Les drones de la préfecture de police de Paris refont parler d’eux, à l’occasion d’un nouvel arrêt du Conseil d’Etat, rendu le 22 décembre 2020.

Les drones de la préfecture de police surveillent Paris

Les drones de la préfecture de police sont apparemment au nombre de quinze. A partir du 18 mars 2020, ils ont commencé d’être utilisés dans le cadre de missions de surveillance du respect des mesures de confinement. La pratique n’a pas cessé avec la fin du confinement. A partir du 11 mai 2020, les missions de surveillance se sont déroulées, dans le cadre du plan de déconfinement. Les habitudes se prennent vite.

Les règles d’engagement des drones

Les drones de la préfecture de police sont engagés en suivant les règles énoncées dans une fiche technique établie le 14 mai 2020. A cette époque, les vols étaient réalisés à partir des quatre appareils de marque D.JJ type Mavic Enterprise, équipés d’un zoom optique X 3 et d’un haut-parleur. La mise en œuvre du dispositif de surveillance implique une équipe sur site de de trois personnes (le télépilote, un télépilote adjoint et un agent de protection) et le personnel du centre d’information et de commandement de la préfecture de police.

Lorsque le drone survole le site désigné, le télépilote procède à la retransmission, en temps réel, des images au centre de commandement afin que l’opérateur qui s’y trouve puisse, le cas échéant, décider de la conduite à tenir. Il peut également être décidé de faire usage du haut-parleur dont est doté l’appareil afin de diffuser des messages à destination des personnes présentes sur le site.

Les drones de la préfecture de police captent des données personnelles

droneL’article 3 de la directive du 27 avril 2016 définit les données à caractère personnel comme « toute information se rapportant à une personne physique identifiée ou identifiable » et précise qu’est réputée être une «personne physique identifiable » « une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».

Le même texte définit un traitement comme « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ».

Les drones de la préfecture de police sont donc impliqués dans un dispositif de traitement de données à caractère personnel qui relève du champ d’application de la directive du 27 avril 2016. Ce traitement relève des dispositions de la loi « informatique et libertés » du 6 janvier 1978. L’article 31 impose une autorisation par arrêté du ou des ministres compétents ou par décret, selon les cas, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés (CNIL) pour la mise en place du traitement des données personnelles.

La préfecture de police invitée à suspendre l’utilisation des drones.

Dans sa première décision de référé du 18 mai 2020, le Conseil d’Etat, a constaté que les drones étaient utilisés sans qu’aucune disposition réglementaire ait été édictée. Il a donc enjoint à l’Etat de cesser d’utiliser des drones pour surveiller le respect, à Paris, des règles de sécurité sanitaire applicables à la période de déconfinement tant que les règles posées par la loi du 6 janvier 1978 ne seront pas respectées, ou que appareils utilisés par la préfecture de police n’auront pas été dotés de dispositifs techniques de nature à rendre impossible, quels que puissent en être les usages retenus, l’identification des personnes filmées.

Les drones de la préfecture de police ont continué à voler mais les images captées ont été floutées

Quelques mois plus tard, l’association « La Quadrature du Net » avait réuni suffisamment de témoignages, de photos et de vidéos diffusées par la presse et par des particuliers sur les réseaux sociaux, pour établir que la police utilisait toujours des drones, notamment lors de manifestations sur la voie publique.

La préfecture de police de Paris a expliqué que pour surveiller les événements de grande ampleur se déroulant sur la voie publique, elle avait adjoint à la captation sans enregistrement des images par drone, un logiciel de floutage automatique et en temps réel des données à caractère personnel dans les flux vidéo transmis à la salle de commandement de la préfecture de police.

Le dispositif est jugé insuffisant par le Conseil d’Etat

Le dispositif de surveillance litigieux, qui consiste à collecter des données, grâce à la captation d’images par drone, afin de les transmettre, après application d’un procédé de floutage, au centre de commandement de la préfecture de police pour un visionnage en temps réel, constitue toujours un traitement au sens de la directive du 27 avril 2016, d’après le Conseil d’Etat. En effet, il y a lieu d’examiner le dispositif dans son ensemble, qui va de la collecte des images par le drone, à leur envoi vers la salle de commandement, « après transmission des flux vers le serveur de floutage, décomposition de ces flux image par image aux fins d’identifier celles qui correspondent à des données à caractère personnel pour procéder à l’opération de floutage, puis à la recomposition du flux vidéo comportant les éléments floutés ».

Certes, la direction opérationnelle n’est destinataire que d’images ayant fait l’objet d’un floutage, mais la circonstance que seules les données traitées par le logiciel de floutage parviennent au centre de commandement n’est pas de nature à modifier la nature des données faisant l’objet du traitement, qui doivent être regardées comme des données à caractère personnel.

Il est enjoint au préfet de police de cesser, sans délai, de procéder aux mesures de surveillance par drone des rassemblements de personnes sur la voie publique.

Encore raté !