La Commission nationale de l’informatique et des libertés,

Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de décret portant modification du titre IV du livre II du code de la sécurité intérieure ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son titre III ;

Vu la décision du Conseil constitutionnel n° 2021-817 DC du 20 mai 2021 ;

Après avoir entendu le rapport de M^me Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire adjoint du Gouvernement,

Emet l’avis suivant :

La Commission nationale de l’informatique et des libertés (ci-après « la Commission ») a été saisie par le ministère de l’intérieur d’un projet de décret portant modification du titre IV du livre II du code de la sécurité intérieure (CSI) relatif aux caméras individuelles des agents de la police et de la gendarmerie nationales.

La Commission rappelle qu’elle a eu l’occasion de se prononcer, à diverses reprises, sur l’usage de caméras individuelles, pour des finalités similaires. En particulier, elle s’est déjà prononcée, dans sa délibération n° 2016-385 du 8 décembre 2016, sur le décret n° 2016-1860 du 23 décembre 2016 relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des agents de la police nationale et des militaires de la gendarmerie nationale.

L’article 45 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés a modifié l’article L. 241-1 du CSI afin d’intégrer deux nouvelles modalités de consultation des enregistrements effectués par les agents de la police et les militaires de la gendarmerie nationales au moyen des caméras individuelles qui leur sont fournies par leur service : il sera désormais possible de transmettre les images en temps réel au poste de commandement et, dans certains cas, les personnels auxquels les caméras sont fournies pourront avoir accès directement aux enregistrements auxquels ils procèdent dans le cadre d’une procédure judiciaire ou d’une intervention. Cette disposition précise également les conditions selon lesquelles les personnes sont informées de la mise en œuvre de ces caméras.

L’article L. 241-1 du CSI mentionne les finalités du traitement :

• la prévention des incidents au cours des interventions des agents de la police nationale et des militaires de la gendarmerie nationale ;
• le constat des infractions et la poursuite de leurs auteurs par la collecte de preuves ;
• la formation et la pédagogie des agents.

Si les finalités ne sont pas limitées à la prévention des incidents au cours des interventions, il convient de rappeler que l’enregistrement ne peut être déclenché durant une intervention que " lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances de l’intervention ou au comportement des personnes concernées ", ce qui constitue une garantie essentielle apportée pour limiter la prise d’images dans l’espace public par des agents des forces de l’ordre.

Il résulte tant des finalités principalement poursuivies par les dispositifs que des missions confiées aux agents de la police et de la gendarmerie nationales, que les traitements projetés relèvent des dispositions de la directive (UE) 2016/680 du 27 avril 2016 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, telle que transposée au titre III de la loi du 6 janvier 1978 modifiée.

Il est prévu par l’article L. 241-1 du CSI que les modalités d’application du titre IV du livre II du même code et d’utilisation des données collectées sont précisées par un décret en Conseil d’Etat, pris après avis de la Commission.

Ce projet de décret a pour objet de procéder à une évolution réglementaire du CSI :

• il autorise la transmission en temps réel des images captées et enregistrées au moyen de caméras individuelles par les agents de la police et de la gendarmerie nationales au poste de commandement du service concerné et aux personnels impliqués dans la conduite et l’exécution de l’intervention ;
• dans le cadre d’une procédure judiciaire ou d’une intervention, il permet aux agents auxquels les caméras individuelles sont fournies d’avoir accès directement aux enregistrements auxquels ils procèdent ;
• il modifie la liste des accédants et des destinataires des données à caractère personnel conservées dans les traitements ;
• il introduit de nouvelles garanties s’agissant des données collectées et de leur condition de conservation ;
• il procède à la mise en conformité des dispositions réglementaires avec la réglementation relative à la protection des données à caractère personnel et modifie ainsi les droits des personnes ainsi que les modalités de journalisation des opérations effectuées sur le traitement.

Sur la qualité d’acte réglementaire unique du projet de décret

La Commission relève que le projet de décret constitue un acte réglementaire unique, au sens du IV de l’article 31 de la loi du 6 janvier 1978 modifiée, permettant aux agents de la police et de la gendarmerie nationales de procéder, au moyen de caméras individuelles, à des enregistrements pouvant être transmis en temps et prévoyant un accès direct aux images par les agents ayant procédé à l’enregistrement.

Lorsque la Commission est saisie d’une demande d’avis portant sur un « acte réglementaire unique » qui, en application du IV de l’article 31 de la loi du 6 janvier 1978 modifiée, n’autorise pas un traitement particulier mais la mise en œuvre de traitements qui " répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires ", l’analyse d’impact relative à la protection des données (AIPD) ne doit pas porter sur un ou plusieurs traitements particuliers envisagés au moment de la saisine mais évaluer les risques et déterminer les catégories de mesures de nature à les maîtriser pour l’ensemble des traitements autorisés par le projet et susceptibles d’être mis en œuvre après son entrée en vigueur, chaque traitement ne faisant ensuite l’objet que de l’envoi d’un " engagement de conformité " à la Commission. Cette AIPD d’ensemble ou « cadre » (voir CE, int., 8 janvier 2019, n° 396340) peut, le cas échéant, être complétée des AIPD relatives à des traitements spécifiques qui auraient été réalisées à la date de la saisine.

La Commission relève qu’une seule et même AIPD portant sur un ensemble d’opérations de traitement similaires lui a été transmise (AIPD « cadre »), conformément à l’article 90 de la loi du 6 janvier 1978 modifiée.

Sur la transmission en temps réel des enregistrements et l’accès direct aux enregistrements par les agents

En premier lieu, le I du projet d’article R. 241-3 du CSI prévoit que " les images captées et enregistrées au moyen de caméras individuelles peuvent être transmises en temps réel au poste de commandement du service concerné et aux personnels impliqués dans la conduite et l’exécution de l’intervention, lorsque la sécurité des agents de la police nationale ou des militaires de la gendarmerie nationale ou la sécurité des biens et des personnes est menacée ".

La Commission relève que les termes utilisés au I du projet d’article R. 241-3 du CSI constituent une reprise de ceux utilisés à l’article L. 241-1 du CSI.

Elle prend acte de ce que les cas d’usage commandant la transmission en temps réel des enregistrements sont multiples et relèvent de l’appréciation du fonctionnaire ou du militaire qui est sur le terrain. Selon le contexte opérationnel, la transmission des images pourra également être requise par le centre d’information et de commandement ou le centre d’opérations et de renseignement de la gendarmerie (par exemple, lors d’une intervention sur une rixe d’ampleur, pour permettre à la salle de commandement d’apprécier les renforts à déployer, ou un attentat en cours pour contextualiser et obtenir le maximum d’informations afin d’optimiser la gestion de l’évènement). Dans ce cas, la transmission se fera « sur ordre » à la voix, par radio, voire par téléphone, dans les cas où la salle de commandement ou le chef de dispositif estime que la situation nécessite une transmission des images en temps réel, pour permettre une meilleure appréciation de l’évènement et ainsi optimiser sa gestion (renforts, ordre de conduite, etc.). Cette retransmission ne peut être réalisée que par le porteur de la caméra qui appuie sur un bouton de l’appareil prévu à cet effet, et non par l’autorité qui aura donné l’ordre.

La Commission relève qu’il est précisé à l’article 3 du projet de décret que la " sécurité des agents, des biens ou des personnes est réputée menacée lorsqu’il existe un risque immédiat à leur intégrité ". Elle prend acte de ce que le ministère ne souhaite pas limiter la sécurité des agents aux menaces à leur seule intégrité physique dans la mesure où leur sécurité doit également être réputée menacée lorsqu’il existe un risque immédiat d’atteinte à leur intégrité morale ou psychique. Elle souligne toutefois que le critère posé par le décret peut correspondre à un grand nombre de situations, la nécessité de recourir à un enregistrement s’appréciant au cas par cas. A cet égard, elle considère que le risque d’atteinte à leur intégrité devrait être limité aux risques d’atteintes graves. Le ministère indique que chaque responsable de traitement définira, dans des doctrines d’emploi, des critères et cas d’usage pour déterminer les cas où la transmission en temps réel des images est nécessaire. La Commission considère que des typologies de situations et de menaces, ainsi que des critères objectifs pour caractériser le risque, devront être déterminés dans la doctrine d’emploi. En outre, la Commission recommande que cette doctrine d’emploi soit définie au niveau ministériel et non pas au niveau de chaque responsable de traitement.

En second lieu, le II du projet d’article R. 241-3 du CSI prévoit que, dans le cadre d’une procédure judiciaire ou d’une intervention, les agents auxquels les caméras individuelles sont fournies peuvent avoir accès directement aux enregistrements auxquels ils procèdent afin de faciliter la recherche d’auteurs d’infractions, la prévention d’atteintes imminentes à l’ordre public, le secours aux personnes ou l’établissement fidèle des faits lors des compte rendus d’interventions.

Dans sa décision n°2021-817 DC du 20 mai 2021, le Conseil constitutionnel a considéré que ces dispositions ne sauraient s’interpréter que comme impliquant que soient garanties, jusqu’à leur effacement, l’intégrité des enregistrements réalisés ainsi que la traçabilité de toutes leurs consultations. Le décret rappelle ces obligations, qui devront faire l’objet d’une attention particulière lors de la mise en œuvre de ces textes.

Sur les données collectées

L’article 3 du projet de décret modifie l’article R. 241-2 du CSI qui indique les données à caractère personnel et informations qui peuvent être enregistrées dans les traitements.

En premier lieu, la Commission relève que les modifications projetées introduisent de nouvelles garanties s’agissant des données collectées, dans la mesure où il est précisé à l’article R. 241-2 du CSI que, si des données « sensibles », au sens du I de l’article 6 de la loi du 6 janvier 1978 modifiée peuvent être collectées, c’est à l’exception des données génétiques et des données biométriques. Il est par ailleurs prévu qu’il est interdit de sélectionner dans les traitements une catégorie particulière de personnes à partir de ces seules données.

En deuxième lieu, si les enregistrements extraits sont exploités à des fins judiciaire, administrative ou disciplinaire, la Commission prend acte de ce qu’il n’y aura pas de mises en relation automatisées ou d’interconnexions avec d’autres traitements de données à caractère personnel. Elle demande que cette garantie soit précisée dans le projet de décret.

En troisième lieu, il ressort de l’AIPD que des zones de champ libre existeront dans les traitements s’agissant du nom du fichier, dont la nomenclature est définie par la doctrine d’emploi, d’une rubrique « observation » au niveau de chaque vidéo téléchargée et d’une rubrique « note » à chaque extraction de vidéo.

La Commission prend acte des précisions apportées par le ministère relatives à l’objectif poursuivi par les champs « observations » et « note ». S’agissant du champ « observations », le ministère a indiqué que ce champ peut poursuivre trois objectifs : des fins opérationnelles, de formation et techniques. S’agissant du champ « note », le ministère a indiqué que ce champ permet d’indiquer à quel moment de la vidéo a lieu un évènement précis, afin de permettre au visionneur d’aller rapidement à la séquence pertinente sans regarder l’ensemble de l’enregistrement qui peut, dans certains cas, être très long. Il permet également de noter les références de la procédure pour laquelle l’extraction a été faite, et éventuellement d’attirer l’attention d’un service sur le fait qu’un autre service a demandé l’extraction des mêmes images.

La Commission prend acte de ce que ces informations ne peuvent pas être enregistrées sous la forme de menus déroulants et que les doctrines d’emploi préciseront l’interdiction de saisir des données à caractère personnel dans ces rubriques, dont le nombre de caractères sera limité.

Elle estime que ces champs libres pourraient également être pré-renseignés avec une information spécifique relative à la manière dont il convient de les renseigner et rappelle qu’un contrôle strict devra être assuré à ce titre.

En tout état de cause, la Commission demande que ces champs libres ne puissent pas être renseignés par les agents porteurs de la caméra qui ont un accès direct aux enregistrements.

Les autres modifications projetées n’appellent pas d’observation de la part de la Commission.

Dans ces conditions, la Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.

Sur les accédants et les destinataires

La Commission rappelle qu’il résulte de l’article L. 241-1 du CSI que les agents de la police nationale et les militaires de la gendarmerie nationale qui auront été équipés de caméras individuelles seront habilités, lors des procédures judiciaires et interventions, à procéder à des enregistrements, dans les conditions prévues par la loi. Le projet d’article R. 241-3-1 du CSI précise les personnes qui pourront accéder directement aux enregistrements du traitement ou en être destinataires.

Peuvent notamment accéder aux données enregistrées dans les traitements, à raison de leur attribution et dans la limite du besoin d’en connaître :

• le chef du service ou le commandant de l’unité (1° du I du projet d’article R. 241-3-1 du CSI) ;
• les agents ou militaires individuellement désignés et habilités par le chef du service ou le commandant de l’unité (2° du I du projet d’article R. 241-3-1 du CSI).

La Commission considère que les 1° et 2° du I du projet d’article R. 241-3-1 du CSI devraient préciser les services et unités concernés. Elle prend acte de l’engagement du ministère de préciser les dispositions de cet article de la façon suivante : " le chef du service de police ou le commandant de l’unité de gendarmerie ".

S’agissant des destinataires, la Commission rappelle d’abord que, en l’absence de finalités particulières mentionnées à leur égard, les données ne pourront leur être transmises que pour les finalités du traitement, telles que rappelées au point 4 du présent avis.

Le 3° du III du projet d’article R. 241-3-1 du CSI inclut, parmi les destinataires, les agents participant à l’exercice du pouvoir disciplinaire. La Commission prend acte de ce que ces agents sont les chefs de service et les chefs d’unité qui sont habilités à intervenir sur le volet disciplinaire. Elle estime que le projet de décret pourrait être précisé sur ce point et prend acte de l’engagement du ministère de compléter le projet de décret.

Enfin, la Commission relève que les magistrats ne figurent pas au titre des destinataires. Le Gouvernement estime qu’ils n’ont pas à y figurer, dès lors que ces derniers sont considérés comme des tiers autorisés. A cet égard, la Commission rappelle que les tiers autorisés, tels les magistrats, sont effectivement habilités à recevoir communication de données à caractère personnel dans le cadre d’une mission d’enquête. Cependant, comme le rappelle le considérant 22 de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 précitée, cette communication doit intervenir sur demande du tiers autorisé, demande qui est en principe écrite, motivée et précise. La Commission invite le Gouvernement à s’interroger sur l’existence de communication plus large des images aux magistrats, à l’initiative des services utilisant les caméras en cause, et non seulement sur demande d’un magistrat, auquel cas les magistrats pourraient avoir vocation à figurer dans la liste des destinataires.

Sur les transferts de données hors de l’Union européenne

Il ressort de l’AIPD que les données enregistrées dans le traitement peuvent être communiquées, de manière non automatisée, à des organismes de coopération internationale en matière de police judiciaire ainsi qu’aux services homologues ou aux services de police d’un État étranger lorsque ceux-ci représentent un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet ou peuvent faire l’objet.

La Commission prend acte de ce que dans le cadre de la coopération judiciaire, les images pourraient être transmises à des pays tiers hors de l’Union européenne, dans le cadre d’Interpol, mais également dans le cadre d’échanges bilatéraux. Selon le ministère, les outils de coopération policière internationale, notamment par le biais des bureaux centraux nationaux (BCN) permettent le transfert des données à l’international grâce à des messageries sécurisées. En outre, conformément à l’article L. 235-1 du CSI, les enregistrements des caméras individuelles peuvent être communiqués de manière non automatisée à des organismes de coopération internationale en matière de police judiciaire ainsi qu’aux services homologues ou aux services de police d’un État étranger lorsque ceux-ci représentent un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux des personnes à l’égard du traitement dont ces images font l’objet ou peuvent faire l’objet.

La Commission rappelle que les transferts de données vers des Etats n’appartenant pas à l’Union européenne ne pourront être opérés que sous réserve du respect des conditions énoncées à l’article 112 de la loi du 6 janvier 1978 modifiée. Le cas échéant, il conviendra notamment que des garanties appropriées en matière de protection des données à caractère personnel soient fournies par un instrument juridiquement contraignant. En l’absence de décision d’adéquation adoptée par la Commission européenne ou de garanties appropriées, et par dérogation à l’article 112 précité, de tels transferts ne pourront alors être réalisés que sous réserve de respecter les conditions énoncées à l’article 113 de la loi du 6 janvier 1978 modifiée.

Sur les droits des personnes concernées

S’agissant de l’information des personnes concernées, la Commission relève que l’article L. 241-1 a organisé un régime particulier, en prévoyant une information orale, sauf exception, au moment du déclenchement de l’enregistrement, complétée d’une information générale du public sur l’emploi de ces caméras individuelles. Le décret prévoit que cette information est donnée sur quatre sites internet nationaux. La Commission invite le Gouvernement, d’une part, à fournir dans cette information générale tous les renseignements mentionnés à l’article 104 de la loi « informatique et libertés » complétés de tous renseignements utiles au public et, d’autre part, à prévoir également une information sur des sites internet de services administratifs déconcentrés, comme ceux des préfectures. Elle rappelle que cette disposition, si elle ne prévoit pas que l’information soit fournie individuellement à chaque personne en cas de collecte directe, impose au responsable de traitement de la « mettre à disposition » des personnes, de façon permanente et sans demande de leur part. Elle attire donc l’attention sur le fait que la rédaction du décret selon laquelle le droit à l’information " s’exerce auprès " de l’administration semble inappropriée. A cet égard, elle prend acte de l’engagement du ministère d’ajouter un III à l’article R. 241-16 du CSI afin d’indiquer que " Les informations prévues aux dispositions de l’article 104 de la même loi sont mises à disposition des personnes concernées ".

Par ailleurs, la Commission prend acte de ce que le ministère n’entend apporter aucune restriction générale et permanente au droit à l’information des personnes concernées.

Le ministère précise toutefois que des restrictions ponctuelles et temporaires peuvent être apportées, comme le permet l’alinéa 4 de l’article L.241-1 du CSI. Ainsi, l’information sera délivrée oralement aux personnes concernées par l’agent avant le déclenchement de la caméra sauf si :

• la situation laisse craindre un risque immédiat d’atteinte à la vie ou à l’intégrité d’une personne ;
• les agents agissent dans le cadre de l’article 73 du code de procédure pénale (crime ou délit flagrants) ;
• la personne concernée a pris la fuite et ne revient pas sur les lieux de l’intervention.

Cependant, la Commission souligne que le Conseil constitutionnel, dans sa décision du 20 mai 2021 précitée, a relevé que si l’article L. 241-1 du CSI permet que le déclenchement de l’enregistrement puisse, par exception, ne pas faire l’objet de cette information lorsque « les circonstances l’interdisent », ces circonstances recouvrent les seuls cas où cette information est " rendue impossible pour des raisons purement matérielles et indépendantes des motifs de l’intervention ".

Dans ces conditions, la Commission demande que le ministère limite expressément les hypothèses dans lesquelles l’enregistrement est réalisé à l’insu de la personne concernée aux seuls cas conformes à la décision précitée. Si cela semble être le cas d’un risque immédiat d’atteinte à l’intégrité d’une personne ou d’une fuite de l’individu filmé, elle s’interroge sur l’inclusion du critère de la flagrance. Elle considère que le projet de décret devrait comporter les critères repris de la décision du Conseil constitutionnel, qui pourraient être ensuite précisés dans la doctrine d’emploi élaborée par le ministère. La Commission prend acte de ce qu’il n’existera pas de droit des particuliers à demander le déclenchement des caméras et que ces dernières ne peuvent être déclenchées que dans le cadre des dispositions de l’article L. 241-1 du CSI.

En outre, elle relève qu’il ressort de l’AIPD que, si l’intervention l’exige, un mode « sécurité » pourra être activé par l’agent porteur de la caméra, désactivant ainsi les voyants et le signal sonore pour plus de discrétion. Sur ce point, le ministère indique que l’enregistrement est également interrompu par le déclenchement de ce mode, et considère dès lors que l’information des personnes ne serait pas requise. Toutefois, la Commission relève que l’utilisation du mode « sécurité » active la récupération des 30 secondes de mémoire tampon précédant son déclenchement et qu’il y aura bien un traitement de données à caractère personnel par l’enclenchement de ce mode. Par conséquent, les personnes concernées devront être informées. Elle rappelle que le Conseil constitutionnel n’a admis la possibilité de ne pas informer les personnes que pour des raisons purement matérielles. La Commission demande en conséquence la suppression de ce mode « sécurité ».

Sur les mesures de sécurité

La Commission prend acte de ce que le dispositif ne fonctionne qu’avec des ordiphones professionnels spécifiques, dits « NEO » (Nouvel Equipement Opérationnel), qui font l’objet de mesures de sécurité spécifiques.

Le ministère indique que les données (images, son et métadonnées) sont chiffrées sur le dispositif, puis lors de leur transfert puis à nouveau lors du stockage, et ce au moyen d’algorithmes conformes à l’annexe B1 du référentiel général de sécurité (RGS). Le choix de ces chiffrements par morceaux implique que les données seront manipulées en clair à plusieurs étapes. La Commission prend acte de ce que le ministère a pris des mesures organisationnelles (notamment de contrôle d’accès par authentification forte sur la caméra et de journalisation des accès) pour limiter les risques d’atteinte à la confidentialité. Au vu de la nature des données traitées, elle encourage fortement le ministère à effectuer une veille sur les possibilités d’évolutions du système envisagé afin de supprimer ces étapes de déchiffrement intermédiaire qui ne sont pas justifiées par la nécessité de visualiser les données. Par ailleurs, la Commission souligne l’importance de la robustesse des mécanismes de gestion des clés pour se prévaloir du niveau de sécurité que peut fournir ces chiffrements. Elle rappelle qu’elle considère les mécanismes décrits dans l’annexe B2 du RGS comme définissant l’état de l’art en la matière, et considère comme nécessaire qu’ils soient effectivement mis en œuvre par le ministère. Enfin, elle recommande d’auditer les mécanismes de stockage de clé (notamment sur le dispositif) afin de s’assurer de leur robustesse et de la difficulté, pour un tiers, à contourner le chiffrement.

Dans le cadre d’une exportation effectuée dans le cadre légal, le fichier extrait doit être effacé manuellement de l’ordinateur sur lequel l’extraction est faite. La Commission prend acte de ce qu’un contrôle de ces effacements sera effectué périodiquement par l’administrateur. Elle considère qu’un mécanisme (technique ou organisationnel) permettant de s’assurer que le contrôle périodique par l’administrateur a bien lieu devrait être mis en œuvre. En outre, elle recommande au ministère, à moyen terme, d’étudier des solutions alternatives et plus fiables qui permettraient d’automatiser cette suppression. En tout état de cause, elle rappelle au ministère son obligation d’assurer cette suppression effective dans les délais définis.

La Commission prend acte de ce qu’un mécanisme d’authentification par mots de passe correspondant à sa recommandation minimale est prévu pour la connexion au logiciel de gestion ou en salle de commandement. Au vu de la sensibilité des données, elle recommande au ministère de renforcer cette politique d’authentification. Une authentification par carte agent pourrait, par exemple, répondre à cette recommandation.

Sur la journalisation, la Commission estime nécessaire de distinguer deux types de traces :

• tout d’abord, les métadonnées: le matricule (« RIO ») du porteur, le
• par ailleurs, des traces applicatives sont générées au niveau du logiciel de gestion des vidéos afin de tracer les opérations effectuées ainsi que le motif justifiant ces opérations. La Commission rappelle que le traitement de ces données a, en principe, pour seule finalité la détection et la prévention d’opérations illégitimes sur les données principales.

La Commission prend acte de ce que des moyens de contrôle ponctuels, que ce soit par l’autorité hiérarchique directe ou par le bureau de l’audit de la protection et de la gouvernance des données de l’inspection générale de la gendarmerie nationale d’une part, et par les services de l’Inspection générale de la police nationale d’autre part, sont prévus. Cependant, elle considère comme nécessaire que soient prévues des mesures organisationnelles pour compléter cette vérification ponctuelle par une vérification périodique et systématique (par exemple, par la mise en œuvre d’une revue annuelle des traces) afin de valoriser ces données et de contribuer à la détection des comportements anormaux.

Dans ces conditions, la durée de conservation visée de six ans apparaît excessive, particulièrement dans la mesure où aucune valorisation proactive systématique des traces n’est mise en œuvre et aucun risque spécifique d’atteinte à la sécurité n’est identifié justifiant une telle durée. La Commission considère donc que cette durée devrait être réduite. À titre d’information, une durée de trois ans a été considérée comme proportionnée par la Commission dans des dossiers similaires.

Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement semblent conformes à l’exigence de sécurité prévue par l’article 4-6° de la loi du 6 janvier 1978 modifiée.

La Commission rappelle toutefois que cette obligation nécessite la mise à jour de l’AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.

La Présidente

Marie-Laure DENIS