Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après « la Commission ») a été saisie par le ministère de l'intérieur et des outre-mer, le ministère de l'économie, des finances et de la souveraineté industrielle et numérique et le ministère des armées d'un projet de décret portant application des articles L. 242-1 et suivants du code de la sécurité intérieure (CSI) et relatif à la mise en œuvre de traitements d'images au moyen de dispositifs de captation installés sur des aéronefs par les services de la police nationale, de la gendarmerie nationale, des douanes ainsi que par les militaires des armées déployés sur le territoire national dans le cadre des réquisitions prévues à l'article L. 1321-1 du code de la défense.
Les articles L. 242-1 et suivants du CSI ont été créés par l'article 47 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés et modifiés par l'article 15 de la loi n° 2022-52 du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure. Ces dispositions, sur lesquelles la CNIL a eu l'occasion de rendre plusieurs avis, déterminent les conditions dans lesquelles les services concernés peuvent procéder, au moyen de caméras installées sur des aéronefs, à la captation, à l'enregistrement et à la transmission d'images.
L'article L. 242-8 du CSI prévoit que les modalités d'application des dispositions précités et d'utilisation des données collectées doivent être précisées par un décret en Conseil d'Etat, pris après avis motivé et publié de la Commission.
Sur les finalités et le régime juridique applicable :
En premier lieu, s'agissant des traitements mis en œuvre par les services de la police nationale, de la gendarmerie nationale, et les militaires des armées déployés sur le territoire national dans le cadre des réquisitions prévues à l'article L. 1321-1 du code de la défense, les finalités des traitements sont mentionnées au I du projet d'article R. 242-8 du CSI, qui sont une reprise de celles mentionnées à l'article L. 242-5 du CSI.
Le Gouvernement considère que le régime juridique applicable à ces traitements est celui de la directive (UE) 2016/680 du 27 avril 2016, transposée au titre III de la loi du 6 janvier 1978 modifiée.
Si les finalités mentionnées du 1° au 5° relèvent bien de la directive précitée, il n'en est pas nécessairement de même s'agissant de la finalité relative au secours aux personnes (6°). Interrogé sur ce point, le Gouvernement a indiqué que la finalité de secours aux personnes s'exerce de manière conjointe à une autre mission de sécurité publique (par exemple, la recherche de personne disparue ou le sauvetage en mer de migrants dans le cadre d'une opération de contrôle aux frontières).
La Commission considère dès lors que les traitements mis en œuvre par les services de la police et de la gendarmerie nationales, et les militaires des armées déployés sur le territoire national relèvent du régime de la directive précitée.
En second lieu, s'agissant des traitements mis en œuvre par les agents des douanes, le II du projet d'article R. 242-8 du CSI mentionne qu'ils ont pour finalité la prévention des mouvements transfrontaliers de marchandises prohibés. Cette finalité est une reprise de celle mentionnée à l'article L. 242-5 du CSI.
La Commission considère que cette finalité relève du régime de la directive précitée.
Sur la qualité d'acte réglementaire unique :
Le projet de décret constituera un acte réglementaire unique au sens du IV de l'article 31 de la loi du 6 janvier 1978 modifiée. La mise en œuvre des traitements est ainsi subordonnée à l'envoi préalable à la Commission d'un engagement de conformité par la direction générale de la police nationale, la direction générale de la gendarmerie nationale, la préfecture de police, la direction générale des douanes et des droits indirects (DGDDI) et le ministère des armées pour les services qui leur sont rattachés.
Dans la mesure où les traitements projetés sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques, notamment parce qu'ils sont susceptibles de porter sur des données sensibles, les ministères ont réalisé une analyse d'impact relative à la protection des données à caractère personnel (AIPD), laquelle a été adressée à la Commission avec la demande d'avis.
La Commission relève que, si la directive « police-justice » ne prévoit pas explicitement qu'une seule et même AIPD puisse porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires, la réalisation d'une telle analyse d'impact, dans le cas présent, est de nature à constituer une garantie supplémentaire pour la protection des droits et des libertés des personnes concernées à l'égard des traitements projetés. En effet, elle estime que cette AIPD « cadre » a vocation à constituer le socle de référence des garanties minimales à mettre en œuvre par l'ensemble des responsables de traitement, au regard des risques identifiés dans le cadre de l'usage de ces dispositifs. Cette AIPD cadre pourra, le cas échéant, être complétée, d'une AIPD des caractéristiques particulières de chacun des traitements mis en œuvre qui ne figurent pas dans l'AIPD cadre.
Sur les conditions générales de mise en œuvre des dispositifs :
En premier lieu, les ministères concernés ont prévu de rédiger une doctrine d'emploi propre à chacune des institutions concernées (police nationale, gendarmerie nationale, militaires et douanes). Cette doctrine rappellera le cadre juridique des caméras aéroportées, précisera certains cas d'usage, les conditions d'emploi et les conduites à tenir, en particulier s'agissant de l'information des personnes et des restrictions de captation et d'enregistrement des lieux privés.
Si la Commission prend acte de ce que la diversité des situations opérationnelles auxquelles les forces de sécurité sont confrontées ne permet pas de définir dans le projet de décret des critères objectifs encadrant la captation, l'enregistrement et la transmission d'images, elle considère que de telles précisions devront figurer dans la doctrine d'emploi qui devra lui être transmise.
En deuxième lieu, l'article L. 242-5 du CSI prévoit que les services de la police nationale et de la gendarmerie nationale, les militaires et les agents des douanes peuvent être autorisés à procéder à la captation, à l'enregistrement et à la transmission d'images au moyen de caméras aéroportées.
S'agissant de la captation et l'enregistrement d'images, le projet de décret n'indique pas de critères permettant de distinguer d'une part, les situations où une simple captation d'images avec visualisation des images en direct est suffisante, et d'autre part les situations où la captation s'accompagne d'un enregistrement vidéo.
A cet égard, les ministères ont indiqué que l'enregistrement sera déclenché dans le cas où il apporte une plus-value par rapport au simple visionnage afin de matérialiser des faits objectifs, et qu'il s'agit d'une appréciation au cas par cas. De plus, l'enregistrement pourra être remis le cas échéant aux autorités compétentes pour les besoins d'une procédure judiciaire, administrative ou disciplinaire.
Les ministères ont indiqué que les doctrines d'emploi préciseront, sans exhaustivité, des recommandations en la matière.
S'agissant de la transmission d'images, l'article L. 242-2 du CSI mentionne que « les images captées peuvent être transmises au poste de commandement du service concerné et aux personnels impliqués dans la conduite et l'exécution de l'intervention, qui peuvent les visionner en temps réel ou différé pendant la durée strictement nécessaire à l'intervention ».
Le projet de décret ne précise pas de critères commandant la transmission en temps réel ou différé des images.
L'AIPD indique que la transmission des images au centre de commandement peut être déclenchée lorsque le centre de commandement a besoin de mieux comprendre la situation en cours de déroulement, de disposer d'une vue globale de l'intervention pour adapter ses instructions en direct, ou de réaliser une analyse en différé pendant la durée strictement nécessaire à l'intervention.
Les images captées peuvent également être transmises aux personnels impliqués dans la conduite et l'exécution de l'intervention, sur le terrain, afin qu'ils puissent avoir connaissance du déroulement des opérations et prendre les décisions appropriées à leur conduite.
A cet égard, les ministères concernés ont indiqué que les doctrines d'emploi préciseront les cas d'usage (non exhaustifs) pouvant conduire à cette transmission.
En troisième lieu, s'agissant des lieux concernés, l'article L. 242-5 du CSI indique que « les dispositifs aéroportés sont employés de telle sorte qu'ils ne visent pas à recueillir les images à l'intérieur des domiciles ni, de façon spécifique, celles de leurs entrées. Lorsque l'emploi de ces dispositifs conduit à visualiser ces lieux, l'enregistrement est immédiatement interrompu. Toutefois, lorsqu'une telle interruption n'a pu avoir lieu compte tenu des circonstances de l'intervention, les images enregistrées sont supprimées dans un délai de 48h à compter de la fin du déploiement du dispositif, sauf transmission dans ce délai dans le cadre d'un signalement à l'autorité judiciaire, sur le fondement de l'article 40 du code de procédure pénale ». Ces dispositions qui résultent de la loi sont reprises au II du projet d'article R. 242-11 du CSI.
S'agissant des raisons opérationnelles qui peuvent empêcher l'arrêt des enregistrements, les ministères ont indiqué à titre d'exemples des impératifs liés à la mission ou des zones à forte densité d'habitation.
Au regard des risques pour la vie privée des personnes, la Commission considère qu'il est nécessaire de préciser les circonstances de l'intervention empêchant l'interruption des enregistrements dans les lieux précités. Si elle prend acte de ce que la diversité des situations opérationnelles auxquelles les forces de sécurité sont confrontées ne permet pas de définir de manière exhaustive dans le projet de décret les circonstances empêchant une telle interruption, elle considère que de telles précisions devront être listées dans la doctrine d'emploi. Cette dernière devra par ailleurs être régulièrement passée en revue afin que les cas décrits répondent strictement à une situation dans laquelle il n'était effectivement pas possible d'interrompre l'enregistrement.
Sur les données collectées :
Les données à caractère personnel collectées sont mentionnées au projet d'article R. 242-9 du CSI.
Le projet de décret exclut la captation du son, ce qui est conforme à l'article L. 242-4 du CSI.
En outre, en vertu du deuxième alinéa de l'article L. 242-4 du CSI, les dispositifs aéroportés ne peuvent pas comporter de traitements automatisés de reconnaissance faciale, et la réglementation en vigueur n'autorise aucun dispositif de vidéo « augmentée » sur les images captées par des caméras installées sur des aéronefs.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
Sur les accédants et les destinataires :
Les accédants et destinataires aux données sont mentionnés au projet d'article R. 242-10 du CSI.
S'agissant des accédants, le 1° du I du projet d'article R. 242-10 du CSI mentionne « le chef du service de police, le commandant de l'unité de gendarmerie ou le chef du service des douanes ». A des fins de clarté, la Commission considère que le projet de décret devrait préciser qu'il s'agit de la « police nationale » afin d'éviter toute confusion avec les services de police municipale qui ne peuvent pas, en l'état de la réglementation en vigueur, mettre en œuvre des traitements d'images au moyen de dispositifs de caméras aéroportées. La Commission prend acte de l'engagement du ministère de modifier le projet de décret dans le sens préconisé.
S'agissant des destinataires, la Commission considère que le projet de décret devrait être complété afin de préciser quels sont les « agents chargés de la formation des personnels » de manière à s'assurer qu'ils appartiennent bien à l'une des catégories de personnes mentionnées au projet d'article R. 242-10 du CSI.
Sur les durées de conservation :
Le II du projet d'article R. 242-11 du CSI indique qu'« à l'issue de l'intervention et au plus tard dans un délai de quarante-huit heures à compter de la fin de celle-ci, les personnels mentionnés au 2° et 3° du I de l'article R. 242-10 suppriment les images de l'intérieur des domiciles et de façon spécifique leurs entrées lorsque l'interruption de l'enregistrement n'a pas pu avoir lieu compte tenu des circonstances de l'intervention, sauf transmission dans ce délai d'un signalement à l'autorité judiciaire, sur le fondement de l'article 40 du code de procédure pénale ».
Le III du projet d'article R. 242-11 du CSI mentionne que les données n'ayant pas fait l'objet de la suppression concernant les images de l'intérieur et des entrées des domiciles « sont conservées pendant une durée maximale de sept jours à compter de la fin du déploiement du dispositif, sans que nul ne puisse y avoir accès, sauf transmission dans ce délai d'un signalement à l'autorité judiciaire, sur le fondement de l'article 40 du code de procédure pénale ».
La Commission considère que les données sont conservées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément à l'article 4-5° de la loi du 6 janvier 1978 modifiée.
Sur les droits des personnes concernées :
S'agissant du droit à l'information, l'article L. 242-3 du CSI prévoit que « le public est informé par tout moyen approprié de l'emploi de dispositifs aéroportés de captation d'images et de l'autorité responsable de leur mise en œuvre, sauf lorsque les circonstances l'interdisent ou que cette information entrerait en contradiction avec les objectifs poursuivis. Une information générale du public sur l'emploi des dispositifs aéroportés de captation d'images est organisée par le ministère de l'intérieur ».
S'agissant des modalités de mise en œuvre de l'information des personnes filmées, la Commission considère que la première phrase du I du projet d'article R. 242-13 du CSI devrait être modifiée afin de faire référence à « l'information des personnes susceptibles d'être filmées » et non à « l'information du public ». Elle estime que l'information des personnes susceptibles d'être filmées doit se faire sur le lieu de l'opération au cours de laquelle les caméras aéroportées seront utilisées. A cet égard, l'AIPD prévoit que l'information pourra se faire sur le lieu de l'opération par exemple via des dispositifs sonores permettant d'avertir le public qu'une action est en cours et qu'elle est susceptible de donner lieu à un enregistrement, ou des dispositifs physiques (comme des barrières) matérialisant les différentes zones du périmètre susceptible d'être filmé. Dans le cas particulier de l'utilisation des caméras aéroportées pour assurer la sécurité des rassemblements de personnes sur la voie publique ou dans les lieux ouverts au public, les modalités d'information des personnes filmées pourraient en outre être précisées dans la décision autorisant le recours aux drones, pour filmer le rassemblement. La Commission considère que les doctrines d'emploi devront préciser des modalités devant être mises en œuvre pour informer de manière concise, transparente, compréhensible et aisément accessible les personnes filmées.
Par ailleurs, s'agissant des modalités de mise en œuvre de l'information générale du public, l'AIPD prévoit une information du public sur l'emploi de dispositifs aéroportés sur le site internet du ministère de l'intérieur et de la DGDDI. S'agissant des caméras aéroportées mises en œuvre par les militaires relevant du ministère des armées, la Commission considère qu'une information du public sur l'emploi de ces dispositifs pourrait également être réalisée sur le site web du ministère des armées. La Commission rappelle que l'information délivrée au public devra être effective, compréhensible et complète en tenant compte des spécificités liées aux dispositifs en cause.
S'agissant des circonstances interdisant l'information des personnes, la Commission relève que l'article L. 242-3 du CSI prévoit une information des personnes « sauf lorsque les circonstances l'interdisent ou que cette information entrerait en contradiction avec les objectifs poursuivis ». Le projet d'article R. 242-13 d'une part, renvoie également à « l'urgence » ou aux « conditions de l'opération », et d'autre part, il limite cette possibilité aux seules finalités mentionnées aux 1° (la sécurité des biens et personnes dans les lieux particulièrement exposés à des risques d'agression, de vol ou de trafic d'armes, d'êtres humains ou de stupéfiants, ainsi que la protection des bâtiments et installations publics et de leurs abords immédiats lorsqu'ils sont particulièrement exposés à des risques d'intrusion ou de dégradation), 3° (la prévention des actes de terrorisme) et 5° du I et au II de l'article R. 242-8 (la surveillance des frontières par les douanes).
A cet égard, les ministères ont indiqué que la détermination des cas (non exhaustifs) relevant de l'urgence ou des conditions dans lesquelles, en raison des circonstances de l'opération, l'information n'est pas réalisée, seront précisées dans les doctrines d'emploi. La Commission invite néanmoins les ministères à déterminer des critères objectifs permettant d'apprécier les circonstances visées dans le projet de décret et qui pourraient être précisés dans les doctrines d'emploi, en particulier s'agissant de la finalité mentionnée au 1° du projet d'article R. 242-13 du CSI dont la rédaction est particulièrement large.
Les autres droits des personnes concernées n'appellent pas d'observation particulière.
Sur les mesures de sécurité :
La Commission rappelle que, afin de répondre à l'obligation de garantie d'intégrité et de sécurité des enregistrements jusqu'à leur effacement, il est indispensable de mettre en œuvre un ensemble de mesures techniques concernant les caméras et les terminaux de téléversements. A ce titre, il est nécessaire de :

- chiffrer et de signer les enregistrements directement au niveau des caméras, avec des algorithmes conformes à l'annexe B1 du référentiel général de sécurité ;
- limiter techniquement toute opération de téléversement et de suppression des images enregistrées à des postes identifiés pour lesquels les opérations sont journalisées ;
- inclure l'horodatage dans les flux vidéo ainsi que l'ajout, lors de l'extraction, d'un « tatouage numérique » de la vidéo pour décourager toute modification du contenu.

La Commission prend bonne note des mesures organisationnelles visant à participer à cette intégrité.
En ce qui concerne le stockage des données, la Commission considère que leur nature exige que celles-ci fassent l'objet de mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité tant au niveau des bases de données que des sauvegardes, y compris pour la DGDDI.
La Commission prend bonne note de la réalisation de sauvegardes, ainsi que la réalisation de tests de restauration de ces sauvegardes une fois par an.
Concernant la journalisation, et au regard de sa recommandation n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation, la Commission considère que la durée de journalisation de trois ans choisie apparaît excessive en raison de sa disproportion avec la durée maximum de conservation des données de sept jours. En effet, si la journalisation permet, par son aspect dissuasif de participer à la sécurisation du traitement, la durée de celle-ci doit être appréciée en fonction des risques spécifiques d'abus, et notamment de la durée de conservation des données du traitement. En particulier, il convient d'éviter de conserver dans les journaux des données à caractère personnel issues du traitement principal pour une durée très supérieure à celle prévue pour ces données. De plus, si les modalités de mises en œuvre de la journalisation sont satisfaisantes, la Commission considère comme nécessaire qu'une analyse des données de journalisation soit prévue. Sur ce point, elle recommande la mise en œuvre d'un mécanisme proactif de contrôle automatique des données de journalisation qui contribue à la sécurité du traitement par la génération automatique d'alertes.
Enfin, concernant l'utilisation des images à des fins pédagogiques et de formation après anonymisation, la Commission rappelle que l'anonymisation doit être effective. Le responsable de traitement doit ainsi réaliser une analyse permettant de démontrer que ses processus d'anonymisation respectent les trois critères définis par l'avis du groupe de l'article 29 n° 05/2014. A défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit être menée.