GUIDE C-DRONE · 24 JUILLET 2026
RGPD et drone professionnel : anonymisation et analyse d'impact, ce qui est obligatoire
Un cabinet de géomètres qui cartographie un lotissement en photogrammétrie, une entreprise de BTP qui suit son chantier en timelapse, une collectivité qui fait voler un drone au-dessus de son centre-ville pour un plan d'urbanisme : dans les trois cas, l'appareil capte presque toujours, au passage, des visages, des plaques d'immatriculation ou le jardin d'un riverain qui n'a rien demandé. Dès qu'une personne devient identifiable sur une image, la mission bascule du simple vol de drone au traitement de données personnelles régi par le RGPD — avec ses propres obligations, distinctes du droit à l'image et de la réglementation aéronautique. Voici ce que ça change concrètement pour un exploitant professionnel en 2026.
Publié le 24 juillet 2026, relu le 27 juillet 2026 — réglementation en vigueur en juillet 2026.
Pourquoi une mission de drone professionnelle relève (presque toujours) du RGPD
Le RGPD s'applique dès qu'une image permet d'identifier, directement ou indirectement, une personne physique : un visage net, mais aussi une plaque d'immatriculation, un numéro de rue, une silhouette reconnaissable à sa tenue de travail, ou le simple recoupement d'une voiture garée devant un domicile avec l'adresse survolée. Une orthophoto de lotissement, un reportage vidéo de chantier avec des ouvriers au sol, ou une cartographie de centre-ville prise pour un projet de photogrammétrie capturent presque systématiquement ce type de détail, même sans intention de filmer qui que ce soit en particulier : la CNIL considère que la captation suffit à déclencher les règles du RGPD, indépendamment de toute diffusion ultérieure.
C'est là que le RGPD se distingue du droit à l'image, traité dans notre guide sur les droits à l'image et la diffusion des images de drone : le droit à l'image encadre la publication ou la diffusion d'une prise de vue identifiable, tandis que le RGPD s'applique dès la collecte et le stockage, avant même toute publication. Un exploitant qui archive des images brutes de mission sans jamais les diffuser reste donc pleinement concerné — et c'est en général lui, ou le client qui définit les finalités de la mission, qui porte la qualité de responsable de traitement.
Quand l'analyse d'impact (AIPD) devient obligatoire
L'article 35 du RGPD impose une analyse d'impact relative à la protection des données (AIPD, ou DPIA en anglais) avant tout traitement susceptible d'engendrer un risque élevé pour les personnes. Le texte cite explicitement, parmi les cas typiques, la « surveillance systématique à grande échelle d'une zone accessible au public » — une définition qui recouvre exactement une mission de cartographie aérienne répétée sur un quartier, un site industriel étendu ou un centre-ville, bien plus qu'une inspection isolée d'un bâtiment agricole sans tiers à proximité. La CNIL est l'autorité compétente en France pour contrôler cette obligation et sanctionner son absence.
Toutes les missions ne basculent donc pas dans cette catégorie : un vol ponctuel d'inspection de toiture sur une parcelle privée, sans survol de zones habitées voisines, reste en général un traitement à faible risque qui ne justifie pas d'AIPD formelle. À l'inverse, une collectivité qui fait cartographier son territoire de façon récurrente, ou une entreprise qui déploie un programme de surveillance de chantier par drone sur plusieurs mois avec passages répétés au-dessus de zones de circulation, a intérêt à documenter une AIPD avant le lancement : finalité précise, nécessité et proportionnalité de la collecte, risques identifiés pour les personnes filmées, et mesures prises pour les réduire.
Les obligations concrètes à appliquer avant, pendant et après le vol
Avant le vol : identifier une base légale (le plus souvent l'intérêt légitime de l'exploitant ou de son client pour une mission professionnelle, parfois le contrat qui lie le prestataire à son commanditaire), et appliquer le principe de minimisation — ajuster la hauteur et l'angle de prise de vue, exclure du cadrage les jardins ou façades voisines qui ne font pas partie du périmètre de la mission. En zone habitée, la CNIL recommande d'informer au préalable les personnes susceptibles d'être filmées : affichage sur un chantier, note aux riverains, mention dans les conditions générales transmises au client avant la mission, sur le même principe que la recommandation qu'elle formule pour tout usage de drone équipé d'une caméra.
Après le vol, l'anonymisation reste le point le plus concret : flouter les visages, les plaques d'immatriculation et tout détail identifiant une personne ou une propriété tierce avant toute livraison au client ou toute publication, sauf si leur conservation répond à une finalité précise et documentée. Une étude publiée en 2025 dans Transportation Research Procedia par Ahmed, Adnan, Janssens, Wets, Ectors et leurs coauteurs décrit un système de floutage automatique et géolocalisé, appliqué en temps quasi réel sur le flux vidéo d'un drone pour protéger les propriétés privées survolées, conçu explicitement pour répondre aux exigences du RGPD sans sacrifier la liberté de mouvement de l'appareil (voir l'étude sur Google Scholar). Enfin, la durée de conservation des images brutes doit être définie et documentée — proportionnée à la finalité de la mission, et non laissée par défaut à une conservation indéfinie sur un disque de sauvegarde.
RGPD, droit à l'image, assurance : qui répond de quoi entre le client et l'exploitant
Trois régimes distincts s'appliquent souvent à la même mission, sans se recouvrir : le RGPD encadre la collecte et le traitement des données personnelles, le droit à l'image encadre la publication et la diffusion (voir notre guide dédié), et l'assurance responsabilité civile professionnelle couvre les dommages matériels et corporels du vol lui-même — une garantie qui ne rembourse jamais une sanction prononcée pour manquement au RGPD, un risque à traiter séparément.
Dans une relation client-exploitant, le contrat de prestation doit préciser qui porte la qualité de responsable de traitement — en général le client qui définit la finalité de la mission (une collectivité, un promoteur, un maître d'ouvrage) — et qui intervient comme sous-traitant au sens du RGPD lorsque l'exploitant drone se contente d'exécuter des instructions précises. Pour une mission d'ampleur en zone urbaine, une clause de traitement des données, au même titre que l'attestation d'assurance ou le numéro d'exploitant AlphaTango, fait partie des pièces qu'un client exigeant devrait demander avant de signer — le même réflexe que celui détaillé dans notre guide pour choisir son télépilote professionnel.
Questions fréquentes sur le RGPD et les missions de drone
Le RGPD s'applique-t-il même si les images ne sont jamais publiées ? Oui : le traitement commence dès la captation et le stockage, indépendamment de toute diffusion — c'est la différence majeure avec le droit à l'image, qui ne se déclenche qu'à la publication.
Faut-il flouter systématiquement tous les visages et toutes les plaques ? Le RGPD n'impose aucun taux de floutage précis, mais exige l'usage de moyens à l'état de l'art dès qu'une image identifiable quitte l'environnement du responsable de traitement : en pratique, l'anonymisation avant livraison ou publication reste le réflexe le plus sûr, sauf finalité documentée justifiant de conserver l'image en l'état.
Qui est responsable en cas de manquement, le client ou le prestataire drone ? Cela dépend du contrat : la qualité de responsable de traitement et celle de sous-traitant doivent être définies à l'avance, faute de quoi les deux parties peuvent voir leur responsabilité engagée.
Une mission ponctuelle sur un site isolé nécessite-t-elle une analyse d'impact ? Généralement non : l'AIPD vise les traitements à risque élevé, en particulier la surveillance systématique et à grande échelle d'une zone accessible au public, pas une inspection isolée sans tiers à proximité.