AgentPublic/cnil huggingface dataset:
La mise en œuvre du FPA a été autorisée, à titre expérimental pour une durée de deux ans, par un arrêté du 19 décembre 2006 pris après avis de la CNIL, exprimé dans sa délibération n°2006-198 du 14 septembre 2006.
Cette expérimentation a ensuite été reconduite, pour une nouvelle période de deux ans, autorisée par l’arrêté du 28 janvier 2009, pris après avis de la CNIL, rendu par sa délibération n°2008-576 du 18 décembre 2008.
Le projet d’arrêté modificatif soumis à la Commission vise à proroger la mise en œuvre à titre expérimental du fichier des passagers aériens jusqu’au 31 décembre 2011, afin notamment de réaliser des améliorations techniques qui permettront d’aboutir à un outil opérationnel évolutif capable de traiter un volume de données plus important.
Sur la communication des décisions interministérielles fixant la liste des pays concernés par le FPA
L’article 1er de l’arrêté du 28 janvier 2009 prévoit qu’une décision du ministre de l’intérieur et du ministre de l’immigration, de l’intégration, de l’identité nationale et du développement solidaire, communiquée à la Commission nationale de l’informatique et des libertés, précise les provenances et les destinations situées dans des Etats n’appartenant pas à l’Union européenne concernées par le FPA.
La Commission prend acte de ce que la décision interministérielle du 20 juillet 2010 lui a été communiquée le 8 février 2011 et rappelle que toute modification ou nouvelle décision interministérielle doit lui être communiquée sans délai, conformément à l’arrêté précité.
Sur les difficultés de mise en œuvre rencontrées et les solutions envisagées
La Commission relève que le FPA est mis en œuvre à titre expérimental depuis 2006, que l’alimentation du FPA par des données relatives aux passagers a débuté en mai 2007, et que le projet d'arrêté dont elle est saisie vise à reconduire cette expérimentation jusqu'au 31 décembre 2011. 
La Commission observe que l’expérimentation du FPA est en cours, au jour de sa délibération, depuis plus de quatre ans, sans pour autant que l’effectivité du dispositif ait été clairement démontrée.
La Commission prend toutefois acte du bilan d’évaluation qui lui a été communiqué. Elle constate qu’une version rénovée de l’outil initial, désormais dénommé « FPA 2 » a été mise en œuvre à la fin du mois d’avril 2010.
Elle relève que ce bilan fait état de difficultés techniques nouvelles, liées notamment à la montée en charge du dispositif et à l’augmentation du volume de données à traiter dans le cadre du FPA, à l’impossibilité technique pour certaines compagnies aériennes de respecter la norme unique sécurisée (EDIFACT) de transmission des données, ainsi qu’à l’obsolescence de la borne SITA (anciennement Société internationale de télécommunications aéronautiques) implantée à la Direction de la Police de l’Air et des Frontières de l’aéroport Roissy-Charles de Gaulle.
La Commission observe également que le taux d’alertes FPR erronées demeure anormalement élevé. Elle relève toutefois, à cet égard, que le ministère de l’intérieur indique avoir mis en place un système de recherche phonétique, afin d’améliorer les performances du rapprochement des données enregistrées dans le FPA avec celles contenues dans le FPR.
La Commission prend acte des conclusions du bilan selon lesquelles il est considéré nécessaire de poursuivre l’expérimentation du FPA jusqu’au 31 décembre 2011, afin de réaliser des travaux d’amélioration technique qui permettront d’aboutir à un outil opérationnel plus performant, évolutif, et capable de traiter un volume de données plus important, ainsi que de préparer une future plate-forme française de traitement de données relatives aux passagers dans le cadre de la mise en œuvre d’un futur système APIS-PNR basé sur une réglementation européenne, actuellement en cours de discussion.
La Commission prend acte des différentes mesures correctives annoncées par le ministère et rappelle qu’elle avait demandé, dans sa délibération n°2008-576 du 18 décembre 2008, à être informée du délai de mise en œuvre des mesures prises pour répondre aux difficultés du FPA, ainsi que de toute autre nouvelle mesure d’amélioration ou de toute adaptation technique apportée au traitement.
Elle réaffirme cette position et demande à être tenue informée en temps utile, au fur et à mesure de leur déploiement et préalablement à leur mise en œuvre, des différentes mesures d’amélioration ou fonctionnalités nouvelles du système.
Sur les modalités de transmission des données relatives aux passagers par les transporteurs
La Commission relève que le dernier bilan d’évaluation qui lui a été communiqué fait état de l’impossibilité, pour certains transporteurs de respecter la norme sécurisée de transmission des données (Norme EDIFACT) imposée par le décret n°2006-1930 du 19 décembre 2006.
Elle observe que le ministère envisage une modification à court terme de ce décret visant à permettre aux transporteurs d’utiliser d’autres formats alternatifs de transmission.
La Commission rappelle que la loi informatique et libertés du 6 janvier 1978 modifiée en 2004 impose aux responsables de traitements automatisés de données à caractère personnel de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.
La Commission estime, dès lors, que les formats alternatifs de transmission des données ainsi envisagés devraient être entourés d’exigences fortes de sécurité et de confidentialité.
La Commission relève que le ministère a procédé au lancement d’une étude sur la définition des formats de transmission souhaitables, reposant sur les propositions des transporteurs ainsi que sur une étude comparative des systèmes mis en œuvre par d’autres pays utilisant des systèmes identiques au FPA.
Elle prend acte de l’engagement du ministère de lui communiquer les résultats de cette étude, ainsi que de lui soumettre pour avis la prochaine modification du décret 2006-1930 du 19 décembre 2006. La Commission demande que ces éléments lui soient communiqués en temps utile.
Sur la mise en œuvre du criblage des données du FPA avec celles contenues dans le Système d’information Schengen (SIS)
La Commission observe, alors que la loi autorise le raccordement du FPA au Fichier des personnes recherchées (FPR) et au Système d’information Schengen (SIS), que seul le raccordement du FPA au FPR a été réalisé.
Elle prend acte de ce que le raccordement du FPA avec le SIS sera réalisé dans le courant de l’année 2011.
La Commission demande à être informée en temps utile et préalablement à leur mise en œuvre, des éléments et conditions techniques dans lesquelles s’effectueront ce raccordement ainsi que le criblage des données.
Sur la durée de conservation des données relatives aux passagers collectées dans le cadre du FPA
La Commission observe qu’en vertu de l’article 4 de l’arrêté du 28 janvier 2009, les données enregistrées dans le FPA sont conservées pendant cinq ans à compter de leur inscription, à l’exclusion de la mention « connu(e) » ou « inconnu(e) » au fichier des personnes recherchées ainsi que dans le système d’information Schengen, qui n’est conservée que pendant un délai de vingt-quatre heures.
La Commission relève en particulier qu’en vertu de ce texte, dans le cadre de la lutte contre l’immigration clandestine, les données du FPA ne peuvent être consultées que dans les vingt-quatre heures qui suivent leur transmission.
Elle souligne également que les données conservées au-delà de vingt-quatre heures ne sont accessibles qu’aux seuls agents individuellement désignés et dûment habilités des services chargés de la prévention et de la répression du terrorisme.
La Commission prend acte des précisions du ministère selon lesquelles une procédure automatique de suppression des données, à l’expiration de ces délais, est mise en œuvre.
Elle prend également acte de l’engagement du ministère, dans l’hypothèse où le Gouvernement déciderait de ne pas pérenniser l’expérimentation, de supprimer l’ensemble des données collectées depuis le début de la mise en œuvre de l’expérimentation du FPA.
Sur les modalités d’information des passagers de leurs droits
Dans sa délibération n°2006-198 du 14 septembre 2006, la Commission rappelait que les notices d’information destinées aux passagers sur la mise en œuvre du FPA doivent préciser les destinataires des données, les finalités du recueil obligatoire des informations, ainsi que les modalités d’exercice des droits d’accès et de rectification. Elle demandait également à être saisie, préalablement à leur diffusion, de ces documents.
La Commission observe que ces documents ne lui ont pas été transmis.
Elle relève toutefois que l’alinéa VI de l’article 7 de la loi n°2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers dispose que l’obligation d’information des passagers concernés incombe aux transporteurs aériens, maritimes et ferroviaires.
La Commission invite le ministère à rappeler les transporteurs concernés à leurs obligations, et à leur rappeler les termes des délibérations adoptées par la CNIL s’agissant de l’information des passagers quant au FPA.
Le Président
Alex Türk
Délibération n°2011-067 du 3 mars 2011 autorisant l’Institut national de la santé et de la recherche médicale, l’Inserm, à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité l’étude des déterminants professionnels et sociaux de la santé – Cohorte Constances
(demande d’autorisation n°910486)
La Commission nationale de l'informatique et des libertés, 
Saisie par l’Institut national de la santé et de la recherche médicale, l’Inserm, d’une demande d’autorisation pour la mise en œuvre de la cohorte intitulée Constances ;
Vu la Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son chapitre IX ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu les arrêtés du 11 avril 2002, 20 juin 2005, 26 septembre 2008 et 16 octobre 2008 relatifs au système national d'information inter-régimes de l'assurance maladie ;
Sur le rapport de Madame Marie-Hélène MITJAVILE, commissaire et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
Sur l’objet du traitement
La Commission a été saisie par l’Institut national de la santé et de la recherche médicale, l’Inserm, de la constitution de la cohorte CONSTANCES (CONSulTANts des Centres d’Examen de Santé) qui a pour objet principal l’étude des déterminants professionnels et sociaux de la santé.
La cohorte Constances est également conçue comme un « laboratoire épidémiologique ouvert » accessible à la communauté de la recherche épidémiologique et comme un outil de la santé publique permettant aux hautes instances de disposer de sources d’informations diversifiées sur la santé de la population, les facteurs de risque, le mode de recours au système de soins et de prévention et sur les trajectoires médicales, professionnelles et sociales des personnes.
Sur la procédure applicable
Sont applicables les dispositions du chapitre IX de la loi du 6 janvier 1978 modifiée relatif aux traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé, qui soumettent ces traitements à autorisation préalable de la Commission après avis du Comité consultatif sur le traitement de l’information en matière de recherche dans le domaine de la santé (CCTIRS). 
Le CCTIRS a rendu un avis favorable à la cohorte Constances.
Sont également applicables les dispositions de la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques et de ses textes d’application ; et à ce titre la cohorte Constances a reçu le label d’intérêt général et de qualité statistique du Conseil national de l'information statistique.
Présentation de l’étude
La cohorte Constances est une étude nationale dont l’objectif sera de suivre sur 30 ans la santé de 200 000 personnes âgées de 18 à 69 ans lors de leur inclusion dans l’étude. Cette étude s’intéressera aux liens entre la santé et les risques professionnels, aux déterminants sociaux et aux inégalités sociales de santé, au vieillissement et à la santé des femmes.
L’échantillon utilisé dans le cadre de la cohorte sera représentatif de la population couverte par les organismes de sécurité sociale du régime général, les principales Sections locales mutualistes et la Caisse d’assurance maladie des Industries Electrique et Gazière. La constitution de la cohorte sera progressive, sur une période de cinq ans.
Les sujets seront tirés au sort par la Caisse nationale d’assurance vieillesse (CNAV) selon les critères définis par l’Inserm et invités à participer à la cohorte.
Ceux qui accepteront de participer recevront une invitation à venir réaliser dans l’un des 19 centres d’examen de santé (CES) de la sécurité sociale participants un examen périodique de santé.
Après signature d’un consentement, les données recueillies par le centre d’examen de santé et les questionnaires remplis par les participants seront transmis avec pour seul identifiant un numéro Constances à l’équipe « Constances » de l’Inserm.
Les personnes qui en feraient spontanément la demande auprès des CES pourront être incluses.
Le suivi des participants comportera plusieurs étapes.
D’une part, un suivi actif comportant un examen de santé, deux auto-questionnaires sur le mode de vie et le parcours professionnel (Calendrier professionnel) des participants, un bilan des fonctions physiques et cognitives proposé pour les 45 ans et plus et un questionnaire sur les « expositions professionnelles ».
D’autre part, un suivi passif d’événements socioprofessionnels et de données de santé : 
- Seront ainsi recueillis les principaux événements socioprofessionnels auprès de la Caisse nationale d’assurance vieillesse (CNAV) dans le Système national de gestion des carrières (SNGC) qui regroupe des informations issues des déclarations annuelles des données sociales (DADS).
- Les données concernant le statut vital et les causes de décès seront recueillies auprès de la CNAV et de l’Inserm conformément au décret n° 98-37 du 16 janvier 1998 autorisant l’accès aux données relatives au décès des personnes inscrites au Répertoire national d’identification des personnes physiques dans le cadre des recherches dans le domaine de la santé.
- Les principaux événements de santé seront extraits du Système national d’information inter-régimes de l’Assurance maladie (SNIIRAM) qui comporte les données de remboursement de l’assurance maladie. 
A cette fin, les sections locales mutualistes et la Caisse d’assurance maladie des Industries Electrique et Gazière, transmettront par l’intermédiaire de la Mutuelle générale de l’éducation nationale à la Caisse nationale d’assurance maladie des travailleurs salariés, le NIR des ouvrants droit des personnes sélectionnées.
Un échantillon de non participants sera également tiré au sort parmi les personnes ayant reçu le courrier d’invitation mais n’ayant pas répondu. Un suivi passif de ces personnes sera mis en place. Les personnes ayant indiqué qu’elles ne souhaitent pas participer ne seront pas tirées au sort. 
Au sein de l'équipe Constances, des médecins seront chargés de valider les diagnostics médicaux issus du codage des diagnostics de l'assurance maladie. Pour réaliser cette validation, les médecins de l’équipe Constances pourront, avec l’accord de la personne concernée, la contacter ou contacter son médecin pour obtenir des précisions sur sa pathologie éventuelle.
Un « tiers de confiance » assurera la confidentialité des données directement identifiantes des participants (n° patient dans l’étude, état civil, sexe, adresse et code régime d’assurance maladie). Il fera le lien entre l’équipe Constances, l’imprimeur, les Centres d’examen de santé et la Poste.
Une application sécurisée accessible via internet permettra à chaque CES d’assurer le suivi de ses participants (étapes réalisées : convocation, signature du consentement, réalisation de l’examen de santé, remise des auto-questionnaires, réalisation du bilan fonctionnel, l’interview « exposition professionnelle »). Elle ne contiendra pas de données de santé mais l’identité de la personne, son adresse et son n° Constances. Le tiers de confiance accèdera à ces données.
La création d’une « banque de matériel biologique » fera l’objet d’une demande ultérieure.
Sur la finalité de l’étude
La finalité très vaste de l’étude est liée à ses objectifs secondaires qui sont d’être un « laboratoire épidémiologique ouvert » accessible à la communauté de la recherche et un outil pour la santé publique. 
La Commission note que chaque demande tendant, dans le cadre d’un projet de recherche, à obtenir des données issues de la cohorte Constances sera préalablement soumise à l’appréciation du comité scientifique de l’Inserm et à l’autorisation de la CNIL conformément aux textes en vigueur.
Sur les catégories de données à caractère personnel traitées
Les données traitées seront relatives à l’identité des personnes, au numéro Constances, au numéro de sécurité sociale (NIR), à l’adresse, au géocodage des adresses, au téléphone, à l’origine géographique, au statut vital, à la cause de décès éventuelle, à la situation familiale, à la vie personnelle, à la vie professionnelle, à la situation économique et financière, aux habitudes de vie, aux données de santé, au médecin traitant, à l’exonération éventuellement du ticket modérateur, aux remboursements de l’assurance maladie et au logement.
Le numéro de sécurité sociale sera utilisé pour extraire :
- les données du Système national de gestion des carrières (SNGC) de la Caisse nationale d’assurance vieillesse (CNAV), qui regroupe des informations issues des déclarations annuelles des données sociales (DADS) avec la nature du versement salarié, les périodes de chômage et les absences pour maladie et pour maternité ;
- les principaux événements de santé du Système national d’information inter-régimes de l’Assurance maladie (SNIIRAM) après l’utilisation de l’algorithme d’anonymisation « Fonction d’Occultation des Informations Nominatives ». Cette base de données comporte l’ensemble des données de remboursement des consommations de soins, les affections de longue durée (ALD), les accidents du travail et les maladies professionnelles, les données issues du programme médicalisé des systèmes d’information (pour chacun séjour hospitalier : diagnostic principal et diagnostics associés et actes réalisés).
Le NIR restera strictement cantonné à la caisse nationale d’assurance vieillesse, à l’assurance maladie et aux centres d’examen de santé qui sont déjà habilités à le traiter.
La Commission rappelle que la diffusion des données ne peut avoir lieu que sous forme de données agrégées ne permettant pas, même indirectement, d’identifier les personnes.
Sur les mesures d’information mises en œuvre
Une information générale sera diffusée dans les départements concernés par l’étude Constances, via les medias locaux, le site de la Caisse nationale d’assurance maladie des travailleurs salariés, les sites des sections locales mutualistes participantes et le site de la Caisse d’assurance maladie des Industries Electrique et Gazière. A cette occasion, sera rappelée la possibilité de refuser de participer à l’étude.
Les personnes tirées au sort recevront une lettre de présentation de l’étude et d’invitation à participer, une plaquette d'information et un coupon-réponse leur permet d’accepter ou de refuser de participer. 
Elles seront informées aux différentes étapes de la possibilité qu’elles ont, à tout moment, de se retirer de l'étude ou de refuser la transmission de certaines données.
Le formulaire de consentement proposé aux participants leur permet d’accepter ou de refuser, via des cases à cocher, tout ou partie des transmissions d’informations les concernant :
- la transmission des données concernant leur bilan de santé,
- le recueil de données auprès des Caisses d’assurance maladie, des hôpitaux et des professionnels de santé,
- la transmission des données concernant leurs événements professionnels issues de la Caisse nationale d’assurance vieillesse,
- en cas de déménagement, le suivi de leur adresse par La Poste,
- le fait d’être contacté par téléphone par un médecin de l’équipe Constances pour fournir en cas de besoin des informations complémentaires sur leur état de santé. 
Un numéro vert sera mis à la disposition du public, un site internet sera consacré à l’étude Constances, des brochures d’information seront éditées à destination des participants.
La Commission estime que les mesures d’information mises en œuvre sont satisfaisantes.
Sur les garanties de sécurité mises en place
Le dispositif mis en place par l’Inserm nécessitera la participation de nombreux acteurs et de multiples échanges de données.
La Commission souligne que la présence d’un tiers de confiance constitue une garantie fondamentale. Elle prend acte que l’équipe Constances et le tiers de confiance devraient prochainement appartenir à des entités juridiquement distinctes. Cette évolution est nécessaire, alors même que l‘indépendance fonctionnelle du tiers de confiance est d’ores et déjà démontrée et que des garanties en termes de pérennité de la structure et de compétence technique sont apportées.
La Commission souligne que la mise en œuvre d’une application sur plusieurs décennies impose de suivre les évolutions des technologies et requiert des migrations techniques. Le parc informatique ou encore les équipements en réseau devront être renouvelés périodiquement afin de rester conformes à l’état de l’art.
Le recours à des processus d’anonymisation constitue un élément essentiel de la confidentialité des données pour les personnes incluses dans l’étude. Le logiciel d’anonymisation utilisé, Fonction d’Occultation des Informations Nominatives, dans le cadre du rapprochement des données de l’étude avec des données du SNIIRAM n’appelle pas d’observation particulière.
La confidentialité des données lors de leur transmission sera garantie par le recours à des mécanismes de chiffrement. Il conviendra toutefois d’être vigilant sur l’évolution de l’état de l’art en matière de cryptographie.
Concernant l’application accessible via internet, l’Inserm s’engage :
à ce qu’une traçabilité des modifications des habilitations ainsi qu'une alerte par courriel à plusieurs personnes hiérarchiquement supérieures soient mises en place.
à mettre en place une politique de gestion des mots de passe rigoureuse, avec notamment le recours à des mots de passe complexes. 
pour les participants qui se connecteront via leur n° Constances et leur date de naissance à l'application, à ce que l’accès soit bloqué après 3 tentatives infructueuses.
Cette application sera installée chez le tiers de confiance.
Concernant la traçabilité des accès aux bases contenant les formulaires de consentement ainsi que celle contenant l’ensemble des données de la cohorte, l’Inserm s’engage à mettre en place une journalisation des accès.
Un chiffrement chez le tiers de confiance des noms des participants sera mis en place afin d’éviter que les administrateurs accèdent à l’ensemble des données en clair.
Enfin, en matière de sécurité des locaux, la Commission rappelle que :
les salles abritant les équipements informatiques doivent être protégées contre d’éventuelles intrusions (portes verrouillées, alarmes) ;
ces salles doivent disposer d’une climatisation ;
les équipements doivent être surélevés afin d’éviter qu’ils soient endommagés en cas d’inondation.
Sur les destinataires des données