AgentPublic/cnil huggingface dataset:
Elle relève que le recours à cette dernière catégorie de traitements informatisés (algorithmes de type auto-apprenants ) soulève des enjeux particuliers du point de vue de la protection des données dans la mesure où leur mise en œuvre reposera, au cours de l’expérimentation, sur une phase d’apprentissage qui conduira à collecter un volume important de données afin d’identifier les indicateurs caractérisant la fraude recherchée avant de rechercher, à partir de ces indicateurs, les données correspondant aux comportements préalablement identifiés (phase de production ) et, le cas échéant, les transmettre aux agents des services des administrations concernées.
 
La Commission observe que la nécessaire mise en œuvre en deux temps de ce type de traitements conduit à formuler une réserve de principe quant à la possibilité pour les administrations visées de déterminer les modalités précises de conception et de mise en œuvre des algorithmes auxquels il pourrait être recourus et ainsi, les caractéristiques principales des traitements qui seraient mis en œuvre. Elle sera particulièrement attentive, à cet égard, à la précision des textes réglementaires qui seront pris pour l’application du projet d’article.
Dans ces conditions, elle estime, outre les précisions qui pourraient être apportées sur les catégories de traitements visés, que le projet d’article devrait prévoir la transmission d’un bilan intermédiaire à l’issue de la phase d’apprentissage , lequel lui serait transmis ainsi qu’au Parlement.
 
Sur la nature des données collectées 
La Commission relève qu’il résulte des caractéristiques des traitements pouvant être mis en œuvre conformément au projet d’article, que ces derniers sont susceptibles de permettre la collecte et le traitement de données non pertinentes au regard des finalités poursuivies, en particulier s’ils devaient être mis en œuvre au moyen d’algorithmes auto-apprenants par exemple (voir supra, § 30 à 32).
Bien que la Commission aura à connaitre des conditions précises de mise en œuvre des traitements projetés dans le cadre de l’examen du décret d’application de cette disposition, elle rappelle d’ores-et-déjà la nécessité de mener une réflexion approfondie, en amont de la mise en œuvre de ces traitements, sur les moyens mis en œuvre afin de s’assurer du respect des principes de minimisation des données et de privacy by design .
A ce stade, la Commission relève que le projet d’article ne contient aucune précision sur la personne ayant publié les données collectées (un individu en particulier ou les tiers pouvant être amenés à émettre des commentaires sur cette dernière) ou sur la nature de ces données dès lors qu’elles figurent dans des contenus librement accessibles et publiés sur internet.
Elle estime que la collecte indifférenciée de ces données soulève des difficultés particulières en termes de proportionnalité du dispositif, a fortiori s’il s’agit de données sensibles. La Commission considère ainsi que seules les données publiées par les personnes inscrites sur les plateformes visées et les concernant devraient être collectées, et que des garanties visant à limiter l’enregistrement des données sensibles, dont la collecte est par principe interdite, à ce qui est strictement nécessaire aux finalités poursuivies par des dispositifs de cette nature doivent impérativement être mises en œuvre.
A défaut de procédés techniques permettant d’opérer une distinction quant à la nature des données collectées, permettant ainsi de garantir le respect du principe de minimisation, la Commission souligne a minima l’impérieuse nécessité d’envisager et de mettre en œuvre des mesures permettant, à l’issue de leur collecte, de procéder à la suppression immédiate des données considérées comme non pertinentes.
Enfin, la Commission considère que certaines catégories de données sont susceptibles de soulever des problématiques particulières comme par exemple, les photographies. Dans ce contexte, si elle prend acte de ce qu’aucun traitement visant à mettre en œuvre des dispositifs de reconnaissance faciale ne sera mis en œuvre, elle demande que soit expressément exclue la possibilité d’y recourir. La Commission considère en effet que la mise en œuvre de tels dispositifs serait de nature à porter une atteinte disproportionnée aux droits des personnes concernées au regard des objectifs poursuivis par ces traitements.
Sur la durée de conservation des données 
Le projet d’article prévoit que ces données sont détruites au plus tard à l’issue d’un délai d’un an à compter de leur collecte .
Sans remettre en cause, par principe, la durée ainsi retenue, la Commission regrette de ne pas avoir disposé d’éléments lui permettant d’apprécier de la pertinence et de la nécessité de conserver les données enregistrées dans le traitement pour une telle durée.
Compte tenu du volume important de données susceptibles d’être collectées et plus particulièrement, d’informations se révélant potentiellement non nécessaires aux finalités poursuivies par le traitement, elle demande que les données considérées comme non pertinentes soient supprimées immédiatement à l’issue de leur collecte et que la durée de conservation soit significativement réduite sauf à démontrer la nécessité d’une conservation d’un an.
Sur le bilan transmis 
 
Le projet d’article 9 prévoit que l’expérimentation fait l’objet d’une évaluation dont les résultats sont transmis au Parlement au plus tard six mois avant son terme . 
 
Si la Commission ne peut que rappeler la nécessité de réaliser un tel bilan, elle considère qu’il devrait également lui être transmis. Au regard des enjeux attachés à la mise en œuvre de ce type de dispositif, elle estime que le principe d’une telle transmission devrait être expressément prévu par le législateur, comme pour sa demande d’un bilan intermédiaire à l’issue de la phase d’apprentissage (voir supra, § 33) et demande par conséquent que le projet d’article 9 soit modifié en ce sens.
 
La Commission entend par ailleurs d’ores-et-déjà rappeler l’importance qui devra être accordée à la réalisation de ces bilans, lesquels devront – au regard de l’économie générale du dispositif projeté qui reposera sur une exploitation de données au moyen de traitements informatisés – comporter a minima :
 
une description des conditions de mise en œuvre techniques et opérationnelles des traitements créés sur ce fondement ;
la liste précise des catégories de données, des indicateurs et des informations utilisés ;
la liste exhaustive des sites/sources internet sur lesquels les données auront été collectées ;
le détail des algorithmes éventuellement implémentés, de leur paramétrage et de leur fonctionnement ;
les résultats quantifiés obtenus, comprenant notamment les recettes estimées et les couts engendrés résultant du dispositif mis en œuvre ;
une description du protocole d’évaluation mis en œuvre pour l’appréciation de la qualité de la méthode ;
des éléments chiffrés sur l’exercice des droits ;
les mesures de sécurité mises en place afin d’assurer la confidentialité et l’intégrité des données collectées ;
des éléments de conclusion généraux relatifs au fonctionnement des traitements, aux éventuelles difficultés rencontrées, aussi bien éthiques, juridiques et techniques.
 
 
La Présidente
 
 
M-L. DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des solidarités et de la santé d’une demande d’avis concernant un projet de décret modifiant le décret n° 2017-412 du 27 mars 2017 relatif à l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques comme identifiant national de santé et les articles R. 1111-8-1 à R. 1111-8-7 du code de la santé publique ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le code de la santé publique, notamment ses articles L. 1111-8-1 et R. 1111-8-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Vu le décret n° 2017-412 du 27 mars 2017 relatif à l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques comme identifiant national de santé ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie par le ministère des solidarités et de la santé (ci-après le ministère), en application de l’article 8-I-4°-a) de la loi du 6 janvier 1978 (ci-après loi informatique et libertés ), d’une demande d’avis sur un projet de décret modifiant le décret n° 2017-412 du 27 mars 2017 relatif à l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques comme identifiant national de santé et les articles R. 1111-8-1 à R. 1111-8-7 du code de la santé publique (CSP).
L’article L. 1111-8-1 du CSP a consacré le principe de l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) comme identifiant national de santé (INS) afin de permettre, sans risque d’erreur et dans l’intérêt des patients, les échanges et le partage d’informations de santé entre les multiples acteurs de la sphère sanitaire et médico-sociale.
Le décret n° 2017-412 du 27 mars 2017 relatif à l’utilisation du NIR comme INS, codifié aux articles R. 1111-8-1 et suivants du CSP, a encadré l’usage de l’INS en le subordonnant au respect des garanties fondamentales suivantes, notamment :
l’INS doit être employé à des fins exclusivement sanitaires et médico-sociales pour référencer les données de santé et les données administratives de toute personne bénéficiant ou appelée à bénéficier d’un acte diagnostique, thérapeutique, de prévention, de soulagement de la douleur, de compensation du handicap, de prévention de la perte d’autonomie ou d’interventions nécessaires à la coordination de plusieurs de ces actes ;
les acteurs directement concernés par l’obligation de référencement sont les professionnels, établissements, services ou organismes mentionnés à l’article L.1110-4 du CSP et les professionnels constituant une équipe de soins et intervenant dans la prise en charge sanitaire ou médico-sociale de l’usager ;
l’accès à l’INS s’effectue par la carte d’assurance maladie dite carte Vitale ou, lorsque cette carte n’est pas accessible ou ne comporte pas l’information, par la mise à disposition de téléservices de recherche et de vérification de l’INS mis en œuvre par la Caisse nationale de l’assurance maladie (CNAM).
Un projet d’arrêté, portant approbation d’un référentiel dédié à l’INS, doit définir les modalités de mise en œuvre de l’obligation de référencement des données et préciser les procédures de surveillance et de gestion des risques et erreurs liés à l’identification des personnes prises en charge. A l’occasion des réflexions menées autour de la rédaction de ce référentiel, le ministère a souhaité fiabiliser l’INS traité et, dans cette perspective, retenir une qualification systématique de l’INS par appel aux téléservices mis en œuvre par la CNAM.
Or, le recours systématique aux téléservices de la CNAM n’est, en l’état des dispositions de l’article R. 1111-8-6 du CSP, pas prévu. Aussi, une modification préalable des dispositions du décret du 27 mars 2017 précité est nécessaire pour permettre la parution du référentiel.
La Commission indique qu’au-delà de la modification apportée à l’article R. 1111-8-6 du CSP, le projet de décret procède également à des mises en cohérence rendues nécessaires, d’une part, par l’entrée en application de la loi informatique et libertés modifiée par l’ordonnance n° 2018-1125 du 12 décembre 2018 et, d’autre part, par l’ajustement du calendrier de déploiement de l’INS.
Sur ces bases, la Commission formule les observations suivantes :
Sur le traitement de l’INS à des fins de recherche :
Le projet d’article R. 1111-8-2 du CSP modifié réintroduit la possibilité d’utiliser l’INS à des fins de recherche et précise le cadre juridique applicable. En effet, il prévoit que l’INS peut être traité  à des fins de recherche dans le domaine de la santé tel que mentionné au dernier alinéa de l’article 30 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, et autorisé dans les conditions prévues à la section 3 du chapitre III du titre II de la même loi .
 
La Commission relève que l’article 21 
de
 l’ordonnance n° 2018-1125 du 12 décembre 2018 précitée a supprimé le II de l’article L. 1111-8-1 du CSP qui reconnaissait la possibilité d’utiliser le NIR comme INS à des fins de recherche et qui prévoyait que la Commission puisse imposer que le NIR soit confié à un organisme tiers, distinct du responsable de traitement, habilité à détenir l’INS et chargé de procéder aux appariements nécessaires. Elle prend acte que le projet d’article R. 1111-8-2 du CSP modifié réintègre le traitement possible de l’INS à des fins de recherche, sous réserve qu’il soit autorisé conformément aux dispositions de la section 3 du chapitre III du titre II de la même loi. Dans ces conditions, elle indique que le traitement de l’INS à des fins de recherche ne soulève aucune observation particulière de sa part.
Sur la généralisation du recours aux téléservices de la CNAM pour fiabiliser le NIR utilisé comme INS :
En premier lieu, en ce qui concerne le recours de principe aux téléservices de la CNAM, le projet d’article R.1111-8-6 du CSP modifié systématise le recours à ces dispositifs, sauf en cas d’indisponibilité des téléservices ou motif légitime invoqué par les professionnels, pour :
accéder au NIR utilisé comme INS ;
 
vérifier l’exactitude de l’INS collecté par les professionnels et établissements ainsi que des traits d’identité des usagers concernés.
La Commission relève que ces téléservices, via la collecte de l’INS, sont susceptibles de faciliter l’accès à des données de santé à caractère personnel concernant l’ensemble de la population française et qu’ils ont vocation à être utilisés par l’ensemble des professionnels du secteur sanitaire et médico-social (soit environ 2 millions de personnes). Elle observe que les risques d’interconnexions et de détournements de finalités pourraient, de ce fait, se voir multipliés. Elle estime donc indispensable que ces téléservices intègrent des mesures de sécurité conséquentes, suffisamment fortes pour éviter que l’INS ne soit diffusé plus que nécessaire et à des fins détournées, et qui devront être à même de garantir un haut niveau de disponibilité, d’intégrité, de confidentialité et de traçabilité. Par conséquent, elle demande que, conformément aux dispositions de l’article 35 du RGPD, ces mesures de sécurité soient particulièrement détaillées dans l’analyse d’impact relative à la protection des données que la CNAM devra mener préalablement à la mise en œuvre des téléservices concernés.
Par ailleurs, la Commission s’interroge sur la notion de motif légitime invoqué par un professionnel de santé pour justifier qu’il ne procède pas au référencement des données à partir de l’INS et, par suite, sur les risques possibles de contournement de la réglementation. Elle demande que ce point soit clarifié dans le référentiel à venir.
En deuxième lieu, en ce qui concerne la maîtrise du risque d’erreur dans l’identification des personnes, le projet d’article R. 1111-8-6 du CSP modifié indique que le recours aux téléservices n’exonère pas les professionnels et établissements de mettre en place toute procédure de surveillance, de correction et de prévention des erreurs relevant de l’organisation de la prise en charge des personnes et concourant à la maîtrise du risque d’erreur dans l’identification.
La Commission estime que les données de santé et les données administratives à caractère personnel, le cas échéant, leur échange et leur partage doivent reposer sur un dispositif d’indexation fiable, ce qui implique de disposer de l’identité exacte de l’usager conformément aux dispositions de l’article 5-1-d) du RGPD, afin d’éviter tout risque de confusion d’identité dont les conséquences pourraient être particulièrement graves. Elle rappelle qu’un recueil d’identité qui ne serait pas suffisamment fiable remettrait non seulement en cause l’opération de référencement en résultant, mais également toute la chaîne des traitements de données de santé et de données administratives indexés sur l’INS à partir de ce référencement. Un recueil insuffisamment fiable dans l’identité constituerait un risque important pour l’interopérabilité des systèmes d’information locaux alors que cette interopérabilité est conçue par le ministère pour faciliter le décloisonnement des parcours de soins et éviter les doublons de dossiers ainsi que les collisions d’identité conduisant à rattacher des données d’une personne à une autre. Plus largement, il affecterait la qualité et la sécurité des soins prodigués à l’usager.
Aussi, compte tenu des enjeux, la Commission considère que le renvoi à la responsabilité des professionnels et établissements de santé dans l’élaboration de procédures de surveillance, de correction et de prévention des erreurs au titre de l’organisation de la prise en charge des usagers, s’il est utile, n’est pas suffisant. Elle demande que le ministère précise les modalités de vérification de l’identité des usagers concernés par l’opération de référencement dans le référentiel à venir.
En troisième lieu, en ce qui concerne la nature des téléservices mis en œuvre par la CNAM, le projet d’article R. 1111-8-6 du CSP modifié qualifie ces téléservices de téléservices de l’administration électronique au sens des dispositions de l’ordonnance n° 2005-1516 du 8 décembre 2005 modifiée relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives. La Commission relève que ces téléservices vont permettre aux établissements et professionnels des secteurs sanitaire et médico-social, dans le cadre de leur obligation de référencer les données, d’effectuer une démarche de nature administrative de récupération et de vérification de l’INS et des traits d’identité des usagers auprès de la CNAM. Elle constate que, pour cette raison, le ministère fait le choix d’appliquer les dispositions de l’ordonnance précitée. Elle prend acte de ce choix et indique, en conséquence, que les téléservices doivent être conformes au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010 et doivent, à ce titre, faire l'objet d'une analyse de risque incluant les risques pesant sur les personnes concernées. Elle rappelle également qu’il revient à la CNAM en tant que responsable de traitement d’attester formellement de l'acceptation du niveau de sécurité des téléservices au travers d’une homologation RGS et d'en publier l'attestation d'homologation sur son site.
Sur l’ajustement du calendrier applicable au déploiement de l’INS et ces incidences en termes de formalités à réaliser auprès de la Commission :
Le projet d’article 2 du décret n° 2017-412 du 27 mars 2017 modifié intègre un nouveau calendrier, imposant aux professionnels et établissements de santé de se conformer aux exigences posées en matière de référencement des données avant le 1er janvier 2021. Par ailleurs, il supprime, outre les dates de parution du référentiel INS (dont la publication était prévue au plus tard le 31 mars 2018) et de mise en œuvre des téléservices de la CNAM (fixée au plus tard le 31 décembre 2018), la possibilité d’utiliser l’INS avant même la parution du référentiel ainsi que la formalité de notification à laquelle les professionnels et établissements devaient, dans cette hypothèse, procéder auprès de la Commission. La Commission signale qu’aucune notification portant sur l’utilisation du NIR comme INS ne lui est à ce jour parvenue.
La Commission relève que l’usage de l’INS ne peut intervenir, en pratique, que si les conditions techniques d’utilisation en termes de sécurité et l’architecture globale du téléservice, en sont précisées par le référentiel à venir. Elle ajoute également que l’accès à un INS fiabilisé est, à ce jour, rendu impossible dans la mesure où les téléservices de la CNAM ne sont pas encore en service.
Dans ces conditions, la Commission considère que les ajustements, auxquels le projet procède en termes de calendrier et de formalités, sont adaptés.
Les autres points du projet de décret n’appellent pas, en l’état et au regard du Règlement général sur la protection des données et de la loi informatique et libertés , d’autres observations de la Commission.
La Présidente
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, notamment son article 35 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu les lignes directrices concernant l'analyse d'impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est susceptible d'engendrer un risque élevé aux fins du règlement (UE) 2016/679 adoptées le 4 avril 2017 ;
Vu l'avis 19/2019 du Comité européen de la protection des données relatif au projet de liste de l'autorité de contrôle française portant sur les types d'opération de traitements pour lesquels une analyse d'impact relative à la protection des données n'est pas requise (article 35.5 du RGPD), adopté le 10 juillet 2019 ;
 
Après avoir entendu Mme Anne DEBET, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
L'article 35.1 du Règlement général relatif à la protection des données (RGPD) prévoit qu'une analyse d'impact relative à la protection des données (AIPD) doit être menée quand un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées .
L'article 35.5 du RGPD permet aux autorités de contrôle d'établir et de publier une liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise.
L'article 35.6 du RGPD prévoit que, lorsque cette liste concerne des activités de traitements liées à l'offre de biens ou de services à des personnes concernées ou au suivi de leur comportement dans plusieurs États membres, ou peuvent affecter sensiblement la libre circulation des données à caractère personnel au sein de l'Union , elle doit être soumise au mécanisme de contrôle de la cohérence et doit être communiquée au Comité européen de la protection des données (CEPD).
Le 29 mars 2019, un projet de liste a été adopté par la commission et soumis au CEPD le 3 avril 2019. Le CEPD a adopté un avis relatif à ce projet le 10 juillet 2019, qui a été notifié à la commission le 12 juillet 2019.
Décide :
La liste annexée à la présente délibération, portant sur les types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise, est adoptée.