Utilisation de drones avec caméras, la CNIL sanctionne

Dans le cadre du premier confinement débuté en mars 2020, les services de police et de gendarmerie français ont utilisé des drones équipés de caméras pour veiller au respect des mesures mises en place. Ces équipements permettaient non seulement de constater la présence de personnes dans les espaces publics, mais ils transmettaient également des images en haute définition sur lesquelles il était possible d’identifier clairement chaque individu. Or, toute donnée permettant l’identification des personnes est considérée comme une donnée personnelle, et à ce titre doit être traitée en respectant les obligations mises en place par la loi relative à l'informatique, aux fichiers et aux libertés du 6 janvier 1978 et le règlement général sur la protection des données (RGPD) du 27 avril 2016 notamment.

Le ministère de l’Intérieur a-t-il respecté les obligations en matière de traitement des données personnelles lors de l'utilisation des drones équipés de caméras ? C’est la question que s’est posée la CNIL.

Des manquements clairement établis

Avant de prendre sa décision, la CNIL a vérifié les mesures prises par le ministère de l’Intérieur pour utiliser les drones et traiter les données personnelles collectées par les caméras aéroportées. Au terme de cette procédure de vérification, la CNIL a mis en avant plusieurs manquements de la part du ministère de l’Intérieur.

Les drones avec caméras permettant de capter des images sur lesquelles les personnes étaient identifiables, ont été utilisés alors qu’aucun texte n’autorisait une telle captation.
Le ministère n'a réalisé et n'a communiqué à la CNIL aucune analyse d’impact du dispositif avant d'utiliser les drones.
Le public n'a pas été informé de l’utilisation des drones équipés de caméras.

Face à ces constats, le ministère de l'Intérieur a précisé qu’il avait développé un mécanisme permettant de flouter les images des personnes.

La CNIL a cependant rappelé que ce mécanisme de floutage ne permettait pas au ministère de l’Intérieur de respecter les obligations imposées pour le traitement des données personnelles et ce, pour plusieurs raisons.

Le mécanisme de floutage n’a été mis en place qu’au mois d’août 2020, et non dès le début de l’utilisation des drones avec caméras en mars 2020.
Le floutage n’était pas directement réalisé par le drone. Le ministère de l'Intérieur collectait des images non floutées permettant l’identification des personnes, puis il les traitait avec un système de floutage.
Le floutage n'était pas automatique et pouvait être désactivé à tout moment.

Le ministère de l’Intérieur sanctionné

Au regard des manquements avérés dans le traitement des données personnelles, la CNIL a sanctionné le ministère de l’Intérieur par une délibération de sa formation restreinte du 12 janvier 2021. Elle a prononcé à l’encontre du ministère de l'Intérieur :

Un rappel à l’ordre pour les manquements aux articles 89, 90 et 104 de la loi Informatique et Libertés,
Une injonction de se mettre en conformité avec les obligations de cette même loi,
Une obligation d'arrêter l’utilisation de drones équipés de caméras jusqu’à ce qu’un texte autorise le traitement de données personnelles, ou jusqu’à ce qu’un système empêchant l'identification des personnes soit mis en œuvre.
La publication de la décision.

Bon à savoir : la proposition de loi relative à la sécurité globale en cours d’examen au Parlement, vise notamment à remédier au vide juridique actuel concernant la gestion des données personnelles issues de la captation d’images par des caméras aéroportées.

Cette mesure prise par les autorités dans le cadre de l'épidémie de Covid-19 n'est pas la seule à avoir été remise en cause par les juridictions. Tel a également été le cas des restrictions imposées pour les personnes décédées du virus.

Emmanuelle Rouquette - Rédactrice juridique