5. Cybersécurité 5.2. RGPD, Loi informatique et libertés et textes associés

Décret n° 2023-828 du 28 août 2023 relatif aux modalités de mise en œuvre des traitements algorithmiques sur les images collectées au moyen de systèmes de vidéoprotection et de caméras installées sur des aéronefs, pris en application de l'article 10 de la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions
 
NOR : IOMD2315000D
 
Publics concernés : ministère de l’intérieur et des outre-mer (direction générale de la police nationale, direction générale de la gendarmerie nationale, préfecture de police, préfets), services d’incendie et de secours mentionnés à l’article L. 722-1 du code de la sécurité intérieure, agents de police municipale, agents des services internes de sécurité de la SNCF et de la Régie autonome des transports parisiens, personnes concernées par les traitements.

Objet : autorisation et modalités de mise en œuvre des traitements algorithmiques sur les images collectées au moyen de systèmes de vidéoprotection et de caméras installées sur des aéronefs.

Entrée en vigueur : le texte entre en vigueur le lendemain de sa publication.

Notice : le décret autorise, à titre expérimental et jusqu’au 31 mars 2025, le recours à des traitements algorithmiques sur les images collectées au moyen de systèmes de vidéoprotection et de caméras installées sur des aéronefs. Le décret fixe les caractéristiques essentielles de ces traitements et les évènements prédéterminés que ces traitements ont pour objet de signaler. Il indique les services susceptibles de les mettre en œuvre et précise les conditions de leur participation financière. Il détermine les conditions d’habilitation et de formation des agents pouvant accéder aux signalements par les traitements. Enfin, il désigne l’autorité chargée d’établir l’attestation de conformité mentionné au VI de l’article 10 de la loi n°2023-380 du 19 mai 2023 précitée.

Références : le texte est pris pour l’application de l’article 10 de la loi n°2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions. Le décret peut être consulté sur le site Légifrance (https://www.legifrance.gouv.fr).

La Première ministre,

Sur le rapport du ministre de l’intérieur et des outre-mer,

• Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
• Vu le code de la sécurité intérieure, notamment ses articles L. 251-1 à L. 255-1, L. 242-1 à L. 242-8, L. 722-1 ;
• Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
• Vu la loi n°2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions, notamment ses articles 10 et 14 ;
• Vu l’avis de la Commission nationale de l’informatique et des libertés du 15 juin 2023 ;
• Vu l’avis de la Conférence nationale des services d’incendie et de secours du 21 juin 2023 ;
• Vu l’avis du Conseil national d’évaluation des normes du 6 juillet 2023,

Décrète :

CHAPITRE Ier
DISPOSITIONS GÉNÉRALES

Art. 1er. – A titre expérimental et jusqu’au 31 mars 2025, dans les conditions prévues par l’article 10 de la loi du 19 mai 2023 susvisée et par le présent décret, les images collectées au moyen de systèmes de vidéoprotection autorisés sur le fondement de l’article L. 252-1 du code de sécurité intérieure et de caméras installées sur des aéronefs autorisées sur le fondement du chapitre II du titre IV du livre II du même code dans les lieux accueillant les manifestations sportives, récréatives ou culturelles qui, par l’ampleur de leur fréquentation ou leurs circonstances, sont particulièrement exposées à des risques d’actes de terrorisme ou d’atteintes graves à la sécurité des personnes et à leurs abords, ainsi que dans les véhicules et emprises de transport public et sur les voies les desservant, peuvent faire l’objet de traitements algorithmiques.

Ces traitements ont pour finalité unique de détecter en temps réel des événements prédéterminés susceptibles de présenter ou de révéler les risques mentionnés à l’alinéa précédent et de les signaler en vue de la mise en œuvre des mesures nécessaires par les services de la police nationale et de la gendarmerie nationale, les services d’incendie et de secours, les services de police municipale et les services internes de sécurité de la SNCF et de la Régie autonome des transports parisiens dans le cadre de leurs missions respectives.

Art. 2. – Les traitements mentionnés à l’article 1er se bornent à signaler, en temps réel, à l’attention des agents chargés de visionner les images captées par les caméras de vidéoprotection et par les aéronefs, la présence des évènements mentionnés à l’article 3, à charge pour ces agents de confirmer le signalement ou de lever le doute.

Ils n’utilisent aucun système d’identification biométrique, ne traitent aucune donnée biométrique et ne mettent en œuvre aucune technique de reconnaissance faciale.

Ils ne peuvent procéder à aucun rapprochement, aucune interconnexion ni aucune mise en relation automatisée avec d’autres traitements de données à caractère personnel.

Ils ne produisent aucun autre résultat et ne peuvent fonder, par eux-mêmes, aucune décision individuelle ni aucun acte de poursuite.

Art. 3. – Les évènements prédéterminés qu’un traitement algorithmique peut avoir pour objet de détecter, en ce qu’ils sont susceptibles de présenter ou de révéler un risque d’acte de terrorisme ou d’atteinte grave à la sécurité des personnes, sont les suivants :

• présence d’objets abandonnés ;
• présence ou utilisation d’armes, parmi celles mentionnées à l’article R. 311-2 du code de la sécurité intérieure ;
• non-respect par une personne ou un véhicule, du sens de circulation commun ;
• franchissement ou présence d’une personne ou d’un véhicule dans une zone interdite ou sensible ;
• présence d’une personne au sol à la suite d’une chute ;
• mouvement de foule ;
• densité trop importante de personnes ;
• départs de feux.

CHAPITRE II
MODALITÉS DE MISE EN ŒUVRE DES TRAITEMENTS PENDANT LA PHASE DE CONCEPTION LORSQUE CETTE DERNIÈRE EST ASSURÉE PAR L’ETAT OU POUR SON COMPTE

Art. 4. – Lors de la phase de conception des traitements mentionnés à l’article 1er, le ministère de l’intérieur met en œuvre un traitement, dans le respect des dispositions des articles 28 et 29 du chapitre IV du règlement (UE) 2016/679 du 27 avril 2016, ayant pour finalités :

1° De modéliser et d’identifier les caractéristiques d’évènements susceptibles de présenter ou de révéler un risque d’actes de terrorisme ou d’atteintes graves à la sécurité des personnes que les traitements algorithmiques mentionnés à l’article 1er devront détecter ainsi que d’identifier des indicateurs et des critères de pertinence caractérisant ces évènements ;

2° De développer des capacités d’analyse de données collectées au moyen de systèmes de vidéoprotection autorisés sur le fondement de l’article L. 252-1 du code de sécurité intérieure et de caméras installées sur des aéronefs autorisées sur le fondement du chapitre II du titre IV du livre II du même code et des outils permettant la détection et le signalement en temps réel, à partir de ces images, des évènements mentionnés à l’article 3 ;

3° De paramétrer des outils permettant la détection et le signalement en temps réel, à partir de ces images, des évènements mentionnés à l’article 3 ;

4° De corriger les biais ou erreurs constatés lors de la phase d’exploitation.

Art. 5. – A ces fins, les traitements peuvent porter sur :
1° Un échantillon d’images constitué, sous la responsabilité de l’Etat :

• a) D’images collectées au moyen de systèmes de vidéoprotection autorisés sur le fondement de l’article L. 252-1 du code de sécurité intérieure et de caméras installées sur des aéronefs autorisées sur le fondement du chapitre II du titre IV du livre II du même code dans des conditions analogues à celles prévues pour l’emploi des traitements mentionnés à l’article 1er ;
• b) D’images qui ont fait l’objet, dans les conditions définies au chapitre IV du présent décret, d’un traitement algorithmique dont les biais ou les erreurs doivent être corrigés.

L’ampleur de l’échantillon ne dépasse pas ce qui est strictement nécessaire aux opérations mentionnées à l’article 4.

2° Le jour et les plages horaires de collecte de ces images ;

3° Le lieu ou la zone géographique où ont été collectées les images ;

4° Les annotations des données mentionnées au 1°.

Art. 6. – Le traitement est conçu de telle sorte qu’il respecte les exigences prévues du deuxième au sixième alinéas du VI de l’article 10 de la loi du 19 mai 2023 susvisée. Les données mentionnées à l’article 5 du présent décret utilisées dans ce cadre peuvent faire l’objet d’opérations de pseudonymisation ou de floutage lorsque de telles opérations ne sont pas susceptibles de compromettre la qualité technique du traitement.

Art. 7. – Sont seuls autorisés à accéder au traitement pendant la phase de conception, à raison de leurs attributions et dans la limite du besoin d’en connaître, les agents du ministère de l’intérieur dûment désignés et habilités.

Art. 8. – Les données mentionnées à l’article 5 sont conservées pendant une durée strictement nécessaire qui ne peut, dans tous les cas, excéder douze mois à compter de l’enregistrement des images et prend fin, dans tous les cas, à la fin de l’expérimentation mentionnée à l’article 1er. Elles ne peuvent, pendant cette durée, être utilisées à d’autres fins que celles prévues à l’article 4.

Art. 9. – Les opérations de collecte, de consultation, de modification et d’effacement des données à caractère personnel et informations mentionnées à l’article 5 font l’objet d’un enregistrement.
Les journaux des opérations de consultation permettent d’établir la date, l’heure et les personnes à l’origine de ces opérations. Ces journaux sont conservées six mois.

Art. 10. – I. – Les informations prévues aux dispositions de la section 2 du chapitre III du règlement (UE) 2016/679 du 27 avril 2016 susvisé sont mises à la disposition des personnes concernées.

II. – Les droits d’accès, de rectification et à la limitation des données s’exercent auprès du responsable de traitement dans les conditions prévues respectivement aux articles 15, 16 et 18 du même règlement.

III. – Conformément à l’article 23 du même règlement, le droit d’opposition ne s’applique pas au présent traitement.

CHAPITRE III
TRAITEMENTS ACQUIS PAR L’ETAT ET MODALITÉS DE PARTICIPATION FINANCIÈRE DES SERVICES UTILISATEURS

Art. 11. – Lorsque l’Etat acquiert un traitement mentionné à l’article 1er, il s’assure que celui-ci a été conçu dans le respect des exigences du VI de l’article 10 de la loi du 19 mai 2023 susvisée.

A cette fin :

• l’Agence nationale de la sécurité des systèmes d’information est associée au choix des traitements aux fins d’assurer le respect des exigences relatives à la cybersécurité ;
• la Commission nationale de l’informatique et des libertés accompagne, à leur demande, les personnes chargées du développement du traitement.

Art. 12. – La participation financière des services d’incendie et de secours, des collectivités ou leurs établissements, de la SNCF et de la Régie autonome des transports parisiens prévue au V de l’article 10 de la loi du 19 mai 2023 susvisée pour l’utilisation des traitements par les services d’incendie et de secours, les services de police municipale et les services internes de sécurité de la SNCF et de la Régie autonome des transports parisiens dans les conditions prévues au I du même article fait l’objet d’une convention avec l’Etat approuvée par leur organe délibérant ou conseil d’administration précisant notamment la nature des dépenses financées, le cas échéant les équipements financés, le montant de la participation et les modalités de versement de celle-ci.

CHAPITRE IV
MODALITÉS DE MISE EN ŒUVRE DES TRAITEMENTS PENDANT LA PHASE D’EXPLOITATION

Art. 13. – Les services de la police nationale, les services de la gendarmerie nationale, les services d’incendie et de secours, les services de police municipale et les services internes de sécurité de la SNCF et de la Régie autonome des transports parisiens sont autorisés à mettre en œuvre, en qualité de responsable de traitement, les traitements mentionnés à l’article 1er, par arrêté du représentant de l’Etat dans le département ou, à Paris et dans les départements des Hauts-de-Seine, de la Seine-Saint-Denis et du Val-de-Marne, du préfet de police, dans les conditions prévues aux VII et VIII de l’article 10 de la loi du 19 mai 2023 susvisée.

Par dérogation à l’alinéa précédent, l’emploi des traitements dans les départements des Yvelines, du Val-d’Oise, de l’Essonne et de Seine-et-Marne est autorisé, entre le 1er juillet et le 15 septembre 2024, par le préfet de police.

Art. 14. – Seuls les traitements algorithmiques développés par ou pour le compte de l’Etat ou bénéficiant d’une attestation de conformité délivrée par le ministre de l’intérieur dans les conditions prévues au VI de l’article 10 de la loi du 19 mai 2023 susvisée peuvent être mis en œuvre.

Cette mise en œuvre est subordonnée à l’envoi préalable à la Commission nationale de l’informatique et des libertés, par le responsable de traitement, d’un engagement de conformité aux dispositions du présent chapitre, en application du IV de l’article 31 de la loi du 6 janvier 1978 susvisée ainsi que d’une analyse d’impact sur la protection des données à caractère personnel des caractéristiques particulières de chacun des traitements mis en œuvre qui ne figurent pas dans l’analyse d’impact-cadre transmise par le ministère de l’intérieur à la Commission nationale de l’informatique et des libertés.

Art. 15. – I. – Dans le respect des dispositions du chapitre II du titre IV et du titre V du livre II du code de la sécurité intérieure, sont autorisés à accéder aux signalements du traitement, à raison de leurs attributions et dans la stricte limite du besoin d’en connaître :

1° Les agents de la police nationale individuellement désignés et spécialement habilités par le chef du service ;

2° Les militaires de la gendarmerie nationale individuellement désignés et spécialement habilités par le commandant de l’unité de gendarmerie ;

3° Les personnels des services d’incendie et de secours individuellement désignés et spécialement habilités par le responsable du service ;

4° Les agents de police municipale individuellement désignés et spécialement habilités par le maire ou le responsable du service de police municipale ;

5° Les agents des services internes de sécurité de la SNCF et de la Régie autonome des transports parisiens individuellement désignés et spécialement habilités par les responsables de ces services.

II. – Aux fins d’être habilités, ces agents doivent bénéficier d’une formation en matière de protection des données à caractère personnel adaptée aux missions effectivement confiées ainsi que d’une formation sur le fonctionnement opérationnel et technique du traitement et sa prise en main.

III. – Les signalements du traitement font l’objet d’un contrôle par ces agents aux fins de confirmation ou d’infirmation des évènements signalés et de détermination des suites à leur y apporter.

Art. 16. – Les opérations de collecte, de consultation, de communication, de modification et d’effacement des données à caractère personnel et informations traitées, ainsi que les signalements générés par les traitements font l’objet d’un enregistrement.

Les journaux des opérations de consultation et de communication permettent d’établir le motif, la date et l’heure de ces opérations et les personnes en étant à l’origine. Ces journaux sont conservées douze mois.

Le responsable du traitement tient un registre des suites apportées aux signalements effectués par le traitement ainsi que le nom et le prénom des personnes ayant accès aux signalements.

Art. 17. – I. – Les informations prévues aux dispositions de l’article 104 de la loi du 6 janvier 1978 susvisée ou de la section 2 du chapitre III du règlement (UE) 2016/679 du 27 avril 2016 susvisé sont mises à la disposition des personnes concernées.

II. – Le public est préalablement informé, de l’emploi de traitements algorithmiques sur les images collectées au moyen de systèmes de vidéoprotection autorisés sur le fondement de l’article L. 252-1 du code de la sécurité intérieure et de caméras installées sur des aéronefs autorisées sur le fondement du chapitre II du titre IV du livre II du même code, sauf lorsque les circonstances l’interdisent ou que cette information entrerait en contradiction avec les objectifs poursuivis. Cette information est délivrée par tout moyen approprié, le cas échéant sur les lieux de captation des images.

III. – Les droits d’accès, de rectification, d’effacement et à la limitation des données s’exercent directement auprès du responsable de traitement dans les conditions prévues aux articles 105 et 106 de la même loi ou 15 à 18 du même règlement.
Afin de protéger la sécurité publique ou la sécurité nationale, ces droits peuvent faire l’objet de restrictions en application des 2° et 3° du II et du III de l’article 107 de la même loi ou du 1 de l’article 23 du même règlement.

IV. – Conformément aux articles 110 de la même loi et 23 du même règlement, le droit d’opposition ne s’applique pas aux présents traitements.

Art. 18. – Si, au cours de l’exploitation des traitements algorithmiques mentionnés à l’article 1er du présent décret, un besoin est identifié d’améliorer la qualité de la détection des événements prédéterminés, une nouvelle phase de conception répondant aux conditions prévues au chapitre II du présent décret est initiée, en faisant application du IX de l’article 10 de la loi du 19 mai 2023 susvisée.

CHAPITRE V
DISPOSITIONS RELATIVES À L’OUTRE-MER

Art. 19. – I. – Les dispositions du présent décret sont applicables sur l’ensemble du territoire national.

II. – Pour l’application du présent décret à Mayotte, à Saint-Barthélemy, à Saint-Martin, à Saint-Pierre- et-Miquelon, dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises, la référence au représentant de l’Etat dans le département est remplacée, respectivement, par la référence au représentant de l’Etat dans le Département de Mayotte, par la référence, à Saint- Barthélemy, à Saint-Martin et à Saint-Pierre-et-Miquelon, au représentant de l’Etat dans la collectivité, par la référence à l’administrateur supérieur des îles Wallis et Futuna, par la référence au haut-commissaire de la République en Polynésie française, par la référence au haut-commissaire de la République en Nouvelle-Calédonie et par la référence à l’administrateur supérieur des Terres australes et antarctiques françaises.

III. – Pour l’application du présent décret à Saint-Barthélemy, à Saint-Pierre-et-Miquelon, en Nouvelle- Calédonie, en Polynésie française, dans les îles Wallis et Futuna et dans les Terres australes et antarctiques françaises, la référence au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données est remplacée par la référence aux règles en vigueur en métropole en vertu du règlement (UE) 2016/679 du 27 avril 2016.

IV. – Pour l’application du présent décret à Saint-Barthélemy et à Saint-Martin, la référence à la police municipale est remplacée par la référence à la police territoriale.

V. – Pour l’application de l’article 3 dans les îles Wallis et Futuna et dans les Terres australes et antarctiques françaises, les mots : « , parmi celles mentionnées à l’article R. 311-2 du code de la sécurité intérieure » sont supprimés.
 
Art. 20. – Le ministre de l’intérieur et des outre-mer, le ministre de la transition écologique et de la cohésion des territoires, le ministre délégué auprès du ministre de l’intérieur et des outre-mer, chargé des outre-mer, et le ministre délégué auprès du ministre de la transition écologique et de la cohésion des territoires, chargé des transports, sont chargés, chacun en ce qui le concerne, de l’exécution du présent décret, qui sera publié au Journal officiel de la République française.

Fait le 28 août 2023.

Par la Première ministre :
Élisabeth Borne

Le ministre de l’intérieur et des outre-mer,
Gérald Darmanin
 
Le ministre délégué auprès du ministre de l’intérieur et des outre-mer, chargé des outre-mer,
Philippe Vigier

Le ministre de la transition écologique et de la cohésion des territoires,
Christophe Béchu
 
Le ministre délégué auprès du ministre de la transition écologique et de la cohésion des territoires, chargé des transports,
Clément Beaune

Source Légifrance