AgentPublic/cnil huggingface dataset:
Si la Commission observe qu'un cloisonnement total au niveau réseau des terminaux dédiés à la lecture et à l'extraction des données est prévu, elle estime que des mesures devraient être prévues pour maintenir cet état de fait (par exemple : le blocage de ports réseau, la déconnexion physique des cartes réseau, des sessions régulières de sensibilisation des agents, etc.) et que l'AIPD devrait dès lors être complétée en ce sens.
La Commission relève que des mesures de chiffrement pour garantir la sécurité du stockage et des flux de données sont prévues. S'agissant de chiffrements symétriques, la Commission estime toutefois que les modalités de transmission des secrets ainsi que les mesures techniques mises en œuvre pour en assurer la confidentialité ( enclave sécurisée , etc.) devraient être précisées dans l'AIPD.
L'article 7 du projet de décret prévoit que chaque opération de consultation, d'extraction et d'effacement de données fait l'objet d'un enregistrement dans le traitement ou, à défaut, d'une consignation dans un registre spécialement ouvert à cet effet. En l'absence de toute précision sur ce point, la Commission rappelle que le registre doit être conservé dans les conditions de nature à garantir l'intégrité des données et qu'il ne saurait être laissé à la disposition des agents concernés.
La Commission relève par ailleurs que la transmission des données via des supports physiques (clé USB, DVD) ne fait pas l'objet de mesures de chiffrement, elle recommande dès lors que des mesures tant techniques qu'organisationnelles soient mises en place et que l'AIPD soit complétée en ce sens.
La Commission rappelle enfin la nécessité d'utiliser des briques technologiques (système d'exploitation, antivirus et logiciel) à jour et considère que la fréquence et les modalités de ces mises à jour devraient être précisées dans l'AIPD.
Les autres mesures de sécurité n'appellent pas de remarque de la Commission. Elle rappelle toutefois que les obligations relatives à la loi du 6 janvier 1978 modifiée nécessitent la mise à jour de l'AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des affaires sociales et de la santé d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif à la transparence des liens d'intérêts entre les entreprises produisant ou commercialisant des produits de santé à usage humain et les influenceurs ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique, notamment ses articles L. 1453-1, L. 5311-1, R. 1453-2 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé ;
Vu le décret n° 2016-1939 du 28 décembre 2016 relatif à la déclaration publique d'intérêts prévue à l'article L. 1451-1 du code de la santé publique et à la transparence des avantages accordés par les entreprises produisant ou commercialisant des produits à finalité sanitaire ou cosmétique ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 3 décembre 2013 modifié relatif aux conditions de fonctionnement du site internet public unique mentionné à l'article R. 1453-4 du code de la santé publique ;
Vu la délibération n° 2016-242 du 21 juillet 2016 portant avis sur un projet de décret en Conseil d'Etat relatif à la déclaration publique d'intérêts prévue à l'article L. 1451-1 du code la santé publique et à la transparence des avantages accordés par les entreprises produisant ou commercialisant des produits à finalité sanitaire et cosmétiques destinés à l'homme.
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
Le projet de décret soumis à l'avis de la Commission (ci-après le projet ) a pour objet de définir les conditions d'application de l'article L. 1453-1 du CSP concernant les liens d'intérêts entre les entreprises produisant ou commercialisant des produits de santé à usage humain et les personnes qui, dans les médias ou sur les réseaux sociaux, présentent un ou plusieurs produits de santé, de manière à influencer le public. A ce titre, le projet définit la nature des informations qui devront être rendues publiques sur le site internet Transparence Santé s'agissant de ces influenceurs afin de prendre en compte les modifications législatives issues de la loi du 24 juillet 2019.
En application de ces nouvelles dispositions, les entreprises précitées se trouvent dans l'obligation de rendre publique l'existence des conventions qu'elles concluent avec ces personnes. Ces entreprises devront également rendre publics, au-delà d'un seuil fixé par le décret dont la modification est envisagée, les rémunérations versées et les avantages qui leurs sont consentis.
Sur le champ d'application de l'article L. 1453-1 du CSP :
L'article L. 1453-1 du CSP énonce que : Les entreprises produisant ou commercialisant des produits mentionnés au II de l'article L. 5311-1 à l'exception de ceux mentionnés aux 14°, 15° et 17° ou assurant des prestations associées à ces produits sont tenues de rendre publics, sur un site internet public unique, l'objet précis, la date, le bénéficiaire direct et le bénéficiaire final, et le montant des conventions qu'elles concluent avec : (…)
7° bis Les personnes qui, dans les médias ou sur les réseaux sociaux, présentent un ou plusieurs produits de santé, de manière à influencer le public ; 
L'article 1er du projet précise les informations qui devront être rendues publiques par ces entreprises pour les conventions passées lorsqu'il s'agit d'un influenceur au sens du 7° bis du I de l'article L. 1453-1 du CSP .
La Commission relève donc que le décret résume la définition posée par la loi par le terme influenceur , dont il entérine ainsi la définition juridique.
Sur la nature des informations rendues publiques :
L'article 1er du projet de texte prévoit de compléter l'article R. 1453-3 du CSP en précisant la nature de la donnée d'identification de l'influenceur qui devra être rendue publique lorsque les entreprises produisant ou commercialisant des produits de santé à usage humain concluent des conventions, versent des rémunérations et avantages à ces derniers.
Le projet d'article R. 1453-3 du CSP prévoit qu'est rendue publique, en plus de l'identité de l'entreprise comportant sa dénomination sociale, son objet social et l'adresse du siège social, la dénomination sous laquelle l'influenceur exerce son activité d'influence. A cela s'ajoute la date de signature de la convention, sa date d'échéance, son objet précis et son montant total ainsi que la nature et le montant des avantages en nature et rémunérations accordées.
Dans la mesure où les données d'identification publiées, s'agissant des professionnels de santé et des étudiants, qui sont des personnes physiques, sont notamment le nom, le prénom, l'adresse professionnelle ou pour les étudiants celle de l'établissement d'enseignement ou de l'organisme de rattachement et le cas échéant l'identifiant personnel dans le répertoire partagé des professionnels de santé, la Commission s'interroge sur le périmètre de la notion de dénomination s'agissant des influenceurs, qui serait la seule donnée d'indentification rendue publique les concernant.
Elle s'interroge par ailleurs sur l'utilisation du terme dénomination , plus couramment utilisé pour désigner un élément d'une marque de fabrique, au sens des dispositions de l'article L. 711-1 du code de la propriété intellectuelle ou pour désigner une personne morale.
Elle recommande, dans la mesure où l'information qui semble devoir être rendue publique pourrait s'apparenter à un pseudonyme au sens des dispositions de l'article L. 113-6 du code de la propriété intellectuelle, qu'une vigilance particulière soit accordée au maintien de la confidentialité des données permettant l'identification directe des personnes concernées, notamment lorsque ces dernières n'exercent pas leur activité sous leur identité civile.
Les autres articles du projet de décret n'appellent pas, en l'état et au regard de la loi du 6 janvier 1978 modifiée, d'autres observations de la Commission.
Pour la présidente :
La vice-présidente déléguée,
S. Lambremon
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret modifiant le décret n° 2015-1700 du 18 décembre 2015 relatif à la mise en œuvre de traitements de données captées en application de l'article 706-102-1 du code de procédure pénale ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu le code de procédure pénale, notamment ses articles 28-2 et 706-95 à 706-102-9 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 31-II et 31-IV ;
Vu la loi n° 2011-267 du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure ;
Vu la loi n° 2014-1353 du 13 novembre 2014 renforçant les dispositions relatives à la lutte contre le terrorisme, notamment son article 21 ;
Vu la loi n° 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l'efficacité et les garanties de la procédure pénale ;
Vu la loi n° 2019-222 du 23 mars 2019 de programmation 2018-2022 et de réforme pour la justice ;
Vu le décret n° 2015-1700 du 18 décembre 2015 relatif à la mise en œuvre de traitements de données informatiques captées en application de l'article 706-102-1 du code de procédure pénale ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78- 17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 9 mai 2018 portant création du service à compétence nationale dénommé service technique national de captation judiciaire ;
Vu la délibération n° 2015-109 du 2 avril 2015 portant avis sur un projet de de décret relatif à la mise en œuvre de systèmes de traitement de données captées
Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie, par le ministre de l'intérieur, d'une demande d'avis relative à un projet de décret modifiant le décret n° 2015-1700 du 18 décembre 2015 relatif à la mise en œuvre de traitements de données informatiques captées en application de l'article 706-102-1 du code de procédure pénale (CPP).
Ces traitements, sur lesquels la Commission s'est déjà prononcée dans son avis n° 2015- 109 du 2 avril 2015 susvisé, ont pour finalité la constatation des crimes et délits entrant dans le champ d'application des articles 706-73 et 706-73-1 du [CPP], le rassemblement des preuves de ces infractions et l'identification de leurs auteurs au moyen de la collecte, l'enregistrement et la conservation de données informatiques captées .
Dans la mesure où les traitements concernés sont mis en œuvre à des fins de prévention, de détection des infractions pénales, d'enquête et de poursuites en la matière, et que des données sensibles, au sens de l'article de l'article 6 de la loi du 6 janvier 1978 modifiée sont susceptibles d'être collectées et enregistrées, leur modification doit faire l'objet d'un décret en Conseil d'Etat, pris après avis motivé et publié de la Commission. Le projet de décret examiné constitue en outre un acte réglementaire unique, en référence duquel des engagements de conformité seront adressés à la Commission préalablement à chaque mise en œuvre d'un traitement de données informatiques captées, conformément aux dispositions de l'article 31-IV de la loi du 6 janvier 1978 modifiée. A cet égard, la Commission prend acte des précisions apportées par le ministère selon lesquelles seules les directions générales de la police nationale (DGPN), de la gendarmerie nationale (DGGN), de la sécurité intérieure (DGSI), ainsi que des douanes et droits indirects (DGDDI) sont susceptibles de mettre en œuvre de tels traitements.
Elle considère également qu'il résulte de l'évolution du cadre juridique relatif à la protection des données à caractère personnel visant notamment à tenir compte des dispositions de la directive (UE) 2016/680 du 27 avril 2016 susvisée, que le projet de décret qui lui est soumis doit faire l'objet d'un examen au regard de ces dispositions, et plus particulièrement des articles 87 et suivants de la loi du 6 janvier 1978 modifiée. La Commission relève à ce titre qu'une analyse d'impact relative à la protection des données (AIPD) lui a été transmise.
Rappel sur les traitements mis en œuvre dans le cadre du dispositif prévu à l'article 706-102-1 du CPP et présentation des principales modifications envisagées
La Commission rappelle que la captation de données informatiques dans le cadre d'informations judiciaires relatives à des infractions de délinquance et de criminalité organisées a été introduite aux articles 706-102-1 et suivants du CPP par la loi n° 2011- 267 du 14 mars 2011 susvisée. Le périmètre de cette captation a ensuite été élargi par la loi n° 2014-1353 du 13 novembre 2014 renforçant les dispositions relatives à la lutte contre le terrorisme.
Les traitements mis en œuvre sur le fondement de l'article 706-102-1 du CPP doivent ainsi permettre d'appréhender et de collecter des données informatiques telles qu'elles s'affichent à l'écran pour l'utilisateur (copies-écran), telles qu'elles sont saisies sur le clavier (frappes-clavier) ou telles qu'elles sont reçues et émises par des périphériques audiovisuels (captation du son et de l'image reçus et émis lors de l'utilisation d'un service audiovisuel en ligne).
La Commission relève que le projet de décret qui lui est soumis pour avis vise à tenir compte des évolutions de la loi n° 2016-731 du 3 juin 2016 susvisée, qui a d'une part, étendu le périmètre des mesures de captation, aux données stockées dans un système informatique, et a, d'autre part, autorisé le recours à cette technique, jusqu'alors limitée à l'instruction, à l'enquête de flagrance ou préliminaire sur autorisation du juge des libertés et de la détention (JLD) à la requête du procureur de la République.
La Commission relève par ailleurs que le ministère entend également tenir compte des évolutions apportées par la loi n° 2019-222 du 23 mars 2019 susvisée, qui a harmonisé les dispositions applicables aux techniques spéciales d'enquête, à savoir le recueil de données techniques de connexion, la sonorisation et la captation d'images ainsi que la captation de données informatiques.
Outre les évolutions précitées, la Commission prend acte que les autres conditions de mise en œuvre de ces traitements demeurent inchangées.
Sur la finalité des traitements
L'article 1er du projet de décret prévoit que les traitements envisagés permettent sous l'autorité et le contrôle du juge des libertés et de la détention ou du juge d'instruction, la collecte, l'enregistrement et la conservation de données informatiques captées selon les modalités fixées aux articles 706-95-11 et suivants et 706-102-1 et suivants du code de procédure pénale .
De manière générale, la Commission observe que le champ de ces dispositifs ainsi que les données pouvant faire l'objet de telles captations, ont fait l'objet d'élargissements constants et significatifs ces dernières années. Elle relève que les méthodes d'enquête ainsi employées, qui revêtent un caractère particulièrement intrusif en ce qu'elles conduisent à la collecte d'un volume important de données, sont susceptibles de porter une atteinte importante au respect de la vie privée des personnes mises en cause d'une part, et des tiers d'autre part. Elle estime que la mise en œuvre de ces dispositifs doit s'accompagner de garanties fortes pour s'assurer que les données ainsi captées, collectées à l'insu des personnes concernées, sur un nombre de plus en plus important d'individus, ne portent pas d'atteintes excessives aux droits et libertés fondamentaux des personnes concernées.
Au-delà du caractère particulièrement intrusif, par nature, de ces dispositifs de captation, la Commission relève qu'ils ont fait l'objet d'un encadrement législatif spécifique, tout comme les modalités d'exploitation des données recueillies dans ce cadre et les garanties procédurales et techniques devant entourer leur mise en œuvre.
A cet égard, elle relève que l'article 5 de la loi du 3 juin 2016 susvisée a élargi le périmètre de ces captations, jusqu'alors limitées par l'article 706-102-1 du CPP aux données telles qu'elles s'affichent sur un écran pour l'utilisateur d'un système de traitement automatisé de données, telles qu'il les y introduit par saisie de caractères ou telles qu'elles sont reçues et émises par des périphériques , aux informations telles qu'elles sont stockées dans un système informatique .
De la même manière, l'article 5 de la loi du 3 juin 2016 précitée a également étendu le recours à cette technique au champ de l'enquête de flagrance et de l'enquête préliminaire sur autorisation du juge des libertés et de la détention à la requête du procureur de la République, sous réserve que l'enquête porte sur infractions relevant de la criminalité et la délinquance organisées en application des articles 706-73 et 706-73-1 du CPP. Si la Commission relève que le décret du 18 décembre 2015 est modifié afin d'en tenir compte, cette évolution n'appelle pas d'observation particulière de sa part.
Dans ce contexte, la Commission considère que la finalité poursuivie par les traitements envisagés dans le cadre des dispositions du CPP précitées est légitime, conformément à l'article 4-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données collectées et traitées
A titre liminaire, et compte tenu de la nature des dispositifs ayant vocation à être mis en œuvre, la Commission constate qu'il est par définition difficile d'établir une liste exhaustive des données pouvant être collectées dans la mesure où l'ensemble des informations telles que l'utilisateur les saisira sur son clavier, les visualisera sur son écran, les prononcera ou entendra via un périphérique audiovisuel ou telles qu'elles seront stockées dans un système informatique, sont susceptibles d'être collectées, de manière indifférenciée. Elle relève par ailleurs que ce n'est qu'à l'issue de la captation qu'elles sont exploitées en vue de leur transcription dans un procès-verbal pour les seules données utiles à la manifestation de la vérité.
En premier lieu, la Commission relève que l'article 706-95-18 du CPP prévoit que l'officier de police judiciaire ou l'agent de police judiciaire agissant sous sa responsabilité décrit ou transcrit, dans un procès-verbal qui est versé au dossier, les données enregistrées qui sont utiles à la manifestation de la vérité. Aucune séquence relative à la vie privée étrangère aux infractions visées dans les ordonnances autorisant la mesure ne peut être conservée dans le dossier de la procédure . Elle rappelle à cet égard qu'une attention particulière devra être portée au caractère strictement nécessaire des données enregistrées.
En second lieu, et sans remettre en cause les contraintes tant techniques qu'opérationnelles liées à la mise en œuvre de ce type de dispositif, la Commission rappelle que l'article 35 de la loi du 6 janvier 1978 modifiée prévoit l'obligation de mentionner, dans l'acte réglementaire portant création d'un traitement relevant de l'article 31 de la même loi, les catégories de données à caractère personnel enregistrées dans le traitement. Elle demande que le projet de décret soit complété sur ce point conformément aux dispositions précitées.
Ces observations générales formulées, la Commission relève que l'article 2 du projet de décret a pour objet de permettre la captation de données telles que stockées dans un système informatique .
Elle prend acte des précisions apportées par le ministère selon lesquelles cette extension concernera l'ensemble des données d'un système informatique, sans distinction et qu'à ce titre, peuvent notamment être visées des informations enregistrées sur un disque dur, sur des courriers électroniques qui n'auraient pas été ouverts par l'utilisateur ou encore, sur l'intégralité d'un fichier qui n'aurait été que partiellement visualisé par la personne à laquelle il est destiné.
Si la Commission ne remet pas en cause le principe même de la captation de ces données, telle qu'encadrée par le législateur, elle entend toutefois rappeler les observations formulées dans sa délibération n° 2015-109 susvisée, s'agissant plus particulièrement de la captation de données relatives à un individu en relation avec la personne mise en cause ainsi que celle visant un système n'appartenant pas ou n'étant pas utilisé par la personne visée par la mesure.
A cet égard, elle souligne que le projet de décret mentionne que pourront être enregistrées l'ensemble des données captées , sans qu'il ne soit expressément précisé que pourront être collectées des données tant relatives à l'utilisateur du système d'information, qu'aux personnes avec qui il est en relation. Compte tenu du volume de données susceptibles d'être captées, et relatives plus particulièrement à des tiers, elle demande que le projet de décret soit explicité sur ce point.
En tout état de cause, la Commission prend acte des garanties entourant la mise en œuvre de ces dispositifs de captation. Elle relève à cet égard que les traitements encadrés par le projet de décret ne font l'objet d'aucune mise en relation ou interconnexion avec d'autres fichiers.
De la même manière, elle prend acte que le contrôle à distance du système informatique est exclu (par exemple, le déclenchement forcé de la webcam), et que si des images ainsi que des sons pourront faire l'objet d'une collecte, aucun mécanisme de reconnaissance faciale ou vocale ni d'analyse comportementale des dynamiques des frappes au clavier ne seront mis en œuvre. La Commission rappelle que si de telles techniques devaient à l'avenir être développées, elle devra être saisie dans les conditions prévues à l'article 33 de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données
Si la Commission relève que le ministère n'entend pas apporter de modifications à la durée de conservation des données, elle souligne que les informations enregistrées dans le traitement sont conservées jusqu'à la clôture de l'enquête et sa transmission à l'autorité judiciaire.