N° de la saisine : n° 26003301	Thématiques : caméras individuelles, caméras aéroportées
Organisme(s) à l’origine de la saisine : ministère de l’intérieur	Fondement de la saisine : article 8, I, 4°, a) de la loi « informatique et libertés »

L’essentiel :

1.La CNIL a été saisie en extrême urgence du projet de loi renforçant la sécurité du quotidien qui vise notamment à modifier le cadre juridique applicable à certains dispositifs vidéo et à en autoriser de nouveaux.

2.Concernant l’aménagement de la procédure d’autorisation d’utilisation des drones par les forces de sécurité et par certains militaires face à une situation d’urgence caractérisée, elle estime que les mentions figurant dans la demande d’autorisation et la durée maximale de l’autorisation accordée devront être précisées.

3.Elle constate le déploiement toujours plus vaste de caméras individuelles qui, avec ce projet de loi, concernerait également des acteurs privés. La multiplication de ces dispositifs, au vu des enjeux qu’ils emportent pour les libertés individuelles et publiques, devrait être strictement limitée aux agents intervenant dans le secteur de la sécurité.

4.Concernant l’expérimentation de traitements algorithmiques sur des caméras de vidéoprotection ou des drones, la CNIL relève que cette durée relativement longue de l’expérimentation conjuguée à un élargissement substantiel de son périmètre matériel et spatial n’est pas sans conséquence et pourrait conduire, en pratique, à pérenniser un dispositif pourtant présenté comme expérimental. Compte tenu de la sensibilité des traitements en cause et de leur impact potentiel sur les libertés publiques, la CNIL souligne l’importance de préciser et de mieux circonscrire le recours à ces dispositifs.

5.Elle relève que l’utilisation des dispositifs LAPI tend à se généraliser et souligne l’importance de ne pas banaliser le recours à ces systèmes de surveillance automatisée dont l’usage doit s’inscrire dans le strict respect du principe de proportionnalité. Dans ce contexte, l’allongement significatif des durées de conservation, notamment portées à un an dans le cadre d’une procédure judiciaire, justifie une vigilance particulière, notamment au niveau des modalités techniques et organisationnelles effectives de mise en œuvre des garanties.

La Commission nationale de l’informatique et des libertés,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;

Après avoir entendu le rapport de M^me Sophie Lambremon, commissaire, et les observations de Monsieur Damien MILIC, commissaire du Gouvernement,

ADOPTE LA DELIBERATION SUIVANTE :

I. La saisine

A. Le contexte de la saisine

Le projet de loi vise à renforcer la sécurité du quotidien. Il a notamment pour objet de modifier le cadre applicable aux caméras aéroportées (notamment les drones) des services de l’État, ainsi que l’introduction pérenne de caméras individuelles pour les agents des douanes, sur le modèle des dispositions applicables à la police nationale et à la gendarmerie nationale. Il introduit également leur déploiement expérimental pour les agents privés de sécurité.

Dans le cadre de l’expérimentation des caméras « augmentées » jusqu’au 31 mars 2025 prévue par la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques (JOP) de Paris 2024, le rapport du comité d’évaluation "expérimentation de traitements algorithmiques d’images légalement collectées au moyen de systèmes de vidéoprotection« de janvier 2025 (ci-après »le rapport du comité d’évaluation") a dressé un bilan mitigé des dispositifs algorithmiques mis en œuvre lors des expérimentations pour les JOP 2024. La prolongation de cette expérimentation jusqu’en 2027, initialement insérée dans la loi n° 2024-147 du 17 février 2024 renforçant la sûreté dans les transports, a été censurée par le Conseil constitutionnel au motif de l’absence de lien, même indirect, avec l’objet du texte dans lequel elle était insérée (Cons. Const., 24 avril 2025, loi relative au renforcement de la sûreté dans les transports, DC n° 2025-878, considérant sur le « cavalier législatif »). Cette prolongation jusqu’au 31 décembre 2027 a été reprise dans le projet de loi relatif à l’organisation des jeux Olympiques et Paralympiques d’hiver 2030 (JOP 2030).

Par ailleurs, la loi relative à la responsabilité pénale et à la sécurité intérieure avait introduit, dans sa version initiale, la possibilité pour certains services de l’État de déployer immédiatement des caméras aéroportées, sans autorisation préalable du préfet et pour une durée maximale de quatre heures, en cas d’urgence résultant d’une exposition particulière et imprévisible ou à un risque d’atteinte caractérisée aux personnes ou aux biens. La CNIL avait alors rappelé la nécessité de garanties fortes encadrant ces dispositifs et appelé l’attention du gouvernement sur la nécessité de compléter le cadre juridique applicable (CNIL, SP, 8 juillet 2021, délibération, projet de loi responsabilité pénale et sécurité intérieure, n° 2021-078, publié). Ces dispositions ont été censurées par le Conseil constitutionnel, au motif d’un encadrement juridique insuffisant de ce régime dérogatoire au regard des exigences constitutionnelles (Cons. Const., 20 janvier 2022, loi responsabilité pénale et sécurité intérieure, DC, n° 2021-834). Le présent projet de texte prévoit un aménagement de la procédure d’autorisation d’utilisation des caméras installées sur des aéronefs par les forces de sécurité intérieure, certains militaires et les agents des douanes face à une situation d’urgence.

Le projet de loi vise également à élargir la liste des infractions pour lesquelles des dispositifs de contrôle automatisé des données signalétiques des véhicules permettant la lecture automatisée des plaques d’immatriculation (LAPI) peuvent être mis en œuvre par les forces de sécurité intérieure et par les douanes, ainsi qu’à étendre la durée de conservation et de consultation des données collectées. Ces modifications des dispositions législatives du code de la sécurité intérieure (CSI) se répercuteront nécessairement par la suite sur le traitement « Système de traitement central LAPI » (STCL) avec lequel ces dispositifs fonctionnent. Il permet la centralisation des informations recueillies par les capteurs LAPI déployés sur l’ensemble du territoire dans une base nationale et de répartir la gestion des alertes en cas de correspondance avec un véhicule enregistré dans un autre traitement, par exemple le fichier des objets et véhicules signalés.

Enfin, le projet de loi vise à simplifier l’usage de la vidéosurveillance en garde à vue ou en retenue douanière, en supprimant l’obligation législative d’enregistrement des séquences vidéo prévue depuis la loi n° 2022-52 du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure (RPSI) aux articles L. 256-1 du CSI.

B. L’objet de la saisine

La CNIL a été saisie par le ministère de l’intérieur, sur le fondement de l’article 8, I, 4°, a) de la loi n° 78-17 du 6 janvier 1978 modifiée, d’une demande d’avis sur le titre III d’un projet de loi renforçant la sécurité du quotidien (articles 7, 7 bis, 9, 9 ter, 11 et 11 bis).

II. L’avis de la CNIL

A titre liminaire, la CNIL relève avoir été saisie, en extrême urgence, et de manière successive (la première saisine étant intervenue le 11 février 2026), de dispositions relatives à des dispositifs vidéo susceptibles d’emporter des incidences significatives sur la vie privée des personnes concernées (caméras mobiles, vidéo-algorithmique). Elle regrette que de ces conditions de saisine ne lui aient pas permis une appréciation pleinement éclairée de l’équilibre ménagé entre les objectifs poursuivis et les atteintes portées aux droits et libertés. Elle observe également que ces conditions de saisine en extrême urgence, qui doivent rester très exceptionnelles, ont tendance à se généraliser en pratique.

A. Sur l’utilisation des caméras aéroportées par les forces de sécurité intérieure, certains militaires et les douanes (article 7)

La loi du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure avait introduit la possibilité pour les services de l’État de déployer immédiatement des caméras aéroportées, en cas d’urgence, sans autorisation préalable du préfet. Ces dispositions ont été censurées par le Conseil constitutionnel du fait d’un encadrement insuffisant au regard des exigences constitutionnelles (Cons. Const., 20 janvier 2022, loi responsabilité pénale et sécurité intérieure, DC, n° 2021-834).

Le projet de loi réintroduit cette possibilité en prévoyant un aménagement de la procédure d’autorisation. Le ministère a indiqué que la procédure d’urgence pourrait être appliquée à des évènements se déroulant le week-end ou la nuit, alors qu’il n’est pas possible de les anticiper.

Cette dérogation serait soumise à une autorisation a priori du représentant de l’État, qui pourrait être obtenue par tous moyens et permettrait le déploiement immédiat du dispositif. La poursuite des opérations au-delà d’une heure à compter de cette première autorisation serait en revanche subordonnée à une autorisation écrite de l’autorité préfectorale, publiée sans délai.

De manière générale, la CNIL rappelle que le recours à ces dispositifs ne peut être admis que sous deux réserves cumulatives : la stricte nécessité de leur usage au regard des objectifs légitimes poursuivis et la proportionnalité des conditions de mise en œuvre de ces dispositifs.

A cet égard, et en premier lieu, la CNIL relève que le recours à cette procédure d’urgence – bien que possible pour l’ensemble des finalités prévues aux I et II de l’article L. 242-5 du CSI – est subordonnée par le projet de loi à l’imprévisibilité du risque, à son caractère grave et imminent, et à la condition que celui-ci concerne la sécurité des personnes, à l’exclusion donc de la sécurité des biens. Ces exigences sont de nature à assurer la proportionnalité des conditions de mise en œuvre de ces dispositifs.

En deuxième lieu, s’agissant des mentions figurant dans la demande d’autorisation, la justification de la nécessité et de la proportionnalité du recours au dispositif, actuellement prévue au IV de l’article L. 242-5, ne figure pas parmi les informations à apporter dans la demande d’autorisation en cas de procédure d’urgence (V de l’article précité).

La CNIL considère que la mention 4° relative aux "circonstances justifiant l’urgence et le risque d’atteinte à la sécurité des personnes" devra nécessairement comprendre la justification de la nécessité et de la proportionnalité du recours au dispositif.

En troisième lieu, s’il prévoit l’obligation pour l’autorité préfectorale de mettre fin à l’autorisation lorsque les conditions ayant justifié le recours à cette procédure d’urgence ne sont plus réunies, le projet de loi ne prévoit pas de durée pour l’autorisation accordée, par écrit, par le représentant de l’Etat territorialement compétent. Le ministère a indiqué que la durée du besoin est difficile à anticiper dans ce cadre.

Compte tenu du caractère dérogatoire de la procédure d’urgence, et afin d’assurer le caractère proportionné à cette procédure, la CNIL estime que le projet de loi devrait prévoir une durée maximale de l’autorisation accordée, au même titre que les autorisations accordées en application du IV de l’article L. 242-5 du CSI.

En dernier lieu, les modalités d’information du public quant à l’emploi de dispositifs aéroportés de captation d’images prévues par le CSI sont applicables, étant précisé que celles-ci prévoient que « lorsque les circonstances l’interdisent ou que cette information entrerait en contradiction avec les objectifs poursuivis », cette information n’aura pas lieu.

Le projet de loi prévoit la publication de l’autorisation délivrée par l’autorité préfectorale dans un délai maximal de douze heures suivant sa signature.

En complément, la CNIL prend acte de ce que sont prévues une information du public sur l’emploi possible de ces dispositifs en situation d’urgence (site internet du ministère), ainsi qu’une information de la population, en même temps que la publication de la décision écrite effectuée dans un délai maximal de douze heures à compter de sa signature (publication sur le site web de la préfecture ou recueil des actes administratifs).

B. Sur les caméras individuelles des agents des douanes (article 9)

L’article 9 du projet de loi prévoit l’introduction pérenne de caméras individuelles pour les agents des douanes.

Le ministère considère qu’il n’est pas nécessaire de prévoir une expérimentation préalable dans la mesure où les agents des douanes ont un statut et des prérogatives analogues à ceux des agents de police et de gendarmerie nationales, qui disposent actuellement de caméras individuelles. De plus, les caméras individuelles des agents des douanes poursuivront les mêmes finalités que celles de agents de la police et la gendarmerie nationales.

Pour l’ensemble des dispositifs de caméras individuelles, une expérimentation préalable avait été prévue par une loi. A l’issue d’un rapport d’expérimentation, ces dispositifs ont pu être pérennisés dès lors que ces dispositifs avaient démontré une réelle nécessité opérationnelle et efficacité, dans le respect des libertés individuelles des personnes concernées. Les éléments tirés des expérimentations antérieures sont de nature à permettre d’adapter sans nouvelle expérimentation.

C. Sur les caméras individuelles des agents privés de sécurité (article 11)

L’article 11 du projet de loi prévoit une expérimentation de trois ans de caméras individuelles pour les agents exerçant les missions prévues au 1° de l’article L. 611-1 du CSI, à savoir : « fournir des services ayant pour objet la surveillance humaine ou la surveillance par des systèmes électroniques de sécurité ou le gardiennage de biens meubles ou immeubles ainsi que la sécurité des personnes se trouvant dans ces immeubles ou dans les véhicules de transport public de personnes ».

Les agents concernés par ce dispositif sont ceux qui exercent dans des lieux particulièrement exposés à des risques d’agression ou de vols (agents assurant la sécurisation des transports collectifs de voyageurs, agents des établissements de nuit ou encore agents exerçant des activités de sécurité dans l’évènementiel). Le projet de loi ne comporte pas une définition précise des lieux concernés et renvoie à un décret en Conseil d’Etat la fixation d’une liste des activités pour lesquelles, eu égard aux risques associés, les agents concernés seront autorisés à être équipés de tels dispositifs.

Les enregistrements ont pour finalités la prévention des incidents au cours de l’exercice des missions de ces agents, la protection de leur intégrité physique et, le cas échéant, pourront servir de preuve lorsque des infractions pénales sont commises à l’occasion de ces incidents. Les enregistrements ne peuvent avoir lieu qu’à l’intérieur des bâtiments et installations dont les agents ont la garde et à leurs abords immédiats. Ces enregistrements peuvent aussi avoir lieu sur la voie publique dans le cas prévu au second alinéa de l’article L. 613-1 du CSI ("missions, même itinérantes, de surveillance contre les vols, dégradations effractions et actes de terrorisme visant les biens dont ils ont la garde").

Les employeurs des agents de sécurité concernés seront les responsables du traitement lié à la captation audiovisuelle effectuée par les caméras individuelles de leurs agents.

Il résulte des finalités du dispositif envisagé, et des missions confiées aux agents de sécurité privés, que le régime juridique applicable sera le RGPD.

La CNIL constate le déploiement toujours plus vaste de caméras individuelles (police, gendarmerie, garde-champêtres, douaniers, pompiers) qui, avec ce projet de loi, concernerait également des acteurs privés. Si les justifications invoquées (prévention des incidents, protection de l’intégrité physique ou encore preuve en cas d’infractions pénales) apparaissent légitimes, le recours à ces dispositifs, au vu des enjeux qu’ils emportent pour les libertés individuelles et publiques, devrait rester strictement limité aux agents exerçant leur activité dans des lieux particulièrement exposés à des risques d’agression ou de vols.

En tout état de cause, la CNIL prend acte des garanties suivantes :

• les agents auxquels les caméras individuelles sont fournies ne peuvent avoir accès directement aux enregistrements auxquels ils procèdent ;
• la transmission en temps réel des images dans certaines circonstances n’est pas prévue dans le cadre de ce dispositif expérimental.

Les modalités d’application de cet article 11 seront définies dans un décret pris après avis de la CNIL. Ce décret devrait préciser notamment les modalités techniques et organisationnelles permettant de garantir l’intégrité des enregistrements. La CNIL invite également le ministère à indiquer l’existence ou non d’une mémoire tampon, ainsi que les modalités d’information.

Enfin, le rapport d’évaluation de l’expérimentation sera rédigé par le ministère de l’intérieur sous sa responsabilité. La CNIL estime que, pour garantir une évaluation objective de l’expérimentation, des experts indépendants pourraient être associés à la rédaction de ce rapport qui devra lui être transmis notamment pour apprécier l’intérêt d’une éventuelle pérennisation.

D. Sur l’expérimentation de dispositifs de vidéo-algorithmique (article 9 ter)

Le projet d’article 9 ter vise à reconduire, jusqu’au 31 décembre 2030, l’expérimentation introduite par l’article 10 de la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques permettant la mise en œuvre, sur les images issues de la vidéoprotection ou captées par des aéronefs (drones), de traitements algorithmiques visant à identifier, en temps réel, des évènements prédéterminés.

Il maintient en grande partie le cadre et les garanties prévues par la loi JOP 2024, renouvelé à l’identique au sein du projet de loi relatif à l’organisation des jeux Olympiques et Paralympiques de 2030 (JOP 2030), mais introduit certaines modifications qui ont pour conséquence d’élargir de manière substantielle les possibilités de déploiement des dispositifs de vidéo-algorithmique. Ce faisant, il modifie d’ores et déjà le régime prévu par le projet de loi JOP 2030 récemment adopté par le Parlement, texte qui fait actuellement l’objet d’une saisine du Conseil constitutionnel.

A titre liminaire, la CNIL rappelle que la vidéoprotection algorithmique ne constitue pas une simple évolution technologique mais un changement d’échelle susceptible de transformer profondément les modalités de surveillance de l’espace public. Les personnes ne sont plus seulement filmées, elles sont analysées de manière systématique afin d’en inférer des informations sur les personnes filmées. Cette transformation renforce les risques pour la vie privée des personnes, en particulier dans l’espace public où s’exercent de nombreuses libertés individuelles (liberté d’aller et venir, d’expression, de réunion, droit de manifester, liberté de culte, etc.).

Sur la durée de l’expérimentation

La CNIL s’interroge sur l’opportunité de reprendre l’expérimentation jusqu’au 31 décembre 2030. Elle prend acte de ce que cette extension vise, selon le ministère, à répondre aux limitations soulignées dans le rapport d’information sénatorial n° 374 sur le bilan de la mise en œuvre de la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024. Elle relève que cette durée relativement longue de l’expérimentation conjuguée à un élargissement substantiel de son périmètre matériel et spatial n’est pas sans conséquence et pourrait et pourrait conduire, en pratique, à pérenniser un dispositif pourtant présenté comme expérimental.

Sur l’extension du périmètre matériel et spatial de l’expérimentation

Le projet de loi élargit de manière substantielle le périmètre matériel et spatial de l’expérimentation.

S’agissant de l’extension aux évènements au-delà des manifestations sportives, culturelles ou récréatives

Le projet d’article 9 ter élargit le recours à des traitements de vidéoprotection algorithmique au-delà des lieux accueillant des manifestations sportives, culturelles ou récréatives. En effet, il vise les lieux accueillant des événements qui, par l’ampleur de leur fréquentation ou en raison des circonstances, sont particulièrement exposés à des risques d’actes de terrorisme ou d’atteintes graves à la sécurité des personnes (par exemple, des sommets internationaux, des conférences internationales ou des visites officielles).

La CNIL s’interroge sur le caractère nécessaire et proportionné d’une telle extension dès lors que ce type d’évènements fait déjà l’objet de dispositifs de sécurité particulièrement renforcés et diversifiés (présence policière renforcée, drones, caméras individuelles, fichiers des résidents des zones de sécurité). En effet, le rapport du comité d’évaluation de l’expérimentation prévue par la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 a mis en évidence l’intérêt limité du recours à la vidéoprotection algorithmique en cas de forte présence policière.

La CNIL considère, a minima, que ces dispositifs ne devraient être expérimentés que lorsqu’ils sont susceptibles de répondre à des contraintes opérationnelles en particulier lorsque les moyens matériels et humains effectivement mobilisés au regard des besoins de sécurisation de l’événement ne permettent pas d’assurer, à eux seuls, un niveau de sécurisation suffisant. Ces traitements algorithmiques doivent, en tout état de cause, n’être qu’un outil complémentaire au déploiement d’effectifs sur le terrain.

S’agissant de l’extension aux bâtiments et lieux ouverts au public dont la liste est définie par arrêté du ministre de l’intérieur

Le projet d’article 9 ter prévoit désormais que des dispositifs de vidéoprotection algorithmique pourront être déployés dans des bâtiments et lieux ouverts au public qui, par leur nature, sont de façon permanente ou en raison de circonstances exceptionnelles, particulièrement exposés aux risques rappelés ci-dessus, ainsi qu’à leurs abords. La liste des bâtiments et lieux concernés par l’expérimentation sera définie par arrêté du ministre de l’intérieur.

Le ministère a précisé que :

• la notion d’exposition permanente au risque faisait référence à la nature même du lieu (par exemple, des sites touristiques de renommée mondiale, infrastructures de transport régulièrement ciblées par des actes terroristes, etc.) ;

• la notion de circonstances exceptionnelles renvoie à des évènements qui se seraient déroulés dans un lieu de même nature (par exemple, un établissement scolaire qui fait l’objet de menaces terroristes avérées et qu’il faut protéger provisoirement, une salle de concert, etc.).

Cette évolution conduit donc à une extension notable des endroits susceptibles d’être concernés par l’expérimentation sans qu’il soit possible, à ce stade, d’anticiper avec précision le type de bâtiments et de lieux. En effet, dans un contexte de menaces fortes et protéiformes, cette évolution conduit à permettre le déploiement de dispositifs de vidéoprotection algorithmique sur un nombre très important de sites conduisant à un changement d’échelle important par rapport à la précédente expérimentation que le Parlement entendait renouveler. Or, le fait que le déploiement soit circonscrit à des lieux précis et pour un temps limité constituait des garanties que la CNIL avait relevées dans son avis relatif à l’article 10 de la loi du 19 mai 2023 (CNIL, SP, 8 décembre 2022, délibération, projet de loi jeux Olympiques et Paralympiques de 2024, n° 2022-118, publié).

Compte tenu de la sensibilité des traitements en cause et de leur impact potentiel sur les libertés publiques, la CNIL souligne la nécessité de justifier, au cas par cas et de manière circonstanciée, l’ajout de chacun des bâtiments et lieux ouverts au public qui ne répondent pas à des critères permanents d’exposition aux risques sans se limiter à renvoyer à une catégorie générale. Par ailleurs, au-delà de l’information régulière prévue par la loi la CNIL recommande que l’arrêté – et ses modifications – lui soit transmis. Elle souligne l’importance de la transparence à l’égard du public, ainsi que la possibilité pour les personnes d’exercer un recours contre cet arrêté – qui est susceptible de faire l’objet de modifications récurrentes – qui constituent des garanties indispensables pour assurer un équilibre conforme aux exigences en matière de protection des données et de respect de la vie privée.

Sur l’extension des acteurs pouvant déployer des dispositifs de vidéoprotection algorithmique

Le projet d’article 9 ter modifie le premier alinéa du I de l’article 10 de la loi du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 pour prévoir que les événements pouvant être détectés ont vocation à être signalés en vue de la mise en œuvre des mesures nécessaires « par les services de sécurité compétents » en lieu et place de la référence aux « services de la police nationale et de la gendarmerie nationale, les services d’incendie et de secours, les services de police municipale et les services internes de sécurité de la SNCF et de la Régie autonome des transports parisiens dans le cadre de leurs missions respectives ».

La CNIL observe qu’une telle rédaction, moins circonscrite, est de nature à accroître le nombre d’agents susceptibles d’intervenir dans la chaîne opérationnelle et, partant, le nombre de personnes susceptibles d’accéder aux images ou, a minima, aux informations issues des traitements de vidéoprotection algorithmique. Cet élargissement renforce les exigences d’encadrement du nombre d’habilitations octroyées, de traçabilité, de contrôle des habilitations et de formation du personnel comme recommandé dans son précédent avis (délibération n° 2023-068 du 15 juin 2023).

Par ailleurs, s’agissant de l’articulation avec le CSI (notamment l’article R. 253-3) qui limite le visionnage des images de vidéoprotection par les acteurs privés aux abords des lieux ouverts au public, la CNIL prend acte de ce que cette disposition n’a pas vocation à accorder un accès direct des services de sécurité aux images. Elle relève que ces services ne devraient recevoir que des alertes leur permettant de procéder eux-mêmes à la levée de doute, à l’exclusion de toute autre donnée à caractère personnel. La CNIL estime que cette limitation devrait être expressément prévue par la loi et invite le ministère à modifier le projet de loi sur ce point. Cette clarification apparaît essentielle pour prévenir toute extension indirecte des droits d’accès aux images et garantir le respect du cadre légal applicable.

Sur la possibilité de recourir aux traitements algorithmiques au moyen de drones

Par ailleurs, l’expérimentation sera également applicable aux dispositifs aéroportés prévus à l’article L. 242-5 du CSI, comme le prévoyait le cadre expérimental précédent, récemment renouvelé par le projet de loi relatif à l’organisation des jeux Olympiques et Paralympiques de 2030.

En raison de la maturité insuffisante des solutions techniques, il avait été décidé de renoncer à la possibilité de recourir aux traitements algorithmiques des images collectées au moyen de drones pendant les jeux Olympiques et Paralympiques de 2024. Le ministère a indiqué que cette nouvelle expérimentation devrait permettre de recourir à ces dispositifs et de les tester.

En premier lieu, la CNIL rappelle que les risques sont accrus lorsque les traitements algorithmiques sont utilisés sur des images provenant de caméras installées sur des aéronefs, qui sont eux-mêmes des dispositifs mobiles, discrets et dont la position en hauteur leur permet de filmer des lieux difficiles d’accès voire interdits aux caméras classiques (CNIL, SP, 8 décembre 2022, délibération, projet de loi jeux Olympiques et Paralympiques de 2024, n° 2022-118, publié). Elle prend acte de ce que la procédure d’urgence concernant les drones et proposée dans le cadre de ce projet de loi n’a pas vocation à s’appliquer aux dispositifs de vidéoprotection algorithmique et invite le ministère à le préciser explicitement dans le projet de loi.

En second lieu, pour les caméras aéroportées, l’autorisation préfectorale est délivrée pour la même durée que l’autorisation prise sur le fondement de l’article L. 242-5 du CSI. La CNIL considère que la durée d’autorisation proposée (3 mois renouvelables) devrait être davantage proportionnée au regard de leur caractère plus intrusifs. Elle suggère donc une durée fixée à un mois renouvelable.

Sur les garanties complémentaires nécessaires au regard de l’expérience acquise et des constats établis par le rapport du comité d’évaluation de l’expérimentation lors des jeux Olympiques et Paralympiques de 2024

La CNIL relève que les enseignements issus du rapport du comité d’évaluation de l’expérimentation lors des jeux Olympiques et Paralympiques de 2024 appellent à une appréciation renouvelée du dispositif et, le cas échéant, à des évolutions supplémentaires du projet de loi.

En premier lieu, il ressort en particulier de ce rapport que plusieurs cas d’usage prévues par le décret n° 2023-828 du 28 août 2023 n’ont pas présenté un niveau de performance satisfaisant. Des occurrences significatives de faux positifs ont été constatées, ainsi que des limites dans la fiabilité des détections selon les types de lieux et les contextes d’utilisation, notamment s’agissant de la détection des objets abandonnés, d’armes, de la présence d’une personne au sol à la suite d’une chute et des départs de feu.

Ces constats conduisent la CNIL à estimer que la poursuite et l’extension du dispositif ne saurait intervenir sans un réexamen approfondi des cas d’usage autorisés. À cet égard, il apparaît souhaitable que les expérimentations futures se concentrent sur les cas ayant effectivement démontré une certaine fiabilité et leur pertinence opérationnelle, afin de garantir le respect des principes de nécessité et de proportionnalité.

En deuxième lieu, compte tenu de la diversité des contextes d’utilisation et des lieux de déploiement, la CNIL appelle l’attention du ministère sur l’importance des procédures de tests et de calibrages, en amont, qui devraient permettre de garantir des niveaux de performances techniques et opérationnelles satisfaisants. Elle souligne toutefois que lorsque des phases de calibrages et de tests ont été correctement réalisées initialement, les phases de vérification peuvent être réduites dans le cadre de la remobilisation du dispositif a posteriori ; ce qui devrait permettre une durée d’autorisation restreinte.

Enfin, le rapport d’expérimentation du comité d’évaluation a mis en lumière des insuffisances dans l’information délivrée aux personnes concernées (format des affiches de taille modeste et manque de lisibilité, pictogrammes peu évocateurs, etc.). Il en résulte notamment des remontées particulièrement faibles du public tout au long de l’expérimentation (s’agissant des demandes d’exercice du droit d’accès ou même de demandes d’information).

L’information des personnes est un élément essentiel pour assurer la loyauté des traitements. La CNIL considère, en conséquence, que les modalités d’information du public devraient être sensiblement renforcées, tant en ce qui concerne la clarté des dispositifs de signalétique que la mise à disposition d’informations accessibles et compréhensibles sur les finalités, le fonctionnement général des traitements et les droits des personnes (CNIL, SP, 8 décembre 2022, délibération, projet de loi jeux Olympiques et Paralympiques de 2024, n° 2022-118, publié). Une amélioration tangible de l’information apparaît comme une condition essentielle de la légitimité et de l’acceptabilité du recours à de tels dispositifs.

E. Sur la modification du cadre juridique applicable aux dispositifs LAPI prévus au CSI (article 7 bis)

Le projet de loi prévoit d’élargir le champ infractionnel pour lequel les dispositifs LAPI prévus au CSI peuvent être mis en œuvre par les services de police et de gendarmerie nationales et des douanes et les durées de conservation des données collectées par ces dispositifs.

S’agissant du champ infractionnel, la CNIL relève que la liste des infractions demeure limitative. Les infractions suivantes sont ajoutées :

• les infractions de vol aggravé et de recel (articles 311-1 à 311-11 du code pénal) ;
• les infractions d’évasion réalisées par violence, effraction ou corruption (articles 434-27 à 434-37 du code pénal) ;
• les infractions d’escroquerie (articles 313-1 à 313-3 du code pénal) ;
• les infractions de soustraction de mineurs prévues aux articles 227-8 à 227-10 du code pénal ;
• les infractions d’aide à l’entrée et au séjour irréguliers prévues et réprimées par les articles L. 823 1 à L. 823 3 du code de l’entrée et du séjour des étrangers et du droit d’asile.

La CNIL observe que, d’une part, ces infractions sont d’une particulière gravité, en ce qu’elles sont punies d’au moins cinq ans d’emprisonnement (à l’exception des infractions de soustraction de mineurs qui, dans certains cas, sont punies d’une peine d’emprisonnement de trois ans mais qui revêtent un niveau de gravité important car concernent des mineurs), d’autre part, leur ajout est justifié par les nécessités opérationnelles rencontrées par les forces de sécurité intérieure et les douanes dans l’exercice de leurs missions.

La CNIL relève toutefois que l’utilisation des dispositifs LAPI, initialement utilisés pour lutter contre le terrorisme et la criminalité organisée, tend à se généraliser. Dans ce contexte, elle souligne l’importance de ne pas banaliser le recours à ces systèmes de surveillance automatisée dont l’usage doit s’inscrire dans le strict respect du principe de proportionnalité.

Les durées de conservation des données collectées par les capteurs LAPI sont substantiellement modifiées.

Actuellement les données sont conservées quinze jours ou un mois en cas de rapprochement positif avec les traitements FOVeS et N-SIS. Le projet prévoit d’étendre à un an la durée de conservation des données, tout en limitant leur consultation à un mois pour les finalités de police administrative (terrorisme) par les forces de sécurité intérieure et les douanes. Cette durée serait néanmoins portée à un an en cas de consultation à des fins judiciaires, sur autorisation d’un magistrat.

Selon les éléments transmis par le ministère, l’allongement des durées de conservation répond à un besoin pour les forces de sécurité. Elles disposeraient ainsi d’une latitude temporelle supplémentaire pouvant être bénéfique à l’élucidation de leurs affaires. Cet allongement s’inspire des durées pratiquées en Belgique et permettrait de pallier le délai d’inscription dans les fichiers permettant un rapprochement (FOVeS et N-SIS) ; le ministère indiquant que la durée de deux semaines ne permet souvent pas d’obtenir un rapprochement, sans pour autant fournir une justification chiffrée.

La CNIL prend acte de ce que cet allongement des durées de conservation se répercutera sur le « Système de traitement central LAPI » STCL (CNIL, SP, 13 juin 2024, délibération, projet d’arrêté portant création du traitement STCL, n° 2024-042, publié) dont la modification du décret devra faire l’objet d’une saisine pour avis.

A cet égard, la CNIL rappelle, comme elle l’avait fait dans sa délibération précitée, que les conditions de mise en œuvre et la densité de ces dispositifs LAPI fonctionnant avec le traitement STCL doivent faire l’objet d’une attention toute particulière, notamment en raison de l’ampleur de ce traitement et de ses impacts potentiels sur la vie privée.

L’allongement significatif des durées de conservation, portées à un an dans le cadre d’une procédure judiciaire, justifie à ce titre une vigilance particulière, a fortiori, dans la mesure où, selon les éléments transmis par le ministère, il conduirait à conserver environ 700 millions de plaques d’immatriculation (ces données peuvent inclure notamment les photographies de plaques d’immatriculation, mais aussi des véhicules concernés et leurs éventuels occupants, avec des éventuels doublons).

Si elle accueille favorablement la garantie selon laquelle les accès au-delà d’un mois sont conditionnés à l’autorisation d’un magistrat et limité aux officiers et agents de police judiciaire ainsi qu’aux agents des douanes investis de missions de police judiciaire, la CNIL souligne l’importance, de prévoir les modalités techniques et organisationnelles effectives de mise en œuvre de ces garanties (par exemple, ségrégation des données en fonction de leur durée de conservation et du cadre juridique applicable, habilitations et lien avec une procédure judiciaire existante, modalités d’autorisation).

Enfin, la CNIL appelle la vigilance du ministère sur le renforcement nécessaire des mesures de sécurité notamment afin de prévenir le risque de toute violation de données et de garantir la ségrégation effective des accès entre les finalités de police administrative et judiciaire.

F. Sur les nouvelles modalités de l’usage de la vidéosurveillance en garde à vue ou en retenue douanière (article 11 bis)

Le projet de loi vise à supprimer l’obligation d’enregistrement des séquences vidéo, prévue à l’article L. 256-3 du CSI. L’objectif avancé est de pallier les difficultés techniques et opérationnelles rencontrées par les services de la police et de la gendarmerie nationales en matière d’enregistrement et de conservation des images de vidéosurveillance captées dans les cellules.

Du point de vue de la protection des données personnelles, la CNIL relève que la finalité poursuivie par ce dispositif de vidéosurveillance n’est pas modifiée. Dès lors que ce traitement n’a pas pour objet l’enregistrement vidéo à des fins de collecte de preuve, la seule captation d’images en temps réel permettrait d’assurer la poursuite de la finalité de police administrative visant à la prévention de l’évasion et des menaces sur les personnes ou sur autrui. S’agissant de l’utilité de l’enregistrement obligatoire d’un point de vue probatoire et de la portée de cette disposition au regard des droits des détenus, la CNIL en renvoie l’appréciation aux autorités compétentes, notamment le Contrôleur général des privations de libertés, dans la mesure où cette question ne relève pas de sa compétence.

Elle prend acte de la modification des articles L. 256-1, L. 256-2 et L. 256-4 du CSI visant à supprimer les garanties entourant précédemment l’enregistrement par cohérence, et notamment l’exercice des droits et l’information sur ces enregistrements. A toutes fins utiles, la CNIL prend acte de ce qu’aucun traitement algorithmique d’analyse automatisée des images (« vidéo augmentée ») ne serait ajouté à ce dispositif de vidéosurveillance.

Elle rappelle qu’elle devra être saisie, sur le fondement de l’article 31 ou 89 selon le cas de la loi « informatique et libertés », de la modification des dispositions réglementaires d’application relatives aux traitements « VidéoGAV » et « iGAV » (pour ce qui est du registre dématérialisé de garde à vue) afin de tirer les conséquences de cette adaptation.

La présidente,

M.-L. Denis