Délibération n° 2024-052 du 27 juin 2024 portant avis sur un projet d'arrêté portant autorisation d'un traitement automatisé de données à caractère personnel dénommé « Base relative à l'alerte de victimes »

N° de demande d'avis : 24007115 Thématiques : sécurité des systèmes d'information - cybersécurité Organisme(s) à l'origine de la saisine : Secrétariat général de la défense et de la sécurité nationale (SGDSN) Fondement de la saisine : article 31-1 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés L'essentiel : La CNIL a été saisie d'un projet d'arrêté visant à créer un traitement dénommé Base relative à l'alerte de victimes . Ce traitement est mis en œuvre au titre des missions de l'ANSSI mentionnées à l'article L. 2321-1 du code de la défense et à l'article 3 du décret n° 2009-834 du 7 juillet 2009 modifié portant création d'un service à compétence nationale dénommé Agence nationale de la sécurité des systèmes d'information . S'agissant du régime juridique applicable, elle estime que l'article 1er du projet d'arrêté devrait être complété afin de préciser dans quel cadre l'alerte des victimes peut être réalisée, à savoir celui défini par l'article L. 2321-3 du code de la défense. ________________________ La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son titre IV ; Après avoir entendu le rapport de Mme Isabelle Latournarie-Willems, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte Créée par le décret n° 2009-834 du 7 juillet 2009 portant création d'un service à compétence nationale dénommé Agence nationale de la sécurité des systèmes d'information , l'ANSSI est l'autorité nationale de défense des systèmes d'information ainsi que l'autorité nationale en matière de sécurité des systèmes d'information. A ce titre, elle a notamment pour missions de : mener des inspections des systèmes d'information des services de l'Etat et d'opérateurs publics ou privés ; mettre en œuvre des dispositifs de détection des événements susceptibles d'affecter la sécurité des systèmes d'information de l'Etat, des autorités publiques et d'opérateurs publics et privés et de coordonner la réaction à ces événements ; recueillir les informations techniques relatives aux incidents affectant les systèmes d'information des personnes mentionnées à l'alinéa précédent. Elle peut apporter son concours pour répondre à ces incidents. Son intervention se situe soit dans le cadre du code de la défense lorsque sont en cause la stratégie de sécurité nationale et la politique de défense, soit dans le cadre plus général fixé par le décret du 7 juillet 2009 susmentionné. La loi n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (LPM) a complété les instruments juridiques à la disposition de l'ANSSI pour préserver la sécurité des systèmes d'information. Ces instruments juridiques visent à lutter contre les atteintes à la sécurité des systèmes d'information des autorités publiques, des opérateurs d'importance vitale (OIV), et des opérateurs de services essentiels (OSE) ainsi que d'autres opérateurs publics et privés. Le décret n° 2024-421 du 10 mai 2024 pris pour l'application des articles L. 2321-2-1 à L. 2321-4-1 du code de la défense et des articles L. 33-14 et L. 36-14 du code des postes et des communications électroniques, dont la CNIL a été saisie pour avis (CNIL, SP, 7 mars 2024, n° 2024-025, publiée), a d'ores et déjà mis en œuvre certaines dispositions du code de la défense issues de la récente LPM. B. - L'objet de la saisine Le projet d'arrêté vise à créer un traitement dénommé Base relative à l'alerte de victimes . Selon les indications du SGDSN, ce traitement est mis en œuvre au titre des missions de l'ANSSI mentionnées à l'article L. 2321-1 du code de la défense et à l'article 3 du décret du 7 juillet 2009 susmentionné. II. - L'avis de la CNIL A. - Sur les finalités et le régime juridique applicable Le traitement Base relative à l'alerte de victimes a pour finalités la sûreté de l'Etat et de la défense ainsi que l'alerte des utilisateurs ou détenteurs de systèmes d'information vulnérables, menacés ou attaqués, sur la vulnérabilité ou l'atteinte de leur système d'information. S'agissant du régime juridique applicable à ce traitement, le secrétariat général de la défense et de la sécurité nationale (SGDSN) a indiqué qu'il relève du titre IV de la loi du 6 janvier 1978 susvisée (traitements intéressant la sûreté de l'Etat et la défense), dans la mesure où ce traitement est mis en œuvre pour l'exécution des missions de l'ANSSI dans le cadre des articles L. 2321-1 du code de la défense et 3 du décret du 7 juillet 2009 portant création d'un service à compétence nationale dénommé ANSSI . La CNIL estime que ce renvoi aux missions de l'ANSSI de manière générale ne permet pas de comprendre les raisons qui conduisent à retenir le régime juridique du titre IV de la loi du 6 janvier 1978 modifiée pour l'ensemble du traitement. Elle considère que le traitement ne peut relever intégralement du régime du titre IV qu'à la condition d'être fondé sur le premier alinéa de l'article L. 2321-3 du code de la défense, aux termes duquel pour les besoins de la sécurité des systèmes d'information des autorités publiques, des opérateurs mentionnés aux articles L. 1332-1 et L. 1332-2 et des opérateurs mentionnés à l'article 5 de la loi n° 2018-133 du 26 février 2018 portant diverses dispositions d'adaptation au droit de l'Union européenne dans le domaine de la sécurité , l'ANSSI peut obtenir des opérateurs les coordonnées d'utilisateurs ou de détenteurs de systèmes d'information vulnérables, menacés ou attaqués, afin de les alerter sur la vulnérabilité ou l'atteinte de leur système . Par conséquent, c'est en tant que le traitement est mis en œuvre pour les besoins de la sécurité des systèmes d'information des autorités publiques, OSE et OIV qu'il est entièrement soumis au régime du titre IV de la loi informatique et libertés . Elle prend acte de ce que les victimes peuvent aussi ne pas être des entités régulées appartenant à ces catégories, lorsque le système d'information de ces victimes a été utilisé dans le cadre d'une menace visant en réalité le système d'information d'un OIV, d'un OSE ou d'une autorité publique. Par suite, la CNIL invite le SGDSN à compléter les dispositions du deuxième alinéa de l'article 1er du projet d'arrêté pour indiquer expressément que le cadre dans lequel s'insère l'alerte des victimes est celui fixé par le premier alinéa de l'article L. 2321-3 du code de la défense. Elle accueille favorablement le fait que le projet de texte ne prévoie pas d'exclure le contrôle a posteriori de la CNIL sur le traitement, bien qu'il relève du titre IV de la loi informatique et libertés et que, nonobstant la possibilité de dispense de publication prévue au III de l'article 31 de cette loi, l'arrêté fasse l'objet d'une publication. B. - Sur les données collectées L'article 2 du projet d'arrêté énumère les données à caractère personnel relatives à des utilisateurs ou des détenteurs de systèmes d'information vulnérables, menacés ou attaqués, qui pourront être enregistrées dans le traitement : adresse IP ou nom de domaine ; identité ; adresse postale ; adresse électronique ; le cas échéant, numéro de téléphone. Il est également prévu que le traitement Base relative à l'alerte de victimes fasse l'objet d'une mise en relation au sein de l'ANSSI avec le traitement automatisé de données à caractère personnel dénommé Données opérationnelles de cyberdéfense , créé par un projet de décret dont la CNIL est également saisie. S'agissant de cette mise en relation, la CNIL prend acte de ce qu'il ne s'agira pas d'une mise en relation automatisée et que le traitement Base relative à l'alerte de victimes a vocation à n'être utilisé que s'il n'a pas été possible d'identifier autrement la victime concernée. Au regard de ce qui précède, la CNIL considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément au 3° de l'article 4 de la loi informatique et libertés . C. - Sur les durées de conservation L'article 3 du projet d'arrêté prévoit que les données sont conservées deux ans à compter de leur collecte. La CNIL prend acte de ce que les données enregistrées dans le traitement ont seulement vocation à être utilisées pour prendre contact avec la victime, dans l'hypothèse où il n'aurait pas été possible de l'identifier autrement. Dans ces conditions, la Commission considère que les données sont conservées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément au 5° de l'article 4 de la loi informatique et libertés . D. - Sur les accédants et les destinataires L'article 4 du projet d'arrêté liste, au I, les accédants (les agents de l'ANSSI individuellement désignés et spécialement habilités) et, au II, les destinataires de certaines données à caractère personnel et informations pouvant être enregistrées dans le traitement, mentionnées aux 1°, 3° et 4° de l'article 2 , à savoir les personnes mentionnées au premier alinéa de l'article L. 2321-3 du code de la défense afin qu'elles puissent communiquer à l'ANSSI les autres informations d'identification mentionnées à l'article 2 . La CNIL estime que la définition des destinataires découlant du II précité de l'article 4 du projet doit impérativement être précisée. En réalité, seule la transmission de l'adresse IP ou du nom de domaine et, le cas échéant, du numéro de téléphone de la victime par l'ANSSI à l'opérateur de communications électroniques ou à l'hébergeur est de nature à contribuer à ce que ce dernier communique à l'ANSSI les autres informations mentionnées au premier alinéa de l'article L. 2321-3 du code de la défense - à savoir l'identité, l'adresse postale et l'adresse électronique de la victime. Elle prend acte de l'engagement du SGDSN de modifier le II de l'article 4 du projet d'arrêté afin de permettre à l'ANSSI de transmettre l'adresse électronique de la victime à l'opérateur de communication électronique ou à l'hébergeur. E. - Sur les droits des personnes L'article 6 du projet d'arrêté détaille les modalités d'exercice des droits. Il est prévu que les droits d'information et d'opposition ne s'appliquent pas, conformément aux articles 116 et 117 de la loi informatique et libertés . Les droits d'accès, de rectification et d'effacement s'exercent de manière indirecte auprès de la CNIL, dans les conditions prévues à l'article 118 de cette même loi, ce qui n'appelle pas d'observation de sa part. F. - Sur les mesures de sécurité La CNIL prend acte de la mise en place d'une journalisation des accès ayant pour seule finalité la détection et la prévention d'opérations illégitimes sur les données du traitement. La Commission prend également acte de la supervision en continu des accès, couplée à un système de détection des anomalies, qui permet d'exploiter ces données et contribue à la sécurité du traitement. La CNIL prend aussi acte de ce que l'ANSSI réalise une revue trimestrielle des privilèges, afin de limiter les risques que des personnes non autorisées accèdent aux données alors qu'elles n'ont pas le besoin d'en connaître. Enfin, la CNIL prend également acte de l'absence de recours à un tiers extérieur au ministère : des agents du SGDSN sont les seuls agents, en dehors de l'ANSSI, qui sont amenés à avoir accès aux données du traitement et cela pour l'administration système. Les autres dispositions du projet d'arrêté n'appellent pas d'observations de la part de la CNIL. La présidente, M.-L. Denis


Décision DR-2024-153 autorisant l’INSTITUT CURIE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la prise en charge des patients atteints de tumeurs stromales gastro-intestinales sur le territoire national entre 2010 et 2020, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2005 à 2025, intitulée « REALIGIST ». (Demande d’autorisation n° 923136v1)


Décision DR-2024-154 autorisant L’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant les changements de connectivité cérébrale associés à la perception et la mémoire du temps entre individus jeunes et âgés, intitulée « TIMES ». (Demande d’autorisation n° 924110)


Décision DR-2024-155 autorisant l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE et l’UNIVERSITE D’UTRECHT à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur le lien entre les modes d’exposition à la lumière la nuit et le sommeil, intitulée « LILLY ». (Demande d’autorisation n° 924121)


Décision DR-2024-157 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les pratiques communicationnelles dans les consultations d’infirmières en pratique avancée en oncologie, dénommée « CAPTAIN ». (Demande d’autorisation n° 924066)


Décision DR-2024-158 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la dynamique de transmission des bactéries résistantes aux antibiotiques entre le chien et l’homme. (Demande d’autorisation n° 924053)


Décision DR-2024-159 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’impact respiratoire et psychologique de la chirurgie élective des malformations pulmonaires congénitales, intitulée « MALFPULM2 ». (Demande d’autorisation n° 924160)


Décision DR-2024-160 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la préoxygénation pour les aspirations trachéales en réanimation, intitulée « POXTRA ». (Demande d’autorisation n° 923255v2)


Décision DR-2024-161 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE RENNES à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur le système de réparation percutanée de la valve tricuspide dans la prise en charge des troubles tricuspides secondaires sévères, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2020 à 2024, intitulée « TRI-FR ». (Demande d’autorisation n° 924144)


Décision DR-2024-162 autorisant l’INSTITUT NATIONAL DU CANCER et LA SOCIETE MSD FRANCE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les délais et les coûts des parcours diagnostiques du cancer du poumon primitif, nécessitant un accès aux données du SNIIRAM et PMSI, composantes du Système national des données de santé (SNDS), pour les années 2013 à 2019, contenues dans la Plateforme des données en cancérologie, intitulée « LUCIEN ». (Demande d’autorisation n° 924141)


Décision DR-2024-164 autorisant LE CENTRE REGIONAL DE COORDINATION DU DEPISTAGE DES CANCERS DU GRAND-EST ET LE CENTRE INTERNATIONAL DE RECHERCHE SUR LE CANCER à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation du dépistage du cancer du col utérin par auto-prélèvement proposé à l’invitation, intitulée « MIRABELLE ». (Demande d’autorisation n° 924114)


Décision DR-2024-168 autorisant la société BIOSENCY à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la prise en charge des patients atteints de broncho-pneumopathie chronique obstructive avec la solution de télé- surveillance BORA Care , intitulée « AUSTRAAL ». (Demande d’autorisation n° 924077)


Décision DR-2024-165 autorisant les HOSPICES CIVILS DE LYON à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la recherche de facteurs de gravité lors de la prise en charge initiale et du suivi de l’évolution du syndrome du bébé secoué. (Demande d’autorisation n° 924087).


Décision DR-2024-166 autorisant l’INSTITUT NATIONAL DE LA SANTE ET DE LA RECHERCHE MEDICALE, l’UNIVERSITÄTSKLINIKUM ESSEN et l’AARHUS UNIVERSITY HOSPITAL à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les effets à long terme des techniques contemporaines de radiothérapie externe pour le traitement de cancers diagnostiqués chez l’enfant, l’adolescent et le jeune adulte, intitulée « Cohorte d’enfants, adolescents et jeunes adultes traités par radiothérapie ». (Demande d’autorisation n° 924115).


Décision DR-2024-167 autorisant la société PFIZER INC à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la surveillance de la sécurité à long terme et en vie réelle du somatrogon chez les patients pédiatriques en France, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2021 à 2032. (Demande d’autorisation n° 923271)


Décision DR-2024-169 autorisant le CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation médico-économique du parcours de soins en médecine générale des sujets à haut risque cardiovasculaire basée sur le dépistage de l'artériopathie oblitérante des membres inférieurs asymptomatique, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2022 à 2025, intitulée « DAMAGE ». (Demande d’autorisation n° 924111)


Décision DR-2024-170 autorisant les SOCIETES MEMBRES DU CONSORTIUM VALPORATE à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur la caractérisation des troubles neurodéveloppementaux chez les enfants exposés in utero au valproate et/ou aux autres antiépileptiques avec un suivi à long terme, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS) pour les années 2009 à 2021, intitulée « AVALON » (Demande d’autorisation n° 924007v1)


Décision DR-2024-171 autorisant la SOCIETE ROCHE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les parcours thérapeutiques des patients atteints de cancer du poumon aux Etats-Unis, intitulée « Charleston ». (Demande d’autorisation n° 923186)


Décision DR-2024-172 autorisant l’INSTITUT DE CANCEROLOGIE DE L’OUEST à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la santé reproductive des femmes après cancer du sein, nécessitant un accès aux données du SNIIRAM, du PMSI et du CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2010 à 2022, intitulée « ISIS ». (Demande d’autorisation n° 924045)


Décision DR-2024-173 autorisant la société GILEAD à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur la quantification et la caractérisation de la population à haut risque de séropositivité au virus de l’immunodéficience humaine en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2008 à 2023, intitulée « EpiPrEP ».  (Demande d’autorisation n° 924191)


Décision DR-2024-178 autorisant la SOCIETE D’ETUDES DE RECHERCHES ET DE FABRICATION à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur le suivi clinique post-commercialisation de prothèses de hanche, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS), pour les années 2012 à 2031 intitulée « HYPE-SNDS ». (Demande d’autorisation n° 924165)


Décision DR-2024-174 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les patients présentant des anomalies de développement et/ou un trouble du développement intellectuel, intitulée « GAnDI ». (Demande d’autorisation n° 924167)


Décision DR-2024-175 autorisant le GROUPEMENT DES HOPITAUX DE L'INSTITUT CATHOLIQUE DE LILLE à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les profils allergologiques des enfants atteints d’oesophagite à éosinophiles. (Demande d’autorisation n° 924120)


Décision DR-2024-176 autorisant la FONDATION ADOLPHE DE ROTHSCHILD à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur l’efficacité du glenzocimab pour les accidents vasculaires cérébraux ischémiques étendus éligibles à un traitement endovasculaire, nécessitant un accès aux données du SNIIRAM, PMSI et CépiDc, composantes du Système national des données de santé (SNDS) pour les années 2024 à 2030, intitulée « GALICE » (Demande d’autorisation n° 924164)


Décision DR-2024-179 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS, à mettre en oeuvre un traitement de données ayant pour finalité une étude du génome entier de patients ayant une amylose héréditaire à transthyrétine, intitulée « GWAS-AHTTR ». (Demande d’autorisation n° 924192)


Décision DR-2024-180 autorisant l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en oeuvre un traitement de données ayant pour finalité une étude portant sur les ondes lentes pendant le sommeil et l'éveil, intitulée « MemoAge ». (Demande d’autorisation n° 924190)


Décision DR-2024-181 autorisant la société SANOFI PASTEUR à mettre en oeuvre la modification d’un traitement de données ayant pour finalité une étude portant sur l’analyse de l’efficacité vaccinale entre les vaccins antigrippaux quadrivalents à haute dose et les vaccins antigrippaux quadrivalents à dose standard en France entre 2020 et 2023 chez les individus âgés de 65 ans et plus, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS) ainsi qu’aux données de la base Resid-EHPAD, pour les années 2015 à 2023, intitulée « DRIVEN ». (Demande d’autorisation n°922026v3)


Délibération n° 2023-134 du 7 décembre 2023 portant avis sur projet de décret modifiant le décret n° 2003-485 du 5 juin 2003 relatif au recensement de la population

N° de demande d’avis : 23012725 Thématiques : Institut national de la statistique et des études économiques, recensement national de la population Textes concernés : loi n° 2002-276 du 27 février 2002 relative à la démocratie de proximité ; loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques Fondement de la saisine : a) du 4° du I de l’article 8 de la loi du 6 janvier 1978 modifiée L’essentiel : 1. La CNIL a été saisie par l’Institut national de la statistique et des études économiques (INSEE) d’une demande d’avis concernant un projet de décret modifiant le décret n° 2003-485 du 5 juin 2003 relatif au recensement de la population. Les évolutions portent, en particulier, sur l’ajout à l’enquête annuelle de recensement (EAR) de deux questions relatives au lieu de naissance des parents (département ou pays) et à l’indicateur global de limitation d’activité (dit "Gali"). Le projet de texte prévoit également de nouvelles modalités de diffusion des informations et des produits statistiques réalisés à partir de ces informations ; 2. L’introduction de l’indicateur "Gali" aux enquêtes annuelles de recensement est considérée comme légitime sous réserve, d’une part, des restrictions de diffusion prévues par l’INSEE et, d’autre part, d’une attention particulière apportée aux futures interconnexions et rapprochements de données à caractère personnel ; 3. Dans la mesure où l’INSEE a mis en œuvre toutes les précautions méthodologiques nécessaires, où l’acceptabilité d’une telle question a été testée auprès des répondants, et où son existence permettra de mesurer et d’étudier certaines discriminations à des échelles géographiques et temporelles inédites, l’introduction d’une question relative au lieu de naissance des parents aux enquêtes annuelles de recensement est considérée légitime. ___________________ La Commission nationale de l'informatique et des libertés, Saisie par l’Institut national de la statistique et des études économiques d’une demande d’avis concernant un projet de décret modifiant le décret n° 2003-485 du 5 juin 2003 relatif au recensement de la population ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés"), Après avoir entendu le rapport de M. Claude Castelluccia, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I - La saisine A. Le contexte Au titre du III de l’article 156 de la loi du 27 février 2002 relative à la démocratie de proximité, l’Institut national de la statistique et des études économiques (INSEE) met en œuvre les enquêtes annuelles de recensement (EAR) qui, par le cumul des résultats des cinq années les plus récentes, permet le recensement de la population. Ces enquêtes ont pour objectifs, d’une part, le dénombrement et la description des caractéristiques démographiques et sociales de la population française et, d’autre part, le dénombrement et la description des caractéristiques des logements. En pratique, ce sont les communes ou les établissements publics de coopération intercommunale qui ont la charge de mettre en œuvre les EAR auprès des administrés, sous la direction et le contrôle des agents de l’INSEE. La gouvernance de la statistique publique vise notamment, par la concertation entre les producteurs et les utilisateurs de statistiques, à faire évoluer les enquêtes afin de tenir compte des besoins et des phénomènes socio-économiques. Dans cette optique, le Conseil national de l’information statistique (Cnis) a publié en août 2012 un rapport "Évolution du questionnaire du recensement de la population" dans lequel figurent plusieurs propositions. B. L’objet de la saisine La CNIL a été saisie pour avis par l’INSEE, sur le fondement du a) du 4° du I de l’article 8 de la loi du 6 janvier 1978 modifiée, d’un projet de décret modifiant le décret n° 2003-485 du 5 juin 2003 relatif au recensement de la population. Le projet de décret : met les textes en conformité avec la loi du 6 janvier 1978 modifiée, en particulier concernant la mise à jour des bases légales ; ajoute au traitement deux données relatives au lieu de naissance des parents (département ou pays) et à l’indicateur global de limitation d’activité (dit "Gali"), ce dernier faisant référence à un empêchement dans les activités habituelles du répondant du fait d’un problème de santé ; clarifie les termes utilisés relatifs aux immeubles d’habitation ; contient plusieurs dispositions visant la lisibilité et l’harmonisation du droit en vigueur eu égard à la diversité des textes encadrant le recensement et à ses pratiques actuelles. En application de l’article 62 de la loi du 6 janvier 1978 modifiée, dans la mesure où ce traitement est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes physiques, l’INSEE a réalisé une analyse d’impact relative à la protection des données à caractère personnel (AIPD) qui a été adressée à la CNIL avec la demande d’avis. II - L’avis de la CNIL A. Sur les données à caractère personnel collectées Le troisième alinéa de l’article 8 du projet de décret prévoit d’ajouter à la liste des données traitées durant la phase de collecte des informations le lieu de naissance des parents et l’indicateur global de limitation d’activité, dit "Gali". Les réponses aux questions afférentes dans le questionnaire annuel de recensement seront facultatives. L’INSEE précise que l’ajout de ces éléments est motivé, en partie, par les insuffisances des enquêtes épisodiques recouvrant ce type de données, telles que les enquêtes "Handicap-Santé" et "Trajectoires et Origines". Les rééditions de ce type d’enquêtes seraient coûteuses et complexes, tout en restant lacunaires puisqu’elles ne couvriraient pas des échelons géographiques fins et rarement les collectivités d’outre-mer. En premier lieu, l’indicateur "Gali" dénombre les personnes déclarant être limitées depuis au moins six mois, à cause d’un problème de santé, dans leurs activités habituelles. Le questionnaire annuel de recensement comprendrait un commentaire indiquant qu’il convient de ne pas tenir compte des problèmes de santé passagers ou temporaires et proposerait trois réponses : "Oui fortement limité(e)", "Oui limité(e) mais pas fortement", "Non". L’INSEE précise que l’introduction d’une question renseignant sur l’indicateur "Gali" serait utile aux politiques publiques, en particulier locales, en offrant une information territorialisée sur les personnes concernées, par classe d’âge et par sexe. L’INSEE considère que les données collectées à l’occasion de cette question ne constituent pas des données de santé au sens des articles 6 de la loi du 6 janvier 1978 modifiée et 9 du RGPD. La jurisprudence du Conseil d’Etat tend à considérer que la seule information selon laquelle une personne est affectée d’handicap, sans précision sur sa nature et son importance, ne serait pas une donnée de santé au sens du RGPD (CE, 10ème et 9ème sous-sections réunies, 19 juillet 2010, n°317182, Rec. ; CE, 10e - 9e sous-sections réunies, 28 mars 2014, n°361042 ; CE, 10ème - 9ème chambres réunies, 10 juin 2021, n°431875, Rec.). Ainsi, dans la mesure où l’indicateur "Gali" ne révèlerait pas nécessairement un handicap et ne donnerait directement aucune information sur la nature ou la gravité d’un handicap éventuel, il pourrait être considéré qu’il n’est pas une donnée de santé au regard de la jurisprudence précitée. En tout état de cause, la CNIL portera une attention particulière, d’une part, à ce que la diffusion de cette information exclut toute réidentification d’individus ou stigmatisation de groupes de personnes vulnérables et, d’autre part, aux futures interconnexions et rapprochements de données qui pourraient entraîner une requalification des données recueillies au titre de l’indicateur "Gali" en données sensibles au sens du RGPD. Dans ces conditions, la CNIL considère le traitement de cette nouvelle donnée adéquat et pertinent au regard des finalités poursuivies. En second lieu, la collecte du lieu de naissance des parents permettrait d’améliorer la connaissance territorialisée des inégalités et des discriminations, et ce au-delà de la première génération, et de documenter la mobilité géographique entre les générations. L’INSEE indique que le recueil du lieu de naissance de chacun des parents permettra, par croisements avec d’autres variables (diplôme, catégorie sociale, âge, etc.) de mesurer et d’étudier les discriminations, notamment en raison de l’origine géographique, à une échelle inédite. L’INSEE souligne l’apport potentiel de cette innovation aux politiques de cohésion sociale, aux niveaux national et local. L’INSEE précise que la modification envisagée aura pour effet d’étendre cette demande, non plus seulement aux personnes résidant toujours au domicile de leurs parents (très majoritairement des mineurs), mais à toute personne. L’INSEE précise également que le lieu de naissance des parents sera collecté au niveau du département en cas de naissance en France et au niveau du pays en cas de naissance à l’étranger. Un test du questionnaire ainsi modifié a été conduit sur un échantillon de 1 800 fiches adresses, pour près de 1 200 personnes ayant effectivement répondu. L’INSEE indique que ce test a révélé, d’une part, que seulement 4 à 5% des personnes interrogées trouvaient ces questions trop personnelles, principalement parce qu’elles ne connaissaient pas le lieu de naissance d’au moins un de leurs parents et, d’autre part, que les réponses à ces nouvelles questions étaient globalement cohérentes eu égard aux réponses collectées dans d’autres enquêtes. Dans la mesure où le lieu de naissance des parents est une donnée objective dont le traitement est nécessaire à la conduite d'études sur la mesure de la diversité des origines des personnes, de la discrimination et de l'intégration et n’a pas pour objet, même indirectement, de classifier les personnes interrogées en fonction soit de leur prétendue origine ethnique ou raciale déclarée, soit d’un référentiel ethno-racial, la CNIL estime que l’introduction du lieu de naissance des parents au questionnaire annuel du recensement ne méconnaît pas les principes rappelés par le Conseil constitutionnel (CC, 15 novembre 2007, Loi relative à la maîtrise de l'immigration, à l'intégration et à l'asile, n° 2007-557 DC). La CNIL considère que l’introduction d’une question relative au lieu de naissance des parents dans le cadre du recensement de la population est possible dès lors que toutes les précautions méthodologiques ont été prises pour garantir la protection des données et que l’acceptabilité de ces questions a été préalablement testée. La CNIL prend acte de ce que l’ajout d’une telle question : permettrait de mesurer et d’étudier certaines formes de discrimination, notamment en raison de l’origine géographique, à des échelles géographiques et temporelles inédites ; a préalablement fait l’objet d’un questionnaire test permettant d’en mesurer l’acceptabilité ; fait l’objet de plusieurs précautions méthodologiques parmi lesquelles figurent le caractère facultatif de cette question au sein de l’enquête ainsi que les restrictions de diffusion des résultats statistiques produits. Dans ces conditions, la CNIL considère que les produits statistiques découlant des réponses à une telle question seront de nature à nourrir le débat public et à éclairer les politiques publiques sur les discriminations subies par des personnes ou des groupes vulnérables. En ce sens, elle considère le traitement de cette nouvelle donnée adéquat et pertinent au regard des finalités poursuivies. B. Sur les rapprochements de données Les troisième et dernier alinéas de l’article 10 modifient la formulation de la disposition permettant à l’INSEE, dans le cadre du contrôle des données recueillies, d’utiliser les informations figurant dans les fichiers transmis par l’administration fiscale. L’INSEE précise que cette évolution prend en compte la suppression de la taxe d’habitation sur les résidences principales, qui a pour effet de rendre le fichier afférent inutilisable aux fins de redressement des données collectées dans le cadre des enquêtes de recensement de la population. L’INSEE s’appuie désormais sur les fichiers démographiques sur les logements et les individus (traitement "Fidéli"), ce dernier étant abondé par des données d’origine fiscale. La CNIL considère cette modification légitime. C. Sur les modalités de conservation des données Le troisième alinéa de l’article 8 du projet de décret supprime la disposition prévoyant que les nom et prénoms ne soient pas "enregistrés dans le fichier de saisie informatique utilisé pour les besoins du recensement". L’INSEE précise que cette disposition ancienne n’est plus en adéquation avec les pratiques actuelles du recensement pour lequel la collecte et l’exploitation des nom et prénoms des répondants sont indispensables. L’INSEE utilise en particulier les nom et prénoms pour produire les codes statistiques non signifiants ainsi que pour certaines étapes de redressement des données collectées, en particulier pour mieux estimer le nombre de couples de même sexe. Cette modification est donc nécessaire à la cohérence juridique des textes encadrant le recensement de la population et participe à mettre à jour le décret avec les pratiques de recensement actuelles. La CNIL considère cette modification légitime. D. Sur la clarification de la terminologie employée Plusieurs dispositions du projet de décret visent à clarifier la terminologie employée en remplaçant le terme "adresse" par celui d’"immeuble". En effet, l’INSEE indique que la terminologie en vigueur constitue à la fois une imprécision juridique eu égard aux dispositions du IX de l’article 156 de la loi du 27 février 2002 relative à la démocratie de proximité qui fait référence à "la localisation des immeubles" et non aux "adresses", mais aussi alimente des confusions avec les informations demandées aux communes dans le cadre de la mise en place de la base "adresse nationale", base de données de référence pour les adresses en France. La CNIL considère que ces modifications légitimes. Les autres dispositions du projet de décret n’appellent pas d’observations de la part de la CNIL. La présidente, M.-L. Denis


Délibération n° 2023-133 du 7 décembre 2023 portant avis sur un projet d’arrêté portant modification de plusieurs arrêtés relatifs au recensement de la population

N° de demande d’avis : 23012725 Thématiques : Institut national de la statistique et des études économiques, recensement national de la population Textes concernés : loi n° 2002-276 du 27 février 2002 relative à la démocratie de proximité ; loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques ; décret n° 2003-485 du 5 juin 2003 modifié relatif au recensement de la population Fondement de la saisine : a) du 4° du I de l’article 8 de la loi du 6 janvier 1978 modifiée ; e) du 2° du I de l’article 8 de la loi du 6 janvier 1978 modifiée ; décret n°2003¬485 du 5 juin 2003 relatif au recensement de la population, en particulier ses articles 33 et 34 L’essentiel : 1. La CNIL a été saisie par l’Institut national de la statistique et des études économiques (INSEE) d’une demande d’avis concernant un projet d’arrêté portant modification de plusieurs arrêtés relatifs au recensement de la population. Les évolutions portent, en particulier, sur l’ajout à l’enquête annuelle de recensement (EAR) de deux questions relatives au lieu de naissance des parents (département ou pays) et à l’indicateur global de limitation d’activité (dit "Gali"). Le projet de texte prévoit également de nouvelles modalités de diffusion des informations et des produits statistiques réalisés à partir de ces informations. 2. L’introduction de l’indicateur "Gali" aux enquêtes annuelles de recensement est considérée comme légitime sous réserve, d’une part, des restrictions de diffusion prévues par l’INSEE et, d’autre part, d’une attention particulière apportée aux futures interconnexions et rapprochements de données à caractère personnel. 3. Dans la mesure où l’INSEE a mis en œuvre toutes les précautions méthodologiques nécessaires, où l’acceptabilité d’une telle question a été testée auprès des répondants, et où son existence permettra de mesurer et d’étudier certaines discriminations à des échelles géographiques et temporelles inédites, l’introduction d’une question relative au lieu de naissance des parents aux enquêtes annuelles de recensement est considérée légitime. 4. L’INSEE portera une vigilance particulière à la diffusion des informations relatives au lieu de naissance des parents, à l’indicateur "Gali" ainsi qu’à l’appartenance à un couple de même sexe. Des modalités de diffusion restreintes sont prévues par le projet de texte et accueillies favorablement par la CNIL. ___________________  La Commission nationale de l'informatique et des libertés, Saisie par l’Institut national de la statistique et des études économiques d’une demande d’avis concernant un projet d’arrêté portant modification de plusieurs arrêtés relatifs au recensement de la population ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés"), Après avoir entendu le rapport de M. Claude Castelluccia, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I - La saisine A. Le contexte Au titre du III de l’article 156 de la loi du 27 février 2002 relative à la démocratie de proximité, l’Institut national de la statistique et des études économiques (INSEE) met en œuvre les enquêtes annuelles de recensement (EAR) qui, par le cumul des résultats des cinq années les plus récentes, permet le recensement de la population. Ces enquêtes ont pour objectifs, d’une part, le dénombrement et la description des caractéristiques démographiques et sociales de la population française et, d’autre part, le dénombrement et la description des caractéristiques des logements. En pratique, ce sont les communes ou les établissements publics de coopération intercommunale qui ont la charge de mettre en œuvre les EAR auprès des administrés, sous la direction et le contrôle des agents de l’INSEE. La gouvernance de la statistique publique vise notamment, par la concertation entre les producteurs et les utilisateurs de statistiques, à faire évoluer les enquêtes afin de tenir compte des besoins et des phénomènes socio-économiques. Dans cette optique, le Conseil national de l’information statistique (Cnis) a publié en août 2012 le rapport "Évolution du questionnaire du recensement de la population" dans lequel figurent plusieurs propositions. B. L’objet de la saisine La CNIL a été saisie par l’INSEE pour avis, sur les fondements du e) du 2° et du a) du 4° du I de l’article 8 de la loi du 6 janvier 1978 modifiée, d’un projet d’arrêté portant modification de plusieurs arrêtés relatifs au recensement de la population. Le projet d’arrêté : met les textes en conformité avec la loi du 6 janvier 1978 modifiée, en particulier concernant la mise à jour des bases légales ; ajoute au traitement deux données relatives au lieu de naissance des parents (département ou pays) et à l’indicateur global de limitation d’activité (global activity limitation indicator, dit "Gali"), ce dernier faisant référence à un empêchement dans les activités habituelles du répondant du fait d’un problème de santé ; modifie les modalités de diffusion des informations recueillies et des produits statistiques réalisés à partir de ces informations ; aménage une diffusion des résultats du recensement de la population "aux carreaux", c’est-à-dire selon un quadrillage géographique ; clarifie les termes utilisés relatifs aux immeubles d’habitation ; contient plusieurs dispositions visant la lisibilité et l’harmonisation du droit en vigueur eu égard à la diversité des textes encadrant le recensement et à ses pratiques actuelles. En application de l’article 62 de la loi du 6 janvier 1978 modifiée, dans la mesure où ce traitement est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes physiques, l’INSEE a réalisé une analyse d’impact relative à la protection des données à caractère personnel (AIPD) qui a été adressée à la CNIL avec la demande d’avis. II - L’avis de la CNIL A. Sur les données à caractère personnel collectées Le 2 de l’article 1er du projet d’arrêté prévoit d’ajouter à la liste des données collectées auprès des personnes résidant dans les communautés, d’une part, le lieu de naissance des parents et, d’autre part, l’indicateur global de limitation d’activité, dit "Gali". Une communauté, telle que définie au V de l’article R. 2151-1 du code général des collectivités territoriales, est un ensemble de locaux d'habitation relevant d'une même autorité gestionnaire et dont les habitants partagent à titre habituel un mode de vie commun (maisons de retraite, casernes, camps militaires, établissements pénitentiaires, etc.). La population de la communauté comprend les personnes qui résident dans la communauté, à l'exception de celles résidant dans des logements de fonction. Les réponses aux questions afférentes dans le questionnaire annuel de recensement seront facultatives. Le deuxième alinéa du 1 de l’article 4 prévoit le traitement de ces deux nouvelles données lors des phases de saisie et d’exploitation des données ainsi que de contrôle de la cohérence des réponses aux enquêtes de recensement de la population. L’INSEE précise que l’ajout de ces éléments est motivé, en partie, par les insuffisances des enquêtes épisodiques recouvrant ce type de données, telles que les enquêtes "Handicap-Santé" et "Trajectoires et Origines". Les rééditions de ce type d’enquêtes seraient coûteuses et complexes, tout en restant lacunaires puisqu’elles ne couvriraient pas des échelons géographiques fins et rarement les collectivités d’outre-mer. En premier lieu, l’indicateur "Gali" dénombre les personnes déclarant être limitées depuis au moins six mois, à cause d’un problème de santé, dans leurs activités habituelles. Le questionnaire annuel de recensement comprendrait un commentaire indiquant qu’il convient de ne pas tenir compte des problèmes de santé passagers ou temporaires et proposerait trois réponses : "Oui fortement limité(e)", "Oui limité(e) mais pas fortement", "Non". L’INSEE précise que l’introduction d’une question renseignant sur l’indicateur "Gali" serait utile aux politiques publiques, en particulier locales, en offrant une information territorialisée sur les personnes concernées, par classe d’âge et par sexe. L’INSEE considère que les données collectées à l’occasion de cette question ne constituent pas des données de santé au sens des articles 6 de la loi du 6 janvier 1978 modifiée et 9 du RGPD. La jurisprudence du Conseil d’Etat tend à considérer que la seule information selon laquelle une personne est affectée d’handicap, sans précision sur sa nature et son importance, ne serait pas une donnée de santé au sens du RGPD (CE, 10ème et 9ème sous-sections réunies, 19 juillet 2010, n°317182, Rec. ; CE, 10e - 9e sous-sections réunies, 28 mars 2014, n°361042 ; CE, 10ème - 9ème chambres réunies, 10 juin 2021, n°431875, Rec.). Ainsi, dans la mesure où l’indicateur "Gali" ne révèlerait pas nécessairement un handicap et ne donnerait directement aucune information sur la nature ou la gravité d’un handicap éventuel, il pourrait être considéré qu’il n’est pas une donnée de santé au regard de la jurisprudence précitée. En tout état de cause, la CNIL portera une attention particulière, d’une part, à ce que la diffusion de cette information exclut toute réidentification d’individus ou stigmatisation de groupes de personnes vulnérables et, d’autre part, aux futures interconnexions et rapprochements de données qui pourraient entraîner une requalification des données recueillies au titre de l’indicateur "Gali" en données sensibles au sens du RGPD. Dans ces conditions, la CNIL considère le traitement de cette nouvelle donnée adéquat et pertinent au regard des finalités poursuivies. En second lieu, la collecte du lieu de naissance des parents permettrait d’améliorer la connaissance territorialisée des inégalités et des discriminations, au-delà de la première génération, et de documenter la mobilité géographique entre les générations. L’INSEE indique que le recueil du lieu de naissance des parents permettra, par croisements avec d’autres variables (diplôme, catégorie sociale, âge, etc.) de mesurer et d’étudier les discriminations, notamment en raison de l’origine géographique, à une échelle inédite. L’INSEE souligne l’apport potentiel de cette innovation aux politiques de cohésion sociale, aux niveaux national et local. L’INSEE précise que la modification envisagée aura pour effet d’étendre cette demande, non plus seulement aux personnes résidant toujours au domicile de leurs parents (très majoritairement des mineurs), mais à toute personne. L’INSEE précise également que le lieu de naissance des parents sera collecté au niveau du département en cas de naissance en France et au niveau du pays en cas de naissance à l’étranger. Un test du questionnaire ainsi modifié a été conduit sur un échantillon de 1 800 fiches adresses, pour près de 1 200 personnes ayant effectivement répondu. L’INSEE indique que ce test a révélé, d’une part, que seulement 4 à 5% des personnes interrogées trouvaient ces questions trop personnelles, principalement parce qu’elles ne connaissaient pas le lieu de naissance d’au moins un de leurs parents et, d’autre part, que les réponses à ces nouvelles questions étaient globalement cohérentes avec les réponses collectées dans d’autres enquêtes. Dans la mesure où le lieu de naissance des parents est une donnée objective dont le traitement est nécessaire à la conduite d'études sur la mesure de la diversité des origines des personnes, de la discrimination et de l'intégration et n’a pas pour objet, même indirectement, de classifier les personnes interrogées en fonction soit de leur prétendue origine ethnique ou raciale déclarée, soit d’un référentiel ethno-racial, la CNIL estime que l’introduction du lieu de naissance des parents au questionnaire annuel du recensement ne méconnaît pas les principes rappelés par le Conseil constitutionnel (CC, 15 novembre 2007, Loi relative à la maîtrise de l'immigration, à l'intégration et à l'asile, n° 2007-557 DC). L’introduction d’une question relative au lieu de naissance des parents dans le cadre du recensement de la population est possible dès lors que toutes les précautions méthodologiques ont été prises pour garantir la protection des données et que l’acceptabilité de cette question a été préalablement testée. La CNIL prend acte de ce que l’ajout d’une telle question : permettrait de mesurer et d’étudier certaines formes de discrimination, notamment en raison de l’origine géographique, à des échelles géographiques et temporelles inédites ; a préalablement fait l’objet d’un questionnaire test permettant d’en mesurer l’acceptabilité ; fait l’objet de plusieurs précautions méthodologiques parmi lesquelles figurent le caractère facultatif de cette question au sein de l’enquête ainsi que les restrictions de diffusion des résultats statistiques produits. Dans ces conditions, la CNIL considère que les produits statistiques découlant des réponses à une telle question seront de nature à nourrir le débat public et à éclairer les politiques publiques sur les discriminations subies par des personnes ou des groupes vulnérables. En ce sens, elle considère le traitement de cette nouvelle donnée adéquat et pertinent au regard des finalités poursuivies. B. Sur les modalités de diffusion des informations recueillies et des produits statistiques afférents Le 6 de l’article 3 du projet d’arrêté prévoit que la liste de tableaux statistiques et des cartes anonymes réalisés à partir des carreaux fixes découpant le territoire communal ou de leurs regroupements soit disponible auprès de l’INSEE. Ces tableaux et cartes seraient accessibles directement sur le site web de l’INSEE ou sur demande. Ils pourraient comporter le nombre d’habitants, le nombre de logements et le nombre de ménages pour chacun des carreaux. L’INSEE indique que cette modification vise à répondre au règlement d’exécution 2018/1799 de la Commission européenne du 21 novembre 2018. Afin de tenir compte du risque de réidentification pour les plus petites communes, l’INSEE précise que certaines contraintes d’anonymisation seront respectées. En particulier, l’INSEE propose de ne diffuser au niveau des carreaux que le nombre d’habitants, le nombre de logements et le nombre de ménages et d’appliquer pour les autres variables, pour les carreaux de moins de 11 ménages, des méthodes assurant le secret statistique (moyenne sur plusieurs carreaux etc.). Si la CNIL considère ces modifications légitimes, elle restera très attentive aux mécanismes d’anonymisation permettant de limiter le risque de réidentification. Le deuxième paragraphe du 8 de l’article 3 supprime la disposition restreignant la diffusion des informations relatives à la nationalité et aux migrations (pays de naissance et pays de résidence antérieure) et leurs croisements en fonction d’un seuil géographique minimal. Le paragraphe 3 du 8 de l’article 3 supprime la disposition prévoyant que la date d’arrivée en France ne puisse être diffusée qu’au niveau départemental. L’INSEE précise que ces restrictions à la diffusion de ces informations n’ont plus lieu d’être dans la mesure où il ne s’agirait pas de données sensibles au sens des articles 9 du RGPD et 6 de la loi du 6 janvier 1978 modifiée. L’INSEE indique que cette proposition permettra de répondre à une forte demande d’études approfondies sur les arrivées en France par pays d’origine. L’INSEE propose ne pas publier sur son site web le niveau le plus détaillé de ces informations mais de transmettre ces informations seulement sur demande individuelle. Si la CNIL accueille favorablement cette dernière proposition, elle estime que les garanties en termes de protection des données reposent en premier lieu sur les mécanismes d’anonymisation mis en œuvre. Elle demande donc à l’INSEE d’être particulièrement attentif à l’état de l’art en la matière. Sous cette réserve, la CNIL considère ces modifications légitimes. Le deuxième paragraphe du 8 de l’article 3 restreint la diffusion des informations relatives au pays de naissance des parents, à l’indicateur Gali et à l’appartenance à un couple de même sexe en fonction d’un seuil géographique minimal : commune de plus de 5 000 habitants ; regroupement d'au moins trois quartiers résultant du découpage de la commune en zones géographiques d'un seul tenant d'environ 2 000 habitants, mentionné à l'article 8 du décret du 22 mai 1998 portant création d'un traitement automatisé réalisé à l'occasion de la collecte et de la diffusion des résultats du recensement général de la population de 1999 ; à partir de 5 000 habitants, pour les arrondissements, zones d'emploi, aires urbaines, pour les unités urbaines ou leurs regroupements et les zones définies pour la politique de la ville. Les quatrième et dernier alinéas du 8 de l’article 3 prévoient que l’indicateur distinguant les lieux de naissance des parents en fonction des modalités "France, Union européenne, hors Union européenne" ne soit pas soumis à ces contraintes de diffusion. L’INSEE indique porter une vigilance particulière à la diffusion de ces informations qui peuvent être utilisées pour "approcher l’état de santé, l’origine ethnique et l’orientation sexuelle". A titre d’illustration, le lieu de naissance des parents, lorsqu’il s’agit d’un pays étranger, fera l’objet d’une diffusion par pays ou par groupe de pays en fonction du nombre de personnes concernées, dans des conditions identiques à l’enquête "Immigrés et descendants d’immigrés" (édition 2023). La CNIL accueille favorablement ces garanties de diffusion. Cependant, ces dernières ne peuvent pas toujours être considérées comme suffisantes et devront éventuellement s’accompagner d’autres dispositifs d’anonymisation correspondant à l’état de l’art en la matière. En conséquence, elle appelle l’INSEE à la plus grande vigilance quant à l’anonymisation de ces données lors de la diffusion et accueille favorablement l’engagement du ministère à construire et à mettre en œuvre un plan d’actions, intégré à l’AIPD, recouvrant les enjeux d’appariements et de confidentialité lors de leur diffusion. C. Sur les rapprochements de données Le deuxième alinéa du 1 de l’article 4 prévoit le traitement, pour les phases de saisie et d’exploitation des données collectées dans le cadre du recensement, et de contrôle de la cohérence des réponses aux enquêtes, d’un code statistique non signifiant (CSNS), tel que prévu par le décret du 28 décembre 2016 portant simplification des formalités préalables relatives à des traitements à finalité statistique ou de recherche. La CNIL rappelle qu’elle a pris position sur ce décret, et plus précisément sur les conditions de sécurité d’une telle solution technique (CNIL, SP, 1er décembre 2016, n° 2016-372, publié). L’INSEE précise que l’ajout du CSNS au traitement permettra l’appariement des données du recensement à des fins de statistique publique en son sein. A titre d’illustration, l’INSEE indique que les projets d’appariements concerneront notamment les données du répertoire statistique d’individus et des logements (Résil) afin de mesurer la couverture de ce répertoire ou encore les données contenues dans certains traitements fiscaux, notamment afin d’améliorer la qualité du contrôle de la collecte. L’INSEE indique que le CSNS répond à l’une des orientations de moyen terme 2019-2023 formulée par le Cnis visant à "développer les appariements entre sources de données afin d'enrichir l'analyse des liens entre différents thèmes" (n°7). La CNIL appelle l’INSEE à faire preuve d’une rigueur particulière dans l’analyse des risques de ces futurs appariements. En effet, ces derniers pourraient faire émerger de nouveaux risques, par nature imprévisibles, et ce compte tenu de l’introduction du lieu de naissance des parents ainsi que de l’indicateur "Gali" aux enquêtes annuelles de recensement. Sous ces conditions, la CNIL considère ces modifications légitimes. D. Sur la conservation des données à caractère personnel Le quatrième alinéa du 2 de l’article 4 repousse d’un an la destruction des nom et prénoms des personnes ne faisant pas partie de l'échantillon démographique, sous réserve des dispositions des protocoles d’accords entre le directeur général de l’INSEE et le directeur général des Archives de France. Cette destruction était initialement prévue au plus tard avant le 31 décembre de l'année de la collecte. L’INSEE précise que cette modification permet la correction, sur l’année suivant la collecte, des déclarations de sexe des répondants dans le questionnaire annuel de recensement, celles-ci faisant l’objet d’erreurs récurrentes. Cette correction permet ensuite une meilleure estimation des couples de même sexe. La CNIL considère cette modification légitime. E. Sur la clarification de la terminologie employée Le deuxième alinéa du 2, le 3, le 4 de l’article 2 ainsi que l’article 5 du projet d’arrêté visent à clarifier la terminologie employée en remplaçant le terme "adresse" par celui d’"immeuble". En effet, l’INSEE indique que la terminologie en vigueur constitue à la fois une imprécision juridique eu égard aux dispositions du IX de l’article 156 de la loi du 27 février 2002 relative à la démocratie de proximité qui fait référence à "la localisation des immeubles" et non aux "adresses", mais aussi alimente des confusions avec les informations demandées aux communes dans le cadre de la mise en place de la base "adresse nationale", base de données de référence pour les adresses en France. La CNIL considère que ces modifications légitimes. F. Sur la mise à jour des arrêtés eu égard aux principes de la protection des données Les 3 et 4 de l’article 1er ainsi que les 3 et 4 de l’article 4 du projet d’arrêté mettent à jour les bases légales relatives aux droits des personnes concernées et précisent les lieux dans lesquels s’exercent ces droits. L’INSEE précise également qu’à partir de l’enquête annuelle du recensement de 2025, l’ergonomie du formulaire papier sera améliorée et le niveau d’explications présent sur le questionnaire internet réhaussé. La CNIL accueille favorablement ces modifications. Le 1 de l’article 2 du projet d’arrêté prévoit que la CNIL ne sera plus informée de la date de début ou de la date de fin de la collecte des données à caractère personnel dans une commune. L’INSEE précise que la disposition en vigueur est, en pratique, très difficile à mettre en œuvre et n’a été que rarement appliquée. L’INSEE souligne néanmoins la possibilité qui lui est offerte de décaler d’un an la collecte en cas d’évènements exceptionnelles, tels que des catastrophes naturelles. Le VI de l’article 156 de la loi du 27 février 2002 relative à la démocratie de proximité dispose que les dates des enquêtes de recensement peuvent être différentes selon les communes. L’article 24 du décret du 5 juin 2003 relatif au recensement de la population prévoit qu’un arrêté du ministère chargé de l’économie fixe chaque année l’échéancier de la préparation et de la réalisation des enquêtes de recensement. Le III de l’article 1er de l’arrêté du 5 août 2003 portant application des articles 23 et 24 du décret du 5 juin 2003 relatif au recensement de la population prévoit que, si les circonstances l’exigent, le directeur général de l’INSEE peut modifier les dates de début et de fin de collecte dans une commune. L’arrêté modifié étant antérieur à l’entrée en vigueur du RGPD, la CNIL considère qu’en application des articles 57 de la loi du 6 janvier 1978 modifiée et 24 du RGPD, il revient à l’INSEE de mettre en œuvre des mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément aux principes de la protection des données. En conséquence, la CNIL estime qu’une telle transmission n’est plus nécessaire. Les autres dispositions du projet d’arrêté n’appellent pas d’observations de la part de la CNIL. La présidente, M.-L. Denis


Délibération n° 2024-023 du 14 mars 2024 autorisant le consortium AGORIA SANTE composé des sociétés Docaposte, AstraZeneca, Impact Healthcare et Takeda à modifier un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "Plateforme Agoria santé"
(Demande d’autorisation n° 2225091v2)

La Commission nationale de l'informatique et des libertés, Saisie par les sociétés Docaposte, AstraZeneca, Impact Healthcare et Takeda d’une demande de modification de l’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé "Plateforme Agoria santé" ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44 3° et 66 ; Vu la délibération no 2022-063 du 23 mai 2022 autorisant le consortium AGORIA SANTE composé des sociétés Docaposte, AstraZeneca et Impact Healthcare à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "Plateforme Agoria santé" ; Vu la délibération n° 2022-104 du 20 octobre 2022 autorisant le consortium AGORIA SANTE composé des sociétés Docaposte, AstraZeneca, Impact Healthcare et Takeda à modifier un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "Plateforme Agoria santé" ; Vu le dossier et ses compléments ; Sur la proposition de Mme Marie Zins, commissaire et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement, Formule les observations suivantes : Modification substantielle du traitement de données Les sociétés Takeda France et AstraZeneca, responsables conjoints du traitement, alimenteront l’entrepôt par des données à caractère personnel issues : de dossiers médicaux de patients pris en charge dans le cadre de programmes d’accès précoces ou compassionnels ; de recherches impliquant ou n’impliquant pas la personne humaine ; du Système national des données de santé (SNDS). A titre liminaire, la CNIL rappelle que conformément à la délibération n° 2022-063 du 23 mai 2022, l’identifiant patient présent dans les données sources sera remplacé par un nouvel identifiant, qui devra être généré selon les recommandations de la CNIL, lors de leur intégration dans l’entrepôt. S’agissant des données provenant d’ "accès précoces" et d’"accès compassionnels" : Certaines données à caractère personnel recueillies dans le cadre de protocoles d’utilisation thérapeutique et de recueil de données (PUT-RD) d’accès précoce ou de protocoles d’utilisation thérapeutique et de suivi des patients (PUT-SP) d’accès compassionnel suivants alimenteront la plateforme AGORIA : PUT-RD de données issues du programme d’accès précoce Lynparza (Olaparib) 100 et 150 mg dans l’indication de cancer de la prostate métastatique ("Propel") ; PUT-RD de données issues du programme d’accès précoce Imfinzi (Durvalumab) 50 mg/ml dans l’indication de cancer des voies biliaires ("Topaz") ; PUT-RD de données issues du programme d’accès précoce Imfinzi (Durvalumab) 50 mg/ml et Imjudo (Tremelimumab) 20 mg/ml dans l’indication de carcinome hépatocellulaire ("Himalaya") ; PUT-SP de données issues du programme compassionnel AZD-3152 dans l’indication en prophylaxie pré-exposition de la COVID-19 et sous réserve de la décision rendue par la Haute autorité de santé, PUT-RD du programme d’accès précoce AZD 3152 ("AZD-3152") ; PUT-RD et PUT-SP de données issues des programmes d’accès précoce et compassionnel Livtencity (maribavir 200mg) dans l’indication de l’infection et/ou de la maladie à cytomégalovirus (CMV) réfractaire ("Maribavir"). Dans chacune de ces bases, seront collectées : des données administratives d’identification (numéro identifiant patient, âge ou mois et année de naissance, poids, taille, sexe) ; des données de santé ; des données relatives aux conditions d’utilisation du médicament et à sa tolérance. Ces traitements ont été réalisés dans le cadre d’une déclaration de conformité aux référentiels RS-003 et RS-004 de la CNIL. S’agissant des données provenant de recherches, d’études ou d’évaluation : La plateforme AGORIA sera enrichie à partir des données à caractère personnel provenant des recherches, études ou évaluations suivantes : "Arsenal" et "Prowess", dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-003 ; "Oval-1", "Liver-R" et "Naos", dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-004. S’agissant des traitements de données du SNDS : Certaines données du SNDS seront traitées, d’une part, aux fins de mise en œuvre d’un suivi passif des patients dont les données sont issues des bases susmentionnées et d’autre part, en vue de la constitution de cohortes témoins. Sur l’appariement des données issues des dix bases de données susmentionnées avec celles contenues dans le SNDS : Les données du SNDS qui seront appariées avec ces bases sources de la "plateforme Agoria Santé" proviendront : du Système national d’information inter-régimes de l’Assurance maladie (SNIIRAM) ; du Programme de médicalisation des systèmes d’information (PMSI) ; du Centre d’épidémiologie sur les causes médicales de décès (CépiDC) ; de la base de données relative au dépistage des cas de covid-19, dénommée "SI-DEP" ; de la base de données relative aux vaccinations contre la covid-19, dénommée "Vaccin-covid". Les données du SNIIRAM, du PMSI et du CépiDc des années 2017 à 2030 et des bases de données "SI-DEP" et "Vaccin-covid" des années 2019 à 2030 mises à dispositions par la Caisse nationale de l’assurance maladie (CNAM) alimenteront la "plateforme Agoria Santé" aux fins de mise en œuvre du suivi passif des personnes concernées. Les responsables conjoints de traitement ont transmis, à l’appui de leur demande, plusieurs expressions de besoins précisant, pour chaque base de données, les données du SNDS ayant vocation à alimenter la "plateforme Agoria santé". L’appariement sera réalisé de manière probabiliste et itérative à l’aide de variables communes (par exemple, l’année de naissance, le sexe, la date de soins, le code FINESS du lieu de prise en charge). Seules les variables communes d’appariement des bases sources seront transmises à la CNAM en vue de l’extraction des données du SNDS. Un nouveau numéro d’identification pseudonymisé est généré par la CNAM pour chaque personne dont les données sont extraites du SNDS. Afin d’assurer la cohérence des extractions récurrentes, une table de correspondance avec les bases sources est créée et conservée par la CNAM. S’agissant de la constitution de cohortes témoins à partir des données du SNDS : Des cohortes témoins seront constituées à partir des données du SNDS afin d’être réutilisées en vue de la réalisation de recherches, d’études ou d’évaluations dans le domaine de la santé (études comparatives et études en vie réelle). À cet égard, la CNIL demande que, conformément à l’avis du comité éthique et scientifique de la "plateforme Agoria Santé" les cohortes témoins soient utilisées, dans un premier temps, uniquement dans le cadre d’études comparatives avec les données sources et seulement, dans un second temps, réutilisées dans le cadre d’études en vie réelle. En l’absence de conformité à une méthodologie de référence, ces dernières nécessiteront la réalisation de demandes d’autorisation auprès de la CNIL qui se prononcera après avis du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES). Dans le cadre de la constitution de ces cohortes témoins, les données proviendront, sous réserve qu’elles soient diffusables par la CNAM : pour la cohorte témoin "Maribavir" : du SNIIRAM : 2017-2029 du PMSI : 2017-2029 du CépiDC : 2021-2029 pour la cohorte témoin "AZD-3152" : du SNIIRAM : 2018-2030 du PMSI : 2018-2030 du CépiDC : 2021-2030 de la base SI-DEP : 2020-2030 de la base Vaccin-covid : 2020-2030 Les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD. Sur la durée de conservation Les données du SNDS sont conservées au sein de la "plateforme Agoria Santé" pendant quatre ans à compter de la première mise à disposition des données. Sur l’information et les modalités d’exercice des droits S’agissant des personnes dont les données proviennent des PUT-RD et PUT-SP de données issues des programmes d’accès précoce et compassionnel ("Propel", "Topaz", "Himalaya", "AZ-3152" et "Maribavir") et des études "Arsenal", "Prowess" et "Liver-r" : Elles ont été ou seront informées individuellement du versement des données au sein de la "plateforme Agoria Santé" par la diffusion d’une note d’information comportant l’ensemble des mentions prévues par le RGPD. S’agissant des personnes dont les données proviennent de l’étude "Naos", placée sous la responsabilité de la société AstraZeneca : Lors de leur inclusion dans l’étude, elles ont reçu une note d’information individuelle prévoyant un dispositif spécifique d’information auquel elles peuvent se reporter préalablement à la mise en œuvre de chaque nouveau traitement de données. Une note d’information relative au versement des données dans l’entrepôt "plateforme Agoria Santé" comportant l’ensemble des mentions du RGPD sera diffusée sur ce site web. S’agissant des personnes dont les données proviennent de l’étude "Oval-1" ou du SNDS exclusivement : En application de l'article 69 de la loi "informatique et libertés" et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur les sites web des apporteurs de données, responsables conjoints du traitement, ainsi que sur celui du consortium, d’une information relative au versement des données au sein de la "plateforme Agoria Santé" comportant l’ensemble des mentions prévues par le RGPD. Observations complémentaires La CNIL demande qu’un bilan relatif aux recherches, études et évaluations dans le domaine de la santé mises en œuvre à partir des données de l’entrepôt lui soit adressé tous les deux ans. Il devra comporter : le nombre d'études mises en œuvre, leurs finalités, les composantes du SNDS et la profondeur historique sollicitées ; le nombre moyen et médian de personnes concernées par ces études ; la durée d'accès ou de conservation moyenne et médiane des données sollicitée ; les modalités d’information des personnes concernées ; le nombre de publications scientifiques découlant des recherche, études et évaluations réalisées ; les bénéfices, apports scientifiques observés et/ou mesurés. Ce bilan devra également faire état des avis préalables délivrés par le comité éthique et scientifique de l’entrepôt. Les autres conditions de mise en œuvre de la "plateforme Agoria santé" restent inchangées. Autorise, conformément à la présente délibération, le consortium AGORIA SANTE composé des sociétés Docaposte, AstraZeneca, Impact Healthcare et Takeda à mettre en œuvre le traitement mentionné ci-dessus. La présidente M.-L. Denis


Délibération n°2024-022 du 14 mars 2024 portant décision unique et autorisant la Fédération nationale des observatoires régionaux de santé et l’Observatoire régional de la santé et du social de Picardie à mettre en œuvre des traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données de la base des causes médicales de décès (CépiDC)
(Saisine n° 924026)

La Commission nationale de l'informatique et des libertés, Saisie par la Fédération nationale des observatoires régionaux de santé et l’Observatoire régional de la santé et du social de Picardie d’une demande d’autorisation de traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données de la base des causes médicales de décès (CépiDc) ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ; Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 11 janvier 2024 ; Vu la délibération n° 2021-046 du 15 avril 2021 portant décision unique et autorisant la Fédération nationale des observatoires régionaux de santé et l’Observatoire régional de la santé et du social de Picardie à mettre en œuvre des traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données de la base des causes médicales de décès (CépiDc) ; Vu le dossier et ses compléments ; Sur la proposition de Mme Marie Zins, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement, Formule les observations suivantes : Responsables du traitement La Fédération nationale des observatoires régionaux de la santé (FNORS) est une association régie par la loi de 1901 qui coordonne les travaux des observatoires régionaux de la santé (ORS). La FNORS et les ORS contribuent à l’observation de l’état de santé des populations et de l’offre de soins en France en recensant, traitant et valorisant les informations disponibles afin d’accompagner les politiques publiques. Depuis 1998, la FNORS et les ORS ont développé une base d’indicateurs déclinables à différents niveaux géographiques ("Score-santé"). Financée par le ministère en charge de la santé, cette base contient plus d’un millier d’indicateurs de mortalité déclinés selon la cause, le sexe et l’âge, et ce pour différents niveaux géographiques. La Commission relève que la FNORS et l’un des observatoires régionaux de santé, l’Observatoire régional de la santé et du social de Picardie (OR2S), déterminent conjointement la finalité des traitements dans le cadre de la production de ces indicateurs. Elle rappelle que, conformément à l'article 26 du RGPD, les responsables conjoints du traitement doivent définir de manière transparente leurs obligations respectives. Sur l’opportunité du recours à la décision unique Le 15 avril 2021, la FNORS et l’OR2S ont été autorisés par la CNIL à mettre en œuvre pendant trois ans des traitements de données à caractère personnel sur les données du CépiDC. Ces traitements avaient pour finalité de permettre la production d'indicateurs de mortalité à des niveaux territoriaux fins et sur des périodes temporelles longues pour alimenter les travaux des observatoires régionaux de la santé ainsi que la base de données "Score-Santé" de la FNORS. Dans ce cadre, près de trois cents traitements incluant des données relatives aux causes médicales de décès ont été réalisés. La CNIL relève que lui a été transmis un bilan comportant : la liste des analyses réalisées dans le cadre de l’autorisation ainsi que la méthodologie suivie dans le cadre de ces analyses ; la justification des finalités, de la zone géographique concernée et la profondeur historique des données consultées pour chacun de ces traitements ; l’analyse des processus d’anonymisation. Par ailleurs, un site web a également été mis en place. Les co-responsables de traitement sollicitent un renouvellement de l’autorisation précédemment délivrée par la CNIL afin de pouvoir accéder aux données du CépiDC pour une durée de trois ans supplémentaires. Ils estiment qu’une centaine de traitement sera susceptible d’être mise en œuvre annuellement dans ce cadre. Ces traitements répondent à une même finalité, portent sur des catégories de données identiques – en l’espèce, les données du CépiDC – et dont les catégories de destinataires sont identiques – les personnes habilitées par les co-responsables de traitement. Les traitements décrits relevant du régime prévu par les dispositions des articles 66, 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après loi "informatique et libertés"), la CNIL estime opportun, au vu des éléments présentés dans le dossier de demande, d’autoriser la mise en œuvre de ces traitements dans le cadre d’une décision unique. Sur l’application des dispositions liées au SNDS Les données du CépiDC étant issues de bases composant le système national des données de santé (ci-après "SNDS"), la CNIL rappelle que l’ensemble des dispositions législatives et règlementaires relatives au SNDS est applicable en l’espèce, et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code de la santé publique (CSP). La CNIL relève que les destinataires des données devront s’engager, via les conditions générales d’utilisation, à respecter ces obligations et à ne pas poursuivre de finalités interdites à partir des indicateurs agrégés de données du SNDS mis à leur disposition. Sur la licéité des traitements et les conditions permettant de traiter des données concernant la santé Les traitements mis en œuvre par la FNORS et l’OR2S s’inscrivent dans le cadre de l’exécution des missions d’intérêt public dont ils sont investis. Ces traitements sont, à ce titre, licites au regard de l’article 6.1.e et de l’article 9 du RGPD. Sur la finalité des traitements et leur caractère d’intérêt public Les traitements envisagés ont pour finalité la production d'indicateurs de mortalité à des niveaux territoriaux fins et sur des périodes temporelles longues pour alimenter les travaux des observatoires régionaux de la santé ainsi que la base de données "Score-Santé" de la FNORS. La CNIL considère, d’une part, que la finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5.1.b du RGPD et, d’autre part, qu’elle présente un intérêt public, conformément à l’article 66 I de la loi "informatique et libertés". Sur les catégories de données traitées La CNIL rappelle que les co-responsables de traitement ne doivent traiter, pour chacun des traitements mis en œuvre dans le cadre de la présente décision unique, que les données strictement nécessaires et pertinentes au regard des objectifs desdits traitements. Les traitements réalisés dans le cadre de la décision unique porteront sur les données pseudonymisées du CépiDc des années 2000 à 2027, sous réserve qu’elles soient diffusables par l’Institut national de la santé et de la recherche médicale (INSERM). La CNIL relève que seules les variables suivantes seront transmises par l’INSERM : sexe, groupe d’âge, cause principale de décès (quatre caractères de la CIM10 pour la cause principale), causes associées et comorbidités, département du décès, commune de décès, mois de décès, département de domicile, commune de domicile, lieu de décès, nombre de jours vécus et statut matrimonial. Conformément à l'article 30 du RGPD, les co-responsables de traitement devront tenir à jour, au sein de leur registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente décision unique. Par ailleurs, le caractère adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles les données sont traitées, la zone géographique concernée et la profondeur historique des données consultées, devront être justifiés dans ce registre pour chaque traitement mis en œuvre dans le cadre cette décision unique. Sur la durée de conservation des données Les données à caractère personnel du CépiDc ne pourront faire l’objet d’une conservation en dehors de la bulle sécurisée des responsables de traitement. Seuls des résultats anonymes pourront en être exportés. La durée d’accès aux données dans la plateforme sécurisée doit être limitée à la durée nécessaire à la mise en œuvre des traitements, qui ne saurait être supérieure à cinq ans à compter de la date d’accès effectif aux données. Sur le principe de transparence et la publication des résultats La mise à disposition des données du SNDS et de ses composantes est conçue de façon à rendre compte de leur utilisation au public. À cette fin, l’article L. 1461-3 du code de santé publique subordonne l’accès aux données du SNDS et de ses composantes à la communication à la plateforme des données de santé (PDS) de plusieurs éléments par le responsable de traitement, avant et après les études. Lorsque le résultat des traitements de données sera rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi "informatique et libertés". À l’issue du délai de cinq ans, un bilan contenant notamment la liste des analyses réalisées dans le cadre de la décision unique ainsi que la méthodologie suivie dans le cadre des analyses devra être adressé à la CNIL. Sur les catégories de destinataires des données Seuls les co-responsables du traitement et les personnes habilitées par eux ont accès aux données à caractère personnel du CépiDc dans le cadre de la présente décision unique. Les co-responsables de traitement tiennent à jour des documents indiquant la ou les personnes compétentes en leur sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations. Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par les responsables de traitement. La CNIL relève que seuls des indicateurs agrégés de mortalité seront rendus accessibles aux salariés des observatoires régionaux de santé. Sur l’information et les droits des personnes Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront prises par le responsable de traitement afin de rendre publiquement disponible l’information concernant la mise en œuvre de ces traitements. Par ailleurs, la CNIL prend acte de l’engagement de la FNORS de publier sur son site une page web dédiée mentionnant : la finalité des traitements mis en œuvre dans le cadre de la présente décision unique ; les données traitées ; les différentes études et les publications afférentes. Elle relève, en outre, que la liste des traitements et des études réalisées sera également publiée sur le site des ORS consultant les indicateurs agrégés. Une information relative aux traitements de données du CépiDc et à la méthodologie de calcul des indicateurs sera également disponible sur le site " Score-santé". Ces notes d’information devront comporter l’ensemble des mentions prévues par le RGPD. Sur la sécurité des données et la traçabilité des actions La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l’étude s'effectue sous la responsabilité des co-responsables de traitement, y compris chez des tiers agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD ainsi que de l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS et de ses mises à jour ultérieures. Au vu des risques résiduels et du plan d’action identifiés et acceptés par l’OR2S dans sa décision d’homologation datée du 3 février 2023, le traitement paraît conforme aux exigences prévues par les articles 5,1,f et 32 du RGPD, ainsi qu’au référentiel de sécurité applicable au SNDS annexé à l’arrêté du 22 mars 2017. La CNIL relève que cette décision d’homologation n’est valable que jusqu’au 3 février 2026 et qu’elle devra donc être renouvelée avant l’expiration de ce délai, si le traitement devait se poursuivre au-delà de cette date. Elle rappelle également que ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. La FNORS et l’OR2S demeurent pleinement responsables du niveau de sécurité effectif des traitements mis en œuvre et que les textes applicables leur imposent d’être en mesure de justifier de leur conformité à tout moment. Seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes soit impossible, pourront faire l’objet d’une consultation par les salariés des observatoires régionaux de santé et être publiées sur le site d’information "Score-Santé". Pour se prévaloir de l’anonymat d’un jeu de données, les co-responsables de traitement devront réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. Si ces trois critères ne peuvent être réunis, une étude des risques de réidentification doit avoir été menée afin de démontrer que les risques de réidentification sont négligeables et ainsi conclure à l’anonymat des données. A cet égard, la CNIL relève que les résultats concernant un effectif de moins de dix personnes seront systématiquement exclus et ne seront pas rendus accessibles aux salariés des observatoires régionaux de santé. Elle attire cependant l’attention des co-responsables de traitement sur le fait que la suppression des résultats contenant de petits effectifs peut ne pas être suffisante pour respecter les trois critères définis par l’avis n° 05/2014 précité et qu’une analyse complète de ses processus d’anonymisation doit être menée, assortie d’une réévaluation régulière des risques de réidentification. Autorise, conformément à la présente délibération, la Fédération nationale des observatoires régionaux de santé et l’Observatoire régional de la santé et du social de Picardie à mettre en œuvre les traitements décrits ci-dessus pendant une durée de cinq ans, avec obligation de remise d’un bilan à la CNIL à l’issue de ce délai. La présidente M.-L. Denis