Traitement de données personnelles par drones : absence de base légale et d’analyse d’impact

La captation d’images par des drones constitue un traitement de données à caractère personnel dès lors que les personnes sont susceptibles d’être identifiées. L’article 4 du RGPD et l’article 2 de la loi du 6 janvier 1978 conduisent à cette qualification, y compris lorsque les images sont transmises au pilote, enregistrées ou seulement susceptibles d’être consultées en clair. Un floutage ultérieur ou partiel ne fait pas disparaître cette qualification.

Les traitements poursuivant des finalités de prévention ou de détection des infractions, d’enquête, de maintien de l’ordre ou de protection de la sécurité publique relèvent de l’article 87 de la loi Informatique et Libertés. Leur licéité suppose un cadre législatif ou réglementaire conformément à l’article 89. En présence d’un risque élevé pour les droits et libertés, notamment en raison de la captation dans l’espace public, de la possibilité de révéler des données sensibles et de l’utilisation d’une technologie nouvelle, l’article 90 impose une analyse d’impact.

L’article 104 exige une information complète des personnes concernées. Une simple annonce de la présence d’un drone ne suffit pas. Les restrictions prévues par l’article 107 doivent être inscrites dans l’acte instaurant le traitement. La CNIL a retenu des manquements aux articles 89, 90 et 104, justifiant un rappel à l’ordre, une injonction de mise en conformité et la publicité de la décision sur le fondement de l’article 20 de la loi du 6 janvier 1978.

⬇️Télécharger la décision version officielle

Les drones utilisés par les forces de sécurité permettaient d’identifier les personnes filmées, notamment grâce à leur résolution et leur zoom. Le floutage mis en place ne concernait pas toutes les images et certains flux restaient accessibles. La CNIL a relevé l’absence de cadre normatif autorisant les traitements, d’analyse d’impact et d’information suffisante. Elle a prononcé un rappel à l’ordre, une injonction de mise en conformité et la publication de la décision.

À la suite du confinement instauré en mars 2020, plusieurs services de police et de gendarmerie ont utilisé des drones équipés de caméras pour surveiller le respect des mesures sanitaires. Certains appareils ont également été employés pour des missions de police judiciaire, de maintien de l’ordre, de gestion de crise et de contrôle routier.

La CNIL a demandé des précisions, puis engagé un contrôle resté sans réponse initiale. Un contrôle sur place, comprenant un vol d’essai, a établi que les caméras, dotées d’une importante résolution et d’un zoom, permettaient d’identifier les personnes. Un dispositif de floutage a ensuite été développé, mais il ne s’appliquait pas à toutes les images et certains flux non floutés pouvaient encore être consultés.

La formation restreinte a retenu la responsabilité de l’autorité publique concernée. Elle a constaté l’absence de cadre normatif autorisant les traitements, l’absence d’analyse d’impact et l’insuffisance de l’information délivrée aux personnes. Elle a prononcé un rappel à l’ordre, une injonction de mise en conformité et la publication de la décision.

• Personnes filmées susceptibles d’être identifiées
• Captation, transmission, enregistrement ou consultation des images
• Finalités relevant de la prévention, de l’enquête ou de la sécurité publique
• Existence d’un cadre législatif ou réglementaire autorisant le traitement
• Risque élevé pour les droits et libertés des personnes
• Réalisation préalable d’une analyse d’impact
• Information conforme aux exigences de l’article 104

• Vol d’essai réalisé lors du contrôle sur place
• Caractéristiques techniques : résolution de 12 millions de pixels
• Capacité de zoom comprise entre six et vingt fois
• Réponses aux questionnaires et observations du responsable
• Note technique du 23 novembre 2020 sur le floutage

L’autorité publique responsable ne peut utiliser les drones pour capter des données personnelles sans cadre normatif autorisant le traitement. Elle doit également garantir l’analyse d’impact et l’information des personnes, sous peine de mesures correctrices et de publicité de la sanction.

• Rappel à l’ordre pour les manquements constatés
• Injonction de mise en conformité des traitements
• Suspension de la captation jusqu’à l’adoption d’un cadre légal
• Réalisation d’une analyse d’impact relative aux données personnelles
• Mise en place d’une information conforme à l’article 104
• Publication de la décision pendant deux ans

À faire

• Identifier les finalités précises de chaque usage des drones
• Vérifier l’existence d’un cadre législatif ou réglementaire
• Réaliser une analyse d’impact avant le déploiement
• Documenter les flux captés, transmis et enregistrés
• Informer les personnes conformément à l’article 104

À éviter

• Capturer des images identifiables sans base normative
• Se limiter à un floutage postérieur ou partiel
• Consulter ou conserver des flux non floutés sans justification
• Présumer qu’un message vocal remplace l’information légale
• Déployer le dispositif sans vérifier les risques élevés

Le traitement d’images permettant l’identification

La captation, la transmission, l’enregistrement ou la consultation d’images de personnes identifiables constitue un traitement de données à caractère personnel au sens de l’article 4 du RGPD et de l’article 2 de la loi Informatique et Libertés. La formation restreinte a retenu cette qualification malgré le floutage, car celui-ci ne s’appliquait pas à toutes les opérations et l’accès aux flux non floutés demeurait possible.

La licéité des traitements de sécurité publique

L’article 87 de la loi Informatique et Libertés soumet les traitements poursuivant des finalités de prévention ou de détection des infractions, d’enquête, de maintien de l’ordre ou de sécurité publique au titre III de cette loi. L’article 89 exige un cadre législatif ou réglementaire. L’article 90 impose une analyse d’impact lorsque le traitement présente un risque élevé. L’absence de cadre autorisant les drones et d’analyse d’impact caractérise les manquements.

L’information des personnes concernées

L’article 104 de la loi Informatique et Libertés impose notamment l’information sur le responsable, les finalités, les droits et la possibilité de saisir la CNIL. Un message vocal signalant la présence du drone ne répond pas à ces exigences. La restriction prévue par l’article 107 ne pouvait être invoquée en l’absence d’acte instaurant les traitements.

Article 2 de la loi n° 78-17 du 6 janvier 1978, Article 4 du règlement (UE) 2016/679, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 6 de la loi n° 78-17 du 6 janvier 1978, Article 31 de la loi n° 78-17 du 6 janvier 1978, Articles 33 à 36 de la loi n° 78-17 du 6 janvier 1978, Article 87 de la loi n° 78-17 du 6 janvier 1978, Article 89 de la loi n° 78-17 du 6 janvier 1978, Article 90 de la loi n° 78-17 du 6 janvier 1978, Article 104 de la loi n° 78-17 du 6 janvier 1978, Article 107 de la loi n° 78-17 du 6 janvier 1978, Articles L251-1 et suivants du Code de la sécurité intérieure