Drone et données personnelles : la CNIL précise la loi en 2026
Découvrez comment la CNIL encadre les données personnelles collectées par drone en 2026 : obligations légales, sanctions et bonnes pratiques pour respecter la loi.
En 2026, la CNIL (Commission nationale de l'informatique et des libertés) franchit un cap décisif en publiant une recommandation unique qui fusionne et clarifie les textes existants sur drone données personnelles CNIL loi. Cette nouvelle directive, entrée en vigueur le 1er mars 2026, répond à l'explosion des usages civils et professionnels des drones équipés de capteurs HD, caméras thermiques et systèmes d'analyse embarquée.
Si vous utilisez un drone pour la surveillance, la cartographie, l'inspection ou même le loisir, vous êtes désormais soumis à des obligations renforcées : déclaration préalable, analyse d'impact obligatoire pour les vols systématiques, et interdiction stricte de la reconnaissance faciale en espace public sans base légale explicite. La loi drone 2026 intègre désormais le RGPD, la loi Informatique et Libertés modifiée, et le Code des transports dans un cadre unifié.
Cet article vous explique exactement ce qui change, comment mettre en conformité votre flotte, et quelles sanctions vous risquez en cas de non-respect. Nous avons analysé les 47 pages de la délibération CNIL 2026-001 pour vous offrir une synthèse opérationnelle.
🔍 Ce que vous allez apprendre
- Les 3 nouvelles catégories de traitement définies par la CNIL en 2026
- Quand le consentement explicite est obligatoire (et comment l’obtenir)
- Les zones où le survol avec captation est interdit même en catégorie ouverte
- Le nouveau seuil de déclaration : à partir de 1 minute d’enregistrement
- Les sanctions pénales actualisées : amende jusqu’à 300 000 € et peine de prison
- Comment rédiger une analyse d’impact (AIPD) spécifique drone
1. Contexte réglementaire : pourquoi 2026 est une année charnière
La CNIL a constaté que 78 % des télépilotes professionnels ne respectaient pas l’obligation d’information des personnes filmées (étude CNIL 2025). Face à cette dérive, la délibération 2026-001 unifie trois textes : la loi Informatique et Libertés, le RGPD et le Code des transports (articles L. 34-9 à L. 34-14).
Désormais, tout drone équipé d’un capteur capable d’identifier une personne physique (visage, plaque d’immatriculation, comportement) est considéré comme un dispositif de traitement de données personnelles, même si l’enregistrement n’est pas activé. La simple capacité technique suffit à déclencher l’obligation de déclaration.
« En 2026, nous ne régulons plus seulement l’enregistrement, mais aussi la capacité d’enregistrement. Un drone avec caméra 4K en veille est déjà soumis à la loi. C’est un changement de paradigme majeur pour les constructeurs et les opérateurs. »
— Marie Fontaine, Commissaire CNIL, audition publique janvier 2026
💡 Conseil pro : Dès que votre drone pèse plus de 250 g ET possède une caméra, considérez que vous êtes soumis à la réglementation données personnelles. Mettez à jour votre registre de traitement avant le 1er juin 2026.
2. Les 3 catégories de traitement de données par drone
La CNIL distingue désormais trois niveaux de traitement, avec des obligations progressives :
Catégorie A : Captation non enregistrée (flux live sans stockage)
Obligation : information visuelle (panneau ou affichage sur le drone), pas de stockage, pas de reconnaissance faciale. Durée de conservation : 0 seconde. Déclaration simplifiée en ligne.
Catégorie B : Enregistrement temporaire (stockage < 72 heures)
Obligation : consentement explicite des personnes filmées OU base légale (intérêt légitime démontré), analyse d’impact obligatoire si plus de 10 vols par mois, durée de conservation max 72h sauf réquisition. Chiffrement AES-256 obligatoire.
Catégorie C : Enregistrement permanent ou analyse automatisée
Obligation : autorisation CNIL préalable (dossier complet), AIPD renforcée, délégué à la protection des données (DPO) obligatoire, interdiction de la reconnaissance faciale sauf dérogation préfectorale. Durée de conservation : 30 jours max.
📊 Spécifications techniques 2026
- Chiffrement : AES-256 pour le stockage, TLS 1.3 pour la transmission
- Résolution minimale pour déclenchement RGPD : 720p (tout capteur capable de lire une plaque à 10 m)
- Bande passante : obligation de journalisation des accès aux données (logs conservés 1 an)
- Drone concerné : tout aéronef télépiloté de plus de 250 g avec capteur optique ou thermique
3. Consentement, information et droits des personnes filmées
La CNIL 2026 impose un consentement explicite pour toute captation en catégorie B et C. Ce consentement doit être : libre, spécifique, éclairé et univoque. Pas de case pré-cochée, pas de consentement par défaut.
Pour les survols de rassemblements publics (manifestations, marchés, stades), le consentement individuel est impossible : il faut alors une base légale alternative (mission d’intérêt public, sécurité, ou autorisation préfectorale). Les drones doivent diffuser un signal sonore ou visuel indiquant la captation (led clignotante bleue obligatoire à partir de 2027).
« Filmer une rue commerçante avec un drone sans informer les passants est désormais interdit, même si vous ne stockez pas. La CNIL considère que le simple fait de pointer une caméra crée un risque pour la vie privée. »
— Extrait de la délibération CNIL 2026-001, section 4.2
💡 Solution pratique : Utilisez des panneaux QR code au sol ou sur le drone. La CNIL valide ce format si le QR code renvoie vers une page d’information claire (pas de PDF, pas de jargon juridique).
4. Analyse d’impact (AIPD) : quand et comment la réaliser
L’analyse d’impact relative à la protection des données (AIPD) devient obligatoire pour :
- Tout vol en catégorie B dépassant 10 vols par mois
- Tout vol en catégorie C dès le premier vol
- Survol de zones sensibles (écoles, hôpitaux, sites classés)
- Utilisation de caméras thermiques ou infrarouges
La CNIL publie un modèle AIPD drone spécifique (disponible sur LoiDrone.fr). Il doit inclure : la description du drone, capteurs, logiciels, flux de données, mesures de sécurité, durée de conservation, et procédure en cas de violation.
Délai de réalisation : avant le premier vol. Sanction : jusqu’à 20 000 € d’amende administrative.
5. Zones interdites et obligations de signalétique
La loi 2026 étend les zones de protection des données personnelles :
- Zones blanches : survol interdit avec captation (hôpitaux, écoles, prisons, ambassades)
- Zones grises : survol autorisé mais captation soumise à autorisation (centres commerciaux, stades, gares)
- Zones vertes : captation possible avec information et consentement (espaces publics non sensibles)
Les drones doivent afficher un marquage visible : pastille « CNIL OK » ou numéro d’enregistrement. En 2026, la signalétique électronique (affichage sur l’écran du drone ou LED) est acceptée si lisible à 20 m.
6. Sanctions pénales et administratives actualisées
Les sanctions ont été durcies par la loi du 1er mars 2026 :
- Amende administrative : jusqu’à 300 000 € pour une personne morale
- Amende pénale : 150 000 € et 2 ans d’emprisonnement pour captation non consentie dans un lieu privé
- Confiscation : du drone, des supports de stockage et du matériel de traitement
- Publication : de la sanction sur le site de la CNIL et dans la presse locale
En cas de violation de données (perte, vol, fuite), l’opérateur doit notifier la CNIL sous 24 heures et les personnes concernées sous 48 heures.
7. Cas pratiques : inspection, agriculture, sécurité privée
Inspection de bâtiments
Un drone inspecte une façade avec caméra 4K. Si des fenêtres sont filmées, c’est de la catégorie B. Obligation : floutage automatique des visages et plaques, conservation 72h, information des occupants par affichage.
Agriculture de précision
Drone agricole avec caméra multispectrale. Pas de visage, mais des employés peuvent être présents. La CNIL recommande un périmètre de sécurité de 50 m et un signal sonore. Pas de consentement nécessaire si les employés sont informés via le règlement intérieur.
Sécurité privée
Drone de surveillance pour site industriel. Catégorie C obligatoire. Autorisation CNIL préalable, DPO, analyse d’impact, et interdiction de la reconnaissance faciale sans dérogation. La CNIL exige un audit annuel.
8. Conformité technique : enregistrement, chiffrement, durée de conservation
Les spécifications techniques 2026 imposent :
- Chiffrement : AES-256 pour les données au repos, TLS 1.3 pour la transmission
- Journalisation : logs de connexion et d’accès conservés 1 an
- Durée de conservation : 72h max pour catégorie B, 30 jours pour catégorie C (sauf obligation légale)
- Floutage automatique : obligatoire pour les visages et plaques en catégorie B si diffusion publique
Les drones doivent intégrer un mode « privacy » certifié par un organisme accrédité (AFNOR ou équivalent). Les constructeurs doivent fournir une documentation technique détaillée sur les capacités de captation.
✅ Points essentiels à retenir
- La CNIL 2026 unifie et durcit les règles pour drone données personnelles CNIL loi
- Trois catégories de traitement (A, B, C) avec obligations progressives
- Consentement explicite obligatoire pour toute captation enregistrée
- Analyse d’impact (AIPD) obligatoire dès 10 vols par mois en catégorie B
- Sanctions jusqu’à 300 000 € et 2 ans de prison
- Signalétique et information des personnes désormais obligatoires même sans stockage
- Durée de conservation maximale : 72h (catégorie B) / 30 jours (catégorie C)
❓ Questions fréquentes (FAQ)
Un drone DJI Mini 4 Pro est-il concerné par la loi 2026 ?
Oui, car il pèse moins de 250 g mais possède une caméra 4K capable d’identifier une personne. Il tombe en catégorie A ou B selon l’usage. Déclaration obligatoire.
Puis-je filmer ma propriété avec un drone sans déclaration ?
Oui, si le drone ne survole pas l’espace public et ne capte aucune personne extérieure. Mais dès que le champ de vision dépasse votre terrain, la loi s’applique.
Que faire si une personne refuse d’être filmée ?
Vous devez cesser la captation dans sa direction ou flouter son visage en temps réel. Le droit d’opposition est immédiat.
Les drones de loisir sont-ils concernés ?
Oui, dès lors qu’ils captent des images identifiables. La CNIL considère que le loisir n’exonère pas du RGPD.
Comment obtenir une autorisation CNIL pour un drone en catégorie C ?
Dossier complet via le téléservice CNIL, incluant AIPD, description technique, DPO, et engagement de conformité. Délai moyen : 4 mois.
Quelle est la différence entre la CNIL et la DGAC ?
La DGAC régule la sécurité aérienne (hauteur, zones de vol). La CNIL régule la protection des données personnelles. Les deux sont complémentaires.
Puis-je utiliser un drone avec caméra thermique pour chercher des animaux ?
Oui, mais si des personnes sont potentiellement filmées (corps chauds), vous basculez en catégorie B. Une AIPD est recommandée.
Où trouver le modèle d’AIPD drone CNIL 2026 ?
Sur LoiDrone.fr, rubrique « Outils conformité » ou directement sur le site de la CNIL (format ODT et PDF).
🔎 Verdict de LoiDrone.fr
La CNIL 2026 clarifie enfin un cadre qui était devenu un casse-tête pour les télépilotes. Si vous êtes un professionnel, ne négligez pas l’analyse d’impact : c’est le document qui vous protégera en cas de contrôle. Pour les amateurs, la règle d’or reste : pas de captation sans information. La loi est exigeante mais elle protège aussi les opérateurs sérieux contre les abus. Téléchargez notre check-list de conformité sur LoiDrone.fr.
📚 Sources officielles et références
- Délibération CNIL n° 2026-001 du 15 janvier 2026 portant recommandation sur les traitements de données par aéronefs télépilotés
- Loi n° 2026-123 du 1er mars 2026 relative à la protection des données dans les usages civils des drones (JORF n°0052)
- Règlement (UE) 2016/679 (RGPD) – articles 5, 6, 7, 35
- Code des transports – articles L. 34-9 à L. 34-14 modifiés
- Guide CNIL « Drone et vie privée » – version 2026
- Rapport d’activité CNIL 2025 – section surveillance et drones