Délibération n° 2024-043 du 13 juin 2024 portant avis sur un projet d'arrêté modifiant l'arrêté du 18 mai 2009 portant création d'un traitement automatisé de contrôle des données signalétiques des véhicules

N° de demande d'avis : 24002554 RU 10 Thématiques : LAPI - Vidéoprotection Organisme(s) à l'origine de la saisine : Ministère de l'intérieur et ministère de l'économie, des finances et de la souveraineté industrielle et numérique Fondement de la saisine : Titre III de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés L'essentiel : La Lecture automatisée des plaques d'immatriculation (LAPI) est encadrée par les articles L. 233-1 à L. 233-2 du code de la sécurité intérieure (CSI) et par l'arrêté du 18 mai 2009. Ce dernier est modifié par un projet d'arrêté dont est saisie la CNIL en parallèle de la création d'un traitement dénommé Système de traitement central LAPI (STCL), ayant pour objet de centraliser l'information recueillie par les capteurs déployés. Les modifications apportées à l'arrêté du 18 mai 2009 portent sur les mises en relation, les catégories de données collectées et les durées de conservation. La CNIL rappelle qu'une vigilance particulière doit entourer la mise en œuvre des LAPI en raison des risques potentiels qu'ils comportent au regard de la protection des libertés individuelles et de la vie privée. La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son titre III et son article 31 ; Sur la proposition de Mme Sophie Lambremon, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte Les dispositifs de lecture automatisée des plaques d'immatriculation, ou LAPI, ont été prévus par l'article 26 de la loi n° 2003-239 du 18 mars 2003 pour la sécurité intérieure modifié par l'article 8 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant diverses mesures relatives à la sécurité et aux contrôles frontaliers, ces dispositifs figurent aux articles L. 233-1 à L. 233-2 du CSI. Ils peuvent notamment collecter les photographies, d'une part, de plaques d'immatriculation, et, d'autre part, des véhicules concernés avec leurs éventuels occupants. L'arrêté du 18 mai 2009, qui a succédé à l'arrêté du 2 mars 2007 autorisant les LAPI à titre expérimental, définit le cadre réglementaire des traitements de contrôle automatisé des données signalétiques des véhicules utilisés par les services de police, de gendarmerie et des douanes. Cet arrêté constitue un acte réglementaire unique. La mise en œuvre de dispositifs similaires par les services de police et de gendarmerie nationales et des douanes pourra s'effectuer via un engagement de conformité de celui-ci à la description figurant dans l'arrêté publié. B. - L'objet de la saisine Le projet soumis à la CNIL modifie substantiellement l'arrêté du 18 mai 2009. Les finalités pour lesquelles les traitements LAPI peuvent être mis en œuvre sont étendues. En outre, trois traitements supplémentaires peuvent être rapprochés avec les traitements LAPI et de nouvelles catégories de données sont collectées. Les durées de conservation sont également modifiées. Enfin, le traitement est mis en conformité avec le nouveau cadre juridique applicable en matière de protection des données. Une analyse d'impact relative à la protection des données (AIPD) a été transmise à la CNIL conformément à l'article 90 de la loi du 6 janvier 1978 modifiée. II. - L'avis de la CNIL A. - Sur les finalités poursuivies par le traitement La CNIL relève que l'arrêté modifié ajoute, à son article 1er, une finalité pour laquelle les traitements LAPI peuvent être mis en œuvre, qui est de : - faciliter la constatation des infractions au code de la route, de permettre le rassemblement des preuves de ces infractions et la recherche de leurs auteurs ainsi que de mettre en œuvre les dispositions de l'article L. 121-4-1 du code de la route. Ces dispositions sont relatives à l'interception et éventuellement à la mise en fourrière des véhicules dont le titulaire du certificat d'immatriculation est redevable d'une amende forfaitaire majorée restée impayée ou non contestée dans les délais impartis. L'arrêté reprend la finalité codifiée à l'article L. 233-1-1 du CSI, ajoutée par le législateur à l'article 35 de la loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle. Au regard de ce qui précède, la CNIL considère que la modification apportée aux finalités du projet d'arrêté qui lui est soumis est justifiée. B. - Sur les données collectées En premier lieu, le I de l'article 3 du projet d'arrêté modifié prévoit que trois nouvelles catégories de données peuvent être enregistrées dans le traitement : le pays d'immatriculation du véhicule ; la direction de circulation du véhicule ; le code de l'unité ou du service responsable du dispositif de contrôle automatisé. En deuxième lieu, le II de l'article 3 prévoit qu'en cas de rapprochement révélant une correspondance avec un des numéros d'immatriculation enregistrés dans les traitements mentionnées à l'article 2, quatre nouvelles catégories de données peuvent également être enregistrées : la date et l'heure de la correspondance ; la nature de la correspondance (immédiate ou différée) ; la marque, le modèle et, le cas échéant, la couleur du véhicule ; la date d'inscription dans les traitements mentionnées à l'article 2. En troisième lieu, le III de l'article 3 prévoit que peuvent également être enregistrées les données et informations relatives aux véhicules volés ou signalés suivantes : le traitement d'origine ; l'identifiant technique dans le traitement d'origine ; le numéro d'immatriculation du véhicule signalé ; le pays d'immatriculation du véhicule signalé ; la marque du véhicule signalé ; le modèle du véhicule signalé ; la couleur du véhicule signalé ; le code de la conduite à tenir associé au motif du signalement ; la dangerosité liée au véhicule signalé ; les dates d'inscription du véhicule signalé dans les traitements mentionnés à l'article 2 ; le service inscripteur du signalement ; la direction du service inscripteur du signalement ; l'adresse électronique du service inscripteur du signalement ; l'adresse électronique du service demandeur du signalement. Concernant les données liées à la dangerosité du véhicule, la CNIL prend acte du fait que cette donnée, issue du FOVeS, est nécessaire pour la sécurité des personnels et qu'il s'agit de cinq critères de dangerosité. Ils peuvent être cochés par la personne inscrivant le véhicule au fichier (risque d'explosion ; risque radioactif ; risque chimique ; détendeur ou occupant potentiellement dangereux ; immatriculation usurpée). En quatrième lieu, le IV de l'article 3 du projet d'arrêté modifié précise que peuvent être enregistrées les informations relatives à la demande d'accès au traitement suivantes : le numéro ou la référence de la procédure pénale, administrative ou douanière ; le cadre et le motif d'enquête. La CNIL prend acte qu'aucune donnée sensible au sens de l'article 6 de la loi du 6 janvier 1978 modifiée ne pourra être traitée et estime que les données traitées sont pertinentes. C. - Sur les mises en relation projetées L'article 3 du projet d'arrêté soumis pour avis prévoit que les données relatives au numéro d'immatriculation du véhicule collectées par les dispositifs LAPI peuvent faire l'objet d'un rapprochement avec le fichier des véhicules et des objets signalés (FOVeS), le système d'information Schengen (SIS), le système d'immatriculation des véhicules (SIV), le système de contrôle automatisé (SCA), ainsi que le fichier des véhicules assurés (FVA). L'ajout de ces traitements est conforme aux dispositions de l'alinéa 3 de l'article L. 233-2 du CSI. Le ministère précise que les mises en relations projetées avec les traitements SIV, SCA et FVA ne sont pas opérationnelles à ce jour et que l'analyse d'impact relative à la protection des données sera mise à jour et transmise à la CNIL avant leur mise en relation effective. D. - Sur la durée de conservation des données La CNIL prend acte de ce que les durées de conservation prévues par le projet d'arrêté modificatif sont conformes à celles prévues par l'article L. 233-2 du CSI. Ainsi, l'arrêté modifié prévoit à son article 4, qu'afin de permettre les rapprochements avec les traitements FOVeS, SIS, SIV, SCA, ainsi que FVA, les données et informations mentionnées au I de l'article 3 du projet d'arrêté modifié sont conservées pendant un délai maximum de 15 jours à compter de leur collecte. En l'absence de rapprochement positif avec un des numéros d'immatriculation enregistrés dans les traitements mentionnés à l'article 2 dans ce délai, les données et informations sont effacées automatiquement. La CNIL relève que pendant cette durée, la consultation de ces données et informations n'ayant pas fait l'objet d'un tel rapprochement positif est, conformément aux termes de l'article L. 233-2 du code de la sécurité intérieure, interdite, sans préjudice des nécessités de leur consultation pour les besoins d'une procédure pénale ou douanière. En outre, l'article 4 de l'arrêté modifié prévoit qu'en cas de rapprochement positif, les données et informations mentionnées à l'article 3 sont conservées pendant une durée d'un mois à compter de ce rapprochement sans préjudice des nécessités de leur conservation pour les besoins d'une procédure pénale ou douanière. La CNIL prend acte des précisions apportées par le ministère selon lesquelles cette durée est une durée maximum et l'effacement de ces données se fera au terme d'un mois à compter de la date de validation de la levée de doute. E. - Sur les accédants et destinataires des données En premier lieu, l'article 5 du projet d'arrêté modifié énumère les personnes de la police, gendarmerie et des douanes pouvant accéder, à raison de leurs attributions, à tout ou partie des données. En l'état des finalités poursuivies, l'accès aux données prévu pour ces agents n'appelle pas d'observations particulières de la part de la CNIL. En second lieu, l'article 5 du projet d'arrêté prévoit que peuvent être destinataires les organismes de coopération internationale en matière de police judiciaire et les services de police étrangers dans les conditions énoncées à l'article L. 235-1 du CSI. A cet égard, la CNIL prend acte du fait que les transferts de données hors de l'Union européenne seront réalisés dans le cadre de la coopération internationale en matière de police judiciaire et aux services de police étrangers dans le strict respect des engagements internationaux, conformément à l'article L. 235-1 du CSI. Elle prend également acte du fait que ces transferts ne pourront être opérés que sous réserve du respect des conditions énoncées aux articles 112 à 114 de la loi 6 janvier 1978 modifiée. Cependant, dans la mesure où la transmission des données à ces organismes est prévue par la loi, l'arrêté n'a pas nécessairement à les mentionner. Au regard de ce qui précède, la CNIL considère que la consultation des données par les personnes mentionnées à l'article 5 du projet d'arrêté apparait justifiée et proportionnée. F. - Sur les droits des personnes concernées En premier lieu, un nouvel article 7 inséré à la suite de l'article 6 prévoit que le droit d'opposition prévu à l'article 110 de la loi du 6 janvier 1978 modifiée ne s'applique pas aux traitements LAPI, ce qui n'appelle pas d'observation au regard des finalités poursuivies. En second lieu, l'article 7 nouveau du projet d'arrêté modifié prévoit que les droits d'accès, de rectification, d'effacement et à la limitation des données s'exercent directement auprès du responsable des traitements créés. Ces droits peuvent faire l'objet de restrictions afin d'éviter de gêner des enquêtes, des recherches ou des procédures administratives ou judiciaires ou d'éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales ou de protéger la sécurité publique, conformément aux 2° et 3° du II et du III de l'article 107 de cette même loi. La personne concernée par ces restrictions pourra alors exercer ses droits auprès de la CNIL dans les conditions prévues à l'article 108 de cette même loi, ce qui n'appelle pas d'observation au regard des finalités poursuivies par le traitement projeté. G. - Sur les mesures de sécurité a. Sur l'accès aux données n'ayant pas fait l'objet d'un rapprochement positif avec les données de la base de comparaison La CNIL prend acte du fait que des mesures de contrôle renforcées sont mises en place concernant l'accès à la base de données dite BD15 , c'est-à-dire l'accès aux données des véhicules n'ayant pas fait l'objet d'un rapprochement positif avec la base de comparaison (issue de la mise en relation avec le SIS, le FOVeS, etc.). L'accès à ces données, y compris le cas échéant aux photographies des véhicules, est conditionné au renseignement d'un formulaire demandant de préciser le cadre juridique et le numéro de procédure. Le défaut de renseignement de l'un de ces champs interdit toute consultation. La CNIL recommande au ministère la mise en œuvre d'audits réguliers afin de s'assurer de l'effectivité de cette mesure. b. Sur l'authentification des personnes accédant au traitement L'accès technique aux systèmes LAPI et la consultation locale des bases de données sont possibles après une procédure d'authentification par mot de passe. La composition et la longueur des mots de passe utilisés varient selon les modèles de système LAPI. A cet égard, la CNIL estime que toute connexion aux systèmes LAPI permettant la consultation, la modification, la suppression ou l'export de données à caractère personnel devrait faire l'objet d'une authentification multifacteur, reposant, par exemple, sur la carte à puce des agents habilités et un code d'activation de celle-ci. La CNIL rappelle également que l'utilisation de comptes nominatifs est indispensable afin de permettre la traçabilité des actions effectuées sur le système. Les identifiants partagés et les comptes de service ne devraient donc pas permettre de procéder à des opérations concernant des données à caractère personnel. c. Sur les mesures de journalisation L'article 6 de l'arrêté modifié prévoit que les opérations de collecte, de modification, de consultation, de communication, de transferts, d'interconnexion et d'effacement des données à caractère personnel font l'objet d'une journalisation. Parmi ces opérations, le même article prévoit que les opérations de consultation et de communication enregistrées permettent d'établir l'identité de l'auteur, la date, l'heure et le motif de l'opération . A cet égard, la CNIL estime que toutes les interventions concernant des données à caractère personnel devraient faire l'objet d'une journalisation permettant l'identification de leur auteur, dès lors qu'elles ne résultent pas d'opérations automatiques (par exemple liées à la suppression automatique de données dont la durée de conservation aurait expiré). d. Sur l'homologation de sécurité du traitement La CNIL rappelle que les infrastructures et services logiciels informatiques qui composent le système d'information et de communication de l'Etat doivent faire l'objet d'une décision d'homologation avant leur mise en exploitation, et doivent par la suite être maintenus en condition de sécurité, conformément aux objectifs 5 et 6 de la politique de sécurité des systèmes d'information de l'Etat (PSSIE). De plus, le décret n° 2022-513 du 8 avril 2022 relatif à la sécurité numérique du système d'information et de communication de l'Etat et de ses établissements publics précise que les systèmes antérieurs à son entrée en vigueur doivent faire l'objet d'une homologation de sécurité dans un délai de deux ans. A cet égard, la CNIL recommande de procéder aux homologations de sécurité des différents systèmes LAPI avant toute nouvelle mise en relation ou interconnexion avec d'autres traitements, ces interconnexions devant également faire l'objet de procédures d'homologation de sécurité. Les autres dispositions du projet d'arrêté n'appellent pas d'observations de la part de la CNIL. La présidente, M.-L. Denis


Délibération n° 2019-047 du 11 avril 2019 portant avis sur un projet de décret relatif aux conditions dans lesquelles la collecte de données épidémiologiques et leur traitement peuvent être confiés à des personnes agréées Lien permanent vers ce document
(demande d’avis n° 19003802)

La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l’agriculture et de l’alimentation d’un projet de décret relatif aux conditions dans lesquelles la collecte de données épidémiologiques et leur traitement peuvent être confiés à des personnes agréées ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu le code rural et de la pêche maritime notamment son article L. 201-3 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Vu la loi n° 2018-938 du 30 octobre 2018 pour l’équilibre des relations commerciales dans le secteur agricole et alimentaire et une alimentation saine, durable et accessible à tous (1) ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement, Emet l’avis suivant : La loi n° 2018-938 du 30 octobre 2018 pour l’équilibre des relations commerciales dans le secteur agricole et alimentaire et une alimentation saine, durable et accessible à tous a modifié les dispositions de l’article L. 201-3 du code rural et de la pêche maritime. L’article susvisé modifié prévoit désormais que l’Etat a la possibilité de confier la collecte des informations d’ordre épidémiologique relatives aux dangers sanitaires de première et deuxième catégorie à des personnes agréées par le ministère chargé de l’agriculture. Il prévoit qu’un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, " précise les conditions dans lesquelles la collecte des données et leur traitement peuvent être confiés à des personnes agréées par le ministère chargé de l'agriculture ". L’avis rendu par la Commission sera publié conformément à l’article 11-4 a) de la loi du 6 janvier 1978. A titre liminaire, la Commission relève que le projet qui lui a été soumis traite davantage des modalités de l’agrément délivré par le ministre chargé de l’agriculture que des conditions de collecte et de traitement des données qui peuvent être confiées à des personnes agréées. Elle estime dès lors que le projet devrait être complété sur certains points au vu des éléments communiqués par le ministère. Sur la finalité L’article L. 201-7 du code rural et de la pêche maritime prévoit que les vétérinaires et laboratoires communiquent immédiatement à l’autorité administrative tout résultat d’analyse conduisant à suspecter ou à constater la présence d’un danger sanitaire de première catégorie ou la première apparition sur le territoire national d’un danger sanitaire. La disposition susvisée précise également que tout propriétaire ou détenteur d’animaux ou de végétaux, ou tout professionnel exerçant ses activités en relation avec des animaux ou végétaux qui détecte ou suspecte l’apparition d’un danger sanitaire sur le territoire national en informe immédiatement l’autorité administrative désignée par décret. Aussi, afin de faciliter les démarches réglementaires des propriétaires ou détenteurs d’animaux concernant l’identification d’un danger sanitaire, la loi n° 2018-938 vient ajouter les personnes agréées par le ministre de l’agriculture comme nouvelle catégorie de personnes susceptibles de collecter et d’enregistrer dans une base de données nationale les informations susvisées. A cet égard, l’article 1er du projet de décret prévoit que l’agrément est délivré après avis du conseil national d’orientation de la politique sanitaire animale et végétale, à des personnes répondant aux conditions d’aptitude, d’expérience et de compétences techniques. La Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes conformément aux dispositions de l’article 5.1.b) du règlement général sur la protection des données. Elle estime toutefois que le projet de décret pourrait préciser la finalité de la collecte et du traitement des données confiées à des tiers agréés. Sur les données traitées La Commission prend acte que les informations concernant le candidat à l’obtention de l’agrément sont relatives : à l’identité de la personne physique : nom, prénom, adresse postale, numéro de téléphone, adresse électronique ; à l’identité de la personne morale : statut juridique, extrait de l’inscription au RCS, liste des mandats électifs du dirigeant, composition de l’actionnariat, informations relatives à la comptabilité. S’agissant des informations concernant la gestion du fichier nominatif tenu par la personne agréée, celles-ci sont relatives : aux propriétaires d’animaux : nom, prénom, adresse postale du lieu de détention, coordonnées géographiques des sites de détention, numéro de téléphone, adresse électronique ; aux informations d’ordre sanitaire concernant les animaux détenus. Ces catégories de données n’appellent pas d’observation de la part de la Commission, qui considère qu’elles sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément aux dispositions de l’article 5.1.c) du règlement général sur la protection des données. La Commission considère que le projet de décret dont l’objet est notamment de préciser les conditions de collecte des données devrait préciser ces catégories de données. Sur les destinataires La Commission prend note, que dans les limites de leurs attributions respectives et chacun pour ce qui le concerne, peuvent accéder aux informations concernant le candidat à l’obtention de l’agrément, le personnel du bureau de la commande publique et de la sous-direction santé et protection animale du ministère de l’agriculture et de l’alimentation. Selon les informations fournies par le ministère, peuvent être destinataires des informations enregistrées dans le fichier nominatif tenu par la personne agréée, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître : les organismes à vocation sanitaire et les organismes vétérinaires à vocation technique ; les réseaux sanitaires ; les associations sanitaires régionales ; la plateforme d’épidémiosurveillance animale ; les personnes, services ou organismes assurant la surveillance, la prévention et la lutte contre les dangers sanitaires ; les préfets ; les officiers et agents de police judiciaire ; les agents des services de secours contre l’incendie ; les maires ; les organismes à vocation statistique pour l’analyse et l’information ; les organismes payeurs des aides agricoles ; les organismes contribuant à l’amélioration génétique des animaux ou de la recherche ; les personnes en charge de l’équarrissage ; les agents habilités à procéder aux contrôles des dispositions relatives à la santé des animaux et à la salubrité des denrées alimentaires d’origine animale. La Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données et que le décret pourrait être complété sur ce point. Sur l’information et les droits des personnes La Commission prend note que les candidats à l’obtention de l’agrément sont informés conformément aux dispositions de l’article 13 du règlement général sur la protection des données, par une mention figurant dans le règlement relatif à l’appel aux candidatures et dans la convention signée entre le ministère et la personne agréée, une fois l’agrément obtenu. Les droits d’accès et de rectification s’exercent auprès du ministère de l’agriculture et de l’alimentation. Les propriétaires ou détenteurs d’animaux sont informés, conformément aux dispositions de l’article susvisé, par une mention figurant dans la charte précisant les conditions générales d’utilisation de la base de données. La Commission précise qu’il conviendra également d’informer les personnes concernées par un premier niveau d’information au moment de leur authentification sur la plateforme en priorisant les éléments d’information essentiels et notamment l’identité du responsable de traitement, la finalité poursuivie ainsi que les modalités d’exercice des droits des personnes. Les droits de rectification et d’accès s’exercent auprès de la personne agréée. La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes. Sur la durée de conservation La Commission prend acte que les informations relatives au candidat à l’obtention de l’agrément sont conservées en base active le temps de l’instruction et de la délivrance de l’agrément par le ministre de l’agriculture. En cas de refus de l’agrément par le ministre de l’agriculture, les données sont conservées jusqu’à l’extinction des différentes voies de recours puis archivées conformément aux dispositions du code du patrimoine relatives aux obligations d’archivage des informations dans le secteur public. Les informations relatives à l’agrément, une fois obtenu, sont conservées dix ans. A cet égard, la Commission relève que cette durée correspond au temps de validité de l’agrément. A l’expiration de cette période, les données sont archivées conformément aux dispositions du code du patrimoine susvisées. S’agissant des informations contenues dans le fichier nominatif tenu par la personne agréée, celles-ci sont conservées dix ans à compter de leur enregistrement. La Commission considère que cette durée de conservation est justifiée par le temps nécessaire aux études épidémiologiques qui nécessitent un historique des évènements sanitaires. Sur les mesures de sécurité La Commission prend acte que des mesures de protection physiques et logiques seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée et frauduleuse, notamment par des tiers non autorisés, préserver l’intégrité des données traitées, et en assurer la disponibilité. A ce titre, elle rappelle que des profils d’habilitation doivent définir les fonctions ou les types d’informations accessibles à un utilisateur. Ceux-ci ainsi que leurs droits respectifs doivent être spécifiés et documentés de manière détaillée, et prendre en compte les accès différentiés aux informations en fonction du besoin d’en connaître. La Commission rappelle qu’elle recommande que les permissions d’accès soient attribuées pour une durée déterminée, qu’elles soient supprimées pour tout utilisateur n’étant plus habilité, et qu’une revue globale des habilitations soit opérée régulièrement. L’authentification des utilisateurs du traitement doit être assurée par l’utilisation de mots de passe régulièrement renouvelés et, constitués d’au moins huit caractères contenant des majuscules, des minuscules, et des chiffres lorsque l’authentification prévoit une restriction de l’accès au compte, conformément à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe modifiée. Des sauvegardes régulières doivent être réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission tient à rappeler l’importance de tester régulièrement les sauvegardes. La Commission rappelle que ces obligations nécessitent la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. Pour la Présidente La Vice-Présidente Déléguée Mme Sophie LAMBREMON


Délibération de la formation restreinte n°SAN-2024-018 du 7 novembre 2024 relative à l’injonction prononcée à l’encontre de la commune de Kourou par la décision n°SAN-2023-018 du 12 décembre 2023

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, M. Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 22-1 ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la délibération n° SAN-2023-018 du 12 décembre 2023 adoptée par la formation restreinte à l’encontre de la commune de Kourou ; Vu la délibération n°SAN-2024-009 du 22 juillet 2024 adoptée par la formation restreinte à l’encontre de la commune de Kourou ; Vu la désignation d’un délégué à la protection des données par la commune de Kourou le 17 septembre 2024 ; La formation restreinte a adopté la décision suivante : I. FAITS ET PROCÉDURE 1. La commune de de KOUROU (ci-après " la commune "), est une collectivité territoriale de 25 000 habitants, située dans la collectivité territoriale unique de Guyane, dont la mairie se trouve 30 avenue des Roches à Kourou (97310). 2. Par courrier du 2 juin 2021, dans le cadre des missions définies à l’article 8 de la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, la Présidente de la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a alerté la commune de KOUROU sur l’absence de désignation d’un délégué à la protection des données (ou " DPD ") en son sein. 3. Le 25 avril 2022, la Présidente de la CNIL a mis en demeure la commune, sous un délai de quatre mois à compter de la notification de cette décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de procéder à la désignation d’un DPD. Cette décision, rendue publique après délibération du bureau de la CNIL du 5 mai 2022, a été notifiée à la commune le 19 mai 2022. 4. La commune de KOUROU n’ayant pas procédé à la désignation d’un DPD, le président de la formation restreinte a prononcé le 8 février 2023, dans le cadre d’une procédure de sanction simplifiée, une amende à l’encontre de la commune d’un montant de cinq mille euros pour les manquements aux articles 31 et 37-1-a) du RGPD et une injonction de désigner un délégué à la protection des données dans un délai de trois mois suivant la notification de ladite décision, intervenue le 25 février 2023. 5. La commune de KOUROU n’ayant toujours pas procédé à la désignation d’un DPD, la formation restreinte a prononcé le 12 décembre 2023 à l’encontre de la commune, dans le cadre d’une procédure de sanction ordinaire, une amende administrative d’un montant de cinq mille euros au regard des manquements constitués aux articles 31 et 37 du RGPD, une injonction de désigner un délégué à la protection des données assortie d’une astreinte de cent cinquante euros par jour de retard à l’issue d’un délai de deux mois suivant la notification de la décision. La formation restreinte a rendu publique cette décision et a ordonné à la commune de publier sur son site officiel un message d’information quant à la décision rendue. 6. Par délibération du 22 juillet 2024, la commune de KOUROU n’ayant pas satisfait à l’injonction de désigner un délégué à la protection des données, la formation restreinte a procédé à la liquidation de l’astreinte prononcée à l’encontre de la commune pour un montant de six mille neuf cents euros au titre de la période du 19 février 2024 au 4 avril 2024 et en a prononcé la publicité. 7. Le 17 septembre 2024, la commune a procédé auprès des services de la CNIL à la désignation d’un délégué à la protection des données. II. MOTIFS DE LA DECISION A. Sur les motifs de la clôture 8. Il ressort des éléments déclarés par la commune le 17 septembre 2024 à la CNIL, que cette dernière a procédé à la désignation d’un délégué à la protection des données. 9. La formation restreinte considère dès lors que la commune a satisfait à l’injonction, de sorte qu’il n’y a pas lieu à une nouvelle liquidation d’astreinte. 10. Il convient en conséquence de clore la présente procédure. B. Sur la publicité 11. Il convient de rendre publique la présente délibération afin d’informer des suites données au prononcé de l’injonction de la sanction n°SAN-2023-018 du 12 décembre 2023 et à la liquidation d’astreinte prononcée à l’encontre de la commune au titre de la période du 19 février 2024 au 4 avril 2024 par délibération n°SAN-2024-009 du 22 juillet 2024, elles-mêmes publiées. PAR CES MOTIFS La formation restreinte de la Commission nationale de l’informatique et des libertés, décide : - qu'il n’y a pas lieu à une nouvelle liquidation d’astreinte à l’égard de la commune de Kourou ; - de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération, qui n’identifiera plus nommément la commune de KOUROU à l’expiration d’un délai d’un an à compter de sa publication. Le président Philippe-Pierre CABOURDIN Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de trois mois à compter de sa notification.


Délibération n° 2024-003 du 11 janvier 2024 portant avis sur un projet d'arrêté relatif aux programmes de dépistages organisés des cancers

Date de l'avis : 11 janvier 2024 N° de la délibération : 2024-003 N° de demande d'avis : 23014929 Textes concernés : projet d'arrêté relatif aux programmes de dépistages organisés des cancers Organisme(s) à l'origine de la saisine : ministère de la santé et de la prévention Thématique : dépistages organisés des cancers. Fondement de la saisine : article 8.I.2°-e, de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et article L. 1411-8 du code de la santé publique L'essentiel : Le projet d'arrêté vise à modifier les conditions de mise en œuvre des programmes de dépistages organisés du cancer du sein, du cancer colorectal et du cancer du col de l'utérus. La CNIL regrette de devoir se prononcer dans un délai restreint, notamment au regard de la complexité du dispositif et de son caractère encore évolutif. Compte tenu de ces éléments, son avis se limite à rappeler les principes essentiels à respecter afin d'assurer la protection des données à caractère personnel et le respect de la vie privée des personnes concernées dans ce cadre. En particulier, la CNIL attire l'attention du ministère sur le respect des dispositions relatives au secret médical et sur l'information des personnes concernées, qui devra leur permettre de comprendre les modalités de traitement de leurs données par les différents acteurs. Enfin, la CNIL appelle à l'adoption par le ministère d'un cadre général complétant le projet d'arrêté et portant les exigences et les recommandations nécessaires pour réduire les risques structurels liés au dispositif dans son ensemble. La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son article 8.I.2°-e ; Vu le code de la santé publique, notamment en son article L. 1411-8 Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte Le dépistage organisé des cancers repose sur trois programmes nationaux mis en place progressivement depuis 2004 pour le cancer du sein, 2008 pour le cancer colorectal et 2018 pour le cancer du col de l'utérus. Les conditions de mise en œuvre de ces programmes sont fixées par l'arrêté du 29 septembre 2006 modifié. Plusieurs annonces ministérielles ont eu lieu le 5 décembre 2022 dans le cadre de la feuille de route priorité dépistages lancée dès 2024 afin de mettre en œuvre une organisation rénovée de ces dépistages. Des groupes de travail ont été mis en place, suivis de la consultation d'acteurs concernés par ce dispositif. Leurs conclusions ont nourri le projet d'arrêté dont la CNIL est saisie. B. - L'objet de la saisine La CNIL a été saisie le 17 novembre 2023, par le ministre de la santé et de la prévention, d'une demande d'avis sur un projet d'arrêté visant à organiser, notamment en ce qui concerne les traitements de données à caractère personnel nécessaires, les programmes de dépistages organisés des cancers. Ce projet d'arrêté est complété de deux annexes et d'un cahier des charges pour chaque dépistage organisé, prévoyant les conditions de mises en œuvre du dispositif. D'après l'ensemble de ces documents, plusieurs traitements de données à caractère personnel interviendront dans le cadre de ce dispositif : - les organismes d'assurance maladie seront responsables des traitements pour le pilotage des invitations à participer aux dépistages ainsi que leurs relances, pour certaines actions dites d'aller-vers , ainsi que pour la transmission aux médecins traitants de la liste des personnes éligibles aux dépistages organisés ; - les centres régionaux de coordination des dépistages des cancers (CRCDC) seront responsables des traitements pour le suivi et l'accompagnement des personnes dépistées ainsi que la réalisation de la seconde lecture des mammographies dans le cadre du dépistage organisé du cancer du sein ; - l'Institut national du cancer (INCa) sera responsable des traitements dans le cadre du dispositif informatique national qu'il élabore pour collecter les données relatives au dépistage organisé du cancer du col de l'utérus et permettre le suivi des personnes dépistées par les CRCDC, ainsi que de l'évaluation organisationnelle et opérationnelle des programmes et de la plateforme de données en cancérologie (PDC) ; - l'Agence nationale de santé publique (ANSP) sera responsable des traitements relatifs à l'évaluation de la performance épidémiologique des programmes. La saisine de la CNIL se fonde sur : - l'article 8.I.2°-e de la loi informatique et libertés qui prévoit que la CNIL répond aux demandes d'avis des pouvoirs publics et conseille les personnes et organismes qui mettent en œuvre ou envisagent de mettre en œuvre des traitements automatisés de données à caractère personnel ; - l'article L. 1411-8 du code de la santé publique (CSP), qui prévoit qu'à des fins de suivi statistique et épidémiologique de la santé de la population, les médecins qui réalisent les consultations médicales de prévention et les examens de dépistage prévus aux articles L. 1411-6 et L. 1411-6-2 transmettent au ministre chargé de la santé, à l'agence régionale de santé ou aux organismes désignés à cet effet par le directeur général de l'agence, dans des conditions fixées par arrêté pris après avis du Conseil national de l'information statistique et de la Commission nationale de l'informatique et des libertés des données agrégées et/ou des données à caractère personnel, dont certaines de santé, ne comportant ni le nom, ni le prénom, ni l'adresse détaillée. C'est sur ce fondement et pour la partie correspondante de l'arrêté et de ses annexes qu'une saisine préalable de la CNIL a été nécessaire. II. - L'avis de la CNIL A. - Sur la clarté et l'encadrement du dispositif Le projet opère un changement structurel dans les modalités de mise en œuvre des programmes de dépistages organisés des cancers, notamment par le passage à un fonctionnement national du dispositif et le transfert à la Caisse nationale de l'assurance maladie (CNAM) du pilotage des invitations à participer aux dépistages, jusqu'ici dévolu aux CRCDC. Cette modification a pour objectif de recentrer ces derniers sur leurs missions essentielles de suivi et d'accompagnement des personnes dépistées. Ce nouveau fonctionnement implique une modification des flux de données existants ainsi que la création de nouvelles bases nationales de données. La mise en œuvre de ces programmes repose sur une multiplicité de flux de données entre les différents acteurs impliqués dans le dispositif. Au regard de l'intérêt public évident des programmes de dépistages organisés et des résultats jugés décevants des programmes menés jusqu'ici, la CNIL a conscience des enjeux liés à la mise à jour des dispositions de l'arrêté de 2006, incluant l'encadrement des traitements de données à caractère personnel mis en œuvre dans ce contexte. Elle prend acte de l'intérêt pratique de confier à la CNAM l'envoi des courriers de prévention. La CNIL a été saisie le 17 novembre 2023 par le ministère, qui a souhaité qu'elle se prononce dans les plus brefs délais dans la perspective d'une entrée en vigueur de l'arrêté au 1er janvier 2024, afin de tenir compte des annonces ministérielles. La CNIL regrette vivement de ne pas avoir eu davantage de temps pour évaluer les effets du dispositif, au regard de l'ampleur, de l'importance et de la sensibilité du dispositif et des flux de données engendrés. Elle déplore notamment la transmission très tardive de documents précisant les dispositions du projet, de ses annexes et du cahier des charges. La CNIL a été saisie sur le fondement de l'article L. 1411-8 du CSP. D'après les documents transmis, les dispositions de cet article couvriraient la transmission à l'ANSP de données pseudonymisées afin de procéder à l'évaluation du suivi épidémiologique de la population. La CNIL invite le ministère à préciser les conditions de cette transmission dans l'arrêté, afin qu'il comporte les modalités de fixation des échantillons ainsi que les garanties de confidentialité apportées lors de la transmission des données comme l'impose l'article précité. En dehors des dispositions pour lesquelles sa consultation est obligatoire, la CNIL recommande au ministère de clarifier l'ensemble des flux de données mis en œuvre dans le cadre du dispositif. En effet, au regard des documents transmis à l'appui de la saisine et des échanges avec les responsables de traitements, la définition et les modalités de mise en œuvre de ce dispositif majeur de santé publique ne semblent pas totalement finalisés. Le projet d'arrêté a vocation à constituer le fondement juridique d'une majeure partie des flux de données, ce qui rend d'autant plus nécessaire d'en clarifier les dispositions. N'ayant pas vocation en vertu des dispositions de l'article L. 1411-8 du CSP à se prononcer sur l'ensemble du dispositif, la CNIL renvoie au principe de responsabilité de chaque acteur, en application du RGPD. Son avis se limitera à rappeler les principes essentiels à respecter afin d'assurer la protection des données à caractère personnel et le respect de la vie privée des personnes concernées dans ce cadre. La CNIL se tient à la disposition du ministère et des acteurs impliqués pour les accompagner dans leur démarche de mise à jour des programmes de dépistages, notamment lorsque l'ensemble des flux de données envisagés sera suffisamment précisé. B. - Sur le nécessaire respect du secret médical Le dispositif prévoit le partage de données couvertes par le secret médical entre un grand nombre d'acteurs dans le cadre de multiples traitements. D'après les documents transmis à l'appui de la saisine, si certains flux de données entrent dans les cas prévus par le CSP (notamment la transmission des données des professionnels de santé vers les CRCDC), la transmission de données couvertes par le secret entre d'autres acteurs apparaît moins évidente au regard de l'article L. 1110-4 du même code. En effet, seules les annexes prévoient la transmission de données de la CNAM aux CRCDC ou encore la transmission de données entre les CRCDC et les registres des cancers. Sans remettre en cause l'intérêt du dispositif en matière de santé publique, la CNIL invite le ministère à s'assurer que l'ensemble des flux de données portant sur des données couvertes par le secret médical soient prévus par une loi ou en constituent la conséquence nécessaire. C. - Sur les invitations et les relances D'une part, le dispositif prévoit l'envoi d'invitations par les organismes d'assurance maladie aux assurés sociaux éligibles à un programme de dépistage organisé à échéance régulière (les cycles de dépistages variant selon la pathologie recherchée, l'âge de la personne concernée et les résultats de test antérieurs). L'article 3-IV de l'arrêté écarte le droit d'opposition dans ce cadre : les personnes concernées seront systématiquement invitées à chaque cycle en cas de non réalisation du dépistage. D'autre part, le dispositif prévoit, pour chaque cycle, l'envoi de relances aux personnes éligibles qui n'ont pas réalisé l'examen de dépistage à la suite de l'invitation. Les personnes concernées pourront s'opposer aux relances, incluant les actions d'aller-vers . L'opposition devra être exprimée pour chacun des dépistages organisés. La CNIL s'interroge sur la complexité des critères qui seront mis en œuvre pour réaliser ces différents ciblages et demande qu'une communication de transparence soit effectuée à leur sujet. Le ministère précise que la CNAM, en lien avec l'INCa, prévoit d'élaborer un document de communication permettant d'informer les personnes sur les modalités du ciblage. D. - Sur les démarches d'aller-vers Les documents transmis à l'appui de la saisine prévoient que des actions d'aller-vers seront mises en place dans le cadre des programmes de dépistages organisés des cancers. En l'absence de détails suffisamment précis sur ces actions, la CNIL rappelle la nécessité de prévoir des règles claires pour l'ensemble des organismes en charge des démarches d'aller-vers qui ne doivent pas être intrusives pour les personnes concernées, afin de garantir le respect de leur vie privée. Le ministère indique que la CNAM se chargera d'élaborer, dans le respect des dispositions relatives à la protection des données, un cadre précis destiné aux organismes du réseau afin d'assurer une articulation locale et nationale efficiente. Ces actions devront également respecter les dispositions relatives au secret médical. E. - Sur l'information et les droits des personnes De façon générale, la CNIL invite le ministère à préciser et clarifier les modalités d'information des personnes concernées et d'exercice de leur droit d'opposition. Sur l'information des personnes : La CNIL rappelle l'importance de la transparence de l'ensemble du dispositif pour la population et les professionnels de santé. Les personnes concernées devront ainsi disposer, dès le premier niveau d'information, d'une visibilité sur l'ensemble des traitement mis en œuvre dans le cadre du dispositif et des acteurs impliqués, lors de l'envoi des invitations et des relances. Un renvoi vers les différents sites web des responsables de traitements concernés devra également y figurer afin de compléter l'information. Pour les deux niveaux d'information, la CNIL recommande que les modalités d'information et leur intelligibilité soient sensiblement améliorées par rapport à celles décrites dans les documents transmis à l'appui de la saisine. L'ensemble des mentions prévues par le RGPD devra figurer sur les documents transmis pour chaque traitement. De plus, des documents d'information complets devront être transmis aux personnes qui en feraient la demande. Sur les droits des personnes : Le projet d'arrêté prévoit que les personnes concernées pourront exercer leurs droits (accès, rectification, effacement, limitation et, le cas échéant, d'opposition) auprès de chacun des responsables de traitement. Compte tenu des multiples traitements et acteurs impliqués, la CNIL souligne la nécessaire effectivité des procédures qui seront mises en place. Le ministère s'est engagé à sensibiliser les responsables de traitement, dont relève la mise en place de ces procédures, à prendre les mesures nécessaires pour assurer le respect et l'effectivité des droits des personnes concernées. La CNAM prévoit de recourir à un téléservice dédié à l'exercice du droit d'opposition intitulé déclare opposition pour le traitement relatif à la transmission aux médecins traitants de la liste des personnes éligibles aux dépistages organisés, afin d'exercer leur droit d'opposition. La CNIL salue cette initiative et encourage le ministère à ce qu'il devienne un espace général de gestion des droits d'opposition mis en œuvre pour les différents traitements du dispositif. Le ministère s'est par ailleurs engagé à maintenir les autres canaux d'opposition. F. - Sur les mesures de sécurité La CNIL relève une grande disparité entre les documents transmis concernant les mesures de sécurité des données. Tous les traitements visés par le projet d'arrêté devront faire l'objet d'une mise à jour de leur analyse d'impact sur la protection des données (AIPD), assortie d'un plan d'action adéquat, avant la mise en œuvre du nouveau dispositif. Afin d'accompagner les différents responsables de traitement dans cette démarche, la CNIL appelle le ministère à diffuser dans les meilleurs délais un cadre général complétant le projet d'arrêté et comportant les exigences et les recommandations nécessaires pour réduire les risques structurels liés au dispositif dans son ensemble. En effet, au regard de l'évolution du dispositif existant, ce cadre général permettrait d'encadrer la mise en œuvre et les évolutions des nombreux flux de données existant entre les acteurs impliqués. En particulier, ce cadre général devra traiter les risques de violation du secret médical suite à une perte de confidentialité ou un usage illégitime des différentes données collectées et échangées, en s'appuyant notamment sur les mesures de pseudonymisation des données et de protection des tables de correspondance entre les différents acteurs. De plus, les derniers documents fournis à la CNIL indiquent la présence d'un tiers de confiance de pseudonymisation, notamment impliqué dans les flux de données relatifs à l'évaluation de la performance épidémiologique des programmes. La CNIL s'interroge sur sa désignation et sur l'effectivité de son indépendance par rapport à l'ensemble des acteurs impliqués, sur laquelle reposerait une grande partie de la sécurité du dispositif. Ce cadre général devra également désigner ce tiers de confiance et préciser son rôle et ses limites. Ce cadre général devra également préciser son articulation avec les référentiels techniques qui seront élaborés par l'INCa. G. - Sur l'accomplissement de formalités préalables Il conviendra d'effectuer ou de mettre à jour les formalités préalables pour les traitements concernés, notamment ceux mis en œuvre à des fins de recherches, études et évaluations dans le domaine de la santé, par l'INCa et l'ANSP, ou encore en cas de modification future de la PDC, qui n'est actuellement pas prévue dans le cadre du présent arrêté. Par ailleurs, les traitements mis en œuvre par les registres des cancers sont pour la plupart encadrés par des formalités réalisées avant la mise en œuvre du RGPD. La CNIL invite le ministère à clarifier leur encadrement juridique, par exemple à un niveau réglementaire, afin notamment de prévoir la transmission de données protégées par le secret médical à ces organismes, tout en assurant la transparence nécessaire auprès des personnes concernées. La présidente, M.-L. Denis


Délibération n° 2023-147 du 21 décembre 2023 portant avis sur un projet de décret relatif à la mise en œuvre de l'espace numérique de santé

Date de l'avis : 21 décembre 2023. N° de la délibération : n° 2023-147. N° de demande d'avis : 23010548. Texte concerné : projet de décret en Conseil d'Etat relatif à la mise en œuvre de l'espace numérique de santé. Organisme à l'origine de la saisine : ministère de la santé et de la prévention. Thématiques : espace numérique de santé, ENS, prévention personnalisée, dossier médical partagé, DMP. Fondement de la saisine : article L. 1111-13-1 du code de la santé publique. L'essentiel : Le projet de décret ajoute deux fonctionnalités à l'espace numérique de santé (ENS - Mon espace santé ) : l'extension des données librement renseignées par les titulaires d'un espace numérique de santé (ENS) en vue de la préparation des rendez-vous de prévention ; l'envoi de messages de prévention personnalisés au titulaire de l'ENS. La CNIL insiste sur la nécessité que l'information délivrée dans le cadre des messages de prévention personnalisés soit précise et complète en ce qui concerne leur mode d'élaboration par un algorithme. Le projet de décret devrait être modifié afin : qu'il soit fait mention des cas dans lesquels des personnes physiques autres que le titulaire pourront accéder aux messages de prévention ; de consacrer les garanties apportées par le ministère destinées à ne pas faire relever ces messages des décisions individuelles automatisées relevant de l'article 22 du RGPD. _______________________ La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (ci-après loi informatique et libertés ) ; Vu le code de la santé publique, notamment son article L. 1111-13-1 ; Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte de la saisine L'espace numérique de santé (ENS - Mon espace santé ), créé par la loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé (OTSS), est régi par les articles L. 1111-13 à L. 1111-13-2 du code de la santé publique (CSP). Le ministère de la santé et de la prévention et la Caisse nationale de l'assurance maladie (CNAM), responsables conjoints du traitement, entendent renforcer la dimension de prévention de l'ENS. B. - L'objet de la saisine Le projet de décret, dont est saisie la CNIL en application de l'article L. 1111-13-1 du CSP, vient compléter les dispositions prévues par le décret n° 2021-1048 du 4 août 2021. Il vise à faire évoluer les conditions de mise en œuvre de l'ENS afin de mettre en place des mesures de prévention personnalisées. Afin de réaliser des campagnes de prévention ciblées, le projet prévoit de modifier l'article R. 1111-27 du CSP en : élargissant les données contenues dans l'ENS, notamment par le renseignement libre de questionnaires dédiés à la préparation de rendez-vous de prévention ; permettant l'envoi de messages de prévention personnalisés. II. - L'avis de la CNIL A. - Sur les données collectées en vue de la préparation des rendez-vous de prévention En vue de la préparation des rendez-vous de prévention, le projet d'article 1-1° étend les catégories de données que le titulaire peut renseigner directement dans son ENS et auxquelles le professionnel de santé habilité pourra accéder. Seules les données susceptibles d'avoir un impact sur la santé du titulaire de l'ENS, nécessaires à la mise en œuvre des mesures de prévention sanitaire et sociale mentionnées à l'article L. 1411-6-2 du CSP pourront être collectées à cette fin. Le projet établit une liste exhaustive des catégories de données pouvant être collectées dans ce cadre. L'objectif d'améliorer la prévention sanitaire et sociale est légitime et les catégories de données prévues à cette fin sont pertinentes. Le ministère s'est engagé à ce que les titulaires de l'ENS soient invités à ne renseigner que des informations strictement pertinentes à la détermination de leur état de santé, notamment dans les zones de commentaires libres. A titre d'observation, la CNIL rappelle que le versement de ces données dans le volet relatif à la santé au travail du dossier médical partagé (DMP) nécessitera une modification du décret relatif au DMP. B. - Sur l'information des personnes S'agissant des données librement renseignées par le titulaire : Lorsque le titulaire de l'ENS aura versé le questionnaire de santé dans le DMP, le professionnel de santé, consulté dans le cadre d'un rendez-vous de prévention, pourra alors y accéder, sauf opposition du titulaire. Par ailleurs, le ministère a indiqué que les réponses associées au questionnaire enrichiront le profil médical du titulaire. Ce dernier pourra modifier ou supprimer à tout moment les données enregistrées et télécharger une synthèse de son profil médical afin de la déposer dans son DMP. La CNIL prend acte des possibilités d'enrichir son DMP ainsi offertes au titulaire. Le titulaire de l'ENS devra être clairement informé des conséquences associées, s'agissant notamment de la consultation de ces informations par les professionnels habilités, conformément à l'arrêté prévu à l'article L. 1411-7 du CSP et dans les conditions prévues par la matrice d'habilitation. La CNIL prend acte de l'engagement du ministère d'informer le titulaire des catégories de professionnels de santé en capacité de lire, dans le respect de la matrice d'habilitation, les données qu'il aura librement renseignées dans son DMP, ainsi que des fonctionnalités de masquage ou de blocage qui sont mises à sa disposition. S'agissant de l'élaboration des messages de prévention personnalisés : Le projet d'article 1-3° prévoit que les données issues de toutes les composantes de l'ENS pourront être réutilisées en vue de l'élaboration et de l'envoi d'informations de prévention personnalisées au titulaire par la CNAM. Sont donc également concernées, outre les données des questionnaires de prévention, toutes les données pertinentes qui auraient été ajoutées par le titulaire dans son utilisation courante de l'ENS, soit directement, soit par le biais d'applications ou services disponibles au catalogue de l'ENS. Toutefois, le projet exclut l'utilisation des données issues de la messagerie sécurisée de santé, afin de respecter le principe de secret des correspondances. Une information spécifique est mise à la disposition du titulaire de l'ENS sur les caractéristiques du traitement qui permet l'élaboration des messages de prévention personnalisés et sur son droit d'opposition. Le ministère s'est engagé à ce que les personnes concernées soient informées que la quasi-totalité des données contenues dans l'ENS pourront être réutilisées en vue de l'élaboration de messages de prévention personnalisés. En outre, la CNIL recommande que, lorsqu'un message de prévention est envoyé à une personne, il soit clairement indiqué que ce message résulte d'un traitement algorithmique et non de l'analyse personnalisée d'un médecin. Le ministère s'est engagé à ce que les personnes concernées soient informées des modalités de conception des messages de prévention personnalisés et du fait qu'ils ne proviennent pas de leur professionnel de santé mais de leur caisse d'assurance maladie. A cette fin, chaque message qui sera envoyé contiendra un lien vers les mentions d'information adéquates et une interface dédiée et facilement accessible sera mise à disposition du titulaire de l'ENS. C. - Sur l'accès aux données de l'ENS en vue de l'élaboration et l'envoi de messages de prévention personnalisés au titulaire S'agissant du respect du secret médical : Le ministère précise que : l'envoi des messages de prévention personnalisés n'implique l'accès d'aucune personne physique aux données contenues dans l'ENS ; les messages de prévention ne seront personnalisés que sur la base de règles de gestion préalablement définies ; aucun croisement avec des bases de données extérieures à l'ENS ne sera effectué ; les messages ne seront consultables que par le titulaire concerné de l'ENS, ou son représentant légal, à l'exclusion de toute autre personne. Le dispositif envisagé n'autorisant aucun accès par une personne non autorisée ou habilitée par le CSP à des informations couvertes par le secret médical, la CNIL estime qu'il respecte le droit au respect de la vie privée et le secret médical tel que prévu par l'article L. 1110-4 du CSP. En l'état, le projet de décret autorise, lorsque la technique le permettra, l'envoi de messages de prévention particulièrement ciblés, grâce à des algorithmes voire, à terme, à l'intelligence artificielle. Dans cette perspective, la réception de messages très spécifiques, potentiellement anxiogènes, devra nécessairement être associée à des mesures humaines de contrôle et d'accompagnement des personnes concernées. De telles mesures sont susceptibles de porter atteinte au principe du secret médical et devront donc être prévues par la loi, le cas échéant. Par ailleurs, les représentants légaux des titulaires mineurs ou de ceux bénéficiant d'une mesure de protection juridique avec représentation pourront, de fait, accéder aux messages de prévention. Dès lors le ministère s'est engagé à modifier le décret afin de tenir compte des différents cas dans lesquels un accès à l'ENS est autorisé à une personne autre que le titulaire (professionnel ou représentant légal) par le CSP. La CNIL invite en outre les responsables conjoints du traitement à s'assurer que l'envoi de messages de prévention ciblés ne puisse révéler des informations que le représentant légal n'a pas à connaître ou que le titulaire a souhaité ou pourrait souhaiter rendre inaccessibles à ses représentants légaux. S'agissant du profilage : Le dispositif prévu par le projet de décret répond à la définition du profilage prévue à l'article 4 du RGPD, en ce qu'il constitue un traitement automatisé, effectué sur des données à caractère personnel, dont l'objectif est d'évaluer les aspects personnels du titulaire de l'ENS pour analyser ou prédire des éléments concernant sa santé. Dès lors, et bien que le ministère estime qu' aucune décision produisant des effets juridiques à l'égard d'une personne ou l'affectant de manière significative ne peut être prise sur le seul fondement du traitement mis en œuvre, il indique mettre en place les garanties supplémentaires suivantes : la transparence sur l'élaboration du contenu des messages de prévention reçus et sur le fonctionnement du traitement ; l'application d'une stricte proportionnalité des données traitées, pour chaque campagne de prévention ; une information des personnes quant aux modalités d'évolution de leur ENS ; le droit d'opposition du titulaire de l'ENS à l'utilisation de ses données à des fins de prévention, qui pourra intervenir à tout moment ; l'absence d'effets juridiques et d'incidence significative sur le titulaire du compte, les données du traitement n'étant jamais réutilisées à d'autres fins que l'envoi de messages de prévention. Le ministère estime que ces conditions, qui seront satisfaites pour chaque campagne de prévention, permettront de s'assurer du respect des dispositions du RGPD. La CNIL en prend acte et rappelle que seuls des messages non constitutifs d'une décision au sens de l'article 22 du RGPD devront être envoyés aux titulaires. D. - Sur les aspects techniques et les mesures de sécurité encadrant l'élaboration et l'envoi de messages de prévention personnalisés Dans la mesure où le projet prévoit l'interdiction d'accès aux données par des personnes physiques tierces dans le cadre du traitement envisagé, les responsables de traitement ont été interrogés sur les moyens prévus afin de vérifier que les messages générés seront envoyés aux bons destinataires. La CNAM a indiqué que des tests unitaires et d'intégration seraient réalisés au préalable suivant les règles de gestion déterminées pour chaque campagne. De plus, ces règles seraient, dans un premier temps, simples et limitées aux données présentes dans l'ENS, dont celles librement renseignées par le titulaire, sans aucune requête prévue sur les zones de saisie libre ou nécessitant le croisement de bases différentes. Pour autant, interrogé sur les nombreuses catégories de données mobilisées par le nouvel alinéa 8°, le ministère a indiqué que le projet visait également à permettre le développement de campagnes à grande échelle basées sur l'ensemble des données de l'ENS et du DMP, y compris les documents qui y sont déposés. A ce stade, l'analyse d'impact relative à la protection des données (AIPD) fournie à l'appui du projet de texte ne traite pas les risques liés à un accès automatique et massif aux données de l'ENS et du DMP, ni les questions de tests d'algorithmes complexes, ni les risques liés aux traces d'activité qui seront collectées et traitées afin de suivre l'efficacité des campagnes. La CNIL invite le ministère à faire évoluer cette AIPD au fur et à mesure de l'évolution des campagnes et à s'interroger sur les éventuelles garanties supplémentaires à apporter au regard des risques éthiques, juridiques et techniques d'un profilage à grande échelle, basé sur des données de santé, mettant en œuvre des algorithmes complexes et susceptibles de recourir à des outils d'intelligence artificielle. En particulier, il apparaît nécessaire de considérer tous les cas dans lesquels le système pourrait, par erreur, adresser un message à une personne hors cible, ce qui aurait pour effet de l'inquiéter, ou au contraire omettrait d'envoyer un message important à une personne à risque. A cet égard, il semble important que le destinataire d'un message puisse échanger avec un professionnel habilité à cette fin, y compris pour comprendre la raison de l'envoi de ce message. Dans cette hypothèse, le titulaire et le professionnel habilité devront avoir accès à un niveau d'explicabilité adapté aux moyens utilisés pour le ciblage. A cet égard, la CNAM et le ministère ont indiqué que les traitements envisagés ne remettront pas en cause les mesures techniques actuelles de protection des données de l'ENS et du DMP, qui ont été rappelées, en particulier le chiffrement individuel au repos du DMP de chaque titulaire et le déchiffrement ponctuel dans un espace de traitement sécurisé. De plus, la CNAM et le ministère se sont engagés à inclure dans l'AIPD de l'ENS, pour chaque campagne de prévention, des éléments spécifiques permettant de vérifier la conformité de la campagne envisagée et de prendre les mesures adaptées au cas par cas. La CNIL en prend acte, et invite le ministère à compléter le projet de décret pour prévoir que les responsables conjoints du traitement mettront à jour l'AIPD avant chaque nouvelle campagne de prévention. Cette analyse devra notamment permettre de s'assurer qu'aucune décision au sens de l'article 22 du RGPD ne découle des messages générés et de mettre en place les mesures adaptées aux risques. La présidente, M.-L. Denis


Délibération de la formation restreinte n° SAN-2023-014 du 28 septembre 2023 relative à l’injonction prononcée à l’encontre de la société X par la délibération no SAN-2022-026 du 29 décembre 2022

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mmes Anne DEBET et Christine MAUGÜÉ, et MM. Alain DRU et Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la délibération n° SAN-2022-026 du 29 décembre 2022 adoptée par la formation restreinte à l’encontre de la société […] ; Vu les éléments transmis par la société […] le 14 avril 2023 pour démontrer leur conformité à l’injonction ; Vu les autres pièces du dossier ; Après en avoir délibéré lors de la séance du 13 juillet 2023, a adopté la décision suivante : I. FAITS ET PROCÉDURE 1. La décision no SAN-2022-026 du 29 décembre 2022, notifiée à la société […] le 16 janvier 2023, a enjoint à cette dernière de : "de recueillir le consentement de l’utilisateur à l’utilisation de l’IDFV à des fins publicitaires ". 2. Cette injonction était assortie d’une astreinte de vingt mille euros (20 000) euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai. 3. Le 14 avril 2023, la société […] a adressé au président de la formation restreinte des éléments en vue de justifier sa mise en conformité, en présentant la mise en œuvre, lors de l’ouverture d’un jeu édité par la société […] sur un terminal équipé du système d’exploitation iOS, d’un dispositif de recueil du consentement pour l’utilisation de l’ "identifier for vendors " (IDFV) à des fins de publicité ciblée, de mesure de la performance des contenus et d’amélioration de ses jeux et applications. 4. Il ressort des éléments produits par la société que lors de l’ouverture d’un jeu […], la sollicitation qu’elle présente apparaît préalablement à celle de la société APPLE (également dénommée "sollicitation ATT "), par laquelle celle-ci demande à l’utilisateur l’autorisation de suivre ses activités sur toutes les applications de son terminal grâce à la lecture de l’ "identifier for advertisers " (IDFA) à des fins de publicité ciblée. La société […] précise qu’en cas de refus de l’utilisation de l’IDFV, celui-ci ne pourra pas être lu par les partenaires ou par la société elle-même à des fins publicitaires, et ce, quel que soit le choix fait par l’utilisateur à la sollicitation ATT. II. MOTIFS DE LA DECISION 5. La formation restreinte de la CNIL relève qu’il ressort des éléments fournis par la société qu’une première fenêtre apparaît lors de l’ouverture d’un des jeux qu’elle édite, préalablement à la sollicitation ATT. Cette fenêtre sollicite le consentement de l’utilisateur pour que la société […] et ses partenaires puissent recueillir "certaines données techniques, notamment l’identifiant publicitaire et l’adresse IP de l’utilisateur ", afin, d’une part, de "proposer des publicités personnalisées " et, d’autre part, de "mesurer la performance des contenus et améliorer les jeux et applications […] ". 6. Cette fenêtre présente des boutons glissants positionnés par défaut sur "absence de consentement " pour chacune de ces deux finalités. 7. La formation restreinte constate également qu’un second niveau d’information permet d’afficher la liste des partenaires destinataires en fonction de chaque finalité, de détailler les finalités, d’informer les utilisateurs de la possibilité de retirer leur consentement à tout moment et de les avertir que leur refus impliquera l’accès à une "version alternative du jeu comprenant un volume de publicités non ciblées potentiellement plus importantes ". 8. Ainsi, au regard des éléments présentés par la société […] justifiant la mise en place d’un moyen permettant de recueillir le consentement de l’utilisateur à l’utilisation de l’IDFV à des fins publicitaires, la formation restreinte considère que la société a satisfait à l’injonction dans le délai imparti. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide : - de dire n’y avoir lieu à liquidation de l’astreinte ; - de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2022-026 du 29 décembre 2022. Le président Alexandre LINDEN


Délibération de la formation restreinte n°SAN-2024-001 du 8 janvier 2024 relative à l’injonction prononcée à l’encontre du ministère de l’intérieur et des outre-mer par la délibération no SAN-2021-016 du 24 septembre 2021

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de MM. Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, Mmes Christine MAUGÜÉ et Isabelle LATOURNARIE-WILLEMS, MM. Alain DRU et Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la délibération n° SAN-2021-016 du 24 septembre 2021 adoptée par la formation restreinte à l’encontre du ministère de l’intérieur ; Vu les éléments transmis par le ministère de l’intérieur le 18 février 2022 ; Vu le courrier du 8 février 2023, par lequel le président de la formation restreinte a demandé au rapporteur d’intervenir à nouveau dans la procédure aux fins d’instruction de ces éléments ; Vu la demande complémentaire de Mme Sophie LAMBREMON, commissaire rapporteure, notifiée au ministère de l’intérieur le 4 avril 2023 ; Vu le courrier du 16 juin 2023, en réponse à la demande complémentaire, transmis par le ministère de l’intérieur ; Vu les autres pièces du dossier ; Après en avoir délibéré lors de la séance du 30 novembre 2023, a adopté la décision suivante : I. FAITS ET PROCÉDURE 1. La décision no SAN-2021-016 du 24 septembre 2021, notifiée au ministère de l’intérieur le 4 octobre 2021, a enjoint au ministère de l’intérieur de : " s’agissant du manquement relatif à la licéité du traitement :  ne traiter que les informations visées par l’article 4 du décret no 87-249 et uniquement dans le cadre prévu par ce texte, et notamment veiller à l’effacement des données à caractère personnel contenues dans la rubrique " informations spéciales " et à la destruction du " fichier manuel ", à l’exception des fiches pouvant être conservées à des fins archivistiques dans l'intérêt public ou à des fins de recherche scientifique ou historique ; s’agissant du manquement relatif à la durée de conservation des données, ne conserver des données sous une forme permettant l'identification des personnes concernées que pendant la durée nécessaire au regard des finalités pour lesquelles elles sont traitées, par exemple en mettant en œuvre un système automatisé permettant l’effacement des données à l’expiration des durées prévues par l’article 5 du décret no 87-249, en veillant en particulier à ce que ces durées de conservations courent à compter de l’établissement de chaque fiche signalétique et effacer les données dont la durée de conservation est atteinte ; s’agissant du manquement relatif à l’exactitude des données, prendre toutes les mesures raisonnables pour garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour soient effacées ou rectifiées sans tarder ou ne soient pas transmises ou mises à disposition, par exemple en mettant en place une procédure normalisée et généralisée à l’ensemble des juridictions visant à ce que toutes les décisions juridictionnelles définitives soient répercutées dans le FAED, et notamment :  s’agissant de l’effacement de plein droit, s’assurer que l’ensemble des décisions de relaxe, d’acquittement et de correctionnalisation, même partielles, soient répercutées dans le FAED ;  s’agissant de l’effacement de principe, s’assurer que l’ensemble des décisions de non-lieu et de classement sans suite pour absence d'infraction ou insuffisance de charges ou pour auteur inconnu soient répercutées dans le FAED, sans décision expresse contraire du procureur de la République compétent ; s’agissant du manquement relatif à la sécurité des données, mettre en œuvre les mesures appropriées afin de garantir un niveau de sécurité adapté au risque :  en imposant par exemple que l’accès au FAED nécessite une connexion à l’aide de la carte-agent et d’un code PIN ;  en veillant à ne traiter de données à caractère personnel que dans les conditions sécurisées définies pour la mise en œuvre du fichier central du FAED à l’issue des opérations de signalisation, notamment dans les locaux de signalisation, par exemple en donnant des instructions en ce sens aux services en charge de la collecte des données. s’agissant du manquement relatif à l’information des personnes, s’assurer qu’une information conforme aux exigences de l’article 104 de la loi no 78-17 du 6 janvier 1978 est fournie aux personnes concernées ; " 2. Ces injonctions étaient assorties d’un délai de mise en conformité expirant le 31 octobre 2021 et par dérogation le délai de mise en conformité visant le manquement relatif à la durée de conservation des données du seul " fichier manuel " expirerait le 31 décembre 2022. 3. Le 18 février 2022, le ministère de l’intérieur a adressé au président de la formation restreinte des éléments en vue de justifier sa mise en conformité, relatifs à la transmission des décisions de classement sans suite par les magistrats du parquet et l’effacement des données contenues dans le fichier automatisé des empreintes digitales (ci-après " le FAED "), à la mise en œuvre de mesures proscrivant la conservation des relevés signalétiques et des clichés de signalisation en dehors du FAED et préconisant leur suppression ainsi qu’à la modification des mentions d’information. 4. Par courrier du 8 février 2023, le président de la formation restreinte a, sur le fondement de l’article 44 du décret n°2019-536 du 29 mai 2019, demandé à la rapporteure d’intervenir à nouveau aux fins d’instruction de ces éléments., 5. Dans ce but, après une analyse notifiée au ministère de l’intérieur le 4 avril 2023, la rapporteure a demandé au ministère de lui fournir, dans un délai de deux mois, des éléments d’informations complémentaires. 6. Par courrier du 16 juin 2023, le ministère de l’intérieur a apporté les précisions demandées. II. MOTIFS DE LA DECISION 7. Sur la licéité du traitement, la formation restreinte relève d’abord qu’il ressort des éléments fournis par le ministère de l’intérieur que la modification du décret du 8 avril 1987 portant création du FAED et l’analyse d’impact relative à la protection des données correspondantes sont en cours d’instruction et de finalisation. La formation restreinte relève que le ministère de l’intérieur indique que la nouvelle version du décret prévoira expressément la collecte du nom et du prénom de la victime, du numéro d’immatriculation, de la marque et du type de véhicule sur lequel l’empreinte digitale ou palmaire a été prélevée. La formation restreinte relève que la CNIL a été saisie d’une demande d’avis relative à la nouvelle version du décret et considère que la régularisation du traitement est en cours. Ensuite, la formation restreinte relève qu’il ressort des éléments fournis par le ministère de l’intérieur que l’effacement de l’ensemble des fiches de signalisation papier était réalisé au 24 avril 2023. La formation restreinte considère que les mesures énoncées permettent de considérer que le ministère de l’intérieur s’est conformé à l’injonction sur ce point. 8. Sur la durée de conservation des données, la formation restreinte relève que le ministère de l’intérieur indique avoir mis en place un apurement semi-automatisé hebdomadaire des données dont la date de conservation est dépassée et que ce délai court désormais à compter de l’établissement de chaque fiche de signalisation. La formation restreinte relève également qu’il ressort des éléments fournis par le ministère de l’intérieur que l’ensemble des signalisations dont la date d’expiration est dépassée seront supprimées à partir de la fin du troisième trimestre 2023. Elle considère que ces mesures permettent de considérer que les données à caractère personnel sont conservées uniquement pendant la durée nécessaire au regard des finalités pour lesquelles elles sont traitées. 9. Sur l’exactitude des données traitées, la formation restreinte relève qu’il ressort des éléments fournis par le ministère de l’intérieur qu’un nouveau modèle de " fiche navette " a été mis en place depuis une dépêche n° DP 2022/0037/H18 en date du 8 décembre 2022 permettant au ministère de l’intérieur d’être correctement informé des décisions prises par les autorités judiciaires afin de les répercuter dans le FAED et que la création d’un réseau de référents dédiés dans les parquets est prévue. Elle considère que ces mesures permettent de garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour, soient effacées ou rectifiées sans tarder. 10. Sur la sécurité des données traitées, la formation restreinte relève d’abord qu’il ressort des éléments fournis par le ministère de l’intérieur que, depuis octobre 2021, il est imposé que l’accès au FAED soit fait au moyen de la carte agent associée à un code PIN […]. Ensuite, la formation restreinte relève qu’il ressort des éléments fournis par le ministère de l’intérieur que des instructions ont été communiquées par le service national de police scientifique, préconisant la suppression des clichés de signalisation conservés en format papier ou informatique en dehors du FAED ainsi que des relevés signalétiques conservés en dehors du FAED. La formation restreinte considère que ces mesures permettent de garantir un niveau de sécurité adapté au risque. 11. Sur l’information des personnes, la formation restreinte relève qu’il ressort des éléments fournis par le ministère de l’intérieur qu’une instruction a été diffusée le 30 mai 2023 par la direction générale de la police nationale à l’ensemble de ses services, comportant une affiche informative à apposer dans tous les lieux accessibles au public et en particulier les lieux privatifs de liberté. La formation restreinte relève que si cette affiche reprend bien les informations figurant à l’article 104 de la loi du 6 janvier 1987 relative à l’informatique, aux fichiers et aux libertés, elle renvoie cependant à la consultation d’une rubrique intitulée " rubrique protection des données ", inexistante sur le site web du ministère de l’intérieur. La formation restreinte relève néanmoins l’existence, sur ce site web, d’une rubrique intitulée " Politique de confidentialité " dont le contenu porte sur la protection des données. La formation restreinte invite donc le ministère de l’intérieur à modifier l’intitulé de la rubrique relative à la protection des données visée par l’affiche informative afin qu’elle corresponde à celui mentionné sur le site internet www.interieur.gouv.fr. Sous réserve de cette modification, la formation restreinte considère que le ministère de l’intérieur s’est conformé à l’injonction sur ce point. 12. Au regard de l’ensemble de ces éléments, la formation restreinte considère que le ministère de l’intérieur a satisfait aux injonctions. 13. La présente décision sera rendue publique comme l’avait été la délibération no SAN-2021-016 du 24 septembre 2021. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide : - de clore la procédure d’injonction ; - de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément le ministère de l’intérieur à l’expiration d’un délai de trois mois à compter de sa publication. Le président Alexandre LINDEN


Décision DR-2023-280 autorisant l’ASSISTANCE PUBLIQUE DES HOPITAUX DE MARSEILLE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les conditions d’implémentation et de l’impact de la plateforme digitale française de recueil de l’expérience patient en psychiatrie, nécessitant un accès aux données du SNIIRAM, PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2021 à 2028, intitulée « MonPsyEtMoi ». (Demande d’autorisation n° 923182)


Décision DT-2023-009 autorisant la société EISAI à mettre en oeuvre un traitement de données ayant pour finalité la gestion des vigilances sanitaires. (Demande d’autorisation n°2227964)


Décision DT-2023-010 autorisant la FEDERATION NATIONALE DES CENTRES DE LUTTE CONTRE LE CANCER à mettre en oeuvre un traitement de données ayant pour finalité la constitution d’un entrepôt de données de santé, intitulé « WESHARE ». (Demande d’autorisation n°2230459)


Décision DT-2023-011 autorisant la société Lilly France à mettre en oeuvre un traitement de données ayant pour finalité la prévention, la surveillance, l’évaluation, la gestion des évènements sanitaires indésirables à des fins de vigilances sanitaires. (Demande d’autorisation n°2230831).


Décision DT-2023-012 autorisant la FEDERATION NATIONALE DES CENTRES DE LUTTE CONTRE LE CANCER à mettre en oeuvre un traitement automatisé de données ayant pour finalité la constitution d’un entrepôt de données de santé, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2008 à 2023, dénommé « HARMONIE ». (Demande d’autorisation n° 2230256)


Décision DT-2023-013 autorisant la société IMMEDICA PHARMA FRANCE à mettre en oeuvre des traitements de données ayant pour finalité la mise à disposition d’un médicament et le suivi des patients dans le cadre d’un accès compassionnel. (Demande d’autorisation n° 2230762)


Décision DT-2023-015 autorisant la société QUANTUM SURGICAL CLINIQUE à mettre en oeuvre un traitement de données ayant pour finalité un entrepôt de données de santé permettant la réalisation de recherches n'impliquant pas la personne humaine dans le domaine de l'assistance robotique au traitement du cancer. (Demande d’autorisation n° 2230868)


Décision DT-2023-016 autorisant la société INCYTE BIOSCIENCE FRANCE à mettre en oeuvre un traitement de données ayant pour finalité la pharmacovigilance. (Demande d’autorisation n°2231268).


Décision DR-2023-212 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOULOUSE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la description du temps de repas des personnes ayant une maladie de Parkinson dépendantes pour la prise alimentaire, intitulée « AideAlimPark ».  (Demande d’autorisation n° 923112).


Décision DR-2023-213 autorisant l’UNIVERSITE LYON 2 à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’identification et l’amélioration des facteurs linguistiques et interactionnels impactant la régulation médicale d’urgence, intitulée « TeleMedLing partie 1 : appels d’urgence en français ». (Demande d’autorisation n°923190).


DR-2023-214 autorisant l’ASSOCIATION DE RECHERCHE CLINIQUE ET D’ENSEIGNEMENT EN NEUROCHIRURGIE ONCOLOGIQUE ET RACHIDIENNE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’épidémiologie, l’analyse des complications, de la récidive ainsi que des facteurs de risques associés à la mise en place d’une valve de dérivation interne du liquide céphalorachidien pour le traitement de l’hydrocéphalie, nécessitant un accès aux données du SNIIRAM, du PMSI, du CépiDc et des données médico-sociales des maisons départementales des personnes handicapées visées par l’article L.1461-1 4° du code de la santé publique, pour les années 2009 à 2021, intitulée « HYDROCK ». (Demande d’autorisation n° 922177v2)


Décision DR-2023-215 autorisant l’UNIVERSITE DE ROUEN NORMANDIE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la prévalence de l’hyperactivité et du trouble déficitaire de l’attention avec ou sans hyperactivité en France, nécessitant un accès aux données du SNIIRAM et des données médico-sociales des maisons départementales des personnes handicapées visées par l’article L. 1461-1 4° du code de la santé publique, pour les années 2009 à 2024. (Demande d’autorisation n° 920055v1).


Décision DR-2023-216 autorisant l’ASSOCIATION DE THERAPEUTIQUE ET DE PHARMACOLOGIE CLINIQUE DE BRETAGNE OCCIDENTALE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’utilisation de l’hydroxychloroquine au cours de la grossesse et l’impact materno-foetal, nécessitant un accès aux données du SNIIRAM, PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2022, intitulée « HYDROMEL ». (Demande d’autorisation n°923223).


Décision DR-2023-217 autorisant la société UCB BIOPHARMA SPRL à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’utilisation des traitements b/tsDMARDs en vie réelle pour les patients atteints d’arthrite psoriasique et/ou de spondylarthrite axiale en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2015 à 2021. (Demande d’autorisation n°923226)


Décision DR-2023-219 autorisant les HOSPICES CIVILS DE LYON à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation médico-économique de la greffe autologue de cellules souches après réponse complète chez les patients atteints d’un lymphome T, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2022 à 2028, intitulée « TRANSCRIPT-ECO ». (Demande d’autorisation n° 923241)


Décision DR-2023-218 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la préoxygénation pour les aspirations trachéales en réanimation, intitulée « POXTRA ». (Demande d’autorisation n° 923255)


Décision DR-2023-220 autorisant le CENTRE HOSPITALIER REGIONAL UNIVERSITAIRE DE TOURS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation du coût des parcours de soins selon le risque de fragilité hospitalière des patients de 75 ans et plus, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2015 à 2019, intitulée « EcoFrail ». (Demande d’autorisation n°923100)


Décision DR-2023-221 autorisant la société COLOPLAST à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la prise en charge des troubles urinaires chez les patients avec sclérose en plaques, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2013 à 2022. (Demande d’autorisation n° 923266)


Décision DR-2023-222 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE LILLE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’analyse comparative des valeurs de la saturation veineuse en oxygène en fonction des sites de mesure et des régimes de débit sous assistance circulatoire extracorporelle veino-artérielle, intitulée « ECMOxygen ». (Demande d’autorisation n°923233)


Décision DR-2023-223 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’intérêt des inhibiteurs de JAK au cours du syndrome hémophagocytaire acquis chez les patients de réanimation, intitulée « JAKAHDI ». (Demande d’autorisation n° 923260)


Décision DR-2023-224 autorisant la société NOVARTIS PHARMA à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’utilisation en vie réelle d’ofatumumab chez les patients atteints de sclérose en plaques en France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2011 à 2024, intitulée « TEMPOS ». (Demande d’autorisation n° 923268)


Décision DR-2023-225 autorisant la société ABBVIE DEUTSCHLAND à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’utilisation du de la toxine botulinique de type a pour la réduction d'hypertrophie des masséters. (Demande d’autorisation n°923137).


Décision DR-2023-226 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE MONTPELLIER à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’évaluation médico-économique de l’adaptation thérapeutique guidée par le biomarqueur soluble suppression of tumorigenicity 2 (sst-2) dans la prise en charge des patients en insuffisance cardiaque aiguë icame-sst2, nécessitant un accès aux données du  SNIIRAM et PMSI, composantes du Système national des données de santé (SNDS), pour les années 2021 à 2026, intitulée « ICAME ». (Demande d’autorisation n° 920222v1)


Décision DR-2023-227 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX et l’UNIVERSITE de BORDEAUX à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les oscillations cortico-sous-corticales au cours du mouvement normal et pathologique, intitulée « BAG-OSMOV ». (Demande d’autorisation n°923213).


Décision DR-2023-229 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’optimisation du parcours de soins chirurgical des tumeurs du rein par digitalisation de la coordination péri-opératoire infirmière, intitulée « DiPRU ». (Demande d’autorisation n°923231).


Décision DR-2023-228 autorisant la société COOK RESEARCH INCORPORATED à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur les patients traités par les endoprothèses aortiques fenêtrées et multibranches Zenith Fenestrated, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2028, intitulée « REALIZE-Fen ». (Demande d’autorisation n° 919420v1)


Décision DR-2023-230 autorisant le GROUPEMENT DES HOPITAUX DE L'INSTITUT CATHOLIQUE DE LILLE, la société VARIANT BIO et L’UNIVERSITE D’ALABAMA à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la génétique de l’insuffisance rénale chronique et de la goutte par l’analyse de la population mélanésienne de Nouvelle-Calédonie, intitulée « CALEDOGOUTCKD ». (Demande d’autorisation n°923032).


Décision DR-2023-231 autorisant la société PFIZER à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la stratégie thérapeutique et les caractéristiques des patients atteints de migraines et des patients en échecs aux triptans, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2017 à 2022. (Demande d’autorisation n° 923198)


Décision DR-2023-232 autorisant la société PFIZER SAS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la surveillance de la sécurité à long terme et en vie réelle du somatrogon chez les patients pédiatriques en France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2021 à 2032. (Demande d’autorisation n° 923271)


Décision DR-2023-233 autorisant l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE et l’INSTITUT NATIONAL D’ÉTUDES DÉMOGRAPHIQUES à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur une communauté interactive et participative en ligne menée avec les pairs comme action de promotion de la santé sexuelle et reproductive des adolescents et jeunes adultes, intitulée « SEXPAIRS ». (Demande d’autorisation n° 923119)


Décision DR-2023-234 autorisant l’ASSISTANCE PUBLIQUE – HÔPITAUX DE PARIS à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le dépistage du cancer du poumon par scanner faible dose chez les femmes, intitulée « CASCADE ». (Demande d’autorisation n° 921425v1)


Décision DR-2023-235 autorisant LE MINISTERE DE LA SANTE ET DE LA PREVENTION (DIRECTION DE LA RECHERCHE, DES ETUDES, DE L’EVALUATION ET DES STATISTIQUES) à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur une enquête sur l’autonomie en établissements. (Demande d’autorisation n° 923247)


Décision DR-2023-236 autorisant CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les conditions d’effet de la médiation en santé sur le recours aux services de santé des personnes éloignées du système de santé, intitulée « ECEMSo ». (Demande d’autorisation n° 923175)


Décision DR-2023-237 autorisant la société NUTRICIA NUTRITION CLINIQUE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la prise en charge de l’épilepsie pharmaco-résistante chez les nourrissons et les enfants, intitulée « KEOPS ». (Demande d’autorisation n°923232).


Décision DR-2023-239 autorisant les HOSPICES CIVILS DE LYON à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur le fardeau des infections respiratoires aigües aux Hospices civils de Lyon pour les saisons épidémiques 2016-2017 à 2022-2023, intitulée « FIRESP ». (Demande d’autorisation n° 923273)


Décision DR-2023-238 autorisant CENTRE HOSPITALIER DE CAYENNE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la description du microbiote cutané des patients de réanimation porteurs de cathéters veineux centraux. (Demande d’autorisation n° 923215)