithmiques visés au I sont régis par le RGPD et par la loi informatique et libertés (notamment son titre III concernant les dispositions applicables aux traitements relavant de la directive (UE) 2016/680, dite police-justice ). Il appartiendra à chaque responsable de traitement de déterminer le régime juridique applicable aux traitements qu’il envisagera de mettre en œuvre.
Pour les traitements relevant du titre III de la loi informatique et libertés , une analyse d'impact relative à la protection des données à caractère personnel (AIPD) devra être réalisée et être transmise pour consultation à la CNIL dans les conditions prévues à son article 90. Compte tenu du caractère inédit du cadre de déploiement de ces technologies, la CNIL recommande que soient généralisées la réalisation et la transmission d’une AIPD pour chaque traitement algorithmique qui serait autorisé et expérimenté dans le champ de l’article 6 du projet de loi. L’AIPD devra notamment comporter les éléments permettant à la Commission de vérifier les points mentionnés au paragraphe V de l’article 6 (caractères nécessaire et proportionné du traitement, robustesse des mesures de contrôle humain, validité des paramètres de conception, etc.).
Sur la finalité et le périmètre de déploiement des traitements algorithmiques mentionnés au I
L’article 6 du projet de loi prévoit que les traitements ont pour objet la détection et la signalisation d’évènements prédéterminés susceptibles de présenter ou de révéler des risques d’actes de terrorisme ou des risques d’atteinte grave à la sécurité des personnes lors des manifestations sportives, récréatives ou culturelles visées au I. La Commission insiste sur le fait que ces critères peuvent recouvrir un grand nombre d’hypothèses distinctes. Elle recommande que, au regard des enjeux et risques présentés par les dispositifs en cause, les critères permettant de déterminer leur périmètre de déploiement soient appréciés de manière restrictive. Elle prend par ailleurs acte de l’engagement du Gouvernement de lister de manière exhaustive et détaillée dans le décret les
évènements prédéterminés
évènements prédéterminés
Les traitements algorithmiques peuvent présenter dans certaines circonstances des taux d’erreur importants, rendant le recours à ces technologies moins efficace en conditions opérationnelles qu’une détection humaine. Les évènements prédéterminés (mouvement de foule, détection de bagages, gestes et comportements suspects, etc.) dont la détection est recherchée devraient être sélectionnés au regard des performances des traitements algorithmiques, d’après l’état de l’art de la recherche en la matière.
La Commission prend acte des précisions apportées par le ministère selon lesquelles ces traitements ne peuvent être installés que sur des caméras situées aux abords des lieux accueillant les manifestations visées au paragraphe I et dans les moyens de transports et les voies desservant ces manifestations, et non l’ensemble des moyens de transport et les voies du territoire national ou des villes dans lesquelles se tiennent les manifestations.
La Commission souligne que l’autorisation préfectorale visée au VI devra s’assurer que le périmètre géographique et temporel de déploiement des traitements algorithmiques sera limité aux manifestations définies au I pour lesquelles ils sont déployés.
Sur les phases de conception, de validation et de correction des paramètres des traitements algorithmiques
Selon le VII de l’article 6 du projet de loi, les images issues de systèmes de vidéoprotection ou de drones peuvent être utilisées
comme données d’entraînement, à la seule fin de permettre la validation des paramètres de conception des traitements algorithmes
la correction des paramètres du traitement
La CNIL estime que cette réutilisation devrait s’accompagner de la mise en place de garanties appropriées telles que, si possible, la pseudonymisation ou le floutage des images, en particulier si celle-ci est réalisée par un tiers. A cet égard, la Commission demande que le projet de loi, ou

En tout état de cause, les traitements nécessaires à la conception, validation et correction des paramètres de conception des algorithmes sont soumis au RGPD et à la loi informatique et libertés . À ce titre, l’accès à ces images devrait être restreint aux seules équipes habilitées lors des phases de conception, de validation et de correction. Ces équipes devraient recevoir une formation spécifique portant sur la protection de la vie privée, en particulier si ces équipes étaient employées par un sous-traitant.
Seules les données réutilisées à des fins spécifiques de correction des paramètres du traitement au titre du paragraphe VII pourront être conservées et traitées pour une durée allant jusqu’au terme de l’expérimentation. La Commission souligne qu’il s’agit d’une durée maximale : les données considérées comme non pertinentes devront être immédiatement supprimées, sans attendre l’expiration du délai visé ci-dessus.
Par ailleurs, en raison du caractère potentiellement sensible et choquant des images collectées en conditions réelles si l’un des évènements redoutés venait à avoir lieu, la Commission recommande que des précautions particulières soient prises lors de leur traitement pour les finalités prévues à l’article 6, VII et pour l’apprentissage des modèles algorithmiques. Ces précautions devraient inclure une formation spécifique des agents ayant à en prendre connaissance, ainsi que des mesures de sécurité renforcées, afin de garantir notamment la confidentialité des sauvegardes.
La Commission accueille favorablement l’attention apportée à la fiabilité des données, à l’objectivité et à la pertinence des critères d’apprentissage ainsi qu’à la stricte nécessité des méthodes appliquées. Elle recommande toutefois que l’utilisation des modèles conçus lors de la phase d’apprentissage soit conditionnée à l’obtention d’un niveau de performance suffisamment élevé à son issue, tant en comparaison de l’état de l’art qu’au regard des besoins des équipes opérationnelles. En particulier, ce niveau de performance devrait être évalué au regard de l’impact potentiel pour les personnes que peuvent avoir par exemple un faux positif ou un faux négatif à la sortie du traitement algorithmique.
La Commission recommande que l’attention apportée à la fiabilité des données, à l’objectivité et à la pertinence des critères d’apprentissage, à la stricte nécessité des méthodes appliquées, ainsi qu’à l’existence de biais éventuels lors des phases de validation et de correction soit

Elle relève que le dispositif envisagé ne prévoit pas de contrôle spécifique du respect de ces exigences par les fournisseurs de solutions et les responsables de traitements. Elle comprend que les dispositions du projet de loi permettront à la Commission de vérifier ces propriétés dans le cadre des missions qui lui sont dévolues.
Sur l’information et les droits des personnes concernées
L’information des personnes est un élément essentiel pour assurer la loyauté des traitements dans un objectif de transparence à l’égard du public. Sa mise en œuvre est indispensable pour permettre le déploiement de dispositifs de caméras augmentées dans un climat de confiance à l’égard des autorités publiques. Il apparaît important que les personnes soient informées qu’une manifestation donnera lieu à l’usage de caméras augmentées dans un certain périmètre, ainsi que du contexte expérimental, des objectifs poursuivis et des caractéristiques de cet usage, afin de pouvoir le cas échéant contester, y compris devant le juge des référés, le respect des critères et garanties fixés par la loi.
La Commission relève à cet égard que le projet de loi prévoit une possibilité d’exclusion de l’information des personnes dans les cas où une telle information entrerait en contradiction avec les finalités poursuivies. La Commission s’interroge toutefois sur les hypothèses dans lesquelles une telle exclusion s’avèrerait nécessaire et recommande que celles-ci soient particulièrement limitées. En tout état de cause, il appartiendra au responsable de traitement de s’assurer, le cas échéant, des conditions dans lesquelles le droit à l’information pourrait être exclu au regard du régime applicable. Il lui reviendra notamment de vérifier si une information partielle, portant sur le principe du recours aux caméras augmentées , peut être envisagée sans compromettre la sécurité de la manifestation.
Enfin, le projet de loi n’exclut pas l’exercice des droits d’opposition, d’accès, de rectification et d’effacement. La Commission souligne donc qu’en principe l’ensemble des droits prévus au titre du RGPD et de la loi informatique et libertés s’appliqueront conformément au régime applicable aux traitements mis en œuvre et qu’il conviendra à chaque responsable de traitement de déterminer et de respecter, sauf à en prévoir l’exclusion conformément au RGPD et à la loi informatique et libertés . Elle s’interroge à cet égard sur les modalités d’exercice du droit d’opposition aux traitements algorithmiques de l’image des personnes, qui plus est dans un contexte où le droit d’opposition n’est pas ouvert pour la captation de l’image par la caméra fixe ou mobile.
Sur les durées de conservation des images analysées par les traitements algorithmiques
L’article 6 du projet de loi prévoit que les traitements algorithmiques analysent les images uniquement en temps réel. La Commission prend donc acte du fait que la mise en œuvre des traitements algorithmiques visés au I n’implique aucune durée de conservation supplémentaire – au regard de ce qui prévu dans le cadre du code de la sécurité intérieure – des images issues des dispositifs sur lesquels ils sont installés.
Sur l’extension des images de vidéoprotection que les agents des services internes de la SNCF et de la RATP peuvent visionner lorsqu’ils sont affectés au sein des salles d’information et de commandement relevant de l’Etat
(article 7)
L’article 7 du projet de loi modifie l’article L2251-4-2 du code des transports afin d’étendre les images de vidéoprotection que les agents des services internes de sécurité de la SNCF et de la RATP peuvent visionner lorsqu’ils sont affectés au sein des salles d’information et de commandement relevant de l’Etat (CCOS). Cette disposition limite aujourd’hui le visionnage de ces agents aux images des systèmes de vidéoprotection transmises en temps réel dans ces salles depuis les véhicules et emprises immobilières des transports publics de voyageurs relevant de leurs compétences, aux seules fins de faciliter la coordination avec ces derniers lors des interventions de leurs services au sein desdits véhicules et emprises.
Le projet de loi élargit les possibilités de visionnage des agents des services internes de sécurité de la SNCF et de la RATP.
Le ministère indique que les agents des services internes de sécurité de la SNCF et de la RATP ne pourront pas avoir accès à l’ensemble des images des systèmes de vidéoprotection susceptibles d’être transmises en temps réel dans les salles d’information et de commandement relevant de l’Etat, mais seulement à celles issues des systèmes situés au sein de leurs véhicules, de leurs emprises et de leurs abords.
En pratique, cela permettra une meilleure gestion des flux de supporters se rendant vers des sites desservis par les moyens de transport des deux opérateurs, ou les quittant à l’issue de la manifestation sportive. L’objectif poursuivi par cette évolution, qui consiste en l’amélioration de la communication entre les différentes personnes étant amenées à intervenir sur le flux de personnes dans le cadre d’événements sportifs d’ampleur, est légitime.
Il est néanmoins rappelé que les services internes de sécurité de la SNCF et de la RATP sont uniquement chargés, dans le cadre d’une mission de prévention, de veiller à la sécurité des personnes et des biens dans l’emprise de leur entreprise, de protéger leurs agents, leur patrimoine et de veiller au bon fonctionnement des services.
A cet égard, la Commission estime que la possibilité offerte à ces agents de visualiser davantage d’images des systèmes de vidéoprotection transmises en temps réel ne doit pas conduire à étendre leurs compétences telles que définies par les textes, ou à leur permettre d’utiliser les images transmises à d’autres fins que celles prévues.
Au regard des précisions apportées par le ministère, la Commission considère que la rédaction retenue dans le projet de loi, qui pourrait laisser penser que ces agents auraient la possibilité d’accéder à l’ensemble des images transmises en temps réel au sein du CCOS (RATP, SNCF mais aussi préfecture de police notamment), sans restriction, devrait être clarifiée.
Sur l’élargissement de la procédure de criblage prévue à l’article L211- 11-1 du CSI aux fans-zones et aux participants aux grands évènements
(article 9)
L’article 9 du projet de loi modifie le dispositif d’accès aux grands évènements désignés par décret en raison de leur exposition à un risque exceptionnel de menace terroriste en application de l’article L211-11-1 du CSI.
Cet article du CSI impose aujourd’hui aux organisateurs de certains grands évènements de demander l’avis de l’autorité administrative compétente avant d’autoriser une personne n’étant ni un spectateur ni un participant (par exemple : sportifs, équipe médicale, juges arbitres etc.) d’accéder à un établissement ou une installation accueillant ces évènements. Cet avis doit être rendu à la suite d’une enquête administrative sur la personne concernée qui peut donner lieu à la consultation de certains traitements automatisés de données à caractère personnel, selon les règles propres à chacun d'eux.
En premier lieu
lieux situés dans l’espace public accueillant de grands rassemblements de personnes afin d’assister à des retransmissions de ces évènements
Le ministère précise que la notion de
lieux situés dans l’espace public
En second lieu
En l’espèce, une telle évolution conduira à élargir de manière très substantielle le périmètre des personnes concernées par ces dispositions. Cela pourrait en effet représenter environ 50.000 à 60.000 participants pour les seuls jeux olympiques et paralympiques selon le ministère.
D’une part,
D’autre part,
A cet égard, la Commission souligne que les données ainsi traitées doivent être conservées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées et considère qu’elles ne sauraient être enregistrées pour une durée supérieure à celle des évènements concernés.
Elle rappelle en outre la nécessité de mettre en place des garanties pour que l’automatisation des consultations des fichiers concernés ne conduise pas à ce que des avis ou des décisions résultent de la seule inscription d’une personne dans un traitement de données à caractère personnel. En effet, des préjudices importants pour les personnes concernées peuvent découler d’un avis ou d’une décision défavorable à la suite de ces consultations. Elle prend acte de ce que le service en charge des enquêtes doit procéder à des vérifications complémentaires lorsqu'il prend connaissance de données pouvant a priori justifier un avis défavorable.
Sur la possibilité de mettre en place des scanners corporels à l’entrée des enceintes sportives (article 10)
L’article 10 du projet de loi permet l’utilisation de scanners à ondes millimétriques à l’entrée des enceintes accueillant des manifestations sportives. Le recours à cette technique pour procéder aux opérations d’inspection-filtrage des personnes, déjà déployée dans les aéroports, vise à fluidifier et sécuriser l’accès aux lieux concernés.
Leur usage est soumis à différentes conditions définies dans le projet de loi :
l’inspection-filtrage ne peut être réalisée qu’avec le consentement des personnes concernées ;
l’analyse des images est effectuée par des opérateurs qui ne connaissent pas l’identité de la personne et qui ne peuvent pas visualiser simultanément l’image produite par le dispositif d’imagerie ;
le dispositif doit comporter un système brouillant la visualisation du visage ;
l’enregistrement et la conservation des images sont interdits ;
ces opérations sont limitées aux zones déterminées par un arrêté conjoint du ministre chargé des sports et du ministre de l’intérieur.
La mise en place de ces garanties est de nature à réduire l’atteinte portée à la vie privée et l’intimité des personnes concernées.
Elle rappelle que la mise en œuvre d’un scanner corporel constitue un traitement de données à caractère personnel soumis à la réglementation en la matière. Sur ce point, il ressort de la Communication de la Commission au Parlement européen et au Conseil sur l'utilisation de scanners de sécurité dans les aéroports de l'Union européenne du 15 juin 2010 (COM/2010/0311 final) que la captation et le traitement de l'image d'une personne identifiée ou non identifiable par scanners corporels afin de permettre à un examinateur d'effectuer l'évaluation pertinente en matière de sécurité relèvent de la réglementation en matière de protection des données. En effet, certaines technologies peuvent révéler un affichage détaillé du corps humain ainsi que des particularités médicales.
Par ailleurs, s’agissant des modalités de recueil du consentement des personnes concernées, le ministère envisage de disposer des affiches qui pourront être apposées en amont du passage dans le scanner corporel et/ou des agents pourront être chargés d’orienter les participants et de s’assurer de leur consentement. En cas de refus, la personne pourra être soumise à un autre dispositif de contrôle. Elle sera alors orientée sur une autre file afin d’être soumise à des palpations manuelles, assurées par un agent du même sexe.
La Commission souligne l’importance des modalités de mise en œuvre d’information et de recueil du consentement des personnes afin de garantir leur effectivité. Ces dernières devront également être informées suffisamment à l’avance de l’existence d’un autre dispositif de contrôle afin de pouvoir faire un choix éclairé.
Enfin, l’article 31 de la loi du 6 janvier 1978 modifiée prévoit que les traitements de données qui intéressent la sûreté de l’Etat, la défense ou la sécurité publique mis en œuvre pour le compte de l’Etat, ce qui pourrait être le cas en l’espèce, doivent être autorisés par un acte réglementaire pris après avis motivé et publié de la CNIL. Le cas échéant, la Commission invite le ministre à préciser si le projet de texte tend à déroger à cette disposition et, si ce n’est pas le cas, estime qu’il conviendra de prendre les actes réglementaires en question.
La Présidente
Marie-Laure DENIS