Délibération n° 2024-099 du 12 décembre 2024 portant avis sur un projet d'arrêté modifiant l'arrêté du 10 août 2016 autorisant la création d'un traitement automatisé de données à caractère personnel dénommé « DOCVERIF »

N° de demande d'avis : 24015335 Thématiques : lutte contre la fraude documentaire, identité numérique. Organisme(s) à l'origine de la saisine : ministère de l'intérieur Fondement de la saisine : article 31 de la loi informatique et libertés L'essentiel : La CNIL a été saisie d'un projet d'arrêté modifiant le traitement DOCVERIF, lequel vise à renforcer l'efficacité de la lutte contre la fraude documentaire et l'usurpation d'identité en facilitant le contrôle de la validité des titres d'identité. Ce traitement a été récemment modifié pour permettre, à titre expérimental, la communication de données d'état civil à certains utilisateurs lorsque le titre est valide. Le projet d'arrêté pérennise ce dispositif. Il ressort du compte rendu de l'expérimentation que le nombre de faux titres détectés sur un échantillon de faux titres avérés a augmenté. La CNIL invite cependant le ministère à continuer de mesurer l'efficacité du dispositif et à essayer de documenter l'existence d'éventuels faux positifs. En outre, elle recommande d'étudier, dans quelques années, la possibilité de recourir à d'autres moyens, moins sensibles, permettant de repérer les titres falsifiés, s'agissant notamment de la nouvelle carte nationale d'identité électronique (CNIe). Le projet d'arrêté étend le périmètre des utilisateurs de DOCVERIF aux établissements de paiement, de monnaie électronique, ainsi qu'aux sociétés d'assurance. A cet égard, la CNIL rappelle que la consultation des données de DOCVERIF doit être justifiée par un besoin opérationnel déterminé et proportionnée au regard des objectifs poursuivis. La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), et notamment son titre III ; Après avoir entendu le rapport de Mme Sophie Lambremon, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte Autorisé par l'arrêté du 10 août 2016, DOCVERIF est un traitement qui vise à renforcer l'efficacité de la lutte contre la fraude documentaire et l'usurpation d'identité en facilitant le contrôle de la validité des titres d'identité émis par les autorités françaises (cartes nationales d'identité ou CNI , passeports et titres de séjour comportant un composant électronique). Il peut être interrogé par les services de la police ou encore de la gendarmerie nationales (utilisateurs du cercle 1 ), ainsi que par les administrations publiques, les organismes chargés d'une mission de service public ou encore les établissements de crédit (utilisateurs du cercle 2 ). Le traitement permet à ces utilisateurs d'accéder à des données relatives au statut d'un document ( valide , invalide ou inconnu ). Afin de renforcer la lutte contre la fraude, il a connu plusieurs évolutions pour étendre les périmètres des utilisateurs et des catégories de données qui peuvent être communiquées. A cet égard, l'arrêté du 28 avril 2022 a élargi, à titre expérimental, les catégories de données auxquelles les utilisateurs du cercle 1 peuvent avoir accès. Dans le cadre de cette expérimentation, il leur est ainsi permis d'accéder, jusqu'au 31 décembre 2024 et pour les CNI et passeports seulement, aux nom et premier prénom mentionnés sur le document, y compris lorsque le titre est valide (v. CNIL, SP, 7 avril 2022, avis sur projet d'arrêté, n° 2022-041, publié). Pour assurer l'accès à ces informations, DOCVERIF est alimenté par une interconnexion avec deux autres traitements : - pour les données relatives aux CNI et passeports, le traitement titres électroniques sécurisés (TES) ; - pour les données relatives aux titres de séjour, l'application de gestion des dossiers des ressortissants étrangers en France (AGDREF). B. - L'objet de la saisine La CNIL a été saisie, par le ministère de l'intérieur, d'un projet d'arrêté modificatif du traitement DOCVERIF. Ce projet prévoit deux évolutions : - la pérennisation, pour les utilisateurs du cercle 1 , de la communication systématique, lorsque le titre vérifié est une CNI ou un passeport, des nom et premier prénom figurant sur le document et ce, y compris lorsque le titre est valide ; - une extension du périmètre des utilisateurs du cercle 2 , par l'ajout des établissements de paiement, des établissements de monnaie électronique, ainsi que des sociétés d'assurance. II. - L'avis de la CNIL A. - Sur la pérennisation de l'expérimentation L'expérimentation menée permet au cercle 1 , pour les CNI et passeports seulement, d'accéder aux nom et premier prénom mentionnés sur le document, y compris lorsque le titre est valide. L'objectif de cette mesure est de lutter contre les fraudes liées à la présentation d'un titre comportant un numéro valide mais des éléments d'état civil falsifiés. Il peut s'agir, par exemple, de manipulations sur un titre volé ou trouvé. En effet, en l'absence de déclaration de perte ou de vol par son propriétaire légitime, un utilisateur de DOCVERIF est dans l'incapacité de détecter ce type de fraude s'il n'a pas d'information sur l'état civil. Le dispositif expérimenté vise à pallier ce manque. Le dispositif porte faiblement atteinte à la vie privée puisque les seules données révélées sont le premier prénom et le nom de la personne porteuse du titre que, en principe, l'agent qui vérifie la validité du titre connaît déjà. Cependant, le système DOCVERIF conduit à collecter et rendre de nombreuses personnes destinataires de données issues de fichiers particulièrement sensibles (TES et AGDREF) : les liaisons informatiques ainsi réalisées nécessitent une forte sécurisation. En outre, le dispositif, pour fonctionner dans de bonnes conditions de sécurité, conduit à dupliquer les données des bases sources. Au regard de ces enjeux de sécurité et de minimisation, il convenait donc d'évaluer la nécessité du dispositif avant d'envisager sa pérennisation. S'agissant de la durée d'expérimentation, il ressort des précisions apportées que la fonctionnalité liée au contrôle du nom et prénom a été mise en œuvre en avril 2023, et plus largement relayée auprès des forces de sécurité intérieures à travers des actions de communication à l'été 2023. S'agissant des éléments justifiant la pérennisation du dispositif, une étude des résultats statistiques obtenus fait apparaître une amélioration du nombre de détection de faux documents par DOCVERIF, grâce à l'apport du nom et premier prénom. En premier lieu, le bilan fait ressortir que le dispositif a permis d'améliorer le taux de détection de documents frauduleux sur un échantillon de documents déjà avérés comme falsifiés (s'agissant par exemple des échantillonnages réalisés par la direction générale de la gendarmerie nationale, le taux de titres frauduleux détectés passe de 80 à 96 %). Le dispositif permet donc de détecter les documents disposant d'un numéro de titre valide mais de données d'identité falsifiées. La CNIL souligne cependant qu'une expérimentation menée dans des conditions différentes aurait pu permettre de documenter, notamment, l'existence ou non de faux positifs (c'est-à-dire de titres authentiques et valides mais détectés comme frauduleux), lesquels peuvent avoir des conséquences pour les personnes concernées. Elle recommande ainsi que la pérennisation du dispositif s'accompagne de nouvelles mesures pour quantifier son efficacité et, en particulier, documenter d'éventuels cas de faux positifs. S'il s'avère qu'il y en a, il conviendra de déterminer les mesures pour permettre de les éviter et garantir aux personnes de pouvoir faire reconnaître au plus vite leur identité. A cet égard, la CNIL prend acte de l'engagement du ministère d'approfondir le suivi déjà effectué avec les forces de sécurité intérieures. En second lieu, la lutte contre la fraude documentaire fait l'objet d'un ensemble de mesures destinées à contrer les différentes stratégies des fraudeurs. La CNIL rappelle qu'il convient de recourir aux moyens présentant les risques les plus faibles possibles pour atteindre la finalité poursuivie de lutte contre la fraude. S'agissant de la proportionnalité du dispositif, elle avait ainsi considéré que l'objectif devait être, qu'à terme, la vérification des titres d'identité puisse être réalisée en s'assurant directement que le titre n'est pas physiquement falsifié (v. CNIL, SP, 7 avril 2022, n° 2022-041, précité). Interrogé sur la possibilité de faire reposer sur le cachet électronique visible (CEV) la vérification de conformité des nom et premier prénom présents sur la nouvelle carte nationale d'identité électronique (CNIe), le ministère a indiqué que le nombre de titres actuellement en circulation disposant du CEV était évalué à 21 millions, contre 39 millions de CNI sur lesquelles cet élément ne figure pas. Le ministère a par ailleurs précisé, qu'au plus tard à l'échéance de 2036, les CNI ne disposant pas du CEV ne seront plus valides. Les CEV, qui comportent les nom et premier prénom figurant sur le titre d'identité - entre autres informations, respectent le format 2D-DOC, un format ouvert et facilement lisible par des applications dites de lecture de QR code . Les CEV comportent aussi une signature électronique de l'émetteur du titre pour permettre de vérifier leur authenticité. La vérification de la signature du CEV, et donc in fine de l'authenticité des données figurant sur le titre d'identité, serait par conséquent possible sans avoir recours à DOCVERIF par les utilisateurs actuels du service. Les requêtes à DOCVERIF demeureraient en revanche nécessaires en ce qui concerne le statut (invalide, perdu ou volé) du titre. Il deviendrait alors possible, concernant les informations figurant dans la base de données de DOCVERIF, de procéder à une minimisation de celles-ci en ne conservant que celles nécessaires à la détermination du statut - invalide, perdu ou volé. A l'heure actuelle, le CEV ne figure que sur les CNIe et non sur les anciennes cartes d'identité, les passeports et les titres de séjour. Une telle minimisation ne pourrait donc se faire que pour les CNIe. La CNIL encourage le ministère à préparer, sur le long terme, une minimisation des données relatives aux CNIe figurant dans la base de données DOCVERIF. De surcroît, si un CEV venait à être ajouté, à l'avenir, sur les autres types de titres (passeports et titres de séjour), l'authenticité des informations pourrait alors aussi être vérifiée au moyen de cette méthode, plus respectueuse de la vie privée des personnes et comportant de moindres risques de sécurité en comparaison de requêtes auprès de serveurs distants. Dès lors, la CNIL invite le ministère à procéder, dans quelques années, à une nouvelle réflexion sur la conception d'un dispositif qui permette de minimiser les données de la base DOCVERIF. B. - Sur le périmètre des nouveaux utilisateurs du cercle 2 En premier lieu, la mention du caractère valide ou non du document ainsi que, uniquement pour les CNI et les passeports, le résultat de la comparaison des nom et prénom saisis (par exemple nom et premier prénom conformes ) sont accessibles aux utilisateurs du cercle 2 . Il s'agit, actuellement : - des administrations publiques ; - des agents de police municipale et des gardes champêtres ; - des organismes chargés d'une mission de service public ; - des établissements de crédit et des sociétés de financement mentionnées à l'article L. 511-1 du code monétaire et financier ; - des fournisseurs de moyen d'identification électronique ; - des agents mentionnés au I de l'article 3 du décret n° 2022-676 du 26 avril 2022 relatif au service de garantie de l'identité numérique (SGIN). L'analyse d'impact relative à la protection des données (AIPD) transmise révèle que de nouveaux utilisateurs ont été ajoutés au titre des administrations publiques et des organismes chargés d'une mission de service public . La CNIL considère que, pour assurer l'information et garantir l'effectivité des droits des personnes, la liste des utilisateurs devrait être détaillée, a minima sur le site web du ministère. En deuxième lieu, le projet d'arrêté élargit le périmètre du cercle 2 à trois nouvelles catégories d'utilisateurs : - les établissements de paiement ; - les établissements de monnaie électronique ; - les sociétés d'assurance. Le ministère justifie ces ajouts par le fait que ces acteurs sont soumis, en application du code monétaire et financier, aux obligations relatives à la lutte contre le blanchiment des capitaux et le financement du terrorisme. Le contrôle de validité des titres au moyen du traitement DOCVERIF devrait donc permettre d'améliorer l'efficacité du dispositif de vérification d'identité des clients avant l'établissement de la relation d'affaires (v. art. L. 561-2 du code monétaire et financier). S'agissant précisément des sociétés d'assurance, l'utilisation de DOCVERIF devrait permettre, par ailleurs, de lutter contre la fraude à l'assurance en permettant de détecter la fraude documentaire. Il ressort des précisions apportées par le ministère, pour justifier cet accès conféré aux sociétés d'assurance, que : - le volume des cas de fraude à l'assurance est significatif et les préjudices financiers qui en découlent peuvent être importants pour les assurés vertueux ; - certaines fraudes à l'assurance concernent de faux sinistres déclarés sous de multiples identités. La CNIL considère que l'utilisation de DOCVERIF doit être strictement limitée aux objectifs poursuivis en matière de détection de fraude documentaire, dans la perspective de la lutte contre le blanchiment des capitaux et le financement du terrorisme. Elle invite le ministère à encadrer cette consultation par l'ajout, dans la convention conclue entre les utilisateurs et le responsable de traitement, de garanties spécifiques liées aux modalités d'accès afin de restreindre sa consultation aux seuls services compétents au sein des sociétés d'assurance. En outre, la CNIL réitère sa recommandation de compléter les conventions afin d'inciter les organismes à informer les personnes concernées du fait qu'ils sont susceptibles de réaliser une interrogation de DOCVERIF (v. CNIL, SP, 7 avril 2022, n° 2022-041, précité). C. - Sur le principe de protection des données par conception et par défaut a. Sur les informations statistiques utilisées à des fins d'amélioration du service Des statistiques d'utilisation globale du service (taux d'erreur, faux négatifs, comparaison avec la volumétrie globale des requêtes, etc.) permettrait une meilleure appréciation de la pertinence d'utilisation de ce service par les utilisateurs, notamment du cercle 2 . La CNIL invite le ministère à mettre en place des dispositifs permettant d'agréger de tels indicateurs et respectant la vie privée des personnes. b. Sur l'accès à la fonctionnalité de vérification de la conformité du nom et du prénom par les utilisateurs du cercle 2 Concernant les utilisateurs du cercle 2 , ceux-ci saisissent, par exemple, les nom et prénom inscrits sur le titre présenté (CNIe ou passeport) et DOCVERIF répond à la requête de concordance par la négative ou l'affirmative sans avoir besoin d'effectuer la comparaison avec les nom et prénom eux-mêmes (qui ne sont pas conservés dans la base de données du cercle 2 ) mais en s'appuyant sur un haché de ceux-ci. La CNIL considère que les données enregistrées dans la base de données des informations du cercle 2 sont donc minimisées, les noms et prénoms des personnes n'apparaissant pas en clair dans la base de données du cercle 2 et la vérification de conformité reposant sur la comparaison de hachés obtenus à partir du numéro du titre, du type de titre, du nom et du premier prénom figurant sur le titre après saisie complémentaire de la date de délivrance inscrite sur le titre. La CNIL considère également que le risque de mauvaise saisie des nom et premier prénom des personnes concernées, pouvant entraîner une réponse signalant la non-conformité du document, a été pris en compte. En effet, les informations de l'état civil sont traitées sous une forme dite normalisée, c'est-à-dire une forme simplifiée pour éviter les erreurs (par exemple, les accents peuvent être automatiquement enlevés des lettres qui en comportent ou bien toutes les lettres transformées en minuscules). La comparaison des hachés issus de ces informations a donc moins de chances de signaler comme différentes ces informations alors que l'écart ne proviendrait que d'une différence de forme (par exemple l'accentuation ou la casse). En revanche, l'AIPD indique que la vérification de conformité du nom et du premier prénom des personnes concernées est une fonctionnalité optionnelle. Or il ressort des précisions apportées par le ministère que cette fonctionnalité est en réalité disponible par défaut et qu'il revient aux utilisateurs du cercle 2 de l'activer ou non en fonction de leur besoin, du contexte d'usage et des capacités de leur propre système d'information. La CNIL encourage le ministère à revoir l'AIPD pour lever cette ambigüité. D. - Sur les transferts La CNIL relève que lors de la précédente saisine ayant donné lieu à la délibération n° 2022-041 (précitée), il a été constaté que la convention type d'utilisation de DOCVERIF ne comportait pas d'interdiction de tout transfert de données hors de l'Union européenne. Elle demandait notamment que la convention type soit modifiée pour que soit mentionnée explicitement l'interdiction des transferts de données vers des Etats n'appartenant pas à l'Union Européenne. Dans l'avis du délégué ministériel à la protection des données personnelles, il est indiqué que les sous-traitants ultérieurs sont susceptibles de procéder à des transferts de données hors de l'Union Européenne, ou de recourir eux-mêmes à des sous-traitants soumis à un droit extraterritorial clair . Par ailleurs, ce même avis indique que le délégué ministériel à la protection des données personnelles n'a pas reçu ladite convention dans les documents fournis pour son analyse. La CNIL rappelle que les transferts de données vers des Etats n'appartenant pas à l'Union européenne ne pourront être opérés que sous réserve du respect des conditions énoncées à l'article 112 de la loi informatique et libertés . Le cas échéant, il conviendra notamment que des garanties appropriées en matière de protection des données à caractère personnel soient fournies par un instrument juridiquement contraignant. En l'absence de décision d'adéquation adoptée par la Commission européenne ou de garanties équivalentes, et par dérogation à l'article 112 précité, de tels transferts ne pourront être réalisés que sous réserve de respecter les conditions énoncées à l'article 113 de la loi informatique et libertés . La CNIL réitère sa demande au ministère de faire figurer dans la convention type une interdiction explicite des transferts de données et que cette convention soit soumise pour analyse au délégué ministériel à la protection des données personnelles. Ceci est particulièrement important dans le cadre d'un traitement régalien comportant les données d'identité de la quasi-totalité de la population française et des résidents titulaires d'un droit au séjour. E. - Sur la sécurité a. Sur le renouvellement des clefs de chiffrement La CNIL relève que, lors de la précédente saisine, le plan d'action pour améliorer le service DOCVERIF évoquait l'exploration de la possibilité de procéder au renouvellement des clefs de chiffrement utilisées dans l'infrastructure. Le plan d'action disponible dans la présente AIPD indique un abandon de cette amélioration. Le ministère a précisé que les coûts que représenterait une implémentation de mise à jour des clefs de chiffrement dans l'infrastructure de DOCVERIF, associés aux risques de dysfonctionnement que cela pourrait occasionner lors d'une telle opération, ont été jugés, en lien avec les responsables de la sécurité des systèmes d'information de France Titres, trop élevés au regard des bénéfices attendus. La CNIL invite le ministère à documenter cette décision dans l'AIPD pour sa bonne traçabilité. La CNIL comprend les enjeux financiers d'une telle mise à jour, mais encourage le ministère à s'aligner sur le Référentiel Général de Sécurité version 2.0 maintenu par l'ANSSI, et en particulier ses annexes B1 et B2. En effet, le référentiel couvre la problématique de la durée de vie maximale de clefs de chiffrement (crypto-période) et, de fait, la mise en place d'un système de renouvellement des clefs de chiffrement est encouragée, particulièrement dans un contexte où les durées de vie des clefs s'amenuisent avec le temps. b. Sur le contrôle des accès logiques Le ministère indique que le système d'authentification au service DOCVERIF pour les utilisateurs ne disposant pas de carte agent est mis en œuvre par les utilisateurs dont ils dépendent, en particulier pour le cercle 2 . Si ce choix est compréhensible, la CNIL encourage le ministère, en tant que responsable du traitement, à systématiser l'accompagnement dans l'intégration du service DOCVERIF aux systèmes d'information des utilisateurs en étant particulièrement vigilant sur le fait qu'une authentification multifacteur pour accéder au service doit être encouragée, ainsi qu'une gestion stricte des habilitations au sein de l'organisme utilisateur couplée à une traçabilité individuelle des accès conforme aux recommandations de la CNIL sur ce sujet (délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation). c. Sur le chiffrement des flux réseau La CNIL prend acte de l'engagement du ministère d'intégrer dans son plan d'action un passage à la version TLS 1.3, a minima au niveau des interfaces à destination des utilisateurs du cercle 2 accessibles depuis un réseau externe à celui géré par le ministère - la version 1.2 étant sujette à des vulnérabilités. Dans l'attente de cette mise en œuvre, la CNIL attire l'attention du ministère sur l'importance d'assurer le respect des conditions précisées dans les recommandations de sécurité relatives à TLS (version 1.2 du 26 mars 2020) de l'ANSSI pour permettre de considérer l'usage de TLS 1.2 comme sûr ou de mettre en place des contre-mesures adéquates en les documentant dans l'AIPD. d. Sur le résultat des audits techniques La CNIL observe que des audits ont été effectués dans le cadre de l'homologation du dispositif, qui est requise tous les trois ans ou lors d'une évolution majeure par la politique de sécurité des systèmes d'information du ministère. Le ministère souligne que la correction des principaux écarts a été effectuée mais il n'a pour l'heure pas communiqué la liste des évolutions effectuées. La mise en œuvre des corrections nécessaires pour pallier tout écart au moins important est considérée comme indispensable par la CNIL. F. - Sur l'analyse d'impact relative à la protection des données La CNIL observe que l'AIPD et notamment la section 3, qui propose une synthèse des sections précédentes (1 et 2), présente des incohérences au niveau des évaluations (code couleur) comme de leurs descriptions détaillées telles que décrites dans les sections 1 et 2 du document. Par ailleurs, la CNIL observe des évolutions dans le tableau de description et évaluation des mesures contribuant à traiter les risques liés à la sécurité des données n'ayant pas été documentées ou justifiées, en particulier les items chiffrement et cloisonnement des données passés du statut de améliorable à acceptable . Enfin, les durées de conservation des données de titres devraient être corrigées pour les titres de séjour Brexit dont la durée de conservation est indiquée comme étant de 1 à 5 ans ou permanente (la CNIL n'ayant pas connaissance de tels titres ayant une durée de validité permanente). La CNIL demande au ministère de mettre à jour l'AIPD en conséquence. La présidente, M.-L. Denis


Délibération n° 2024-081 du 14 novembre 2024 portant avis sur un projet de décret modifiant le décret n° 2021-148 du 11 février 2021 relatif aux modalités de mise en œuvre par la direction générale des finances publiques et la direction générale des douanes et droits indirects de traitements informatisés et automatisés permettant la collecte et l'exploitation de données rendues publiques sur les sites internet des opérateurs de plateforme en ligne

N° de demande d'avis : 24014572. Thématiques : lutte contre les fraudes fiscale et douanière, collecte et exploitation de contenus sur les plateformes et réseaux sociaux, traitements automatisés, intelligence artificielle. Organisme(s) à l'origine de la saisine : ministère de l'économie, des finances et de l'industrie. Fondement de la saisine : article 154 de la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020. L'essentiel : 1. Le projet de décret encadre l'élargissement de l'expérimentation prévue par l'article 154 modifié de la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020, permettant aux administrations fiscales et des douanes et droits indirects de collecter et exploiter les contenus rendus publics sur les plateformes et réseaux sociaux. 2. La CNIL estime que les garanties prévues sont satisfaisantes. 3. A ce stade de l'expérimentation, les données apparaissent adéquates, pertinentes et limitées à ce qui est strictement nécessaire au regard des finalités pour lesquelles elles sont traitées. 4. Néanmoins, la CNIL regrette que le bilan transmis ne soit pas suffisamment étayé pour lui permettre d'apprécier la proportionnalité et l'efficience du dispositif. 5. La CNIL émet des recommandations sur : - les mesures à prendre pour encadrer la collecte des contenus publiquement accessibles (doctrine d'emploi explicitant la teneur des limitations prévues par le décret, notamment) ; - l'information du public, qui devra être facilement accessible et suffisamment complète. La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son article 31 ; Après avoir entendu le rapport de M. Philippe-Pierre Cabourdin, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte L'article 154 de la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020 a autorisé, à titre expérimental pour une durée de trois ans, les administrations fiscale et douanière à collecter et exploiter les contenus librement accessibles et manifestement rendus publics par les utilisateurs sur les sites web de certains opérateurs de plateforme en ligne. Cette collecte doit permettre de rechercher des indices relatifs à la commission de certaines infractions limitativement énumérées par la loi. L'article 122 de la loi de finances pour 2024 a prolongé pour une durée de deux ans et étendu le périmètre de cette expérimentation. La CNIL s'est prononcée sur le principe de cette expérimentation (CNIL, SP, 12 septembre 2019, avis sur projet de loi, n° 2019-114, publié ; CNIL, SP, 21 septembre 2023, avis sur projet de loi, n° 2023-090, publié), ainsi que sur la mise en œuvre des traitements afférents encadrés par le décret n° 2021-148 du 11 février 2021 (CNIL, SP, 10 décembre 2020, avis sur projet de décret, n° 2020-124, publié). Elle a rappelé que ce type de traitements, qui reposent sur une vaste collecte préalable de données en vue du ciblage des actions ultérieures de contrôle, et qui concernent l'ensemble des personnes rendant accessibles des contenus sur les plateformes, nécessitent des mesures pour compenser les atteintes potentielles portées à la vie privée des utilisateurs. Cette expérimentation repose sur la mise en œuvre, par la direction générale des finances publiques et la direction générale des douanes et droits indirects, de traitements de données à caractère personnel qui comprennent : - d'une part, une phase d'apprentissage et de conception (développement des outils de collecte, de nettoyage et d'analyse des données pour identifier les titulaires des comptes et pages internet ; modélisation et identification des agissements susceptibles de révéler la commission des infractions et manquements prévus à l'article 154 précité) ; - d'autre part, une phase d'exploitation (déploiement des outils conçus lors de la première phase, afin de recueillir des données pertinentes destinées à être exploitées par les services compétents pour la recherche des infractions et manquements prévus). Cette première expérimentation a fait l'objet d'un bilan intermédiaire et d'un bilan définitif, dont la CNIL a été rendue destinataire. Il en ressort une faible efficacité du dispositif initial du fait de son périmètre limité (au regard, notamment, de l'exclusion des plateformes requérant un compte pour y accéder), restreignant les capacités de collecte de données. Le législateur a fait le choix, le 29 décembre 2023, d'étendre le périmètre des données accessibles dans le cadre de l'expérimentation. B. - L'objet de la saisine La CNIL a été saisie, par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique, d'un projet de décret modifiant le décret n° 2021-148 du 11 février 2021. Ce décret modifie les modalités de mise en œuvre, par la direction générale des finances publiques et la direction générale des douanes et droits indirects, de traitements permettant la collecte et l'exploitation de données rendues publiques sur les sites web des opérateurs de plateforme en ligne. Il prévoit, notamment pour prendre en compte l'évolution de l'article 154 de la loi : - l'extension de la possibilité de collecter et exploiter des contenus accessibles sur les plateformes en ligne à celles dont l'accès (…) requiert une inscription à un compte ; - l'extension du périmètre de l'expérimentation à la recherche des manquements et infractions découlant d'une minoration ou d'une dissimulation de recettes ; - la transmission régulière, à la CNIL, d'informations sur ces opérations ; - la collecte des métadonnées, notamment les informations relatives aux dates, heures et géolocalisation des contenus collectés ; - les conditions d'information du public. II. - L'avis de la CNIL A. - Sur l'extension des conditions de collecte Dans sa version initiale, l'article 154 ne permettait que la collecte de contenus librement accessibles et manifestement rendus publics . Le Conseil constitutionnel avait précisé qu'étaient exclues la collecte et l'exploitation des contenus accessibles seulement après saisie d'un mot de passe ou après inscription sur le site en cause (CC, 27 décembre 2019, 2019-796 DC, point 87). Au vu du bilan intermédiaire de l'expérimentation, l'article 154 a été modifié afin d'étendre ce dispositif aux plateformes dont l'accès requiert la création d'un compte. Il est désormais permis aux administrations concernées de collecter et d'exploiter des contenus, y compris lorsque l'accès à ces plateformes requiert une inscription à un compte . La CNIL, dans son avis du 21 septembre 2023, avait relevé que cette évolution conduirait à une collecte beaucoup plus large de données et que, par conséquent, l'atteinte portée à la vie privée des utilisateurs serait beaucoup plus importante que dans le cadre de la version initiale de l'expérimentation. La CNIL avait souhaité disposer d'un bilan étayé avant d'avoir à se prononcer sur toute prolongation ou pérennisation du dispositif. En l'espèce, dans le bilan transmis, la nécessité d'étendre et de prolonger l'expérimentation n'est justifiée que par l'existence de conditions initiales trop restrictives. La CNIL regrette que le bilan ne comporte pas d'éléments d'analyse qui auraient permis d'apprécier l'efficience du dispositif, ainsi que la proportionnalité entre l'objectif poursuivi (le renforcement de l'efficacité dans la lutte contre la fraude) et l'atteinte aux libertés individuelles. En premier lieu, le projet de décret prévoit des mesures compensatoires qui encadrent la mise en œuvre de cette collecte étendue, en précisant que les agents des administrations concernées ne sont pas autorisés à entrer en relation avec d'autres détenteurs de compte ou à diffuser des contenus. Ils ne sont autorisés qu'à procéder à la collecte et l'exploitation de contenus. Ces limitations ne permettent donc pas d'accéder à des données qui ne seraient pas rendues disponibles à l'ensemble des utilisateurs de la plateforme ou du réseau social (par exemple, le suivi d'une personne ou d'un compte) ni de rejoindre une conversation de groupe, même sans prendre la parole. Par ailleurs, il ressort des précisions apportées par le ministère que la création de ces comptes ne permettra pas d'utiliser des identités d'emprunt et laissera apparaitre, en clair, qu'il s'agit d'un compte de l'administration fiscale ou des douanes. Serait enfin exclu, pour ces administrations, l'usage d'interfaces de mise à disposition des données des sites (API) proposées par les plateformes ou les réseaux sociaux pour collecter des données, dans l'hypothèse où elles permettraient d'obtenir des informations supplémentaires à celles accessibles à partir d'un compte avec le niveau de permission minimum. La CNIL prend acte de ces garanties, qui reprennent partiellement celles qu'elle avait proposées dans son avis sur la modification législative. Il conviendra que le ministère s'assure de la bonne diffusion des pratiques qui découlent de ces dispositions et qui permettront de garantir l'effectivité de ces limitations : une doctrine d'emploi à destination des agents concernés pourrait expliciter la teneur ainsi que les impacts pratiques de ces restrictions. En deuxième lieu, la CNIL prend acte que le projet de décret prévoit que la liste des opérations de collecte transmise à la CNIL (telle que prévue à l'article 154 de la loi de finances pour 2020) mentionne, pour chacune des collectes mises en œuvre, les objectifs poursuivis ainsi que les plateformes en ligne concernées. S'agissant du périmètre des plateformes concernées, la CNIL prend acte des précisions apportées, selon lesquelles aucune collecte ne sera réalisée sur des plateformes sensibles au sens de l'article 9 du RGPD (à l'instar d'applications de rencontres ou de santé). En dernier lieu, le projet de décret prévoit que les habilitations délivrées aux agents réalisant les traitements peuvent être accordées par les chefs de service des administrations concernées. Or, l'article 154 prévoit que ces habilitations doivent être accordées par les directeurs de ces administrations. La CNIL prend acte de l'engagement du ministère de revenir à la rédaction du décret actuellement en vigueur. B. - Sur l'extension du champ infractionnel La collecte et l'exploitation des données sont possibles pour la recherche d'une activité occulte et des inexactitudes ou omissions découlant d'un manquement aux règles de la domiciliation fiscale (fixées à l'article 4 B du code général des impôts). Le projet de décret encadre l'extension du champ infractionnel des traitements en ajoutant, conformément à ce que la loi a prévu, la minoration ou la dissimulation de recettes afin de détecter les entreprises dont l'activité est manifeste sur les réseaux sociaux mais qui déclarent un statut incohérent ou de très faibles recettes. Une telle évolution conduira à la collecte de données dont le ciblage se limitera à certains critères objectifs (par exemple, les auto-entrepreneurs avec un chiffre d'affaires déclaré nul). Au regard de cette limitation, la CNIL estime la collecte légitime. C. - Sur l'extension du périmètre de données accessibles L'extension de l'expérimentation aux données manifestement rendues publiques et publiquement accessibles, lorsqu'un compte est requis pour accéder à la plateforme ou au réseau social, implique la collecte d'un plus grand nombre de données. En premier lieu, il est prévu l'ajout (que ce soit pour la recherche d'activités occultes, de manquements aux règles de domiciliation ou de minoration ou dissimulation de recettes) de la collecte de métadonnées liées aux données précédemment collectées, incluant notamment les informations relatives aux dates, heures et géolocalisation de leur création . Il ressort des précisions apportées que seules les données de géolocalisation ont vocation à être exploitées. Les autres métadonnées seront supprimées dans un délai de cinq jours. La CNIL prend acte de l'engagement du ministère de modifier le décret pour prévoir, tant pour les phases d'apprentissage et de conception que d'exploitation, la suppression de ces données sous ce délai maximal. Au-delà de la rédaction du décret, la distinction entre des contenus manifestement rendus publics ou non, peut être délicate en certaines circonstances, notamment lorsque qu'il n'est pas clair que l'utilisateur ait eu conscience d'avoir publié certaines données, lorsque celles-ci sont automatiquement incluses dans le contenu publié sous forme de métadonnées. Par exemple, des métadonnées relatives à la géolocalisation peuvent être incluses dans le fichier photographique lors de la prise d'une photo depuis un téléphone mobile sans que l'utilisateur en ait conscience. Dès lors, la mise à disposition du fichier par le réseau social lors de sa publication par l'utilisateur permet la collecte de cette donnée. Par ailleurs, la collecte étant limitée aux contenus se rapportant à la personne les ayant délibérément divulgués, tout traitement d'information fournie par un tiers (par exemple lorsqu'une photo est taguée par ce tiers) est exclu. En deuxième lieu, s'agissant des contenus relatifs à l'activité professionnelle ou illicite des personnes, le projet de décret prévoit la collecte de QR-codes, ceux-ci pouvant être utilisés au sein des plateformes pour partager des données de diverse nature, dont notamment des liens vers des contenus ou des profils, comme précisé par le ministère. D'une part, le terme de QR-code désigne une technologie spécifique de code barre bidimensionnel permettant de partager des données. La CNIL invite le ministère à modifier le projet de décret en ce sens. D'autre part, la CNIL rappelle que les liens obtenus via ces codes-barres ne devraient pas être appelés s'ils donnent à l'utilisateur qui scanne le code barre un accès à des données non disponibles par défaut à l'ensemble des utilisateurs de la plateforme ou du réseau social (par exemple en provoquant automatiquement le suivi d'une personne, ou l'inscription à un groupe de discussion ; à ce propos, v. supra, point 13). Sous réserve de ce qui précède, la collecte de QR-code apparait proportionnée. En troisième lieu, le projet de décret prévoit la collecte, dans le cadre de la recherche d'une activité occulte, de données susceptibles d'étayer une suspicion de manquement . Or, cette formulation ne désigne pas une catégorie de données de manière suffisamment précise, et permettrait la collecte de toute catégorie de données dès lors qu'elle poursuit la finalité indiquée. Selon le ministère, aucune autre catégorie de données que celles énumérées par le décret ne sera collectée dans ce cadre. La CNIL prend acte de l'engagement du ministère de modifier le décret pour supprimer la mention des données susceptibles d'étayer une suspicion de manquement . En dernier lieu, le bilan intermédiaire de l'expérimentation en cours, transmis à la CNIL, confirme que le modèle de détection automatique de la fraude repose sur une phase préalable d'apprentissage machine. Cet apprentissage consiste à fournir au modèle une vaste quantité de données pour obtenir des performances satisfaisantes. La CNIL appelle à une certaine prudence dans l'utilisation de ce type d'algorithmes, eu égard aux risques qu'ils comportent et aux biais qu'ils peuvent présenter (v. CNIL, SP, 16 novembre 2023, avis sur projet de décret, dispositif ressources mensuelles , n° 2023-120, publié). Elle estime que le développement et l'utilisation de tels modèles d'apprentissage devraient être faits en analysant la possibilité de l'émergence de tels biais et le cas échéant de documenter les mesures permettant d'en diminuer l'impact. D. - Sur l'information des personnes Le décret en vigueur prévoit que le droit d'information prévu par les articles 104 de la loi informatique et libertés et 14 du RGPD ne s'appliquent pas. Ces dispositions sont inchangées. La CNIL s'interroge sur le régime juridique applicable et les modalités d'exercice des droits à aménager en conséquence, compte tenu de la jurisprudence récente de la CJUE en la matière. L'article 154 de la loi de finances pour 2020 prévoit une information générale du public et charge le décret de préciser les conditions dans lesquelles les administrations concernées mettent à disposition du public une information facilement accessible en ligne sur les finalités et les modalités de fonctionnement des traitements. Le projet de décret précise qu'une information générale du public est diffusée sur les sites web de la direction générale des finances publiques et de la direction générale des douanes et droits indirects. Dans une perspective d'accessibilité, cette information devra être actualisée sur les pages dédiées des sites web des directions concernées. Elle devra par ailleurs contenir le champ infractionnel des traitements ainsi que les modalités de collecte des données (y compris lorsqu'un compte est requis pour y accéder). La CNIL rappelle que, dans le cas d'une infraction ou d'un manquement avérés et des suites procédurales qui y seront données, l'information des personnes sera individuelle, conformément aux dispositions de la loi informatique et libertés . La présidente, M.-L. Denis


Délibération n° 2024-088 du 5 décembre 2024 portant avis sur un projet de décret relatif au système d'information de l'opérateur France Travail et portant diverses dispositions relatives aux traitements de données à caractère personnel dans le champ de l'emploi, de l'insertion et de la formation professionnelle

N° de demande d'avis : 24016024. Thématiques : France Travail, réseau pour l'emploi, accompagnement des demandeurs d'emploi, NIR. Organisme(s) à l'origine de la saisine : ministère du travail et de l'emploi. Fondement de la saisine : article 8. I. 4°.a de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés. L'essentiel : 1. Au regard des conditions de saisine et notamment des délais laissés pour son analyse, l'avis de la CNIL et l'absence d'observation de sa part sur certaines dispositions du projet de décret, ne sauraient préjuger de la licéité de l'ensemble des traitements concernés. 2. La CNIL s'inquiète de ce que l'ouverture massive de nouveaux accès au système d'information de France Travail, dans des délais extrêmement contraints, ne soit pas accompagnée par des mesures de sécurité adaptées aux risques, en particulier à court terme. Au regard des violations massives de données ayant récemment affecté certains organismes du secteur social, la CNIL invite le ministère à exiger la mise en œuvre de mesures de sécurité effectives pour l'ensemble des structures du réseau pour l'emploi avant toute mise à disposition de nouveaux outils donnant accès au SI-FT. 3. La CNIL appelle à mieux préciser dans le décret les cas d'utilisation du NIR par France travail. Si cette utilisation peut notamment être admise pour sécuriser l'identification des demandeurs d'emploi, elle ne doit pas conduire à faire du NIR un identifiant général pour les demandeurs d'emploi et leur foyer. La CNIL prend acte de l'engagement du ministère que ce ne sera pas le cas et que le décret sera précisé. 4. Les traitements impliquent la collecte à grande échelle de données particulièrement nombreuses, parmi lesquelles des données relevant de catégories particulières de données : des données dites sensibles (celles relatives notamment à la santé), des données relatives à des condamnations pénales, infractions ou mesures de sûreté connexes , ainsi qu'à des données dites hautement personnelles (données bancaires). Le responsable de traitement devra veiller à collecter et traiter ces données avec la plus grande précaution et en apportant des garanties particulières. 5. Pour chacun des traitements encadrés par le projet de décret, la CNIL recommande au ministère, d'une part, de s'assurer du caractère nécessaire des données collectées au regard des finalités poursuivies et, d'autre part, de distinguer les catégories de données nécessaires pour chacune des finalités poursuivies. 6. La CNIL s'interroge également sur le caractère proportionné des durées de conservation pour chacune des données collectées au regard des nombreuses finalités poursuivies et invite le ministère à clarifier ce point. Il revient par ailleurs au ministère de préciser, pour chacun des traitements et finalités, les destinataires des données nécessaires pour l'exercice de leurs missions. 7. La CNIL observe que le traitement concerne des personnes vulnérables mineures et en situation de handicap. A cet égard, conformément à l'article 12 du RGPD, la délivrance de l'information doit être adaptée aux situations des personnes concernées. La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son article 8. I. 4°.a ; Vu la loi n° 2023-1196 du 18 décembre 2023 pour le plein emploi, notamment ses articles 1er et 6 ; Après avoir entendu le rapport de M. Philippe Latombe, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte La loi n° 2023-1196 du 18 décembre 2023 pour le plein emploi présente quatre axes principaux : 1. La transformation du service public de l'emploi par une organisation rénovée et une coopération renforcée en créant un réseau pour l'emploi composé de l'ensemble des acteurs du champ de l'emploi et de l'insertion, dont le cercle principal comprend l'Etat, les régions, les départements, les communes et groupements de communes, l'opérateur France Travail (FT), les missions locales pour l'insertion professionnelle et sociale des jeunes (missions locales) et les Cap emploi. Une partie des dispositions de la loi, qui prévoyaient un partage obligatoire des données des bénéficiaires du revenu de solidarité active (RSA), de la prime d'activité (PA) et de l'allocation aux adultes handicapés (AAH), notamment de nature médicale, à un nombre très important d'acteurs publics et privés, a été censurée par le Conseil constitutionnel au motif qu'elles ne présentaient pas suffisamment de garanties et portaient ainsi atteinte à la vie privée des personnes concernées. Aussi, à ce stade, le partage est limité au cercle principal du réseau, mais le gouvernement prévoit d'y ajouter d'autres acteurs ; 2. La refonte du processus d'accompagnement des demandeurs d'emploi : - d'une part, en inscrivant automatiquement certaines catégories de personnes sur la liste des demandeurs d'emploi, notamment les demandeurs du RSA et les bénéficiaires d'un accompagnement pour l'insertion professionnelle et sociale des jeunes ; - d'autre part, en les orientant, sur la base de critères nationaux, vers un organisme référent chargé du suivi de leur accompagnement. Un contrat d'engagement, fixe leurs objectifs d'insertion sociale et professionnelle et le niveau d'accompagnement requis. En cas de non-respect de ces engagements, la loi prévoit des sanctions graduées allant de la suspension temporaire des aides à leur suppression partielle ou totale ; 3. Le renforcement des réponses aux besoins des employeurs ; 4. La transformation de Pôle emploi en opérateur FT en renforçant ses missions propres, mais surtout en lui confiant des missions pour compte commun afin de permettre la mise en œuvre des missions du réseau pour l'emploi et la coopération renforcée de ses membres. Les membres du réseau pour l'emploi, énumérés par l'article L. 5311-7 du code du travail (CT), disposant chacun de compétences spécifiques dans l'accompagnement des usagers, sont : - les présidents des conseils départementaux (CD) : dans les départements de La Réunion, Guyane et Mayotte, ces compétences ont été transférées à France Travail, qui les délègue par convention aux caisses (CAF et caisse gestionnaire du régime des prestations familiales à Mayotte), les régions, les communes et les groupements de communes ; - France Travail : qui dispose de missions propres (article L. 5312-1, I°, du CT) et de missions dites pour compte commun (article L. 5312-1, II°, du CT) ; - les missions locales : pour les jeunes de seize à vingt-cinq ans ; - les Cap emploi : pour les travailleurs handicapés ; - la Caisse nationale d'allocations familiales (CNAF) et la Caisse centrale de la mutualité sociale agricole (CCMSA) (ci-après les caisses ). La mise en œuvre de la réforme implique le recueil et le partage des données à caractère personnel des usagers concernés, mais aussi de leur conjoint, concubin, ou partenaire par lequel ils sont liés par un pacte civil de solidarité (ci-après leur conjoint ) et parfois des membres de leur foyer (enfants ou personnes à charge de moins de 25 ans, au sens de l'article R. 262-3 du CASF), entre autres aux acteurs précités et par le biais de différents flux. B. - L'objet de la saisine Le projet de décret en Conseil d'Etat porte sur six traitements de données à caractère personnel : - le recueil et la transmission aux CD et à FT par la CNAF et la CCMSA de données relatives à une demande de RSA et de PA, ci-après T1 - RSA et PA (articles R. 262-102 à R. 262-110 du code de l'action sociale et des familles [CASF]), placé sous la responsabilité de la CNAF et de la CCMSA ; - la transmission par les présidents des CD à FT des données relatives aux bénéficiaires du RSA et à leurs conjoints, aux CNAF et CCMSA des données relatives aux décisions de sanction et de radiation qu'ils prononcent ainsi qu'aux Comités national et territoriaux pour l'emploi des données relatives aux décisions d'orientations des bénéficiaires et aux critères sur lesquels ils se fondent, ci-après T2 - bRSA (articles R. 262-111 à R. 262-116-6 du CASF), placé sous la responsabilité des CD. S'agissant des traitements T1 - RSA et PA et T2 - bRSA , les échanges de données effectués avec les CD en droit commun sont effectués sur les départements de la Guyane, La Réunion et Mayotte par les caisses, sur délégation de France Travail (CAF et caisse gestionnaire du régime des prestations familiales à Mayotte) ; - les transmissions à FT par la CNAF et la CCMSA de données relatives aux bénéficiaires du RSA, de la PA et de l'allocation aux adultes handicapés (AAH), ainsi qu'à leurs conjoints et aux autres membres du foyer, ci-après T3 - bRSA, PA et AAH (articles R. 5312-32 à R. 5312-37 du CT), placé sous la responsabilité de la CNAF et de la CCMSA ; - le système d'information France Travail, ci-après T4 - SI-FT (articles R. 5312-38 à R. 5312-45 du CT), placé sous la responsabilité de FT, et dans certains cas qui seront déterminés par arrêté du ministre chargé de l'emploi, en co-responsabilité avec d'autres organismes (par exemple les Cap emploi) ; - le système d'information relatif à l'activité partielle, ci-après T5 - SI-APART (articles R. 5122-20 à R. 5122-25 du CT), placé sous la responsabilité de l'Agence de services et de paiement (ASP) ; - la plateforme de l'inclusion, ci-après T6 - plateforme de l'inclusion (articles R. 5132-1-19 à R. 5132-1-23 du CT), placé sous la responsabilité du groupement d'intérêt public dénommé Plateforme de l'inclusion . Ces traitements de données concernent au moins 6 millions de personnes (il existe environ 3 millions de bénéficiaires du RSA et 5 millions de demandeurs d'emploi, mais une partie des demandeurs d'emploi touche le RSA). II. - L'avis de la CNIL A. - Remarques générales 1. Sur les conditions de saisine La CNIL a été saisie par le ministère du travail et de l'emploi le 31 octobre 2024 pour avis sur un projet de décret en Conseil d'Etat, avec invocation du délai d'urgence d'un mois. Le 14 novembre 2024, le ministère a transmis une saisine rectificative afin principalement de compléter de dispositions d'application à l'outre-mer et d'ajustements rédactionnels. Les éléments d'instruction, transmis au fil de l'eau, totalisent plus de mille pages de documents. La CNIL regrette fortement qu'une unique saisine couvre un projet d'une telle envergure, impliquant de multiples traitements de données à caractère personnel concernant plusieurs millions de personnes, qui plus est dans le cadre d'une procédure d'urgence. Ces conditions ne lui permettent pas d'instruire correctement les projets de textes adressés. Aussi le présent avis de la CNIL et l'absence d'observation de sa part sur certaines dispositions du projet de décret ne sauraient préjuger de la licéité de l'ensemble des traitements concernés. Compte tenu des conditions de saisine, la CNIL invite le ministère à revenir vers elle aux fins de poursuivre les échanges sur la mise en conformité des différents traitements. 2. Sur la gestion des identités et des habilitations des accédants La mise en œuvre des traitements précités nécessite l'exposition de services donnant accès au système d'information de France Travail (SI-FT) aux partenaires du réseau pour l'emploi. L'accès à ces services peut se faire par le biais d'un portail, dit MonPortailPro , d'une application partenaire ou d'interfaces de programmation applicative (API). La gestion des comptes et des habilitations des utilisateurs appartenant aux différentes structures du réseau pour l'emploi sera assurée par des responsables de gestion de compte (RGC), après signature de conventions entre France Travail et chacune des structures concernées. L'article R. 5312-42-1, VI, du projet de décret prévoit que ces conventions doivent notamment contenir les conditions de délivrance, de durée et de renouvellement des habilitations d'accès au SI-FT, le périmètre d'accès aux données mises à disposition dans le cadre des services dématérialisés, et les garanties de sécurité et de confidentialité apportées par l'organisme. Au regard des violations massives de données ayant récemment affecté certaines structures du réseau pour l'emploi, la CNIL regrette de ne pas avoir été consultée en amont de cette saisine, par exemple, sur une convention-cadre contenant les exigences minimales de sécurité qui seront exigées des partenaires de FT. Les documents transmis à la CNIL permettent de dégager certaines mesures de sécurité considérées comme cible à atteindre par FT pour la création de compte, l'authentification et la gestion des habilitations des utilisateurs du réseau pour l'emploi accédant aux services mis en œuvre : - tous les accès aux outils et API seront réalisés via une authentification multifacteur. L'obtention d'une dérogation à ce mode d'authentification, par exemple auprès du support technique téléphonique, ne sera plus possible à partir du 1er janvier 2025 ; - un responsable de gestion de compte (RGC), désigné au sein de chaque structure partenaire, habilite individuellement les utilisateurs des outils en leur attribuant uniquement les droits nécessaires (principe de moindre privilège). Il s'occupe également d'informer les utilisateurs concernant les règles de sécurité et de confidentialité à respecter ; - une revue des habilitations des utilisateurs est effectuée chaque trimestre ; - l'ensemble des requêtes donnant accès à une ressource du SI-FT permet l'identification par FT du conseiller à l'origine de la requête, de sa structure de rattachement, de ses habilitations et, le cas échéant, de l'écosystème du demandeur d'emploi concerné. La CNIL estime que ces exigences cibles de sécurité sont appropriées et de nature à limiter les risques d'accès illégitime à des données à caractère personnel et d'usurpation d'identité d'un conseiller. Ces mesures doivent notamment permettre la détection automatique par FT de certains incidents de sécurité. Néanmoins, la CNIL s'inquiète de leur mise en œuvre effective par les partenaires du réseau pour l'emploi. En effet, il apparait que des dérogations à ces exigences de sécurité seront accordées dès la mise en œuvre des traitements concernés, avec notamment : - le recours à des systèmes d'authentification qui ne reposent pas sur des facteurs d'authentification distincts (inhérence, connaissance, possession) et ne constituent donc pas une authentification multifacteur ; - l'abaissement de la fréquence des revues d'habilitations à une par an ; - l'existence de requêtes ne permettant pas l'identification et l'authentification par FT des utilisateurs qui en sont à l'origine, abaissant significativement l'efficacité de certaines règles de détection permettant la levée d'alertes en cas de comportements suspects, ainsi que la traçabilité. Dès lors, la CNIL invite le ministère à exiger la mise en œuvre des mesures de sécurité mentionnées ci-dessus pour l'ensemble des structures du réseau pour l'emploi avant toute mise à disposition des nouveaux outils concernés donnant accès au SI-FT. 3. Sur la sensibilité des données collectées a) Sur l'utilisation du NIR : Malgré la rédaction actuelle du projet de décret, le ministère précise que le NIR ne sera pas utilisé comme identifiant général des demandeurs d'emploi de leur conjoint et des membres de leur foyer, mais seulement dans un but de fiabilisation des données d'identité des demandeurs d'emploi, préalablement à l'attribution d'un numéro d'identification par FT. Aussi, il est indiqué que ce numéro d'identification attribué par FT sera utilisé comme identifiant unique pour chaque demandeur d'emploi. La CNIL prend acte des précisions du ministère s'agissant de la limitation de l'utilisation du NIR. Elle estime possible l'utilisation du NIR pour fiabiliser la base de données mais invite le ministère à mieux circonscrire, dans le décret, son utilisation à cette finalité et ce, dans le respect des conditions dans lesquelles peuvent être mis en œuvre les traitements de données à caractère personnel reposant sur la collecte du NIR, compte tenu des spécificités de ce numéro et de son caractère signifiant. Par ailleurs, l'article 7 du projet de décret prévoit la modification du décret du 19 avril 2019 afin de permettre aux membres du réseau pour l'emploi de traiter et partager le NIR dans le cadre de la mise en œuvre des missions mentionnées à l'article L. 5311-8 du code du travail, notamment : - la mise en œuvre des procédures et des critères communs d'orientation des demandeurs d'emploi ou rencontrant des difficultés sociales et professionnelles ; - la mise en œuvre d'un socle commun de services au bénéfice des personnes et des employeurs ainsi que des méthodologies et des référentiels établis par les Comités national et territoriaux ; - la participation à l'élaboration d'indicateurs communs de suivi, de pilotage et d'évaluation des actions ; - la mise en œuvre de l'interopérabilité des systèmes d'information avec le SI-FT, lorsque celle-ci est nécessaires aux missions précitées ; - l'organisation de la participation des bénéficiaires des services à la définition et à l'évaluation des actions du réseau pour l'emploi. La CNIL observe que l'usage du NIR n'apparait pas toujours nécessaire pour atteindre ces objectifs et que sa collecte dans de telles circonstances apparait disproportionnée. Aussi, elle prend acte de l'engagement du ministère de modifier le projet de décret afin de préciser et de limiter les finalités pour lesquelles le NIR sera collecté. b) Sur la collecte de données sensibles : Les traitements impliquent la collecte à grande échelle de données particulièrement nombreuses, parmi lesquelles des données relevant de catégories particulières de données : des données dites sensibles (notamment relatives à la santé), des données relatives à des condamnations pénales, infractions ou mesures de sûreté connexes , ainsi qu'à des données dites hautement personnelles . A ce titre, le projet d'article R. 5312-42 dispose que seront notamment collectées les données relatives à la situation familiale y compris la présence d'un enfant en situation de handicap ou des problèmes de santé d'un enfant, l'état de santé… . Il prévoit également que sera collecté pour certaines finalités spécifiques de l'opérateur FT le type et l'origine du handicap . Aussi, en raison de l'extrême sensibilité de ces traitements, elle invite le ministère à collecter et traiter ces données avec la plus grande précaution et en fournissant des garanties particulières. Le traitement des données sensibles, sur le fondement du b ou du g du 2 de l'article 9 du RGPD, nécessite notamment de prendre des mesures de sécurité renforcées, de sensibilisation des agents accédant à ces données, d'habilitations strictes et de rendre impossible toute recherche réalisée spécifiquement à partir de requêtes portant sur ces données. La CNIL appelle également à ce que le traitement de données relevant de l'article 46 de la LIL restent strictement dans le cadre des dérogations ouvertes par cet article, s'agissant notamment des personnes autorisées à en connaître. 4. Sur l'information et les droits des personnes Le projet de décret prévoit que l'information des personnes concernées est assurée, selon les traitements, par la CNAF et la CCMSA ou par FT, notamment par l'intermédiaire de leurs sites web et lors du dépôt de demande d'allocation. Au regard du public concerné incluant des mineurs et des personnes en situation de handicap, la délivrance de l'information devra être adaptée conformément à l'article 12 du RGPD, notamment via la mise à disposition d'une mention d'information au format Facile à lire et à comprendre (FALC). En plus d'une information écrite, la CNIL rappelle qu'une information orale des personnes concernées délivrée par les organismes référents est recommandée, afin de s'assurer de la bonne compréhension des informations communiquées Ces mentions d'information devront être accessibles et mises à jour afin de prendre en compte l'évolution des cadres juridiques du traitement. Sur l'exercice des droits des personnes, le projet de décret écarte expressément pour chacun des traitements l'exercice du droit d'opposition en application de l'article 56 de la loi du 6 janvier 1978 modifiée. Or, les traitements sont fondés sur des bases légales distinctes, telles que les missions d'intérêt public poursuivies par les responsables de traitement, l'obligation légale de traitement de données résultant notamment de formalités obligatoires et, de façon résiduelle, le consentement. Dès lors, la CNIL s'interroge sur une limitation aussi générale du droit d'opposition. La CNIL rappelle, d'une part, que, pour pouvoir apporter valablement des limitations au droit d'opposition des personnes, la mesure normative prise à cet effet doit contenir certaines dispositions spécifiques minimales énumérées à l'article 23.2 du RGPD et, d'autre part, que l'article 56 de la loi énonce qu'une telle exclusion doit être prévue par une disposition expresse de l'acte instaurant le traitement . La CNIL invite en conséquence le ministère à compléter le projet de décret afin de satisfaire entièrement aux exigences de ces articles. 5. Sur les mesures de sécurité Le texte conduit à une extension des traitements de données opérés par FT et ses partenaires, en particulier du nombre d'entités accédant aux données des demandeurs d'emploi. Cette extension accroît les risques de sécurité auxquels les traitements sont exposés. La CNIL s'inquiète de ce que l'ouverture massive d'accès aux partenaires de FT, dans des délais extrêmement contraints, ne soit pas accompagnée par des mesures de sécurité adaptées aux risques, en particulier à court terme (voir notamment ci-avant la section sur la gestion des identités et des habilitations des accédants). En effet, les acteurs et systèmes d'information sur lesquels reposent les traitements considérés ont vocation à entrer dans le champ de la directive (UE) 2022/2555 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union (directive NIS 2), dont la transposition doit intervenir prochainement. Dans cette perspective, les systèmes d'information de France Travail, en particulier, ont vocation à faire l'objet d'exigences de sécurité accrues qui s'étendront au moins en partie aux différentes entités accédant à ces systèmes. Si la CNIL relève qu'une démarche d'homologation et plan d'action de sécurisation des traitements sont initiés, elle regrette que ce plan d'action ne précise pas de calendrier prévisionnel au-delà du 1er trimestre 2025, particulièrement concernant les partenaires réalisant certaines opérations de contrôle essentielles au sein de leur propre système d'information, par exemple l'authentification des utilisateurs ou la gestion des périmètres d'accès. Des mesures de sécurité techniques et organisationnelles doivent être mises en œuvre, tant pour les utilisateurs des applications du réseau pour l'emploi accédant aux services mis en œuvre que pour des acteurs avec un profil technique (administrateur, RGC, consultant, infogérant, etc.). La CNIL invite le ministère à faire aboutir ces travaux de sécurisation avec toutes les parties prenantes avant la mise en œuvre effective des nouveaux traitements concernés. Elle souligne notamment l'importance de mettre en place des actions de formation et de sensibilisation au sein de l'ensemble des entités accédant aux données. Elle invite également l'ensemble des parties prenantes à tirer parti des recommandations que l'ANSSI a formulées afin d'aider les organismes à remédier aux insuffisances de sécurité constatées lors de la gestion des récents incidents qui ont affecté les entités du secteur social, afin de limiter la probabilité de survenance d'incidents de grande ampleur similaires. Les exigences de sécurité, prévues par les articles 5.1.f et 32 du RGPD, nécessitent la mise à jour régulière de l'analyse d'impact relative à la protection des données (AIPD) et de ses mesures de sécurité au regard de la réévaluation régulière des risques et au fur et à fur mesure de la mise en œuvre des plans d'action de sécurisation des SI. B. - Remarques spécifiques 1. Sur le traitement T1 - RSA et PA : Il ressort du II du projet d'article R. 262-102 du CASF que le traitement poursuit plusieurs finalités, notamment : - le recueil et la transmission aux CD par les CNAF et CCMSA des demandes de RSA ; - l'instruction des demandes de RSA et l'examen du droit à la prime d'activité, conformément à l'article L. 843-1 du code de la sécurité sociale ; - l'attribution par les caisses d'assurance maladie assurant la prise en charge des frais de santé du demandeur, sauf en cas de refus de celui-ci, de la protection complémentaire en matière de santé pour les demandeurs dont les ressources sont présumées ne pas excéder le montant forfaitaire prévu à l'article L. 262-2 du code de l'action sociale et des familles ; - le recueil et la transmission à FT des données nécessaires pour l'inscription automatique du demandeur du RSA ainsi que de son conjoint solidarité sur la liste des demandeurs d'emploi ; - la communication à FT des données nécessaires à l'identification par FT de l'organisme compétent pour prononcer l'orientation du demandeur d'emploi. Le projet d'article R. 262-103 énumère les données qui devront être collectées dans le cadre du présent traitement, sans pour autant justifier dans quelles mesures elles sont nécessaires aux finalités poursuivies. Conformément au principe de minimisation, la CNIL recommande au ministère, d'une part, de s'assurer du caractère nécessaire des données collectées au regard des finalités poursuivies et, d'autre part, de distinguer les catégories de données nécessaires pour chacune des finalités poursuivies. 2. Sur le traitement T2 - bRSA : a) Sur les données collectées : Il ressort du II du projet d'article R. 262-111 du CASF que le traitement poursuit plusieurs finalités, notamment la transmission de données à FT, aux CAF et CCMSA et aux comités national et territoriaux pour l'emploi dans le cadre des missions exercées par chacun de ces acteurs. Le projet d'article R. 262-112 énumère les données qui devront être collectées dans le cadre du présent traitement, sans pour autant justifier dans quelle mesure elles sont nécessaires aux finalités poursuivies. La CNIL prend acte de l'engagement du ministère modifier le projet de décret afin de supprimer ces transmissions mentionnées au 4° et 5° du II du R. 262-11 du CASF, ce flux étant couvert par les dispositions propres du SI FT. La CNIL s'interroge notamment sur la nécessité pour les comités national et départementaux pour l'emploi d'être destinataires de données relatives aux décisions d'orientations des bénéficiaires du RSA et de leur conjoint au regard des missions qu'ils poursuivent en vertu des articles L. 5311-09 et 5311-10 du code du travail. Conformément au principe de minimisation, la CNIL recommande au ministère d'une part, de s'assurer du caractère nécessaire des données collectées au regard des finalités poursuivies et, d'autre part, de distinguer les catégories de données nécessaires pour chacune des finalités poursuivies. b) Sur les durées de conservation : Le projet d'article R. 262-113 du CASF renvoie pour les durées de conservation des données susmentionnées à celles retenues pour le SI-FT. Compte tenu des conditions de saisines sus exposées, la CNIL n'est pas en mesure de se prononcer sur le caractère adapté des différentes durées de conservation. Elle observe cependant que le traitement présente plusieurs dizaines de finalités. En conséquence la CNIL invite le ministère à distinguer clairement les durées de conservation en fonction de chacune de ces finalités. c) Sur les destinataires : Le projet d'article R. 262-114 mentionne comme seuls destinataires des données les agents de FT désignés et habilités par l'autorité responsable de cet organisme, lorsque les données sont nécessaires à l'exercice de leurs missions. Le ministère précise que seul FT est destinataire de ce traitement et s'engage à clarifier en ce sens les dispositions projetées. Au regard des finalités poursuivies cependant, la CNIL invite le ministère de prévoir également comme destinataires les comités national et territoriaux pour l'emploi lorsque l'accès aux données est nécessaire pour l'exercice de leurs missions. Aussi, la CNIL prend acte des engagements de modifier le projet d'article relatif aux destinataires du SI de FT afin de prévoir ces destinataires de données. Il s'engage également à préciser que les données qui leur seront transmises ne permettront pas de réidentifier les personnes concernées. 3. Sur le traitement T3 - RSA, PA et AAH a) Sur la base légale : Le projet d'article R. 5312-32 du CT indique que les caisses sont responsables du traitement ; or il se fonde sur les nécessitées liées à la fois à l'exercice des missions d'intérêt public de FT ainsi que sur l'exécution des obligations légales auxquelles il est assujetti. La CNIL rappelle, en application de l'article 6.1.e du RGPD, que l'intérêt public mobilisé doit être celui du responsable du traitement et invite le ministère à mobiliser une différente base légale. b) Sur les données collectées : Le projet d'article R. 5312-34 du CT prévoit la suppression des données relatives aux allocataires bénéficiaires du RSA, de la PA et de l'AAH qui ne sont pas demandeurs d'emploi, conjoint ou membre du foyer d'un demandeur d'emploi - et qui ne sont donc pas concernés par les finalités du présent traitement - dans un délai d'un mois. Cela signifie que les données de l'ensemble des bénéficiaires de ces allocations (RSA, PA et AAH) qu'ils soient ou pas demandeurs d'emploi, conjoints ou membres du foyer, sont transmises à FT afin que ce dernier puisse effectuer un tri. Bien que les données ne soient pas intégrées dans les bases informatiques de FT mais sauvegardées sous forme de fichier brut, cette transmission constitue bien un traitement de données à caractère personnel. Or, conformément au principe de minimisation des données (article 5 du RGPD), seules les données strictement nécessaires pour atteindre la finalité poursuivie doivent être traitées. Aussi, la CNIL considère que la transmission de l'ensemble des données des allocataires est disproportionnée. La CNIL prend acte des engagements du ministère en ce sens s'agissant de la transmission dans un premier temps des seules données permettant d'identifier si un bénéficiaire est également demandeur d'emploi, et dans un second temps, en cas de confirmation, de la transmission de l'ensemble des données. S'agissant des nombreuses données, particulièrement sensibles, qui sont uniquement nécessaires à la personnalisation des sanctions en fonction de la situation de la personne, la CNIL estime que ces données ne doivent être collectés que pour les seules personnes faisant l'objet d'une sanction et non pour l'ensemble des demandeurs d'emploi qui pour la plupart ne feront jamais l'objet d'une telle procédure. Par conséquent, elle invite le ministère à prévoir une interrogation des bases de données des caisses afin de ne cibler que les données nécessaires relatives au demandeur d'emploi concerné par la proposition de sanction. 4. Sur le traitement T4 - SI-FT a) Sur les finalités : Le projet d'article R. 5312-38 du CT prévoit notamment une finalité de prévention et de lutte contre la fraude. La détection de la fraude par FT, portant notamment sur les allocations chômage, repose a priori principalement sur l'exploitation de signalements et de données obtenues par le biais de croisements permettant de faire émerger des facteurs de risque. La CNIL ne dispose pas de tous les éléments nécessaires pour se prononcer sur ce sujet sur lequel elle est particulièrement attentive. Elle s'interroge néanmoins sur la proportionnalité de l'utilisation de nouvelles catégories de données collectées - notamment sur les conjoints et membres du foyer - dans le cadre de l'identification de facteurs de risques associés à une demandeur afin de déterminer l'opportunité de réaliser un contrôle. b) Sur les données collectées : Le projet d'article R. 5312-42-1, III, prévoit un accès par catégories de public suivi sans toutefois limiter les catégories de données nécessaires aux missions des accédants concernant ses personnes. Par ailleurs, le projet d'article R. 5312-42-1 du CT prévoit une fonction de recherche nationale, permettant à l'ensemble des acteurs cités dans le II° du même article d'accéder aux données d'identification et de contact des demandeurs d'emploi, ainsi que leur organisme référent, sur l'ensemble du territoire national, sur la base de l'utilisation du NIR. La CNIL renvoie sur ce point aux observations effectuées précédemment quant à l'élargissement important de son utilisation. La CNIL invite le responsable du traitement à prévoir les mesures de sécurité appropriées afin de contrôler les accès à ces données pour prévenir les accès illégitimes, et d'alerter, le cas échéant (voir ci-avant la section concernant la gestion des identités et des habilitations des accédants). c) Sur les durées de conservation : Le projet d'article 5312-44 du CT prévoit une durée de conservation des données de 10 ans en base active à compter de la cessation d'inscription sur la liste des demandeurs d'emploi sans dépasser une durée totale de 20 ans. La CNIL s'interroge sur le caractère proportionné d'une telle durée pour chacune des données collectées au regard des nombreuses finalités poursuivies. Le projet de décret prévoit par ailleurs que les données techniques et de traçabilité seront conservées durant 6 mois, conformément aux recommandations de la CNIL en matière de journalisation. La CNIL invite le responsable du traitement SI-FT à prévoir un regroupement des données de traçabilité dans un système dédié et sécurisé facilitant la détection, notamment automatique, des comportements suspects et incidents de sécurité avant l'expiration de cette durée de conservation. La présidente, M.-L. Denis


Décision DR-2024-305 du 9 décembre 2024 autorisant le GROUPEMENT DES HOPITAUX DE L’INSTITUT CATHOLIQUE DE LILLE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la faisabilité et l’efficacité d’une intervention d’un infirmier diplômé d’état spécialisé à domicile sur la réalisation des plans de soins anticipés chez des patients à haut risque de décès en sortie de médecine aigue gériatrique, nécessitant un accès aux données du PMSI et du CépiDC, composantes du système national des données de santé (SNDS), pour les années 2024 à 2027, intitulée « SAPHARI » . (Demande d’autorisation n° 924185)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Nord-Ouest III du 30 mai 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées (enregistrements audios et chaînage des données cliniques avec celles du Système national des données de santé (SNDS)). En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que des données de santé) S’agissant de la réalisation d’enregistrements vocaux : Des enregistrements vocaux permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants ainsi que, le cas échéant, de leurs représentants légaux sera recueilli pour la réalisation des enregistrements. S’agissant de la collecte du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) : Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du NIR, du sexe et de la date de naissance complète des participants. Le dossier de demande mentionne que le circuit d’appariement sera conforme à la fiche pratique multi-centres / eCRF avec NIR publiée par la CNIL. A cet égard, les données de l’étude seront saisies par le centre investigateur dans un cahier d'observation électronique centralisé ( eCRF ) contenant le NIR, la date de naissance complète et le sexe qui seront cloisonnés par rapport aux données de l’étude et au numéro d’inclusion (par exemple, dans une table séparée et chiffrée avec une clé spécifique). L’accès à l’eCRF sera sécurisé par une authentification multifacteur. Aux fins d’appariement, l’eCRF génèrera en interne une table de correspondance pour tous les participants, entre leur NIR, sexe et date de naissance et un identifiant d’accrochage aléatoire et non signifiant. Cette table sera transmise à la CNAM, éventuellement par l’entremise d’un tiers de formatage habilité à utiliser le téléservice SAFE. Les algorithmes et les procédures de gestion de clés de chiffrement devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. A cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. Utilisation de données issues du SNDS historique Composantes concernées : PMSI et CépiDC. Années concernées : 2024 à 2027, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : portail de la CNAM. Information et droits des personnes Les notes d’informations devront comprendre l’ensemble des mentions prévues par le RGPD. En outre, le responsable de traitement devra prévoir la remise d’un support d’information adapté aux représentants des majeurs protégés bénéficiant d’un régime de protection autre que la tutelle. Durées d’accès et de conservation des données Les enregistrements vocaux seront conservés pendant un an puis détruits après analyse. Les NIR et les dates de naissance complètes des patients ne seront pas conservés après l’appariement. Données du SNDS : six mois à compter de la mise à disposition des données. Autres données : Base active : deux ans. Archivage : quinze ans. AUTORISE le GROUPEMENT DES HOPITAUX DE L’INSTITUT CATHOLIQUE DE LILLE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-306 du 6 décembre 2024 autorisant le CENTRE HOSPITALIER DE GRENOBLE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la description des parcours de soin dans le syndrome douloureux de l’épaule en lien avec la coiffe des rotateurs non-traumatiques, intitulée « ASPIC ». (Demande d’autorisation n° 924281)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ile de France I du 18 juin 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que données de santé) Des enregistrements vidéo permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participants sera recueilli pour la réalisation des enregistrements. Ces enregistrements devront être traités et transmis de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir y accéder. Destinataires des données directement identifiantes La collecte des noms, prénoms, des coordonnées (téléphoniques et électroniques) est nécessaire pour assurer le suivi des patients qui en sont informés. Ces données devront être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir y accéder. Information et droits des personnes Tous les participants recevront une note d’information individuelle. Durées de conservation en base active et en archivage Les données nominatives et les coordonnées des participants seront détruites à la fin du suivi. Les enregistrements vidéo des entretiens réalisés avec les participants seront conservés pendant trente jours maximum puis détruits. Autres données : Base active : deux ans Archivage : quinze ans. AUTORISE LE CENTRE HOSPITALIER DE GRENOBLE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-307 du 6 décembre 2024 autorisant l’AGENCE NATIONALE DE SANTE PUBLIQUE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la mise à jour de l’analyse spatio-temporelle de la qualité du sperme en France. (Demande d’autorisation n° 924172)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 16 novembre 2023. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (collecte du code postal de résidence et de l’"Ilot Regroupé pour l'Information Statistique" (IRIS)) ainsi que des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Réutilisation des données d’une base existante Dans le cadre de cette étude, seront réutilisées : les données du fichier national d’assistance médicale à la procréation, mis en œuvre par l’Agence de biomédecine (demande d’autorisation n° 916514 ; décision DR-2017-050) ; les données issues des bases de données des laboratoires de biologie médicale participants. Catégories particulières de données traitées (autres que données de santé) La collecte du code IRIS, du code postal de résidence, ainsi que d’informations relatives à la vie sexuelle des participants a été scientifiquement justifiée dans le dossier de demande. Information et droits des personnes Sur les modalités d’information des personnes concernées par l’étude : En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre à travers la diffusion d’une note d’information par voie d’affichage au sein des centres participants et sur le site web du responsable de traitement. Des actions de communication seront également réalisées par des associations de patients afin de relayer la note d’information collective. Sur l’exercice des droits des personnes concernées par l’étude : Les droits des personnes concernées ne pourront être exercés que pendant vingt-quatre mois. Conformément aux principes de transparence et de loyauté de l’article 5 du RGPD et comme précisé dans les lignes directrices sur la transparence adoptées par le groupe de travail "Article 29" le 29 novembre 2017, les responsables de traitement doivent informer les personnes concernées de toute restriction spécifique applicable à ces droits afin de s’assurer que leurs attentes raisonnables n’ont pas été trompées. Si les personnes concernées fournissent des informations complémentaires permettant leur ré-identification, un tel exercice devra être rendu possible, conformément à l’article 11 du RGPD. Durées de conservation en base active et en archivage Les données seront conservées cinq ans en base active, puis détruites. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. Observations complémentaires Le responsable de traitement souhaite mettre à la disposition d’autres chercheurs un ensemble de données "anonymisées" collectées dans le cadre de cette étude. Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement devra réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, le responsable de traitement doit démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par lui-même ou par toute autre personne, est négligeable. Seuls des jeux de données répondant à ces conditions pourront être mis à disposition. Dans l’hypothèse où une nouvelle étude serait réalisée à partir de jeux de données à caractère personnel, celle-ci devra faire l’objet de formalités préalables. En dehors de cette hypothèse, seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, pourront faire l’objet d’une mise à disposition. AUTORISE l’AGENCE NATIONALE DE SANTE PUBLIQUE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-308 du 6 décembre 2024 autorisant l’INSTITUT GUSTAVE ROUSSY à mettre en œuvre un traitement de données ayant pour finalité une étude de non infériorité du pembrolizumab à dose usuelle ou faible en phase de maintenance dans le cancer bronchique non à petites cellules, intitulée « PULSE ». (Demande d’autorisation n° 924224)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Méditerranée IV du 25 octobre 2023. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Destinataires des données directement identifiantes Le responsable de traitement prévoit l’utilisation d’une solution de surveillance à distance des consentements des participants à l’étude. Le sous-traitant et l’attaché de recherche clinique du responsable de traitement seront destinataires de certaines données administratives d’identification des participants (nom, prénom, date de naissance) ainsi que du contenu du formulaire de consentement mentionnant leur pathologie. Les personnes concernées en seront préalablement informées. Information des personnes Tous les participants recevront une note d’information individuelle. Mesures de sécurité Les consentements des participants à la recherche seront recueillis au format papier et feront l’objet d’un contrôle qualité réalisé à distance. La solution technique permettant ce contrôle des consentements consiste en une plateforme sécurisée permettant aux centres investigateurs de transmettre les documents (format PDF) nécessaires au contrôle qualité des consentements à distance par les attachés de recherche clinique du promoteur. Le responsable de traitement a précisé se conformer aux bonnes pratiques émises par la CNIL pour le contrôle qualité à distance des essais cliniques, notamment aux conditions de sécurité communes aux différentes solutions pouvant être utilisées, ainsi qu’aux conditions de sécurité spécifiques à l’ envoi de données par les centres à l’ attaché de recherche clinique du promoteur via une plateforme sécurisée . La solution de contrôle qualité à distance sera hébergée en France par un sous-traitant certifié pour l’hébergement de données de santé. Le dépôt des documents de consentement numérisés sur la plateforme est réalisé par les centres investigateurs. Une procédure devra être mise en place afin d’assurer l’authenticité des copies numérisées par rapport aux documents manuscrits d’origine, en s’appuyant sur le règlement eIDAS. Les connexions à la solution nécessitant un accès à des données administratives d’identification ou de santé seront soumises à une authentification multifacteur (mot de passe et code à usage unique). Tous les mots de passe utilisés devront être conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés. Les connexions à cette plateforme sécurisée s’effectueront depuis des postes de travail maitrisés du responsable de traitement et des centres investigateurs. Il est recommandé que des mesures de filtrage soient mises en place afin de restreindre les accès à cette plateforme à ces seuls postes de travail autorisés. Les données stockées et échangées seront chiffrées au repos et en transit par des protocoles et algorithmes à l’état de l’art. Les documents de consentement sont uniquement consultables en ligne, la solution met en œuvre une visualisation web en propre afin d’éviter le chargement du document dans le navigateur ou sur le poste de l’attaché d’étude clinique. Les journaux et traces techniques seront conservés conformément aux recommandations de sa délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation. Outre ces mesures relatives au contrôle qualité à distance, les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de leur conformité à tout moment. Durées de conservation en base active et en archivage À la fin de l’étude, les échantillons biologiques seront soit versés dans une collection pour une durée maximale de vingt-cinq ans, lorsque le participant y aura consenti, soit détruits. Les données nominatives et la date de naissance du patient seront conservées six jours puis détruits. Autres données : Base active : six ans Archivage : vingt-cinq ans. Réutilisation des données et des échantillons biologiques Toute nouvelle étude qui sera mise en œuvre à partir des échantillons biologiques et des données cliniques associées devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’INSTITUT GUSTAVE ROUSSY à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT