La collecte d’images par drones soulève des enjeux majeurs pour la protection des personnes et des données sensibles. La question porte sur l’équilibre entre besoins opérationnels et respect des libertés individuelles.
Regardons comment le RGPD et la CNIL encadrent ces usages et quelles pratiques appliquer sur le terrain. Cette présentation mène directement à un résumé pratique des obligations et des enjeux.
A retenir :
- Conformité RGPD obligatoire pour tout traitement d’images par drone
- Transparence des finalités et information claire des personnes concernées
- Minimisation des données et limitation stricte de la durée de conservation
- Mesures techniques et organisationnelles adaptées pour garantir la sécurité des images
Cadre juridique et obligations RGPD pour la collecte d’images par drone
Après ce rappel synthétique, examinons le cadre juridique applicable aux drones en France. Selon la CNIL, tout enregistrement visuel constitue un traitement de données à caractère personnel.
Fabricant / Opérateur
Usage courant
Atout conformité
DJI
Usage civil et professionnel varié
Large écosystème d’outils et documentation
Parrot
Solutions grand public et professionnelles
Origine française, intégration logicielle
SenseFly
Cartographie et photogrammétrie
Spécialisation pour relevés géospatiaux
Azur Drones
Surveillance et sécurité publique
Opérateur français dédié aux missions de sûreté
Dronisos
Entertainment et spectacles aériens
Usage événementiel contrôlé et ponctuel
Groupe La Poste Drone
Tests logistiques et services postaux
Expérimentations terrain encadrées
Points juridiques clés :
- Licéité fondée sur finalité clairement documentée
- Information et droit d’accès des personnes concernées
- Analyse d’impact requise pour traitements à risque
- Mesures de sécurité proportionnées au risque
Licéité et finalités précises
Ce point s’inscrit dans le principe de licéité des traitements vidéo par drone. Les autorités exigent une finalité documentée pour chaque mission de surveillance ou d’observation.
Un opérateur municipal qui filme une manifestation doit préciser l’objectif et la durée de conservation. Selon la CNIL, l’information des personnes visibles est requise sauf impossibilité matérielle avérée.
Mesures techniques et sécurité des images
Ce volet traite des garanties techniques minimales pour sécuriser les flux et les archives. La cryptographie, l’accès restreint et la traçabilité sont des leviers couramment cités pour réduire les risques.
Une société de surveillance installe des accès chiffrés et des journaux d’accès pour chaque mission. Ces pratiques limitent les risques de fuite et facilitent la preuve en cas d’incident.
Points techniques clés :
- Chiffrement des flux de transmission et des sauvegardes
- Contrôle d’accès par rôles et authentification forte
- Journalisation des accès et horodatage des enregistrements
- Pseudonymisation des images lorsque la finalité le permet
« J’ai piloté des missions pour une mairie et la documentation stricte a permis d’apaiser les riverains. »
Anne D.
Opérateurs, finalités et responsabilités pour les collectivités et entreprises
En conséquence du cadre technique et juridique, les responsabilités opérationnelles se précisent pour les opérateurs publics et privés. Selon la CNIL, la responsabilité du responsable de traitement implique documentation et preuves d’évaluation des risques.
Type d’opérateur
Finalités fréquentes
Exigences documentaires
Exemple de fournisseur
Collectivité locale
Surveillance d’événements, sécurité civile
Registre, DPIA, information publique
Azur Drones
Entreprise de sécurité privée
Protection de sites sensibles
Contrats de sous-traitance, clauses de sécurité
Hexadrone
Opérateur logistique
Essais de livraison et démonstrations
Procédures internes et audits
Groupe La Poste Drone
Prestataire événementiel
Spectacles aériens et captation
Autorisation ciblée et sécurisation techniques
Dronisos
Mesures organisées :
- Clauses contractuelles précises et contrôle du sous-traitant
- Assignation claire des rôles et responsabilités internes
- Procédures d’information et de gestion des demandes d’accès
- Plan de formation des opérateurs et consignes écrites
Responsabilités du responsable de traitement
Ce point précise les obligations formelles du responsable de traitement vis-à-vis des usagers et des autorités. La tenue d’un registre et la réalisation d’une DPIA doivent figurer parmi les actes initialement réalisés.
Un responsable doit aussi vérifier les capacités des sous-traitants à respecter les mesures de sécurité. Selon la CNIL, ces contrôles documentés permettent de justifier les choix opérationnels en cas de litige.
« J’ai dirigé la cellule drone d’une collectivité et la DPIA a structuré notre usage opérationnel. »
Marc L.
Contrats, sous-traitance et documentation
Ce volet traite des clauses contractuelles et des preuves à recueillir auprès des prestataires. Les éléments clés incluent obligations techniques, audits et modalités d’archivage des images.
Vérifications contractuelles :
- Clauses sur la sécurité et la localisation des données
- Engagements de non-divulgation et limitation d’usage
- Droit d’audit et reporting périodique des incidents
- Durée de conservation et modalités de suppression
Pratiques opérationnelles et audits pour vérifier la conformité des missions
Après avoir précisé responsabilités et contrats, le contrôle interne et l’audit restent essentiels pour garantir conformité durable. Selon la CNIL, l’audit permet d’objectiver le respect des principes de minimisation et de sécurité.
Élément d’audit
Preuve requise
Fréquence recommandée
Registre des traitements
Registre documenté et accessible
Annuel ou à chaque changement majeur
DPIA
Rapport d’analyse d’impact complet
Avant mise en œuvre puis révision périodique
Tests de sécurité
Rapports d’audit technique et correctifs
Après chaque mise à jour
Gestion des incidents
Journal d’incident et plan de remédiation
Sous 72 heures pour les incidents à risque
Checklist audits :
- Existence du registre et preuve d’actualisation
- Disponibilité des DPIA et décisions associées
- Rapports d’audit technique et evidence des correctifs
- Registre des incidents et actions de remédiation
Audit technique et preuves
Ce module vise à vérifier la robustesse des protections techniques et la traçabilité des opérations. Les auditeurs examineront chiffrement, accès, journaux et gestion des clés sur la durée.
Une preuve fréquente consiste en rapports d’accès horodatés et captures d’écran des configurations de sécurité. Ces éléments facilitent la demonstration de conformité devant une autorité compétente.
Audit juridique et gestion des incidents
Ce volet documente la réaction aux violations potentielles et les obligations de notification. Les procédures doivent inclure chaînes décisionnelles et modèles de communication publique sécurisés.
En cas d’incident, la conservation de journaux et la preuve des actions correctives restent déterminantes pour limiter les conséquences juridiques. Ces pratiques orientent l’amélioration continue des missions alternatives.
« La population a salué la rapidité d’intervention, malgré des questions persistantes sur la vie privée. »
Jean P.
« À mon avis, la sécurisation des données doit primer avant toute extension des capacités de surveillance. »
Laura B.
Source : CNIL, « Drones et vie privée », CNIL, 2023.