| N° de demande d'avis : 25006925.
N° d'acte réglementaire unique : RU-83. |Thématiques : drones, sécurité, installations militaires.| |:------------------------------------------------------------------------------------|:--------------------------------------------------------| |Organisme à l'origine de la saisine : ministère des armées, ministère de l'intérieur.| Fondement de la saisine : article 31. |

L'essentiel :

1. Ce projet d'acte réglementaire unique a pour objet de fixer un cadre juridique unique pouvant couvrir l'ensemble des traitements de données à caractère personnel provenant de caméras installées sur des aéronefs et mis en œuvre afin de garantir la protection des installations militaires, ainsi que la sécurité des équipements et des personnels qui y travaillent.
2. La CNIL estime que ces traitements sont proportionnés et légitimes au regard de la finalité poursuivie. Elle prend acte de ce que le survol assorti d'une captation vidéo ne sera mis en œuvre qu'au-dessus des installations militaires et des bordures intérieures et extérieures de leurs enceintes, et accueille favorablement la diffusion d'une doctrine d'emploi auprès des militaires chargés de la protection des installations afin que la captation vidéo puisse être réalisée de façon uniforme.

La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (« loi informatique et libertés »), notamment son article 31 ;
Sur la proposition de Mme Isabelle Latournarie-Willems, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :

I. - La saisine
A. - Le contexte

La sensibilité des installations militaires et des activités qui s'y exercent, ainsi que leur superficie, nécessitent un niveau de protection et de sécurité élevé, à la fois au sein de ces installations et à leurs abords.
Plusieurs modalités organisationnelles et techniques permettent d'assurer la sécurité de ces installations, notamment des dispositifs de caméras pour protéger leurs périmètres et des dispositifs biométriques pour en protéger les accès.
En complément des mesures existantes et pour pallier d'éventuels points de vulnérabilité, le projet d'arrêté autorise la mise en œuvre de traitements automatisés de données à caractère personnel captées par des caméras installées sur des aéronefs, tels que des drones.

B. - L'objet de la saisine

La CNIL est saisie d'un acte réglementaire unique (ARU) au sens du IV de l'article 31 de la loi « informatique et libertés ». Cet arrêté-cadre a pour objet de fixer un cadre juridique unique pouvant couvrir l'ensemble des traitements de données à caractère personnel provenant de caméras installées sur des aéronefs et mis en œuvre afin de garantir la protection des installations militaires, ainsi que la sécurité des équipements et des personnels qui y travaillent.
Les services du ministère des armées et de la direction générale de la gendarmerie nationale (DGGN), dans le cadre de ses missions de défense des installations militaires utilisées pour ses propres besoins, pourront se rattacher à ce dispositif par le biais d'un engagement de conformité à l'ARU auprès de la CNIL.

II. - L'avis de la CNIL

A titre liminaire, la CNIL prend acte de l'engagement des ministères de diffuser des informations à destination de l'ensemble des personnels afin que les dispositifs soient déployés partout de façon uniforme et garantissent ainsi un même niveau de protection au regard, notamment, de l'appréciation des finalités du traitement de données à caractère personnel, du mode de collecte de ces données, de leur durée de conservation et de l'information du public. D'une part, s'agissant de la DGGN, une doctrine interne sera établie ; d'autre part, s'agissant du ministère des armées, une note d'information interne et une directive d'application seront diffusées à l'attention des directions et services concernés.

A. - Sur les finalités et le périmètre des traitements

Le projet d'arrêté a pour seule finalité d'assurer la protection des installations militaires, conformément aux dispositions de l'article L. 2364-1 du code de la défense.
La notion d'« installations militaires » recouvre les zones militaires, les zones protégées et les zones de défense hautement sensibles (telles qu'elles sont définies par le code de la défense), mais également des zones temporaires déterminées, le cas échéant, par arrêté préfectoral. Ainsi, il peut s'agir tant d'emprises au sol (terrains et bâtiments), que d'engins en mouvement affectés à l'autorité militaire ou placés sous son contrôle (navires ou convois militaires, par exemple).
La CNIL relève que le survol assorti d'une captation vidéo ne sera mis en œuvre qu'au-dessus des installations militaires et des bordures intérieures et extérieures de leurs enceintes, le cas échéant, tant pour les emprises que pour les installations mobiles, et ce, dans le but d'en assurer la protection optimale.

B. - Sur les données collectées

L'article 2 du projet d'arrêté prévoit que seront enregistrés dans les traitements :

- les images, à l'exclusion des sons, captées par les caméras installées sur des aéronefs ;
- le jour et la plage horaire d'enregistrement ;
- le nom et prénom ou le numéro d'identification administrative du pilote, du télé-pilote ou de l'opérateur ainsi que, le cas échéant, le numéro d'enregistrement de l'aéronef ;
- le lieu ou la zone géographique où ont été collectées les données.

La CNIL relève que la plupart des vols seront réalisés sans enregistrement, celui-ci ne devant être enclenché que pour un intérêt opérationnel, dans l'hypothèse de la détection d'un évènement suspect. La durée d'intervention sera adaptée et proportionnée aux caractéristiques de la menace identifiée.
La CNIL souligne que, conformément aux dispositions de l'article L. 2364-2 du code de la défense, les opérations de captation d'images devront être réalisées de telle sorte qu'elles ne permettent pas de visualiser les images de l'intérieur des domiciles, ni leurs entrées. Ces modalités seront rappelées expressément par la doctrine d'emploi et la directive précitées. Ces dernières rappelleront également que les opérations de captation aéroportée d'images porteront sur les bordures intérieures et extérieures des enceintes militaires, en sorte de ne pas permettre de visualiser la voie publique en champ large.
La CNIL observe que, s'il est prévu de ne capter des images qu'à proximité immédiate des installations militaires, il ne peut être exclu que, de manière incidente, des données sensibles, au sens de la loi « informatique et libertés », puissent être collectées. A cet égard, elle appelle les ministères à une vigilance particulière et prend acte du fait qu'en tout état de cause, les données seront supprimées dans les conditions prévues à l'article 3 du projet d'arrêté.

C. - Sur la durée de conservation

L'article 3 du projet d'arrêté prévoit que les données à caractère personnel enregistrées lors d'une captation vidéo seront conservées pour une durée maximale de trente jours à compter de la fin du déploiement du dispositif, à l'exception de celles conservées dans le cadre d'une procédure judiciaire, administrative ou disciplinaire.
La CNIL rappelle que la durée de conservation de trente jours est une durée maximale, qui doit être appréciée au regard des finalités. En outre, elle recommande la mise en œuvre par les responsables de traitement de solutions automatisées d'effacement des enregistrements vidéo au terme du délai de conservation de trente jours.

D. - Sur les accédants aux données

Le I de l'article 4 du projet dispose que peuvent accéder aux données à caractère personnel et informations, d'une part, les militaires en charge de la sécurité déployés pour les besoins de la protection de l'installation militaire (1°) et, d'autre part (2°) « les responsables des militaires » de ces services ou unités. La CNIL estime que le projet de décret devrait définir plus précisément cette dernière catégorie d'accédants, en désignant les personnes mentionnées au 2° comme « les responsables hiérarchiques des militaires » de ces services ou unités.

E. - Sur l'information du public et les droits de la personne concernée

L'article 6 du projet prévoit les modalités selon lesquelles l'information du public est assurée. La CNIL précise que celle-ci pourra être rendue effective par une série de mesures, notamment : une information générale via le site web du ministère des armées, des affichages publics autour du périmètre des zones militaires, des relais par les services de gendarmerie pour les convois militaires, ou encore, concernant les zones militaires temporaires, l'arrêté préfectoral précisant le périmètre d'intervention, ainsi que la durée pour laquelle celle-ci est instaurée.
Par ailleurs, la CNIL accueille favorablement les modalités prévues par l'article 7 du projet pour l'exercice des droits. Celui-ci précise que les droits d'accès, de rectification et d'effacement s'exercent de manière directe auprès du responsable de traitement, conformément aux dispositions de l'article 119 de la loi « informatique et libertés ».

F. - Sur les mesures de sécurité

S'agissant de la sécurité des traitements projetés, la CNIL relève que des mesures matérielles, logiques et organisationnelles adaptées sont mises en œuvre.