Suite à la publication de plusieurs articles de presse faisant état de l’utilisation par les forces de l’ordre de drones équipés d’une caméra afin de notamment veiller au respect des mesures de confinement, la présidente de la CNIL a sollicité du ministère de l’intérieur des explications.

Le ministère décide de ne pas faire suite au courrier et la CNIL fait alors application de son pouvoir de contrôle afin de vérifier le respect de l’ensemble des dispositions du RGPD (Règlement 2016/679), de la loi Informatique et Libertés (n°78/17) et de la directive police-justice (Directive 2016/680) par le ministère.

Alors que le ministère considère dans un premier temps que le vol des drones ne donnait lieu à aucun traitement de données personnelles, « les personnes n’étant pas identifiables », la CNIL relève les capacités de zoom et la qualité de résolution de la caméra du drone en sollicitant la réalisation d’un vol d’essai.

La constatation de la CNIL est sans appel : les capacités techniques de la caméra sont telles que l’utilisation du drone donne lieu à un traitement de données personnelles dès lors que des personnes sont filmées dans des conditions permettant leur identification.

Le ministère ne pouvait ignorer que l’utilisation de ces caméras de surveillance constituait un traitement de données personnelles tant cela a été affirmé clairement à plusieurs reprises.

En effet, la CJUE reconnaissait dès 2014 que « l’image d’une personne enregistrée par une caméra constitue une donnée à caractère personnel […] dans la mesure où elle permet d’identifier la personne concernée » (CJUE, 11 décembre 2014, Ryneš, affaire C-212/13).

Dans le même sens, les lignes directrices 3/2019 du CEPD disposent clairement que « la surveillance systématique et automatisée d’un espace spécifique par des moyens optiques ou audiovisuels […] entraîne la collecte et la conservation d’informations picturales ou audiovisuelles sur toutes les personnes entrant dans l’espace surveillé qui sont identifiables sur la base de leur apparence ou d’autres éléments spécifiques ».

Enfin, le Conseil d’Etat avait déjà considéré en début d’année que le dispositif de captation d’images par drone du ministère constituait bien un traitement de données à caractère personnel, l’Etat ayant alors été enjoint de cesser sans délai leur utilisation (Conseil d’Etat, 18 mai 2020, n°440442 et 440445).

L’autorité balaye par ailleurs rapidement le second argument du ministère indiquant qu’un système de floutage mis en œuvre excluait tout traitement de données personnelles, en ce que la CNIL n’a constaté aucun dispositif de la sorte lors de son contrôle et qu’en tout état de cause ce dispositif est incompatible avec le pilotage du drone.

La position de la CNIL est sans appel, le ministère traite des données personnelles en faisant voler ses drones de surveillance.

Problème étant que le traitement n’est prévu par aucune disposition législative ou réglementaire, et plus précisément par aucun décret en Conseil d’Etat pris après avis motivé et publié de la CNIL s’agissant d’un traitement de données sensibles puisque des données relatives aux opinions politiques et/ou aux convictions religieuses peuvent être collectées par le drone.

Par ailleurs, aucune analyse d’impact n’a été réalisée et transmise à la CNIL avant la mise en œuvre du traitement, et les personnes concernées n’ont évidemment pas eu communication des informations relatives au traitement des données les concernant lors de leur collecte.

Les manquements relevés par la CNIL sont nombreux et les risques pour les droits et libertés des personnes sont réels au regard des caractéristiques des drones qui sont capables de filmer dans des résolutions importantes, en tout lieu et à tout moment, généralement à l’insu de personnes n’étant pas conscientes de leur présence. Ainsi, ces captations peuvent notamment avoir lieu lors de manifestations, occasions au cours desquelles les opinions politiques, les convictions religieuses ou philosophiques, ou leur appartenance syndicale, sont susceptibles d’être révélées.

La CNIL décide alors d’exercer son faible pouvoir de sanction à l’encontre du ministère en prononçant un rappel à l’ordre ainsi qu’une injonction de mettre en conformité les traitements concernés, mais surtout en rendant publique sa décision.

Conscient de son impunité, le ministère indiquait dans ses observations à la CNIL que « l’injonction de cesser l’usage des drones n’est pas envisageable, cet usage constituant désormais une nécessité opérationnelle indéniable ».

Le Conseil d’Etat et la CNIL n’ayant visiblement pas d’effet sur les pratiques du ministère de l’intérieur, un recours individuel devant la Cour Européenne des Droits de l’Homme pour violation de l’article 8 de la CEDH, pourrait changer la donne.

Florian Viel, juriste données personnelles au sein du cabinet Bouchara & Avocats