COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTES – direction de la conformité
S’agissant de la gestion des droits, il convient de préciser davantage :
-

les différents paramétrages prévus en termes de niveau de droit d’accès (ex. droit accès aux
images en direct, droit d’accès aux enregistrements, droits d’accès en d’extraction)
la politique d’attribution de ces droits

S’agissant des mesures correctives, il convient de préciser si la mise en œuvre du traitement
s’accompagnera effectivement ou non des mesures indiquées (ex. la formulation « Les portables des
opérateurs pourraient être consignés » ne permet pas de déterminer ce point).
Autres remarques
Sur la demande d’avis des personnes concernées
S’agissant de l’information selon laquelle la collectivité n’a pas demandé l’avis des personnes
concernées, il convient à titre liminaire de souligner qu’en raison des enjeux que représente un tel
traitement sur les finalités poursuivies et les droits et libertés d’un ensemble large de personnes, le
recueil de l’avis des personnes concernées apparaît revêtir un intérêt certain. Une telle consultation
permettrait notamment d’enrichir utilement les éléments de réflexion sur différents aspects abordés
au sein de l’AIPD.
En l’espèce l’AIPD précise que l’avis n’a pas été demandé dans la mesure où les personnes concernées
auraient été « largement informées » au moyen de la presse, de la possibilité de consulter un recours
devant un tribunal et de l’activité d’information d’associations de défense du droit. Au regard de ces
éléments, l’AIPD précise qu’en conséquence les personnes « ont pu exprimer leur avis de manière
publique ».
Il convient de rappeler à ce sujet que les lignes directrices concernant l’AIPD adoptées le 4 avril 2017
(et modifiées le 4 octobre 2017) prévoient que « le responsable de traitement doit justifier toute
décision de ne pas recueillir l’avis des personnes concernées s’il juge la démarche inappropriée ».
En l’espèce la seule mention de l’existence d’un contentieux et de travaux de tiers (journalistes et
association) ne permet pas d’établir que les personnes concernées ont été mises en mesure de donner
leur avis en application de l’article 35-9 du RGPD. Aux fins de justification de cette décision, il convient
a minima de préciser les éléments objectifs permettant de considérer que :
-

les personnes concernées ont été en mesure de prendre connaissance du dispositif dans son
intégralité,
les personnes concernées ont été informées de la possibilité d’adresser un avis à la collectivité,
la collectivité a procédé à la revue des avis éventuellement transmis.

Sur la sous-traitance
L’AIPD fait référence à la signature par les sous-traitants XXX d’engagements de confidentialité. Sur un
développement ultérieur, il est fait état de la « contractualisation d’une clause RGPD et son annexe
RGPD avec le sous-traitant ». La transmission à la CNIL de ces actes est nécessaire aux fins de
consultation des clauses retenues relatives aux modalités de traitement des données à caractère
personnel (clauses prévues aux articles 28 du RGPD, 96 de la loi informatique et libertés modifiée et
132 du décret n° 2019-536 du 29 mai 2019).

5

Select target paragraph3