Délibération n° HAB-2023-003 du 7 décembre 2023 habilitant des agents de la Commission nationale de l'informatique et des libertés à procéder à des missions de vérification

La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code de la sécurité intérieure, notamment son article L. 253-3 ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8.2.g), 10, 11 et 19 ; Après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Décide : Article 1 Les agents de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 19 de la loi du 6 janvier 1978 et à l'article L. 253-3 du code de la sécurité intérieure : M. Belaïd AÏT HAMOUDA, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; M. Thibaud ANTIGNAC, adjoint au chef du service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Mehdi ARFAOUI, sociologue du numérique au service du laboratoire d'innovation numérique à la direction des technologies et de l'innovation ; M. Monir AZRAOUI, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Audrey BACQUIÉ, chargée de greffe au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Isabelle BARBÉ, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Jean BAUDRILLARD, adjoint au chef du service des relations avec les publics à la direction des relations avec les publics ; M. Corentin BEAUFILS, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Khadija BELGHITI-ALAOUI, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Najma BICHARA, juriste au service des affaires européennes et internationales ; M. Martin BIÉRI, chargé des études prospectives au laboratoire d'innovation numérique à la direction des technologies et de l'innovation ; M. Thomas BIZET, chef du service des relations avec les publics à la direction des relations avec les publics ; Mme Nathalie BOHBOT, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Stéphanie BOISSEAU, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Renaud BOITOUZET, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Sandrine BONTROND, juriste au service des relations avec les publics à la direction des relations avec les publics ; Mme Cécile BOSSER, juriste conseil au service des relations avec les publics à la direction des relations avec les publics ; M. Tanguy BOUCHER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Érik BOUCHER DE CRÈVECOEUR, ingénieur référent santé au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Justine BRAIVE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Rodolphe BRÉARD, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Véronique BREMOND, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Céline BRÉZILLON, adjointe à la cheffe du service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Vincent BRINGER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Solenn BRUNET, ingénieure experte au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Clément BUNEL, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Madeleine CAZETTES DE SAINT LÉGER, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Mehdi CHAÏB, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Lucie CHARTRAIN, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Régis CHATELLIER, chargé des études prospectives au laboratoire d'innovation numérique à la direction des technologies et de l'innovation ; Mme Virginie CLAUDE-LOONIS, adjointe au chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Isabelle COHEN, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Marion de GASQUET, adjointe à la cheffe de service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique ; Mme Tess D'ARMAGNAC, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Audrey DANEL, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Justine DEBOTÉ, chargée de greffe au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Guillaume DELAFOSSE, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Isabelle DELERUE, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Grégoire DELETTE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Amélie DELEUZE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Florent DELLA VALLE, chef de service au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Xavier DELPORTE, directeur des relations avec les publics ; Mme Sadio DIOUMASSY, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Rosine DOLBEC, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Julien DROCHON, auditeur des systèmes d'information référent au service des contrôles à la direction de la protection des droits et des sanctions ; M. Antoine DROIN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Hugo DUSSERT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Louis DUTHEILLET DE LAMOTHE, secrétaire général ; Mme Viktorija ELENSKI, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Anne FONTANILLE, juriste au service des affaires européennes et internationales ; Mme Florence FOURETS, directrice chargée de projets régaliens auprès du secrétaire général ; M. Thomas FRESSIN, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Marie GAILLARDON, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Linda GAMIETTE, juriste au service des relations avec les publics à la direction des relations avec les publics : M. Gaston GAUTRENEAU, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Antoine GAUME, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Rodolphe GÉNISSEL, chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Sophie GENVRESSE, cheffe du service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Laurène GOIRAND, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; M. Yoann GONTHIER LE GUEN, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Sarah GUILLOU, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Sandra GREBER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Manel HOUD, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Agathe HUBERT, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Sonia HUDELA, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Nathalie JACQUES, assistante au service des contrôles à la direction de la protection des droits et des sanctions ; M. Hugo JAUFFRET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Julien JEDRZEJCZAK, chargé d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Véronique JENNEQUIN, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Karin KIEFER, directrice de la protection des droits et des sanctions ; M. Anton KISYELYOV, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Jérémie KOUZMINE, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Névine LAHLOU, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Victor LARGER, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Sébastien LASTRÉ, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Nina LE BONNIEC, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique ; M. Alexis LEAUTIER, ingénieur intelligence artificielle au service de l'intelligence artificielle à la direction des technologies et de l'innovation ; Mme Delphine LEGOHEREL, directrice adjointe de la protection des droits et des sanctions ; Mme Morgane LE HIR, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Emmanuel LEROUX, juriste au service des affaires européennes et internationales ; Mme Noémie LICHON, directrice adjointe de la protection des droits et des sanctions ; Mme Marie-Françoise MAINDRON, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Isabelle MANTZ, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Delphine MARGULIS, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Astrid MARIAUX, chef de service des contrôles à la direction de la protection des droits et des sanctions ; M. Tony MARTIN, adjoint au chef de service des contrôles à la direction de la protection des droits et des sanctions ; Mme Clothilde MAULIN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Oriane MAURICE, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Nina MCEVOY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Lynda MEKKI, ingénieure cybersécurité spécialisée en traitement des incidents au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Élise MERY-BOUDONNAT, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Mathias MOULIN, secrétaire général adjoint ; Mme Anaëlle MORIN, ingénieure experte au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Sophie NERBONNE, directrice chargée de co-régulation économique ; Mme Rabia OUADDAH, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Bertrand PAILHÈS, directeur des technologies et de l'innovation ; Mme Adélaïde PATERNOGA, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Romain PIALAT, ingénieur recherche & développement au service du laboratoire d'innovation numérique à la direction des technologies et de l'innovation ; M. Antoine PLANCHOT, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; M. Benjamin POILVÉ, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Laetitia RACINE, adjointe au chef de service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Délia RAHAL-LOFSKOG, juriste au service des affaires européennes et internationales ; M. Vincent RASNEUR, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Albane RICHET, adjointe à la cheffe du service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Caroline RILOS MACIAS, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Anne-Charlotte ROUGELIN, juriste conseil au service des relations avec les publics à la direction des relations avec les publics ; Mme Mathilde ROUSSEL, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Claudine SANLAVILLE, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Benoit SEGUIN, chef de service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Hugo SENAYA, juriste conseil au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; Mme Lauren SÉRAN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Abdoulaye TALL, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Ahlem TAMOUZA, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique ; Mme Jamila TAZI, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Vincent TOUBIANA, chef du service du laboratoire d'innovation numérique à la direction des technologies et de l'innovation ; Mme Rokia TRAORE, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ; M. Félicien VALLET, chef du service de l'intelligence artificielle à la direction des technologies et de l'innovation ; M. Marco VERMEIL, chargé de mission sensibilisation aux droits à la direction des relations avec les publics ; M. Benjamin VIALLE, chef de service des contrôles à la direction de la protection des droits et des sanctions ; Mme Mathilde VIDALOT, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique ; M. Christophe VIVENT, ingénieur cybersécurité spécialisé en traitement des incidents au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Clémentine VOISARD, chargée de mission au service des relations avec les publics à la direction des relations avec les publics ; Mme Aminata VOYEL, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions. Liens relatifs Article 2 La délibération n° HAB-2023-002 du 12 octobre 2023 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée. Article 3 Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans. Article 4 La présente décision sera publiée au Journal officiel de la République française. La présidente, M.-L. Denis


Délibération n° 2023-061 du 6 juillet 2023 portant avis sur un projet de décret en Conseil d'Etat relatif aux procédures d'analyses génétiques par le laboratoire antidopage français et portant diverses modifications de la partie réglementaire du code du sport relative au passeport biologique des sportifs

Date de l’avis : 6 juillet 2023 N° de la délibération : 2023-061 N° de demande d’avis : 23006953 Organisme(s) à l’origine de la saisine : ministère des sports et des jeux Olympiques et Paralympiques Textes concernés : projet de décret en Conseil d’État relatif aux procédures d’analyses génétiques par le laboratoire antidopage français et portant diverses modifications de la partie réglementaire du code du sport relative au passeport biologique des sportifs Thématiques : passeport biologique des sportifs, laboratoire accrédité par l’Agence mondiale antidopage en France, comparaison d’empreintes génétiques et examen des caractéristiques génétiques à des fins de lutte contre le dopage Fondement de la saisine : article L. 232-12-2 du code du sport L’essentiel : La CNIL estime que les modalités d’information des sportifs concernés par un traitement de leurs données issues d’une comparaison de leurs empreintes génétiques ou un examen de leurs caractéristiques génétiques, à des fins de lutte contre le dopage, offrent des garanties satisfaisantes. LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés ) ; Vu l’article L. 232-12-2 du code du sport ; Sur la proposition de Mme Aminata NIAKATE, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement adjoint, ADOPTE LA DÉLIBÉRATION SUIVANTE : I. La saisine A. Le contexte L’article L. 232-12-2 du code du sport, introduit par la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024, autorise le laboratoire accrédité en France (laboratoire antidopage français (LADF)) par l’Agence mondiale antidopage (AMA) à procéder à de nouvelles analyses à des fins de lutte contre le dopage. Réalisées à partir de prélèvements sanguins ou urinaires, ces analyses consistent en une comparaison d’empreintes génétiques et en un examen des caractéristiques génétiques des sportifs. De telles analyses sont exclusivement limitées aux hypothèses dans lesquelles les autres techniques ne permettent pas de mettre en évidence l’usage par un sportif d’une substance ou d’une méthode interdites, en application de l’article L. 232-9 du code du sport. Elles interviennent en vue de la recherche : d’une administration de sang homologue ; d’une substitution d’échantillons prélevés ; d’une mutation génétique dans un ou plusieurs gènes impliqués dans la performance induisant une production endogène de substances interdites ; d’une manipulation génétique pouvant modifier les caractéristiques somatiques aux fins d’augmentation de la performance. Ces analyses : sont effectuées sur des échantillons pseudonymisés et portent sur les seules parties pertinentes du génome ; doivent faire l’objet d’une information particulière du sportif contrôlé, préalablement au prélèvement ; et sont réalisées à la demande des organisations signataires du code mondial antidopage, responsables de l’organisation des contrôles (organisations nationales antidopage, fédérations internationales, organisations responsables de grandes manifestations). Les données génétiques analysées ne peuvent ni conduire à révéler l’identité du sportif, ni servir à son profilage ou à sa sélection à partir d’une caractéristique génétique donnée. Elles sont détruites : sans délai lorsqu’elles ne révèlent la présence d’aucune substance ou l’utilisation d’aucune méthode interdites ; ou au terme des poursuites disciplinaires, lorsqu’elles révèlent la présence d’une substance ou l’usage d’une méthode interdites. Les analyses et le traitement des données qui en sont issues sont réalisés dans des conditions et selon des modalités précisées par décret en Conseil d’État, pris après avis de la CNIL. B. L’objet de la saisine Le projet de décret procède à des ajustements rédactionnels en ce qui concerne le passeport biologique du sportif. Il vise à intégrer, dans le code du sport, les dernières évolutions qui découlent des modifications apportées au Standard international pour la gestion des résultats, entrées en vigueur le 1er janvier 2023. Ce point n’appelle pas d’observation de la part de la CNIL. Surtout, le projet de décret encadre réglementairement le traitement de données à caractère personnel constitué par le LADF aux fins de comparer les empreintes génétiques et d’examiner les caractéristiques génétiques des sportifs afin de répondre aux obligations internationales en matière de lutte contre le dopage du code mondial antidopage et des Standards internationaux. Ce traitement a pour finalité de renforcer l’efficacité de la lutte contre le dopage et de sanctionner, le cas échéant, le sportif au plan disciplinaire et non de constater des violations et infractions aux dispositions pénales du code du sport (articles L. 232-25 et suivants) ou de poursuivre leurs auteurs. Il relève donc du RGPD. II. L’avis de la CNIL A. Sur le droit à l’information En application des dispositions de l’article L. 232-12-2 du code du sport, le sportif est expressément informé, préalablement à tout prélèvement, de la nature et des finalités des analyses génétiques autorisées par la loi dans le cadre de contrôles relatifs à la lutte contre le dopage, ainsi que du traitement de données à caractère personnel qui en découle. La fédération sportive concernée délivre ces informations au sportif, au moment de la prise ou du renouvellement de la licence ouvrant l’accès aux compétitions qu’elle organise ou autorise. S’agissant des sportifs soumis aux obligations de localisation, en vertu de l’article L. 232-15 du code du sport, l’Agence française de lutte contre le dopage (AFLD) les informe lors de leur inclusion dans le groupe cible, ou à l’occasion de la demande de fournir des renseignements sur leur localisation. Dans le cadre des événements sportifs internationaux, les organismes sportifs internationaux et les organisations antidopage étrangères s’assurent par tout moyen que cette information a été portée à la connaissance du sportif. En outre, l’information des sportifs sur la mise en œuvre du traitement est inscrite sur le procès-verbal de contrôle mentionné à l’article R. 232-58 du code du sport. Le dispositif ainsi mis en place, détaillé dans le projet d’annexe II-2 du code du sport joint au projet de décret, doit permettre de s’assurer que les conditions dans lesquelles cette information est délivrée au sportif sont de nature à garantir que, en décidant de prendre part à la compétition, il consent également à ce que les échantillons prélevés puissent faire l’objet d’analyses génétiques , conformément à la réserve émise par le Conseil constitutionnel dans sa décision de conformité n° 2023-850 du 17 mai 2023. Les modalités d’information des sportifs envisagées par le projet de décret offrent, en théorie, et sous réserve de leur application par l’ensemble des acteurs concernés, les garanties préconisées par la CNIL, dans sa délibération n° 2022-118 du 8 décembre 2022. B. Sur les transferts de données hors UE Selon le projet d’article R. 232-67-25 du code du sport, le LADF procède à des transferts de données à caractère personnel auprès de l’AMA et des organisations signataires du code mondial antidopage, à partir du traitement mentionné au projet d’article R. 232-67-20 du code du sport dont il est responsable de traitement. Ces transferts peuvent comporter des données génétiques au sens de l’article 4-13) du RGPD et des données concernant la santé au sens de l’article 4-15) du RGPD. La nécessité de réaliser ces transferts n’est pas remise en cause par la CNIL. Concernant les transferts de données réalisés par le LADF pour alimenter la plateforme internationale ADAMS dont l’AMA, située au Canada, est responsable de traitement, une décision d’adéquation 2002/2/CE du 20 décembre 2001 autorise les transferts de données à caractère personnel vers ce pays, dans le cadre d’activités commerciales. Elle prend note que le laboratoire s’appuiera sur un courrier du Comité européen de la protection des données (CEPD) à destination de la présidence du Conseil de l’Europe en date du 9 octobre 2019, qui considère que les transferts depuis une organisation européenne de lutte contre le dopage vers ADAMS sont valides dans le cadre de cette adéquation. La CNIL souligne que les décisions d’adéquation, adoptées avant l’entrée en application du RGPD, sont actuellement en cours de révision par la Commission européenne et restent valables tant qu’elles n’ont pas été modifiées à la suite de cette révision. Concernant les transferts de données réalisés par le LADF auprès d’autres organisations signataires du code mondial antidopage via la plateforme internationale ADAMS , très rares en pratique compte tenu des exigences de l’AMA liées aux conditions de réalisation et de transport des analyses, ils peuvent s’effectuer quant à eux vers des pays situés en dehors de l’Union européenne. Certains pays peuvent bénéficier d’une décision d’adéquation couvrant ces transferts. Pour d’autres, le LADF, comme tout exportateur et conformément à l’arrêt Schrems II de la Cour de justice de l’Union européenne du 16 juillet 2020, devra évaluer au cas par cas la législation et les pratiques des pays vers lesquels sont transférées les données et mettre en place l’instrument d’encadrement approprié pour garantir que ces données font l’objet d’une protection substantiellement équivalente à celle offerte par l’Union européenne. Le LADF pourra s’appuyer sur les instruments prévus par le RGPD, comme les clauses contractuelles types de la Commission européenne, le cas échéant, complétés de mesures supplémentaires au sens des recommandations n° 01/2020 du CEPD du 10 novembre 2020, ou éventuellement de recourir à l’application des dérogations prévues à l’article 49 du RGPD, éclairé par son considérant 112. Les autres dispositions du projet de décret n’appellent pas d’observations. La présidente Marie-Laure DENIS


Délibération n° 2023-112 du 19 octobre 2023 portant avis sur un projet d'arrêté portant création par la direction générale des douanes et droits indirects d'un traitement automatisé dénommé « Système d'Information du Renseignement des Navires et des Équipages » (SIRENE)

Date de l'avis : 19 octobre 2023 N° de la délibération : 2023-112 N° de demande d'avis : 23008254 Texte concerné : projet d'arrêté portant création par la direction générale des douanes et droits indirects d'un traitement automatisé dénommé Système d'Information du Renseignement des Navires et des Équipages (SIRENE) Thématiques : fraude douanière, renseignement maritime douanier, trafics internationaux, contrôles des navires et de leurs équipages, infractions douanières Fondement de la saisine : articles 31 et 89 de la loi n° 78-17 du 6 janvier 1978 modifiée L'essentiel : La CNIL considère que le traitement est licite dans son principe. Elle estime que la distinction entre les données à caractère personnel des différentes catégories de personnes inscrites dans le traitement ne reflète pas correctement celle de la loi informatique et libertés et devrait également inclure les statuts de victimes et de tiers à une infraction. Elle relève que le ministère limite et encadre la collecte des données relatives aux personnes mineures de manière appropriée. La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 1° et 2° du I et du II de son article 31 ; Après avoir entendu le rapport de M. Philippe-Pierre CABOURDIN, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte de la saisine La direction générale des douanes et des droits indirects (ci-après DGDDI ) exerce une mission de lutte contre les fraudes douanières et les trafics notamment dans l'espace maritime. Dans le cadre de sa mission de lutte contre la fraude et les grands trafics internationaux, la douane est en charge de la protection du territoire et des citoyens, et des intérêts économiques et financiers nationaux ou communautaires (mobilisation contre les trafics de stupéfiants, de contrefaçons, de tabacs, d'armes, lutte contre le terrorisme et le financement des activités criminelles, lutte contre les menaces environnementales, sanitaires et protection du consommateur, des patrimoines culturels et naturels). Le fichier SIRENE est utilisé pour recenser toutes les personnes contrôlées sur les navires en mer ou à quai et lutter contre la fraude. Il recense des informations sur les passagers des navires contrôlés, ainsi que les informations relatives à la propriété ou à la location du navire et leur géolocalisation. Il contient également des copies de titres d'identité et la mention d'infractions pénales (telles trafic de stupéfiants, contrefaçon, travail dissimulé, refus d'obtempérer). B. - L'objet de la saisine En application de l'article 31 de la loi informatique et libertés , la CNIL a été saisie, le 29 juin 2023, par le ministre de l'économie, des finances et de la souveraineté industrielle et numérique d'un projet d'arrêté portant création par la DGDDI d'un traitement automatisé dénommé SIRENE . La saisine est accompagnée d'une analyse d'impact à la protection des données (AIPD). Le traitement SIRENE permet de faciliter le partage des informations relatives aux personnes présentes, en mer ou à quai, sur les navires contrôlés afin de rechercher, constater et réprimer les fraudes douanières sur le domaine maritime, y collecter des informations se rapportant à des risques de fraude, mutualiser le partage des informations relatives aux personnes présentes, en mer ou à quai, sur les navires contrôlés. II. - L'avis de la CNIL A. - Sur les finalités du traitement et son régime juridique Le projet d'arrêté prévoit que le traitement SIRENE poursuit trois finalités sur le vecteur maritime : - contribuer à la recherche, la constatation et la répression de fraudes douanières ; - collecter et fiabiliser des informations se rapportant à des risques de fraudes douanières ; - fiabiliser l'intégration, l'enrichissement et la conservation du renseignement maritime douanier. L'article 87 de la loi informatique et libertés prévoit que le régime de la directive police-justice s'applique aux traitements de données à caractère personnel mis en œuvre, à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, par toute autorité publique compétente ou tout autre organisme ou entité à qui a été confié, à ces mêmes fins, l'exercice de l'autorité publique et des prérogatives de puissance publique, ci-après dénommés autorité compétente . Dans la mesure où le traitement vise, d'une part, à prévenir et détecter des infractions pénales (par exemple, en contribuant à la recherche, la constatation et la répression de fraudes douanières) et d'autre part, à enquêter ou poursuivre en matière de fraude, la Commission estime que les finalités poursuivies relèvent du régime du titre III de la loi informatique et libertés (directive police-justice ). La CNIL estime que les finalités sont légitimes et déterminées. B. - Sur les catégories de données traitées 1. Concernant les données de la fiche personne a. La distinction entre les données des différentes catégories de personnes Le projet d'arrêté prévoit notamment la collecte : - pour les personnes physiques, des données relatives à l'état civil tels les nom, prénom, sexe, nationalité, et date de naissance permettant l'identification du propriétaire, du locataire, du loueur du navire, des membres d'équipage, et de toute personne à bord ; - pour les personnes morales, des données relatives aux identifiant société, nom et nationalité permettant l'identification du propriétaire, du locataire ou du loueur du navire. Il ressort de l'AIPD que différentes catégories de personnes inscrites dans le traitement sont prévues. Une case à cocher, au sein de la fiche personne , permet de distinguer si la personne considérée est contrôlée, soupçonnée, ou s'est vu notifier une infraction. Or, aux termes de l'article 98 de la loi informatique et libertés , le responsable de traitement établit, dans la mesure du possible et le cas échéant, une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées, telles que : 1° Les personnes à l'égard desquelles il existe des motifs sérieux de croire qu'elles ont commis ou sont sur le point de commettre une infraction pénale ; 2° Les personnes reconnues coupables d'une infraction pénale ; 3° Les victimes d'une infraction pénale ou les personnes à l'égard desquelles certains faits portent à croire qu'elles pourraient être victimes d'une infraction pénale ; 4° Les tiers à une infraction pénale, tels que les personnes pouvant être appelées à témoigner lors d'enquêtes en rapport avec des infractions pénales ou des procédures pénales ultérieures, des personnes pouvant fournir des informations sur des infractions pénales ou des contacts ou des associés de l'une des personnes mentionnées aux 1° et 2° . La CNIL prend acte de ce qu'une distinction des données susceptibles d'être collectées selon le statut de la personne concernée est opérée. Elle considère néanmoins que cette distinction ne reflète pas correctement celle de la loi informatique et libertés . En effet, les catégories prévues ne permettent pas de caractériser clairement les personnes soupçonnées ou à l'égard desquelles une fraude a été constatée d'un côté et les personnes reconnues coupables de fraude dans le cadre d'une procédure judiciaire de l'autre. Cette distinction devrait prendre également en compte le statut de tiers à une infraction pénale , conformément à ce même article 98 de la loi informatique et libertés . b. Les données relatives aux contrôles, condamnations pénales et infractions Le projet d'arrêté autorise l'enregistrement de données relatives à la catégorie données relatives aux contrôles, y compris données relatives à des condamnations pénales et des infractions . Le ministère a indiqué que les informations collectées au titre de cette catégorie de données sont les suivantes : - données relatives aux déroulement du contrôle ; - compte-rendu de visite du navire ; - conduite à tenir ; - contentieux douanier et contentieux autres ; - numéro de référence du contentieux ; - libellé de l'infraction relevée ; - renseignements complémentaires et indices de suspicion. Des copies des pièces d'identité des personnes physiques contrôlées peuvent occasionnellement être enregistrées dans le traitement afin de procéder à des vérifications ultérieures de l'authenticité du document et ainsi prévenir toute usurpation d'identité entre les contrôles. Le ministère précise que les recherches sur des personnes ne pourront être faites que sur la base des éléments d'état-civil. Aucune recherche n'est possible à partir d'infractions douanières ni à partir des photos présentes sur les copies des pièces d'identité collectées. La CNIL relève toutefois que dans la fiche personne, des zones de commentaires libres facultatifs sont prévues s'agissant du libellé de l'infraction relevée et des renseignements complémentaires et indices de suspicion. La CNIL estime que la collecte de ces données est légitime. Elle rappelle néanmoins que ces zones de commentaires libres présentent un risque de renseigner des informations inappropriées ou non pertinentes, possiblement en lien avec la vie privée des personnes concernées. A défaut de les remplacer par des menus déroulants, la CNIL souligne que ces champs devront comporter exclusivement des informations dénuées de toute appréciation d'ordre personnel et limitées à ce qui est strictement nécessaire à l'instruction du dossier de fraude douanière. Par ailleurs, aucune donnée sensible au sens de l'article 6 de la loi informatique et liberté ne pourra y figurer. Elle considère qu'un bandeau d'information apparaissant au sein des champs libres permettrait de rappeler aux agents les préconisations d'emploi de ce type de zone de saisie libre et le cadre juridique applicable. Des contrôles stricts et réguliers devront également être opérés afin de s'assurer que seuls les éléments utiles aux finalités du traitement sont effectivement renseignés. 2. Concernant les données relatives à des personnes mineures Le projet d'arrêté prévoit au 3° de l'article 2 l'intégration des données relatives à l'identification de mineurs dans SIRENE lorsqu'ils ont commis une infraction ou sont soupçonnés d'en avoir commis une. Concernant la présence de données relatives à des personnes mineures dans le traitement antérieurement à la publication de l'arrêté, la mesure n° 6 du plan d'action 4. 1. 3 figurant dans l'AIPD prévoit : - la suppression en base des données des fiches relatives à des personnes mineures dans le traitement lors du déploiement de la purge, prévue au dernier trimestre 2023 ; - la création d'une case à cocher présence de mineur à bord (O/N) . Lorsque cette case est cochée, le ministère s'est engagé à empêcher techniquement l'intégration de données à caractère personnel correspondant à une personne mineure qui n'aurait pas commis d'infraction ni ne serait soupçonnée d'en avoir commis. Concernant les données relatives à des personnes mineures présentes dans la base antérieurement : - la CNIL accueille favorablement l'engagement du ministère de supprimer les données des mineurs contrôlés sans lien avec une infraction, collectées antérieurement à la publication du projet d'arrêté ; - elle rappelle que les copies des pièces d'identité de ces personnes devront également être supprimées dans SIRENE. Concernant les dispositions du projet d'arrêté relatives aux données des mineurs : - la CNIL accueille favorablement la mention du projet d'arrêté selon laquelle les données relatives à des mineurs ne peuvent être traitées que si elles ont un lien avec une infraction ; - elle prend acte de ce que le ministère s'est engagé à bloquer techniquement la collecte des données des mineurs lorsqu'elles n'ont aucun lien avec une infraction. 3. Concernant les données de localisation des navires Le projet d'arrêté prévoit la collecte des données relatives à la localisation du navire. Si la CNIL est consciente de l'intérêt de cette collecte pour la recherche et la détection de fraudes, elle s'interroge néanmoins sur les modalités d'utilisation des données de localisation postérieurement aux contrôles des navires et des personnes à bord. En effet, le croisement des données de localisation des navires avec les données à caractère personnel des personnes à bord s'avérerait très attentatoire aux droits et libertés et notamment, au droit à la vie privée et à la libre circulation des personnes. Il induit un risque de surveillance générale et à grande échelle de ces personnes. Sous réserve de l'engagement du ministère de ne pas croiser les données de localisation avec celles des personnes à bord, la CNIL considère que la collecte des données de localisation des navires est conforme et proportionnée aux finalités du traitement. Un cloisonnement des données de localisation devrait permettre de garantir l'absence de croisement avec celles des personnes enregistrées dans SIRENE à l'issue d'un contrôle. C. - Sur les durées de conservation des données 1. S'agissant de la durée de conservation de principe Le projet d'arrêté prévoit que les informations et données à caractère personnel traitées sont conservées dans l'application SIRENE pour une durée de cinq ans à compter de leur intégration dans le système. Selon le ministère, cette durée est nécessaire à l'enrichissement des données sur le navire afin de déterminer son degré de sensibilité et ainsi orienter les contrôles. Il s'agit notamment de disposer de l'historique des contrôles réalisés sur un navire pour pouvoir lever ou confirmer une suspicion. Ce délai s'applique malgré l'absence de commission d'infraction afin d'établir le profil d'un navire, en établissant, par exemple, que ses passagers ne présentent pas de risque de se livrer à des activités illicites. A l'issue de ce délai, les données contenues dans l'application sont supprimées de manière automatique. La CNIL estime que cette durée est justifiée au regard de la finalité de renseignement maritime permettant d'orienter les contrôles, en vue de la prévention et de la recherche de fraude douanière. Elle accueille favorablement la mise en œuvre d'un mécanisme de purge automatique permettant de garantir le respect de cette durée de conservation. 2. S'agissant des durées de conservation d'exception Une exception à la durée de cinq ans est prévue si la suspicion de fraude est confirmée notamment lorsque les douaniers relèvent une infraction pénale (contravention ou délit douanier). Les données seront alors conservées pour une période de quinze ans selon deux cas de figure distincts : - en cas de constatation par les douaniers d'une ou plusieurs infractions pénales sur un navire, le délai court à partir de la date de notification de l'infraction ; - pour les navires pour lesquels il existe un ou plusieurs indices sérieux permettant de soupçonner l'existence d'une infraction réprimée par le code des douanes (information issue du renseignement maritime et lorsque le champ conduite à tenir a été renseigné). Il s'agit concrètement des instructions formulées à l'attention des services de terrain en cas de localisation du navire ( contrôler / ne pas contrôler ). Le ministère justifie ces durées par : - la spécificité du vecteur maritime, qui se caractérise par une grande flexibilité liée à la fréquence élevée des changements d'équipages et de propriétaires de navire, ainsi qu'une grande liberté dans le choix des trajets offerte par le transport maritime ; - l'inscription du renseignement maritime dans le temps long pour son enrichissement : il s'agit de conserver l'ensemble des données d'historique, dans la perspective d'une procédure judiciaire, présente ou à venir, voire après une condamnation. En effet, les organisations criminelles qui investissent dans des navires les conservent parfois pendant plus d'une dizaine d'années avant de les utiliser à nouveau, notamment dans le cadre du trafic international de stupéfiants. Le ministère rappelle qu'en dehors de la lutte contre le trafic de stupéfiants, la douane participe à des opérations de sauvetage, veille au respect de la réglementation pour la protection de l'environnement marin, effectue des contrôles de navires de pêche pour lutter contre la pêche illicite, participe à des missions auprès de l'agence européenne FRONTEX ou dans le cadre de la lutte contre l'immigration clandestine. Il avance qu'une analyse rétrospective sur plusieurs années permet la surveillance maritime de ces activités et la reconstitution de comportements maritimes passés considérés comme suspects. A l'issue du délai quinze ans, ces données sont automatiquement purgées par l'application. La CNIL relève que la durée de conservation de ces données est particulièrement longue lorsqu'il existe un ou plusieurs indices sérieux permettant de soupçonner l'existence d'une infraction mais également en cas de fraude avérée. Elle estime, s'agissant des cas de soupçons d'infractions et d'infractions douanières les moins graves et notamment des contraventions, que cette durée devrait être fortement réduite. Par comparaison, elle rappelle que l'article R. 40-27 du code de procédure pénale prévoit que les informations relatives à la mise en cause d'une personne pour une contravention de cinquième classe sont conservées cinq ans dans le Traitement des antécédents judiciaires. D. - Sur les droits des personnes L'article 104 de la loi informatique et libertés impose au responsable de traitement de mettre à disposition des personnes concernées une information relative au traitement de leurs données à caractère personnel. Cette obligation porte notamment sur l'identité et les coordonnées du responsable de traitement et de son délégué à la protection des données, les finalités poursuivies par le traitement et les différents droits dont disposent les personnes. Dans le cas présent, il est prévu que l'information générale du public sur le traitement sera assurée par la publication d'une fiche d'information sur le site internet de la douane. L'article 107 de la loi informatique et libertés prévoit la possibilité, pour le responsable de traitement, de restreindre les droits des personnes concernées lorsque cette restriction est une mesure nécessaire et proportionnée. Dans ces cas, l'exercice des droits, ainsi que le droit à l'information, peuvent faire l'objet de restrictions en application du II et du III de ce même article, qui imposent également que ces restrictions soient prévues par l'acte instaurant le traitement. Le responsable de traitement informe la personne concernée, dans les meilleurs délais, de tout refus ou de toute limitation d'accès, ainsi que des motifs du refus ou de la limitation. Le projet d'arrêté prévoit de mobiliser l'exception aux droits des personnes dans le cadre d'enquêtes ou de procédures administratives ou judiciaires. Les personnes dont les données sont intégrées au fichier SIRENE n'en sont pas informées individuellement, alors même que les navires contrôlés sont systématiquement intégrés au fichier. La CNIL estime que les personnes concernées devraient être informées individuellement du traitement de leurs données, lors des contrôles opérés par les douanes, sauf impératif spécifique lié aux enquêtes. E. - Sur les mises en relations avec d'autres traitements Il ressort de l'AIPD que le traitement est actuellement interconnecté à l'application de veille du trafic maritime dénommée SIAM . Le traitement SIRENE fait également l'objet d'une mise en relation avec l'outil de gestion des immatriculations PUMA (pour les navires de plaisance privés) et NAVPRO (pour les navires professionnels). De manière générale, la CNIL rappelle que l'ensemble des mises en relation doivent être prévues dans l'AIPD de ce traitement mais également dans l'AIPD de ceux qui intègrent les données issues de SIRENE. Elle souligne, par ailleurs, que chaque mise en relation doit être dûment justifiée et que les données concernées par ces mises en relation devront être strictement encadrées afin de respecter les dispositions de la loi informatique et libertés et du Règlement général sur la protection des données (RGPD). Elle ne dispose pas d'éléments lui permettant d'être en mesure de vérifier ces points au cas d'espèce. F. - Sur les mesures de sécurité La sécurité du traitement SIRENE repose principalement sur deux éléments : - la limitation de l'exposition à internet de l'application, puisque celle-ci repose sur une infrastructure interne, maîtrisée, et qu'en principe le seul flux réseau hors du système d'information de la DGDDI concerne les échanges, chiffrés, engendrés via le téléservice par des postes distants ; - le nombre défini d'utilisateurs accédant au service, individuellement habilités et dont l'authentification est assurée via une carte à puce associée à un code PIN personnel. Si ces caractéristiques du système d'information amoindrissent considérablement les risques d'atteinte à la sécurité des données des personnes concernées par le traitement, la CNIL considère qu'un chiffrement en base des données (et de leurs sauvegardes) constituerait une mesure complémentaire utile, a fortiori compte tenu du fait que ces données comprennent des copies de pièces d'identité. La CNIL prend note du fait que les durées de conservation des journaux, notamment ceux relatifs aux accès via le téléservice, ont été portées à un an. Cette durée apparaît adéquate dans le but de pouvoir détecter et analyser d'éventuelles anomalies concernant les accès. La présidente, M.-L. Denis


Clôture de  la décision n°MED-2023-018 du 3 avril 2023 mettant en demeure le ministère de l'économie, des finances et de la souveraineté industrielle et numérique

La Présidente MONSIEUR LE MINISTRE MINISTERE DE L'ECONOMIE, DES FINANCES ET DE LA SOUVERAINETE INDUSTRIELLE ET NUMERIQUE 139, RUE DE BERCY 75572 PARIS CEDEX 12 Paris, le 3 janvier 2024 PAR PORTEUR Par mail : […] Références à rappeler dans toute correspondance : NMY/JDE/ACD/MDM231058/CTX-2022-096 Monsieur le ministre, Je fais suite à la décision n° MED-2023-018 du 3 avril 2023 mettant en demeure le ministère de l'économie, des finances et de la souveraineté industrielle et numérique. Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL. J’observe que dans le cadre d’un projet d’arrêté portant création par la direction générale des douanes et des droits indirects (DGDDI) du traitement automatique SIRENE (système d’information du renseignement des navires et équipages), vous avez saisi la Commission d’une demande d’avis le 29 juin 2023, laquelle était notamment accompagnée d’une analyse d’impact relative à la protection des données. Au regard de la délibération n° 2023-112 du 19 octobre 2023 de la formation plénière de la CNIL portant avis sur le projet d’arrêté relatif au fichier SIRENE puis de l’adoption de l’arrêté du 22 novembre 2023 portant création par la direction générale des douanes et droits indirects dudit traitement, je vous informe que j’ai décidé de procéder à la clôture du dossier ainsi que de la procédure de contrôle n°2022-122C. Je vous prie de noter que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, je pourrai saisir la formation restreinte de la CNIL ou son président, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement, afin que soit prononcée, le cas échéant, l’une ou plusieurs des mesures prévues par les articles 20 et suivants de la loi du 6 janvier 1978. Les services de la Commission (le greffe du service des sanctions et du contentieux - (…) se tiennent à la disposition des vôtres pour tout renseignement complémentaire. Je vous prie d'agréer, Monsieur le ministre, mes salutations distinguées. Marie-Laure DENIS


Délibération n° 2023-100 du 5 octobre 2023 portant avis sur un projet de décret modifiant les dispositions relatives à la carte d'identification professionnelle des salariés du bâtiment et des travaux publics prévues par le code du travail

Date de l'avis : 5 octobre 2023 N° de la délibération : 2023-100 N° de demande d'avis : 23009957 Organisme(s) à l'origine de la saisine : ministère du travail, du plein emploi et de l'insertion Texte concerné : projet de décret modifiant les dispositions relatives à la carte d'identification professionnelle des salariés du bâtiment et des travaux publics prévues par le code du travail Thématiques : carte d'identification professionnelle, carte BTP, salariés détachés, code QR Fondement de la saisine : article 8.I.4°.a de la loi n° 78-17 du 6 janvier 1978 modifiée L'essentiel : Les dispositions du projet de décret n'appellent pas d'observations de la CNIL. La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8.I.4.a ; Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte La carte d'identification professionnelle des salariés du bâtiment et des travaux publics, dite carte BTP , est une carte individuelle sécurisée destinée à tout salarié de ce secteur. Sa mise en place en 2015 a eu notamment pour objectif de lutter contre les pratiques frauduleuses de travail illégal et de concurrence sociale déloyale. Cette carte contient des données permettant aux administrations compétentes de procéder à des contrôles de l'identité des salariés titulaires, de contrôler la réalisation des formalités déclaratives préalables à la conclusion d'un contrat de travail, ainsi que d'avoir accès à certaines de ses caractéristiques (durée, type, etc.). En vertu de l'article L. 8291-1 du code du travail, cette carte doit être sollicitée par l'organisme employeur pour chaque salarié effectuant des travaux de bâtiment ou de travaux publics pour le compte d'une entreprise établie en France ou pour le compte d'une entreprise établie hors de France en cas de détachement . B. - L'objet de la saisine Actuellement, la carte BTP est délivrée pour la durée de la mission du titulaire. Pour toute nouvelle mission, une demande d'une nouvelle carte doit être effectuée. Le projet de décret vise à modifier les articles R. 8115-7 et suivants du code du travail afin notamment d'augmenter la durée de validité de la carte à cinq ans, quelle que soit la durée de la mission du salarié détaché. Ainsi, un seul titre pourra couvrir plusieurs périodes d'emploi successives sans que l'organisme employeur ait à réaliser de nouvelles démarches liées à son renouvellement. Ces modifications visent essentiellement à assurer l'égalité de traitement entre les entreprises établies à l'étranger et celles établies ou exerçant sur le territoire national, qui n'étaient pas soumises au même régime. Par mesure de cohérence, le projet de décret actualise la liste des catégories de données à caractère personnel pouvant être enregistrées dans le traitement automatisé. II. - L'avis de la CNIL La liste des données figurant dans la carte BTP comprend une photographie du salarié, son état civil (nom, prénom et sexe), la date de délivrance et le numéro de gestion de la carte, ainsi qu'un code QR permettant d'automatiser la lecture de son contenu en cas de contrôle. A cette liste, l'article R. 8292-2 du code du travail rajoute des informations relatives à l'organisme employeur (la raison sociale, le numéro SIREN ainsi qu'éventuellement le logo de l'entreprise, à sa demande) ainsi qu'au statut d'emploi du titulaire ( salarié intérimaire détaché , salarié détaché ou salarié intérimaire ). Selon le projet de décret, la carte BTP mentionnera sa durée de validité (cinq ans). Par ailleurs, les statuts salarié intérimaire détaché et salarié détaché ne seront plus distingués, ce qui entraîne la fusion de ces deux mentions en une seule ( salarié détaché ). Les dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL. La présidente, M.-L. Denis


Délibération n° 2024-024 du 29 février 2024 portant adoption d'une recommandation relative à la mise en place de dispositifs de vidéosurveillance au sein des chambres des établissements accueillant des personnes âgées

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (" loi informatique et libertés "), notamment son article 8-I-2°-b) ; Après avoir entendu le rapport de M. Philippe Latombe, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte une recommandation relative à la mise en place de dispositifs de vidéosurveillance au sein des chambres des établissements accueillant des personnes âgées. Article 1er : Le contexte À la suite de la médiatisation de cas de maltraitance au sein d’établissements d’hébergement pour personnes âgées dépendantes (EHPAD), certains organismes sociaux et médico-sociaux ont interrogé la CNIL concernant la possibilité et les conditions d’’installation de dispositifs de vidéosurveillance au sein des chambres des résidents. L’installation de caméras dans les lieux ouverts au public tels que les espaces d’entrée et de sortie d’un organisme social ou médico-social est soumise aux dispositions du RGPD et de la loi " informatique et libertés " ; elle doit également faire l’objet d’une autorisation délivrée par la préfecture du lieu d’implantation du dispositif. Concernant les espaces des EHPAD ouverts aux résidents, à leurs invités et au personnel, l’installation de dispositifs de vidéosurveillance est en principe autorisée pour assurer la sécurité des biens et des personnes à condition de ne pas placer sous surveillance constante les salariés ou les résidents (Pour plus d’informations, nous vous invitons à consulter la page " Vidéosurveillance – Vidéoprotection "). L’installation de caméras au sein des chambres de personnes hébergées dans des EHPAD soulève, en revanche, de nombreuses interrogations juridiques et éthiques. Un tel dispositif est en effet susceptible de porter atteinte tant aux droits des salariés qu’à ceux des personnes hébergées pour lesquelles la chambre représente le seul espace d’intimité dans lequel elles peuvent poursuivre leur vie affective et familiale. La présente recommandation a vocation à encadrer les dispositifs de vidéosurveillance mis en place par les seuls EHPAD (les établissements médicaux étant confrontés à des contraintes différentes) et non par les proches des résidents. Ces derniers sont invités à se rapprocher des directions d’établissements, dans l’hypothèse où ils envisageraient l’installation d’une caméra pour assurer la sécurité du membre de leur famille. Seul l’établissement peut en principe mettre en place le dispositif, afin que celui-ci soit le plus respectueux des droits et libertés de chacun. Article 2 : Les enjeux 2.1 - Le nécessaire respect de la vie privée et de l’intimité des personnes hébergées La question essentielle pour toute structure souhaitant installer des caméras dans les chambres des résidents repose sur l’équilibre à trouver entre la sécurité offerte par ce système aux personnes hébergées et le respect de leur vie privée et de leur intimité (art. 8 de la Convention européenne des droits de l’Homme, art. 7 de la Charte des droits fondamentaux, art. 9 du code civil). Le déploiement de tels dispositifs est susceptible de priver les personnes hébergées de la possibilité de pouvoir vivre dans leur chambre sans être l’objet d’une surveillance, et notamment d’une surveillance permanente, ce qui constitue une atteinte à leurs droits fondamentaux. L’installation de caméras doit en conséquence répondre à un réel besoin et être mis en œuvre sous réserve du respect de conditions strictes du RGPD et de la loi " informatique et libertés ". Au regard des atteintes à la dignité des personnes hébergées, il est en principe interdit d’installer des caméras pour améliorer le service offert à la personne concernée en renforçant son " confort " (par exemple intervention rapide en cas de demande particulière formulée par la personne), même lorsqu’elle a donné son consentement. D’autres dispositifs moins attentatoires à la vie privée des personnes hébergées devraient être privilégiés (enquêtes de satisfaction ; cahiers de doléances à destination des personnes hébergées et des familles ; dispositifs d’appel-malade disposant de modalités d’activités variées – à la voix, au geste, etc. - ; dialogue avec le Conseil de la vie sociale ; etc.). En conséquence, un dispositif de vidéosurveillance mis en œuvre pour une telle finalité ne satisfait pas, en principe, aux conditions de nécessité et de proportionnalité auxquelles doivent se conformer les organismes souhaitant mettre en œuvre un traitement. L’amélioration du service offert aux personnes ne saurait en effet justifier une atteinte aussi forte aux droits et libertés des personnes concernées. Par ailleurs, pour assurer la sécurité des personnes hébergées en cas de chute ou d’accident, des dispositifs autres que ceux utilisant la vidéosurveillance peuvent être mis en place (capteurs de présence placés sous le sol et susceptibles de détecter la moindre anomalie, bracelet susceptible de détecter une chute brutale grâce à un accéléromètre, capteurs/boîtiers infrarouges capables de détecter une chute et d’envoyer un message d’alerte au personnel, etc.), sous réserve du recueil du consentement de la personne hébergée (lorsqu’elle n’est pas en mesure de consentir, celui-ci devra être recueilli, le cas échéant, dans le respect des règles spécifiques liées à la protection des majeurs). Dès lors, l’installation d’un dispositif de vidéosurveillance ne peut être envisagé que pour assurer la sécurité des personnes hébergées dans le cadre d’une enquête pour maltraitance (conditions cumulatives) : en cas de suspicion étayée de mauvais traitement (hématomes constatés, changements comportementaux, etc.) malgré les dispositifs alternatifs mis en place (par exemple un bouton d’appel d’urgence sans fil, des procédures internes de détection des événements indésirables, des procédures de signalement et de suivi d’événements préoccupants, la création d’équipe de travail afin de permettre l’intervention des soignants en binôme), après échec des procédures d’enquêtes internes si celles-ci n’ont pas permis de lever le doute sur une situation de maltraitance ou d’en déterminer l’origine. 2.2. La proportionnalité du contrôle d’activité des salariés Chacun a droit au respect de sa vie privée, y compris les salariés sur leur lieu de travail et pendant leur temps de travail. Si le pouvoir de surveillance de l’employeur est légitime puisqu’il est conduit à contrôler le travail réalisé, à l’évaluer et à donner des directives sur celui à effectuer, ce pouvoir comporte des limites tenant à la transparence de la mesure, à sa légitimité et à sa proportionnalité par rapport au but poursuivi. Ainsi, les dispositifs de vidéosurveillance sur les lieux de travail, qui sont notamment légitimes dès lors qu’ils visent à assurer la sécurité des biens et des personnes hébergées, doivent veiller à ne pas porter une atteinte disproportionnée aux droits et libertés fondamentaux des salariés. Une telle atteinte serait constituée si les salariés étaient surveillés en continu sur leur poste de travail ou pendant l’exercice de leur activité professionnelle, sauf à justifier de circonstances particulières justifiant cette atteinte. Article 3 : Les conditions de mise en œuvre de tels dispositifs À noter Les établissements, les services et les lieux de vie et d’accueil doivent informer sans délai les autorités administratives compétentes de tout dysfonctionnement grave dans leur gestion ou leur organisation susceptible d’affecter la prise en charge des usagers, leur accompagnement ou le respect de leurs droits (art. L. 331-8-1 du code de l’action sociale et des familles (CASF)). Avant d’envisager l’installation de dispositifs de vidéosurveillance au sein d’un établissement pour suspicions fortes de maltraitance, il est important de porter à la connaissance de chaque salarié et intervenant extérieur (psychologue, kinésithérapeute, etc.) les éléments suivants : une personne physique est susceptible d’engager sa responsabilité pénale en cas de non-dénonciation de mauvais traitements infligés à une personne qui n’est pas en mesure de se protéger notamment en raison de son âge ou d’une maladie (article L. 434-3 du code pénal) ; les établissements doivent informer sans délai les autorités administratives compétentes (agence régionale de santé, préfet de département, président du conseil général) de tout dysfonctionnement grave dans leur gestion ou leur organisation, susceptible d’affecter la prise en charge des usagers, leur accompagnement ou le respect de leurs droits ; un salarié ou agent ayant témoigné de mauvais traitements infligés à une personne accueillie au sein de son établissement peut faire l’objet d’une protection identique à celle offerte aux lanceurs d’alerte (art. L. 313-24 du CASF). Ces éléments devraient être rappelés de manière régulière par le personnel encadrant, notamment via des formations spécifiques concernant la lutte contre la maltraitance et lors de la signature du contrat de travail. 3.1 - Pour assurer la sécurité des personnes hébergées Un dispositif de vidéosurveillance installé à des fins de prévention des incidents de sécurité dans la chambre d’une personne hébergée apparaît en principe disproportionné dans la mesure où : il porte une atteinte particulièrement forte à la dignité des personnes hébergées, filmées en permanence dans leur lieu de vie ; il est susceptible de placer les salariés sous surveillance continue. Les organismes devraient étudier la possibilité de mettre en œuvre des moyens alternatifs moins intrusifs pour assurer la sécurité des personnes hébergées (par exemple un bouton d’appel d’urgence sans fil, des procédures internes de détection des événements indésirables, des procédures de signalement et de suivi d’événements préoccupants, la création d’équipes de travail afin de permettre l’intervention des soignants en binôme). Toutefois, en cas de suspicions fortes de maltraitance à l’encontre d’une personne hébergée, basées sur un faisceau d’indices concordants (hématomes, changements comportementaux, etc.) malgré l’existence de dispositifs alternatifs et d’échecs des procédures d’enquêtes internes, un organisme doit pouvoir installer ponctuellement un dispositif de vidéosurveillance dans la chambre des seules personnes concernées. Dans une telle situation, le responsable de traitement doit cependant apporter des garanties appropriées et notamment : limiter l’activation dans le temps ; désactiver le dispositif de vidéosurveillance lors des visites de proches sauf si le soupçon de maltraitance porte sur ces derniers ; établir et appliquer un cadre en interne, quant aux conditions justifiant l’installation de ce type de dispositifs (il doit par exemple s’agir d’une demande émanant des proches de la personne hébergée à l’établissement faisant suite à des cas de suspicions fortes et avérées de maltraitance, etc.). Cette procédure devrait avoir été préalablement présentée au Conseil de la vie sociale (CVS), qui pourra formuler des propositions ; informer les salariés de manière individuelle (p. ex. : lors de la signature du contrat de travail) et de manière collective (p. ex. : affiches) quant à la possibilité que des dispositifs de vidéosurveillance soient installés au sein des chambres des résidents ; " flouter ", dans la mesure du possible, les parties intimes de la personne concernée dès lors que les soins qui lui sont apportés sont réalisés dans son lit. S’agissant de la prise d’images dans les lieux d’intimité (toilettes, douches), celle-ci doit être proscrite sauf circonstances exceptionnelles (c’est-à-dire lorsque les procédures d’enquêtes internes et le dispositif de vidéosurveillance installé au sein de la chambre n’ont pas permis de détecter une situation de maltraitance mais qu’il subsiste une forte suspicion quant à la possibilité que ces actes soient réalisés au sein de ces lieux) ; insérer au sein du règlement intérieur la possibilité qu’un dispositif de vidéosurveillance soit mis en place dans la chambre d’un résident en cas de suspicions fortes de maltraitance et y faire notamment figurer les modalités de visionnage (accès aux images strictement limité au seul personnel habilité ; conditions d’accès aux images par la famille ; etc.) ; lorsque la demande émane de la famille ou des proches, l’installation d’un tel dispositif devrait être réalisée en concertation avec l’établissement, tenant compte des procédures d’enquête interne, de prévention et d’alerte ; du respect du cadre interne en matière de faisceaux d’indices ; de l’information du personnel, le cas échéant ; sensibiliser et former le personnel chargé de gérer et de mettre en œuvre ces dispositifs. À noter Le consentement de la personne concernée devra être recueilli avant l’installation d’un dispositif de vidéosurveillance, y compris lorsque la demande provient de ses proches. Lorsque la personne n’est pas en mesure de consentir, le consentement devra être recueilli, dans le respect des règles spécifiques liées à la protection des majeurs Lorsque l’initiative revient à l’établissement, ce dernier devra permettre à la personne concernée, de refuser l’installation de ce type de dispositif. SCH É MA R É CAPITULATIF Vous pouvez consulter ce schéma dans l' extrait du Journal officiel électronique authentifié. Le responsable de traitement devra par ailleurs s’assurer de la conformité de son traitement au RGPD et aux dispositions de la loi " informatique et libertés " (durée de conservation limitée à quelques jours si les images ne révèlent pas de maltraitance à l’égard du résident ou, dans le cas contraire, à la durée de la procédure contentieuse ; respect des droits des personnes concernées ; sécurité et confidentialité des données ; etc.). Il devra également informer les personnes concernées préalablement à l’installation des caméras : pour les résidents, cela peut se faire en insérant dans le contrat d’hébergement une clause indiquant l’éventuelle mise en œuvre de ce traitement. Cette dernière devrait notamment préciser qu’un tel dispositif ne devrait être mis en place que par l’établissement d’hébergement et non par la famille ; pour les salariés, en insérant, par exemple, dans le règlement intérieur de la structure préalablement présenté au comité social et économique, une mention indiquant la possibilité d’installer des dispositifs de vidéosurveillance dans les chambres des résidents pour lesquels il existe une suspicion grave de maltraitance. L’établissement doit par ailleurs en principe s’assurer que les résidents et salariés ont été informés individuellement de manière effective au moment de la mise en place des caméras (par courriel, affichage, etc.), sauf si cette information apparaît incompatible avec les objectifs de l’enquête et la protection des droits des personnes victimes de mauvais traitements. 3.2 - La nécessité de réaliser une analyse d’impact relative à la protection des données (AIPD) Au regard des risques élevés qu’est susceptible d’engendrer ce traitement pour les droits et libertés des personnes concernées, l’organisme mettant en œuvre ce dispositif de vidéosurveillance devra réaliser une analyse d’impact relative à la protection des données (AIPD). Une telle AIPD ne pouvant être réalisée en urgence, cela implique d’avoir réfléchi à la possibilité d’utilisation d’un tel dispositif à l’avance, en cas de suspicion de maltraitance. L’AIPD permettra de définir des conditions de mise en œuvre du dispositif de vidéosurveillance limitant autant que possible les risques pour les personnes concernées d’une part, et de démontrer la conformité du traitement au RGPD en cas de contrôle, d’autre part. Cette analyse, qui pourra s’appuyer sur l’ensemble des garanties énoncées au sein de la présente recommandation afin d’en simplifier sa réalisation, devra contenir une description détaillée du traitement mis en œuvre, tant sur les aspects techniques qu’opérationnels. L’organisme mettant en œuvre le dispositif devra plus particulièrement insister sur : les raisons l’ayant conduit à considérer que des moyens alternatifs moins intrusifs s’avéraient inefficaces ; les garanties qu’il met en œuvre pour ne pas mettre sous surveillance continue les salariés travaillant dans l’établissement ; les mesures pour assurer la confidentialité des données ; les précautions prises pour protéger la vie privée des personnes hébergées. S’il apparait que le niveau de risque résiduel reste élevé, l’AIPD devra faire l’objet d’une transmission à la CNIL. Article 4 : Publication au Journal officiel de la République française La présente délibération sera publiée au Journal officiel de la République. La présidente M.-L. Denis


Délibération n° 2023-023 du 9 mars 2023 portant avis sur un projet de décret portant application de la loi n° 2022-300 du 2 mars 2022 visant à renforcer le contrôle parental sur les moyens d'accès à internet (demande d'avis n° 22017855)

La Commission nationale de l'informatique et des libertés, Saisie par le Ministre de l’économie, des finances et de la souveraineté industrielle et numérique d’un projet de décret portant application de la loi n° 2022‑300 du 2 mars 2022 visant à renforcer le contrôle parental sur les moyens d’accès à internet ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Vu la loi n° 2022-300 du 2 mars 2022 visant à renforcer le contrôle parental sur les moyens d’accès à internet ; Après avoir entendu le rapport de Mme Aminata NIAKATE, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement, ETANT RAPPELES LES ELEMENTS DE CONTEXTE SUIVANTS L’article L. 34-9-3 du code des postes et des communications électroniques (CPCE), créé par la loi n° 2022-300 du 2 mars 2022, impose aux fabricants d’équipements terminaux de mettre à disposition des utilisateurs un dispositif de contrôle parental aisément accessible et compréhensible. Ce dispositif doit permettre aux utilisateurs de restreindre ou contrôler l’accès à des services et des contenus susceptibles de nuire à l’épanouissement physique, mental ou moral des mineurs. Son activation doit être proposée lors de la première mise en service. Cette nouvelle obligation s’applique notamment à tous les ordinateurs et ordiphones. Les fabricants de terminaux doivent s’assurer que les systèmes d’exploitation des terminaux concernés intègrent ces dispositifs lors de leur mise sur le marché (3ème alinéa de l’article L. 34-9-3 du CPCE). Cette obligation n’est pas applicable lorsque les terminaux n’incluent pas de système d’exploitation en propre. Pour les terminaux d’occasion, au sens de l’article L. 321-1 du code de commerce et mis sur le marché postérieurement à la publication du décret, il revient aux personnes qui les commercialisent de s’assurer que ceux-ci intègrent le dispositif de contrôle parental. Un décret doit notamment : déterminer les fonctionnalités et caractéristiques techniques minimales des dispositifs de contrôle parental installés sur les terminaux et les moyens mis en œuvre par le fabricant pour faciliter l'utilisation de ce dispositif (1° du II de l’article L. 34-9-3 du CPCE) ; prévoir les informations destinées à l’utilisateur final concernant les risques inhérents à l’utilisation de moyens d’accès à Internet par des mineurs (4° du II de l’article L. 34-9-3 du CPCE). La CNIL insiste sur le fait qu’il est essentiel de protéger les mineurs sur Internet, eu égard aux risques spécifiques auxquels ils sont exposés (pédophilie, harcèlement, arnaques…) et à la facilité d’accès à des contenus inadaptés. Cette protection passe par de nombreux canaux, au premier rang desquels figure l’éducation au numérique, à laquelle diverses autorités publiques, dont la CNIL, contribuent. La mise en place de dispositifs de contrôle automatisé constitue un moyen pertinent pour assurer cette protection. Cependant, la CNIL souligne, d’une part, qu’ils doivent s’inscrire dans le cadre d’une action plus globale de sensibilisation, d’éducation et de protection de la jeunesse dans ses usages numériques ; d’autre part que ces dispositifs peuvent impliquer la collecte de données personnelles et une forme de surveillance des mineurs, et qu’un équilibre doit donc être trouvé entre ce contrôle et le respect de leur vie privée et de leur autonomie. Parmi les dispositifs de contrôle automatisé, la CNIL a recommandé, à de nombreuses reprises, de favoriser l’usage de dispositifs à la main des utilisateurs plutôt que de solutions centralisées ou qui leur soient imposées. Dans cette optique, la logique de contrôle parental, qui conduit à une responsabilisation du ménage pour limiter l’accès à des contenus sensibles, semble particulièrement respectueuse des droits des individus. Ainsi, la CNIL accueille très favorablement les avancées issues de la loi du 2 mars 2022 instaurant l’obligation d’intégrer des dispositifs de contrôle parental dans les terminaux (ordinateurs, tablettes, ordiphones, consoles de jeu vidéo ou encore les objets connectés comme les télévisions, montres ou enceintes), dès leur première activation. Elle estime essentiel de leur donner leur pleine portée, ce qui la conduit à proposer de renforcer les dispositions du projet de décret qui lui a été soumis, par l’ajout de deux autres fonctionnalités minimales exigées pour le contrôle parental. Par ailleurs, l’installation de dispositifs de contrôle parental peut impliquer une collecte de données concernant les mineurs. Au-delà des garanties déjà prévues par la loi (interdiction d’une réutilisation des données des mineurs à des fins commerciales), ces outils doivent être développés dans le respect d’une approche de protection des données dès la conception et par défaut, consacrée par le règlement général sur la protection des données (RGPD). Il doit enfin être souligné que l’usage de dispositifs de contrôle devra être adapté à l’âge du mineur : la CNIL souligne que l’usage de fonctionnalités trop intrusives au regard de l’âge d’un adolescent peut conduire à une surveillance disproportionnée du mineur, tant par les tiers que par les parents, qui nuirait à la relation de confiance entre les enfants et leurs parents, risquerait d’entraver leur processus d’autonomisation et de les accoutumer à une surveillance constante. EMET L’AVIS SUIVANT SUR LE PROJET DE DECRET Sur le s fonctionnalités et caractéristiques techniques minimales des dispositifs de contrôle parental intégrées au terminal Le projet d’article R. 20-29-10-1 du CPCE prévoit deux fonctionnalités minimales pour les dispositifs de contrôle parental : la possibilité de bloquer le téléchargement de contenus mis à disposition par des boutiques d’applications logicielles dont l’accès est interdit aux mineurs en vertu d’une disposition légale, soit par la signalétique qui lui est apposée (par exemple "PEGI 18)", soit par la désignation dans une liste publiée par l’éditeur (conformément à la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique) ; la possibilité de bloquer l’accès aux contenus préinstallés dont l’accès est interdit aux mineurs, selon les mêmes conditions (par exemple, certaines applications de réseaux sociaux peuvent être préinstallées sur les ordiphones). Ainsi, le projet de décret ne prévoit aucune fonctionnalité de contrôle parental obligatoire pour ce qui concerne la navigation sur Internet. En outre, le projet de décret prévoit que ces fonctionnalités minimales ne sont obligatoires que "sous réserve de faisabilité technique". Il prévoit par ailleurs, au III de l’article 4, la possibilité d’intégrer d’autres fonctionnalités au dispositif de contrôle parental. Sur le périmètre des fonctionnalités minimales En premier lieu, il ressort des échanges avec le ministère que les termes " sous réserve de faisabilité technique" visent à limiter la responsabilité des fabricants de terminaux dans les cas où les fonctionnalités minimales n’atteindraient pas leurs objectifs malgré la mise en œuvre d’un dispositif technique fonctionnel. Il s’agit, selon le ministère, notamment des cas dans lesquels une application serait mal classifiée par un éditeur et/ou par le fournisseur de boutique d’application logicielle. Selon la CNIL, la rédaction actuelle du projet ne traduit pas suffisamment l’intention du ministère, et peut laisser penser que les éditeurs ou fournisseurs pourraient être libérés de l’obligation de proposer un système de contrôle parental minimal en cas de difficulté technique. Le critère de "faisabilité technique" est laissé à l’appréciation des fabricants de terminaux, ce qui risque de nuire, d’une part, à la sécurité juridique nécessaire à la compréhension des obligations qui pèsent sur les acteurs concernés et, d’autre part, aux objectifs poursuivis par le législateur, en limitant l’effectivité de l’obligation prévue par la loi. La CNIL estime indispensable de modifier le projet de texte afin de prévoir une formulation plus adéquate . La CNIL demande également d’harmoniser les règles de classification des contenus, afin de réduire les risques de divergences selon les différents éditeurs de contenus en ligne, d’applications, ainsi que de boutiques d’applications. En second lieu, la CNIL recommande d’insérer d’autres fonctionnalités minimales qui pourraient être activées selon le degré de maturité des mineurs concernés. Elle suggère de prévoir que les terminaux devront obligatoirement offrir la possibilité d’établir des "listes blanches" permettant aux enfants les plus jeunes de ne consulter que les sites web et applications autorisés préalablement, et de bloquer tous les autres sites ou applications. Pour les mineurs les plus âgés, à l’inverse, devrait être prévue la possibilité d’établir des "listes noires" – notamment des listes préétablies et ajustables par les titulaires de l’autorité parentale – visant à bloquer les sites considérés comme nuisant à l’épanouissement physique, mental ou moral des mineurs, tels que les sites à caractère pornographique. La constitution de listes est pourtant largement répandue dans les dispositifs de contrôle parental existants, et ce depuis très longtemps. Ces fonctionnalités permettraient une protection nettement plus complète et efficace des mineurs en tenant compte du fait que les applications ne sont pas le seul moyen d’accéder à des contenus. L’activation de telles fonctionnalités peut par ailleurs être faite localement, sur le terminal de l’utilisateur, sans remontée de données à caractère personnel vers des serveurs distants. La CNIL appelle à une harmonisation des listes noires proposées par défaut dans les dispositifs de contrôle parental afin d’éviter toute distorsion de protection selon le type de dispositif implémenté. Sur les modalités d’activation des fonctionnalités minimales Le projet de décret n’impose pas aux fabricants de terminaux de s’assurer de la possibilité pour les utilisateurs de choisir quelles fonctionnalités, parmi les fonctionnalités minimales mentionnées, ils souhaitent activer. La CNIL recommande de préciser le projet de décret afin d’imposer aux fabricants de terminaux de permettre aux utilisateurs une finesse dans l’activation des fonctionnalités minimales. La possibilité de faire un choix entre ces différentes fonctionnalités permettra aux utilisateurs de conserver une pleine maîtrise dans la mise en œuvre du dispositif de contrôle parental. Sur les garanties applicables en matière de protection des données Le II du projet d’article R. 20-29-10-1 du CPCE prévoit que les fonctionnalités minimales de contrôle parental sont mises en œuvre localement : aucune donnée à caractère personnel de l’utilisateur mineur ne doit pouvoir être collectée à distance, y compris par la création d’un compte utilisateur sur un serveur. En premier lieu, selon le ministère, les dispositions des 2e et 3e alinéas du II du projet d’article R. 20-29-10-1 visent à décrire deux modalités d’activation des fonctionnalités minimales de contrôle parental : soit en renseignant l’âge de l’enfant ou de chaque enfant dans le terminal , sans qu’aucune donnée à caractère personnel ne soit collectée à distance et sans requérir la création d’un compte utilisateur sur un serveur distant ; soit sans rens e igner l’âge du mineur , ce qui permet qu’aucune donnée personnelle relative au mineur ne soit traitée par le logiciel de contrôle parental, y compris localement. Dans le premier cas, le dispositif de contrôle parental adaptera le blocage du téléchargement et de l’accès aux contenus à l’âge du mineur, tandis que dans le second cas, le blocage portera par défaut sur les contenus interdits aux moins de dix-huit ans. La CNIL estime que la rédaction actuelle du II est ambiguë, en ce qu’elle ne permet pas de comprendre que les deux modalités décrites sont alternatives, et non cumulatives. Ensuite, le troisième alinéa prévoit une modalité n’impliquant pas le traitement de données à caractère personnel du mineur. La CNIL invite le ministère à préciser que la mise en œuvre des fonctionnalités sur ce fondement n’entraîne pas de traitement de données, y compris en local. En deuxième lieu, la CNIL relève que le projet de décret prévoit deux dérogations au respect de ces principes de non-traitement des données personnelles des mineurs ou seulement en local : l’accord exprès de l’utilisateur majeur et l’impossibilité technique de s’abstenir de traiter les données à caractère personnel de l’utilisateur mineur. La CNIL s’interroge sur la nécessité de prévoir ces deux dérogations. En effet, s’agissant de l’impossibilité technique, la CNIL constate que certains dispositifs de contrôle parental déjà présents sur le marché intègrent les fonctionnalités minimales prévues au projet d’article R. 20- 29- 10-1 du CPCE, sans qu’une création de compte ou même un accès à Internet soit nécessaire. Il en va de même pour celles que la CNIL recommande d’ajouter au titre des fonctionnalités minimales (constitution de listes noires ou blanches en fonction du degré de maturité du mineur). Il apparaît donc techniquement possible de configurer des dispositifs de contrôle parental qui, par défaut, fonctionnent sans entraîner de remontée de données à caractère personnel vers des serveurs ou sans qu’il soit nécessaire de créer un compte sur un serveur. Une telle configuration est distincte des opérations d’authentification ou de création de comptes utilisateurs pouvant être requises afin d’utiliser le terminal et qui peuvent nécessiter une liaison avec un serveur distant. La configuration des dispositifs de contrôle parental uniquement en local, qui est plus conforme aux principes de protection de la vie privée, garantit la robustesse de ces dispositifs en limitant les risques de violation de données. En effet, le fonctionnement sans connexion au réseau Internet permet d’éviter diverses sortes d’attaques informatiques liées à la connexion à un réseau. En outre, un fonctionnement en local garantit que le dispositif de contrôle parental fonctionnera en continu, y compris hors connexion Internet : il est donc plus conforme à l’objectif de protection des mineurs. Le ministère n’a pas fait état, à ce stade, de cas d’usage précis qui justifieraient la nécessité d’aménager une telle exception. Par conséquent, la CNIL considère que l’exception relative à l’impossibilité technique n’apparaît pas justifiée concernant les fonctionnalités minimales. Elle invite donc le ministère à supprimer cette disposition au II du projet d’article R. 20-29-10-1 du CPCE. En troisième lieu, la CNIL s’interroge sur l’autre dérogation liée à l’accord exprès de l’utilisateur majeur. Selon le ministère, cet accord permet de concevoir des contrôles parentaux exploitant des possibilités de gestion des paramètres des fonctionnalités minimales plus avancées que celles disponibles localement (par exemple, la gestion d’alertes ou de signalement aux parents, la possibilité de changer la configuration du contrôle parental depuis un compte adulte sans passer par l’appareil de l’enfant). La CNIL considère donc que l es possibilités évoquées par le ministère ne relèvent pas strictement de l’activation des fonctionnalités minimales telles qu ’ e lles sont prévues au projet d’article R. 20-29-10-1 du CPCE . De fait, elles constituent des modalités optionnelles de gestion de ces fonctionnalités. Elle invite le ministère à supprimer cette exception du II de cet article . De telles fonctionnalités avancées, conditionnées à l’accord exprès du titulaire de l’autorité parentale, pourraient toutefois être intégrées au terminal sur une base volontaire. Enfin, la CNIL regrette l’absence de garanties s’agissant des données à caractère personnel des utilisateurs majeurs susceptibles de mettre en œuvre les dispositifs de contrôle parental. Dès lors que les fonctionnalités minimales peuvent être mises en œuvre localement, sans remontée de données vers des serveurs distants et sans création de compte sur un serveur, elle considère que les données des utilisateurs majeurs devraient faire l’objet de garanties similaires à celles des utilisateurs mineurs. Elle invite le ministère à compléter le projet de décret en ce sens. Sur les fonctionnalités et caractéristiques techniques des dispositifs de contrôle parental intégrés au terminal de manière volontaire par les fabricants Le III du projet d’article R. 20-29-10-1 du CPCE prévoit que les fonctionnalités optionnelles proposées à l’utilisateur majeur doivent être mises en œuvre sans entraîner de traitement de données à caractère personnel de l’utilisateur mineur, y compris localement, sur son équipement terminal. Le projet de décret prévoit une dérogation à ce principe en cas d’accord exprès de l’utilisateur majeur ou lorsque cela est techniquement impossible. En premier lieu, la CNIL invite le ministère à modifier le projet de décret afin de faire référence au titulaire de l’autorité parentale à l’égard du mineur concerné en lieu et place de l’utilisateur majeur. Il semble qu’un tel accord ne vise pas le consentement au sens de l’article 6.1.a du RGPD, mais la conclusion d’un contrat permettant à l’utilisateur majeur d’accéder au contrôle parental. A cet égard, cet accord ne préjuge pas de la base légale du traitement de données au sens de l’article 6 du RGPD. La CNIL rappelle par ailleurs que seules les données strictement nécessaires à la finalité poursuivie pourront être collectées. En second lieu, le projet de décret étend l’interdiction relative au traitement des données à caractère personnel de l’utilisateur mineur à des fins commerciales initialement prévue s’agissant des données qui pourraient être collectées dans le cadre des fonctionnalités minimales, à celles pouvant être collectées dans le cadre des fonctionnalités optionnelles. La CNIL accueille favorablement cette interdiction. Sur l’information des utilisateurs concernant le dispositif de contrôle parental et la documentation technique Le projet d’article R. 20-29-10-3 du CPCE prévoit que la documentation technique devant être établie par le fabricant de terminaux doit notamment comporter la notice d’utilisation et les instructions permettant l’activation, l’utilisation, la mise à jour et, le cas échéant, la désactivation du dispositif. Le projet d’article R. 20-29-10-8 du CPCE prévoit, par ailleurs, que le fabricant de terminaux met à disposition des utilisateurs, des informations portant notamment sur les caractéristiques essentielles et fonctionnalités techniques proposées par le dispositif de contrôle parental installé sur leur équipement, ainsi qu’une notice explicative de sa configuration et de son fonctionnement. La CNIL souligne l’importance de mettre à disposition de l’utilisateur une information simple et pédagogique. Cette information devra notamment expliquer clairement les modalités d’activation, de désactivation et, lorsque cela est possible, de désinstallation du dispositif. Cela permettra de s’assurer que les personnes concernées disposent de toutes les informations leur permettant de maîtriser pleinement les outils de contrôle parental. Par ailleurs, l’utilisation des termes "le cas échéant" au 3° du projet d’article R. 20-29-10 du CPCE, concernant la désactivation du dispositif, n’apparaît pas dans la mesure où un dispositif de contrôle parental doit systématiquement être désactivable. Par conséquent, la CNIL invite le ministère à supprimer ces termes. Sur les compétences de l’agence nationale des fréquences (ANFR) Le projet de décret élargit les pouvoirs de l’ANFR afin qu’elle vérifie que les terminaux mis sur le marché respectent les exigences prévues au projet d’article R. 20-29-10-1 du CPCE. Plus précisément, le IV du projet d’article R.20-29-10-4 du CPCE prévoit que l’ANFR peut vérifier auprès des fabricants de terminaux les déclarations de conformité. Lorsque l’ANFR identifie un risque de non-conformité aux spécifications techniques prévues au projet d’article R. 20-29-10-1 du CPCE, elle peut mettre en demeure l’opérateur économique concerné de remédier à cette situation. Ces dispositions pouvant porter sur la protection des données à caractère personnel, la CNIL rappelle que les pouvoirs conférés à l’ANFR s’exercent sans préjudice de ses compétences concernant le contrôle et les sanctions en lien avec la conformité de tels traitements de données au RGPD et à la loi du 6 janvier 1978 modifiée. La CNIL rappelle la possibilité pour l’ANFR de la consulter pour toute question en lien avec la protection des données à caractère personnel. Les autres dispositions du projet de décret n’appellent pas d’observations. La Présidente Marie-Laure DENIS