Délibération n° 2023-025 du 16 mars 2023 portant avis sur un projet de mise en œuvre d’un traitement de données à caractère personnel dénommé Études détaillées d’accident
(demande d’avis n° 2228343)

La Commission nationale de l'informatique et des libertés, Saisie par l’Université Gustave Eiffel d’une demande d’avis concernant un projet de mise en œuvre d’un traitement de données à caractère personnel dénommé Études détaillées d’accident ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44-6 , 34; Vu le code de l’éducation, notamment en son article L. 123-2 ; Vu le décret n°2019-536 du 29 mai 2019 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment son article 116 ; Après avoir entendu le rapport de M. Claude CASTELLUCCIA, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement, Émet l’avis suivant : La Commission a été saisie par l’Université Gustave Eiffel (ci-après " l’Université "), sur le fondement du 6 de l’article 44 de la loi du 6 janvier 1978 modifiée, d’une demande d’avis relative à un traitement automatisé de données à caractère personnel dénommé Études détaillées d’accident (ci-après " EDA "). En effet, dans la mesure où il porte sur des données " sensibles " au sens de la réglementation, le traitement projeté doit faire l’objet d’un avis préalable de la Commission conformément aux dispositions du 6° de l’article 44 de la loi du 6 janvier 1978 modifiée. Par ailleurs, le traitement projeté remplit les autres conditions posées par cette disposition puisqu’il constitue une recherche publique au sens de l’article L. 112-1 du code de la recherche et implique des traitements de données à caractère personnel nécessaires à cette recherche qui revêtent un intérêt public important. Le traitement " EDA " s’inscrit dans le cadre des travaux du Laboratoire Mécanismes d’Accidents (ci-après " LMA "). Il porte sur la création d’un entrepôt de données à des fins de recherche scientifique en dehors du domaine de la santé. Le traitement relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 susvisé. La Commission relève que si un accord est demandé à la personne concernée pour la réalisation de la recherche, cet accord ne constitue pas une base légale pour le traitement de données. L’Université Gustave Eiffel entend se prévaloir de la base légale mentionnée au e) du 1) de l’article 6 du RGPD, à savoir de l’exécution d’une mission d’intérêt public. La Commission estime que le 6° de l’article 44 lui permet de rendre un avis unique à la fois pour l’entrepôt qui sera créé par l’Université et les recherches qui seront réalisées en son sein dans le cadre indiqué dans la demande. En revanche, elle estime en l’espèce que les recherches mises en œuvre par des chercheurs externes à l’Université et qui ne sont rattachés à aucun laboratoire de celle-ci, à des fins de recherche publique, à partir des données contenues dans l’entrepôt, constitueront des traitements distincts, non couverts par la demande, qui devront faire l’objet de nouveaux avis au titre du 6° de l’article 44 de la loi " Informatique et libertés ". Elle rappelle qu’en tout état de cause, tout traitement mis en œuvre à des fins de recherche ultérieure devra être conforme à la réglementation en matière de protection des données. Sur le contexte général du traitement : Le projet de traitement vise à collecter des informations concernant les mécanismes d’accident sur les lieux d’accident auprès des victimes dans un périmètre autour de 15 km autour de Salon-de-Provence. L’échantillon de données sera constitué d’une trentaine d’accidents par an et de 1500 cas antérieurs à la constitution de l’entrepôt (base de données " RESEDA 1 ") qui auront vocation à alimenter la base de données " RESEDA 2 ". Cette base de données contiendra des données recueillies sur le lieu de l’accident et auprès des personnes impliquées ou susceptibles de donner des indications sur le déroulement de l’accident afin de permettre à des chercheurs de pouvoir y accéder dans le cadre de recherches pluridisciplinaires en accidentologie. Le travail d’enquête se compose de différentes phases : sur les lieux de l’accident, les " enquêteurs " en charge du projet de recherche (un psychologue et un technicien) vont recueillir les informations dans le cadre d’un premier entretien qui sera complété par un second entretien sept à quinze jours après l’accident auprès des personnes impliquées. Ils vont aussi prendre des photographies et des vidéos. Ils seront à cette fin guidés par une grille de 900 variables correspondant aux informations nécessaires pour alimenter l’entrepôt de données " RESEDA 2 " à des fins de recherches ultérieures dans le domaine de l’accidentologie. Les entretiens sont retranscrits pour être intégrés et codés selon la grille susmentionnée dans cette base de données. Sur la finalité du traitement : En premier lieu, il est précisé dans les éléments du dossier que " l’objet [du traitement] est la recherche publique dans le domaine de la sécurité routière ". Il ressort de l’analyse d’impact relative à la protection des données (AIPD) transmise ainsi que des précisions apportées par l’Université que le traitement permet de recueillir des données de cas d’accident sur différentes phases qui sont ensuite analysés, reconstruits, informatisés et intégrés dans la base de données " RESEDA 2 " pour être mis à disposition de chercheurs dans le cadre de recherche scientifiques en accidentologie. Au regard de ces éléments, la Commission considère que l’AIPD devrait être précisée afin de mentionner explicitement la constitution d’un entrepôt de données à des fins de recherche scientifique en accidentologie. La Commission invite par ailleurs l’Université à indiquer plus précisément les domaines de recherche. En second lieu, l’Université a indiqué que les cas d’accident peuvent également servir à la communication " grand public " à des fins de sensibilisation à la prévention routière ou dans le cadre de formations ou d’évènements scientifiques (tel que l’évènement " Sciences en fêtes ", par exemple). Cette finalité devrait être mentionnée dans la notice d’information. Seules les caractéristiques importantes de l’accident sont conservées et il a été précisé que les informations décrivant le " mécanisme " d’accident (déroulement, faits contributifs à sa survenance et gravité des dommages) seraient anonymisées. La Commission rappelle que la diffusion des données devra être réalisée conformément aux articles 78 de la loi du 6 janvier 1978 modifiée et 116 du décret n° 2019-536 précité. En particulier, il ressort de ces dispositions que les données doivent être préalablement anonymisées pour être diffusées et non pseudonymisées, sauf si l'intérêt des tiers à cette diffusion prévaut sur les intérêts ou les libertés et droits fondamentaux de la personne concernée. Pour se prévaloir de l’anonymat de ces données, l’Université devra réaliser une analyse ad hoc permettant de démontrer que le processus d’anonymisation respecte les trois critères définis dans l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification devra être menée et documentée afin de démontrer que ces risques sont nuls. En tout état de cause, les données diffusées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Sur la nature des données traitées : En premier lieu, la Commission observe que parmi les catégories de données collectées figurent des données révélant l’état de santé des personnes concernées par le traitement. Elle prend acte des précisions apportées par l’Université selon lesquelles ces données ne seront pas renseignées dans un formulaire mais recueillies par l’enquêteur qui mène deux entretiens à quinze jours d’intervalle avec la ou les personnes impliquées dans l’accident, lesquels seront ensuite retranscrits et intégrés dans la base " RESEDA 2 ". La Commission prend acte de ce que la méthodologie suivie pour la collecte de données emporte un risque important de collecte de données incidentes. Elle relève, par ailleurs, que les données figurant dans la grille apparaissant dans l’annuaire de données seront codées afin de permettre une recherche aisée dans la base " RESEDA 2 ". Elle relève que parmi les données qui sont codées dans la base de données " RESEDA 2 " figurent notamment des données sur les lésions des victimes d’accident. La Commission prend acte de ce que la collecte de ces données est utile pour permettre à des recherches ultérieures d’analyser le mécanisme d’accident. En deuxième lieu, la Commission relève que, dans le cadre de ces différents entretiens menés par les enquêteurs, des données incidentes, pouvant également révéler d’autres données relevant de la catégorie des données dites " sensibles " au sens de l’article 9 du RGPD, notamment celles relatives aux convictions religieuses des victimes d’un accident (par exemple, si une personne impliquée est à jeun au moment de l’accident en raison de ses convictions religieuses), pourraient également être collectées. Cette collecte est justifiée par l’objet des recherches concernées en accidentologie, qui visent notamment à étudier les différents facteurs, tant externes qu’internes, permettant de comprendre les mécanismes générateurs de l’accident. La Commission rappelle que les données " sensibles " font l’objet d’une protection particulière. Elle estime, dès lors, qu’il conviendrait, au titre du respect du principe de minimisation, de sensibiliser chaque enquêteur sur les méthodes de retranscription et d’intégration des données à la base " RESEDA 2 " afin de limiter au strict nécessaire la collecte de ces données. En troisième lieu, la Commission observe que, dans l’annuaire des données recueillies qui feront l’objet d’un codage dans la base de données " RESEDA 2 ", figure le " nombre d’infractions justifiables d’une perte de points depuis cinq ans " parmi lesquelles il est demandé de préciser s’il s’agit d’une infraction relative à la vitesse, à l’alcoolémie, au respect des priorités et sens interdits, ou aux manœuvres en circulation notamment. Elle relève par ailleurs que lors desdits entretiens, tout élément affectant le mécanisme d’accident peut être conservé pour être retranscrit et intégré à la base de données " RESEDA 2 " et notamment des données pouvant révéler des condamnations antérieures. Sur ce point, elle rappelle également que l’Université appartient à la catégorie des services publics de la recherche conformément au 1° de l’article L. 123-2 du code de l’éducation, et que dès lors, que l’Université est une personne morale gérant un service public et agissant dans le cadre de ses attributions légales au sens de l’article 46-1 de la loi " Informatique et Libertés " elle serait fondée à traiter, le cas échéant, de telles données. Sur la durée de conservation des données : En premier lieu, la Commission prend acte de ce que les données directement identifiantes (par exemple, nom, prénom, adresse, numéro de téléphone, plaque d’immatriculation) des personnes participant à la constitution de l’entrepôt seront supprimées une fois les informations (retranscription de l’entretien, vidéos notamment) intégrées dans la base de données. Elle prend acte de ce que l’Université supprime les données identifiantes des personnes qui n’ont pas donné leur accord à la réalisation de la recherche avant ou au moment du deuxième entretien. De manière générale, elle demande que les données directement identifiantes ne soient pas conservées au-delà du strict nécessaire. En second lieu, la Commission rappelle à titre général que, selon le e) du 1) de l’article 5 du RGPD, les données collectées dans le cadre d’un traitement doivent être " conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ". Elle rappelle en outre que si " les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins de recherche scientifique ou à des fins statistiques ", une telle conservation doit être accompagnée de la mise en œuvre de " mesures techniques et organisationnelles appropriées afin de garantir les droits et libertés des personnes ". À cet égard, elle relève que les données qui ne sont pas directement identifiantes, collectées à l’occasion des différents entretiens et dans les vidéos, seront conservées vingt ans à compter de la date de survenue de l’accident. La Commission prend acte, par ailleurs, de ce que les données ainsi conservées seront pseudonymisées. Elle considère néanmoins que l’Université ne pourrait conserver les données non directement identifiantes sans limitation de durée que dans la mesure où elles seraient par ailleurs anonymisées. Dans le cas contraire, l’Université devra déterminer une durée de conservation des données en base active au terme de laquelle elle procèderait au versement de ces données aux Archives de France conformément aux dispositions du code du patrimoine. Sur les accédants et destinataires des données : En premier lieu, il ressort de l’AIPD que les " personnels des EDA " auront accès aux données. La Commission s’interroge sur un éventuel accès à l’entrepôt par des membres rattachés à un laboratoire de l’Université mais qui seraient extérieurs à l’équipe EDA. À des fins de clarté, elle invite l’Université à préciser ces éléments dans les mentions d’information et dans l’AIPD relatifs au traitement. En deuxième lieu, la Commission prend acte de ce que les chercheurs externes à l’équipe EDA menant des recherches publiques pourront accéder à la base de données. Elle prend acte de ce que cet accès sera réalisé sous la surveillance d’un membre de l’équipe EDA. Elle observe, par ailleurs, qu’aucune instance de gouvernance n’a été mise en place pour s’assurer de la légitimité de l’accès de ces chercheurs à la base de données et pour fixer les domaines de recherche. En troisième lieu , la Commission prend acte des précisions de l’Université selon lesquelles des chercheurs menant des recherches publiques au sens des articles L. 112-1 et suivants du code de la recherche auront accès aux données de l’entrepôt. Elle attire toutefois l’attention de l’Université sur le fait que, la base de données " RESEDA 2 " contenant des données dites " sensibles ", les chercheurs qui mènent des recherches privées ne pourraient pas y accéder, sauf à démontrer qu’ils remplissent l’une des exceptions prévues par le 2° de l’article 9 du RGPD. Elle rappelle également que seules les personnes listées à l’article 46 de la loi du 6 janvier 1978 modifiée peuvent traiter des données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes. Sur la gouvernance de l’entrepôt : La Commission prend acte des précisions de l’Université selon lesquelles certaines procédures ont été mises en place afin de s’assurer des accès à la base " RESEDA 2 " et de mettre à jour la liste des variables codées dans la base, sans toutefois que ces procédures soient formalisées. Elle estime, compte tenu de la nature du traitement et de la sensibilité des données collectées, qu’il est nécessaire de mettre en œuvre une gouvernance pour l’entrepôt que l’Université constitue. Dès lors, elle invite l’Université à créer, d’une part, une première instance (comité de pilotage ou équivalent) qui aurait vocation à déterminer les orientations stratégiques et scientifiques de l’entrepôt et, d’autre part, une instance scientifique et éthique dont la mission serait de rendre un avis préalable motivé sur les projets nécessitant l’accès aux données d’entrepôt à des fins de recherches ultérieures. Cette instance aurait notamment pour rôle de s’assurer que les finalités poursuivies par l’organisme menant les recherches ultérieures sont conformes aux finalités pour lesquelles l’entrepôt a été constitué, et de s’assurer que cet organisme respecte les exigences de l’article 9 du RGPD. Sur l'information des personnes : En premier lieu, la Commission relève qu’une information sera délivrée aux personnes concernées. Elle prend acte des précisions de l’Université selon lesquelles une première information est délivrée de manière individuelle (sur la fiche d’autorisation à procéder à des recherches). Elle prend acte également de ce qu’une deuxième information est délivrée oralement, quinze jours après l’accident, au moment du second entretien. Si l’information mentionne que " les données collectées sur un accident sont renseignées dans un logiciel spécifique et sécurisé ", la Commission invite l’Université à préciser de manière plus explicite qu’un entrepôt sera constitué, et à mettre particulièrement en avant dans la note d’information les modalités d’exercice du droit d’accès. En complément de l’information individuelle, la Commission invite l’Université à diffuser une information générale, via une campagne d’information publique (sur le site de l’Université, par exemple). En second lieu, la Commission constate que pourront également alimenter l’entrepôt les informations issues de collectes sur les lieux d’accidents antérieures à sa constitution (dans le cadre de la base de données " RESEDA 1 "). La Commission rappelle qu’en cas de collecte indirecte des données, il convient d’informer les personnes concernées, conformément à l’article 14 du RGPD. En tout état de cause, l’Université peut faire valoir une exception à l’obligation d’information pour la constitution de l’entrepôt si elle justifie que la fourniture de ces informations exigerait des efforts disproportionnés. La Commission observe qu’une telle dérogation au droit à l’information doit, conformément aux dispositions du 5° de l’article 14 et du 2° de l’article 89 du RGPD, être assortie de garanties pour les droits et libertés des personnes et invite l’Université, a minima, à rendre les informations publiquement disponibles (sur le site de l’Université, via les réseaux sociaux par exemple). L’Université devra, par ailleurs, détailler précisément dans l’AIPD les éléments qui ont conduit à considérer que délivrer une information individuelle constituerait un effort disproportionné, ainsi que les garanties mises en œuvre afin de protéger les droits et libertés des personnes concernées. Sur le droit d'opposition des personnes : La Commission relève que les éléments transmis n’indiquent pas clairement si le droit d’opposition est applicable ou non. Elle invite l’Université à clarifier si elle entend permettre l’exercice de ce droit et, le cas échéant, à en préciser les modalités d’exercice. Elle rappelle qu’au regard du 6° de l’article 21 et du 2° de l’article 89 du RGPD – dont les principes sont précisés aux articles 78 de la loi " Informatique et Libertés " et 116 du décret du 29 mai 2019 susmentionné - le droit d’opposition peut être exclu lorsque les données à caractère personnel sont traitées à des fins de recherche scientifique et que le traitement est nécessaire à l’exécution d’une mission d’intérêt public. Par ailleurs, conformément à l’article 116 du décret susmentionné, cette dérogation n’est possible que dans la mesure où l’exercice du droit d’opposition risquerait de rendre impossible ou d’entraver sérieusement la réalisation de la finalité de constitution de l’entrepôt. La Commission rappelle toutefois qu’une telle dérogation doit être assortie de garanties pour les droits et libertés des personnes conformément aux dispositions de l’article 89-2 du RGPD. Elle invite l’Université à mentionner, le cas échéant, une telle dérogation dans la notice d’information. Sur la sécurité des données et la traçabilité des actions : En raison de la sensibilité des données contenues dans la base de données " RESEDA 2 ", l’hébergement de ses services sera réalisé par l’Université. La Commission prend acte de ce que le serveur de la base de données et les postes de consultation seront isolés d’Internet et des autres réseaux internes de l’Université. Les mises à jour de ce serveur seront installées manuellement, sans connexion directe à Internet. Les données stockées dans " RESEDA 2 " seront pseudonymisées préalablement à leur intégration dans la base de données, c’est-à-dire lors de leur saisie. Un identifiant unique est attribué pour chaque cas, personne et véhicule. La Commission préconise que, lors de la pseudonymisation, les identifiants uniques soient générés par une fonction de hachage cryptographique résistante aux attaques par force brute, qui constitue une mesure technique facilitant l’exercice des droits des personnes concernées. La Commission note que des documents non structurés, par exemple les retranscriptions d’entretiens avec les personnes concernées, sont également collectés et pseudonymisés manuellement. Elle recommande qu’un système automatique de suppression ou de masquage des données directement identifiantes soit mis en place afin de réduire les risques de ré-identification des personnes concernées. La Commission prend acte du chiffrement au repos des serveurs et postes de consultation. Elle rappelle que ces mesures de chiffrement devront être conformes à l’annexe B1 du référentiel général de sécurité (" RGS ") afin de garantir la confidentialité des données. L’accès à la base de données " RESEDA 2 " n’est possible que via des postes de consultation connectés directement au serveur, par connexion directe au serveur ou en utilisant une prise dédiée. En dehors de leurs périodes d’utilisation, ces postes de consultation sont conservées dans une armoire sécurisée. Ces postes de consultation ne sont pas emportées par les personnes habilitées lors d’une enquête sur le terrain. La Commission note que des données pseudonymisées pourront être exportées hors de la base lors de projets de recherche après minimisation de ces données. Elle estime que les données pseudonymisées contenues dans " RESEDA 2 " ne devraient être manipulées par des chercheurs uniquement que dans des espaces de travail internes et spécifiques à chaque projet de recherche, étanches avec la base de données et étanches les uns des autres, et ne permettant d’exporter que des données anonymisées hors de ces espaces. Afin de mettre en œuvre ces espaces de travail, la Commission recommande qu’un serveur spécialisé dédiée aux projets de recherche soit connecté avec la base de données principale dans le même réseau isolé. Concernant la mise en œuvre de l’exercice des droits des personnes concernées, la Commission estime que des procédures techniques de ré-identification devraient être mises en place par l’Université et recommande que cette ré-identification soit réalisée dans des espaces comportant les mêmes garanties de sécurité que la base de données elle-même, et comportant une traçabilité et une confidentialité renforcées, notamment via des comptes utilisateurs spécifiques et différents de ceux utilisés dans la base principale. Concernant l’accès des utilisateurs et administrateurs à la base de données et aux postes de consultation, les utilisateurs sont authentifiés à l’aide d’identifiants et de mots de passe. Etant donné la sensibilité des données conservées, la Commission estime qu’un mécanisme d’authentification multifacteur, comprenant au moins deux facteurs différents d’authentification, doit être mis en œuvre. Si l’un de ces facteurs est un mot de passe, la Commission recommande de mettre en œuvre une politique de mots de passe conforme à sa délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés, et de choisir un facteur d’authentification différent robuste afin d’assurer une meilleure fiabilité de l’authentification et, partant, une traçabilité adéquate des accès des utilisateurs et administrateurs. Elle rappelle que tous les comptes utilisateurs et administrateurs aux serveurs et postes devront être nominatifs et conformes à la politique d’habilitation de l’Université pour ce traitement. Enfin, la Commission prend acte de ce qu’une journalisation des accès est mise en œuvre par l’Université. Elle souligne d’un système de journalisation, permettant de conserver une trace des opérations de consultation, création et modification des données, et conforme à sa délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation doit être mis en œuvre. Elle prend acte de ce qu’une durée de conservation des traces conforme à ses recommandations est mise en œuvre par l’Université, mais rappelle que ces traces doivent faire l’objet d’un contrôle automatique ou manuel régulier, afin de détecter les comportements anormaux et de générer des alertes le cas échéant. La Présidente Marie-Laure DENIS


Délibération n° 2022-082 du 21 juillet 2022 portant avis sur un projet de traitement de données à caractère personnel nécessaire à la réalisation d’une enquête dénommée " Enquête sur la vie affective des jeunes adultes" (ENVIE)
(demande d’avis n° 2226211)

La Commission nationale de l'informatique et des libertés, Saisie par l’Institut national d’études démographiques d’une demande d’avis sur un projet de traitement de données à caractère personnel nécessaire à la réalisation d’une enquête dénommée " Enquête sur la vie affective des jeunes adultes " (ENVIE) ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment le 6° de son article 44 ; Sur la proposition de M. Claude CASTELLUCCIA, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement, Emet l’avis suivant : A titre liminaire, la Commission relève que le projet d’enquête de recherche publique de l’Institut national d’études démographiques (INED) dénommé " Enquête sur la vie affective des jeunes adultes " (ENVIE) a pour objectif " de saisir les nouveaux modes d’entrée dans la sexualité et la conjugalité des jeunes et d’actualiser l’état des connaissances, la dernière enquête sur la sexualité des jeunes en France datant de 1994 (Analyse des comportements sexuels des jeunes – ACSJ) ". La Commission relève que le traitement projeté poursuit des finalités de recherche scientifique. Elle estime à cet égard que le traitement relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 (ci-après le " RGPD ") et prend acte de ce que l’INED entend se prévaloir de la base de licéité mentionnée au e) du 1 de l’article 6 du RGPD, à savoir de " l’exécution d’une mission d’intérêt public ". Dans la mesure où il porte sur des données sensibles au sens de la réglementation, le traitement projeté doit faire l’objet d’un avis préalable de la Commission conformément aux dispositions du 6° de l’article 44 de la loi du 6 janvier 1978 modifiée, sans préjudice de l’obligation de formaliser le cas échéant la création du traitement par un acte réglementaire spécifique. La Commission rappelle qu’elle devra être tenue informée et saisie de toute modification substantielle affectant les caractéristiques du traitement et que l’analyse d’impact relative à la protection des données (AIPD) transmise devrait alors faire l’objet d’une mise à jour. Sur le contexte général de réalisation de l’enquête (" ENVIE ") Ce projet d’enquête vise les résidents en France métropolitaine âgés de 18 à 29 ans. Elle est scindée en plusieurs volets : la répétition générale de l’enquête, qui aura lieu en septembre-octobre 2022 avec un objectif de 200 questionnaires téléphoniques ; l’enquête réelle par questionnaire téléphonique, qui débutera en novembre 2022 et durera six mois. Elle visera des personnes dont le numéro de téléphone portable aura été généré aléatoirement par un prestataire. L’objectif est d’atteindre 10 000 questionnaires téléphoniques complets ; les post-enquêtes qualitatives, consistant en des entretiens semi-structurés menés auprès des personnes ayant répondu à l’enquête réelle et accepté d’être contactées par l’équipe conceptrice pour un entretien plus approfondi. L’objectif est celui d’une centaine d’entretiens individuels. Le projet d’enquête a reçu l’avis d’opportunité du Conseil national de l’information statistique (CNIS) le 2 décembre 2021. A titre liminaire, la Commission prend acte des précisions apportées par l’INED indiquant qu’un test, non concerné par la présente demande d’avis, a été réalisé en 2021 dans un objectif strictement méthodologique et ce, sur le fondement d’un recueil du consentement explicite (art. 9.2.a du RGPD). En premier lieu, l’INED indique que chaque numéro composant la base de sondage fera l’objet de vingt appels avant abandon. Ce nombre a été retenu par l’INED au regard de travaux méthodologiques. Sans remettre en cause ces éléments, la Commission recommande toutefois de réduire le nombre d’appels avant abandon dès lors que l’enquêté aura été informé au préalable de l’enquête par un SMS et appelle l’attention de l’INED sur le caractère potentiellement intrusif de ces appels, surtout si lesdits appels sont réalisés sur une courte période de temps et, éventuellement, aux heures dédiées au repos afin de maximiser les chances de réponse. En deuxième lieu, la Commission relève que, pour la réalisation de l’enquête projetée, l’INED va produire plusieurs fichiers, à savoir : un " fichier de la base des numéros générés " qui correspond à une base de sondage généré par un prestataire puis transmis à l’INSEE pour comparaison avec les fichiers démographiques sur les logements et les individus (" Fidéli ") afin de supprimer les numéros attribués à des personnes hors de la cible. Sur ce point, la Commission prend acte de ce que la génération aléatoire des numéros ne pouvant être réalisée directement par l’INSEE, l’INED a dû recourir à un prestataire. La Commission s’interroge sur le biais éventuel induit par le recours à un filtrage de l’échantillon via le traitement " Fidéli ", dès lors qu’il apparaît qu’une partie de la cible pourrait ne pas être détectée (cas des jeunes adultes non soumis à déclaration fiscale résidant chez leurs parents) ; un " fichier brut " qui contiendra les données recueillies au moyen du questionnaire en ligne ; un " fichier de production intermédiaire " qui sera issu du fichier brut. Il sera notamment apuré d’éventuelles données identifiantes fournies par les répondants dans les champs libres ; un " fichier d’étude ", qui sera utilisé par l’équipe conceptrice pour produire les statistiques et les premières publications ; un " fichier de production et de recherche " qui sera pseudonymisé et mis à disposition des chercheurs via le réseau Quetelet Progedo Diffusion ; un " fichier des contacts pour les entretiens qualitatifs " ; un " fichier des historiques des appels " qui sera fourni à l’INED par le prestataire ; un " fichier de gestion " qui sera fourni à l’INED par le prestataire pour analyser la déperdition de l’échantillon initial et mesurer les taux d’éligibilité, de participation et de refus ; des fichiers audio qui correspondent à l’enregistrement des entretiens qualitatifs post-enquête réalisés avec les personnes ayant accepté d’être recontactées ; des retranscriptions écrites et pseudonymisées desdits fichiers audio. La Commission prend acte de ce que la base " Fidéli " ne sera pas exploitée directement mais servira uniquement à identifier et retirer de la cible les numéros appartenant à des personnes non éligibles à l’enquête en raison notamment de leur âge. Sur ce point, elle appelle l’attention de l’INED sur le fait que cette mise en relation ne permettra pas d’exclure que des personnes mineures figurent parmi les personnes appelées (une ligne téléphonique pouvant par exemple avoir été ouverte par un parent pour son enfant). A cet égard, elle relève que la première question du questionnaire porte sur l’âge de la personne qui décroche et permettra, dès le début du premier contact téléphonique, de s’assurer qu’aucune personne mineure ne figure parmi les participants interrogés. En troisième lieu, la Commission prend acte des réponses de l’INED indiquant, d’une part, qu’aucun transfert de données hors de l’Union européenne ne sera réalisé et, d’autre part, qu’aucune consultation des données par des personnes situées en dehors de l’Union européenne ne sera possible. Sur les finalités du traitement L’enquête ENVIE a pour objectif principal d’explorer les nouveaux modes d’entrée dans la sexualité et la conjugalité des jeunes, en s’intéressant plus particulièrement à la diversité des relations intimes qui caractérisent la jeunesse. La Commission relève que le projet d’enquête vise trois objectifs spécifiques : cartographier les jeunesses sexuelles par une approche relationnelle de la sexualité juvénile ; capter les inégalités de la vie intime : cohabitation, séparation et " précarité conjugale " ; comprendre les usages sexuels d’Internet. Cette enquête se veut complémentaire de la prochaine enquête " Contexte des sexualités en France " (CSF-2022) en population générale (Anrs-Inserm). Elle permet de développer des thématiques spécifiques à la jeunesse (de prime abord, la diversité relationnelle) ou des pratiques émergentes particulièrement prévalentes chez les jeunes (dont les pratiques numériques à caractère sexuel et la diversification des identités de genre et de sexualité) que l’enquête CSF-2022 n’aborde qu’à la marge. La Commission considère que les finalités poursuivies par le traitement projeté sont déterminées, explicites et légitimes, conformément aux dispositions du b) du 1) de l’article 5 du RGPD. Sur les catégories de données traitées En premier lieu, la Commission observe que la finalité poursuivie implique la collecte de nombreuses données à caractère personnel de natures très variées auprès des personnes enquêtées, dont certaines relèvent de la catégorie des données dites " sensibles " au sens de l’article 9 du RGPD, notamment celles relatives à la vie sexuelle ou à l’orientation sexuelle de l’enquêté ou aux convictions religieuses des membres du foyer parental. Elle prend acte de ce que la collecte de données relatives aux parents a pour objectif de décrire le contexte dans lequel le répondant a grandi, l’âge des parents, leur pays de naissance, leur niveau d’éducation, leur situation professionnelle et leur religion étant des variables jouant un rôle important sur l’éducation des enfants. Elle relève, par ailleurs, que le questionnaire contient plusieurs zones de texte libre (questions ouvertes sur la définition de l’orientation sexuelle ou encore l’état de santé général). La Commission prend acte des précisions apportées par l’INED selon lesquelles il n’est pas prévu de pré-renseigner ces champs libres mais qu’une formation sera dispensée aux enquêteurs sur la manière de les remplir. La Commission rappelle que les données " sensibles " font l’objet d’une protection particulière et estime qu’il conviendrait également de pré-renseigner ces champs libres avec une information relative à la manière dont il convient de les renseigner afin de limiter au strict nécessaire la collecte des données, en particulier s’agissant de données sensibles relatives aux personnes tierces. En deuxième lieu, la Commission prend acte des précisions apportées par l’INED indiquant que les données identifiantes transmises ne seront connues que de l’enquêteur et que l’équipe de recherche analysera des résultats pseudonymisés. En troisième lieu, la Commission prend acte de ce que les entretiens post-enquête feront uniquement l’objet d’un enregistrement audio indépendamment des modalités de réalisation (visioconférence, face-à-face ou par téléphone). Dans l’éventualité où le répondant ne souhaiterait pas d’enregistrement, l’entretien ne sera pas réalisé. Si le répondant a accepté au préalable l’enregistrement mais demande ensuite que celui-ci ne soit pas utilisé, l’enregistrement sera immédiatement détruit. Les autres catégories de données collectées n’appellent pas d’observations particulières de la part de la Commission. Sur l’information et les droits des personnes En premier lieu, s’agissant de l’information des personnes enquêtées, il ressort des éléments transmis qu’un SMS sera envoyé à l’ensemble des numéros échantillonnés. L’INED précise que le SMS de prise de contact envoyé aux enquêtés comportera les quatre informations suivantes : " 1) il informe la personne de l’existence de l’enquête ; 2) il informe la personne que l’enquête est réalisée par l’INED ; 3) il informe la personne qu’elle sera bientôt contactée par téléphone pour être invitée à participer à l’enquête ; et 4) il donne le lien URL permettant à la personne de consulter le site de l’enquête pour apprendre plus sur les finalités de l’étude, le cadre légal et ses droits ". Si l’information peut se faire en plusieurs niveaux, la Commission recommande d’ajouter a minima les finalités du traitement, et les droits des personnes concernées parmi les indications portées à la connaissance de l’enquêté afin de fournir un premier niveau d’information. En outre, la Commission prend acte de ce que la bonne réception dudit SMS par l’enquêté sera une certitude dès lors que le prestataire de collecte fournira cette information. Aucun numéro ne sera appelé si le SMS est revenu en erreur (car non livré). Il sera demandé à la personne interrogée si elle a bien reçu le SMS lui permettant de prendre connaissance des mentions d’information, et donc des caractéristiques du traitement, seulement à la fin du questionnaire. Il est, par ailleurs, recommandé, à titre de bonne pratique, de s’assurer que l’adresse URL transmise par SMS permette d’identifier l’INED afin de renforcer la transparence envers l’enquêté et de prévenir l’ouverture de liens URL au contenu non clairement identifié. L’article 13 du RGPD prévoit que lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, les mentions d’information. La Commission recommande dès lors que, dès le début de l’enquête, la bonne réception du SMS soit vérifiée par l’enquêteur et que l’ensemble des mentions d’information prévues par l’article 13 soient, le cas échéant, données verbalement à l’enquêté. S’agissant de l’information des personnes tierces dont les données pourraient être collectées, l’INED entend mobiliser la dérogation prévue à l’article 14.5.b du RGPD dès lors que " l’obtention de leurs [les personnes tierces] identités et coordonnées et la fourniture des informations exigeraient des efforts disproportionnés ", ce qui n’appelle pas d’observations. En second lieu, s’agissant des modalités d’exercice des autres droits, et particulièrement du droit d’accès, la Commission relève qu’elles reposent sur des informations publiques (numéro de téléphone et optionnellement " quelques variables d’identification "). Elle recommande, au regard de la sensibilité des données traitées, la plus grande précaution pour éviter toute usurpation d’identité visant à accéder aux données d’un tiers. Elle demande donc au responsable de traitement d’envisager des solutions combinant des secrets transmis au participant pendant sa démarche (par exemple, lors de l’information sur ses droits) avec des questions d’identification reposant sur les données collectées. Elle recommande de plus que les opérateurs chargés de la mise en œuvre de ces exercices de droits soient sensibilisés à la possibilité de tentatives d’abus. Sur les destinataires des données La Commission prend acte des précisions de l’INED indiquant que seules les données issues de l’enquête par questionnaire seront mises à la disposition de la communauté scientifique via le réseau Quetelet Progedo Diffusion. Elle rappelle que le responsable de traitement doit informer sur les destinataires du traitement, qui comprendront également la communauté scientifique via ce réseau. Les données des entretiens post-enquête ne feront pas l’objet d’une telle mise à disposition. Sur les durées de conservation La Commission observe que le " fichier de la base des numéros générés " sera détruit par le prestataire dès la fin de la collecte. Le " fichier brut ", le " fichier de production intermédiaire " et le " fichier d’étude " seront conservés jusqu’à cinq ans après la fin de la collecte. Le " fichier de production et de recherche " sera mis à disposition sur le réseau Quetelet Progedo Diffusion et suivra les règles de conservation prévue dans ce cadre. Le " fichier des historiques des appels " et le " fichier de gestion " seront conservés jusqu’à deux ans après la collecte. Le " fichier des contacts pour les entretiens qualitatifs " sera conservé jusqu’à la réalisation des entretiens qualitatifs prévus pour les années 2023 et 2024, puis détruit. Les fichiers d’enregistrements audio seront conservés le temps de la vérification de leur retranscription puis seront supprimés deux ans après la collecte. Les retranscriptions seront conservées jusqu’à cinq ans après la date de la dernière valorisation scientifique. La Commission rappelle à titre général que, conformément au e) du 1) de l’article 5 du RGPD, les données collectées dans le cadre d’un traitement doivent être " conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ". Elle rappelle en outre que si " les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins de recherche scientifique ou à des fins statistiques ", une telle conservation doit être accompagnée de la mise en œuvre de " mesures techniques et organisationnelles appropriées afin de garantir les droits et libertés des personnes ". En premier lieu, la Commission prend acte de ce que les données ainsi conservées seront pseudonymisées, que leur stockage sera effectué sur des serveurs sécurisés et qu’une politique d’habilitation sera mise en place pour y accéder. La Commission prend également acte de ce qu’après l’expiration des dates de conservation des fichiers concernés, une copie sera archivée sur un serveur sécurisé de l’INED et les fichiers d’origine seront versés aux Archives de France. Elle s’interroge sur la nécessité de conserver une copie archivée des fichiers alors qu’ils seront conservés aux Archives de France et rappelle en tout état de cause que ces archives conservées par l’INED ne peuvent l’être de manière indéfinie si elles ne sont pas anonymisées, et qu’il est indispensable que le responsable de traitement leur fixe une durée de conservation. La Commission rappelle que l’anonymisation des données devrait être conforme à l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. Elle estime que l’INED ne peut se prévaloir des dispositions de la loi n° 78-17 du 6 janvier 1978 relatives aux traitements à des fins archivistiques. En effet, l’article 78 de cette loi ne prévoit des dérogations en matière archivistique que pour les traitements " mis en œuvre par les services publics d'archives à des fins archivistiques dans l'intérêt public conformément à l'article L. 211-2 du code du patrimoine ". En deuxième lieu, le " fichier de production et de recherche ", mis à disposition de la communauté scientifique via le réseau Quetelet Progedo Diffusion, est présenté comme étant le fichier " avec un plus faible risque de réidentification ". Cependant, le responsable de traitement ne le présente pas comme anonyme, ces mesures permettant uniquement de faire diminuer la possibilité de réidentification. La Commission rappelle que la diffusion des données devra être réalisée conformément aux articles 78 de la loi du 6 janvier 1978 modifiée et 116 du décret n° 2019-536 précité. En particulier, il ressort de ces dispositions que les données doivent être préalablement anonymisées pour être diffusées et non pseudonymisées, sauf si l'intérêt des tiers à cette diffusion prévaut sur les intérêts ou les libertés et droits fondamentaux de la personne concernée. Pour les résultats de la recherche, cette diffusion doit être absolument nécessaire à sa présentation. Les données diffusées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. En tout état de cause, dans le cas de diffusion de données non anonymes, la Commission rappelle qu’il est indispensable de fixer une durée de conservation, ces données ne pouvant rester disponibles pour une durée illimitée. En troisième lieu, la Commission prend acte de ce que l’enquêteur a la possibilité d’enregistrer la demande de suppression de données qui serait formulée par un enquêté à la fin du questionnaire. La Commission appelle à une vigilance particulière sur la mise en œuvre d’un mécanisme effectif de suppression anticipée des données et ce, au-delà du cas particulier mis en avant. Sur les mesures de sécurité La Commission prend acte de la mise en œuvre de sauvegardes. Pour assurer leur bon fonctionnement, elle recommande que des tests de restauration soient régulièrement effectués. La Commission recommande qu'un contrôle d'intégrité soit opéré sur les données stockées, par exemple en calculant une empreinte des données avec une fonction de hachage conforme à l'annexe B1 du référentiel général de sécurité. La Commission prend acte de la mise en place d’une journalisation. Elle considère comme nécessaire que des mesures organisationnelles (par exemple, la génération de rapports réguliers et le contrôle humain des données par la hiérarchie pour les composantes les plus sensibles du traitement) qui permettent d’exploiter ces données et qui contribuent à la sécurité du traitement soient prévues. La Commission rappelle que les équipements accueillant les données (et ce quelle que soit la typologie d’accédant) doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. Elle rappelle également que les postes de travail doivent disposer d'un pare-feu, que les logiciels et systèmes d’exploitation installés doivent faire l'objet de mises à jour et que les équipements mobiles doivent de plus faire l'objet de mesures de verrouillage ou d'effacement à distance, activées en cas de perte ou de vol de l'équipement. La Présidente Marie-Laure DENIS


Délibération n° 2023-070  du 20 juillet 2023 portant avis sur une demande d’avis concernant un projet de traitement de données à caractère personnel nécessaire à la réalisation d’une une recherche scientifique intitulée « étude des relations familiales et intergénérationnelles (ERFI 2) »

Date de l’avis : 20 juillet 2023 N° de la délibération : 2023-070 N° de demande d’avis : 2229937 Projet concerné : étude des relations familiales et intergénérationnelles (" ERFI 2 ") Thématiques : recherche hors santé, étude des relations familiales et intergénérationnelles Fondement de la saisine : article 44-6° de la loi du 6 janvier 1978 modifiée L’essentiel : La CNIL estime légitime le projet de traitement de données à caractère personnel nécessaire à la réalisation d’une une recherche scientifique intitulée " étude des relations familiales et intergénérationnelles (ERFI 2) ". Elle appelle toutefois l’attention de l’INED sur le traitement des données sensibles, en particulier les données de santé, ainsi que sur la nécessité de fixer une durée de conservation pour les données non anonymisées. Pour ce qui est des modalités d’exercice des droits, elle recommande, au regard de la sensibilité des données traitées, la plus grande précaution pour éviter toute usurpation d’identité visant à accéder aux données d’un tiers. Compte-tenu de la sensibilité des données collectées, la CNIL rappelle que les espaces de stockage et travail utilisés devront être conformes à l’état de l’art. La Commission nationale de l'informatique et des libertés, Saisie par l’Institut national d’études démographiques (INED) d’une demande d’avis sur un projet de traitement de données à caractère personnel nécessaire à la réalisation d’une recherche scientifique dénommée " étude des relations familiales et intergénérationnelles (ERFI 2) " ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 44-6° ; Sur la proposition de M. Claude CASTELLUCCIA, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, ADOPTE LA DÉLIBÉRATION SUIVANTE : I. La saisine A. Contexte de la saisine L’enquête " étude des relations familiales et intergénérationnelles " (" ERFI 2 ") fait partie du programme " Générations et genre " (GGP) qui est un dispositif international d’enquêtes visant à décrire et à expliquer les dynamiques familiales et les trajectoires de vie des individus. Les enquêtes menées dans le cadre de ce programme contribuent notamment à la compréhension de cinq enjeux majeurs des sociétés européennes contemporaines : l’entrée dans une ère de basse fécondité ; les processus de passage à l’âge adulte et d’insertion des jeunes sur le marché du travail ; la complexification des trajectoires de vie, avec la désynchronisation du mariage, de la naissance des enfants, des séparations et des remises en couple ; la transformation des rôles de genre dans la famille et au-delà ; la modification des relations entre générations avec la baisse de la mortalité et la hausse des familles à plusieurs générations, le vieillissement de la population et l’augmentation de la dépendance liée à l’âge. Le projet d’enquête a reçu l’avis d’opportunité favorable du Conseil national de l’information statistique (CNIS) le 2 décembre 2021. B. Objet de la saisine L’enquête ERFI 2 est une recherche scientifique en sciences sociales qui vise à décrire les situations familiales dans toute leur diversité. Cette recherche portera plus précisément sur les dynamiques familiales dans leur ensemble : fécondité, formation du couple et séparation, inégalités de genre, relations entre générations, départ du foyer parental, passage à la retraite. Dans la mesure où il porte sur des données sensibles au sens de la réglementation, le traitement projeté doit faire l’objet d’un avis préalable de la CNIL conformément aux dispositions du 6° de l’article 44 de la loi du 6 janvier 1978 modifiée. Le traitement projeté vise à réaliser une recherche scientifique en sciences sociales et porte sur les personnes âgées de 18 à 79 ans résidant en ménage ordinaire en France métropolitaine. La présente demande d’avis porte sur les trois composantes de la première vague de l’enquête (2023-2024) : une répétition générale de l’enquête par questionnaire (selon le même protocole que l’enquête réelle, avec un objectif de 500 questionnaires) ; l’enquête réelle : une enquête par questionnaire administré par téléphone ou rempli sur Internet (avec un objectif d’obtenir 10 500 questionnaires complets) ; des appariements avec des données administratives, issues de la " Base Tous Salariés ", de la " Base Non-Salariés " et de données socio-fiscales, gérées par l’Institut national de la statistique et des études économiques (INSEE), qui permettront de collecter des informations précises et fiables concernant l’emploi et les revenus des personnes sélectionnées au moment de l’enquête et entre les vagues d’enquête et d’obtenir des informations concernant les non-répondants, sauf opposition de celles-ci. Deux autres vagues de l’enquête, non concernées par la présente demande d’avis, seront réalisées ultérieurement. Elles consisteront à proposer aux personnes qui auront accepté d’être recontactées afin de répondre à nouveau à un questionnaire de nature similaire à celui de la première vague, trois et six ans après la première interrogation. La CNIL relève que le traitement projeté poursuit des finalités de recherche scientifique. Elle estime à cet égard que le traitement relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 (ci-après le " RGPD ") et prend acte de ce que l’INED entend se prévaloir de la base de licéité mentionnée au e) du 1 de l’article 6 du RGPD, à savoir de " l’exécution d’une mission d’intérêt public ". Si un accord est demandé à la personne concernée pour la réalisation de la recherche, cet accord ne constitue pas une base légale pour le traitement de données. II. L’avis de la CNIL A. Observations générales Pour la réalisation de l’enquête quantitative, différents fichiers seront produits par l’INED, afin de contrôler les accès aux différentes informations et de rendre impossible l’appariement non prévu de données. Par exemple, l’accès au " fichier de production intermédiaire avec appariements " se fera via le Centre d’accès sécurisé aux données (CASD), après signature d’un engagement de confidentialité. L’échantillon de l’enquête sera tiré au hasard dans la base de données " Fidéli " (fichier d’individus et de logements issu des fichiers fiscaux), gérée par l’INSEE. Seules les personnes échantillonnées pourront répondre à l’enquête. La consultation de la date de naissance des personnes échantillonnées permettra à l’INED de ne contacter que les personnes âgées de dix-huit ans ou plus. Le courrier (et, le cas échéant, le courriel) annonçant l’enquête informera notamment les enquêtés de l’existence de deux modes de collecte (par téléphone ou en ligne) et leur fournira leurs codes personnels donnant accès au questionnaire en ligne. Environ une semaine après la réception de l’annonce, les personnes n’ayant pas encore répondu sur Internet recevront l’appel d’un enquêteur leur proposant de répondre au questionnaire par téléphone ou, à défaut, sur Internet. Il est indiqué qu’une innovation par rapport à la première édition de l’enquête ERFI tient à l’objectif de suréchantillonner les couples de même sexe, en tirant parti des possibilités de la base de sondage " Fidéli " pour suréchantillonner, via un proxy, les personnes de même sexe qui cohabitent. La CNIL prend acte de ce que l’information selon laquelle une personne contactée est identifiée dans la base Fidéli comme étant éventuellement en couple de même sexe n’est jamais mentionnée ni aux enquêtés, ni au prestataire de collecte. Pour l’analyse des résultats, ce sont les déclarations faites par les répondants eux-mêmes dans le questionnaire de l’enquête qui seront utilisées pour déterminer leur situation conjugale. B. Sur les catégories de données collectées Le questionnaire principal de l’enquête est traduit et adapté du questionnaire international du programme GGP. Selon l’INED, il visera à poser des questions notamment sur des indicateurs socio-démographiques, les relations passées et les enfants, la santé sexuelle et la fécondité ou encore l’organisation du ménage. Certaines des questions portent sur des données sensibles relatives à la santé, à la sexualité et à la religion. Selon l’INED, ces informations sont essentielles pour étudier la fécondité, les couples et l’entraide familiale. L’enquête s’en tient à des questions relativement générales et aucune information concernant les pratiques sexuelles ou de données issues d’analyses biologiques ou médicales n’est collectée. La CNIL rappelle que les données " sensibles ", en particulier les données relatives à la santé, font l’objet d’une protection particulière. Si différents fichiers seront produits pour la recherche projetée, elle appelle la vigilance de l’INED sur la nécessité que seul un nombre strictement limité de personnes habilitées puissent accéder aux données directement identifiantes qui seront collectées. La CNIL prend acte de ce que les réponses au questionnaire sont soit des valeurs numériques (des dates, notamment), soit des réponses fermées. Les seules questions ouvertes qui demandent aux enquêtés de saisir du texte en clair sont les libellées de profession (dans le cas où aucun libellé n’a pu être trouvé dans la liste), les prénoms ou pseudonymes des personnes mentionnées (conjoints, enfants, membres du ménage) et les éventuels commentaires sur le questionnaire. La CNIL accueille favorablement la mise en place de ces modalités, qui sont de nature à limiter au strict nécessaire la collecte des données, en particulier des données sensibles, au titre du principe de minimisation. Les autres catégories de données collectées n’appellent pas d’observations particulières de la part de la Commission. C. Sur la durée de conservation des données Après l’expiration des dates de conservation des fichiers concernés, une copie sera archivée sur un serveur sécurisé de l’INED et les fichiers d’origine seront versés aux Archives de France. La CNIL s’interroge sur la nécessité de conserver une copie archivée des fichiers alors qu’ils seront conservés aux Archives de France conformément au code du patrimoine et rappelle en tout état de cause que ces archives conservées par l’INED ne peuvent l’être de manière indéfinie si elles ne sont pas anonymisées, et qu’il est indispensable que le responsable de traitement leur fixe une durée de conservation. Elle rappelle que l’anonymisation des données devrait être conforme à l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe " de l’Article 29 " (G29) le 10 avril 2014. Pour se prévaloir de l’anonymat de ces données, l’INED devra ainsi réaliser une analyse ad hoc permettant de démontrer que le processus d’anonymisation respecte les trois critères définis dans l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification devra être menée et documentée afin de démontrer que ces risques sont négligeables. En outre, le " fichier de production et de recherche ", mis à disposition de la communauté scientifique via le réseau Quetelet Progedo Diffusion, est présenté comme étant le fichier " avec un plus faible risque de réidentification ". Cependant, le responsable de traitement ne le présente pas comme anonyme, ces mesures permettant uniquement de faire diminuer la possibilité de réidentification. La CNIL rappelle que la diffusion des données devra être réalisée conformément aux articles 78 de la loi du 6 janvier 1978 modifiée et 116 du décret n° 2019-536 du 29 mai 2019. En particulier, il ressort de ces dispositions que les données doivent être préalablement anonymisées pour être diffusées et non pseudonymisées, sauf si l'intérêt des tiers à cette diffusion prévaut sur les intérêts ou les libertés et droits fondamentaux de la personne concernée. Pour les résultats de la recherche, cette diffusion doit être absolument nécessaire à sa présentation. Les données diffusées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. En tout état de cause, dans le cas de diffusion de données non anonymes, la CNIL rappelle qu’il est indispensable de fixer une durée de conservation, ces données ne pouvant rester disponibles pour une durée illimitée. D. Sur les accédants et destinataires des données L’INED précise que seules les données issues du " fichier international ", du " fichier de production et de recherche " ainsi que du " fichier de production et de recherche ERFI 2 – FamEmp " seront mises à la disposition de la communauté scientifique via le réseau Quetelet Progedo Diffusion ou via le " GGP Central Hub ". La CNIL rappelle que le responsable de traitement doit prévoir une information relative aux destinataires du traitement, qui comprendront également la communauté scientifique via les réseaux Quetelet Progedo Diffusion et " GGP Central Hub ". Elle rappelle également que tout traitement mis en œuvre à des fins de recherche ultérieure devra être conforme à la réglementation en matière de protection des données. Par ailleurs, la CNIL appelle l’attention de l’INED sur le fait que la consultation du système de stockage de l’INED par une personne se situant sur le territoire d’un État tiers à l’Union européenne constitue un transfert de données hors de l’Union européenne. Elle rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD. E. Sur l’information et les droits des personnes Une information individuelle sera délivrée aux personnes concernées. En amont du contact avec le répondant, une lettre-annonce (qui contiendra les mentions d’informations relatives au traitement projeté), ainsi qu’un courriel ou un SMS (qui renverront vers le site de l’enquête qui comportera toutes les mentions d’information) si les coordonnées sont disponibles, seront envoyés à l’ensemble des individus sélectionnés. En début de questionnaire, un texte rappellera le sujet et les objectifs de l’enquête ainsi que les droits " informatique et libertés " dont disposent la personne. L’article 13 du RGPD prévoit que lorsque des données à caractère personnel relatives à une personne sont collectées auprès de celle-ci, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, les mentions d’information. La CNIL recommande dès lors que, dès le début de l’enquête, la bonne réception de la lettre-annonce, du courriel et/ou du SMS soit vérifiée par l’enquêteur et que l’ensemble des mentions d’information prévues par l’article 13 du RGPD soient, le cas échéant, données verbalement à l’enquêté. À titre de bonne pratique, elle recommande par ailleurs la mise en place d’un dispositif qui permettrait à l’enquêté de vérifier qu’il s’agit bien d’une enquête de l’INED afin de se prémunir contre tout risque de fraude. Par exemple, un portail d’information comprenant les points de vérification que les personnes enquêtées pourraient vérifier avant de répondre à l’enquête pourrait être mis en ligne. S’agissant de l’information des personnes tierces dont les données pourraient être collectées, l’INED entend mobiliser la dérogation prévue à l’article 14.5.b du RGPD dès lors que, notamment, " l’obtention de leurs identités et coordonnées et la fourniture des informations exigeraient des efforts disproportionnés, en particulier parce que les données relatives aux personnes tierces sont traitées notamment afin de caractériser les répondants et non pas en vue de collecter des informations précises sur des tiers ", ce qui n’appelle pas d’observations. S’agissant des modalités d’exercice des autres droits, une fois le " fichier contact " détruit, les personnes qui souhaiteraient exercer leurs droits, en particulier leur droit d’accès, seront retrouvées soit avec leur identifiant, soit, pour celles ayant accepté d’être recontactées, avec leur nom, numéro de téléphone ou leur adresse courriel. À défaut, l’INED pourra leur poser quelques questions afin de retrouver le questionnaire concerné. La CNIL relève que ces modalités d’exercice des droits reposent sur des informations qui peuvent être publiques (par exemple, le numéro de téléphone). Elle recommande, au regard de la sensibilité des données traitées, la plus grande précaution pour éviter toute usurpation d’identité visant à accéder aux données d’un tiers. Elle demande donc à l’INED d’envisager des solutions combinant des secrets transmis au participant pendant sa démarche (par exemple, lors de l’information sur ses droits) avec des questions d’identification reposant sur les données collectées. Elle recommande de plus que les opérateurs chargés de la mise en œuvre de ces exercices de droits soient sensibilisés à la possibilité de tentatives d’abus. F. Sur les mesures de sécurité Le responsable de traitement a réalisé et transmis à l’appui de la demande d’avis une analyse d’impact relative à la protection des données spécifique au traitement envisagé. Compte-tenu de la sensibilité des données collectées, la CNIL recommande que l’ensemble des mesures de sécurité, en particulier les espaces de stockage et travail utilisés pour mener l’étude, soient conformes à l’état de l’art et notamment à des mesures de sécurité équivalentes aux exigences mentionnées dans le référentiel " entrepôt de données dans le domaine de la santé ". À cet égard, la CNIL recommande une surveillance automatique ou manuelle de tout export de données hors de ces espaces, afin d’en vérifier systématiquement le caractère anonyme. Différents pseudonymes aléatoires sont attribués aux participants. Ceux-ci devront être distincts pour les différents flux de données. Toute table de correspondance devra être supprimée dans les meilleurs délais après consolidation de la base et la génération de nouveaux pseudonymes pour celle-ci. Pour toute mise à disposition, des pseudonymes dédiés à chaque espace de travail devront être générés. Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. La CNIL considère que la nature des données de l’étude exige que celles-ci fassent l'objet de mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité, tant au niveau des bases de données, des tables de correspondance que des sauvegardes. Le responsable de traitement devra s’assurer du respect des exigences de sécurité à toutes les étapes du traitement opérées par les différents organismes participants. Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5.1.f et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. La Présidente Marie-Laure DENIS


Délibération n° 2020-093 du 24 septembre 2020 portant avis sur un projet de traitement automatisé de données à caractère personnel nécessaire à la réalisation d’une recherche sur les comportements et les attitudes liées au développement du djihadisme en France depuis le début des années 1990

La Commission nationale de l'informatique et des libertés, Saisie par le Centre national de la recherche scientifique (CNRS) d’une demande d’avis concernant un projet de traitement automatisé de données à caractère personnel nécessaire à la réalisation d’une recherche sur les comportements et les attitudes liées au développement du djihadisme en France depuis le début des années 1990 ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ; Vu le code du patrimoine, notamment son article L. 213-3 ; Vu le code de procédure pénale, notamment son article 801-1 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment le 6° de son article 44 ; Vu le décret n° 82-993 du 24 novembre 1982 portant organisation et fonctionnement du Centre national de la recherche scientifique, notamment son article 2 ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 116 ; Vu la délibération n° 2017-012 du 19 janvier 2017 modifiée portant adoption d'une recommandation relative aux mots de passe ; Vu la délibération n° 2020-040 du 2 avril 2020 portant avis sur un projet de traitement automatisé de données à caractère personnel nécessaire à la réalisation d’une recherche sur les comportements et les attitudes liées au développement du djihadisme en France depuis le début des années 1990 ; Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de Mme Benjamin TOUZANNE, commissaire du Gouvernement, Émet l’avis suivant : La Commission relève que le traitement envisagé a pour finalité de produire une analyse empirique et cumulative des comportements et attitudes liées au développement du djihadisme en France depuis le début des années 1990 jusqu’en 2020. Le traitement dont le responsable est le Centre national de la recherche scientifique (CNRS) sera mis en œuvre par le Centre de recherches Sociologiques sur le Droit et les Institutions Pénales (CESDIP). La recherche projetée vise à constituer, à partir des archives papiers des dossiers de procédure pénale relatifs au djihadisme, correspondant aux affaires correctionnelles ou criminelles définitivement jugées en première comme en seconde instance, archivés par le ministère de la Justice, la base de données la plus complète possible sur ces profils, les réseaux, les environnements et les contenus djihadistes. Cette base de données devrait également permettre, grâce à sa mise à disposition via le Centre d’accès sécurisé aux données (CASD), la production d’une connaissance large des phénomènes de radicalisation terroriste, fondée sur des données considérées comme objectives par le responsable de traitement et la constitution d’un outil d'information et de décryptage qui puisse participer à la définition de politiques pénales en matière d'antiterrorisme. Le traitement projeté, qui poursuit des finalités déterminées, explicites et légitimes dans le domaine de la recherche scientifique, relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après le " RGPD ") et est mis en œuvre sur le fondement de l’article 6-1-e) du RGPD, à savoir " l’exécution d’une mission d’intérêt public ". Dans la mesure où il porte sur des données sensibles au sens de la réglementation, le traitement projeté doit faire l’objet d’un avis préalable de la Commission conformément aux dispositions de l’article 44-6 de la loi du 6 janvier 1978 modifiée, sans préjudice de l’obligation de formaliser le cas échéant la création du traitement par un acte réglementaire spécifique. La Commission rappelle qu’elle devra être tenue informée et saisie de toute modification substantielle affectant les caractéristiques du traitement et que l’analyse d’impact relative à la protection des données (AIPD) transmise devra le cas échéant faire l’objet d’une mise à jour. La Commission relève que cette demande d’avis a été présentée par le CNRS à la suite de la délibération n°2020-040 du 2 avril 2020 susvisée, et est relative au même projet de recherche que celui visé par la délibération susvisée. Elle observe que la présente demande d’avis vise à tenir compte d’un certain nombre d’observations formulées dans le cadre de la délibération n°2020-040 du 2 avril 2020. Dans ces conditions, le traitement projeté appelle les observations suivantes. Sur les données collectées et traitées En premier lieu, la Commission prend acte que seront traitées les données issues de la consultation de dossiers de procédure pénale et non des seuls jugements et arrêts. Interrogé sur le périmètre exact des données collectées, le CNRS a indiqué que le traitement de collecte concernerait uniquement les données à caractère personnel des personnes vivantes et décédées, condamnées en dernier ressort et après épuisement des voies de recours, dans le cadre des procédures pénales relatives au djihadisme contenant les qualifications NATINF suivantes : homicide volontaire, terrorisme, association de malfaiteurs, apologie de crime ou de délit. Elle rappelle qu’il reviendra au CNRS de mettre en œuvre l’ensemble des mesures permettant de s’assurer que seules les données issues de ces dossiers seront effectivement traitées sur la période des années 1990 à 2020. Ainsi que précisé par le CNRS, la Commission relève que la mise à disposition des dossiers de procédure pénale aura nécessairement pour effet, en l’absence de tout dispositif d’occultation ou d’anonymisation des données relatives aux personnes mentionnées dans lesdits documents et autres que les personnes condamnées, de permettre leur consultation par l’équipe de recherche. Sont ainsi potentiellement concernés, et de manière non exhaustive, les victimes, les témoins, les experts ainsi que les professionnels de justice, mais aussi les autres personnes mentionnées par les précédentes. La Commission rappelle que tant l’extraction que la consultation constituent des traitements de données à caractère personnel au sens du 2 de l’article 4 du RGPD. Elle considère par ailleurs que d’autres données que les seules données d’identification directe, et notamment des données considérées comme sensibles au sens de l’article 9 du RGPD, sont susceptibles de figurer dans les dossiers de procédure pénale s’agissant notamment des victimes et des témoins. A cet égard, la Commission rappelle qu’il appartient au CNRS d’une part de tirer toutes les conséquences de la mise en œuvre ces traitements vis-à-vis des personnes concernées précitées, et d’autre part, dans la mesure où les données sont issues en partie des jugements et arrêts, de concilier les obligations prévues par le RGPD avec le cadre juridique propre à l’accès aux décisions de justice. En deuxième lieu, si la Commission prend acte de ce que le CNRS n’entend plus traiter les données relatives à la " trajectoire de l’individu " ainsi que le " nom du conjoint ", elle relève que, s’agissant des personnes condamnées, seront traitées de nombreuses données à caractère personnel. Outre les données d’identification, les habitudes de vie, la situation familiale, la situation professionnelle, la scolarité et la formation, les revenus et la situation financière, les données concernées la santé (nombre et conclusion des expertises psychiatriques le cas échéant) le CNRS entend ainsi collecter plusieurs variables sociodémographiques relatives à la " vie personnelle " et à la " vie professionnelle " telles que le nombre d’enfants, de frères et sœurs, la position dans la fratrie, le fait d’avoir grandi dans une famille monoparentale, l’existence d’une prise en charge par l’aide sociale à l’enfance, la maitrise de la langue arabe et/ou d’une autre langue, la date d’apprentissage de ces langues, le nombre de partenaires connus, l’existence d’un mariage civil et/ou d’un ou plusieurs mariage(s) religieux, l’utilisation d’un pseudonyme, le pays de naissance des parents, la date d’arrivée en France pour les personnes concernées nées à l’étranger, la date de la naturalisation le cas échéant. En troisième lieu, la Commission relève que si certaines des données traitées relèvent de la catégorie des données dites " sensibles " au sens de l’article 9 du RGPD, d’autres relèvent de la catégorie des données relatives aux condamnations pénales et aux infractions au sens de l’article 10 du RGPD. À cet égard, la Commission considère, au vu des missions octroyées au CNRS par le décret n° 82-993 susvisé, que ce dernier peut se prévaloir de l’exception prévue à l’article 46-1 de la loi n° 78-17 du 6 janvier 1978 modifiée pour traiter de telles données pour la finalité envisagée. En dernier lieu, la Commission prend acte des précisions apportées par le CNRS selon lesquelles le traitement projeté ne fera l’objet d’aucune interconnexion, rapprochement ou toute autre forme de mise en relation. Sur la nécessaire conciliation avec les dispositions du code du patrimoine La Commission relève qu’indépendamment de ce qui précède, les archives publiques que constituent les dossiers de procédure pénale d’où seront issues les données, sont communicables de plein droit à l’issue de délais fixés à l’article L. 213-2 du code du patrimoine. L’article L. 213-3 de ce code prévoit que l’administration des archives peut octroyer aux personnes qui en font la demande l’autorisation de consulter des documents d’archives avant l’expiration de ces délais " dans la mesure où l'intérêt qui s'attache à la consultation de ces documents ne conduit pas à porter une atteinte excessive aux intérêts que la loi a entendu protéger " et " après accord de l’autorité dont émanent les documents ". Invité à préciser s’il avait obtenu une telle autorisation, le CNRS a indiqué que l’autorisation des archives visée à l’article précité nécessitait l’avis préalable de la Commission. Le CNRS a également précisé que le Parquet général de la Cour d’appel de Paris se proposait d’autoriser l’équipe de recherche à formuler la demande d’accès dérogatoire auprès des archives nationales, et souhaitait ainsi mettre à disposition des chercheurs le corpus des dossiers de procédure pénale. Pour ce qui relève de sa compétence et sans se prononcer sur la levée de secrets que pourraient éventuellement couvrir certaines données à caractère personnel et les intérêts que la loi a entendu protéger, la Commission rappelle que l’autorisation des archives devra être obtenue par le CNRS avant la mise en œuvre du traitement. S’agissant des données telles que la mention d’un enregistrement dans le Fichier des personnes recherchées (FPR) en tant que " fiché S ", d’un enregistrement dans le FSPRT, d’un enregistrement dans le Fichier national automatisé des empreintes génétiques (FNAEG) et/ou dans le traitement d’antécédents judiciaires (TAJ), ainsi que les dates de ces enregistrements, la Commission rappelle que l’accès ou la possibilité d’être rendu destinataire de ces données via ces fichiers sont strictement encadrés par les dispositions relatives à ces différents traitements spécifiques relevant pour la plupart d’entre eux de la responsabilité du ministère de l’intérieur. Elle relève que, dans ces dispositions, le CNRS ne figure ni à titre d’accédant ni à titre de destinataire des données des fichiers susmentionnés. La Commission observe en outre que l’autorisation de l’administration des archives, si elle porte sur toutes les données contenues dans les dossiers de procédure pénale, y compris l’existence et la date d’une mention au FPR, l’existence et la date d’une mention au FSPRT, la mention d’une mention au FNAEG ou au TAJ, aura pour effet de permettre à l’équipe de recherche et, par la voie du droit d’accès, aux personnes concernées elles-mêmes d’avoir connaissance des données précitées qui font l’objet d’un encadrement spécifique. Elle rappelle que certaines des dispositions encadrant ces fichiers prévoient l’exercice indirect des droits par les personnes concernées et qu’à ce titre les données les concernant peuvent ne pas leur être communiquées. A cet égard, la Commission s’interroge sur les modalités de la conciliation des dispositions du code du patrimoine avec le cadre juridique relatif à la protection des données personnelles, et en particulier pour les données issues de ce type de fichiers. La Commission rappelle en tout état de cause le caractère particulièrement sensible des données figurant dans ces traitements, a fortiori ceux dispensés de publication ou intéressant la sûreté de l’Etat. Sur les durées de conservation Il résulte des précisions apportées par le CNRS que les données seront conservées en base active pendant une durée de deux ans après la collecte et que sera mise en œuvre à l’issue de cette période une procédure d’archivage dans le respect du code du patrimoine. La Commission considère que les données collectées sont conservées pendant une durée qui n’excède pas la durée nécessaire compte-tenu des finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD. Sur les destinataires des données En premier lieu, la Commission relève que les destinataires de l’ensemble des données, y compris des données d’état-civil, d’identité et d’identification, seront les membres de l’unité de recherche du Centre de recherches Sociologiques sur le Droit et les Institutions Pénales (CESDIP). La Commission prend note des précisions du CNRS selon lesquelles l’accès à cette catégorie de données est nécessaire à l’ensemble de l’équipe de recherche, soit quatre personnes au maximum, pour l’analyse des trajectoires. En deuxième lieu, la Commission prend acte des précisions du CNRS selon lesquelles une mise à disposition des données sera organisée via le CASD. À cet égard, la Commission demande, conformément à l’article 14 du RGPD, que l’ensemble des catégories de destinataires, notamment la communauté scientifique via des réseaux de diffusion, apparaisse dans les informations délivrées, publiquement le cas échéant, aux personnes concernées. En troisième lieu, la Commission prend acte des précisions apportées par le CNRS selon lesquelles les données seront agrégées au stade de la diffusion des résultats de recherche, qui ne comportera donc pas de données à caractère personnel. La Commission rappelle que l’agrégation devra permettre d’anonymiser les données au sens de l’avis 05/2014 du Groupe de travail " Article 29 " sur la protection des données. A cet égard, s'agissant du " numéro unique d’anonymisation ", qui fait partie de la liste des " variables sociodémographiques " retenues par le CNRS, la Commission rappelle que l’anonymisation, qui ne doit pas être confondue avec la pseudonymisation, est un traitement qui consiste à utiliser un ensemble de techniques de manière à rendre impossible, en pratique, toute identification de la personne par quelque moyen que ce soit et de manière irréversible, au sens de l’avis précité. Sur les droits des personnes S’agissant en premier lieu du droit à l’information des personnes concernées, la Commission relève que ces dernières ne feront pas l’objet d’une information individuelle. A cet égard, elle estime que l’incarcération de certaines des personnes concernées ne constitue pas, en soi, un élément de nature à rendre cette information impossible. Si le CNRS considère qu’une information individuelle aux personnes concernées apparait disproportionnée au regard de l’utilité de la démarche, la Commission rappelle que, conformément aux articles 14.5-b) du RGPD et 79 de la loi du 6 janvier 1978 modifiée, il peut être dérogé à l’information individuelle des personnes notamment si la fourniture de ces informations exige des efforts disproportionnés, sous réserve des garanties visées à l'article 89.1 du RGPD et moyennant la mise en place de mesures appropriées pour protéger les droits et libertés de la personne concernée. Elle prend acte de l’engagement du CNRS de diffuser une information publique sur son site web et rappelle qu’il revient au responsable du traitement de mettre en œuvre une information accessible au public compte-tenu des contraintes qui caractérisent la situation des personnes détenues. S’agissant en deuxième lieu du droit d’opposition, la Commission estime qu’il peut être limité conformément aux prévisions de l’article 21.6 du RGPD, le traitement de recherche étant nécessaire à l’exécution d’une mission d’intérêt public. S’agissant en troisième lieu du droit d’accès et du droit de rectification, la Commission prend acte des indications du CNRS selon lesquelles les personnes concernées disposeront de ce droit pour le traitement à finalité de recherche réalisé par le CNRS à partir de la consultation des dossiers de procédure pénale, notamment dans l’hypothèse d’une erreur de saisie ou d’une demande de répercussion d’une modification d’une donnée extraite depuis un dossier de procédure pénale et pourront l’exercer via une adresse mail générique. S’agissant en quatrième lieu des droits à l’effacement et à la limitation, la Commission rappelle qu’il appartient au CNRS de démontrer que des dérogations à ces droits s’imposent, conformément aux articles 17 à 18 du RGPD, 49.3 et 78 de la loi du 6 janvier 1978 modifiée et 116 du décret n° 2019-536 du 29 mai 2019 susvisé. A défaut, le responsable de traitement doit permettre aux personnes concernées de faire valoir leurs droits à l’effacement et à la limitation. Sur les mesures de sécurité La Commission relève tout d’abord que le traitement projeté, qui inclut notamment des données sensibles relatives à des personnes vulnérables, a fait l’objet d’une AIPD. Elle estime que cette AIPD devra être revue s’agissant de l’estimation de la gravité des risques en cas d’accès illégitime aux données. En effet, si la vraisemblance du risque peut être considérée comme négligeable au regard des mesures de sécurité mises en œuvre, aucune n’apparait de nature à limiter la gravité des risques encourus en cas d’accès illégitime aux données, eu égard aux nombreuses données sensibles traitées. La commission prend acte de ce que la base de données utilisée pour réaliser la recherche sera pseudonymisée. Elle recommande que cette pseudonymisation soit réalisée en attribuant un numéro d’ordre non signifiant et qu’aucune table de correspondance ne soit conservée. La Commission prend ensuite acte que les données seront traitées sur des postes de travail mobiles du responsable de traitement, ainsi que sur un serveur de fichier externalisé, et que des mesures de sécurité seront mises en place afin de garantir la confidentialité des données échangées sur des réseaux publics. Elle prend également acte de ce que les logiciels utilisés seront régulièrement mis à jour. Concernant les mesures de chiffrement des données, la Commission relève de ce que tant les postes de travail que les serveurs et les supports de stockage feront l’objet de mesures de chiffrement afin de prévenir toute atteinte à la sécurité des données en cas de perte ou d’intrusion. Elle rappelle toutefois que les algorithmes utilisés ainsi que les tailles de clés doivent être à l’état de l’art utilisés et que les modalités de génération et de conservation des clés de chiffrement doivent faire l’objet d’une attention particulière. Concernant par ailleurs les modalités d’accès aux données, la Commission prend acte de ce que des profils d’habilitation seront définis et que les personnes seront individuellement habilitées à accéder aux données. Elle constate que les modalités d’authentification des utilisateurs habilités à accéder aux traitements sont conformes à sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe dans sa version actuellement en vigueur. Concernant la traçabilité des opérations sur les données, la Commission relève que les opérations de création et de modification portant sur les données seront tracées. Elle recommande d’une part que les opérations de consultation des données soient également tracées, et d’autre part que ces traces soient conservées pendant une durée de 6 mois. Enfin la Commission prend acte de ce que les actions de sensibilisation des personnes habilitées seront mises en place afin de s’assurer de leur bonne compréhension des besoins de sécurité associés à l’étude réalisée par le responsable de traitement. La Présidente Marie-Laure DENIS