Délibération n° HAB-2024-001 du 8 février 2024 habilitant des agents de la Commission nationale de l'informatique et des libertés à procéder à des missions de vérification

La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code de la sécurité intérieure, notamment son article L. 253-3 ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8.2.g), 10, 11 et 19 ; Après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement , Décide : Article 1 Les agents de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 19 de la loi du 6 janvier 1978 et à l'article L. 253-3 du code de la sécurité intérieure : M. Belaïd AÏT HAMOUDA, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; M. Thibaud ANTIGNAC, adjoint au chef du service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Mehdi ARFAOUI, sociologue du numérique au service du laboratoire d'innovation numérique à la direction des technologies et de l'innovation ; M. Monir AZRAOUI, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Audrey BACQUIÉ, chargée de greffe au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Isabelle BARBÉ, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Jean BAUDRILLARD, adjoint au chef du service des relations avec les publics à la direction des relations avec les publics ; M. Corentin BEAUFILS, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Khadija BELGHITI-ALAOUI, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Najma BICHARA, juriste au service des affaires européennes et internationales ; M. Martin BIÉRI, chargé des études prospectives au laboratoire d'innovation numérique à la direction des technologies et de l'innovation ; M. Thomas BIZET, chef du service des relations avec les publics à la direction des relations avec les publics ; Mme Nathalie BOHBOT, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Stéphanie BOISSEAU, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Renaud BOITOUZET, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Sandrine BONTROND, juriste au service des relations avec les publics à la direction des relations avec les publics ; Mme Cécile BOSSER, juriste conseil au service des relations avec les publics à la direction des relations avec les publics ; M. Tanguy BOUCHER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Érik BOUCHER DE CRÈVECOEUR, ingénieur référent santé au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Justine BRAIVE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Rodolphe BRÉARD, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Véronique BREMOND, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Céline BRÉZILLON, adjointe à la cheffe du service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Vincent BRINGER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Solenn BRUNET, ingénieure experte au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Clément BUNEL, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Madeleine CAZETTES DE SAINT LÉGER, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Lucie CHARTRAIN, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Régis CHATELLIER, chargé des études prospectives au laboratoire d'innovation numérique à la direction des technologies et de l'innovation ; Mme Virginie CLAUDE-LOONIS, adjointe au chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Isabelle COHEN, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Marion de GASQUET, adjointe à la cheffe de service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique ; Mme Tess D'ARMAGNAC, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Audrey DANEL, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Justine DEBOTÉ, chargée de greffe au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Guillaume DELAFOSSE, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Isabelle DELERUE, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Grégoire DELETTE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Amélie DELEUZE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Florent DELLA VALLE, chef de service au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Xavier DELPORTE, directeur des relations avec les publics ; Mme Sadio DIOUMASSY, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Rosine DOLBEC, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Julien DROCHON, auditeur des systèmes d'information référent au service des contrôles à la direction de la protection des droits et des sanctions ; M. Hugo DUSSERT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Louis DUTHEILLET DE LAMOTHE, secrétaire général ; Mme Viktorija ELENSKI, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Anne FONTANILLE, juriste au service des affaires européennes et internationales ; Mme Florence FOURETS, directrice chargée de projets régaliens auprès du secrétaire général ; Mme Marie GAILLARDON, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Linda GAMIETTE, juriste au service des relations avec les publics à la direction des relations avec les publics : M. Gaston GAUTRENEAU, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Antoine GAUME, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Rodolphe GÉNISSEL, chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Sophie GENVRESSE, cheffe du service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Laurène GOIRAND, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; M. Yoann GONTHIER LE GUEN, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Sarah GUILLOU, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Sandra GREBER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Manel HOUD, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Agathe HUBERT, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Sonia HUDELA, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Marion JABOT, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Nathalie JACQUES, assistante au service des contrôles à la direction de la protection des droits et des sanctions ; M. Hugo JAUFFRET, adjoint au chef de service des contrôles à la direction de la protection des droits et des sanctions ; M. Julien JEDRZEJCZAK, chargé d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Véronique JENNEQUIN, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Karin KIEFER, directrice de la protection des droits et des sanctions ; M. Anton KISYELYOV, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Jérémie KOUZMINE, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Névine LAHLOU, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Victor LARGER, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Sébastien LASTRÉ, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Nina LE BONNIEC, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique ; M. Aurélien LE BRET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Alexis LEAUTIER, ingénieur intelligence artificielle au service de l'intelligence artificielle à la direction des technologies et de l'innovation ; Mme Delphine LEGOHEREL, directrice adjointe de la protection des droits et des sanctions ; Mme Morgane LE HIR, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Emmanuel LEROUX, juriste au service des affaires européennes et internationales ; Mme Noémie LICHON, directrice adjointe de la protection des droits et des sanctions ; Mme Marie-Françoise MAINDRON, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Isabelle MANTZ, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Delphine MARGULIS, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Astrid MARIAUX, cheffe de service des contrôles à la direction de la protection des droits et des sanctions ; M. Tony MARTIN, adjoint au chef de service des contrôles à la direction de la protection des droits et des sanctions ; Mme Clothilde MAULIN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Oriane MAURICE, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Nina MC EVOY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Lynda MEKKI, ingénieure cybersécurité spécialisée en traitement des incidents au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Élise MERY-BOUDONNAT, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Mathias MOULIN, secrétaire général adjoint ; Mme Anaëlle MORIN, ingénieure experte au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Sophie NERBONNE, directrice chargée de co-régulation économique ; Mme Rabia OUADDAH, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Bertrand PAILHÈS, directeur des technologies et de l'innovation ; Mme Adélaïde PATERNOGA, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Romain PIALAT, ingénieur recherche & développement au service du laboratoire d'innovation numérique à la direction des technologies et de l'innovation ; M. Antoine PLANCHOT, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; M. Benjamin POILVÉ, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Laetitia RACINE, adjointe au chef de service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Délia RAHAL-LOFSKOG, chargée de mission au service des affaires européennes et internationales ; M. Vincent RASNEUR, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Albane RICHET, adjointe à la cheffe du service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Caroline RILOS MACIAS, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Anne-Charlotte ROUGELIN, juriste conseil au service des relations avec les publics à la direction des relations avec les publics ; Mme Claudine SANLAVILLE, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Benoit SEGUIN, chef de service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Hugo SENAYA, juriste conseil au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Lauren SÉRAN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Abdoulaye TALL, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Ahlem TAMOUZA, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique ; Mme Jamila TAZI, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Vincent TOUBIANA, chef du service du laboratoire d'innovation numérique à la direction des technologies et de l'innovation ; Mme Rokia TRAORE, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Félicien VALLET, chef du service de l'intelligence artificielle à la direction des technologies et de l'innovation ; M. Marco VERMEIL, chargé de mission sensibilisation aux droits à la direction des relations avec les publics ; M. Benjamin VIALLE, chef de service des contrôles à la direction de la protection des droits et des sanctions ; Mme Mathilde VIDALOT, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique ; M. Christophe VIVENT, ingénieur cybersécurité spécialisé en traitement des incidents au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Clémentine VOISARD, chargée de mission au service des relations avec les publics à la direction des relations avec les publics ; Mme Aminata VOYEL, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions. Article 2 La délibération n° HAB-2023-003 du 7 décembre 2023 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée. Article 3 Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans. Article 4 La présente décision sera publiée au Journal officiel de la République française. La présidente, M.-L. Denis


Délibération de la formation restreinte n°SAN-2024-007 du 25 avril 2024 relative à l’injonction prononcée à l’encontre de la société TAGADAMEDIA par la délibération
n° SAN-2023-025 du 29 décembre 2023

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, M. Alain DRU, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la délibération n° SAN-2023-025 du 29 décembre 2023 adoptée par la formation restreinte à l’encontre de la société TAGADAMEDIA ; Vu les éléments transmis par la société TAGADAMEDIA le 5 février 2024 ; Après en avoir délibéré lors de la séance du 25 avril 2024, a adopté la décision suivante : I. FAITS ET PROCÉDURE 1. La société TAGADAMEDIA (ci-après " la société ") est une société qui met en œuvre des sites en ligne de jeux-concours et de tests de produits par lesquels elle collecte des données de prospects. Ces données sont ensuite vendues à des partenaires annonceurs effectuant des opérations de prospection commerciale. 2. Par décision du 29 décembre 2023, notifiée par courriel le 29 janvier 2024 et par lettre recommandée avec accusé de réception le 6 février 2024, la formation restreinte a, notamment, prononcé à l’égard de la société une injonction de mettre en œuvre des formulaires de collecte permettant de recueillir un consentement valable, assortie d’une astreinte de mille euros (1000) euros par jour de retard à l’issue d’un délai d’un mois suivant la notification de la délibération de la formation restreinte. 3. L’injonction était précisément formulée en ces termes : " mettre en œuvre sur les sites qu’elle édite un formulaire de collecte des données de prospects permettant de recueillir un consentement libre, spécifique, éclairée et univoque quant à la transmission de leurs données à caractère personnel à des partenaires à des fins de prospection. " 4. Par courriel du 5 février 2024, complétés par des courriers des 19 février et 18 mars 2024, la société a répondu à l’injonction. II. MOTIFS DE LA DECISION 5. La formation restreinte relève qu’il ressort des éléments de réponse fournis par la société le 5 février 2024 qu’elle propose trois formulaires distincts de collecte de données à caractère personnel utilisés à partir de sites de tests de produits ou de jeu-concours. 6. S’agissant du premier formulaire, la formation restreinte relève que sous les champs prévus pour collecter les données des participants, une mention d’information précise : " en continuant, je reconnais avoir lu la politique de protection des données et pris connaissance de la liste des partenaires ". Sous cette mention figurent deux boutons rouges avec des textes en blanc et une taille de police quasiment identique à celle de la mention d’information. Le premier bouton indique " Je participe et j’accepte de recevoir les offres des partenaires de … ". Le second bouton indique " Je participe et je refuse de recevoir les offres des partenaires de … ". 7. S’agissant du deuxième formulaire, la formation restreinte relève que sous les champs prévus pour collecter les données des participants, une mention d’information précise : " en continuant, je reconnais avoir lu la politique de protection des données. En cliquant sur " J’ACCEPTE ET CONTINUE ", j’accepte de recevoir les offres des partenaires de l’opération. En cliquant sur " JE REFUSE ET CONTINUE ", je continue ma participation en refusant de recevoir les offres des partenaires de l’opération ". Sous ce texte, figure une case à cocher permettant d’accepter le règlement de l’opération et deux boutons bleus avec des textes en blanc dont la taille de police est un peu plus grande que celle de la mention d’information. Le premier bouton indique " J’ACCEPTE ET CONTINUE ". Le second bouton indique " JE REFUSE ET CONTINUE ". 8. S’agissant du troisième formulaire, la formation restreinte relève que sous les champs prévus pour collecter les données des participants, figurent une case à cocher permettant d’accepter le règlement de l’opération ainsi qu’une mention d’information qui précise : " en continuant, je reconnais avoir lu la politique de protection des données. En cliquant sur " J’accepte et continue ma participation ", j’accepte de recevoir les offres des partenaires de l’opération. En cliquant sur " je refuse et continue ma participation ", je continue ma participation en refusant de recevoir les offres des partenaires de l’opération ". Sous cette mention se trouvent deux boutons bleus avec des textes en blanc et dont la taille de police est quasiment identique à celle de la mention. Le premier bouton indique " J’accepte et continue ma participation ". Le second bouton indique " Je refuse et continue ma participation ". 9. La formation restreinte considère que la lecture du texte explicatif, présent sur chacun des formulaires, permet de prendre pleinement conscience des conséquences d’un clic sur chacun des boutons. Ainsi, tels qu’ils sont conçus, les trois formulaires permettent aux personnes concernées de faire un choix éclairé. 10. Par ailleurs, la formation restreinte relève que l’aperçu global de l’interface et l’intitulé des boutons ne mettent pas particulièrement en valeur l’option permettant d’accepter de recevoir les offres des partenaires, au détriment de celle permettant d’exprimer un refus. Les personnes concernées peuvent donc exprimer un choix univoque et libre reflétant leur préférence en matière de transmission des données à des fins de prospection commerciale. 11. Dans ces conditions, la formation restreinte considère que les trois formulaires proposés par la société permettent de recueillir un consentement univoque, libre et éclairé, conformément aux exigences des articles 6 et 4, paragraphe 11 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après le " Règlement " ou " RGPD "). 12. Il résulte de ce qui précède que la société a satisfait à l’injonction dans le délai imparti. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide : - de dire n’y avoir lieu à liquidation de l’astreinte ; - de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à compter du 30 janvier 2026. Le président de la formation restreinte Philippe-Pierre CABOURDIN


Délibération n° 2023-121 du 23 novembre 2023 portant avis sur un projet de décret rectifié portant autorisation d'un traitement automatisé de données à caractère personnel dénommé « Fichier des mesures de police administrative contribuant à la prévention des atteintes à la sûreté de l'Etat et aux intérêts fondamentaux de la Nation » (FiMPA) (n° de demande d'avis : 23014576)


Délibération n° 2023-075 du 20 juillet 2023 portant avis sur un projet de décret portant autorisation d'un traitement automatisé de données à caractère personnel dénommé « Fichier des mesures de police administrative contribuant à la prévention des atteintes à la sûreté de l'Etat et aux intérêts fondamentaux de la Nation » (FiMPA) (n° de demande d'avis : 23004846)


Délibération n° 2024-025 du 7 mars 2024 portant avis sur un projet de décret pris pour l'application des articles L. 2321-2-1 à L. 2321-4-1 du code de la défense et des articles L. 33-14 et L. 36-14 du code des postes et des communications électroniques

N° de demande d'avis : 24001462. Textes concernés : projet de décret pris pour l'application des articles L. 2321-2-1 à L. 2321-4-1 du code de la défense et des articles L. 33-14 et L. 36-14 du code des postes et des communications électroniques. Organisme(s) à l'origine de la saisine : secrétariat général de la défense et de la sécurité nationale. Thématiques : sécurité des systèmes d'information - cybersécurité. Fondement de la saisine : articles L. 2321-2-1, L. 2321-2-3 et L. 2321-3-1 du code de la défense. L'essentiel : 1. La CNIL a été saisie d'un projet de décret pris pour l'application de certains articles de la loi n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (LPM). Ce projet de décret précise les instruments juridiques à la disposition de l'Agence nationale de la sécurité des systèmes d'information (ANSSI) pour préserver la sécurité des systèmes d'information, en particulier pour lutter contre les atteintes à la sécurité des systèmes d'information des autorités publiques, des opérateurs d'importance vitale (OIV) et des opérateurs de services essentiels (OSE). 2. La CNIL considère que les finalités sont légitimes mais que les catégories de données collectées devraient être davantage précisées dans le projet de décret. 3. Elle regrette que les modalités d'exercice des droits des personnes et les mesuOKres de sécurité ne soient pas précisés dans le présent projet de décret mais se félicite de ce que le SGDSN n'ait pas prévu d'exclure le contrôle a posteriori de la CNIL sur les traitements couverts par le projet de décret, quoiqu'ils relèvent du titre IV de la loi informatique et libertés . La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son titre IV ; Après avoir entendu le rapport de Mme Isabelle LATOURNARIE-WILLEMS, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte La loi n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (LPM) a complété les instruments juridiques à la disposition de l'Agence nationale de la sécurité des systèmes d'information (ANSSI) pour préserver la sécurité des systèmes d'information résultant de la précédente LPM (loi n° 2018-607 du 13 juillet 2018 pour les années 2019 à 2025). Ces instruments juridiques visent à lutter contre les atteintes à la sécurité des systèmes d'information : - des autorités publiques ; - des opérateurs d'importance vitale (OIV) ; et - des opérateurs de services essentiels (OSE). Sous l'empire des dispositions de la précédente LPM de 2018, l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (ARCEP) avait, lors de son contrôle des dispositifs mis en œuvre par les agents de l'ANSSI, estimé que seules les données techniques (aussi appelées métadonnées, qui permettent l'acheminement des flux d'information) pouvaient être collectées, à l'exclusion du contenu des communications elles-mêmes. Selon l'ANSSI, cette restriction a fortement limité l'utilité des dispositifs prévus dans la précédente LPM. La nouvelle LPM de 2023 vise à prendre en compte ce retour d'expérience et à accroître les capacités des dispositifs mis en œuvre par l'ANSSI pour permettre aux agents de cette agence de mener leurs missions de manière plus efficace. Le projet de décret est pris pour l'application de trois articles modifiés ou créés par la LPM : les articles L. 2321-2-1, L. 2321-2-3 et L. 2321-3-1 du code de la défense. En premier lieu, outre les dispositifs exploitant des marqueurs techniques issus de la précédente LPM de 2018, qui continuent de ne concerner que les données techniques (métadonnées), l'article L. 2321-2-1 du code de la défense étend les possibilités offertes à l'ANSSI au recueil des données, assorti des facultés suivantes : - la possibilité de collecter des données sur le réseau ou le système d'information de certains opérateurs, permettant d'accéder aux données de contenu des serveurs et du trafic ; - l'ajout des opérateurs de centres de données à ceux (opérateurs de communications électroniques, hébergeurs et fournisseurs d'accès à Internet) auprès desquels l'ANSSI peut mettre en œuvre les dispositifs exploitant des marqueurs techniques et les dispositifs de recueil de données ; - l'ajout d'une finalité de caractérisation de la menace à celle qui existait déjà (la détection de la menace) en ce qui concerne les dispositifs exploitant des marqueurs techniques et les dispositifs de recueil de données. En deuxième lieu, l'article L. 2321-2-3 du code de la défense a été créé par la nouvelle LPM et autorise le blocage, l'enregistrement, la suspension, le transfert et la redirection de nom de domaine. Ce dispositif autorise l'ANSSI à prescrire aux fournisseurs de systèmes de résolution de noms de domaine, aux offices d'enregistrement des noms de domaine gérés sur le territoire national (par exemple le .fr ) et aux bureaux d'enregistrement de noms de domaine établis sur le territoire français, des mesures graduelles de filtrage ou de redirection de noms de domaine utilisés ou instrumentalisés par des attaquants, afin de neutraliser l'utilisation dévoyée d'un nom de domaine par un attaquant et de mieux comprendre ses modes opératoires pour les contrer. En troisième lieu, l'article L. 2321-3-1 du code de la défense , créé par la nouvelle LPM, prescrit la communication à l'ANSSI de certaines données techniques de cache de serveurs DNS. Ce dispositif impose aux fournisseurs de système de résolution de noms de domaine de transmettre à l'ANSSI des données techniques non identifiantes, rendues préalablement anonymes, enregistrées temporairement par les serveurs dits Domain Name System (DNS), qui établissent la correspondance entre le nom de domaine et l'adresse IP des machines d'un réseau. Ces données doivent permettre à l'ANSSI d'identifier les serveurs mis en place par d'éventuels attaquants et d'établir la chronologie de leurs attaques. Dans la mesure où ces dispositifs prévus par le code de la défense impliquent la mise en œuvre de traitements de données à caractère personnel (à l'exception du dispositif prévu par l'article L. 2321-3-1, pour lequel les données sont préalablement anonymisées), la CNIL considère que sa consultation pour avis sur des dispositions du projet de loi initial aurait été utile au débat public, quand bien même cette consultation n'était pas obligatoire. La CNIL constate que le projet de décret qui lui est soumis ne met pas en œuvre l'intégralité des traitements résultant de la récente LPM. En outre, il ne comporte aucune disposition sur les modalités d'exercice des droits des personnes ni sur les mesures de sécurité des traitements dont il explicite la mise en œuvre. Le secrétariat général de la défense et de la sécurité nationale (SGDSN) a indiqué à cet égard que ce projet de décret serait complété par un projet de décret et deux projets d'arrêtés relatifs à des traitements de données à caractère personnel que l'ANSSI devrait mettre en œuvre pour l'application de la nouvelle LPM. Ces projets de textes seront soumis pour avis à la CNIL. B. - L'objet de la saisine Le SGDSN a saisi la CNIL d'un projet de décret en Conseil d'Etat pour déterminer les modalités d'application : - de l'article L. 2321-2-1 du code de la défense (dispositifs exploitant des marqueurs techniques et permettant le recueil de données) ; - de l'article L. 2321-2-3 du code de la défense (dispositifs permettant le blocage, l'enregistrement, la suspension, le transfert et la redirection de nom de domaine) ; - de l'article L. 2321-3-1 du code de la défense (dispositifs permettant la communication à l'ANSSI de certaines données techniques de cache de serveurs DNS). S'agissant des dispositifs prévus par l'article L. 2321-3-1 du code de la défense, dans la mesure où la loi impose que les données soient préalablement anonymisées, la CNIL considère que ces dispositifs ne constituent pas des traitements de données à caractère personnel soumis à la loi informatique et libertés , à condition toutefois que, conformément aux dispositions de la loi qui prescrivent que les fournisseurs de système de résolution de noms de domaine les rendent préalablement anonymes avant leur transmission à l'ANSSI, les responsables de traitement veillent à effacer les données à caractère personnel que peuvent contenir les champs de certains enregistrements (comme par exemple l'enregistrement de type RP pour Responsible Person ). II. - L'avis de la CNIL A. - Observations générales sur le dispositif exploitant des marqueurs techniques et permettant le recueil des données La CNIL observe que le dispositif global, et notamment ce qui relève de l'article L. 2321-2-1 du code de la défense, couvre désormais non plus seulement des réseaux mais aussi des serveurs de systèmes d'information, dès lors qu'ils sont affectés par une menace susceptible de porter atteinte à la sécurité des systèmes d'information d'autorités publiques d'OIV et d'OSE ; ce dispositif s'étend à une large gamme d'acteurs (opérateurs de communications électroniques, fournisseurs d'accès à Internet, hébergeurs et opérateurs de centre de données) ; il permet de cibler tous les types de données (non plus seulement les métadonnées mais aussi le contenu), y compris lorsque celles-ci sont chiffrées (dès lors que les recueils de données aménagés ont permis d'obtenir les conventions de chiffrement), et ceci pour des organisations dont les traitements s'effectuent potentiellement sur les données d'une large partie de la population recouvrant plusieurs secteurs sensibles (autorités publiques, OIV et OSE). La portée de ce dispositif est donc sans commune mesure avec ce qu'elle était dans le cadre de la LPM précédente. La CNIL souligne que les opérations de collecte de données pourront potentiellement comporter un volume conséquent de données à caractère personnel collectées de manière incidente, y compris des données sensibles (notamment des données de santé lors d'attaques qui toucheraient des ressources informatiques appartenant à des établissements de santé ou prendraient appui sur elles). La CNIL considère dès lors que : - l'utilisation des techniques et des modalités de mise en œuvre prévues par les projets d'articles R. 2321-1-1 à R. 2321-1-6 du code de la défense, pris pour l'application de l'article L. 2321-2-1 de ce code, est susceptible de porter une atteinte particulièrement importante à la vie privée des individus et au droit à la protection des données à caractère personnel, puisque ces techniques, même limitées à des opérateurs particuliers, conduisent à recueillir, avant qu'elles ne soient filtrées en raison de leur utilité, un grand nombre de données dont la nature n'est pas définie à l'avance et qui sont donc, le cas échéant, susceptibles de relever de la catégorie des données sensibles ; - la mise en œuvre d'une surveillance poussée de l'intégralité de ces données pourrait, à elle seule, entraîner des effets dissuasifs sur l'exercice de leur liberté d'information et d'expression par les utilisateurs d'Internet et des réseaux de communication électronique. La CNIL relève que, pour éviter une atteinte disproportionnée à ces droits et libertés, le Parlement a assorti le dispositif d'un ensemble de garanties (utilisation du dispositif conditionnée à l'identification d'une menace, rôle de l'ARCEP, durée limitée de conservation etc.). Elle regrette cependant que l'idée d'une expérimentation, proposée par l'ARCEP dans son avis sur le projet de LPM pour les années 2024 à 2030 (avis n° 2023-0542), n'ait pas été retenue. Un tel cadre expérimental aurait notamment présenté l'intérêt de pouvoir affiner, au niveau de la loi, les garanties devant entourer le dispositif. La CNIL comprend des dispositions du projet de décret que seuls les agents de l'ANSSI seront habilités à recevoir la communication des données collectées par les dispositifs projetés. B. - Sur les finalités et le régime juridique applicable aux dispositifs Les finalités des opérations de collecte des données sont prévues par les articles L. 2321-2-1 et L. 2321-2-3 du code de la défense et visent : - la détection des évènements susceptibles d'affecter la sécurité des systèmes d'information (article L. 2321-2-1 du code de la défense) ; - la caractérisation de la menace, qui vise à connaître les modes opératoires des attaques et justifie la conservation d'éléments qui en permettent la reconnaissance future (articles L. 2321-2-1 et L. 2321-2-3 de ce code) ; - la prévention des menaces (pour ce qui concerne uniquement l'article L. 2321-2-1 du même code). S'agissant des dispositifs prévus par l'article L. 2321-2-1 du code de la défense, la CNIL considère que le projet de décret (projet d'article R. 2321-1-5 du code de la défense) devrait davantage préciser la finalité de prévention afin de déterminer si elle concerne seulement des opérations visant à protéger un système d'information en amont d'une attaque, ou si elle peut par exemple relever d'opérations visant à la remédiation ou à la récupération d'un système d'information suite à une attaque. Le IV de l'article L. 2321-2-3 du code de la défense autorise le recueil et la conservation des données directement utiles à la caractérisation des menaces . Or, le projet d'article R. 2321-1-10 du même code pris pour son application prévoit de conserver les données utiles à la prévention et à la caractérisation de la menace . La loi ne prévoit la conservation des données qu'à des fins de caractérisation de la menace, et non à des fins de prévention. La CNIL prend acte de l'engagement du SGDSN de modifier le projet de décret pour limiter la conservation des données aux données directement utiles à la caractérisation de la menace. S'agissant du régime juridique applicable aux traitements mis en œuvre en application des articles L. 2321-2-1 et L. 2321-2-3 du code de la défense, le SGDSN a indiqué qu'ils relèvent du titre IV de la loi informatique et libertés (traitements intéressant la sûreté de l'Etat et la défense). Dans la mesure où ces dispositifs sont mis en œuvre à des fins de garantir la défense et la sécurité nationale, la CNIL partage cette analyse. La CNIL se félicite que le SGDSN ne prévoie pas d'exclure qu'elle exerce son contrôle a posteriori sur les traitements couverts par le projet de décret, quoiqu'ils relèvent du titre IV de la loi informatique et libertés . C. - Sur les durées de conservation Les projets d'articles R. 2321-1-5 et R. 2321-1-10 du code de la défense prévoient que l'ANSSI dispose au maximum de trois mois pour analyser les données recueillies et que seules les "données utiles" à la prévention ou à la caractérisation des menaces peuvent être conservées au-delà de ce délai. La CNIL prend acte de l'engagement du SGDSN de modifier le projet de décret afin de faire référence aux "données directement utiles", comme les définit la loi. En effet, les données à supprimer étant définies dans le projet de décret comme celles qui ne sont pas utiles, la formulation de la loi est plus protectrice : elle empêche que des données qui seraient jugées utiles mais seulement "indirectement" puissent être conservées une fois l'analyse effectuée dans le délai de trois mois. S'agissant des données qui ne sont pas directement utiles, les projets d'articles R. 2321-1-5 et R. 2321-1-10 du code de la défense prévoient qu'elles sont détruites dans un délai d'un jour ouvré, ce qui respecte l'exigence prévue par la loi (articles L. 2321-2-1 et L. 2321-2-3 du code de la défense) d'un "délai bref" de suppression. D. - Sur les droits des personnes S'agissant des dispositifs exploitant des marqueurs techniques ou permettant le recueil des données (dispositifs prévus par l'article L. 2321-2-1 du code de la défense) et des dispositifs de blocage et de redirection de nom de domaine (prévus par l'article L. 2321-2-3 du code de la défense), le SGDSN envisage que les droits des personnes dont les données à caractère personnel seront traitées soient régis comme suit : - les droits d'information et d'opposition prévus respectivement aux articles 116 et 117 de la loi du 6 janvier 1978 ne seraient pas applicables ; - les droits d'accès, de rectification et d'effacement s'exerceraient de manière indirecte, auprès de la CNIL, dans les conditions prévues à l'article 118 de la même loi. Liens relatifs La présidente, M.-L. Denis


Délibération n° 2023-081 du 20 juillet 2023 portant avis sur un projet d'arrêté relatif au référentiel de sécurité applicable au Système national des données de santé

N° de demande d’avis : 23001213 Textes concernés : projet d’arrêté relatif au référentiel de sécurité applicable au Système national des données de santé Thématiques : Système national de données de santé (SNDS), sécurité des systèmes d’information Fondement de la saisine : article 8.I.4°- a) de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et articles L. 1461-1 et R. 1461-6 du code de la santé publique L’essentiel : Le projet d’arrêté vise à mettre à jour les exigences de sécurité applicables aux systèmes d’information et traitements utilisant des données à caractère personnel issues du SNDS. La CNIL salue l’ambition de sécuriser l’ensemble des systèmes d’information comprenant des données du SNDS, mais préconise que le périmètre d’application du référentiel soit clarifié. Compte tenu du niveau particulièrement élevé des exigences qu’il contient ainsi que des possibles freins au partage des données qu’il risque de générer, elle invite le ministère à fournir aux acteurs concernés des moyens humains et financiers suffisants afin de leur permettre de se mettre en conformité. LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi " informatique et libertés ") ; Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé ; Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ; Vu la délibération n° 2017-022 du 26 janvier 2017 portant avis sur un projet de décret relatif au référentiel de sécurité applicable au Système national des données de santé ; Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, ADOPTE LA DÉLIBÉRATION SUIVANTE : I. La saisine A. Le contexte Le système national des données de santé (SNDS), créé par la loi n° 2016-41 du 26 janvier 2016, a pour finalité la mise disposition de données à caractère personnel concernant la santé, afin notamment de mettre en œuvre des traitements à des fins de recherches, d’études ou d’évaluations dans le domaine de la santé répondant à un motif d’intérêt public. Initialement circonscrit au " SNDS historique ", c'est-à-dire aux données issues des bases médico-administratives hébergées ou susceptibles d’être hébergées par la Caisse nationale de l’assurance maladie (CNAM), le périmètre des catégories de données le composant a été élargi par la loi n° 2019-774 du 24 juillet 2019 (données issues de la prise en charge médicale, des visites médicales scolaires, des services de protection maternelle ou infantile, des visites de santé au travail ou des enquêtes appariées, etc.). Lorsqu’elles sont traitées pour l’une des finalités mentionnées au III de l’article L. 1461-1 du code de la santé publique (CSP), les catégories de données visées au I de l’article L. 1461-1 du CSP composent le SNDS " élargi " (ou " données du SNDS "). Elles sont alors soumises à l’ensemble des dispositions de ce code. En particulier, les gestionnaires des bases de données du SNDS doivent respecter le référentiel de sécurité, ne poursuivre aucune finalité interdite, respecter les conditions d’accès aux données via un accès permanent ou à la réalisation d’une formalité, se conformer aux modalités de transparence. Une partie de ces données a alors vocation à être intégrée progressivement dans un " SNDS central " géré par la CNAM et par la Plateforme des données de santé (PDS). Ce " SNDS central " est composé d’une base principale (comprenant à ce jour le " SNDS historique " ainsi que d’autres bases couvrant l’ensemble de la population bases telles que " SI-DEP " et " Vaccin-COVID ") et d’un catalogue incluant d’autres bases de données. Afin de garantir un niveau de sécurité suffisant, l’accès aux données du SNDS doit s’effectuer dans des conditions assurant la confidentialité, l’intégrité des données et la traçabilité des accès et des autres traitements, conformément à un référentiel défini par l’arrêté, tel que prévu au 3) du IV de l’article L. 1461-1 et à l’article R. 1461-7 du CSP (" référentiel de sécurité du SNDS "). B. L’objet de la saisine Le projet d’arrêté a pour objet la mise à jour du précédent référentiel de sécurité du SNDS issu de l’arrêté du 22 mars 2017 en raison des évolutions du cadre juridique et de l’état de l’art en matière de sécurité des données. Le projet de référentiel définit les exigences de sécurité que doivent mettre en œuvre les responsables de traitement et les gestionnaires des différents systèmes d’information traitant des données du SNDS, sur la base : de principes généraux, déclinés de façon opérationnelle au moyen d’une analyse de risques ; de la prise de mesures techniques et organisationnelles afin de réduire ces risques ; d’une homologation avec acceptation des risques résiduels. II. L’avis de la CNIL A. Concernant le périmètre d’application du référentiel de sécurité applicable au SNDS La CNIL relève que l’élargissement du périmètre des données du SNDS opéré en 2019 a pour conséquence d’accroître celui du référentiel de sécurité du SNDS qui prévoit désormais quatre cas d’usage. Le ministère a explicité ces cas en les illustrant avec des exemples dont certains sont repris ci-dessous. Ainsi, selon les éléments transmis par le ministère, le champ d’application du projet de référentiel s’étend aux systèmes rassemblant et assurant la mise à disposition des données du SNDS pour les finalités du SNDS (appelés " système du SNDS ") pouvant impliquer : soit une " mise à disposition " des données via un " espace projet " ; soit une " transmission des données ", c’est-à-dire l’envoi des données à un " autre système du SNDS ". Ces différentes notions sont définies dans le projet de référentiel. Le ministère a précisé que le référentiel s’appliquera dès lors qu’interviendra une transmission ou une mise à disposition des données du SNDS à un autre responsable de traitement, que celui-ci soit un responsable de traitement conjoint ou responsable d’un traitement ultérieur. A cet égard, le ministère s’est engagé à modifier la définition de " mise à disposition " afin de préciser qu’" un traitement de données mis en œuvre dans le cadre d’une co-responsabilité entre le responsable de traitement du système d’information et un tiers " constitue une " mise à disposition ". Par ailleurs, d’une manière générale, selon les précisions apportées par le ministère, le projet de référentiel : ne s’appliquera pas lorsque les données du SNDS sont utilisées par le gestionnaire du système du SNDS pour ses propres traitements ; s’appliquera uniquement lors de la mise à disposition et de la transmission des données issues des " bases sources " telles que les entrepôts hospitaliers, et non à l’hébergement des données. Ces précisions faites, le projet de référentiel prévoit les quatre cas d’usage décrits ci-après. Le premier cas d’usage est relatif au " SNDS central ". Le projet reprend ce cas déjà prévu dans le précédent référentiel tout en précisant qu’il sera également applicable à l’alimentation, l’hébergement et la transmission, y compris entre les gestionnaires de système du " SNDS central ". Le deuxième cas d’usage porte sur l’application du référentiel aux " systèmes fils " pour l’hébergement, la transmission et la mise à disposition des données du SNDS. Sont définis comme " systèmes fils " l’ensemble des systèmes du SNDS rassemblant ou mettant à disposition des données du SNDS dans le cadre des finalités du SNDS, transmises soit par le SNDS central, soit par un autre système fils ou encore par un autre système du SNDS. Le ministère estime donc que le référentiel sera notamment applicable à un entrepôt de données de santé qui rassemble et permet la mise à disposition à des tiers de données provenant des dossiers médicaux des patients, et ce à des fins de recherche. Dans le silence du projet de référentiel, s’agissant des entrepôts de données de santé alimentant la base catalogue du SNDS et conservés par leur responsable de traitement initial en vue d’une mise à disposition ou d’une transmission de données à des tiers pour des finalités SNDS, la CNIL en déduit que leur hébergement devra être réalisé en conformité avec le référentiel de sécurité du SNDS. Le troisième cas d’usage concerne les bases de données qui alimentent le " SNDS central " ou un " autre système du SNDS ". Dans cette hypothèse, le référentiel s’applique uniquement : lors de la mise à disposition à un tiers pour des finalités du SNDS ; lors de la transmission de données vers un " système SNDS ". Le dernier cas d’usage concerne les " systèmes du SNDS n’alimentant ni le SNDS central, ni un système fils, ni un autre système du SNDS ". Le référentiel s’applique alors uniquement : à la mise à disposition de données du SNDS à un tiers pour des finalités du SNDS : par exemple, lorsque des données d’une cohorte constituée de données issues de l’administration de questionnaires combinées à des données recueillies dans le cadre du soin sont mises à disposition d’un tiers à des fins de recherche ; à la transmission de données du SNDS vers un " autre système du SNDS " : par exemple, un établissement transmettant des données issues de dossiers médicaux à un autre établissement de santé en vue d’une recherche multicentrique. S’agissant de la notion d’" autre système du SNDS ", le ministère a précisé qu’il s’agissait d’une " base de données contenant des données du SNDS et non qualifiée de système fils ". Il s’est engagé à inclure cette définition dans le référentiel. La CNIL prend également acte de ce que, selon le ministère, le référentiel sera également applicable, dans le cadre du dernier cas d’usage, à une transmission de données du SNDS à un tiers, que les données soient ou non versées dans " un autre système du SNDS ". La CNIL salue l'ambition du ministère de sécuriser l'ensemble des traitements mettant à disposition des données du SNDS à un tiers pour l’une des finalités du SNDS. Elle relève cependant que son application apparait particulièrement complexe à mettre en œuvre, notamment pour ce qui concerne les deux derniers cas d’usage. En effet, le projet de référentiel s’appliquera à la seule mise à disposition ou à la seule transmission des données pour des finalités du SNDS, mais ne s’appliquera pas au simple hébergement des données. Elle estime que le référentiel sera particulièrement délicat à mettre en œuvre, notamment pour les projets en cours qui se prolongeront au-delà des deux ans de la période transitoire prévue par le projet d’arrêté, et pour lesquels les données ont déjà été transmises par le gestionnaire du système. Elle s’inquiète par ailleurs d’un référentiel de sécurité qui resterait partiellement lettre morte, en raison du manque de compétences techniques et de moyens de certains acteurs de la recherche. Cela aurait alors pour conséquence de décourager les organismes disposant de moindres moyens de partager les données à des fins de recherches en santé. En tout état de cause, elle estime que le périmètre d’application du référentiel devrait être énoncé de façon plus détaillée afin d’améliorer la clarté du dispositif. A cet égard, elle prend acte de l’engagement du ministère d’intégrer des exemples précis dans la documentation pédagogique qui accompagnera la publication de ce référentiel. Par ailleurs, la CNIL appelle le ministère à fournir aux acteurs de la recherche et à l’écosystème les moyens nécessaires afin qu’ils puissent mettre en conformité, vis-à-vis des exigences de sécurité du projet de référentiel, les outils leur permettant d’effectuer leurs études. B. Concernant les dispositions transitoires de l’arrêté Le projet d’arrêté prévoit une application progressive du référentiel de sécurité : les systèmes du SNDS existants soumis au précédent référentiel devront être en conformité totale avec le référentiel mis à jour pour leur prochaine homologation de sécurité et au plus tard dans un délai de deux ans à compter de sa publication ; les systèmes du SNDS existants mais non soumis au précédent référentiel devront être en conformité avec le référentiel mis à jour dans un délai de deux ans à compter de sa publication ; les systèmes d’information créés après l’entrée en vigueur de l’arrêté devront être en conformité avec le référentiel mis à jour dès leur création. Tous les systèmes du SNDS existants devront, en outre, établir un plan d’action de mise en conformité avec le référentiel mis à jour, dans un délai de six mois à compter de sa publication. Le ministère a précisé privilégier la mise en conformité directement avec le nouveau référentiel, pour les systèmes du SNDS existants mais non soumis au précédent référentiel. Selon lui, l’encadrement actuel de ces systèmes (le précédent référentiel, mais aussi le référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d'entrepôts de données dans le domaine de la santé, etc.) impose un niveau de sécurité et de confidentialité comparable à celui prévu par le projet de référentiel. La CNIL s’interroge sur la variabilité des niveaux de sécurité des systèmes SNDS entrant dans le champ d’application du projet de référentiel pendant la période transitoire. En effet, parmi les systèmes qui devront respecter le nouveau référentiel, certains ne sont soumis ni au précédent référentiel ni à celui applicable aux entrepôts de données de santé. Il en résulte des risques en matière de sécurité pendant la période transitoire. La CNIL invite donc le ministère à préciser dans le projet de référentiel que le plan d’action de mise en conformité devra prévoir une priorisation des mesures en fonction des risques identifiés. C. S’agissant des mesures de sécurité que doivent mettre en œuvre les " systèmes du SNDS " S’AGISSANT DES EXIGENCES GÉNÉRALES EN MATIÈRE DE SÉCURITÉ En premier lieu, le précédent référentiel indiquait que les systèmes du SNDS devaient s’assurer du respect des règles " de la Politique générale de sécurité des systèmes d’information en santé (PGSSI-S), de la Politique de sécurité des systèmes d’information pour les ministères chargés des affaires sociales (PSSI MCAS), des règles applicables dans le cadre du Référentiel Général de Sécurité (RGS) ". Ces mentions ne figurent plus dans le projet de référentiel. Le ministère a indiqué que la PGSSI-S et le RGS n’avaient pas vocation à s’appliquer à l’environnement informatique des systèmes du SNDS. Il s’est néanmoins engagé à rétablir la référence à la PSSI-MCAS et à mentionner le décret n° 2022-513 du 8 avril 2022, qui encadrent chacun les règles de sécurité des systèmes d’information de l’État, considérant que les systèmes du SNDS constituent des infrastructures informatiques entrant dans leurs champs d’application. Pour ces mêmes raisons, la CNIL invite le ministère à s’interroger sur l’applicabilité de la circulaire n° 6404/SG du 31 mai 2023 portant actualisation de la doctrine d’utilisation de l’informatique en nuage par l’Etat aux systèmes du SNDS. En second lieu, le projet de référentiel prévoit que l’homologation de sécurité sera désormais à la charge du gestionnaire du système du SNDS y compris " dans le cadre de la mise à disposition dans des espaces projets par le gestionnaire du système ". La CNIL salue cette évolution qui correspond davantage à la réalité dans la mesure où les systèmes fils ne sont pas toujours mis en œuvre par les responsables de traitements, mais également par des prestataires spécialisés regroupant et hébergeant un grand nombre d’entre eux. Afin d’assurer la transparence et la visibilité sur l’ensemble des systèmes homologués pour traiter des données du SNDS, la CNIL prend acte de l’intention du ministère d’engager des travaux dans la perspective de la création d’un annuaire ou d’un répertoire public. Néanmoins, afin de ne pas priver d’effectivité l’ensemble du dispositif d’homologation et de conformité au référentiel de sécurité, elle estime que ce nouvel outil devrait être renseigné de façon systématique par les gestionnaires de ces systèmes. La CNIL prend acte de l’engagement du ministère de modifier le projet de référentiel afin de mettre à la charge du gestionnaire du système du SNDS l’obligation de s’assurer que les conditions légales sont réunies avant d’ouvrir l’accès aux données aux personnes physiques accédant à des données d’un système du SNDS dans un espace projet sous la responsabilité d’un responsable de traitement (les " utilisateurs ") comme aux administrateurs fonctionnels et techniques du système du SNDS (les " administrateurs "). S’AGISSANT DE LA TERRITORIALITÉ DES DONNÉES DU SNDS Le référentiel rappelle le principe prévu par les dispositions de l'article R. 1461-1 du CSP selon lequel les données du SNDS sont hébergées au sein de l'Union européenne. Par ailleurs, aucun transfert de données à caractère personnel ne peut être réalisé, sauf dans le cas d'accès ponctuels pour une finalité relevant du 1° du I de l'article L. 1461-3. La CNIL rappelle que cette exclusion des transferts en dehors de l’Union européenne ne suffit cependant pas à écarter les risques d’accès par un tiers non autorisé aux données du SNDS hébergées par des prestataires non soumis exclusivement aux lois de l’Union européenne. La CNIL prend acte de l’engagement du ministère de compléter le projet de référentiel sur les exigences auxquelles les gestionnaires des systèmes du SNDS devront se soumettre pour réduire substantiellement ces risques d’accès. En particulier, les gestionnaires ou les sous-traitants susceptibles d’être soumis à la législation d’un pays tiers n’assurant pas un niveau de protection adéquat au sens de l’article 45 du RGPD, auront pour obligation d’identifier les législations en cause, de mettre en œuvre des mesures pour atténuer les risques d’accès non autorisé induits par ces réglementations et d’identifier les risques résiduels qui demeureraient malgré ces mesures. Toutefois, au regard de la sensibilité et du volume des données figurant dans la base principale du SNDS, la CNIL estime que les organismes rassemblant et mettant à disposition ces données pour des finalités SNDS ainsi que leurs sous-traitants doivent être exclusivement soumis aux lois de l’Union européenne. S’AGISSANT DES MESURES DE SÉCURITÉ APPLICABLES EN CAS D’ACCÈS AUX DONNÉES DU SNDS Le projet de référentiel prévoit qu’en cas d'urgence les gestionnaires des systèmes peuvent suspendre temporairement l'accès au SNDS. La CNIL relève que le ministère souhaite modifier ce paragraphe afin d’indiquer que seuls les responsables des traitements mentionnés au II de l'article L. 1461-1 du CSP, c'est-à-dire la CNAM et la Plateforme de données de santé, " peuvent suspendre temporairement l'accès aux données du système national des données de santé " conformément aux dispositions de l’article 77 de la loi " informatique et libertés ". La CNIL prend acte de l’engagement du ministère : de prévoir une suspension temporaire de l’accès par les gestionnaires à tout système du SNDS en cas d’incident grave, en informant immédiatement le ou les responsables de traitements ; de rappeler le principe d’une notification aux autorités compétentes en cas de violation de données susceptible d’engendrer un risque pour les droits et libertés des personnes concernées ; de réintroduire dans le référentiel le principe selon lequel les administrateurs ne devront pas avoir accès à Internet depuis les environnements d’administration du SNDS élargi. S’AGISSANT DES MESURES DE PSEUDONYMISATION DES DONNÉES La CNIL prend acte de l’engagement du ministère de compléter le référentiel afin qu’il prévoie le renouvellement des pseudonymes en cas de compromission avérée de la fonction de pseudonymisation utilisée. La CNIL recommande néanmoins que dans le cas où une vulnérabilité est constatée, la fonction de pseudonymisation soit modifiée. En outre, différents usages de la pseudonymisation sont prévus. En particulier, il est mentionné à plusieurs reprises l’utilisation possible d’un " numéro d’ordre ", déjà présent dans le précédent référentiel. Le ministère a précisé que l’utilisation d’un même numéro d’ordre dans différentes études était parfois nécessaire, notamment lorsque le projet nécessite d’effectuer plusieurs extractions pour mettre à jour les données. Néanmoins, l’usage d’un tel numéro identifiant est à éviter afin de limiter le risque de réidentification entre différentes études où l’ordre serait similaire. Alerté sur ces risques, le ministère s’est engagé à prévoir également l’utilisation d’un identifiant aléatoire obtenu par un générateur de nombres pseudo-aléatoires cryptographiquement sûr. En complément, la CNIL estime dans ce cas que le référentiel devrait préciser que : l’usage d’un numéro d’ordre doit être limité aux cas où cela est strictement nécessaire et justifié ; si des tables de correspondance doivent être conservées, celles-ci devront faire l’objet de mesures techniques et organisationnelles renforcées. S’AGISSANT DU CONTRÔLE DES SYSTÈMES DU SNDS Concernant la périodicité des audits de cinq ans prévue par le projet de référentiel à la section 8.1, la CNIL prend acte de l’engagement du ministère de réduire ce délai à trois années. Le ministère a également précisé qu’une procédure d’accréditation de prestataires, sous la responsabilité du comité d’audit, était envisagée pour la réalisation des audits externes. La CNIL prend acte de ce que le ministère s’est engagé à associer la CNIL à ses travaux sur la mise en œuvre d’une telle procédure. Le précédent référentiel précisait en outre que les audits internes pouvaient être " éventuellement délégués à des prestataires PASSI " (prestataires d’audit de la sécurité des systèmes d’information). La CNIL recommande au ministère de réintégrer cette possibilité et d’imposer un recours systématique à de tels prestataires en cas de sous-traitance de ces audits. Le projet de référentiel, en sa section 8.2, prévoit une revue des habilitations à la charge du seul responsable de traitement. La CNIL prend acte de l’engagement du ministère de compléter le projet de référentiel pour prévoir une revue des habilitations similaire par tout gestionnaire de système du SNDS, en particulier pour les administrateurs de ces systèmes. Les autres dispositions du projet d’arrêté et du référentiel de sécurité annexé n’appellent pas d’observations en matière de protection des données. La Présidente M.-L. Denis


Délibération n° 2023-059 du 15 juin 2023 portant avis sur un projet de décret portant application des articles L. 251-1 et suivants du code de la sécurité intérieure et relatif à la mise en œuvre des traitements de données à caractère personnel provenant de systèmes de vidéoprotection et des caméras installées sur des aéronefs

Date de l'avis : 15 juin 2023 N° de la délibération : 2023-059 N° de demande d'avis : 23006447 N° d'acte réglementaire unique : RU-74 Texte concerné : projet de décret portant application des articles L. 251-1 et suivants du code de la sécurité intérieure et relatif à la mise en œuvre des traitements de données à caractère personnel provenant de systèmes de vidéoprotection et des caméras installées sur des aéronefs Thématiques : vidéoprotection, caméras Fondement de la saisine : article L. 255-1 du code de la sécurité intérieure L'essentiel : 1. La CNIL accueille favorablement la démarche de mise en conformité du cadre réglementaire relatif aux traitements de données issus des systèmes de vidéoprotection. 2. Elle estime que des précisions dans le projet de décret devraient être apportées, notamment concernant les personnes pouvant visionner les images, et le droit à l'information des personnes. 3. Elle considère que les modalités d'exercice du droit d'accès devraient être précisées. La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret portant application des articles L. 251-1 et suivants du code de la sécurité intérieure et relatif à la mise en œuvre des traitements de données à caractère personnel provenant de systèmes de vidéoprotection et des caméras installées sur des aéronefs ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment le IV de l'article 31 et les titres III et IV ; Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement, Adopte la deliberation suivante : I. - La saisine A. Le contexte de la saisine Le cadre juridique relatif à la vidéoprotection est prévu par les articles 10 à 10-2 de la loi n° 95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité, qui ont été codifiés aux articles L. 251-1 à L. 255-1 et L. 233-1 à L. 233-9 du code de la sécurité intérieure (CSI). L'article 9 de la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 est venu réformer ce cadre juridique afin de le mettre en conformité avec le RGPD et la directive (UE) 2016/680 du 27 avril 2016, dite police-justice . La CNIL s'est prononcée sur cette loi dans le cadre de sa délibération n° 2022-118 du 8 décembre 2022. B. L'objet de la saisine La CNIL a été saisie par le ministère de l'intérieur pour avis sur un projet de décret portant application des articles L. 251-1 et suivants du CSI relatif à la mise en œuvre des traitements de données à caractère personnel provenant de systèmes de vidéoprotection et des caméras installées sur des aéronefs. Ce projet modifie : - les dispositions réglementaires du CSI relatives à la vidéoprotection afin de les mettre en conformité avec le RGPD et la directive police-justice ; - les dispositions relatives aux caméras installées sur des aéronefs pour des missions de police administrative afin de prévoir la compétence du préfet de police dans les départements des Hauts-de-Seine, de la Seine-Saint-Denis et du Val-de-Marne et sur les emprises des aérodromes de Paris-Charles de Gaulle, Paris-Le-Bourget et Paris-Orly. Les modifications portant sur les dispositions relatives aux caméras installées sur des aéronefs pour des missions de police administrative n'appellent pas d'observations de la part de la CNIL. II. - L'avis de la CNIL A. Sur les lieux d'implantation des caméras de vidéoprotection et la notion de responsable de traitement Le projet de décret crée un nouvel article R. 251-1 du CSI afin de préciser : - les finalités des traitements de données des systèmes de vidéoprotection ; - les responsables de traitements pouvant être autorisés à mettre en œuvre de tels dispositifs ; - les lieux où peuvent être implantés ces dispositifs. Les responsables de traitements autorisés à mettre en œuvre des systèmes de vidéoprotection sur la voie publique sont : - les autorités publiques compétentes (les collectivités territoriales par exemple) pour les finalités mentionnées du 1° au 11° de l'article L. 251-2 du CSI ; - les autres personnes morales aux abords immédiats de leurs bâtiments et installations pour les finalités mentionnées au premier alinéa de l'article L. 223-1 du CSI (dans les lieux susceptibles d'être exposés à des actes de terrorisme) ; - les commerçants aux abords immédiats de leurs bâtiments et installations pour les finalités mentionnées au dernier alinéa de l'article L. 251-2 du CSI (dans les lieux particulièrement exposés à des risques d'agression ou de vol). Les personnes morales peuvent être autorisées à mettre en œuvre des systèmes de vidéoprotection dans les lieux et établissements ouverts au public pour assurer la sécurité des personnes et des biens lorsque ces lieux et établissements sont particulièrement exposés à des risques d'agression ou de vol (avant dernier alinéa de l'article L. 251-2 du CSI) ou à des risques de terrorisme (deuxième alinéa de l'article L. 223-1 du CSI). Eu égard à leurs finalités, les traitements de données peuvent relever du RGPD, de la directive police-justice (titre III de la loi informatique et libertés ), et/ou du titre IV de la loi précitée. Le ministère s'est engagé à définir les notions d' abords immédiats des bâtiments et installations sur la voie publique et de lieux et établissements ouverts au public dans une circulaire qui précisera le décret. Par ailleurs, le projet de décret utilise les dénominations suivantes : - les responsables des systèmes de vidéoprotection (projets d'articles R. 251-1, R. 252-6, R. 253-3, R. 253-6, R. 254-1 du CSI) ; - le responsable de la maintenance (projet d'article R. 252-3 du CSI) qui peut être la même personne que le responsable de système ou une personne différente ; - la personne autorisée à mettre en œuvre un système de vidéoprotection (projet d'article R. 253-3 du CSI). Le ministère a indiqué que les responsables des systèmes de vidéoprotection sont les personnes autorisées à mettre en œuvre un système de vidéoprotection et doivent être considérés comme les responsables de traitement au sens de la réglementation relative à la protection des données. Ces notions pourraient être clarifiées dans le projet de décret afin de mieux les articuler avec les définitions données par le RGPD et permettre aux acteurs concernés de connaître leurs obligations. B. Sur les données collectées Le projet d'article R. 253-1 précise les données à caractère personnel qui peuvent être enregistrées dans les traitements, à savoir : les images captées par les systèmes de vidéoprotection ; le jour et les plages horaires d'enregistrement ; le lieu où ont été collectées les images. Cette liste limitative interdit de recourir à des dispositifs de captation sonore ou à des dispositifs biométriques. Le ministère s'engage à modifier le projet de décret afin de préciser que les sons ne peuvent pas être captés par les systèmes de vidéoprotection. Le projet d'article R. 253-1 du CSI prévoit que les données enregistrées dans les traitements sont susceptibles de révéler des données sensibles au sens de l'article 6 de la loi. La CNIL estime qu'un enregistrement vidéo ne relève pas d'une catégorie particulière de données à caractère personnel. Toutefois, si les images font l'objet d'un traitement spécifique sur des données sensibles, l'article 6 de la loi est susceptible de s'appliquer. C. Sur les accédants et destinataires Les personnes pouvant visionner les images et les destinataires des données sont énumérés au projet d'article R. 253-3 du CSI. S'agissant des personnes autorisées à visionner les images, le projet de décret devrait préciser quelles sont les autres autorités publiques responsables du système mentionnées au 4° du II du projet d'article. D. Sur les droits à l'information et d'accès Le projet d'article R. 253-6 prévoit que l'information du public est délivrée par voie d'affiches ou de panonceaux comportant un pictogramme représentant une caméra, et comprend les informations prévues à l'article 14 du RGPD, à l'article 104 ou à l'article 116 de la loi. Dans la mesure où les données issues des systèmes de vidéoprotection sont collectées directement auprès des personnes concernées, le projet de décret devrait faire référence à l'article 13 du RGPD et non à l'article 14 du RGPD. La portée du droit à l'information prévu à l'article 13 du RGPD peut être limitée dans les conditions prévues à l'article 23 du RGPD. La CNIL constate la suppression de la précision suivante : Afin de garantir une information claire et permanente des personnes filmées ou susceptibles de l'être, le format, le nombre et la localisation des affiches ou panonceaux sont adaptés à la situation des lieux et établissements qui figure à l'actuel article R. 253-3 du CSI, mais prend acte que ces précisions seront précisées dans la circulaire. De plus, le choix de la mise en place technique de l'information dépendra de chaque responsable du système qui pourra apporter des précisions dans l'AIPD. Dans la mesure où, en pratique, il sera difficile de faire tenir toutes les mentions d'information prévues par la réglementation relative à la protection des données sur une affiche ou un panonceau, un premier niveau d'information pourrait être donné via les affiches ou panonceaux sur les lieux d'installation des caméras mentionnant les informations les plus importantes. Un second niveau d'information devrait être prévu comportant toutes les mentions, par exemple via un site web. Le Comité européen de la protection des données (CEPD) dans ses lignes directrices 3/2019 sur les dispositifs vidéo estime que le premier niveau d'information doit a minima comporter l'identité du responsable de traitement, les finalités du traitement et l'existence des droits de la personne concernée. Le ministère s'engage à modifier le projet de décret pour faire référence aux deux niveaux d'information. Le droit d'accès aux données à caractère personnel et les restrictions à ce droit sont prévus aux II et III du projet d'article R. 253-6 du CSI. La CNIL observe que la référence au droit d'accès aux enregistrements a été supprimée à l'article L. 253-5 du CSI tel que modifié par la loi du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024. Le droit d'accès aux enregistrements qui était prévu par le CSI permettait aux personnes intéressées de visionner les images sans obligation de floutage, alors que le droit d'accès à leurs données à caractère personnel prévu par l'article 15 du RGPD et les articles 105 et 118 loi Informatique et Libertés leur permet d'accéder et prendre copie des images les concernant dans la mesure où les visages des autres personnes sont floutées. La CNIL invite le ministère à préciser les modalités d'exercice du droit d'accès dans le projet de décret et dans l'AIPD cadre. Elle considère que le droit d'accès prévu par le RGPD et la loi Informatique et Libertés devrait faire l'objet de modalités spécifiques, telles que la possibilité pour les personnes intéressées de visionner les images les concernant sans floutage. L'effectivité du droit d'accès devrait cependant être assurée de façon à limiter l'atteinte aux droits des tiers. E. Sur l'acte réglementaire unique, l'engagement de conformité et l'analyse d'impact relative à la protection des données (AIPD) L'ensemble des responsables de traitement autorisés à mettre en œuvre des systèmes de vidéoprotection (les autorités publiques, les autres personnes morales et les commerçants) sont soumis à la procédure d'autorisation préfectorale. Parmi l'ensemble des traitements de vidéoprotection, seuls les traitements mis en œuvre pour le compte de l'Etat sont couverts par un acte réglementaire unique, en application du IV de l'article 31 de la loi. Le projet de décret constitue à ce titre un acte réglementaire unique. Les responsables de traitement agissant pour le compte de l'Etat devront ainsi envoyer à la CNIL un engagement de conformité conformément au projet d'article R. 253-7 du CSI. Pour les traitements relevant du régime de la directive police-justice (titre III de la loi) et mis en œuvre pour le compte de l'Etat, l'AIPD doit être adressée à la CNIL avec la demande d'avis conformément à l'article 90 de la loi. A cet égard, le ministère a transmis à la CNIL une AIPD cadre portant sur l'ensemble des traitements mis en œuvre pour le compte de l'Etat (y compris les communes). La CNIL estime que cette AIPD cadre a vocation à constituer le socle de garanties minimales à mettre en œuvre par l'ensemble des responsables de traitements de vidéoprotection, et devra être complétée par ces derniers le cas échéant. F. Sur les mesures de sécurité L'arrêté du 3 août 2007 portant définition des normes techniques des systèmes de vidéosurveillance mentionné dans l'AIPD cadre est obsolète et devrait être mis à jour. Le ministère a indiqué travailler actuellement à une refonte de cet arrêté. Concernant les caméras de vidéoprotection mises en œuvre par les commerçants aux abords immédiats de leurs bâtiments et installations, le projet d'article R. 251-2 du CSI prévoit que la ou les caméras composant le dispositif de vidéoprotection sont déconnectées des caméras installées à l'intérieur du lieu ouvert au public de manière à ce que le responsable ou ses subordonnés ne puissent avoir accès aux images enregistrées par la ou les caméras extérieures. La CNIL considère que cette garantie devrait être accompagnée de mesures de sécurité robustes afin de garantir son effectivité. En particulier, des mesures de chiffrement des sauvegardes et communications et de limitation des accès au moyen d'un système d'authentification devraient être mises en œuvre. Le projet de décret prévoit la suppression des points 5° et 10° de l'article R. 252-3 du CSI, disposant que la demande d'autorisation préfectorale est accompagnée de la description du dispositif prévu pour la transmission, l'enregistrement et le traitement des images et les consignes générales données aux personnels d'exploitation du système pour le fonctionnement de celui-ci et le traitement des images. La CNIL considère que ces informations sont nécessaires à la délivrance des autorisations. Elle invite dès lors le ministère à conserver ces informations dans le dossier accompagnant la demande d'autorisation ou à prévoir à l'article R. 252-3 du CSI qu'elles puissent être intégrées dans l'AIPD lorsque celle-ci existe. Concernant la journalisation, la CNIL s'interroge sur l'articulation entre les projets d'articles R. 253-2 et R. 253-5 du CSI. Le ministère s'engage à supprimer la mention ainsi que la traçabilité des consultations des images au projet d'article R. 253-2 du CSI, qui est redondant avec le projet d'article R. 253-5 du CSI et apporte moins de garanties que ce dernier. La présidente, M.-L. Denis


Délibération du bureau de la Commission nationale de l’informatique et des libertés n° MEDP-2021-002 du 6 décembre 2021 décidant de rendre publique la mise en demeure n° MED-2021-134 du 26 novembre 2021 prise à l’encontre de la société X

Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 6 décembre 2021 sous la présidence de Madame Marie-Laure DENIS ; Siégeaient, outre la Présidente de la Commission, Madame Sophie LAMBREMON, Vice-présidente déléguée, et Monsieur François PELLEGRINI, Vice-président ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ; Vu la décision n° MED-2021-134 du 26 novembre 2021 de la Présidente de la Commission mettant en demeure la société X ; A adopté la délibération suivante : La Commission nationale de l’informatique et des libertés (ci-après " CNIL ") a été saisie entre mai et décembre 2020 de plusieurs réclamations relatives aux difficultés rencontrées par les plaignants pour exercer leurs droits d’accès et d’effacement auprès de la société X (ci-après " la société "). Dans le cadre de l’assistance mutuelle prévue à l’article 61 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " RGPD "), la CNIL s’est vue communiquer par plusieurs de ses homologues européens des informations utiles relatives aux traitements mis en œuvre par la société. Une délégation de la CNIL a procédé à une mission de contrôle sur pièces par l’envoi d’un questionnaire le 27 octobre 2020, qui portait sur les différents traitements mis en œuvre par la société, les organismes utilisateurs des services de la société (actuels ou anciens) ayant leur principal établissement en France ou au sein de l’Union européenne ainsi que sur plusieurs réclamations. Le 27 mai 2021, la CNIL a également été saisie d’une plainte de l’organisme Privacy International portant sur le logiciel de reconnaissance faciale de la société et son utilisation par les forces de l’ordre. Il ressort de ces éléments que la société a développé et commercialisé un logiciel de reconnaissance faciale, dont la base de données repose sur l’aspiration de photographies ou vidéos, contenant des visages, publiquement accessibles sur des millions de sites web, y compris sur des réseaux sociaux. Il a été constaté que la société met en œuvre ce traitement de manière illicite puisqu’elle ne dispose d’aucune base juridique pour ce faire, en méconnaissance de l’article 6 du RGPD. En outre, il est relevé que la société a méconnu son obligation de respecter et de faciliter l’exercice des droits d’accès et d’effacement des personnes concernées, en méconnaissance des articles 12, 15 et 17 du RGPD. En conséquence, par décision du 26 novembre 2021, la Présidente de la Commission a, sur le fondement de l’article 20 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de deux (2) mois les manquements constatés aux obligations prévues aux articles 6, 12, 15 et 17 du RGPD. Elle a enjoint à la société de ne plus procéder sans base légale à la collecte et au traitement de données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire français dans le cadre du fonctionnement du logiciel de reconnaissance faciale qu’elle commercialise. En application du dernier alinéa du II de l’article 20 la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision. Le bureau a été réuni à cette fin le 6 décembre 2021. Après en avoir délibéré, le bureau estime que la publicité de la décision de mise en demeure est justifiée en raison, tout d’abord, des caractéristiques du traitement en cause. En effet, ce traitement concerne plus de dix milliards d’images ainsi qu’un nombre considérable de personnes concernées. Ce sont plusieurs millions de personnes en France dont le visage apparaît sur une photographie ou une vidéo publiquement accessible sur Internet, et notamment sur un compte de réseau social, qui sont susceptibles d’être concernées par ce traitement. La base de données étant en outre actualisée très régulièrement pour intégrer les informations nouvellement disponibles, le nombre de ces personnes est en constante évolution. Ce traitement massif présente par ailleurs un caractère particulièrement intrusif en ce qu’il recueille sur une personne donnée un nombre potentiellement très important de données photographiques, auxquelles sont associées d’autres données à caractère personnel susceptibles de révéler divers aspects de leur vie privée tels que leurs goûts et préférences (par exemple, en termes de loisirs) ou leurs convictions politiques ou religieuses, exprimés sur des réseaux sociaux, dans des articles de blogs ou encore des articles de presse. À partir de ces données, est en outre constitué un gabarit biométrique, c’est-à-dire une donnée biométrique considérée comme sensible, qui vise à identifier la personne de façon unique à partir d’une photographie de l’individu. Il s’agit donc d’un dispositif de reconnaissance faciale et la société a pour objectif qu’il puisse être utilisé, notamment, par les forces de l’ordre pour identifier des auteurs et des victimes d’infractions à partir d’une photographie. Dans ce contexte, le bureau rappelle, ensuite, la très haute gravité du manquement à l’article 6 du RGPD relevé par la CNIL. En effet, la société met en œuvre ce traitement en toute illicéité puisqu’elle ne dispose d’aucun fondement juridique à cette fin : ni intérêt légitime du responsable de traitement, ni consentement des intéressés. Le bureau souligne enfin que la publicité de la décision de mise en demeure est également nécessaire pour informer les personnes concernées de l’existence de ce dispositif, que la grande majorité d’entre elles ignore qu’il puisse les concerner. En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° MED-2021-134 de la Présidente de la CNIL mettant en demeure la société X. Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. Si la société se conforme en tout point aux exigences de la mise en demeure dans le délai imparti, celle-ci fera l’objet d’une clôture qui sera également rendue publique. Enfin, tant la décision de mise en demeure précitée que la présente délibération ne permettront plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de leur publication. La Président Marie-Laure DENIS