AgentPublic/cnil huggingface dataset:
S'agissant des lieux, le ministère a précisé que leur identification par l'adresse postale et la dénomination permettra aux agences régionales de santé (ARS), en complément des enquêtes sur les chaînes de contamination et les clusters, de mener des actions ciblées auprès de certains organismes ou de certaines catégories d'organismes (rappel des protocoles sanitaires, etc.). La Commission en prend acte. Elle rappelle néanmoins que des mesures de nature à garantir la confidentialité des informations recueillies devront être prévues.
Sur les rassemblements, événements ou activités
Les projets d'articles 2.II.1°.l et 2.II.2°.l prévoient la collecte d'informations relatives à un grand nombre de rassemblements, évènements, tels que des réunions familiales, amicales ou autres réunions , des évènements en lien avec le cadre professionnel ou la participation à un rassemblement au cours desquels les contaminations peuvent avoir lieu pourront être collectées. Sont concernés les évènements ou activités impliquant plus de six personnes, contre dix auparavant. Le ministère a précisé à la Commission que toute personne (mineurs inclus) devait être comptabilisée et que ce seuil était valable pour les rassemblements, évènements ou activités rassemblant au moins deux foyers différents. La Commission invite le ministère à préciser ces éléments dans le décret.
La Commission relève en premier lieu que le projet prévoit la possibilité de recueillir le nom du rassemblement, de l'événement ou de l'activité. L'usage du terme nom est susceptible de créer une confusion avec les lieux dans lesquels se déroulent les rassemblements, évènements et activités ainsi que le nom de son responsable. La Commission comprend que cela renvoie à l'intitulé du rassemblement, de l'évènement ou de l'activité.
Si elle comprend la nécessité de disposer de certaines précisions pour réaliser les enquêtes sanitaires, la Commission attire néanmoins l'attention du ministère sur le risque engendré en matière de protection de la vie privée des personnes concernées, à plus forte raison dans l'hypothèse où le nom du rassemblement, événement ou activité serait susceptible d'entraîner le traitement de données mentionnées à l'article 9 du RGPD. A cet égard, la Commission rappelle que le ministère a lui-même entendu limiter la collecte d'informations relatives à leur nature en prévoyant que la sélection d'un évènement dans le système d'information se fera à l'aide d'un menu déroulant et qu'aucun champ libre permettant de qualifier la nature de l'événement ne serait ouvert. La Commission en déduit que l'inscription de l'intitulé implique l'existence d'un champ libre.
Elle considère donc que la collecte du nom de l'événement, du rassemblement ou de l'activité, en ce qu'elle est susceptible de révéler sa nature exacte et en l'absence de justification particulière de la part du ministère, n'est pas conforme aux dispositions de l'article 5-1-c du RGPD. Dans l'hypothèse où une justification particulière serait apportée, la Commission invite le ministère à préciser que le nom de l'événement, du rassemblement ou de l'activité ne devra être collecté que si l'information est impérativement nécessaire pour la réalisation de l'enquête.
En second lieu, la Commission relève que les projets d'articles 2.II.1°.l et 2.II.2°.l prévoient la possibilité d'ajouter dans le système d'information :
- l'information selon laquelle la personne concernée a participé à un rassemblement cultuel . A cet égard, la Commission relève que la mention de cette information implique le traitement de données mentionnées à l'article 9 du RGPD. Elle prend acte de ce que le ministère s'est engagé à modifier le projet afin de ne pas prévoir la collecte de cette information ;
- l'information concernant la présence prolongée dans un moyen de transport collectif ou dans une salle d'attente. La Commission invite le ministère à préciser de quelle manière il entend caractériser une présence prolongée et à diffuser cette information, par exemple sur son site web ;
- l'information portant sur la présence prolongée dans une salle d'attente par les personnes concernées. La Commission s'interroge sur l'articulation entre la communication éventuelle de la liste de personnes présentes et le secret auquel sont tenues certaines professions (médecins, avocats, etc.) Elle rappelle que ces dispositions règlementaires ne sauraient délier les professionnels concernés de leur obligation légale de secret.
Sur l'adresse de résidence du responsable d'un rassemblement, d'un évènement ou d'une activité
S'agissant de l'adresse de résidence mentionnée dans les projets d'articles 2.II.1°.l et 2.II.2°.l, la Commission comprend qu'il est prévu la collecte de l'adresse du lieu de résidence personnelle du responsable. Le ministère a précisé qu'il n'entendait permettre de collecter l'adresse de résidence du responsable que dans l'hypothèse où il serait organisateur d'un rassemblement, d'un évènement ou d'une activité. La Commission l'invite donc à préciser le décret sur ce point.
De plus, elle estime que la collecte de l'adresse postale du lieu de rassemblement, d'évènement ou d'activité ne devrait pas impliquer la collecte systématique de l'adresse de résidence personnelle du responsable ou de l'organisateur et ne devrait être collectée qu'en dernier recours, par exemple en l'absence d'adresse électronique ou de numéro de téléphone. Elle s'interroge par ailleurs sur les modalités de recueil, et notamment la source, de telles informations.
Concernant la collecte de données relatives au patient zéro et la divulgation de son identité
Le projet d'article 2.II.1°.j prévoit, au sein du système d'information, l'identification des gares ferroviaires, routières ou maritimes ou aéroports dans lesquels les personnes concernées ont transité au retour d'un séjour dans un département ou collectivité mentionnés à l'article 72-3 de la Constitution ou dans un Etat, autres que ceux de résidence, dans lequel elles se sont rendues au cours des quatorze derniers jours. Les exploitants des moyens de transports avec lesquels elles ont voyagé sont également identifiés.
Dans le cadre des échanges avec le ministère, il a été indiqué à la Commission que ces informations permettront la transmission de l'identité du patient zéro , sans que son consentement soit recueilli à cette fin, à l'exploitant concerné afin de permettre l'identification des cas-contacts ou personnes co-exposées lors d'un voyage. La Commission estime que, pour ce faire, il est nécessaire que le décret indique explicitement l'exploitant parmi les destinataires possibles de cette donnée. Elle appelle par ailleurs le ministère à s'interroger sur la portée de la dérogation au secret médical prévue par l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions, afin de s'assurer qu'elle couvre ce cas de figure.
Le projet d'article 2.II.1°.o prévoit d'étendre la possible divulgation de l'identité du patient zéro , avec son consentement et lorsque cela est nécessaire pour la mise en œuvre d'une enquête sanitaire, aux :
- personnes co-exposées ;
- responsables ou organisateurs d'un lieu ou d'une structure accueillant du public, d'un rassemblement, d'une activité ou d'un évènement que le patient a fréquenté ou auquel il a participé dans les quatorze derniers jours ;
- personnes et autorités disposant d'informations pertinentes pour la recherche des cas contacts et des personnes co-exposées .
La Commission rappelle tout d'abord que la communication de l'identité du patient zéro implique la transmission d'une information couverte par le secret médical mentionné à l'article L. 1110-4 du code de la santé publique. Si elle relève que cette divulgation est conditionnée à l'expression du consentement de la personne concernée, elle rappelle que cette dernière doit être clairement informée des personnes auxquelles son identité est susceptible d'être révélée. La Commission relève par ailleurs qu'un patient zéro pourrait consentir à ce que son identité soit révélée à l'ensemble des catégories de personnes mentionnées projet d'article 2.II.4°. La Commission invite donc le ministère à proposer au patient de donner son consentement à la divulgation de son identité pour chaque catégorie de destinataires et non à exprimer un consentement global.
A cet égard, la Commission rappelle que le consentement du patient zéro devra être exprimé librement, après une information précise sur les modalités de cette divulgation.
Elle insiste sur le fait que le consentement donné à la divulgation de l'identité ne devrait pas conduire à en systématiser la révélation à toute personne contactée dans le cadre d'une enquête et que cette révélation ne devrait intervenir que lorsqu'elle est utile à sa réalisation.
La Commission invite donc le ministère à attirer l'attention des personnes ayant accès aux données afin de réaliser les enquêtes sanitaires, de la nécessité de préserver la confidentialité des données auxquelles elles ont accès et à préciser, par exemple par l'élaboration de cas d'usage, les situations dans lesquelles la divulgation de l'identité du patient zéro peut intervenir.
Elle précise qu'il conviendra également que les personnes chargées des enquêtes rappellent à toute personne à laquelle l'identité du patient zéro serait révélée, le caractère confidentiel de cette information.
Concernant la collecte de données relatives aux cas contacts et personnes co-exposées 
Le projet d'article 2.II.2°.e prévoit la collecte de l'existence d'une précédente infection au virus dans la période des deux mois antérieurs ainsi que l'existence d'une vaccination contre la covid-19.
Concernant la mention d'une précédente infection, le ministère a indiqué que la collecte de cette information permettrait de qualifier les personnes ayant été infectées depuis moins de deux mois comme contacts à risque négligeable tels que définis par l'ANSP. La Commission invite le ministère à le préciser dans le décret.
Concernant les données relatives à la vaccination, le ministère a précisé avoir sollicité le HCSP afin de déterminer plus précisément les informations liées aux données de vaccination à collecter (doses, dates, période d'immunité, etc.). La Commission invite le ministère à les préciser dans le texte dès leur détermination ou le cas échéant à les publier sur son site web. Elle rappelle que seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ne devront être collectées, conformément aux dispositions de l'article 5-I-c du RGPD.
Enfin, en vue de réaliser une analyse des retours d'usage de l'application TousAntiCovid , la Commission invite le ministère à prévoir la collecte d'une information permettant de déterminer la ou les modalités par lesquelles la personne a été informée de son statut de cas contact ou personne co-exposée . Elle souligne toutefois que la notion de personne co-exposée n'est pas mentionnée dans le décret n° 2020-650 du 19 mai 2020.
Sur les données transmises par les responsables, organisateurs et toute personne ou autorité disposant d'informations
Le projet d'article 2.I.4° élargit les possibilités de recueil des données auprès des responsables ou organisateurs d'activités, de rassemblements ou d'évènements listés, ou auprès de toute personne ou autorité disposant d'informations pertinentes pour la recherche des cas-contacts et personnes co-exposées La Commission rappelle que les catégories de données qui pourront être recueillies dans ce cadre devront se limiter à celles prévues par le décret modifié.
La Commission relève que le projet de décret ne fait pas obligation aux personnes visées au projet d'article 2.I.4° de communiquer les données relatives aux cas contacts et aux personnes co-exposées aux personnes spécialement autorisées à les enregistrer.
Sur le recours aux informations recueillies en application de l'article L. 114-12 du code de la sécurité sociale et le recours à des tiers
Le projet d'article 2.III prévoit la possibilité, en l'absence dans le système d'information des coordonnées des patients zéro , des cas contacts et des personnes co-exposées , d'obtenir ces informations auprès de tiers, notamment dans le cadre de l'article L. 114-12 du code de la sécurité sociale .
La Commission relève que le traitement mentionné à l'article L. 114-12 du code de la sécurité sociale (CSS) permet aux organismes chargés de la gestion d'un régime obligatoire de sécurité sociale, du recouvrement des cotisations de sécurité sociale ou du service des allocations et prestations mentionnées au présent code, les caisses assurant le service des congés payés, Pôle emploi et les administrations de l'Etat de se communiquer les renseignements nécessaires ou qui permettent :
- l'appréciation de droits ou l'exécution d'obligations entrant dans le fonctionnement normal du service public dont sont chargés ces organismes ;
- l'information des personnes sur l'ensemble de leurs droits ;
- le contrôle, la justification dans la constitution des droits et la justification de la liquidation et du versement des prestations dont sont chargés respectivement ces organismes ;
- l'établissement du respect des conditions de résidence prévues pour l'ouverture des droits et le service des prestations.
La Commission considère que l'utilisation de ce mécanisme dans le but de disposer des coordonnées manquantes est incompatible avec les finalités prévues par l'article L. 114-12 du CSS.
S'agissant de la notion de tiers , le ministère a précisé que les coordonnées des personnes concernées pourraient être sollicitées auprès des organismes chargés de la gestion d'un régime obligatoire de sécurité sociale ainsi que de la direction générale des finances publiques. La Commission invite donc le ministère à remplacer le terme tiers par la liste limitative des tiers pouvant être sollicités à des fins de recherche de coordonnées manquantes et rappelle que les finalités des traitements consultés devront être compatibles avec cet objectif.
Sur les personnes autorisées à enregistrer et consulter les données des personnes concernées
Le projet d'article 3.III prévoit de nouvelles conditions d'accès aux données :
- les données collectées au sein de Contact Covid pourront être consultées à des fins d'accompagnement sanitaire et social. Le ministère a indiqué que cette modification visait à faciliter la prise de contact et l'organisation de la visite au domicile de la personne pour les professionnels intervenant au titre de l'accompagnement sanitaire ;
- les personnes placées sous la responsabilité de professionnels de santé pourront enregistrer ou accéder aux données. Le ministère a notamment indiqué qu'il pourrait s'agir de médiateurs de lutte anti covid-19 tels que mentionnés à l'article 25-1 de l'arrêté du 10 juillet 2020 prescrivant les mesures d'organisation et de fonctionnement du système de santé nécessaires pour faire face à l'épidémie de covid-19 dans le cadre de l'état d'urgence sanitaire.
La Commission en prend acte et considère que leur accès devra être strictement encadré et que les missions qui leur seront confiées devront être déterminées au regard de leurs compétences. En outre, elle invite le ministère à préciser les catégories de personnes ainsi visées dans le décret.
Sur les informations relatives aux besoins d'accompagnement sanitaire et social
La Commission prend acte de ce que les données dont la collecte est envisagée par le projet de décret ne seront pas limitées à la simple expression d'un besoin d'accompagnement. Selon les indications du ministère, l'accompagnement social et/ou sanitaire à l'isolement d'une personne dans le cadre d'une initiative locale ainsi que la mise en œuvre effective des mesures pour lesquelles un besoin a été exprimé seront indiquées dans le SI Contact Covid .
Le ministère a en outre indiqué que l'accompagnement sanitaire à l'isolement se matérialiserait par la visite à domicile d'un professionnel de santé, par exemple d'un infirmier libéral, à des fins de pédagogie de l'isolement, de dépistage des membres du foyer et d'identification d'un éventuel besoin d'accompagnement social, matériel ou psychologique complémentaire. La Commission en prend acte.
La Commission relève que le projet d'article 3.VII prévoit que seront communiquées aux cellules de préfecture dédiées à l'accompagnement social, sous réserve du consentement de la personne concernée :
- ses coordonnées électroniques et postales ;
- ses déclarations d'un besoin d'accompagnement social et d'appui et/ou d'un besoin d'accompagnement sanitaire à l'isolement.
Le ministère a précisé que la collecte de ces données était nécessaire pour permettre aux cellules territoriales d'appui à l'isolement :
- d'identifier la nature de l'accompagnement sollicité ;
- d'organiser la mise en œuvre de l'accompagnement social ;
- de coordonner les différents acteurs intervenant pour cette finalité.
La Commission rappelle que le ministère devra prévoir des mesures techniques et/ou organisationnelles permettant de garantir que la transmission de ces informations, leur extraction et l'accès des acteurs intervenant au titre de l'accompagnement social et sanitaire seront réalisés dans des conditions de confidentialité et de sécurité appropriées. Elle rappelle par ailleurs que seules les personnes habilitées pourront avoir accès aux données, dans la stricte limite de leur besoin d'en connaître pour l'exercice de leurs missions.
Enfin, la Commission estime que des instructions claires et uniformes - reprenant les consignes des autorités sanitaires - devront être données à l'ensemble des intervenants et leurs sous-traitants quant à la définition des différentes notions utilisées dans le projet de décret qui justifient la collecte de données. La formation et la sensibilisation régulières des personnels qui sont amenés à intervenir sont en effet essentielles.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de la transition écologique, le ministre de l'économie, des finances et de la relance et le ministre de l'agriculture et de l'alimentation d'une demande d'avis sur un projet d'arrêté relatif à la déclaration dématérialisée sur un site internet public par les professionnels de rappels de produits, de denrées alimentaires ou d'aliments pour animaux ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code de la consommation, notamment son article L. 423-3 ;
Vu le code rural et de la pêche maritime, notamment son article L. 205-7-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après la Commission ) a été saisie par la ministre de la transition écologique, le ministre de l'économie, des finances et de la relance et le ministre de l'agriculture et de l'alimentation d'une demande d'avis sur le fondement des articles L. 423-3 du code de la consommation et L. 205-7-1 du code rural et de la pêche maritime, sur un projet d'arrêté relatif à la déclaration dématérialisée sur un site internet public par les professionnels de rappels de produits, de denrées alimentaires ou d'aliments pour animaux (ci-après déclarations de rappel ).
L'article L. 421-3 du code de la consommation impose aux professionnels une obligation générale de sécurité pour les produits et les services qu'ils commercialisent. Lorsqu'un producteur ou un distributeur sait que des produits destinés aux consommateurs qu'il a mis sur le marché ne répondent pas aux exigences énoncées à cet article, il doit engager les actions nécessaires pour prévenir les risques pour les consommateurs et en informer immédiatement les autorités administratives compétentes.
En complément de cette mesure, l'article L. 423-3 du code de la consommation et l'article L. 205-7-1 du code rural et de la pêche maritime prévoient que ces déclarations de rappel sont effectuées par les professionnels de façon dématérialisée sur un site internet dédié, mis à la disposition du public par l'administration.
Un arrêté des ministres intéressés, pris après avis de la Commission, doit en déterminer les conditions de fonctionnement, son adresse, les informations à déclarer, la nature de celles qui sont rendues publiques, ainsi que les modalités de déclaration, de publication et d'actualisation de ces informations. C'est l'objet du projet d'arrêté soumis à l'avis de la Commission.
Sur le fonctionnement du dispositif
Afin que les professionnels puissent effectuer cette déclaration dématérialisée, l'article 1er du projet d'arrêté prévoit que la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) crée un traitement de données dénommé RappelConso qui se compose de trois modules distincts :
- un site internet destiné aux professionnels, ainsi qu'aux tiers agissant pour leur compte, tenus d'effectuer la déclaration de rappel dématérialisée ;
- un site internet destiné à l'information du public sur ces rappels ;
- un module accessible par le réseau interne de l'Etat permettant aux agents destinataires d'approuver la publication d'un rappel créé par un professionnel, de créer et publier des rappels à leur initiative, de publier des informations à destination du public sur les rappels et de gérer l'ensemble des interfaces précitées.
Sur les finalités
La finalité de ce traitement est de permettre la mise en œuvre des déclarations dématérialisées de rappel de produits, de denrées alimentaires et d'aliments pour animaux, prévues par l'article L. 423-3 du code de la consommation et l'article L. 205-7-1 du code rural et de la pêche maritime.
La Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes conformément aux dispositions de l'article 5.1 b du RGPD.
Sur les données traitées
Lorsqu'un professionnel souhaite effectuer une déclaration dématérialisée de rappel, il doit adhérer au site professionnel RappelConso et fournir des informations d'identification qui lui permettent de créer des comptes administrateurs et utilisateurs.
Le ministère a indiqué que lors de la création d'une fiche de rappel, les éléments d'identification du professionnel, renseignés lors de la création d'un compte adhérent, étaient réutilisés lors de l'enregistrement d'une déclaration de rappel.
L'annexe du projet d'arrêté énumère la liste des données à caractère personnel collectées pour la création d'un compte adhérent et la création des fiches de rappels. Cette liste contient essentiellement des données de contact du professionnel et de l'agent instructeur des demandes ainsi que des données relatives aux produits rappelés.