Le RGPD appliqué à la prise de vue aérienne
Un drone qui filme fait deux choses à la fois : une exploitation aérienne et un traitement de données à caractère personnel. Les deux régimes sont indépendants, et être en règle avec l'un ne dit rien de l'autre.
À retenir
- L'article 4, point 1), du RGPD définit la donnée à caractère personnel comme toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. Un visage, une plaque d'immatriculation, une silhouette dans un lieu connu suffisent.
- Ce n'est pas votre intention d'identifier qui déclenche le RGPD, c'est la possibilité objective d'identification. Le raisonnement par l'intention est le piège le plus fréquent de cette matière.
- L'exception de l'activité strictement personnelle ou domestique (art. 2, § 2, point c)) est réelle mais étroite : le considérant 18 précise que ces activités sont sans lien avec une activité professionnelle ou commerciale. Le critère est la nature de l'ACTIVITÉ, pas le statut de la personne ni la masse de l'aéronef.
- La Cour de justice a refermé cette exception pour les prises de vue tournées vers l'espace public : dans l'affaire Ryneš, elle juge qu'une surveillance qui s'étend, même partiellement, à l'espace public est dirigée vers l'extérieur de la sphère privée de celui qui l'effectue.
- Le consentement n'est pas la seule base légale : l'article 6, § 1, en offre six : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêt légitime. Ce dernier suppose une mise en balance, et le texte vise nommément le cas où la personne concernée est un enfant.
- La minimisation (art. 5, § 1, point c)) se joue à la COLLECTE, pas au montage : filmer en continu l'aller et le retour quand quelques prises sur la toiture suffisaient dépasse la finalité annoncée.
- Les images révélant des opinions politiques ou des convictions religieuses relèvent de l'article 9, § 1, qui pose une interdiction de principe, que seules les exceptions du § 2 peuvent lever. Le caractère public d'un rassemblement n'y change rien.
- Le responsable du traitement est celui qui détermine les finalités et les moyens (art. 4, point 7)) : c'est vous quand vous filmez avec votre propre drone, pour votre propre compte. L'article 5, § 2, y ajoute l'obligation de pouvoir DÉMONTRER la conformité.
Le piège. Les deux textes ne se recouvrent pas, mais ils se croisent : l'article 15, § 1, du règlement 2019/947 permet à un État de créer une zone géographique UAS pour des raisons de respect de la vie privée, et l'article 2, point 4), qui définit ces zones, y ajoute la protection des données à caractère personnel. Une carte aéronautique peut donc traduire une contrainte qui n'a rien d'aéronautique.
Source
Règlement (UE) 2016/679 (CELEX 02016R0679, consolidé au 04/05/2016) (RGPD), art. 2, § 2, point c) et considérant 18, art. 4, points 1) et 7), art. 5, § 1, point c) et § 2, art. 6, § 1, et art. 9, § 1 et § 2 ; CJUE, 11 décembre 2014, Ryneš, C-212/13, pt 33 (CELEX 62013CJ0212) ; règlement d'exécution (UE) 2019/947 (CELEX 02019R0947, consolidé au 01/05/2025), art. 15, § 1