AgentPublic/cnil huggingface dataset:
Elle considère, néanmoins, que l'accès de ces étudiants aux données devra être strictement encadré et que les missions qui leurs seront confiées devront être déterminées au regard de leur niveau de formation.
S'agissant des personnes destinataires des données dans le cadre de l'accompagnement social
La Commission, dans son avis du 8 mai 2020, relevait un manque de visibilité sur ce volet de l'action publique et le manque de précision du terme accompagnement social , susceptible de recouvrir de nombreux organismes.
A cet égard, elle relève que le projet d'article 3-VII du décret du 12 mai 2020 autorise la transmission des données d'identité et des coordonnées téléphoniques des patients zéro et des cas contacts , sous réserve de leur consentement, aux cellules des préfectures dédiées à l'accompagnement social des personnes dans le cadre de la gestion de l'épidémie de covid-19.
Elle prend donc acte que seules les cellules de préfecture dédiées à l'accompagnement social des personnes seront destinataires de ces données et que les données des personnes ne seront transmises que dans l'hypothèse où elles auront donné leur consentement exprès à cette transmission.
S'agissant des modalités d'authentification des utilisateurs habilités
La Commission rappelle qu'elle avait pointé dans son avis du 8 mai 2020 la nécessité de mettre en œuvre des mesures d'authentification fortes comportant plusieurs facteurs d'authentification. Elle réaffirme ce principe qui découle des préconisations de la PGSSI-S et des recommandations de la Commission concernant l'accès à des données de santé, et appelle le ministère à la vigilance sur ce point.
Concernant le traitement SI-DEP 
Sur la finalité du traitement
La Commission relève que la finalité du traitement a été modifiée afin de préciser que la centralisation des résultats concerne les examens de dépistage virologique ou sérologique, afin de prendre en compte l'évolution des modalités de réalisation des examens de dépistage par des professionnels de santé habilités.
La Commission considère que cette modification, qui s'inscrit dans celles prévues à l'article 3-2° du projet de loi autorisant la prorogation de l'état d'urgence sanitaire en cours de discussion, est conforme aux dispositions de l'article 5-1-b du RGPD.
Sur les catégories de données collectées
Le projet d'article 9 du décret du 12 mai 2020 envisage de compléter la liste des catégories de données collectées par l'ajout :
- de données d'identification pour les personnes ayant fait l'objet d'examen de dépistage virologique ou sérologique du covid-19 ;
- de données relatives aux déplacements internationaux (séjour à l'étranger et indication du pays le cas échéant) ;
- de données relatives à la participation à un dépistage dans le cadre d'une campagne organisée par les agences régionales de santé (ARS) ;
- de la collecte du code postal du lieu dans lequel la personne séjournera pendant les sept jours suivant la réalisation du dépistage.
La Commission relève que le ministère indique que la collecte du code postal est nécessaire pour déterminer l'ARS territorialement compétente pour procéder aux enquêtes sanitaires et pour permettre à l'Agence national de santé publique d'effectuer des statistiques géographiques précises. La Commission en prend acte et invite le ministère à préciser ce point dans le décret.
La Commission considère que la collecte de ces données est adéquate et pertinente au regard des finalités pour lesquelles elles sont traitées en application de l'article 5-1-c du RGPD.
Prenant par ailleurs acte des précisions apportées concernant les données recueillies dans le cadre de Contact Covid , la Commission demande que la collecte de l'information relative à un éventuel hébergement collectif soit limitée à une case à cocher (oui/non). Dans l'hypothèse où il serait établi que ces précisions sont nécessaires au regard de la finalité du traitement, elle appelle à exclure les zones commentaires ou zones blocs-notes susceptibles de contenir des données non pertinentes. Lorsqu'un choix multiple est nécessaire, il doit être proposé au moyen d'éléments d'interface graphique proposant des informations et appréciations objectives.
S'agissant des données pseudonymisées transmises à des fins de suivi épidémiologie et de recherche
La Commission prend acte des modifications envisagées par le projet d'article 10 du décret du 12 mai 2020 fixant la liste précise des données pseudonymisées transmises à des fins de surveillance épidémiologique et de recherche, qui répond à la demande formulée dans son avis du 8 mai.
A ce titre, elle relève que les données suivantes seront transmises :
- le sexe, l'âge et le code postal du lieu de résidence des personnes ayant fait l'objet d'un examen de dépistage ;
- les informations portant sur la situation du patient nécessaires pour la réalisation des enquêtes sanitaires mentionnées au 2° du projet d'article 9 du décret du 12 mai 2020 ;
- les caractéristiques techniques du prélèvement mentionnées au 5° du projet d'article 9 du décret du 12 mai 2020 ;
- les informations relatives au résultat des examens de dépistage mentionnées au 6° du projet d'article 9 du décret du 12 mai 2020.
Sur les personnes autorisées à renseigner ou être destinataires des données
S'agissant des personnes destinataires des données dans le cadre de la diffusion gratuite auprès du public de l'offre de soins disponible
Le projet d'article 10 du décret du 12 mai 2020 prévoit d'ajouter comme destinataire du traitement SI-DEP le service public de d'information en santé (SPIS) mentionné à l'article L. 1111-1 du code de la santé publique.
La Commission relève que le SPIS sera destinataire de données personnelles d'identification des professionnels de santé réalisant les examens de dépistage (numéro RPPS, nom, prénom, adresse du lieu d'exercice, adresse de messagerie sécurisée), du type d'examen de dépistage réalisé et du nombre d'examens réalisés par jour.
Elle relève que les données susmentionnées seront communiquées au SPIS à des fins de diffusion gratuite sur le web de l'offre de soins disponible, à l'exception de l'adresse de messagerie sécurisée et des données relatives au nombre de tests réalisés par jour, qui ne seront pas publiées et serviront uniquement à ajuster les règles d'affichage de l'offre de soins.
Elle considère que les données dont la transmission est prévue sont pertinentes au regard de la finalité poursuivie.
Elle prend par ailleurs acte de ce que le ministère a précisé :
- que la durée de conservation des données par le SPIS serait de sept jours avant destruction. La Commission demande que ces points soient précisés dans le projet de décret ;
- qu'une information spécifique sera délivrée aux professionnels à cet égard, qui précisera notamment leurs droits et l'absence de droit d'opposition à cette transmission.
Elle rappelle par ailleurs que toute transmission de données doit être réalisée dans des conditions de sécurité permettant d'en assurer parfaitement la confidentialité.
S'agissant des personnes autorisées à renseigner les données
Le projet de décret prévoit d'autoriser le renseignement des données de SI-DEP par les professionnels de santé habilités à réaliser des examens de dépistage virologique ou sérologique et aux personnels placés sous leur responsabilité, notamment les pharmaciens étant précisé que le projet de loi, dans sa rédaction actuelle, renvoie à un décret le soin de fixer la liste des professionnels de santé habilités.
La Commission considère que la mention présente à l'article 10 du décret du 12 mai 2020, non modifiée par le présent projet, selon laquelle les professionnels de santé habilités ou les personnels placés sous leur responsabilité enregistrent les données aux seules fins de renseigner les résultats de leurs examens et d'envoyer, le cas échéant, les résultats à ces mêmes personnes, au médecin traitant et aux médecins ayant prescrit l'examen constitue une garantie essentielle qui doit notamment se traduire par des limitations d'accès paramétrées dans le système d'information et par des règles d'usage.
Concernant les traitements Contact Covid et SI-DEP 
Sur l'information des personnes
La Commission rappelle que l'ensemble des supports d'information relatifs aux traitements devra être modifié afin de tenir compte des modifications apportées et que l'ensemble des personnes concernées devra en être informé.
Sur la durée de conservation
Le projet de décret prévoit les durées de conservation suivantes :
- jusqu'à la date mentionnée à l'article 11 de la loi n° 2020-546 du 11 mai 2020, actuellement fixée au 1er avril 2021 par le projet de loi en cours de discussion au Parlement, pour les données pseudonymisées transmises à des fins de surveillance épidémiologique et de recherche sur le virus aux organismes destinataires de ces données visés par le décret du 12 mai 2020, dont font partie la Caisse nationale d'assurance maladie et la Plateforme des données de santé (PDS) ;
- jusqu'à la date mentionnée à l'article 11 de la loi n° 2020-546 du 11 mai 2020, actuellement fixée au 1er avril 2021 par le projet de loi en cours de discussion au Parlement, pour les données relatives aux opérations de mise à jour, de suppression et de consultation des traitements Contact Covid et SI-DEP prévues respectivement aux articles 5 et 11 du décret susmentionné.
A ce titre, la Commission relève, dans un premier temps, que cette date, actuellement fixée par le projet de loi en cours de discussion au 1er avril 2021, n'est donc plus déterminée, comme le mentionnait antérieurement le décret du 12 mai 2020, en fonction de la date de fin de l'état d'urgence.
Dans un second temps, la Commission s'interroge sur la compatibilité de la durée légale de conservation des données pseudonymisées issues de Contact Covid et de SI-DEP transmises à des fins de surveillance épidémiologique et de recherche sur le virus avec l'hypothèse d'une intégration de ces dernières au système national des données de santé, dont la durée de conservation est de vingt ans en application de l'article L. 1461-1-IV-4° du code de la santé publique, ou de leur conservation dans un entrepôt pérenne au sein de la PDS.
Sur les analyses d'impact relatives à la protection des données
La Commission demande enfin que les analyses d'impact relatives à la protection des données réalisées en application de l'article 35 du RGPD et actualisées en conséquence lui soient transmises.
La présidente,
M.-L. Denis
Le bureau de la Commission nationale de l’informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données ;
Vu le code de la sécurité intérieure, notamment son article L. 253-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8.2.g), 10, 11 et 19 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi du 6 janvier 1978, notamment ses articles 16 à 19 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la délibération n° 2019-020 du 28 février 2019 portant délégation de pouvoirs de la Commission nationale de l'informatique et des libertés à son bureau;
Après avoir entendu Mme Sophie LAMBREMON, vice-présidente déléguée, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations ;
Décide :
Article 1er : Les agents de la Commission nationale de l’informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l’article 19 de la loi du 6 janvier 1978 modifiée et à l’article L. 253-3 du code de la sécurité intérieure :
M. Belaïd AÏT HAMOUDA, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Dorine ARNAUDEAU, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Monir AZRAOUI, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
Mme Audrey BACQUIE, assistante au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Isabelle BARBÉ, assistante juridique au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Siré BARRY, assistante juridique au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Barbara BAVOIL, assistante au service des affaires économiques à la direction de la conformité ;
Mme Nacéra BEKHAT, juriste au service des affaires économiques à la direction de la conformité ;
Mme Khadija BELGHITI-ALAOUI, assistante à la direction de la protection des droits et des sanctions ;
Mme Justine BERTAUD du CHAZAUD, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
M. Thomas BIZET, adjoint au chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;
Mme Claire BIZOT-ESPIARD, juriste au service de la santé à la direction de la conformité ;
M. Maxime BLANCHOT, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Nana BOTCHORICHVILI, juriste au service des affaires européennes et internationales ;
Mme Aziza BOUALLAGA BENHASSI, chargée du développement des outils au service des outils de la conformité à la direction de la conformité ;
Mme Soumia BOUASSAM, juriste au service de la santé à la direction de la conformité ;
M. Tanguy BOUCHER, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Érik BOUCHER DE CRÈVECOEUR, ingénieur référent santé au service de l’expertise technologique à la direction des technologies et de l’innovation ;
Mme Valérie BOURRIQUEN, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Stéphanie BOISSEAU, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Sophie BORY, juriste au service des affaires européennes et internationales ;
Mme Flora BRAC DE LA PERRIERE, juriste au service des affaires économiques à la direction de la conformité ;
Mme Justine BRAIVE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Rodolphe BRÉARD, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Véronique BREMOND, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Emilie BRUNET, juriste au service des affaires européennes et internationales ;
Mme Solenn BRUNET, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Marjolaine CASSAR, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Marion de CASTELBAJAC, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Madeleine CAZETTES de SAINT LEGER, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Régis CHATELLIER, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l’innovation ;
Mme Lucie CHARTRAIN, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Virginie CLAUDE-LOONIS, adjointe au chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Nastassia COGNÉE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Olivier COUTOR, chargé d’études à la direction des relations avec les publics et la recherche ;
M. Thomas DAUTIEU, directeur de la conformité ;
Mme Justine DEBOTÉ, assistante au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Christine DECHESNE-CEARD, chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;
M. Guillaume DELAFOSSE, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Isabelle DELERUE, assistante à la direction de la protection des droits et des sanctions ;
M. Éric DELISLE, chef du service des questions sociales et ressources humaines à la direction de la conformité ;
M. Xavier DELPORTE, chef du service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Maryange DICHI, auditrice des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Sadio DIOUMASSY, assistante juridique au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Julien DROCHON, auditeur des systèmes d’information référent au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Antoine DROIN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Gabrielle DU BOUCHER, juriste au service des affaires régaliennes et des collectivités territoriales ;
Mme Marie DUBOYS FRESNEY, juriste au service des affaires économiques à la direction de la conformité ;
M. Corentin DUPOUEY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; 
M. Hugo DUSSERT, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Louis DUTHEILLET de LAMOTHE, secrétaire général ;
Mme Viktorija ELENSKI, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Eve-Line ELLIE, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Manon de FALLOIS, juriste au service de la santé à la direction de la conformité ;
Mme Anne FONTANILLE, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Florence FOURETS, directrice chargée de projets régaliens auprès du secrétaire général ;
Mme Marie FROMENTIN, juriste au service de la santé à la direction de la conformité ;
M. Émile GABRIÉ, conseiller auprès de la Présidente et du secrétaire général ;
Mme Marion de GASQUET, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
M. Gaston GAUTRENEAU, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
M. Rodolphe GENISSEL, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Sophie GENVRESSE, adjointe au chef du service des plaintes à la direction de la protection des droits et des sanctions ;
M. Mathieu GINESTET, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme. Zelda GERARD, juriste au service des outils de la conformité à la direction de la conformité ;
Mme Lorena GONZALEZ, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
M. Jérôme GORIN, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
M. Michel GUEDRÉ, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Hélène GUIMIOT-BREAUD, chef du service de la santé à la direction de la conformité ;
M. Basile GULEY, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
Mme Estelle HARY, designer au service de l’expertise technologique à la direction des technologies et de l’innovation ;
M. Paul HEBERT, directeur adjoint de la conformité ;
Mme Clarisse HESLAUT, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Armand HESLOT, Chef du service de l’expertise technologique à la direction des technologies et de l’innovation ;
Mme Agathe HUBERT, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Sonia HUDELA, assistante à la direction de la protection des droits et des sanctions;
Mme Nathalie JACQUES, assistante au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Amandine JAMBERT, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
M. Hugo JAUFFRET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Julien JEDRZEJCZAK, assistant juridique à la direction de la protection des droits et des sanctions ;
Mme Véronique JENNEQUIN, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Karin KIEFER, directrice adjointe de la protection des droits et des sanctions ;
Mme Joana KOJUNDZIC, assistante juridique au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Victoria LAFAY, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Névine LAHLOU, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Alice DE LA MURE, juriste au service des délégués à la protection des données à la direction de la conformité ;
M. Grégoire DELETTE, juriste au service des délégués à la protection des données à la direction de la conformité
Mme Nina LE BONNIEC, juriste au service des affaires régaliennes et des collectivités territoriales ;
M. Gwendal LE GRAND, secrétaire général adjoint ;
Mme Noémie LICHON, chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Marie-Françoise MAINDRON, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Isabelle MANTZ, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Delphine MARGULIS, assistante juridique au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Astrid MARIAUX, chef de service des contrôles à la direction de la protection des droits et des sanctions ;