Drones : la CNIL sanctionne le ministère de l’Intérieur pour violation de la loi de 1978

Décision rarissime tombée aujourd’hui. La CNIL sanctionne le ministère occupé par Gérald Darmanin pour l’usage de drones équipés de caméras, qu'aucun texte n'autorise et violant les droits des personnes.

En plein confinement, les autorités de police se sont aidées de ces solutions pour contrôler le respect des règles de confinement. Équipés de caméras, ces drones ont pour vocation d’épauler les agents au sol. En mai 2020, toutefois, le Conseil d’État a enjoint la Préfecture de Police de Paris de cesser d’utiliser ces aéronefs.

Pourquoi ? Tout simplement parce que les caméras embarquées engageaient autant de traitement de données à caractère personnel (visages, plaques d’immatriculation), alors qu’aucun texte ne vient les encadrer, comme l’exige pourtant la loi de 1978 modifiée.

Rebelote en décembre dernier. Saisi par la Quadrature du Net, le Conseil d’État adressait un nouveau missile sol-air, avec dans le viseur cette fois les drones utilisés pour surveiller les populations en dehors du confinement, notamment lors des manifestations.

L’argument technique mis en avant par le ministère n’a pas pesé. Le floutage des images dans les serveurs de la Prefecture n’était qu’un mur de fumée puisque d’une part, les autorités en ont la maîtrise technique et surtout parce que les textes encadrant les traitements réalisés en amont sont toujours aux abonnés absents.

Ce matin, la CNIL vient ajouter sa pierre à l’édifice. Elle sanctionne le ministre de l’Intérieur pour l’usage de ces solutions aériennes, sur l’autel des textes en vigueur, en particulier la directive Police Justice.

• La délibération de la CNIL 

« À la suite du confinement décidé par le Gouvernement au mois de mars 2020, plusieurs articles de presse ont fait état de l’utilisation, par les forces de police (notamment le commissariat de Cergy-Pontoise) et de gendarmerie (notamment le groupement de gendarmerie départementale de Haute-Garonne), de drones équipés d’une caméra afin de veiller au respect des mesures prises dans ce contexte » résume-t-elle en introduction de sa délibération.

Dès le 23 avril, donc bien avant l’arrêt au Conseil d’État, elle adressait un courrier au ministère pour réclamer des précisions sur les éventuels traitements réalisés par ces drones. Chou blanc : l’Intérieur ne prit pas la peine de lui répondre.

Le 7 mai 2020, une procédure de contrôle était lancée. Après l’envoi d’un questionnaire, un contrôle sur place fut initié en juillet 2020. « Ce contrôle a notamment permis à la délégation de contrôle de faire procéder à un vol d’essai d’un drone utilisé par la préfecture de police de Paris ».

L’enquête menée par la rapporteure a relevé les multiples usages de ces drones par les autorités : respect des mesures de confinement, « reconnaissance d’un lieu avant une interpellation, surveillance d’un trafic de stupéfiants », « surveillance de manifestations », « surveillance de rodéos urbains ». Des machines volantes équipées de zoom « pouvant agrandir l’image entre six et vingt fois ».

Alors que le Conseil d’État a confirmé lui aussi l’existence de traitement de données à caractère personnel, le ministère de l'Intérieur a d’abord contesté cette analyse, pour faire valoir ensuite une incertitude juridique, laquelle « démontrait la bonne foi de l’administration », outre qu’un « système de floutage mis en œuvre excluait tout traitement de données à caractère personnel ».

Comme la juridiction administrative, la CNIL va au contraire considérer qu’il y a bien traitement de données à caractère personnel, cette notion étant très largement définie par le règlement général sur la protection des données. Ainsi, pour l’autorité, « toute opération – notamment la captation, la transmission, la modification ou la consultation – portant sur l’image de personnes pouvant être reconnues constitue un traitement de données à caractère personnel ».

Elle a d’ailleurs rappelé à ce ministère de « bonne foi » que la question fut déjà tranchée en 2014 par la Cour de justice de l’Union européenne, en janvier 2020 par le Comité européen de la protection des données, le juge des référés du Conseil d’État dans son ordonnance de mai 2020 et la même juridiction dans son avis sur la proposition de loi sur la sécurité globale.

30 mètres, 12 millions de pixels

Les drones ici en cause « ont volé à une altitude comprise, selon les acteurs, entre 30 et 120 mètres et étaient équipés d’un objectif de 12 millions de pixels pouvant agrandir l’image entre six et vingt fois ».

La délégation de contrôle n’a donc eu aucun mal à estimer que ces moyens permettaient l’identification des personnes. Et l’usage d’un floutage, effectif depuis août 2020, n’y change rien déjà au regard de la situation antérieure, et même postérieurement puisque les images sont d’abord captées en clair.

Pire, « et contrairement aux déclarations faites par le ministère de l'Intérieur durant la séance, il ressort des pièces communiquées en défense, et plus particulièrement de la note relative au floutage intitulée Traitement de flux vidéo provenant des drones, datée du 23 novembre 2020, que les flux floutés peuvent être consultés en clair par les agents de la préfecture de police »

Le ministère viole la loi quand il surveille (mal) son respect par le citoyen

Ainsi, le ministère de l’Intérieur a violé la loi lorsqu’il a voulu contrôler son respect par les citoyens. Au regard des finalités dévolues à ces traitements, la loi de 1978 exige en effet un cadre législatif et réglementaire, ici absent.

Le ministère aurait au surplus dû assortir ces traitements d’une étude d’impact préalable, là aussi absente alors que ces traitements sont « susceptibles d’engendrer un risque élevé pour les droits et libertés »

« Ce risque élevé naît, d’une part, des caractéristiques des drones, qui sont des objets volants embarquant une caméra capable de filmer dans des résolutions importantes, en tout lieu et à tout moment. Ils sont donc capables de filmer toute personne circulant dans l’espace public, de la suivre et de traiter des données personnelles intangibles telles que les traits de son visage ».

D’autre part, l’utilisation des drones lors de manifestations peut révéler les opinions politiques, les convictions religieuses ou philosophiques des personnes, ou leur appartenance syndicale.

« Enfin, le risque est aggravé par le fait que les traitements sont potentiellement mis en œuvre à l’insu des personnes, celles-ci n’étant souvent pas conscientes de la présence de drones, de l’activation de la caméra et de la captation de leur image. Ce risque est à cet égard aggravé, en l’espèce, par l’absence d’information des personnes à l’occasion des vols réalisés ».

Les manquements sont donc multiples et s’étendent évidemment jusqu’à l’obligation d’information des personnes au sol. Elles ignorent en effet l’identité et les coordonnées du responsable de traitement, les coordonnées du délégué à la protection des données, les finalités, leurs droits,… autant de points qui auraient dû être prévus par un texte autorisant ces captations et les opérations ultérieures.

Svp, pas de délibération publique !

Dans le fil de la procédure, le ministère de l’Intérieur a tenté d’éteindre l’incendie, en estimant notamment qu’une simple mise en demeure serait largement suffisante, sans aucune publicité, et donc diffusion publique de la délibération. « La publicité de l’éventuelle mesure à intervenir n’apparaît pas nécessaire ».

Les arguments n’ont pas pesé bien lourd auprès de la CNIL : « les manquements précités justifient que soit prononcé un rappel à l’ordre à l’encontre du ministère de l'Intérieur », déjà parce qu’ils sont graves : pas de base légale, pas de garanties pour les personnes physiques, « la possibilité offerte par ces nouveaux dispositifs d’identifier toute personne circulant sur l’espace public », alors que « les évolutions technologiques rendent les drones de plus en plus discrets avec des capacités augmentées de captation de leurs caméras qui donnent au ministère de l'Intérieur la possibilité de faire voler ses drones à des altitudes de plus en plus importantes, tout en conservant une image d’une grande précision ».

Pour ne rien arranger à son cas, le ministère a indiqué, lors de son audition, « qu’il n’entendait pas renoncer, y compris temporairement, à l’usage de drones équipés d’une caméra », conduisant la CNIL sur la voie de l’injonction, « mesure appropriée pour l’amener à n’utiliser des drones à cet effet que lorsqu’un cadre légal l’y autorisant aura été adopté ».

Au final, le ministre de l’Intérieur écope d’un sec rappel à l’ordre, d’une injonction de mettre en conformité ses traitements et de ne plus aspirer des données personnelles d’ici là. L’autorité a enfin décidé de rendre publique sa décision, contrairement aux vœux du ministère qu’a en charge Gérald Darmanin.

Quid si le ministère fait de la résistance ?

Si les injonctions ne sont pas suivies d’effet, la CNIL pourra à nouveau adresser un rappel à l’ordre ou bien, monter d’un cran et adresser une « information » au Premier ministre « pour qu'il prenne, le cas échéant, les mesures permettant de faire cesser la violation constatée ». Sur ce terrain purement administratif, il a alors quinze jours pour faire connaître des suites données.

En l’état, le texte réclamé par la CNIL est actuellement à l’examen au Sénat. Dans le cadre de la proposition de loi sur la sécurité globale, l’article 22 veut offrir aux autorités la possibilité de faire voler des flottes de drones et autres aéronefs, équipés de caméras pour une ribambelle de finalités, très amples :

• prévenir les incidents au cours des interventions
• faciliter le constat des infractions et la poursuite de leurs auteurs par la collecte de preuves
• assurer la sécurité des rassemblements de personnes sur la voie publique ou dans des lieux ouverts au public
• faciliter la surveillance des littoraux, des eaux intérieures et des zones frontalières
• réguler les flux de transport.

Autant de mesures dont il faudra un jour ou l'autre apprécier la proportionnalité.

Dernier détail qui fera sans doute rire jaune le ministère, la CNIL a prévu de rendre anonyme d’ici deux ans sa délibération, aussi bien sur son site que sur Légifrance. En 2023, les internautes seront donc invités à ne surtout pas lire la presse ni se souvenir du nom de l’actuel locataire de la place Beauvau, Gérald Darmanin.