Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après « la Commission ») a été saisie, conformément à l'article 33-II de la loi du 6 janvier 1978 modifiée, par le ministère de l'intérieur d'un projet de décret portant application des articles L. 242-1 et suivants du code de la sécurité intérieure (CSI) et relatif à la mise en œuvre de traitements d'images au moyen de dispositifs de captation installés sur des aéronefs des acteurs de la sécurité civile.
Les articles L. 242-1 et suivants du CSI ont été créés par l'article 47 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés, sur laquelle la Commission a déjà rendu un avis (délibération n° 2021-011 du 26 janvier 2021) et ont été modifiés par l'article 15 de la loi n° 2022-52 du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure. L'article L. 242-6 du CSI détermine les conditions dans lesquelles les sapeurs-pompiers et les marins-pompiers, les personnels des services de l'Etat et les militaires des unités investis à titre permanent de missions de sécurité civile ou les membres des associations agréées de sécurité civile au sens de l'article L. 725-1, sont autorisés à mettre en œuvre en tous lieux, y compris dans des lieux privés lorsque cela est strictement nécessaire, des traitements de données à caractère personnel provenant des caméras installées sur des aéronefs. En effet, conformément à la loi n° 2022-52 du 24 janvier 2022 précitée, les marins-pompiers figurent désormais parmi les acteurs de la sécurité civile autorisés à employés de tels dispositifs (article L. 242-6 du CSI). En outre, ces dispositions ne s'appliquent plus uniquement aux aéronefs sans personne à bord, mais à l'ensemble des aéronefs.
Il est prévu par l'article L. 242-8 du CSI que les modalités d'application du titre IV du livre II du même code et d'utilisation des données collectées doivent être précisées par un décret en Conseil d'Etat, pris après avis motivé et publié de la Commission.
La Commission a déjà eu l'occasion de se prononcer sur ce projet de décret dans sa délibération n° 2022-006 du 13 janvier 2022 portant avis sur un projet de décret portant application des articles L. 242-1 et suivants du code de la sécurité intérieure et relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras installées sur des aéronefs circulant sans personne à bord.
Si elle relève que la présente saisine rectificative vise à prendre en compte les observations formulées ainsi que les modifications introduites par la loi n° 2022-52 du 24 janvier 2022 précitée, elle regrette que certaines de ses observations n'aient pas été suivies (notamment celle invitant le ministère à préciser le projet de décret afin d'indiquer que les « accédants » seront autorisés à enregistrer les données prévues par le projet d'article R. 242-2 du CSI et à les consulter).
Le projet de décret qui lui est soumis pour avis constitue un « acte réglementaire unique », au sens du IV de l'article 31 de la loi du 6 janvier 1978 modifiée, permettant aux sapeurs-pompiers et marins-pompiers, personnels des services de l'Etat et militaires des unités investis à titre permanent de missions de sécurité civile, membres des associations agréées de sécurité civile au sens de l'article L. 725-1 du CSI de mettre en œuvre en tous lieux, y compris dans des lieux privés lorsque cela est strictement nécessaire, des traitements de données à caractère personnel provenant des caméras installées sur des aéronefs.
La Commission rappelle que, dans son avis du 13 janvier 2022, elle a relevé que, s'agissant des associations agréées de sécurité civile au sens de l'article L. 725-1 du CSI, le Gouvernement estime que ces traitements projetés seront mis en œuvre « pour le compte de l'Etat ». Si elle n'a pas remis pas en cause cette analyse, elle a considéré, en tout état de cause, qu'il reviendra au Conseil d'Etat d'apprécier ce point.
Sur les conditions générales de mise en œuvre du dispositif :
En premier lieu, le projet d'article R. 242-1 du CSI a été complété afin de couvrir l'ensemble des caméras aéroportées, qu'elles soient installées sur des drones ou sur d'autres aéronefs, captifs (drones filaires) ou non (avion, hélicoptère, ULM).
La Commission relève que cet élargissement du périmètre des caméras aéroportées concernées résulte des termes de l'article L. 242-1 du CSI tel que modifié par la loi n° 2022-52 du 24 janvier 2022 précitée, qui a eu pour conséquence de ne plus limiter les aéronefs visés à ceux « circulant sans personne à bord ». La Commission relève que si cette évolution résulte d'une évolution législative, elle élargit considérablement le nombre d'aéronefs concernés. En outre, au regard des finalités poursuivies par le traitement, elle considère que les dispositifs devront être mis en œuvre de façon à minimiser les atteintes à la vie privée, notamment en ne filmant pas les personnes à bord des aéronefs. A cet égard, elle prend acte de ce que le dispositif envisagé par le ministère est d'installer les caméras sous les appareils, de sorte que l'équipage et l'opérateur ne seront pas dans le champ de la caméra.
En deuxième lieu, conformément à ce qui est prévu par l'article L. 242-6 du CSI, le projet d'article R. 242-1-I du même code prévoit que les sapeurs-pompiers et les marins-pompiers, les personnels des services de l'Etat et les militaires des unités investis à titre permanent de missions de sécurité civile ou les membres des associations agréées de sécurité civile au sens de l'article L. 725-1 peuvent procéder en tous lieux, au moyen de caméras installées sur des aéronefs, à la captation, à l'enregistrement et à la transmission d'images aux fins énoncées.
Dans son avis du 13 janvier 2022, la Commission avait rappelé que les traitements pourront être mis en œuvre dans des lieux privés et plus particulièrement dans des domiciles privés, lorsque la situation opérationnelle l'exige, en cas d'impossibilité d'accès, d'engagement dangereux pour les secours, ou d'insuffisance d'autres moyens et avait invité le Gouvernement à préciser dans le projet de décret que les aéronefs ne pourront être envoyés dans des lieux privés que lorsque cela est strictement nécessaire à l'objectif de sécurité civile poursuivi (à savoir les missions de prévention, de protection et de lutte contre les risques de sécurité civile, de protection des personnes et des biens et de secours d'urgence).
Par conséquent, elle accueille favorablement que le projet de décret ait été complété afin d'indiquer que les aéronefs pourront être mis en œuvre en tous lieux « y compris dans des lieux privés lorsque cela est strictement nécessaire ».
En troisième lieu, le projet de décret reprend des garanties apportées par la loi n° 2022-52 du 24 janvier 2022 précitée.
D'une part, le projet d'article R. 242-1 du CSI a été complété, en vertu de l'article L. 242-4 du même code, afin d'indiquer que la mise en œuvre de ces traitements ne peut être permanente.
D'autre part, des modifications ont également été apportées au projet d'article R. 242-2 du CSI pour préciser que les images captées peuvent être transmises au poste de commandement du service, de l'unité ou de l'association concerné et aux personnels impliqués dans la conduite et l'exécution de l'intervention, qui peuvent les visionner en temps réel ou différé pendant la durée strictement nécessaire à l'intervention. Il est ajouté que les caméras sont équipées de dispositifs techniques permettant de garantir l'intégrité des enregistrements jusqu'à leur effacement.
Ces ajouts visent à prendre en compte la nouvelle rédaction de l'article L. 242-2 du CSI, ce qui n'appelle pas de nouvelles observations. La Commission profite de ces ajouts pour réaffirmer la nécessité de protéger les flux vidéo, certes en intégrité, mais également en confidentialité, comme elle l'avait déjà souligné.
Sur les données collectées :
Le projet d'article R. 242-2-I du CSI liste les données à caractère personnel et informations qui peuvent être enregistrées dans les traitements, dont « le nom, le prénom et la référence du titre du télépilote, du cadre chargé de l'observation et de l'investigation aérienne et de l'opérateur capteur ainsi que le numéro d'enregistrement de l'aéronef ».
La Commission accueille favorablement cette précision des données pouvant être collectées. Elle relève que cette catégorie de données a été complétée afin de prévoir la collecte des données des agents embarqués dans les avions, les hélicoptères et les ULM.
Compte tenu de ce qui précède, la Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
Sur les durées de conservation :
Afin de prendre en compte les modifications introduites à l'article L. 242-4 du CSI, le projet d'article R. 242-4 du même code prévoit désormais que les données et informations sont conservées sur un support informatique sécurisé pendant une durée de sept jours à compter de la fin du déploiement du dispositif, et non plus pendant une durée de trente jours à compter du jour de leur enregistrement. Il est précisé que lorsque les données ont, dans le délai de sept jours, été extraites ou transmises pour les besoins d'une procédure judiciaire, administrative ou disciplinaire, elles sont conservées selon les règles propres à chacune de ces procédures par l'autorité qui en a la charge.
Si la Commission accueille favorablement ces modifications, elle rappelle qu'elle a estimé qu'il serait souhaitable que le ministère incite les responsables de traitement à chiffrer les données et informations conservées afin d'augmenter le niveau de sécurité général et d'harmoniser, au niveau national, les pratiques de chaque futur responsable de traitement. Sur ce point, elle prend acte de ce que l'AIPD a été modifiée en ce sens et que la nécessité de mettre en place des mesures permettant de garantir un niveau de sécurité adapté sera mentionnée dans la doctrine d'emploi.
Dans ces conditions, la Commission considère que les données sont conservées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément à l'article 4-5° de la loi du 6 janvier 1978 modifiée.
Sur les droits des personnes concernées :
Le projet d'article R. 242-6 du CSI a été modifié afin de préciser les circonstances interdisant l'information des personnes concernées, en limitant ces cas à « l'urgence ou les conditions de l'opération de secours ».
S'agissant des modalités d'information du public sur l'emploi des caméras installées sur des aéronefs, la Commission relève que l'article L. 242-3 du CSI prévoit une information individuelle du public, par tout moyen approprié, de la mise en œuvre de dispositifs aéroportés de captation d'images et de l'autorité responsable, sauf lorsque les circonstances l'interdisent. Cette disposition indique également qu'une information générale du public sur l'emploi de dispositifs aéroportés de captation d'images doit être organisée par le ministre de l'intérieur.
Elle rappelle qu'elle a relève que la rédaction « sauf si les circonstances l'interdisent » telle que mentionnée au I de l'article R. 242-6 du CSI est particulièrement large et, par conséquent, accueille favorablement les modifications réalisées.
Elle invite néanmoins le ministère à déterminer des critères objectifs permettant d'apprécier les circonstances visées dans le projet de décret et qui pourraient être précisés dans une doctrine d'emploi.
Sur les mesures de sécurité :
La Commission n'a pas de nouvelles remarques à formuler sur les mesures de sécurité et maintient ses observations générales.