La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret portant application des articles L. 242-1 et suivants du code de la sécurité intérieure et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras installées sur des aéronefs circulant sans personne à bord ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment le II et IV de son article 31 ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire adjoint du Gouvernement,
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés (ci-après " la Commission ") a été saisie par le ministère de l’intérieur d’un projet de décret portant application des articles L. 242-1 et suivants du code de la sécurité intérieure (CSI) et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras installées sur des aéronefs circulant sans personne à bord.
Les articles L. 242-1 et suivants du CSI ont été créés par l’article 47 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés, sur laquelle la Commission a déjà rendu un avis (délibération n° 2021-011 du 26 janvier 2021). Ces dispositions déterminent les conditions dans lesquelles les sapeurs-pompiers professionnels et volontaires des services d’incendie et de secours, les personnels des services de l’Etat et les militaires des unités investis à titre permanent de missions de sécurité civile, ainsi que les membres des associations agréées de sécurité civile au sens de l’article L. 725-1 du CSI peuvent procéder en tous lieux, au moyen de caméras installées sur des aéronefs circulant sans personne à bord et opérés par un télépilote, à la captation, l’enregistrement et la transmission d’images.
Il est prévu par l’article L. 241-3 du CSI que les modalités d'application du titre IV du livre II du même code et d'utilisation des données collectées doivent être précisées par un décret en Conseil d'Etat, pris après avis motivé et publié de la Commission.
Sur les conditions générales de mise en œuvre du dispositif
En premier lieu
en tous lieux
Sur ce point, la Commission relève que le ministère a indiqué que les traitements pourront être mis en œuvre dans des lieux privés et plus particulièrement dans des domiciles privés, lorsque la situation opérationnelle l’exige, en cas d’impossibilité d’accès, d’engagement dangereux pour les secours, ou d’insuffisance d’autres moyens. A cet égard, le ministère a précisé qu’aucune garantie particulière pour les lieux privés n’est prévue à ce stade, mais que des mesures spécifiques pourront cependant être prises par chaque acteur de la sécurité civile, au niveau local afin de limiter les atteintes à la vie privée des personnes concernées.
La Commission invite le Gouvernement à préciser dans le projet de décret que les aéronefs ne pourront être envoyés dans des lieux privés que lorsque cela est strictement nécessaire à l’objectif de sécurité civile poursuivi (à savoir les missions de prévention, de protection et de lutte contre les risques de sécurité civile, de protection des personnes et des biens et de secours d'urgence). Elle prend acte de ce que le projet de décret sera complété afin d’indiquer que les aéronefs pourront être mis en œuvre en tous lieux "
y compris dans des lieux privés lorsque cela est strictement nécessaire
En deuxième lieu
les dégâts
La Commission relève que de tels dispositifs de vidéo " augmentée " n’ont pas été prévus aux articles L. 242-1 et suivants. Elle regrette de ne pas avoir eu davantage de précisions sur les dispositifs projetés, qui sont encore au stade exploratoire selon le ministère. Elle rappelle que, dès lors qu’ils pourront concerner des données à caractère personnel, ces dispositifs peuvent être particulièrement intrusifs pour les libertés individuelles et qu’elle devra être tenue informée et saisie de toute modification substantielle affectant les caractéristiques du traitement.
A cet égard, la Commission prend acte des garanties apportées par le ministère selon lesquelles il ne sera pas prévu de recourir à des traitements algorithmiques d’analyse d’image aux fins de reconnaissance faciale ou d’analyse des comportements des personnes physiques

En troisième lieu
A cet égard, la Commission rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au chapitre V du RGPD. En particulier, elle rappelle que les transferts de données vers des Etats n’appartenant pas à l’Union européenne ne pourront être opérés que sous réserve du respect des conditions énoncées aux articles 45 et suivants du RGPD. En l’absence de décision d’adéquation adoptée par la Commission européenne, de tels transferts ne pourront être réalisés que sous réserve que des garanties appropriées soient mises en œuvre conformément à l’article 46 du RGPD. Elle prend acte de ce que l’AIPD sera complétée afin d’indiquer que, en cas de réalisation de transferts de données en dehors de l’Union européenne, ceux-ci seront effectués conformément aux conditions prévues au chapitre V du RGPD et que le ministère s'engage également à diffuser cette information concernant les transferts réalisés en dehors de l’Union européenne au moyen d'une doctrine d'emploi auprès des responsables de traitement.
Sur les finalités et le régime juridique applicable
Conformément à l’article L. 242-6 du CSI, le projet d’article R. 242-1 du CSI précise que les traitements projetés ont pour finalités :
la prévention des risques naturels ou technologiques ;
le secours aux personnes et la lutte contre l’incendie.
En outre, le projet d’article R. 242-4 du CSI précise que "
les données mentionnées utilisées à des fins pédagogiques et de formations sont pseudonymisées
En premier lieu
En deuxième lieu
En troisième lieu
De manière générale, la Commission prend acte des précisions apportées par le ministère selon lesquelles, contrairement à l’utilisation des caméras individuelles par les sapeurs-pompiers, l’usage des caméras installées sur des aéronefs circulant sans personne à bord n’a pas pour objet de prévenir les incidents de nature à mettre en péril l’intégrité physique des acteurs de la sécurité civile, eu égard aux circonstances de l'intervention ou au comportement des personnes concernées. Les finalités sont ainsi strictement rattachées aux seules missions prévues à l’article L. 1424-2 du code général des collectivités territoriales (CGCT) s’agissant des services d’incendie et de secours.
En l’état des précisions précitées relatives à la fonction de renseignement et au regard des finalités mentionnées au projet d’article R. 242-1 du CSI, la Commission relève que les traitements projetés relèvent du régime juridique du RGPD.
Dans ces conditions, la Commission estime que les finalités projetées sont déterminées, explicites et légitimes conformément à l'article 4-2° de la loi du 6 janvier 1978 modifiée.
Sur les données collectées
Le projet d’article R. 242-2 du CSI liste les données à caractère personnel et informations qui peuvent être enregistrées dans les traitements.
En premier lieu
l’identification des agents responsables de l’aéronef lors de l’enregistrement des données
S’agissant des données relatives au "
lieu où ont été collectées les données
En deuxième lieu
La Commission rappelle sa doctrine selon laquelle le seul fait de photographier ou de filmer une image sur laquelle il est possible que certains éléments puissent permettre de déduire des données à caractère personnel constituant des données sensibles ne constitue pas en soi un traitement automatisé de données sensibles au sens des articles 9 du RGPD et 6 de la loi " informatique et libertés ". Ce n’est que si ces images sont traitées afin d’en extraire, d’interpréter ou d’utiliser lesdites données sensibles que le traitement sera regardé comme relevant du régime des traitements de données sensibles. En l’espèce, la Commission s’interroge sur les conditions et circonstances dans lesquelles le ministère estime qu’il y aura traitement automatisé de données sensibles ou appelées à figurer dans un fichier, et regrette de ne pas avoir eu davantage de précisions sur ce point. A cet égard, elle prend acte de ce que le ministère confirme qu’il n’y aura pas de traitement automatisé de données sensibles eu égard à la doctrine de la CNIL. Elle relève que des garanties sont prévues au projet d’article R. 242-2 du CSI, à savoir qu’est exclue la collecte de données génétiques et biométriques et qu’il est interdit de sélectionner dans les traitements une catégorie particulière de personnes à partir de ces seules données " sensibles ".
En troisième lieu
La Commission prend acte de ce qu’une telle transmission des images en temps réel répond à un besoin opérationnel et dépendra généralement de la cinétique de l’évènement et de l’urgence de la prise de décision. Le ministère a indiqué qu’il élaborera une doctrine d’emploi précisant les critères commandant la transmission en temps réel des images captées.
La Commission accueille favorablement l’élaboration de cette doctrine d’emploi, et invite le ministère à définir des critères objectifs encadrant une telle transmission.
Les autres catégories de données n'appellent pas d'observation de la part de la Commission.
Sous ces réserves, la Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
Sur les accédants et les destinataires
Le projet d’article R. 242-3 du CSI détaille la liste des accédants et des destinataires des traitements.
La Commission relève, à titre liminaire, que le projet de décret indique que les " accédants " sont les personnes qui "
peuvent accéder, à raison de leurs attributions et dans la limite du besoin d’en connaître, à tout ou partie des données et informations
La Commission estime en effet que le terme " accédant ", que n’utilise ni le RGPD, ni la loi " Informatique et libertés " mais qui a été créé par la doctrine, désigne, s’agissant en l’espèce d’un traitement automatisé de données mis en œuvre par une administration et encadré par un acte réglementaire, les personnes qui, au sein du responsable de traitement, seront appelées à effectuer les diverses opérations de traitement et, à ce titre, à accéder au système informatique en cause. Les habilitations des différents accédants peuvent être définies par l’acte réglementaire, et ne se limitent généralement pas à la seule consultation des données mais incluent aussi l’enregistrement, la correction ou l’effacement des données. Par ailleurs, au sens de la réglementation, et notamment du RGPD, les " destinataires " sont les personnes à qui le responsable de traitement peut être amené à communiquer les données et sur lesquelles il doit fournir une information aux personnes concernées. En pratique, cette communication peut prendre plusieurs formes, qu’il s’agisse d’une transmission d’un extrait des données ou d’une simple faculté de consultation par un accès sécurisé au système informatique.
En l’espèce, la Commission comprend du projet de décret que les personnes mentionnées comme " accédants " ne seront pas seulement chargées d’accéder aux images mais de décider de l’utilisation des aéronefs et de déclencher l’enregistrement. La Commission invite dès lors le ministère à préciser le projet de décret sur ce point pour éviter toute ambiguïté ainsi qu’à indiquer que ces " accédants " seront autorisés à enregistrer les données prévues par le projet d’article R. 242-2 du CSI et à les consulter.
S’agissant de la catégorie des "
agents chargés de la formation des personnels
La Commission considère que le projet de décret pourrait être complété afin de préciser qui sera chargé de désigner les agents chargés de la formation des personnels et prend acte de ce que cette disposition sera complétée afin d’indiquer qu’ils sont "
désignés par le responsable du service, de l’unité ou de l’association mentionné à l’article L. 242-6 ou de leur représentant désigné
Sur les durées de conservation
Le projet d’article R. 242-4 du CSI prévoit que les données et informations sont conservées pendant une durée de trente jours à compter de leur enregistrement. Il est précisé que lorsque les données, dans le délai de trente jours, ont été extraites ou transmises pour les besoins d’une procédure judiciaire, administrative ou disciplinaire, elles sont conservées selon les règles propres à chacune de ces procédures par l’autorité qui en a la charge.
La Commission prend acte des précisions apportées par le ministère selon lesquelles dans le cas où elles ont été extraites ou transmises pour les besoins d’une procédure judiciaire, administrative ou disciplinaire, les données seront supprimées à l’issue du délai de trente jours dans les présents traitements.
Dans ces conditions, la Commission considère que les données sont conservées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément à l'article 4-5° de la loi du 6 janvier 1978 modifiée.
Sur les droits des personnes concernées
En premier lieu
La Commission prend acte de ce que cette information pourra être limitée, voire impossible, en raison de l’urgence de la situation et prend acte qu’il n’est plus prévu d’y déroger dans l’hypothèse où cette information "
entrerait en contradiction avec les objectifs poursuivis
Elle relève que la rédaction retenue "
sauf si les circonstances l’interdisent
En second lieu
Les autres modalités d'exercice des droits n'appellent pas d'observations particulières.
Sur la qualité d’acte réglementaire unique du projet de décret
La Commission relève que, selon la saisine, le projet de décret qui lui est soumis pour avis constitue un "
acte réglementaire unique
Elle rappelle que ce régime de l’acte réglementaire unique ne concerne, ainsi qu’en dispose l’article 31 de la loi du 6 janvier 1978 modifiée, que les traitements projetés, d’une part, mis en œuvre "
pour le compte de l’Etat
la sûreté de l'Etat, la défense ou la sécurité publique
pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté
Par ailleurs, la Commission observe qu’il résulte des dispositions de l’article L. 1424-2 du code général des collectivités territoriales (CGCT) que les services d’incendie et de secours et les militaires des unités investis à titre permanent de missions de sécurité civile ont pour missions la prévention, la protection et la lutte contre les risques de sécurité civile, la protection des personnes et des biens et le secours d’urgence. Elle relève également, que ces services appartiennent au génie militaire ou sont placés, pour emploi, sous l’autorité du maire ou du préfet agissant dans le cadre de leurs pouvoirs de police. A ce titre, ils exercent bien des missions " pour le compte de l’Etat " dans le cadre des traitements projetés.
Elle observe que les personnels des services de l’Etat au sein du groupement d’intervention du déminage (GID) relèvent du ministre chargé de la sécurité civile, sur les terrains civils et du ministre de la défense en cas de découverte d’objets pyrotechniques isolés sur des terrains relevant de sa responsabilité. La condition apparait donc également remplie pour ces personnels.
Toutefois, s’agissant des associations agréées de sécurité civile au sens de l’article L. 725-1 du CSI, la Commission relève que le Gouvernement estime que ces traitements projetés seront mis en œuvre " pour le compte de l’Etat " : elle ne le remet pas en cause mais considère, en tout état de cause, qu’il reviendra au Conseil d’Etat d’apprécier ce point. Elle prend acte des précisions apportées par le ministère selon lesquelles, en l’espèce, l’article L. 725-3 du CSI rattache les missions des associations agréées aux prérogatives des autorités de police, que ces associations apportent leur concours aux services d’incendie et de secours au sens de l’article R. 725-3 du CSI et que leur participation à une opération de secours doit être décidée soit par convention avec l’Etat, la commune, ou le service d’incendie et de secours, soit par réquisition de l’autorité de police.
Sur les mesures de sécurité
En premier lieu
En deuxième lieu
La Commission souligne que l’accès à ces données par l’industriel prestataire constitue une transmission de données au sens du RGPD, voire un transfert si cette transmission intervient en dehors de l’Union européenne, et qu’il convient que ce dernier soit encadré et s’effectue avec toutes les précautions nécessaires. Il conviendrait ainsi de vérifier et formaliser ces points auprès de chaque industriel choisi, voire d’inciter les futurs responsables de traitement à utiliser des produits limitant fortement ce risque, notamment en passant par le biais d’un marché dédié.
En troisième lieu
La Commission invite le ministère à mettre en place une obligation de prendre des mesures visant à réduire ce risque, que ce soit dans sa gravité, par exemple en préconisant le recours à des aéronefs chiffrant les données transmises et stockées par exemple, ou dans sa probabilité d’occurrence, en obligeant, par exemple, les services opérant ces aéronefs à intégrer des traceurs GPS externes et autonomes limitant le risque de perte. De même, la Commission incite le ministère à mettre en place une obligation de protection des flux vidéo, par exemple en imposant le chiffrement de ces derniers.
En outre, la Commission insiste sur le fait qu’il ne devrait techniquement pas être possible d’extraire les données enregistrées sur l’aéronef sans contrôle et qu’il serait fortement souhaitable, comme cela est réalisé pour les systèmes de caméras individuelles d’agents, que cette opération ne soit possible que sur un dock dédié et reconnu. Ceci limiterait le risque d’extraction suite à la perte d’un aéronef, mais aussi le risque de détournement des images par un opérateur.
En quatrième lieu
La Commission estime qu’il serait souhaitable que le ministère incite lesdits responsables de traitement à procéder de la sorte afin d’augmenter le niveau de sécurité général et d’harmoniser, au niveau national, les pratiques de chaque futur responsable de traitement. Elle prend acte de ce que le projet d’article R. 242-4 du code de la sécurité intérieure sera complété afin de préciser que les données et informations mentionnées à l'article R. 242-2 sont conservées sur "
un support informatique sécurisé
En cinquième lieu
a posteriori
En sixième lieu
La Commission estime nécessaire que le ministère incite les responsables de traitement à mettre en œuvre certaines mesures de sécurité qui seraient décrites dans l’AIPD qu’il a transmise, afin de limiter fortement les risques et d’harmoniser les pratiques. Sur ce point, elle prend acte de ce que le ministère s'engage à lui transmettre l'AIPD complétée en ce sens ultérieurement.
En septième lieu
La Commission prend acte des précisions apportées par le ministère selon lesquelles cette durée de conservation initialement prévue pour trois (3) ans est réduite à six (6) mois, la durée de conservation des données du traitement étant de trente (30) jours.
La Commission accueille favorablement cette modification et rappelle que, lorsque cela est possible, la mise en place d’un outil proactif et automatique d’analyse de ces journaux est fortement conseillée.
La Présidente
Marie-Laure DENIS