En France, la Commission nationale de l’information et des libertés (ci-après la CNIL) a prononcé une sanction ce 12 janvier 2021 à l’encontre du ministère de l’Intérieur pour avoir utilisé en dehors de tout cadre légal, des drones équipés de caméras et ce, notamment pour surveiller le respect des mesures prises dans le cadre de la pandémie de Covid-19.
La captation d’images par des drones est un traitement de données à caractère personnel
Le rapport d’instruction souligne que les drones utilisés par les forces de l’ordre sont équipés d’une caméra permettant la captation d’images en haute résolution et possédant des capacités de zoom pouvant agrandir l’image entre six et vingt fois. Selon l’auteur du rapport, il y a lieu de considérer que l’utilisation de ces drones par le ministère de l’Intérieur donne lieu à un traitement de données à caractère personnel dès lors que des personnes sont filmées dans des conditions permettant leur identification.
La CNIL, par l’intermédiaire de sa formation restreinte, a estimé qu’il s’agissait d’un traitement de données à caractère personnel. En se référant aux définitions du traitement de données à caractère personnel et de donnée à caractère personnel mentionnées à l’article 4 du RGPD et à la jurisprudence européenne et française, la CNIL relève que toute opération – notamment la captation, la transmission, la modification ou la consultation – portant sur l’image de personnes pouvant être reconnues constitue un traitement de données à caractère personnel.
Face à ces accusations, le ministère de l’Intérieur a indiqué avoir développé un mécanisme floutant l’image des personnes. Or, ce mécanisme est utilisé depuis la fin du mois d’août 2020 alors que ces drones ont été utilisés antérieurement à cette période.
La CNIL souligne que le mécanisme de floutage ne soustrait pas les images collectées à la réglementation applicable en matière de la protection des données à caractère personnel pour les raisons suivantes.
- Ce mécanisme ne peut pas être directement exécuté par le drone. En effet, les images captées sont transmises au pilote du drone.
- Des enregistrements d’images non floutées lors de l’utilisation de drones ont été réalisés pour les besoins de missions de police judiciaire.
- L’accès aux images non floutées demeure possible par des personnes placées sous le responsable de traitement.
Eu égard à ces trois constats, on est bien en présence d’un traitement de données à caractère personnel.
Quels sont les manquements reprochés au ministère de l’Intérieur ?
Absence de licéité du traitement et d’étude d’impact
En application de la Loi Informatique et Libertés, les traitements mis en œuvre par l’Etat dans les circonstances suivantes, notamment, pour prévenir ou détecter les infractions pénales, mener des enquêtes ou se prémunir contre des atteintes à la sécurité publique, doivent être prévus par un texte qu’il soit législatif ou réglementaire.
De plus, il est requis de réaliser une analyse d’impact lorsque ces traitements présentent un risque élevé pour les droits et libertés des personnes.
La CNIL souligne que : « Ce risque élevé naît, d’une part, des caractéristiques des drones, qui sont des objets volants embarquant une caméra capable de filmer dans des résolutions importantes, en tout lieu et à tout moment. Ils sont donc capables de filmer toute personne circulant dans l’espace public, de la suivre et de traiter des données personnelles intangibles telles que les traits de son visage. Le risque naît, d’autre part, de l’utilisation faite des drones par le ministère de l’intérieur, notamment lors de manifestations, occasions au cours desquelles les opinions politiques, les convictions religieuses ou philosophiques des personnes, ou leur appartenance syndicale, sont susceptibles d’être révélées. »
Or, aucun texte n’existe à l’heure actuelle (notons toutefois que la Proposition de loi nº 3452 relative à la sécurité globale aborde ce sujet) et aucune analyse d’impact n’a été communiquée à la CNIL au sujet de l’utilisation des drones par les forces de l’ordre.
Manquement relatif à l’information des personnes
Il faut également souligner qu’il a été constaté que le public n’était pas non plus informé de l’utilisation de ces drones comme il aurait dû l’être et conformément aux exigences légales.
Quelles sanctions ont été prononcées ?
La CNIL ne pouvant pas prononcer d’amendes à l’encontre de l’Etat français, elle a prononcé un rappel à l’ordre à l’encontre du ministère de l’Intérieur pour les motifs suivants :
- La gravité du manquement relatif à la licéité des traitements ;
- Les personnes concernées étaient privées de l’ensemble des garanties dont elles auraient dû bénéficier, comme une information relative aux traitements ainsi que sur l’exercice de leurs droits ;
- Les risques importants pour les droits et libertés des personnes ;
- Les évolutions technologiques rendent les drones de plus en plus discrets avec des capacités augmentées de captation par leurs caméras ce qui ne permet pas aux personnes de prendre conscience de la captation de leur image ;
- Le perfectionnement des technologies telles que la reconnaissance faciale, couplées à l’utilisation de drones, pourraient entrainer des risques encore plus importants pour les droits et libertés individuelles à l’avenir. Leur déploiement en dehors de tout cadre légal doit être sévèrement sanctionné.
La CNIL a également prononcé à l’encontre du ministère de l’Intérieur une injonction de cesser, sans délai, toute utilisation de drone jusqu’à ce qu’un cadre normatif autorise un tel traitement de données personnelles ou jusqu’à ce qu’un système technique empêchant toute identification des personnes soit mis en œuvre.
Alors que dans ses observations le ministère de l’Intérieur a déclaré que la publicité de la décision n’apparaissait pas nécessaire, la CNIL en a décidé autrement en précisant que « le public a démontré, au cours des derniers mois, un intérêt légitime pour les questions relatives au traitement de ses données à caractère personnel par l’État. La publicité d’une décision de sanction par l’autorité spécialement chargée de la protection des données à caractère personnel apparaît ainsi pleinement justifiée. »
Qui est concerné par cette sanction et cette injonction ?
Elles visent l’utilisation des drones sur le territoire français par l’ensemble des forces de l’ordre qui relèvent de l’autorité du ministère de l’Intérieur, à savoir les services de police ou de gendarmerie.
Quid de la Belgique ?
Comme nous l’avions abordé dans une récente news, l’utilisation des drones en Belgique par la police est autorisée, mais conditionnée au respect de conditions strictes.
