Directive 2016/680 – Possibilité de mener une unique analyse d’impact sur « un ensemble d’opérations de traitement similaires qui présentent des risques élevés similaires » – Existence même si aucune disposition de la directive ne le prévoit

À l’occasion de l’examen d’un projet de décret relatif à la mise en œuvre de traitements de données à caractère personnel provenant des caméras individuelles des agents de la police municipale, le Conseil d’État (section de l’intérieur) estime qu’il résulte tant des finalités poursuivies par les dispositifs en cause que des missions confiées aux agents de police municipale que les traitements projetés relèvent des dispositions de la Directive 2016/680 du 27 avril 2016 telle que transposée aux articles 70‑1 et suivants de la loi du 6 janvier 1978 modifiée.

Compte tenu de leurs finalités, ils doivent être regardés comme mis en œuvre pour le compte de l’État. Le traitement étant mis en œuvre au niveau des collectivités locales ou des établissements de coopération intercommunale, le ministre de l’intérieur ne peut être regardé comme le responsable du traitement au sens du premier alinéa de l’article 70‑4, même si cette mise en œuvre est faite pour le compte de l’État.

Le Conseil d’État (section de l’intérieur) estime cependant possible que, dans le cadre de l’élaboration du texte régissant les caractéristiques essentielles du traitement, le ministre réalise une unique analyse d’impact d’ensemble, bien que la directive ne prévoie pas qu’une seule et même analyse puisse « porter sur un ensemble d’opérations de traitement similaires qui présentent des risques élevés similaires », à l’instar de l’article 35 du règlement (UE) 2016/679.