AgentPublic/cnil huggingface dataset:
En ce qui concerne le droit à l’information des personnes concernées, la Commission rappelle que l’article 12-1 du RGPD énonce que le responsable du traitement prend des mesures appropriées pour fournir toute information d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant.
À cet égard, elle prend acte des précisions apportées par le ministère selon lesquelles l’information des personnes concernées doit se réaliser au moyen d’un dépliant, annexé à toutes les conventions conclues avec les gestionnaires d’infrastructures ainsi que par l’intermédiaire de panneaux d’affichage. Elle relève par ailleurs qu’une information sera délivrée sur le site internet du ministère de l’intérieur. 
Sans remettre en cause les mesures mises en œuvre par le ministère, la Commission regrette que le site dédié au dispositif PARAFE ne soit plus accessible. Elle estime par ailleurs que les informations actuellement communiquées aux personnes concernées pourraient être enrichies et mises à jour notamment au regard de l’évolution de la réglementation en matière de protection des données à caractère personnel. 
Enfin, elle rappelle que le considérant 58 du RGPD prévoit que 
l
es enfants méritant une protection spécifique, toute information et communication, lorsque le traitement les concerne, devraient être rédigées en des termes clairs et simples que l'enfant peut aisément comprendre 
. 
Dès lors, et au regard de la philosophie générale de la réglementation européenne visant à renforcer l’exercice effectif des droits des personnes concernées, elle estime que des mesures particulières doivent être mises en œuvre en ce qui concerne les personnes mineures. Si elle prend acte des éléments transmis par le ministère en ce sens visant à assurer la délivrance de cette information en des 
termes clairs, concis et formulés avec des mots simples
 , elle regrette que le support visé ne lui ait pas été communiqué. 
Sur les mesures de sécurité 
 
La Commission prend acte que les mesures de sécurité font l’objet de revues régulières et que des audits de sécurités ont été réalisés. Dans ce contexte, elle relève qu’un plan d’action a été élaboré, prévoyant des délais de mise en œuvre raisonnables.
 
La Commission constate que les conditions techniques d’interrogation de la base de données SLTD ne sont pas évoquées dans l’AIPD transmise par le ministère. Elle rappelle, en tout état de cause, la nécessité de s’assurer que les échanges de données sont réalisés via des canaux de communication chiffrés, assurant l’authentification de la source ainsi que du destinataire.
La Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 32 du RGPD. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. À cet égard, elle rappelle qu’il conviendra d’apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour de l’analyse d’impact.
La Présidente
M-L. DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la garde des sceaux, ministre de la justice, d’une demande d’avis concernant un projet de décret pris pour application de l’article 22 de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la directive (UE) 2016/680 du 27 avril 2016 du Parlement européen et du Conseil relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008 /977/JAI du Conseil ;
Vu la loi n° 51-711 du 7 juin 1951 modifiée sur l’obligation, la coordination et le secret en matière de statistique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 22 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2018-349 du 15 novembre 2018 portant avis sur un projet d’ordonnance prise en application de l’article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel ;
Après avoir entendu Mme Marie-Laure DENIS, présidente, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie par la ministre de la justice d’une demande d’avis concernant un projet de décret pris pour application de l’article 22 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
Le projet de décret a pour objet de préciser les conditions spécifiques du traitement du numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (ci-après NIR ) en déterminant les catégories de responsables de traitement et les finalités de ces traitements au vu desquelles ces derniers peuvent être mis en œuvre. Conformément aux termes de l’article 22 de la loi du 6 janvier 1978 modifiée, la mise en œuvre des traitements comportant le NIR intervient sans préjudice des obligations qui incombent aux responsables de traitement ou à leurs sous-traitants en application de la section 3 du chapitre IV du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ( Analyse d’impact relative à la protection des données et consultation préalable ).
En application des dispositions de ce même article, le présent décret-cadre doit être pris après avis motivé et publié de la Commission.
A titre liminaire, la Commission rappelle qu’elle a toujours porté une attention particulière aux conditions dans lesquelles pouvaient être mis en œuvre les traitements de données à caractère personnel reposant sur la collecte du NIR, considérant que les spécificités du NIR, et notamment son caractère signifiant, justifient que le recours à cet identifiant reste strictement encadré par la loi du 6 janvier 1978 modifiée et limité aux finalités pour lesquelles son utilisation est permise. A cet égard, la Commission a toujours considéré que l'emploi du NIR comme identifiant des personnes dans les fichiers ne devait être ni systématique, ni généralisé. Elle a ainsi veillé à ce que les projets de textes autorisant le traitement du NIR soient cantonnés à la sphère médico-sociale et n’a accepté, qu’à titre exceptionnel que le NIR soit utilisé dans d’autres secteurs, et pour des motifs d’intérêt public caractérisé.
Dans ce contexte, elle estime qu’il convient de porter une attention particulière aux dispositions du présent projet de décret, lesquelles ont vocation à fixer un cadre général pour le traitement du NIR pouvant conduire à étendre la liste des traitements et des organismes jusqu’à présent autorisés à traiter une telle donnée. A cet égard, la Commission précise qu’elle entend porter une attention particulière à ce que le présent projet de décret-cadre n’ait ni pour objet, ni pour effet de maintenir ou de créer des cas d’usages du NIR qui seraient contraires aux principes de finalité et de pertinence des données traitées ou facilitant l’interconnexion des fichiers entre différents secteurs.
Ces éléments rappelés, le projet de décret appelle les observations suivantes.
Sur le périmètre et l’économie générale du projet de décret 
S’agissant du périmètre des traitements de données à caractère personnel couverts, le projet de décret appelle les observations suivantes.
Le premier alinéa de l’article 22 de la loi du 6 janvier 1978 modifiée prévoit qu’un décret en Conseil d’Etat détermine les catégories de responsables de traitement et les finalités de ces traitements au vu desquelles ces derniers peuvent être mis en œuvre lorsqu'ils portent sur des données comportant le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques . L’article 1er du projet de décret, qui se limite à reprendre les termes de l’article précité ne précise pas si les traitements qui requièrent une consultation du répertoire national d’identification des personnes physiques (RNIPP) sans inclure le numéro d’inscription à ce répertoire entrent dans le champ du projet de décret.
Interrogé sur ce point, le ministère a précisé que le projet de décret a vocation à régir tant les traitements qui utilisent le NIR que ceux qui requièrent une simple consultation du RNIPP. Si la Commission en prend acte, elle estime qu’une telle précision pourrait utilement figurer au sein de l’acte réglementaire afin d’écarter toute ambiguïté quant à son périmètre effectif.
La Commission relève par ailleurs que certaines des dispositions du projet de décret se rapportent à des traitements ayant fait l’objet de formalités, avant le 25 mai 2018, sur le fondement de l’article 26 de la loi du 6 janvier 1978 modifiée et qui sont désormais susceptibles de relever du champ de la directive (UE) 2016/680 du 27 avril 2016 dite Police Justice . Interrogé sur le périmètre des traitements effectivement couverts, le ministère a précisé que les catégories de responsables de traitements et les finalités de ceux qui, relevant de la directive, requièrent le traitement du NIR sont inclus dans le périmètre du présent projet de décret.
Si la Commission prend acte de ces précisions, il en résulte que les traitements qui relèveraient de la directive précitée et qui reposeraient sur la collecte du NIR ou sur la consultation du RNIPP devront être mis en œuvre dans les conditions prévues à l’article 22 de la loi du 6 janvier 1978 modifiée et nécessairement figurer au sein du présent projet de décret. Elle observe qu’en l’espèce sont notamment visés les logiciels destinés à faciliter l’exploitation et le rapprochement d’informations sur les modes opératoires réunis au cours des procédures visées aux articles 74 et 74-1 du code de procédure pénale (projet d’article 1-70°) pour lesquelles la Commission prend acte que le NIR peut être utilisé dans le cadre de réquisitions à des fins de procéder à l’identification de personnes décédées ainsi que les traitements mis en œuvre dans le cadre du suivi des condamnations des personnes de moins de vingt et un ans confiés par l’autorité judiciaire (projet d’article 1-71°).
S’agissant de l’économie générale de la liste des traitements en cause, la Commission entend attirer l’attention du Gouvernement sur le degré de détail hétérogène retenu pour la rédaction des différents alinéas de l’article 1er.
A ce titre, elle souligne que le recensement extrêmement détaillé auquel procède le présent projet s’agissant de certains traitements mis en œuvre dans le domaine de la santé (par exemple les projets d’articles 1-16° à 1-21°), qui est au demeurant susceptible d’entrainer une modification de l’acte réglementaire à chaque évolution des conditions de mise en œuvre des traitements concernés, nuit à la lisibilité globale du projet de décret dans la mesure où ces cas spécifiques sont par ailleurs susceptibles d’être englobés dans des cas plus généraux figurant à d’autres alinéas.
Elle relève, à l’inverse, que certaines des finalités et des catégories de responsables de traitement mentionnées dans le projet de décret ne sont pas suffisamment explicites et devraient être précisées.
En premier lieu, la Commission regrette que le projet de décret ne mentionne pas les hypothèses dans lesquelles seule une consultation du RNIPP est autorisée, sans inclure parmi les données consultées le NIR. Elle considère que le projet de décret devrait être explicité sur ce point. A titre d’illustration, la Commission considère que la rédaction des projets d’articles 1-48° et 49° demeure ambigüe dans la mesure où il n’est pas explicite que le NIR ne pourra être ni consulté, ni a fortiori conservé, au sein des fichiers visés à ces articles - à savoir le fichier bancaire des entreprises (FIBEN), le fichier central des chèques impayés (FCC) et le fichier national des incidents de remboursement des crédits aux particuliers (FICP) - ainsi que dans le cadre de la centralisation des décisions de retrait des cartes de paiement délivrées à leurs clients par les établissements de crédit.
La Commission considère par ailleurs que les personnes autorisées à mettre en œuvre des traitements comportant le NIR ne permettent pas toujours de déterminer précisément les catégories de responsables de traitement effectivement concernés comme en témoigne la formulation employée aux projets d’articles 1-4° et 1-39° ( les administrations et services de l’Etat ). Au regard de l’objet même du projet qui lui est soumis, elle estime que celui-ci devrait être modifié afin d’écarter toute ambigüité quant à la désignation des responsables de traitements autorisés à utiliser le NIR. En tout état de cause, la Commission rappelle que seules les personnes habilitées au regard des missions qui leur sont confiées ne devront pouvoir accéder et utiliser les données contenues dans les traitements mis en œuvre (respect du principe du besoin d’en connaître ).
La Commission invite dès lors, de manière plus générale, à ce que la rédaction du projet de décret soit uniformisée afin que le degré de détail soit homogène pour l’ensemble des secteurs concernés.
S’agissant de l’article 2 du projet de décret, la Commission rappelle que, conformément à l’article 22 de la loi du 6 janvier 1978, le projet de décret vise à autoriser le traitement de la donnée qu’est le NIR en tant que telle. Il n’a en revanche pas pour objet, et ne saurait avoir légalement pour effet d’autoriser par lui-même la mise en œuvre de l’ensemble des traitements nécessaires aux finalités mentionnées à l’article 1er.
Elle rappelle ainsi que les catégories de responsables de traitement autorisés à traiter le NIR pour les finalités mentionnées à l’article 1er du projet de décret devront respecter les principes et obligations résultant du RGPD. Elle insiste sur le fait que chaque traitement mis en œuvre devra respecter ces principes et notamment celui relatif à la minimisation des données qui doit conduire à ne traiter le NIR qu’en cas de besoin justifié par la finalité du traitement concerné. Par ailleurs, elle rappelle que les responsables de traitement devront respecter les obligations préalables à la mise en œuvre des traitements de données personnelles. En particulier, ils devront réaliser une analyse d’impact sur la protection des données dans les cas prévus à l’article 35 du RGPD et, dans les hypothèses de risque résiduel élevé prévues à l’article 36 du même texte, consulter le cas échéant l’autorité de contrôle.
Elle relève à cet égard que l’article 2 du projet de décret précise que les traitements devront être mis en œuvre sous réserve des garanties appropriées pour les droits et libertés des personnes concernées, et dans le respect de l’article 5 du RGPD. S’il n’appartient pas au décret de rappeler les principes figurant dans le RGPD, la Commission relève que, dans l’hypothèse où une telle référence serait maintenue, il conviendrait également de faire référence aux dispositions correspondantes prises pour la transposition de la directive (UE) 2016/680 susvisée.
S’agissant des dispositions transitoires du projet de décret, la Commission s’interroge sur le devenir de tous les cas d’utilisation du NIR qui ont été antérieurement autorisés par des actes réglementaires dans le cadre d’un décret en Conseil d’Etat pris après avis de la CNIL.
Si le ministère a précisé que le présent décret-cadre avait vocation à reprendre l’ensemble des traitements existants utilisant le NIR, il a également indiqué que les traitements qui n’auraient pas été repris ne deviennent pas illégaux de ce seul fait et que les traitements autorisés notamment par un acte réglementaire unique ne sont pas soumis jusqu’à leur modification, et au plus tard le 25 mai 2020, à l’obligation d’être mentionnés dans le décret-cadre. De manière générale, la Commission rappelle dès lors l’importance de s’assurer qu’au-delà de la date du 25 mai 2020, l’ensemble des traitements qui reposent sur le traitement du NIR ou la consultation du RNIPP figurent effectivement au sein de ce décret. De la même manière elle s’interroge sur ce qu’il advient des dispositions relatives aux conditions de mise en œuvre des traitements déjà autorisés antérieurement et fixés au sein d’actes réglementaires dédiés.
Sur les catégories de responsables de traitement et les finalités des traitements portant sur le NIR dans le champ de la protection sociale
L’article 1-1° du projet de décret prévoit d’autoriser le traitement du NIR pour toute une série d’organismes afin de permettre l’accomplissement de leurs missions en matière de protection sociale, y compris lorsque l’utilisation du NIR est nécessaire pour la réalisation d’évaluations, d’études, de statistiques et de recherches, ou pour mettre en œuvre des échanges ou traitements intéressant plusieurs acteurs de la protection sociale.
Ces dispositions appellent les seules observations suivantes de la part de la Commission.
L’article 1-1°-c) du projet de décret prévoit d’autoriser le traitement du NIR par les groupements constitués par les organismes et administrations ou services chargés de la gestion d’un régime de protection sociale entre eux . A cet égard, la Commission prend acte que la notion de groupements recouvre le Groupement d’Intérêt Public de Modernisation des déclarations sociales (GIP-MDS), le Groupement d’Intérêt Public Union-Retraite (GIP-UR), et le Groupement d’Intérêt Economique (GIE) SESAM-Vitale et qu’une liste exhaustive de ces groupements ou services chargés de la gestion d’un régime de la protection sociale sera publiée et notifiée à la Commission.
L’article 1-1°-j) du projet de décret prévoit notamment l’utilisation du NIR par les établissements et services sociaux mentionnés au I de l’article L. 312-1 du code de l’action sociale et des familles pour la tenue du dossier de l’usager relatif à sa prise en charge . La Commission souligne qu’une telle rédaction serait susceptible d’être comprise comme permettant l’utilisation du NIR par les services sociaux pour la prise en charge d’un usager sans qu’il n’y ait d'échanges avec les professionnels de santé et les organismes de sécurité sociale et de prévoyance. Or, la Commission rappelle qu’une telle utilisation du NIR, dans ce cadre-là, n’a jamais été autorisée et qu’il convient dès lors d’écarter toute ambiguïté quant à ce que recouvre, dans ce contexte, la notion de prise en charge . Elle estime indispensable que le projet de décret soit précisé sur ce point.
S’agissant de l’article 1-4° du projet de décret, la Commission souligne la portée assez large de cette disposition et s’interroge sur son articulation avec l’article 1-24° du présent projet. A cet égard, le ministère a précisé qu’il s’agissait de limiter l’utilisation du NIR aux ministères de la défense et de la justice conformément, respectivement, aux décrets n° 91-549 du 6 juin 1991 et n° 86-835 du 10 juillet 1986. La Commission estime dès lors que le projet devrait être modifié en ce sens.
Le projet d’article 1-64° prévoit d’autoriser le traitement du NIR par le service des douanes pour la gestion informatisée du réseau des débits et des débitants de tabac . Interrogé sur cet article, le ministère a précisé que l’utilisation du NIR poursuivait deux objectifs, à savoir éliminer le risque de doublons de bénéficiaires du régime d'allocation viagère des débitants de tabac (RAVGDT) basée sur un code spécifique attribué au débitant et généré automatiquement par le traitement GIMT autorisée par arrêté du 1er mars 2006 (gestion informatisée du monopole des tabacs), d’une part, et faciliter les échanges entre organismes de sécurité sociale d’autre part. Sans remettre en cause la légitimité des objectifs poursuivis, la Commission considère que l’utilisation du NIR à des fins de gestion informatisée du réseau des débits et des débitants de tabac par le service des douanes poursuit d’autres finalités que la gestion du régime d’allocation viagère. Elle estime en conséquence qu’une telle autorisation du NIR pour la gestion informatisée du réseau des débits et des débitants de tabac devrait être limitée à ces deux objectifs.
L’article 1-82° du projet de décret prévoit l’utilisation du NIR par les administrations et organismes chargés, par des dispositions législatives ou réglementaires, de la détermination de droits et du versement des allocations et prestations associées à ces droits dans le cadre d’échanges de données visant à améliorer la détermination des ayants-droit et simplifier les procédures administratives de versement des allocations et prestations associées à ces droits.
Interrogé sur ce point, le ministère a précisé que cette disposition couvre  l’ensemble des droits liés à des prestations et allocations versées par les services et organismes qui en ont la charge afin de lutter contre le non-recours
des usagers qui remplissent les conditions d’accès à ces droits .
La Commission souligne la légitimité de la finalité de lutte contre le non-recours.
Elle estime cependant que, dans sa rédaction actuelle, cet alinéa ne permet de déterminer ni la nature des allocations et prestations versées, ni les catégories de responsables de traitement ou encore les finalités poursuivies par les traitements qui seraient visés. Dans ces conditions, elle s’interroge sur la légalité de cette disposition figurant au sein du présent décret-cadre dont l’objet est, en application des dispositions de l’article 22 de la loi du 6 janvier 1978 modifiée, d’apporter des précisions sur ces deux points.
En tout état de cause, la Commission rappelle que les échanges à des fins de lutte contre le non recours ne peuvent pas conduire à étendre l’utilisation du NIR par les administrations concernées par ces échanges au-delà des usages qui leur sont par ailleurs autorisés, chacune en ce qui la concerne, par les autres alinéas de l’article 1er.
Sur les catégories de responsables de traitement et les finalités des traitements portant sur le NIR dans le champ de la santé (projets d’articles 1-6° à 1-22°) 
D’une manière générale, la Commission relève que le projet de décret procède, dans la sphère de la santé, à un recensement complet et particulièrement détaillé de l’ensemble des hypothèses d’utilisation du NIR et détermine, pour chacune d’entre elles, les catégories de responsables de traitement et les finalités des traitements. Elle observe que ce projet reprend des traitements existant antérieurement utilisant le NIR tels qu’ils résultaient des textes réglementaires et des délibérations de la Commission (normes simplifiées notamment).
En particulier, elle observe que, d’une part, la nouvelle finalité de référencement des données prévue par l’article 1-6° du projet de décret et, d’autre part, celle de facturation et de prise en charge financière des dépenses de santé énoncée à l’article 1-10° du projet de décret, associées aux responsables de traitements adéquats, couvrent la majorité des hypothèses d’utilisation du NIR dans le secteur sanitaire (mise en œuvre des programmes de dépistage organisée des cancers, gestion des cabinets médicaux et paramédicaux par les membres des professions médicales et paramédicales, prise en charge coordonnée des patients diabétiques par les orthoptistes et les médecins, etc.).
La Commission renvoie aux observations précédemment formulées sur ces points.