Je vous indique en outre que, conformément à l’article L. 252-5 du CSI, hormis le cas d'une
enquête de flagrant délit, d'une enquête préliminaire ou d'une information judiciaire, les
enregistrements de vidéoprotection sont détruits dans un délai maximum fixé par l'autorisation
susmentionnée, ce délai ne pouvant toutefois excéder un mois. Si les enregistrements de
vidéoprotection ont été conservés au-delà de cette durée à la suite d’une demande du procureur, vous
indiquez que le procureur a levé cette demande le 15 octobre 2019 et qu’aucun argument juridique
n’est avancé, en l’état, pour justifier la conservation de ces images depuis cette date. Dès lors, il
n’apparait pas possible pour le responsable du traitement initial, soit l’organisateur du Hellfest, de
conserver les images de vidéoprotection du festival Hellfest qui s’est déroulé en 2019 au-delà de cette
date. Néanmoins, pour les projets futurs similaires de recherche, si le transfert des enregistrements de
vidéoprotection depuis le responsable de traitement initial (organisateur du festival) vers le nouveau
responsable de traitement (Inria) intervenait dans le délai prévu par l’autorisation préfectorale, la
réutilisation de ces données à finalité de recherche scientifique pourrait être envisageable sous réserve
que des mesures appropriées soient mises en œuvre.
S’agissant du traitement projeté à finalité de recherche scientifique, constitué à partir des
enregistrements de vidéoprotection, je vous indique que ce traitement constitue un traitement de
données à caractère personnel au sens de l’article 4.2 du Règlement (UE) 2016/679 du Parlement
européen et du Conseil du 27 avril 2016 (RGPD) et devrait être mis en œuvre dans les conditions
précisées ci-dessous.
En premier lieu, je prends bonne note de ce qu’Inria souhaite conduire le traitement projeté
sur la base légale de l’exécution d’une mission d’intérêt public (article 6.1-e) du RGPD). Sur ce point
et ainsi que le relève le Comité Opérationnel d’Evaluation des Risques Légaux et Ethiques (COERLE)
dans l’avis transmis, un traitement ultérieur à des fins de recherche scientifique est considéré comme
compatible avec les finalités initiales, s'il est réalisé dans le respect des dispositions du RGPD et de la
loi n° 78-17 du 6 janvier 1978 modifiée (dite loi « Informatique et libertés ») et s'il n'est pas utilisé
pour prendre des décisions à l'égard des personnes concernées (articles 5.1-b) du RGPD et 4-2° de la
loi « Informatique et libertés » modifiée).
S’agissant d’un traitement ultérieur portant sur des données stockées chez un prestataire de
sécurité (sous-traitant) du responsable de traitement initial, il conviendra de vérifier que la
transmission des données de ce prestataire au nouveau responsable de traitement est bien prévue par le
contrat ou l’acte juridique qui lie le responsable de traitement initial et le sous-traitant conformément à
l’article 28 du RGPD.
En deuxième lieu, s’agissant du droit à l’information des personnes concernées, je vous indique
qu’une information publique et générale et non pas individuelle ne serait possible que si Inria
démontrait que la fourniture des informations prévue par l’article 14.1 du RGPD se révélait
« impossible », exigerait des « efforts disproportionnés », ou serait « susceptible de rendre impossible
ou de compromettre gravement la réalisation des objectifs du traitement » de recherche. En première
analyse, cette démonstration n’apparait pas évidente, car le délai dans lequel la transmission des
images doit intervenir (un mois maximum) implique que le responsable de traitement initial connaisse
déjà le nouveau responsable de traitement à qui il transmettra les données enregistrées, et puisse par
conséquent informer toutes les personnes concernées, par exemple via le billet d’entrée, de ce
traitement ultérieur.
2