Données aéronautiques sensibles : sécuriser les traitements après tests positifs

1. Cadre général du traitement des données consécutif aux tests positifs d’alcoolémie ou stupéfiants dans l’aviation civile

1.1. La délibération no 2025-052 de la Commission nationale de l’informatique et des libertés (CNIL), publiée au Journal officiel de la République française du 23 avril 2026 (Texte 86 sur 125), porte sur un projet de décret créant un traitement de données à caractère personnel dénommé « Traitement des données consécutif aux tests positifs d’alcoolémie ou stupéfiants parmi des personnels navigants ou concourant à la conduite d’aéronefs ».

1.2. Ce traitement s’inscrit dans les thématiques de l’aviation civile, du dépistage et du contrôle d’alcoolémie, et concerne les personnels navigants et les personnels concourant à la conduite d’aéronefs soumis à des contrôles d’alcoolémie et de stupéfiants.

1.3. L’organisme à l’origine de la saisine est le ministère de la transition écologique, de la biodiversité, de la forêt, de la mer et de la pêche, sur le fondement de l’article 31-II de la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (dite « loi informatique et libertés »).

1.4. La CNIL examine ce projet de décret au regard du règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données (RGPD), et de la loi informatique et libertés, en tenant compte du caractère sensible des données traitées et de leur lien avec la sécurité publique et la sécurité aérienne.

2. Contexte juridique : contrôles d’alcoolémie et de stupéfiants dans l’aviation civile

2.1. Le dispositif de contrôle repose sur l’ordonnance no 2022-830 du 1er juin 2022 relative aux contrôles de l’alcoolémie et de l’usage de stupéfiants dans le domaine de l’aviation civile. Cette ordonnance permet à la gendarmerie et à la police de procéder au dépistage de l’alcoolémie et de l’usage de stupéfiants chez les membres de l’équipage de cabine.

2.2. L’ordonnance introduit des mesures administratives de rétention et de suspension des titres aéronautiques ou des autorisations d’exercer des personnels concernés, ainsi qu’un régime de sanctions pénales en cas de test positif ou de refus de se soumettre au dépistage.

2.3. Le décret no 2022-978 du 2 juillet 2022 relatif aux contrôles de l’alcoolémie et de l’usage de stupéfiants dans le domaine de l’aviation civile précise les modalités d’application de l’ordonnance no 2022-830. Il prévoit notamment la transmission d’informations nominatives aux autorités compétentes pour la délivrance du titre aéronautique et pour la surveillance du transporteur aérien.

2.4. Le code des transports, et en particulier son article L. 6225-1, énumère les personnels pouvant être soumis à des contrôles de vérification de l’état alcoolique et à des contrôles de l’usage de substances ou plantes classées comme stupéfiants, réalisés par la gendarmerie et la police.

2.5. En cas de test positif (alcool ou stupéfiants), les données à caractère personnel des personnes concernées font l’objet d’un traitement par la direction générale de l’aviation civile (DGAC). Celle-ci peut prononcer des sanctions administratives en application des articles L. 6231-5 et L. 6231-6 du code des transports, notamment la suspension des titres aéronautiques ou, pour un personnel ne détenant pas un titre délivré par la DGAC, une interdiction d’exercer dans l’espace aérien français.

2.6. En cas d’ivresse positive ou de refus de se soumettre aux vérifications établissant la preuve de l’état alcoolique, la DGAC transmet des données complémentaires à l’Agence de l’Union européenne pour la sécurité aérienne (AESA). Un suivi des procédures liées aux mesures de police et aux sanctions administratives est également prévu entre la DGAC et les autorités judiciaires compétentes, en application des articles L. 6231-8, L. 6232-23, R. 6231-41 et R. 6231-42 du code des transports.

3. Objet du projet de décret et rôle de la DGAC

3.1. Le projet de décret soumis à la CNIL précise les modalités d’application de l’ordonnance no 2022-830 et du décret no 2022-978, dont les dispositions sont codifiées dans le code des transports. Il vise à encadrer le traitement des données à caractère personnel consécutif aux tests positifs d’alcoolémie ou de stupéfiants dans le domaine de l’aviation civile.

3.2. Lorsque la DGAC n’est pas l’autorité compétente (par exemple pour un pilote étranger), le projet de décret organise la transmission d’informations à l’autorité compétente pour la délivrance du titre aéronautique et, le cas échéant, à l’autorité compétente pour la surveillance du transporteur aérien.

3.3. Le projet de décret modifie certains articles réglementaires du code des transports : il supprime notamment les mentions relatives à la délivrance de l’information au préfet du lieu de l’infraction et prévoit la transmission de données complémentaires à l’AESA en cas de refus de se soumettre aux vérifications établissant la preuve de l’usage de stupéfiants.

3.4. Le traitement est mis en œuvre pour le compte de l’État par la DGAC, en tant que responsable de traitement, et intéresse la sécurité publique. En raison du traitement de données sensibles, il doit être autorisé par un décret en Conseil d’État sur le fondement de l’article 31-II de la loi informatique et libertés.

4. Régime juridique applicable : articulation RGPD, loi informatique et libertés et directive Police-Justice

4.1. Le projet de décret a pour objet de permettre le suivi des mesures de police et des sanctions administratives prévues par le code des transports dans le cadre des contrôles de l’alcoolémie et de l’usage des stupéfiants.

4.2. Les contrôles d’alcoolémie et les opérations de dépistage en matière de stupéfiants sont réalisés, conformément aux articles L. 6225-3 et L. 6225-7 du code des transports, par les officiers ou agents de police judiciaire de la gendarmerie ou de la police nationales territorialement compétents. Ces opérations, qui permettent la détection d’infractions pénales, ne sont pas effectuées par la DGAC.

4.3. Les échanges entre la DGAC et les autorités judiciaires ont pour seul objet la gestion et le suivi des décisions administratives mises en œuvre par la DGAC. La CNIL relève que la DGAC n’agit pas en tant qu’autorité publique compétente au sens de la directive Police-Justice.

4.4. La CNIL estime en conséquence que le traitement ne relève pas de la directive Police-Justice. Il est soumis au RGPD et à la loi informatique et libertés, la DGAC n’ayant pas la qualité d’« autorité publique compétente » pour la détection ou la poursuite d’infractions pénales au sens de cette directive.

5. Finalités du traitement : sécurité aérienne, transferts hors UE et finalité statistique

5.1. L’article R. 6225-8 du projet de décret a pour finalité, lorsque la DGAC n’est pas l’autorité compétente, d’assurer la transmission d’informations à l’autorité compétente pour la délivrance du titre aéronautique et, le cas échéant, à l’autorité compétente pour la surveillance du transporteur aérien.

5.2. Cette finalité implique un transfert de données à caractère personnel hors de l’Union européenne, concernant des personnels navigants ou concourant à la sécurité, lorsque cela est nécessaire pour des motifs d’intérêt public important, conformément à l’article 49 (1, d) du RGPD.

5.3. La CNIL prend acte du motif d’intérêt public important que constitue l’objectif de sécurité aérienne poursuivi par cette finalité. La transmission des données à des autorités étrangères est ainsi justifiée par la nécessité de garantir la sécurité des vols et la surveillance des transporteurs aériens.

5.4. Le ministère indique par ailleurs que le traitement des données complémentaires a également pour finalité d’établir des statistiques afin de rendre compte de l’activité de surveillance sur le territoire national. Cette finalité statistique vise à mesurer l’ampleur des tests positifs, des refus de dépistage et des sanctions administratives.

5.5. La CNIL relève toutefois que cette finalité statistique n’est pas prévue dans la rédaction initiale de l’article R. 6225-8 du projet de décret. Elle prend acte de l’engagement du ministère de faire figurer explicitement cette finalité dans le texte, afin d’assurer la transparence et la limitation des finalités conformément au RGPD.

6. Données collectées, données « complémentaires » et enjeux d’anonymisation

6.1. L’article R. 6225-9 du projet de décret prévoit, en son I, la collecte de données nominatives et, en son II, la collecte de données complémentaires. Ces dernières sont destinées notamment à être transmises à l’AESA et à servir à l’établissement de statistiques.

6.2. Le ministère considère que les données complémentaires présentent un risque de réidentification extrêmement faible dès lors que les données nominatives définies au I de l’article R. 6225-9 sont supprimées dans les conditions prévues à l’article R. 6225-10. Il en conclut au caractère anonyme des données collectées au titre du II.

6.3. L’analyse de risque de réidentification fournie par le ministère conclut que la DGAC ne sera pas en mesure de réidentifier les personnes testées, en particulier celles dont le résultat du test serait positif, sauf dans des « circonstances particulièrement exceptionnelles ».

6.4. La CNIL souligne toutefois que le risque de réidentification ne peut être entièrement écarté. La présence de données précises telles que la date, l’heure et le lieu de l’infraction, le numéro de vol, les aérodromes de départ et de destination, le numéro d’immatriculation de l’aéronef, le nombre de membres d’équipage testés et le nombre de tests positifs est susceptible de permettre la réidentification des personnes concernées, d’autant plus que le nombre de membres d’équipage (conduite et cabine) est limité dans un aéronef.

6.5. La CNIL relève en outre que l’analyse du ministère se limite au point de vue de la DGAC, sans prendre en compte la possibilité que d’autres personnes (accédants, destinataires ou tiers) susceptibles d’accéder, légitimement ou non, aux données puissent parvenir à réidentifier des personnes.

6.6. Or une évaluation du risque de réidentification doit considérer, pour la DGAC comme pour toute autre personne, l’étendue des moyens et des informations supplémentaires susceptibles d’être raisonnablement accessibles pour réidentifier les personnes concernées. La CNIL rappelle qu’il n’est pas nécessaire que ces informations soient entre les mains d’une seule entité : la combinaison de données complémentaires avec d’autres sources peut suffire.

6.7. La CNIL insiste sur la nécessité de veiller à ce que la suppression des données nominatives soit effective, qu’aucune copie ne subsiste, y compris à l’insu du responsable de traitement, et qu’elles ne puissent pas être retrouvées ou inférées par des moyens raisonnables. La limitation du risque d’accès illégitime aux données mentionnées au II de l’article R. 6225-9 est également essentielle, car la réduction de la vraisemblance de tels accès contribue à diminuer le risque de réidentification.

6.8. Il importe que la DGAC ne puisse pas, seule ou en coopération avec un tiers, combiner les données complémentaires du II de l’article R. 6225-9 avec des informations supplémentaires permettant de retrouver l’identité des personnes.

6.9. La CNIL considère qu’en l’absence de ces garanties, l’analyse fournie par le ministère ne permet pas d’exclure le risque de réidentification. Elle recommande de compléter l’analyse de risque de réidentification relative aux données concernées par le paragraphe II de l’article R. 6225-9, en tenant compte des éléments précédemment mentionnés.

6.10. La CNIL invite le ministère à adopter le cadre d’analyse basé sur les trois critères d’individualisation, de corrélation et d’inférence, tels que définis par l’avis no 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’article 29 (ex-G29). Ce cadre permet d’évaluer de manière structurée la capacité à isoler un individu, à relier des enregistrements entre eux et à déduire de nouvelles informations.

6.11. Si l’analyse complétée ne permettait pas de conclure que le risque de réidentification est insignifiant, les données concernées devraient être considérées comme des données à caractère personnel, soumises à l’ensemble des règles du RGPD. Cela aurait des conséquences sur la durée de conservation, les droits des personnes et les obligations de sécurité.

7. Durée de conservation, obligations européennes et information des personnes

7.1. Dans l’hypothèse où les données complémentaires seraient qualifiées de données à caractère personnel, la CNIL attire l’attention du ministère sur la nécessité d’adapter la durée de conservation et les modalités d’information des personnes concernées.

7.2. La CNIL prend acte de ce que le ministère justifie la conservation des données complémentaires pendant cinq ans à compter du procès-verbal de constatation de l’infraction, en raison des obligations de la direction de la sécurité de l’aviation civile (DSAC) auprès des instances européennes. Cette durée est présentée comme nécessaire pour répondre aux exigences de surveillance européenne en matière de sécurité aérienne.

7.3. La CNIL prend également acte de ce que la mention d’information aux personnes concernées sera précisée. L’information des personnels navigants et des personnels concourant à la conduite d’aéronefs sur le traitement de leurs données, les finalités, les destinataires, la durée de conservation et les droits dont ils disposent constitue un élément central de la conformité au RGPD.

8. Accès aux données : accédants, habilitations et gestion des droits

8.1. L’article R. 6225-11 (I) du projet de décret prévoit que peuvent avoir accès au traitement, en raison de leurs attributions et dans la limite du besoin d’en connaître, les agents de la DSAC.

8.2. Le ministère précise que seuls les agents affectés à la direction technique Personnels navigants auront accès aux données à caractère personnel. Les personnels compétents seront habilités selon leur fonction, ce qui vise à limiter l’accès aux seules personnes dont les missions le justifient.

8.3. Compte tenu de la sensibilité des données collectées (tests positifs d’alcoolémie ou de stupéfiants, sanctions administratives, mesures de police), la CNIL insiste sur la nécessité d’une gestion rigoureuse des accès. Elle estime que les personnels pouvant accéder aux données devraient être individuellement désignés et spécialement habilités par la DGAC.

8.4. La CNIL prend acte de l’engagement du ministère de modifier le projet de décret en ce sens, afin de renforcer la traçabilité et la sécurité des accès aux données, et de limiter les risques d’accès illégitime ou de réidentification non autorisée.

9. Droits des personnes concernées : information et droit d’opposition

9.1. L’article R. 6225-12 du projet de décret, relatif à l’exercice des droits des personnes concernées, ne comporte pas de mention relative au droit à l’information des personnels concernés. Cette lacune est relevée par la CNIL au regard des articles 12 à 14 du RGPD et de l’article 48 de la loi du 6 janvier 1978 modifiée.

9.2. La CNIL invite le ministère à compléter le projet de décret pour y intégrer explicitement le droit à l’information et les modalités d’information des personnes concernées. Il s’agit notamment de préciser la manière dont les personnels sont informés des contrôles d’alcoolémie et de dépistage de stupéfiants, du traitement de leurs données, des transferts hors UE et de leurs droits d’accès, de rectification et de limitation.

9.3. L’article R. 6225-13 du projet de décret écarte expressément l’exercice du droit d’opposition en application de l’article 56 de la loi du 6 janvier 1978 modifiée. Le ministère indique que les dispositions du code des transports imposent ces tests d’alcoolémie et de consommation de produits stupéfiants, et que l’ensemble du traitement repose sur une mission d’intérêt public.

9.4. Le ministère précise que le droit d’opposition est écarté sur le fondement de l’article 23 c du RGPD, qui permet de limiter certains droits lorsque cela est nécessaire pour des motifs d’intérêt public important, notamment en matière de sécurité publique et de prévention des infractions.

9.5. La CNIL rappelle que, pour limiter valablement le droit d’opposition, la mesure normative doit contenir des dispositions spécifiques minimales énumérées à l’article 23.2 du RGPD. L’article 56 de la loi informatique et libertés exige également qu’une telle exclusion soit prévue par une « disposition expresse de l’acte instaurant le traitement ».

9.6. La CNIL prend acte de l’engagement du ministère de compléter le projet de décret afin de satisfaire pleinement aux exigences de l’article 23.2 du RGPD et de l’article 56 de la loi, en précisant les limites apportées au droit d’opposition, leur justification et les garanties associées.

10. Enjeux de protection des données et sécurisation des traitements aéronautiques sensibles

10.1. Le projet de traitement des données consécutif aux tests positifs d’alcoolémie ou de stupéfiants parmi les personnels navigants ou concourant à la conduite d’aéronefs illustre la tension entre les impératifs de sécurité aérienne et les exigences de protection des données à caractère personnel.

10.2. La CNIL reconnaît le motif d’intérêt public important lié à la sécurité aérienne, qui justifie la mise en place de contrôles d’alcoolémie et de dépistage de stupéfiants, la transmission d’informations nominatives aux autorités compétentes, les sanctions administratives et les transferts de données hors UE dans le cadre de la surveillance des transporteurs aériens.

10.3. En parallèle, la CNIL insiste sur la nécessité de sécuriser les traitements portant sur des données aéronautiques sensibles, en particulier les données complémentaires transmises à l’AESA et utilisées à des fins statistiques. La qualification de ces données (anonymes ou à caractère personnel) dépend d’une analyse approfondie du risque de réidentification.

10.4. L’adoption d’un cadre d’analyse fondé sur les critères d’individualisation, de corrélation et d’inférence, la suppression effective des données nominatives, la limitation des accès aux seuls agents individuellement désignés et habilités, ainsi que la clarification des droits des personnes (information, encadrement du droit d’opposition) constituent des éléments essentiels pour assurer la conformité au RGPD.

10.5. Les autres dispositions du projet de décret n’appellent pas d’observations particulières de la CNIL. La délibération, adoptée après rapport de M. Didier Kling, commissaire, et observations de M. Damien Milic, commissaire du Gouvernement, est signée par la présidente, M.-L. Denis, et s’inscrit dans une démarche de sécurisation des traitements liés aux tests positifs d’alcoolémie ou de stupéfiants dans le secteur de l’aviation civile.