Décision DR-2024-317 du 13 décembre 2024 autorisant la société IQVIA OPERATIONS FRANCE SAS et un CONSORTIUM DE FABRICANTS DE DISPOSITIFS MEDICAUX à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude post-inscription  portant sur le suivi exhaustif des patients porteurs de prothèses totales de hanche avec cotyle à insert double mobilité, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2012 à 2023, « EPI PTH CDM » (Demande d’autorisation n° 920137v3)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 7 novembre 2024. Modification substantielle du traitement de données La modification envisagée porte sur l’allongement de la durée d’accès aux données du SNDS de trois ans supplémentaires. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE, la société IQVIA OPERATIONS FRANCE SAS et un CONSORTIUM DE FABRICANTS DE DISPOSITIFS MEDICAUX à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-318 du 13 décembre 2024 autorisant l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’efficacité d’interventions pour améliorer le vécu des proches de patients hospitalisés en réanimation, intitulée « RELIEF ». (Demande d’autorisation n° 924347)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Nord-Ouest III du 6 novembre 2024. Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes et de la nature des données traitées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Catégories particulières de données traitées (autres que des données de santé) La collecte de données relatives aux convictions religieuses des participants a été scientifiquement justifiée dans le dossier de demande. Les participants pourront choisir de ne pas transmettre cette information à l’équipe de recherche. Destinataires de données directement identifiantes Les membres de l’équipe de recherche FAMIREA auront accès aux données nominatives ainsi qu’aux coordonnées téléphoniques des participants afin d’assurer leur suivi centralisé. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Les patients et leurs proches recevront une note d’information individuelle en vue de leur participation à ce projet de recherche. Durées de conservation en base active et en archivage Les données administratives d’identification (nom, prénom) ainsi que les coordonnées téléphoniques seront détruites à la fin du suivi des participants. Autres données : Base active : six ans Archivage : quinze ans. AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-316 du 13 décembre 2024 autorisant la société ROCHE à mettre en œuvre la modification d’un traitement de données ayant pour finalité une étude portant sur le lymphome diffus à grandes cellules B, la description des patients, des traitements, du coût de prise en charge, de la mortalité et de la survie sans progression des patients en France, nécessitant un accès aux données du SNIIRAM et du PMSI, composantes du Système national des données de santé (SNDS), pour les années 2008 à 2021. (Demande d’autorisation n° 921446v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 7 novembre 2024. Modification substantielle du traitement de données La modification envisagée porte sur l’allongement de la durée d’accès aux données du SNDS de dix-huit mois supplémentaires. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE la société ROCHE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-319 du 13 décembre 2024 autorisant la société IDORSIA PHARMACEUTICALS FRANCE à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’utilisation de QUVIVIQ dans un cadre clinique standard pour le traitement de l’insomnie chronique en France, intitulée « ETIQ ». (Demande d’autorisation n° 924320)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ouest IV du 1er octobre 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003 à l'exception des destinataires des données directement identifiantes. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Destinataires des données directement identifiantes Le sous-traitant du responsable de traitement aura accès aux données nominatives ainsi qu’aux coordonnées téléphoniques et électroniques des participants afin d’assurer leur suivi centralisé. Les participants en seront informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle. Durées de conservation en base active et en archivage Les données nominatives et les coordonnées seront détruites à la fin du suivi. Autres données : Base active : cinq ans Archivage : quinze ans. AUTORISE la société IDORSIA PHARMACEUTICALS FRANCE à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-325 du 17 décembre 2024 autorisant l’INSTITUT DE RECHERCHE POUR LE DÉVELOPPEMENT, l’INSTITUT DE RECHERCHE CLINIQUE DU BENIN et le LABORATOIRE DE BIOCHIMIE DES SUBSTANCES NATURELLES BIOACTIVES à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l’évaluation des tisanes d’artemisia annua et d’artemisia afra pour la prévention du paludisme au Bénin, intitulée « PREPAR ». (Demande d’autorisation n° 924097v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du comité d’éthique de la recherche de l’Institut des sciences biomédicales appliquées de République du Bénin du 17 mai 2024. Points de non-conformité à la méthodologie de référence concernée Les participants à la présente étude sont inclus au Bénin. Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception d’une part, des modalités d’information des personnes concernées et d’autre part, de l’application des dispositions du code de la santé publique relatives aux recherches impliquant la personne humaine et des dispositions relatives au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Par ailleurs, il est pris acte de l’engagement des responsables de traitement de respecter les dispositions locales spécifiques, notamment celles applicables en matière de recherches dans le domaine de la santé et de secret professionnel. Information et droits des personnes Tous les participants recevront une note d’information individuelle. S’agissant de l’inclusion de mineurs, dans la mesure du possible, les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur. Toutefois, une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi "informatique et libertés" en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche. Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre. Transferts hors Union européenne Les responsables de traitement prévoient de transférer certaines données pseudonymisées des participants à l’étude au Bénin. Prenant en considération l'arrêt C-311/18 rendu par la Cour de justice de l’Union européenne le 16 juillet 2020, la CNIL rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD. La CNIL rappelle que conformément aux dispositions de l’article 46 du RGPD, en l’absence de décision d’adéquation, les responsables de traitement ou les sous-traitants ne peuvent transférer des données à caractère personnel vers un pays tiers que s’ils ont prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de recours effectives. Elle relève que les responsables de traitement envisagent d’encadrer le transfert de données au Bénin par la conclusion de clauses contractuelles type telles que prévues par la décision 2021/914 de la Commission du 4 juin 2021. Il incombe aux responsables de traitement d'évaluer si le niveau de protection requis par le droit de l’Union européenne est respecté au Bénin afin que les garanties fournies par les clauses contractuelles types puissent être respectées. Le cas échéant, ces clauses contractuelles ne pourront constituer des garanties appropriées au sens du chapitre V du RGPD qu’à la condition d’avoir été complétées par des mesures supplémentaires afin de garantir un niveau de protection essentiellement équivalent à celui prévu dans l'Espace économique européen. Les responsables de traitement sont également tenus de s'assurer que la législation du pays tiers n'empiétera pas sur ces mesures supplémentaires de manière à les priver d'effectivité. Durées de conservation en base active et en archivage Base active : cinq ans Archivage : dix ans. Réutilisation des données Toute nouvelle étude qui sera mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE l’INSTITUT DE RECHERCHE POUR LE D ÉVELOPPEMENT, l’INSTITUT DE RECHERCHE CLINIQUE DU BENIN et le LABORATOIRE DE BIOCHIMIE DES SUBSTANCES NATURELLES BIOACTIVES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-326 du 17 décembre 2024 autorisant le CENTRE LEON BERARD à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le parcours de soins et le devenir des adolescents et jeunes adultes âgés de 15 à 29 ans atteints de cancer en France, nécessitant un accès aux données du SNIIRAM, du PMSI, du CépiDc et des données médico-sociales des maisons départementales des personnes handicapées visées par l’article L.1461-1 4° du code de la santé publique, composantes du Système national des données de santé (SNDS), pour les années 2006 à 2024, intitulée « UNI-AJA ». (Demande d’autorisation n° 924254)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 11 janvier 2024 Points de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées (traitement du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) aux fins d’appariement des données cliniques avec les données du Système national des données de santé (SNDS)) et des modalités d’information des personnes concernées. En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004. Sur les sous-traitants Le groupement d’intérêt public "Plateforme de données de santé" (GIP PDS) assurera l’hébergement pour l’analyse des données de l’étude et facilitera leur appariement avec les données du SNDS via son service "concentrateur". La CNIL estime que le GIP PDS interviendra en qualité de sous-traitant. A ce titre, la répartition des rôles et responsabilités entre le Centre Léon Bérard et le GIP PDS, concernant notamment la sensibilisation des utilisateurs du projet, la surveillance des traces, la gestion des alertes et des incidents ainsi que les gestions des exports de données anonymes, devra être formalisée entre les parties. Plusieurs sous-traitants interviendront dans la mise en œuvre de l’étude, notamment à des fins de centralisation préalable des données sources autres que celles provenant du SNDS. Le traitement des données par chacun d’entre eux devra être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD. Nature des données traitées Plusieurs centres participeront à cette étude : l’Assistance publique – hôpitaux de Marseille, les centres Léon Bérard et Oscar Lambert, les instituts Gustave Roussy, Bergonié, Curie, de cancérologie de Lorraine et de l’Ouest, ainsi que les centres hospitaliers universitaires de Nice et de Tours. Seront réutilisées des données à caractère personnel issues : des dossiers médicaux des établissements de santé participant à cette étude collectées entre 2009 et 2022 ; des bases de données constituées en application de l’article L. 6113-7 du CSP par les établissements de santé participant entre 2009 et 2022 ; de la base Netsarc+ (demande d’autorisation n° 910390) mise en œuvre par le centre Léon Bérard et l’Institut Bergonié collectées entre 2008 et 2023 ; du réseau de référence national sur les tumeurs rares du système nerveux central (RENOCLIP) mis en œuvre par l’Assistance publique – hôpitaux de Paris (déclaration de conformité à la méthodologie de référence MR-004) collectées entre 2008 et 2023 ; de la base nationale des réunions de concertation pluridisciplinaire des tumeurs cérébrales mise en œuvre par le Centre Léon Bérard collectées entre 2008 et 2023. Ces données feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du NIR, du sexe et de la date de naissance complète des participants. Circuit d’appariement Les différents centres transmettront le NIR, le sexe et la date de naissance complète des participants au service "concentrateur d’appariement", proposé par le GIP PDS et opéré par un de ses sous-traitants, qui les transmettra à la CNAM pour extraction des données du SNDS correspondantes. En parallèle, les données pseudonymisées de l’étude seront tout d’abord transmises par chacun des centres vers un espace dédié sur la plateforme UNIBASE, opérée par Unicancer, où le Centre Léon Bérard effectuera le rapprochement des différentes sources, hors SNDS, et leur contrôle qualité. La connexion à la plateforme se fera par double authentification. Une fois consolidées, les données pseudonymisées seront versées sur la plateforme du GIP PDS pour appariement avec les données du SNDS, fournies par la CNAM, et analyse dans le cadre de l’étude. Les données seront chiffrées au sein des centres et transmises sur des canaux chiffrés. Les algorithmes utilisés et les modalités de gestion des clés associées devront être conformes au référentiel général de sécurité (annexes B1 et B2) et aux recommandations correspondantes de l’Agence nationale de la sécurité des systèmes d'information (ANSSI). Des mesures de sécurité renforcées devront être mises en place pour protéger les tables de correspondance. Les équipements mobiles devront faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI, CépiDc et des données médico-sociales des maisons départementales des personnes handicapées visées par l’article L. 1461-1 4° du CSP. Années concernées : 2006 à 2024, sous réserve qu’elles soient diffusables par la CNAM. Modalités de consultation : plateforme technologique du GIP PDS. Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement seront transmises par la CNAM. A cet égard, le dossier de demande mentionne que les filtrages et les appariements de données seront réalisés en amont de cette transmission par la CNAM. Information et droits des personnes En application de l'article 69 de la loi informatique et libertés et du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre. Ces mesures prendront la forme de la diffusion de la note d’information relative au projet d’étude sur les sites web : des établissements de santé participant à la cette étude, dont le responsable de traitement ; d’Unicancer ; de plusieurs associations de patients : "Les Aguerris", "Aïda", "On est là". Ces notes d’informations devront être complétées afin de comporter l’ensemble des mentions prévues par le RGPD. Mesures de sécurité Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données (AIPD) spécifique à l’étude. Cette AIPD couvre notamment le périmètre de la plateforme UNIBASE, mise à disposition par Unicancer et reposant sur un hébergeur certifié pour les données de santé. Les mesures de sécurité décrites dans le dossier de demande devront répondre aux exigences prévues par le f) du 1 de l’article 5 et l’article 32 du RGPD. A cet égard, ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Le traitement envisagé comportant des données du SNDS, les mesures de sécurité doivent être conformes au référentiel de sécurité prévu par l'arrêté du 6 mai 2024. La sécurité des données de l’espace projet utilisé pour le traitement des données du SNDS dépend essentiellement de la solution technique du GIP PDS, qui a fait l’objet d’une analyse globale des risques et de l’impact sur la vie privée, suivie d’une homologation selon le référentiel de sécurité applicable au SNDS. Cette homologation, qui inclut les espaces projets mis à disposition du responsable de traitement, a été réalisée par le GIP PDS le 22 juillet 2024, pour une durée de trois ans, sous réserve de la mise en œuvre du plan d’actions qu’elle a défini. Le Centre Léon Bérard devra s’assurer que le système d’information hébergeant les données de l’étude respecte ce référentiel pendant toute la durée du traitement. Transferts hors Union européenne Les dispositions de l’article R. 1461-1 du CSP prévoient qu’aucun transfert de données à caractère personnel ne peut être réalisé en dehors de l'Union européenne, sauf dans le cas d'accès ponctuels aux données par des personnes situées en dehors de l'Union européenne, pour une finalité relevant du 1° du I de l'article L. 1461-3 du CSP. En l’espèce, le dossier de demande mentionne que, bien que le prestataire ne soit pas exclusivement soumis aux lois et juridictions de l’Union européenne, aucun transfert en dehors de l’Union européenne de données individuelles du SNDS n’est prévu, aucun membre de l’équipe de recherche n’étant situé en dehors de l’Union européenne. Durées de conservation Les NIR et les dates de naissance complètes des participants ne seront pas conservés après l’appariement. Les autres données seront accessibles pendant cinq ans à compter de leur mise à disposition. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. Observations particulières Les bases de données pérennes mises en œuvre en vue de leur réutilisation à des fins de recherche ne constituent pas des études, recherches ou évaluations dans le domaine de la santé. Certaines bases de données réutilisées pour la présente étude (Netsarc+, RENOCLIP) relèvent donc, sauf en cas de recueil du consentement conformément aux dispositions du RGPD et de la loi "informatique et libertés", du régime de formalité préalable prévu par les dispositions de la sous-section 1 de la section 3 du chapitre III du titre 2 de cette même loi (déclaration de conformité au référentiel "entrepôt de données de santé" ou autorisation). Par conséquent, elles devront faire l’objet d’une nouvelle formalité auprès de la CNIL, en l’absence de recueil du consentement des personnes concernées. AUTORISE le centre léon bérard à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-327 du 20 décembre 2024 autorisant le SYNDICAT INTERCOMMUNAL A VOCATION UNIQUE D'EQUIPEMENT ET DE MODERNISATION DES THERMES DE BAREGES à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur l'effet d'une cure thermale orientée dermatologie sur la qualité de vie des patients atteints de psoriasis, intitulée « BAREGES ». (Demande d’autorisation n° 924353)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Ouest VI du 5 novembre 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001 à l'exception des destinataires des données directement identifiantes. En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. Destinataire des données directement identifiantes Le sous-traitant du responsable de traitement aura accès aux données nominatives ainsi qu’aux coordonnées téléphoniques et électroniques des participants afin d’assurer leur suivi centralisé. Les participants en seront informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. Information et droits des personnes Tous les participants recevront une note d’information individuelle. Durées de conservation en base active et en archivage Les données nominatives et les coordonnées seront détruites à la fin du suivi. Autres données : Base active : cinq ans Archivage : quinze ans. AUTORISE le SYNDICAT INTERCOMMUNAL A VOCATION UNIQUE D'EQUIPEMENT ET DE MODERNISATION DES THERMES DE BAREGES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision DR-2024-328 du 20 décembre 2024 autorisant la société ASTRAZENECA à mettre en œuvre la modification d’un traitement de données ayant pour finalité étude portant sur les fardeaux épidémiologique et économique des infections respiratoires chez les patients immunodéprimés en France, nécessitant un accès aux données du SNIIRAM, du PMSI, et de « Vaccin-COVID » composantes du Système national des données de santé (SNDS), pour les années 2011 à 2028, intitulée « BIRD-IC » (Demande d’autorisation n° 924101v1)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande de modification de l’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024. Modification substantielle du traitement de données La modification envisagée porte sur le traitement des données de "Vaccin-COVID" pour les années 2011 à 2028, sous réserve qu’elles soient diffusables par la CNAM. Les autres conditions de mise en œuvre de l’étude restent inchangées. AUTORISE la société ASTRAZENECA à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT


Décision n° MED-2024-150 du 15 novembre 2024 mettant en demeure le ministère de l’intérieur

(No MDM 241080) Conformément à la décision no 2023-259C du 15 novembre 2023, la Commission nationale de l’informatique et des libertés (CNIL) a effectué un contrôle sur pièces du ministère de l’Intérieur et des Outre-mer (ci-après, le " ministère de l’Intérieur ") le 6 décembre 2023 ainsi que des contrôles sur place auprès des direction de la police judiciaire de la préfecture de police de Paris (DPJ-PP) et service central de renseignement criminel de la gendarmerie nationale (SCRC-GN). [...] Cette procédure de contrôle avait pour objet d’apprécier la conformité des traitements de données à caractère personnel relatifs aux logiciels de traitements d’analyse automatisée des images (ci-après, " logiciels d’analyse vidéo ") mis en œuvre par le ministère de l’Intérieur ou pour son compte aux dispositions de la loi no 78-17 du 6 janvier 1978 (la loi " Informatique et Libertés "), du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (le " RGPD "), de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 (la directive " Police-Justice ") ainsi que des dispositions prévues aux articles L. 233-1 et suivants et L. 251-1 et suivants du code de la sécurité intérieure (CSI). À titre liminaire, je vous rappelle que cette décision de contrôle a été prise suite à la publication par le journal d’investigation Disclose, le 14 novembre 2023, d’une enquête révélant l’utilisation par les services du ministère de l’Intérieur d’un logiciel d’analyse vidéo commercialisé par la société BRIEFCAM. Cette enquête indiquait que plusieurs directions et services du ministère, commissariats de police et brigades de gendarmerie auraient utilisé, progressivement depuis 2015, ce logiciel afin notamment de rechercher un individu en fonction de différents critères. Selon cette enquête, ce logiciel disposerait également d’une fonctionnalité de reconnaissance faciale, laquelle serait utilisée par différents services du ministère. Concomitamment à l’ouverture par la CNIL de cette procédure de contrôle, le ministre de l’Intérieur et des Outre-mer a annoncé le 17 novembre 2023 " une mission inter-inspections sur l'utilisation de logiciels d'analyse vidéo par les services de police et gendarmerie nationales ". Dans le cadre de la procédure de contrôle de la CNIL, une réponse au questionnaire adressé au ministère de l’Intérieur, le 6 décembre 2023, a été apportée à la Commission le 18 mars 2024. Suite à ces premiers éléments de réponse, des contrôles sur place ont eu lieu auprès de la DPJ-PP le 15 mai 2024 et du SCRC-GN le 21 mai 2024. Les constatations effectuées lors de ces contrôles me conduisent à relever les éléments suivants. I- Analyse des faits en cause 1. Sur le manquement à l’obligation de traiter des données de façon licite En droit, d’une part, l’article 4, 1o, de la loi " Informatique et Libertés " dispose que les données à caractère personnel doivent être " traitées de manière licite, loyale ". Par ailleurs, l’article 87 de cette loi prévoit que les traitements de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales " ne sont licites que si et dans la mesure où ils sont nécessaires à l'exécution d'une mission effectuée, pour l'une des finalités énoncées au premier alinéa, par une autorité compétente au sens du même premier alinéa et où sont respectées les dispositions des articles 89 et 90 ". L’article 89 de cette loi précise quant à lui que " si le traitement est mis en œuvre pour le compte de l'État pour au moins l'une des finalités énoncées au premier alinéa de l'article 87, il est prévu par une disposition législative ou réglementaire prise dans les conditions prévues au I de l'article 31 et aux articles 33 à 36 ". Ces derniers articles prévoient que les traitements doivent être autorisés, selon les cas par arrêté ou décret et que, lorsqu’un acte réglementaire unique autorise un ensemble de traitements similaires, chaque traitement doit ensuite faire l’objet d’une déclaration à la CNIL prenant la forme d’un " engagement de conformité ". D’autre part, l'exploitation des enregistrements visant à identifier a posteriori [1] les auteurs présumés d'infractions constitue une technique d’investigation encadrée par le code de procédure pénale (CPP)[2]. Les dispositions précitées des articles 87 et 89 de la loi " Informatique et Libertés " sont applicables à ces traitements. À cet égard, la CNIL considère que l'exploitation d’enregistrements vidéo par le biais d’un logiciel d’analyse vidéo peut être autorisée, notamment si ce dernier constitue un logiciel de rapprochement judiciaire (ci-après, " LRJ "). Afin d’être utilisé de façon licite, un logiciel d’analyse vidéo utilisé comme logiciel de rapprochement judiciaire doit être mis en œuvre dans le cadre défini au sein des CPP[3] et décret no 2012-687 du 7 mai 2012 relatif à la mise en œuvre de logiciels de rapprochement judiciaire à des fins d’analyse criminelle (ci-après, le " décret du 7 mai 2012 "). En particulier, ce décret impose que la mise en œuvre de tels logiciels soit précédée d’un engagement de conformité, accompagné d’une AIPD[4], adressé à la CNIL[5] – permettant à cette dernière d’exercer ses pouvoirs de contrôles[6] (v. infra). À cet égard, la Commission a précisé dans son avis rendu en séance plénière le 15 décembre 2011 concernant le projet de ce décret que " la mise en œuvre de chaque [LRJ] utilisé par la police nationale, la gendarmerie nationale ou la préfecture de police, devra ainsi être précédée de l'envoi d'un engagement de conformité faisant référence au[dit] décret ". Dans cet avis, la Commission a également précisé que " d’autres logiciels [que les logiciels ANACRIM-ATRT et ANACRIM-ANB] mis en œuvre par la gendarmerie nationale, la police nationale et la préfecture de police, devraient par la suite être présentés à la Commission "[7]. Par cet engagement adressé à la CNIL, l’organisme déclarant atteste de la conformité de son traitement de données à caractère personnel à l’acte réglementaire unique " RU-018 – Logiciel de rapprochement judiciaire à des fins d'analyse criminelle " (ci-après, " RU-018 ")[8], à l’appui d'un dossier technique de présentation du logiciel en question. Enfin, je relève que le cadre juridique des LRJ prévoit des garanties fortes pour les droits et libertés des personnes. Ce type de logiciels, qui doit nécessairement s’inscrire dans le cadre d’une enquête judiciaire[9], ne peut en particulier être mis en œuvre que sous le contrôle, notamment, du magistrat saisi de l’enquête ou chargé de l’instruction[10]. En l’espèce, dans la réponse au contrôle sur pièces précité que vos services ont adressée aux miens le 18 mars 2024, ainsi qu’au cours des contrôles sur place effectués auprès des DPJ-PP et SCRC-GN en mai dernier, il a été indiqué que le ministère de l’Intérieur utilise des logiciels d’analyse vidéo depuis l’année 2015. Lors du contrôle effectué auprès du SCRC-GN, il a été indiqué à la délégation que " L’édiction d’un décret ad hoc, spécifiquement dédié aux logiciels d’analyse vidéo, a initialement été envisagée par la direction générale de la Police nationale (DGPN). Après analyse, la DLPAJ a considéré en janvier 2023 que les logiciels d’analyse vidéo relevaient de l’acte-cadre relatif aux logiciels de rapprochement judiciaire (LRJ). ". Il a également été précisé à la délégation de contrôle que " Lors de l’utilisation du logiciel de la société BRIEFCAM à compter de 2018, le SCRC considérait ce logiciel comme un nouvel outil d’analyse vidéo "[11]. Or, en premier lieu, s’agissant de la direction générale de la Gendarmerie nationale (DGGN), je relève que le logiciel souverain " Système V " (ex-" Sigma enquêteurs ") [12] est notamment utilisé depuis 2021. Or, je relève que la DGGN a transmis à la CNIL un engagement de conformité au RU-18 concernant la mise en œuvre de ce logiciel le 20 novembre 2023, soit deux ans après le début de son utilisation.[13] Par ailleurs, s’agissant du SCRC-GN, je relève que, malgré l’utilisation depuis 2018 du logiciel d’analyse vidéo édité par la société BRIEFCAM, l’engagement de conformité n’a été transmis à la CNIL que le 7 octobre dernier, soit cinq ans après le début de son utilisation. En deuxième lieu, s’agissant de la DGPN, je relève que, malgré l’utilisation depuis 2015 de plusieurs logiciels édités par la société BRIEFCAM par certains services de la direction, l’engagement de conformité au RU-18 de la DGPN n’a été transmis à la CNIL que le 14 décembre 2023, soit huit ans après ses premières utilisations. En troisième lieu, s’agissant de la préfecture de police de Paris, je relève que le logiciel souverain " Système V " est notamment utilisé depuis 2021. Or, je relève que la préfecture de police de Paris a transmis à la CNIL un engagement de conformité concernant la mise en œuvre de ce logiciel le 30 octobre 2023, soit deux ans après le début de son utilisation. Par ailleurs, je relève que, malgré l’utilisation par la préfecture de police de Paris du logiciel " Vidéo Synopsis " (lors de deux phases d’expérimentation entre 2016 et 2022), du logiciel " Axiom " et du logiciel " Physical Analyzer ", aucun engagement de conformité au RU-18 n’a à ce jour été reçu par la CNIL [14]. Aussi, entre 2015 et les premières transmissions en 2023, et encore récemment pour certains des logiciels, le ministère de l’Intérieur n’a pas respecté les dispositions du décret du 7 mai 2012, en ne transmettant pas d’engagement de conformité à la Commission préalablement à la mise en œuvre de ces logiciels. Dès lors qu’à l’époque le ministère n’analysait pas ces logiciels comme des LRJ, il est par ailleurs probable que les autres dispositions du décret du 7 mai 2012 n’ont pas été bien respectées, notamment en ce qu’elles prévoient une autorisation d’utilisation par un magistrat pour chaque procédure. Dès lors, en l’absence d’engagement de conformité avant 2023 et en l’absence de décret spécifique les autorisant, certains des logiciels d’analyse vidéo ont été utilisés depuis 2015 en méconnaissance du décret du 7 mai 2012. Il convient en outre de transmettre à la Commission les engagements de conformité au RU-018 encore manquants. Par ailleurs, je prends note qu’un projet de modification du décret du 7 mai 2012 encadrant les LRJ est actuellement en cours de rédaction, conformément à ce qui a été indiqué dans le cadre des contrôles susmentionnés. Je vous remercie de bien vouloir le finaliser dans les plus brefs délais afin que les traitements d’analyse vidéo y soient explicitement mentionnés. 2. Sur l’obligation d’effectuer une analyse d’impact relative à la protection des données (AIPD) En droit, l’article 90, paragraphe 1er, de la loi " Informatique et Libertés " dispose que " Si le traitement est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, notamment parce qu'il porte sur des données mentionnées au I de l'article 6 [telles que les " données biométriques aux fins d’identifier une personne physique de manière unique "], le responsable de traitement effectue une analyse d'impact relative à la protection des données à caractère personnel ". De plus, le considérant 58 de la directive " Police-Justice " précise que " Lorsque des opérations de traitement sont, du fait de leur nature, de leur portée ou de leurs finalités, susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes concernées, le responsable du traitement devrait effectuer une analyse d'impact relative à la protection des données comprenant notamment les mesures, les garanties et les mécanismes envisagés pour assurer la protection des données à caractère personnel et pour apporter la preuve du respect de la présente directive ". Ainsi, une évaluation de la nécessité et de la proportionnalité du dispositif envisagé, au regard des finalités poursuivies notamment, doit être opérée avant son implantation. En l’espèce, dans la réponse au contrôle sur pièces précité, il a été indiqué que le ministère de l’Intérieur utilise des logiciels d’analyse vidéo depuis 2015. Toutefois, en premier lieu, je relève que la DGGN a transmis à la CNIL une AIPD concernant le logiciel " Système V " le 23 novembre 2023 ainsi qu’une AIPD concernant le logiciel " Video Synopsis " de la société BRIEFCAM le 25 octobre dernier seulement, soit six ans après ses premières utilisations [15] . En second lieu, s’agissant de la DGPN, la direction a transmis à la CNIL une AIPD concernant le logiciel " Video Synopsis " de la société BRIEFCAM le 3 janvier 2024, utilisé depuis 2015 par les services de la police nationale, soit près de 9 ans après ses premières utilisations. En troisième lieu, je relève que la DPJ-PP a seulement transmis à la CNIL une AIPD concernant l’utilisation du logiciel souverain " Système V ", le 22 novembre 2023. Quant aux autres logiciels de ce type tels que, notamment, le logiciel " Axiom " et le logiciel " Physical Analyzer ", utilisés dans le cadre d’investigations pour le recueil de preuves numériques, la délégation de contrôle a été informée par la préfecture de police de Paris qu’aucune AIPD n’a été réalisée [16]. Or, la mise en œuvre de technologies d’analyse automatisée a posteriori des images issues de dispositifs vidéo est susceptible d’entrainer d’importantes conséquences pour les droits et libertés fondamentaux des personnes. La réalisation d’une AIPD avant la mise en œuvre de ces logiciels par le ministère de l’Intérieur aurait permis l’évaluation de tels risques et des mesures proportionnées à ceux liés, notamment, à l’inexactitude des données, à la consultation non-autorisée de ces dernières ou encore à leur perte. Aussi, de tels traitements n’auraient pas dû être mis en œuvre, ou continué de l’être (l’obligation d’effectuer une AIPD étant prévue depuis le 1er juin 2019, date d’entrée en vigueur des dispositions afférentes de la loi " Informatique et Libertés " telles qu’issues de la transposition de la directive " Police-Justice " par voie d’ordonnance, la CNIL ayant généralement admis un délai de deux ans pour se mettre en conformité avec les nouvelles obligations en matière d’AIPD), sans avoir préalablement fait l’objet d’une AIPD. Le fait que ces traitements soient menés dans le cadre de phases expérimentales de " tests ", ou qu’ils le soient dans des phases de déploiement opérationnel, est sans incidence sur cette obligation. Dès lors, le ministère de l’Intérieur a méconnu les dispositions de l’article 90 de la loi " Informatique et Libertés " en ne réalisant pas d’AIPD préalablement à la mise en œuvre des logiciels d’analyse vidéo, dont notamment ceux de la société BRIEFCAM ainsi que les logiciels souverains " Système V " et " SIGMA ", " Axiom " et " Physical Analyzer ". Vous voudrez bien transmettre l’ensemble des AIPD qui n’auraient pas été transmises à ce jour, notamment " Axiom " ou " Physical Analyzer " pour la préfecture de police de Paris. 3. Sur l’interdiction de principe de mettre en œuvre un traitement de données biométriques aux fins d'identifier une personne physique de manière unique, via un dispositif de reconnaissance faciale notamment En droit, l’article 34 de la Constitution du 4 octobre 1958 prévoit que " la loi fixe les règles concernant : (…) les garanties fondamentales accordées aux citoyens pour l'exercice des libertés publiques (…) [ainsi que] la procédure pénale ". L’article 88 de la loi " Informatique et Libertés " dispose que le traitement de catégories particulières de données à caractère personnel telles que les données biométriques aux fins d'identifier une personne physique de manière unique " est possible uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et soit s'il est autorisé par une disposition législative ou réglementaire (…) ". Le considérant 51 de la directive " Police-Justice " souligne que " des risques pour les droits et libertés des personnes physiques, dont le degré de probabilité et de gravité varie, peuvent résulter du traitement de données qui pourraient entraîner des dommages physiques matériels ou un préjudice moral, en particulier (…) lorsque des données (…) biométriques sont traitées afin d'identifier une personne de manière unique (…) ou lorsque (…) des données relatives à (…) des infractions (…) sont traitées ; (…) ou lorsque le traitement porte sur un volume important de données à caractère personnel et touche un nombre important de personnes concernées ". Par ailleurs, conformément à l’article 20 de ladite directive, les responsables de traitements doivent intégrer les principes de protection des données à caractère personnel en mettant en œuvre toutes les mesures techniques et organisationnelles appropriées et nécessaires, à la fois dès la conception du produit ou du service et par défaut. Pour rappel, malgré le strict encadrement par le législateur des dispositifs utilisant des données biométriques comme de leurs expérimentations, le développement rapide de nouveaux outils de captation des images et de nouvelles modalités d’exploitation des images de vidéoprotection dans l’espace public, dont la reconnaissance faciale, a poussé la CNIL, en 2018 déjà, à appeler " d’urgence à un débat démocratique sur cette problématique, et à ce que le législateur puis le pouvoir réglementaire se saisissent de ces questions afin que soient définis les encadrements appropriés, en recherchant le juste équilibre entre les impératifs de sécurisation, notamment des espaces publics, et la préservation des droits et libertés de chacun "[17]. La reconnaissance faciale soulevant des questions inédites touchant à des choix de société, la CNIL a souhaité contribuer au débat qu’elle a appelé de ses vœux en présentant, en 2019, les éléments techniques, juridiques et éthiques devant selon elle être pris en compte dans l’approche de cette question complexe[18]. À ce jour, les dispositifs d’identification ou de caractérisation des personnes physiques à partir de leurs données biométriques, utilisés de manière opérationnelle comme expérimentale, ne sont pas autorisés par le législateur dans l’espace public. En l’espèce, dans la réponse au contrôle sur pièces précité, il a été précisé que " l’interdiction de toute utilisation d’un quelconque module de reconnaissance faciale a été rappelée par instruction du directeur général [de la Police nationale] du 6 février 2023 adressée à l’ensemble des services utilisateurs (DNSP, DNPJ, SNPS) ". Toutefois, en premier lieu, lors du contrôle du SCRC-GN, il a été indiqué à la délégation de contrôle qu’une fonctionnalité de " Reconnaissance faciale " avait été intégrée par la société BRIEFCAM lors d’une mise à jour du logiciel, sans demande en ce sens du ministère. Il a été rapporté que cette fonctionnalité de " Reconnaissance faciale " a été utilisée " une seule fois, lors des émeutes de l’Été 2023 ", semble-t-il pour une recherche ex post parmi les images et que, " à l’usage, la fonctionnalité de " reconnaissance faciale " s’apparente plutôt à une fonctionnalité de similitude d’apparence du fait que celle-ci n’a pas la même efficacité que le module intégré au TAJ et par ailleurs qu’il est possible d’alimenter ce module à partir de la photo d’une personne prise de dos. ". Néanmoins, l’annexe 5 intitulée " Point de situation BRIEFCAM " et datée du 10 janvier 2023, contenue dans le document intitulé " BRIEFCAM_IGA_Annexes 1 à 9.pdf " transmis suite au contrôle, semble indiquer le contraire et confirmer, à cette occasion, une utilisation de ce logiciel à des fins de reconnaissance faciale pour rechercher un individu dans une bande vidéo, dans le cadre d’une enquête judiciaire. Il résulte de ce qui a été dit ci-dessus que cet usage était illégal. De plus, en deuxième lieu, il a été précisé à la délégation de contrôle que, préalablement à la mise à jour du logiciel opérée en 2022 et dans le cadre de laquelle la fonctionnalité " Reconnaissance faciale " est apparue, une fonctionnalité intitulée " Similitudes d’apparence " lui préexistait. Le matériel du SCRC-GN ayant été désinstallé au mois de mars 2024, ladite délégation n’a pu effectuer aucune constatation lors du contrôle effectué en mai dernier. Enfin, en troisième lieu, si la désinstallation du logiciel de la société BRIEFCAM a été ordonnée au sein de la gendarmerie nationale, tel n’a pas été le cas dans l’ensemble des services du ministère de l’Intérieur. Aussi, je relève que des fonctionnalités s’apparentant à des traitements biométriques sont toujours disponibles au sein des logiciels mis en œuvre par des services relevant du ministère de l’Intérieur, et que leur usage reste ainsi techniquement possible, du moins en théorie. Or, je vous rappelle que la distinction entre les dispositifs biométriques et non biométriques a des conséquences juridiques importantes : les dispositifs biométriques impliquent des traitements de données dites " sensibles " qui sont, par principe, interdits par la loi " Informatique et Libertés " comme le RGPD, sauf exceptions. Il vous appartient, en tant que responsable de traitement, de vous assurer que ce type de traitement ne repose pas sur l’utilisation de données biométriques. La fonctionnalité " Reconnaissance faciale " semblant être activée par défaut par certains éditeurs (au sein des logiciels de la société BRIEFCAM notamment), j’estime que le respect des textes cités ci-dessus implique que le ministre de l’Intérieur prenne des mesures pour empêcher l’utilisation de cette fonctionnalité, par exemple en en prévoyant la désactivation par un compte " administrateur ", afin qu’elle ne puisse pas être mise en œuvre par les utilisateurs du logiciel, ainsi qu’une remontée d’alerte automatique au responsable de traitement en cas de réactivation. Idéalement, une version spécifique du logiciel n’intégrant pas ce type de fonctionnalité devrait être privilégiée (comme cela est désormais prévu par la société BRIEFCAM[19]). Dès lors, le ministère de l’Intérieur a méconnu les dispositions de l’article 88 de la loi " Informatique et Libertés " : du fait de l’usage de la fonctionnalité de reconnaissance faciale lors d’une procédure à l’été 2023 ; plus généralement, en ne prenant pas de mesures de nature à empêcher l’utilisation de la fonctionnalité de reconnaissance faciale au sein des logiciels d’analyse vidéo qui proposent cette fonctionnalité par défaut, en particulier les logiciels de la société BRIEFCAM. Enfin, au vu de ces éléments, je vous rappelle la nécessité, dans le cadre du développement du logiciel souverain " Système V " comme de tout autre logiciel développé par vos services, de garantir le respect des règles de protection des données à caractère personnel dès sa conception et par défaut, en n’incluant aucune fonctionnalité basée sur des données biométriques. II- Mesures correctrices prononcées par la CNIL En raison de l’ensemble de ces éléments et conformément aux dispositions de l’article 20 de la loi " Informatique et Libertés ", il y a donc lieu de prononcer à l’égard du MINISTÈRE DE L’INTÉRIEUR, les mesures correctrices suivantes : Un RAPPEL AUX OBLIGATIONS LÉGALES, pour avoir utilisé des logiciels d’analyse vidéo (logiciels de rapprochement judiciaire) sans transmission préalable à la CNIL des engagements de conformité correspondants, dans les conditions rappelées ci-dessus, ce qui méconnaît les articles 4 et 31 de la loi " Informatique et Libertés ". Une MISE EN DEMEURE, sous un délai de deux (2) mois à compter de la notification de la présente décision et sous réserve des mesures qu’il aurait déjà pu adopter : • de transmettre des engagements de conformité au règlement unique RU-018 pour les différents logiciels de rapprochement judiciaire (LRJ) mis en œuvre n’en ayant encore pas fait l’objet, conformément aux dispositions des articles 31 de la loi " Informatique et Libertés " et 6 du décret du 7 mai 2012. Cela concerne notamment le logiciel " Physical Analyzer " et le logiciel " Axiom " mis en œuvre par la préfecture de Police de Paris. Dans l’hypothèse où le ministère aurait cessé l’utilisation de l’un ou plusieurs LRJ évoqués dans le cadre de la procédure de contrôle susmentionnée, il convient d’en informer la CNIL en réponse à la présente mise en demeure ; de réaliser une analyse d’impact relative à la protection des données (AIPD) pour les différents LRJ n’en disposant pas encore, notamment les logiciels " Physical Analyzer " et " Axiom ", conformément aux dispositions des articles 90 de la loi " Informatique et Libertés " et 6 du décret du 7 mai 2012 ; de prendre les mesures adéquates permettant d’empêcher, conformément au cadre légal, l’utilisation des fonctionnalités de reconnaissance faciale pour l’ensemble des LRJ utilisés ; de justifier auprès de la CNIL que l’ensemble de ces demandes a bien été respecté, dans le délai imparti. À l’issue de ce délai, si le ministère de l’Intérieur s’est conformé à la présente mise en demeure, la procédure sera close et un courrier sera adressé en ce sens. À l’inverse, en l’absence de respect de la mise en demeure, il est rappelé que la présidente de la CNIL peut désigner un rapporteur pour requérir que la formation restreinte prononce l’une des sanctions prévues à l’article 20 de la loi du 6 janvier 1978. Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification. [...] La Présidente Marie-Laure DENIS [...] [1] Analyse algorithmique des images de vidéos en temps différé et non pas en temps réel (à ce sujet, confer position de la CNIL de juillet 2022 sur les conditions de déploiement des caméras dites intelligentes ou augmentées dans les espaces publics). [2] Articles 60-1, 60-2, 77-1-1, 77-1-2, 99-3 et 99-4 du code de procédure pénale (CPP). [3] Art. 230-20 et suivants et R. 40-39 à R. 40-41 du CPP. [4] dossier technique dans le décret no 2012-687 du 7 mai 2012 relatif à la mise en œuvre de logiciels de rapprochement judiciaire à des fins d’analyse criminelle (ci-après, décret du 7 mai 2012 ), concernant lequel la Commission a rendu un avis en prenant acte de l'engagement du ministère de l'intérieur à joindre à ces engagements de conformité des dossiers techniques précisant notamment les fonctionnalités exactes de chaque logiciel, son architecture technique ainsi que les mesures de sécurité encadrant le traitement projeté et soulignant qu’elle s’attacherait tout particulièrement, à l'occasion de la fourniture des dossiers de présentation technique des logiciels qui seront ultérieurement déclarés, à vérifier que l'utilisation de ces logiciels est limitée à l'échelon local dans le cadre d'une procédure judiciaire spécifique (délibération no 2011-418 du 15 décembre 2011 portant avis sur un projet de décret relatif à la mise en œuvre de logiciels de rapprochement judiciaire à des fins d’analyse criminelle). [5] Art. 6 du décret du 7 mai 2012. [6] Art. 230-23 du CPP. [7] COMMISSION NATIONALE DE L’INFORMATIQUE ET DES LIBERTES, Délibération no 2011-418 du 15 décembre 2011 portant avis sur un projet de décret relatif à la mise en œuvre de logiciels de rapprochement judiciaire à des fins d’analyse criminelle. [8] https://www.cnil.fr/fr/declaration/acte-reglementaire-unique-18-logiciel-de-rapprochement-judiciaire-des-fins-danalyse-criminelle [9] Art. 230-20 du CPP. [10] Conformément à l’article R. 40-40 du CPP, ledit magistrat doit autoriser l’exploitation d’enregistrements vidéo par le biais d’un LRJ pour chaque procédure qu'il contrôle. Cette autorisation, comme la mise en œuvre elle-même, doivent faire l'objet d'une mention en procédure et, à la clôture de cette dernière, un rapport d’exploitation des données doit y être joint. [11] Permettant un gain de temps de visionnage par la compression des temps morts ainsi que la détection d’un objet ou d’une personne, grâce [à] différents filtres (couleur, forme d’objet, direction, arrêt près de telle zone sélectionnée), plaques minéralogiques, similitudes d’apparence ( reconnaissance de formes d’une silhouette similaire grâce à une photo ) (PV 2023-259/2 du 21 mai 2024). [12] Outil d’analyse souverain développé par le département des technologies appliquées à l’investigation D@TA-i de la direction nationale de la police judiciaire (DNPJ) et ayant vocation à être déployé de manière généralisée. [13] Les engagements de conformité au RU-18 des logiciels suivants – ne rentrant pas dans le cadre des constatations effectuées lors des contrôles sur place menés par la CNIL – ont également été reçus : la DGGN a transmis à la CNIL deux engagements de conformité concernant respectivement le logiciel LARC (le 27 juillet 2023) et le logiciel DA-DT (le 28 juillet 2023), qui ne sont pas des logiciels d’analyse vidéo. [14] Les engagements de conformité au RU-18 des logiciels suivants – ne rentrant pas dans le cadre des constatations effectuées lors des contrôles sur place menés par la CNIL – ont également été reçus : la DGPN a transmis à la CNIL, le 20 juillet 2023, deux engagements de conformité concernant respectivement le logiciel souverain Système V et le logiciel Pathfinder de la société CELLEBRITE, ainsi qu’un engagement relatif au logiciel souverain SIGMA le 23 mai 2024. [15] Les AIPD des logiciels suivants – ne rentrant pas dans le cadre des constatations effectuées lors des contrôles sur place menés par la CNIL – ont également été reçus : la DGGN a transmis à la CNIL deux AIPD concernant respectivement le logiciel LARC et le logiciel DA-DT (le 9 janvier 2024), qui ne sont pas des logiciels d’analyse vidéo. [16] La DGPN a transmis à la CNIL sans AIPD les engagements de conformité concernant respectivement le logiciel souverain Système V et le logiciel Pathfinder de la société CELLEBRITE – ne rentrant pas dans le cadre des constatations effectuées lors des contrôles sur place menés par la CNIL. La DGPN a transmis à la CNIL le 11 juillet 2024 une AIPD concernant le logiciel souverain SIGMA . [17] https://www.cnil.fr/fr/la-cnil-appelle-la-tenue-dun-debat-democratique-sur-les-nouveaux-usages-des-cameras-video [18] https://www.cnil.fr/fr/reconnaissance-faciale-pour-un-debat-la-hauteur-des-enjeux [19] Communiqué de presse de la société BRIEFCAM publié le 12 décembre 2023 sur son site web indiquant qu’ Avec la sortie de 2024 M1, BriefCam introduit la flexibilité d’implémenter une licence en excluant la capacité de reconnaissance faciale. Conçue pour étendre la puissante technologie BriefCam aux organisations soumises à des restrictions strictes en matière d’utilisation de la reconnaissance faciale, BriefCam a développé sa solution pour mieux répondre aux besoins réglementaires internationaux et en constante évolution. Les utilisateurs de BriefCam peuvent passer à une version où la reconnaissance faciale est complètement désactivée et exclue de l’interface utilisateur et des algorithmes. .


Délibération du bureau de la Commission nationale de l’informatique et des libertés n°MEDP-2024-001 du 18 novembre 2024 décidant de rendre publique la mise en demeure n°MED-2024-150 du 15 novembre 2024 prise à l’encontre du ministère de l’Intérieur

Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 18 novembre 2024 sous la présidence de Madame Marie-Laure DENIS ; Siégeaient, outre la Présidente de la Commission, Madame Sophie LAMBREMON, Vice-présidente déléguée, et Madame Anne DEBET, Vice-présidente ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après, la 241080 loi Informatique et Libertés 241080), notamment son article 20 ; Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ; Vu la décision no MED-2024-150 du 15 novembre 2024 de la Présidente de la Commission mettant en demeure le ministère l’Intérieur ; A adopté la délibération suivante : Par décision du 15 novembre 2024, la Présidente de la Commission a, sur le fondement de l’article 20 de la loi Informatique et Libertés, mis en demeure le ministère l’Intérieur, sis 1, place Beauvau à Paris (75008), sous un délai de deux mois à compter de sa notification : d’effectuer un engagement de conformité au 241080 RU-018 – Logiciel de rapprochement judiciaire à des fins d'analyse criminelle 241080 (ci-après, 241080 RU-018 241080) ainsi qu’une analyse d’impact relative à la protection des données (AIPD) pour l’ensemble les logiciels de traitements d’analyse automatisée des images (ci-après, 241080 logiciels d’analyse vidéo 241080) utilisés par ses services n’en ayant pas fait l’objet ; de prendre les mesures adéquates permettant d’empêcher l’utilisation des fonctionnalités de reconnaissance faciale de certains des logiciels d’analyse vidéo utilisés. Dans cette décision, sur le fondement de l’article 20 de la loi précitée, la Présidente de la Commission a également adressé au ministère un rappel aux obligations légales, pour avoir utilisé des logiciels d’analyse vidéo pour répondre à des réquisitions judiciaires (logiciels de rapprochement judiciaire) sans transmission préalable à la CNIL des engagements de conformité correspondants, en méconnaissance des articles 4 et 31 de la loi Informatique et Libertés. En application du dernier alinéa du III de l’article 20 la loi Informatique et Libertés, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision. Le bureau a été réuni à cette fin le 18 novembre 2024. Après en avoir délibéré, le bureau estime que la publicité se justifie tout d’abord par le fait que la décision de contrôle de la CNIL à l’encontre du ministère de l’Intérieur a été prise dans un contexte de couverture médiatique du sujet. En effet, cette décision faisait suite à la publication par le journal d’investigation Disclose, le 14 novembre 2023, d’une enquête révélant l’utilisation par les services du ministère de l’Intérieur d’un logiciel d’analyse vidéo édité par la société BRIEFCAM. Cette enquête faisait état d’une utilisation de ce logiciel par plusieurs directions et services du ministère, commissariats de police et brigades de gendarmerie, progressivement depuis 2015, afin notamment de rechercher un individu en fonction de différents critères (filtres relatifs à la couleur ou la forme d’un objet par exemple), ou d’une fonctionnalité de reconnaissance faciale. Le lendemain de cette publication, la Commission – dont l’une des thématiques de contrôles 2023 portait sur 241080 L’utilisation de caméras 241080augmentées241080 par les acteurs publics 241080 – a initié une procédure de contrôle auprès du ministère de l’Intérieur et a rendu cette information publique. Le ministre de l’Intérieur a quant à lui annoncé avoir demandé qu’une mission inter-inspections sur l’usage de logiciels d'analyse vidéo par les services de police et de gendarmerie nationales soit diligentée par l’inspection générale de l’administration (IGA), l’inspection générale de la police nationale (IGPN) et l’inspection générale de la gendarmerie nationale (IGGN). Le rapport de cette mission a été publié le mois dernier. Ces informations ont fait l’objet de nombreuses reprises dans la presse et ont également eu des retentissements au sein des parlements français[1] comme européens[2]. Elles ont également donné lieu à plusieurs recours devant le juge administratif[3]. Dans ce contexte, le bureau estime opportun que le grand public soit informé des constatations effectuées par la CNIL à l’égard de ces faits dénoncés publiquement, ainsi que des actions mises en œuvre pour les vérifier, comme la CNIL s’y était engagée. Cette publicité permet en outre de rendre compte de la réalité des pratiques constatées par la CNIL lors de ses opérations de contrôle, de faire état des manquements retenus dans ce cadre ainsi que des mesures qu’il est à présent demandé au ministère de l’Intérieur de prendre pour y remédier, pour les manquements qui perdurent. La publicité de la décision se justifie en outre par la nature et la grande sensibilité du traitement concerné, qui présente un risque particulier au regard de la vie privée, s’agissant de l’usage, par les pouvoirs publics, d’un logiciel disposant d’une fonctionnalité de reconnaissance faciale. En effet, la reconnaissance faciale sur la voie publique soulève des enjeux d’une particulière sensibilité en matière de protection des données, en raison des risques d’atteintes aux libertés individuelles qu’elle est susceptible d’induire, qui sont considérables, pour la liberté d’aller et venir anonymement notamment. Au vu de ce qui précède, et compte tenu de la sensibilité de ces questions, le bureau considère opportun de rendre publiques les constations opérées par la CNIL, qui ne font état que d’un cas d’usage isolé de cette fonctionnalité du logiciel de la société BRIEFCAM par l’un des services du ministère de l’Intérieur, fonctionnalité qui avait été intégrée par l’éditeur lors d’une mise à jour du logiciel. Si aucune autre utilisation de cette fonctionnalité n’a été constatée par les services de la CNIL, le bureau estime nécessaire de rappeler publiquement que les dispositifs d’identification ou de caractérisation des personnes physiques à partir de leurs données biométriques, utilisés de manière opérationnelle comme expérimentale, ne sont pas autorisés par le législateur dans l’espace public, et de rendre publique l’injonction formulée à l’encontre du ministère pour qu’il prenne les mesures requises pour s’assurer, à l’avenir, qu’une telle fonctionnalité ne puisse plus être utilisée. Le bureau considère également nécessaire de rendre publiques les garanties qu’il est à présent demandé au ministère de l’Intérieur d’apporter, en complément de premières mesures adoptées tardivement, afin de fournir à la CNIL l’ensemble des engagements de conformité et AIPD devant être effectuées pour la mise en œuvre de ces traitements, permettant ainsi à la CNIL d’être pleinement en mesure d’exercer sa mission de contrôle, notamment a priori. Enfin, le bureau estime intéressant d’informer le public que les constations des services de la CNIL, issues des contrôles effectués, rejoignent la plupart de celles faites par la mission inter-inspections diligentée par le ministère. En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision no MED-2024-150 de la Présidente de la CNIL prise à l’encontre du ministère de l’Intérieur. Le bureau rappelle que cette décision ne revêt pas le caractère d’une sanction. Si le ministère de l’Intérieur se conforme en tout point aux exigences de la mise en demeure dans le délai imparti, celle-ci fera l’objet d’une clôture qui sera également rendue publique. Enfin, tant la décision de mise en demeure précitée que la présente délibération ne permettront plus d’identifier nommément l’organisme à l’expiration d’un délai de deux ans à compter de leur publication. La Présidente Marie-Laure DENIS [1] V. notamment : questions au gouvernement nos 09083 du 23 novembre 2023, 1335S du 30 mai 2024 et 0105S du 17 octobre 2024. [2] V. notamment : Lettre ouverte des membres du Parlement européen concernant les révélations de reconnaissance faciale illégale en France, à la lumière des négociations de la loi sur l'IA envoyée par 45 députés européens au président de la République, à la première ministre et au ministre de l’intérieur. [3] V. notamment : CE, 21 décembre 2023, no 489990 ; TA Nice, 23 novembre 2023, no 2305692 ; TA Lille, 29 novembre 2023, nos 2310103 et 2310163.


Délibération n° 2024-060 du 18 juillet 2024 portant avis sur un projet de décret en Conseil d'Etat pris en application de l'article L. 2241-2-1 du code des transports

N° de demande d'avis : 24008825. Thématiques : transports ; lutte contre la fraude ; recouvrement ; amendes ; fiabilisation de l'adresse des contrevenants. Organisme(s) à l'origine de la saisine : ministère de la transition écologique et de la cohésion des territoires. Fondement de la saisine : article L. 2241-2-1 du code des transports. L'essentiel : 1. L'article L. 2241-2-1 du code des transports permet aux agents des exploitants de services de transport chargés du recouvrement, d'obtenir communication de la part des administrations publiques et des organismes de sécurité sociale, par l'intermédiaire d'une personne morale unique, d'informations relatives à l'identité et à l'adresse des contrevenants à la police des transports. 2. Le projet de décret précise les conditions de mise en œuvre de ce dispositif visant à fiabiliser les données relatives à l'identité et à l'adresse des contrevenants recueillies lors de la constatation d'une contravention à la police des transports. 3. La CNIL rappelle que la mise en œuvre de ce dispositif implique des traitements de données à caractère personnel, qui devront donc respecter les exigences du RGPD et de la loi informatique et libertés . A cet égard, elle relève que le projet de décret introduit des garanties essentielles pour le respect du droit à la vie privée des personnes concernées. Elle invite néanmoins le ministère à compléter le projet de décret concernant la nature des informations pouvant être échangées et les droits des personnes concernées. Elle considère par ailleurs que certaines durées de conservation prévues par le projet de décret doivent être révisées afin de respecter les exigences de l'article 5.1.d du RGPD. 4. La CNIL recommande également que l'information des personnes concernées soit fournie par l'inscription de mentions au dos du reçu du procès-verbal d'infraction et, le cas échéant, dans l'avis de recouvrement. 5. Enfin, la CNIL rappelle que, dès lors que les traitements mis en œuvre sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques, une analyse d'impact relative à la protection des données à caractère personnel devra être réalisée avant leur mise en œuvre. La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu le code des transports, notamment son article L. 2241-2-1 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ; Vu la loi n° 2016-339 du 22 mars 2016 relative à la prévention et à la lutte contre les incivilités, contre les atteintes à la sécurité publique et contre les actes terroristes dans les transports collectifs de voyageurs (loi Savary ) ; Vu la délibération n° 2017-045 du 23 février 2017 portant avis sur un projet de décret en Conseil d'Etat pris en application de l'article L. 2241-2-1 du code des transports ; Après avoir entendu le rapport de M. Alain Dru, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la deliberation suivante : I. - La saisine A. - Le contexte L'article L. 2241-2-1 du code des transports, créé par la loi n° 2016-339 du 22 mars 2016, ouvre la possibilité aux exploitants du service de transport, dans le cadre du recouvrement des sommes dues au titre de la transaction mentionnée à l'article 529-4 du code de procédure pénale, d'obtenir communication de la part des administrations publiques et des organismes de sécurité sociale des informations relatives aux contrevenants. Il impose que cette communication se fasse par l'intermédiaire d'une personne morale unique. Ce droit de communication vise à fiabiliser les données relatives à l'identité et à l'adresse du contrevenant recueillies lors de la constatation d'une contravention à la police des transports. Ce dispositif participe à la lutte contre la fraude dans les transports publics en permettant d'améliorer le recouvrement des amendes. Le manque de fiabilité des adresses communiquées par les contrevenants constitue en effet l'un des facteurs pouvant expliquer la faiblesse du taux de recouvrement de ces sommes. L'Union des transporteurs publics et ferroviaires évalue le gain financier du recours à ce dispositif à environ trois millions d'euros, auquel s'imputeront cinq cent mille euros de frais de fonctionnement. B. - L'objet de la saisine La CNIL a été saisie, le 21 juin 2024, par le ministère de la transition écologique et de la cohésion des territoires, d'une demande d'avis relative à un projet de décret en Conseil d'Etat pris en application de l'article L. 2241-2-1 du code des transports. Une saisine rectificative a été transmise le 5 juillet 2024. Le projet de décret : - a pour objet de préciser les modalités d'exercice de ce droit de communication par le biais d'une personne morale unique, dont il liste les missions ; - précise le contenu des demandes formulées par les exploitants de services de transport et des réponses fournies par la personne morale unique. Il fixe la durée de conservation des données ; - renvoie la définition des spécifications techniques du dispositif de fiabilisation des données à des conventions spécifiques conclues entre la personne morale unique et les administrations publiques et organismes de sécurité sociale. II. - L'avis de la CNIL A. - Sur les conditions générales d'exercice du droit de communication Le législateur a assorti l'exercice de ce droit de communication de plusieurs garanties de nature à concilier l'objectif poursuivi de lutte contre la fraude et le respect de la vie privée et de la protection des données à caractère personnel : les renseignements transmis ne peuvent être utilisés que dans le cadre du recouvrement des sommes dues et ne peuvent pas être communiqués à d'autres personnes que celles chargées du recouvrement de ces sommes ou qu'à l'autorité judiciaire (en cas d'usurpation d'identité). Les demandes des exploitants et les réponses sont transmises par l'intermédiaire d'une personne morale unique, dont les agents, spécialement désignés et habilités à cet effet, sont tenus au secret professionnel. Le projet de décret introduit également plusieurs garanties que la CNIL juge essentielles : il prévoit notamment que seuls les fichiers régulièrement mis à jour soient interrogés et que les renseignements demandés ne soient fournis que si les éléments d'identification de la personne concernée contenus dans la demande ne correspondent qu'à une seule et même personne physique. Par ailleurs, le projet limite strictement les personnes qui peuvent accéder aux données au sein des exploitants de service de transport et de la personne morale unique, et prévoit que l'habilitation des agents de la personne morale unique soit délivrée à la suite du suivi d'une formation initiale et continue en matière de protection des données à caractère personnel. La CNIL rappelle que la communication de ces informations aux exploitants de service de transport constituera un traitement de données à caractère personnel, qui devra respecter les dispositions régissant ces traitements. En l'espèce, tant les organismes fournissant les données que la personne morale unique assumeront une part de responsabilité dans le traitement des données. Cette communication est soumise au RGPD. B. - Sur le périmètre du droit de communication Les fichiers concernés par le droit de communication : Le projet d'article R. 2241-7-3 du code des transports prévoit que seuls les fichiers nationaux permettant d'obtenir des adresses de personnes physiques régulièrement mises à jour entrent dans le champ d'application de l'article L. 2241-2-1 du code des transports. La formulation employée ne permet pas de déterminer précisément le ou les fichiers concernés. Le ministère a indiqué que la rédaction employée doit permettre de s'adapter aux éventuelles évolutions du dispositif ou de la configuration et des caractéristiques des fichiers concernés. Bien que la loi autorise l'interrogation de fichiers des organismes de sécurité sociale, il précise que le dispositif envisagé aura pour le moment recours uniquement à l'interface de programmation d'application recherche des personnes physiques ( API R2P ), produite par la direction générale des finances publiques (DGFiP). Ce choix s'explique, selon le ministère, par la qualité et l'étendue du jeu de données qu'elle contient. Concrètement, cette API interroge : - la base de données nationale dénommée PERS qui a pour objet de constituer un service unique d'identification des contribuables ; - le référentiel occurrence fiscal (OCFI) qui dispose des adresses des contribuables, lesquelles sont mises à jour notamment à chaque campagne de recouvrement de l'impôt sur le revenu. Ce référentiel est également alimenté par les fichiers de la Poste, JCC (démarche je change mes coordonnées ) ainsi que par les mises à jour des contribuables et des agents de la DGFiP via le flux e-contact (messagerie sécurisée de la DGFiP). Aucun autre fichier ou base de données ne serait consulté dans l'hypothèse où l'API R2P ne permettrait pas d'obtenir les informations demandées. La CNIL considère que ce choix est de nature à permettre le respect de l'obligation de traiter des données exactes et tenues à jour, conformément à l'article 5.1.c du RGPD. Elle relève toutefois que le projet de décret vise à la fois les administrations publiques et les organismes de sécurité sociale. Or, le dispositif prévu par le ministère à ce jour n'implique pas la consultation de fichiers des organismes de sécurité sociale. La CNIL prend acte des engagements du ministère de supprimer la mention relative aux fichiers des organismes de sécurité sociale. La nature des informations échangées : En premier lieu, le projet d'article R. 2241-7-5 prévoit que les demandes de renseignements comportent le numéro et la date du procès-verbal, les nom et prénom(s) du contrevenant ainsi qu'au moins une des indications suivantes : sa date de naissance ; sa commune de résidence. Si l'API R2P ne requiert pas les informations relatives à la date et au numéro du procès-verbal, le ministère a précisé que : - la date du procès-verbal permet à la personne morale unique de contrôler que celui-ci ne date pas de plus de trois mois, l'article 529-5 du code de procédure pénale prévoyant qu'au-delà de ce délai l'amende forfaitaire sera recouvrée par le Trésor public et non plus par l'exploitant du service de transport ; - le numéro de procès-verbal permet de s'assurer que chaque demande est associée à une infraction effectivement constatée et de limiter le risque d'abus par les agents des exploitants, en complément du contrôle que doit exercer l'exploitant en interne. La CNIL prend acte des engagements du ministère de préciser, dans le projet de décret, que la date et le numéro du procès-verbal ne sont pas transmis aux administrations publiques. Sous cette réserve, la CNIL considère que ces informations sont de nature à garantir que le droit de communication porte sur des demandes spécifiques et précises et à permettre un contrôle adéquat par la personne morale unique. En deuxième lieu, le projet d'article ouvre la possibilité de préciser la commune de naissance du contrevenant ou toute autre information utile au traitement de leur demande. Le ministère a affirmé que les informations seront uniquement celles exigées pour le fonctionnement de l'API ou de la plateforme mise en place par la personne morale unique. Il s'agit d'informations relatives : - au contrevenant : département, pays en plus de la commune de résidence, adresse communiquée par le contrevenant ; - à des spécificités techniques de l'exploitant du service de transport concerné : identifiant du réseau de l'exploitant, identifiant de connexion à l'application, identifiant supplémentaire (champ libre selon usage des exploitants), date de la demande. S'agissant de l'identifiant supplémentaire , le ministère a précisé, d'une part, qu'il ne doit pas s'agir d'une donnée à caractère personnel et, d'autre part, que le champ sera soit supprimé, soit modifié pour répondre à une nomenclature strictement définie en fonction des besoins des opérateurs de transport, soit assorti d'une alerte automatique pour rappeler qu'il ne doit en aucun cas mentionner des données à caractère personnel. La CNIL en prend acte et invite le ministère à une vigilance renforcée quant à la nature des informations pouvant être communiquées. Elle invite également à mentionner explicitement que le lieu de résidence et le lieu de naissance peuvent être traités afin d'inclure, outre la commune, le département et le pays. Sur ce point, la CNIL prend acte des engagements du ministère d'inclure le département et le pays. La CNIL estime que les informations utiles , dont la transmission est également possible, ne devraient pas contenir de données à caractère personnel ne correspondant à aucune des catégories mentionnées par le décret. En troisième lieu, le dernier alinéa du projet d'article R. 2241-7-5 prévoit que les informations fournies par l'intermédiaire de la personne morale unique comportent uniquement les nom, prénom(s), date et lieu de naissance du contrevenant, ainsi que l'adresse de son domicile. Ces informations sont conformes à celles prévues par l'article L. 2241-2-1 du code des transports et sont bien nécessaires à la finalité poursuivie. Le ministère a précisé que, dans l'hypothèse où, pour une personne donnée et identifiée, l'API R2P contiendrait plusieurs adresses, seule la dernière adresse connue sera transmise à l'agent à l'origine de la demande. En dernier lieu, le dernier alinéa du projet d'article R. 2241-7-2 prévoit que, s'il ne peut être donné suite à la demande de l'exploitant du service de transport à l'origine de la demande, la raison doit en être indiquée (aucune personne n'a pu être identifiée sur la base des informations communiquées ou, au contraire, plusieurs personnes correspondent aux éléments fournis). C. - Sur le recours systématique au dispositif de fiabilisation de l'adresse du contrevenant Si le projet de décret reste silencieux sur ce point, le ministère a indiqué que le recours au dispositif de fiabilisation serait systématique pour tout recouvrement des sommes dues au titre de la transaction mentionnée à l'article 529-4 du code de procédure pénale. Le ministère justifie le caractère systématique par : - l'absence de critères objectifs permettant de faire le tri entre les cas où la fiabilisation serait nécessaire et ceux où les agents de recouvrement pourraient s'en dispenser ; - la nécessité d'assurer la viabilité économique du dispositif pour les opérateurs qui souhaitent éviter au maximum que les avis de recouvrement soient retournés faute d'avoir utilisé une adresse fiable. Compte tenu de la finalité du dispositif prévu par la loi (la fiabilisation des données relatives aux contrevenants) et au regard des garanties prévues par le projet de décret, la CNIL considère que le caractère systématique du recours au dispositif ne porte pas une atteinte disproportionnée aux droits et libertés des personnes concernées. D. - Sur les durées de conservation des données à caractère personnel S'agissant de la conservation des données par la personne morale unique : Le projet d'article R. 2241-7-7 prévoit que la personne morale unique peut conserver les demandes de renseignements pour une durée maximale de trois mois à compter de l'établissement du procès-verbal qui fonde la demande. Elle prévoit également que les réponses aux demandes sont supprimées dans un délai maximal d'un mois à compter de leur mise à disposition de l'exploitant de service de transport. Le ministère a précisé que la possibilité de conserver les demandes de renseignements pendant le délai qui permet aux exploitants de recouvrer les sommes dues (avant transmission au Trésor public) constitue une rédaction de précaution qui doit permettre d'anticiper d'éventuelles difficultés techniques que pourrait rencontrer le système. Il justifie la durée de conservation, par la personne morale unique, des réponses aux demandes mises à la disposition des agents des exploitants, au regard de la disponibilité de ces agents dont il ne peut être exigé qu'ils consultent les réponses et les exploitent instantanément. La conservation de l'ensemble des demandes pendant trois mois constitue une liste des personnes ayant fait l'objet d'une contravention avec procédure de recouvrement, dès lors que la vérification sera, en pratique, systématique. La CNIL estime, en l'état du dossier, que seule la conservation du numéro de la demande et du fait qu'elle a été traitée semble utile une fois que la réponse a été apportée, opération qui devrait en pratique être très brève. Conformément à l'article 5.1.d du RGPD, la durée de conservation des données à caractère personnel doit être déterminée en fonction des finalités pour lesquelles elles sont traitées et non des enjeux techniques inhérents au dispositif. S'il peut être admis que les données à caractère personnel puissent être conservées au-delà de la transmission des informations, notamment parce que la réponse ne peut être traitée immédiatement par l'exploitant, la possibilité de conserver pendant un délai de trois mois à compter de l'établissement du procès-verbal l'ensemble des demandes reçues ne respecte pas le principe de limitation de la durée de conservation. La CNIL prend acte des engagements du ministère de préciser, dans le projet de décret, que tant les demandes que les réponses seront supprimées dès réception par l'exploitant de la réponse à la demande. Elle prend également acte de l'engagement du ministère que pour couvrir les cas de dysfonctionnements empêchant une réception immédiate, il sera précisé que le délai ne pourra pas excéder le délai de recouvrement. S'agissant de la conservation des données par l'administration publique ou les organismes de sécurité sociale : Le projet d'article R. 2241-7-7 prévoit que les administrations publiques et organismes de sécurité sociale conservent les données issues de l'échange pour une durée maximale de six mois. Le ministère a précisé que ce choix est uniquement dû aux limitations techniques de l'API R2P qui prévoit une seule et unique durée de conservation des données pour l'ensemble des utilisateurs concernés, indépendamment de la finalité poursuivie par une demande en particulier. Tout d'abord, la CNIL s'interroge sur l'opportunité d'encadrer la durée de conservation des données issues de l'échange (demandes formulées et réponses transmises) dans cet acte règlementaire si celui-ci est commun à tous les usages pour lesquels l'API est amenée à être utilisée. Si le ministère souhaite règlementer la durée de conservation des données pour le seul usage prévu par le projet de décret, cette durée doit être adaptée aux finalités pour lesquelles les données sont traitées. En effet, la CNIL considère que le choix d'une solution technique particulière ne doit pas déterminer la définition de la durée de conservation, en application du principe de limitation de la conservation des données posé par l'article 5.1.d du RGPD. Ainsi, la durée de conservation des échanges devrait être celle nécessaire à la conduite de la procédure de recouvrement ainsi qu'aux fins de preuve en cas de contestation de l'amende forfaitaire majorée pour les infractions à la police des transports. E. - Sur l'information et les droits des personnes concernées Sur l'information des personnes concernées : Le projet d'article R. 2241-7-8 du code des transports prévoit que le public est informé par tout moyen approprié de la vérification des données à caractère personnel déclarées par les personnes concernées lors de l'établissement d'un procès-verbal. Le ministère précise que l'information sera délivrée sur les sites web propres à chaque exploitant ainsi que sur celui du ministère chargé des transports. Une information par voie d'affichage dans les moyens de transports serait également envisagée. La CNIL recommande que l'information des personnes concernées soit également fournie par l'inscription de mentions au dos du reçu de procès-verbal d'infraction et, le cas échéant, dans l'avis de recouvrement qui est adressé. En tout état de cause, elle rappelle que cette information doit être concise, compréhensible et aisément accessible, rédigée en des termes clairs et simples, en particulier dans la mesure où elle peut être adressée à des mineurs. En outre, la CNIL rappelle que dans l'hypothèse où l'avis de contravention serait adressé à une personne qui n'est pas le véritable contrevenant (par exemple, dans le cas d'une usurpation d'identité), cette dernière doit être en mesure de pouvoir contester celui-ci selon des modalités appropriées. Elle invite le ministère à prévoir ces dernières et à les porter à la connaissance des personnes concernées. F. - Sur les mesures de sécurité encadrant le droit de communication La CNIL observe que le projet d'article R. 2241-7-3 du code des transports prévoit que "le droit de communication […] s'exerce par voie dématérialisée dans le cadre d'un dispositif sécurisé , et que le projet d'article R. 2241-7-6 précise que les échanges d'information entre les exploitants de service de transport et la personne morale unique, d'une part, et la personne morale unique et les administrations publiques et organismes de sécurité sociale d'autre part, sont réalisés dans des conditions sécurisées, de nature à garantir la confidentialité et l'intégrité des données qui transitent ". Elle prend acte de ces précisions visant à garantir la création d'un dispositif assurant la sécurité des données traitées et du fait que les conditions de mise en œuvre du dispositif seront précisées dans des conventions conclues entre les parties concernées. La CNIL relève, par ailleurs, que le projet d'article R. 2241-7-4 du code des transports vise à permettre l'identification des agents à l'origine des demandes d'information, afin de garantir la traçabilité des demandes effectuées par le biais de la personne morale unique. Elle considère que la traçabilité ne devrait pas reposer uniquement sur la personne morale unique mais qu'elle devrait également être effectuée au niveau de l'exploitant du service de transport, notamment pour ce qui concerne la capacité à rendre compte du lien entre les demandes transmises et l'existence d'un procès-verbal. La CNIL prend également acte de l'engagement du ministère de préciser le projet de décret en ce sens. Enfin, la CNIL considère que les traitements mis en œuvre conformément à l'article L. 2241-2-1 du code des transports sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques et qu'une analyse d'impact relative à la protection des données à caractère personnel devra être réalisée avant leur mise en œuvre. Liens relatifs La présidente, M.-L. Denis