AgentPublic/cnil huggingface dataset:
Enfin, la Commission attire l'attention des organismes concernés sur le fait que tout traitement portant sur un traceur, dès lors que celui-ci relève de la catégorie des données à caractère personnel - parfois directement identifiantes (par exemple, une adresse électronique) et souvent indirectement identifiantes (par exemple, l'identifiant unique d'un cookie, une adresse IP, un identifiant du terminal ou d'un composant du terminal de l'utilisateur, le résultat du calcul d'empreinte dans le cas d'une technique de fingerprinting , ou encore un identifiant généré par un logiciel ou un système d'exploitation) - impose le respect des dispositions du RGPD.
 
Article 2
Sur les modalités de recueil du consentement.
En application de la loi Informatique et Libertés , du RGPD et des lignes directrices du CEPD sur le consentement, les traceurs nécessitant un recueil du consentement ne peuvent être utilisés en écriture ou en lecture tant que l'utilisateur n'a pas préalablement manifesté à cette fin sa volonté, de manière libre, spécifique, éclairée et univoque par une déclaration ou par un acte positif clair.
S'agissant du caractère libre du consentement
La Commission considère que le consentement ne peut être valable que si la personne concernée est en mesure d'exercer valablement son choix et ne subit pas d'inconvénients majeurs en cas d'absence ou de retrait du consentement.
A ce titre, la Commission rappelle que le CEPD, dans sa déclaration sur la révision de la directive ePrivacy et son incidence sur la protection de la vie privée et la confidentialité des communications électroniques , a considéré que la pratique qui consiste à bloquer l'accès à un site web ou à une application mobile pour qui ne consent pas à être suivi ( cookie walls ) n'est pas conforme au RGPD. Le CEPD considère en effet que, dans une telle hypothèse, les utilisateurs ne sont pas en mesure de refuser le recours à des traceurs sans subir des conséquences négatives (en l'occurrence l'impossibilité d'accéder au site consulté).
S'agissant du caractère spécifique du consentement
La Commission rappelle que la personne concernée doit être en mesure de donner son consentement de façon indépendante et spécifique pour chaque finalité distincte. Le fait d'offrir par ailleurs à la personne la possibilité de consentir de manière globale est acceptable, à condition que cela s'ajoute, sans la remplacer, à la possibilité de consentir spécifiquement à chaque finalité.
A ce titre, l'acceptation globale de conditions générales d'utilisation ne peut être une modalité valable de recueil du consentement, dans la mesure où celui-ci ne pourra être donné de manière distincte pour chaque finalité.
S'agissant du caractère éclairé du consentement
La Commission rappelle que l'information doit être rédigée en des termes simples et compréhensibles pour tous, et qu'elle doit permettre aux utilisateurs d'être parfaitement informés des différentes finalités des traceurs utilisés. Elle considère que l'utilisation d'une terminologie juridique ou technique trop complexe ne répond pas à l'exigence d'information préalable.
La Commission rappelle que l'information doit être complète, visible, et mise en évidence au moment du recueil du consentement. Un simple renvoi vers les conditions générales d'utilisation ne saurait suffire.
Les informations devant être portées à la connaissance des utilisateurs, préalablement au recueil du consentement, en application de l'article 82, sont à minima :
- l'identité du ou des responsables de traitement ;
- la finalité des opérations de lecture ou écriture des données ;
- l'existence du droit de retirer son consentement.
Lorsqu'un traitement de données à caractère personnel suit l'opération de lecture ou écriture et que celui-ci est fondé sur le consentement, l'information préalable donnée aux utilisateurs doit être alors complétée afin de satisfaire aux exigences des lignes directrices du CEPD sur le consentement.
La Commission rappelle qu'afin que le consentement soit éclairé, l'utilisateur doit pouvoir identifier l'ensemble des entités ayant recours à des traceurs avant de pouvoir y consentir. Ainsi, la liste exhaustive et régulièrement mise à jour de ces entités doit être mise à disposition auprès de l'utilisateur directement lors du recueil de son consentement.
S'agissant du caractère univoque du consentement
La Commission souligne que le consentement doit se manifester par le biais d'une action positive de la personne préalablement informée des conséquences de son choix et disposant des moyens de l'exercer. Le fait de continuer à naviguer sur un site web, d'utiliser une application mobile ou bien de faire défiler la page d'un site web ou d'une application mobile ne constituent pas des actions positives claires assimilables à un consentement valable.
Elle considère également que l'utilisation de cases pré-cochées, tout comme l'acceptation globale de conditions générales d'utilisation, ne peuvent être considérées comme un acte positif clair visant à donner son consentement.
Des systèmes adaptés doivent donc être mis en place pour recueillir le consentement selon des modalités pratiques qui permettent aux utilisateurs de bénéficier de solutions conviviales et ergonomiques.
Sur la preuve du consentement
L'article 7 du RGPD impose que le consentement soit démontrable, ce qui signifie que les organismes exploitant des traceurs doivent mettre en œuvre des mécanismes leur permettant de démontrer, à tout moment, qu'ils ont valablement recueilli le consentement des utilisateurs. Dans la situation où ces organismes ne recueillent pas eux-mêmes le consentement des personnes, la Commission rappelle qu'une telle obligation ne saurait être remplie par la seule présence d'une clause contractuelle engageant l'une des organisations à recueillir un consentement valable pour le compte de l'autre partie.
Sur le retrait du consentement
La Commission rappelle qu'il doit être aussi facile de refuser ou de retirer son consentement que de le donner. Cela signifie notamment que les personnes ayant donné leur consentement à l'utilisation de traceurs doivent être en mesure de le retirer à tout moment. Des solutions conviviales doivent donc être mises en œuvre pour que les personnes puissent retirer leur consentement aussi facilement qu'elles ont pu le donner.
 
Article 3
Sur les rôles et responsabilités des acteurs.
Les technologies concernées par l'obligation de recueil du consentement n'impliquent pas systématiquement de traitement de données à caractère personnel. Toutefois, dans un grand nombre de cas, les opérations de lecture ou écriture concerneront des données à caractère personnel et feront partie intégrante d'un traitement de données à caractère personnel soumis aux autres dispositions de la loi et du RGPD, ce qui implique la nécessité de qualifier les parties concernées.
Si, dans un certain nombre de cas, l'utilisation de traceurs fait intervenir une seule entité qui est donc pleinement responsable de l'obligation de recueillir le consentement (par exemple un éditeur de site web qui a recours à des traceurs pour réaliser lui-même les statistiques d'usage de son service), dans d'autres cas, plusieurs acteurs contribuent à la réalisation des opérations de lecture ou écriture visées par les présentes lignes directrices (par exemple un éditeur de site web et une régie publicitaire déposant des cookies lors de la consultation du site web). Dans ce dernier cas, ces entités peuvent être considérées comme responsables de traitement uniques , responsables conjoints ou comme sous-traitants.
La Commission constate que, dans d'autres cas, les tiers ayant recours à des traceurs seront pleinement et indépendamment responsables des traceurs qu'ils mettent en œuvre, ce qui signifie qu'ils devront assumer indépendamment l'obligation de recueillir le consentement des utilisateurs.
Dans le cas d'une responsabilité conjointe, dans laquelle les responsables déterminent conjointement les finalités et les moyens du traitement, la Commission rappelle qu'aux termes de l'article 26 du RGPD, ils devront définir de manière transparente leurs obligations respectives aux fins d'assurer le respect des exigences du RGPD, en particulier en ce qui concerne le recueil et la démonstration, le cas échéant, d'un consentement valable.
Enfin, est qualifié de sous-traitant un acteur qui inscrit des informations et/ou accède à des informations stockées dans l'équipement terminal d'un abonné ou d'un utilisateur, exclusivement pour le compte d'un responsable de traitement et sans réutilisation pour son propre compte des données collectées via le traceur. La Commission rappelle que si une relation de sous-traitance est établie, le responsable de traitement et le sous-traitant doivent établir un contrat ou un autre acte juridique précisant les obligations de chaque partie, dans le respect des dispositions de l'article 28 du RGPD.
 
Article 4
Sur les paramètres du terminal.
L'article 82 de la loi précise que le consentement peut résulter de paramètres appropriés du dispositif de connexion de la personne ou de tout autre dispositif placé sous son contrôle.
La Commission considère que ces paramétrages du navigateur ne peuvent, en l'état de la technique, permettre à l'utilisateur d'exprimer la manifestation d'un consentement valide.
Tout d'abord, si les navigateurs web proposent de nombreux réglages permettant aux utilisateurs d'exprimer des choix en matière de cookies, force est de constater que ceux-ci sont exprimés dans des conditions ne permettant pas d'assurer un niveau suffisant d'information préalable des personnes.
Ensuite, quels que soient les mécanismes existants, les navigateurs ne permettent pas de distinguer les cookies en fonction de leurs finalités, ce qui signifie que l'utilisateur n'est pas non plus en mesure de consentir de manière spécifique pour chaque finalité.
Enfin, les paramétrages du navigateur ne permettent pas aujourd'hui d'exprimer un choix sur d'autres technologies que les cookies (telle que le fingerprinting par exemple) à des fins de suivi de la navigation.
Toutefois, les navigateurs pourraient évoluer afin d'intégrer des mécanismes permettant de recueillir un consentement conforme au RGPD. La Commission considère qu'une telle évolution serait de nature à garantir, d'une part, que les internautes disposent d'outils efficaces et simples leur permettant de consentir de façon simple et, d'autre part, que les éditeurs qui ne disposent pas des moyens ou des compétences pour mettre en place des mécanismes de recueil du consentement puissent s'appuyer sur de tels mécanismes.
 
Article 5
Sur le cas spécifique des traceurs de mesure d'audience.
Un éditeur peut avoir besoin de mesurer l'audience de son site web ou de son application, ou bien de tester des versions différentes afin d'optimiser ses choix éditoriaux en fonction de leurs performances respectives. Des traceurs sont fréquemment utilisés pour cette finalité et ces dispositifs peuvent, dans certains cas, être regardés comme nécessaires à la fourniture du service explicitement demandé par l'utilisateur, sans présenter de caractère particulièrement intrusif pour ceux-ci, et ainsi être exemptés du recueil du consentement. Par exemple, les statistiques de fréquentation et les tests visant à mesurer les performances relatives de différentes versions d'un même site web (couramment appelés tests A/B ) permettent notamment aux éditeurs de détecter des problèmes de navigation dans leur site ou leur application ou encore d'organiser les contenus.
Dès lors, la Commission considère que peuvent bénéficier de cette exemption au recueil du consentement, les traitements respectant les conditions suivantes :
- ils doivent être mis en œuvre par l'éditeur du site ou bien par son sous-traitant ;
- la personne doit être informée préalablement à leur mise en œuvre ;
- elle doit disposer de la faculté de s'y opposer par l'intermédiaire d'un mécanisme d'opposition facilement utilisable sur l'ensemble des terminaux, des systèmes d'exploitation, des applications et des navigateurs web. Aucune opération de lecture ou d'écriture ne doit avoir lieu sur le terminal depuis lequel la personne s'est opposée ;
- la finalité du dispositif doit être limitée à (i) la mesure d'audience du contenu visualisé afin de permettre l'évaluation des contenus publiés et l'ergonomie du site ou de l'application, (ii) la segmentation de l'audience du site web en cohortes afin d'évaluer l'efficacité des choix éditoriaux, sans que cela ne conduise à cibler une personne unique et (iii) la modification dynamique d'un site de façon globale. Les données à caractère personnel collectées ne doivent pas être recoupées avec d'autres traitements (fichiers clients ou statistiques de fréquentation d'autres sites, par exemple) ni transmises à des tiers. L'utilisation des traceurs doit également être strictement cantonnée à la production de statistiques anonymes. Sa portée doit être limitée à un seul éditeur de site ou d'application mobile et ne doit pas permettre le suivi de la navigation de la personne utilisant différentes applications ou naviguant sur différents sites web ;
- l'utilisation de l'adresse IP pour géolocaliser l'internaute ne doit pas fournir une information plus précise que la ville. L'adresse IP collectée doit également être supprimée ou anonymisée une fois la géolocalisation effectuée ;
- les traceurs utilisés par ces traitements ne doivent pas avoir une durée de vie excédant treize mois et cette durée ne doit pas être prorogée automatiquement lors des nouvelles visites. Les informations collectées par l'intermédiaire des traceurs doivent être conservées pendant une durée de vingt-cinq mois maximum.
 
Article 6
Sur les opérations de lecture ou écriture non soumises au consentement préalable.
L'article 82 prévoit que l'exigence du consentement préalable ne s'applique pas si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur :
- a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; ou
- est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur.
La loi n'impose pas non plus d'offrir la possibilité de s'opposer à l'utilisation des traceurs permettant ou facilitant la communication par voie électronique, ou encore strictement nécessaires à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur.
Toutefois, afin d'assurer une transparence pleine et entière sur ces opérations, les utilisateurs doivent être informés de leur existence et de leur finalité en intégrant, par exemple, une mention dans la politique de confidentialité des organisations y ayant recours.
 
Article 7
Abrogation de la recommandation n° 2013-378 du 5 décembre 2013.
 
La présente délibération abroge la délibération n° 2013-378 du 5 décembre 2013 portant adoption d'une recommandation relative aux cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978.
La présente délibération sera publiée au Journal officiel de la République française. 
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 54-II ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Adopte le référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de gestion des vigilances sanitaires annexé à la présente délibération.
Décide que le référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de gestion des vigilances sanitaires entre en vigueur le lendemain de sa publication au Journal officiel de la République française.
Décide que toute modification apportée à un traitement de données à caractère personnel qui aurait été régulièrement constitué antérieurement à la date d'entrée en vigueur du présent référentiel et qui y serait conforme impose aux responsables de traitement concernés de procéder à une déclaration de conformité.
Annexe
 
	ANNEXE
	RÉFÉRENTIEL RELATIF AUX TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL MIS EN ŒUVRE À DES FINS DE GESTION DES VIGILANCES SANITAIRES
	1. A qui s'adresse ce référentiel ?
	Ce référentiel encadre exclusivement les traitements de données à caractère personnel :
	- constitués pour gérer les vigilances sanitaires ;
	- et mis en œuvre par des fabricants, entreprises, exploitants, organismes responsables de la mise sur le marché d'un médicament, d'un dispositif ou d'un produit et dénommés, ci-après, responsables de traitement.
	Par application des dispositions du 1° de l'article 65 de la loi du 6 janvier 1978 modifiée, les traitements de données à caractère personnel mis en œuvre par les professionnels de santé et les systèmes ou services de soins de santé (p. ex. : établissements de santé, maisons de santé, centres de santé, agences sanitaires, etc.) ne sont pas concernés par ce référentiel.
	2. Portée du référentiel
Ce référentiel précise le cadre juridique, issu du règlement général sur la protection des données (RGPD) et des dispositions nationales, applicable aux traitements de données à caractère personnel constitués dans le cadre des vigilances sanitaires. Il couvre le périmètre des vigilances sanitaires mentionnées dans l'arrêté du 27 février 2017 fixant la liste des catégories d'événements sanitaires indésirables pour lesquels la déclaration ou le signalement peut s'effectuer au moyen du portail de signalement des événements sanitaires indésirables.
	Les responsables de traitement qui adressent à la CNIL une déclaration de conformité, pour les traitements de données à caractère personnel répondant aux exigences fixées par le présent référentiel, via le formulaire de déclaration de conformité à remplir sur le site internet de la CNIL, sont autorisés à les mettre en œuvre.
	Tout traitement de données à caractère personnel qui excède le cadre ou les exigences définis par le présent référentiel doit en revanche faire l'objet d'une demande d'autorisation spécifique conformément aux dispositions de l'article 66-III de la loi du 6 janvier 1978 modifiée.
Les responsables de traitement doivent mettre en œuvre toutes les mesures appropriées (techniques et organisationnelles) afin de garantir la protection des données personnelles traitées, à la fois dès la conception du traitement et par défaut. Ils doivent, en outre, démontrer cette conformité tout au long de la vie des traitements. Les traitements mis en œuvre dans le cadre du référentiel doivent également être inscrits dans le registre des activités de traitement prévu à l'article 30 du RGPD (voir les modèles de registres sur le site cnil.fr).
	Les principes dégagés par la CNIL, dans ce référentiel, constituent une aide à la réalisation de l'analyse d'impact à la protection des données que les responsables de traitement concernés doivent mener. Les responsables de traitement pourront ainsi définir les mesures leur permettant d'assurer la proportionnalité et la nécessité de leurs traitements (points 3 à 7 du référentiel), de garantir les droits des personnes (points 8 et 9 du référentiel) et la maîtrise de leurs risques (points 10 à 12 du référentiel).
	3. Objectif(s) poursuivi(s) par le traitement (FINALITÉS)
	Un traitement mis en œuvre aux fins de gestion des vigilances sanitaires a pour finalité de permettre la prévention, la surveillance, l'évaluation, la gestion des événements sanitaires indésirables mis en place par le responsable de traitement.
	Le traitement vise à permettre :
- la collecte, l'enregistrement, l'analyse, le suivi, la documentation, la transmission et la conservation des données relatives à l'ensemble des événements sanitaires indésirables ;
	- la gestion des contacts, par le responsable de traitement, avec la personne lui ayant notifié l'événement sanitaire indésirable (membre d'une association agréée, professionnel de santé, membre d'une autorité sanitaire, patient, etc.) ou le professionnel de santé pouvant être interrogé pour obtenir, dans le respect du secret médical, des précisions sur l'événement sanitaire indésirable signalé (professionnel suivant la personne victime de l'événement sanitaire indésirable, etc.).
	Les informations recueillies pour ces finalités ne pourront pas être réutilisées pour poursuivre une autre finalité que celle prévue dans le cadre du présent référentiel.
	4. Base(s) légale(s) du traitement
	Dans le cadre des vigilances sanitaires entrant dans le champ du présent référentiel, le respect des obligations légales imposées au responsable de traitement par les dispositifs de vigilance sanitaire prévus notamment par le code de la santé publique est retenu comme base légale du traitement de données à caractère personnel constitué.
La collecte de données de santé dans le cadre des vigilances sanitaires est nécessaire pour des motifs d'intérêt public ; elle a notamment pour objectif de garantir le respect de normes élevées de qualité et de sécurité des soins de santé et des médicaments, des dispositifs ou des produits conformément aux dispositions de l'article 9 du RGPD et de l'article 66 de la loi du 6 janvier 1978 modifiée.
	5. Données personnelles concernées
	Seules des données pertinentes au regard de l'objectif du traitement, à savoir la gestion des vigilances sanitaires, peuvent être collectées et traitées. A ce titre, le responsable de traitement peut collecter et traiter, en fonction de l'objectif poursuivi par le traitement et des situations :
	a) Les données relatives à la personne exposée strictement nécessaires à l'appréciation de l'événement sanitaire indésirable :
	- données permettant d'identifier indirectement la personne exposée à l'événement sanitaire indésirable (informations signalétiques telles que l'âge, l'année ou la date de naissance, le sexe, le poids, la taille) ou numéro d'identification de la personne (code alphanumérique, code alphabétique d'identification tel que prévu par les formulaires existant) permettant de garantir le respect de sa vie privée, à l'exclusion du numéro d'inscription au répertoire national d'identification des personnes physiques et de l'identifiant national de santé ;
- données relatives à l'identification du produit concerné par le signalement de l'événement sanitaire indésirable : type de médicament, de dispositif ou de produit utilisé, numéro de série, etc. ;
	- données de santé, notamment : traitements administrés, résultats d'examens, nature du ou des effets indésirables, antécédents personnels ou familiaux, maladies ou événements associés, facteurs de risques, informations relatives au mode de prescription et d'utilisation des médicaments et à la conduite thérapeutique du prescripteur ou des professionnels de santé intervenant dans la prise en charge de la maladie ou de l'événement sanitaire indésirable.
En complément de ces données, le responsable de traitement peut également collecter et traiter d'autres données sous réserve qu‘elles soient strictement nécessaires à l'appréciation de l'événement sanitaire indésirable (vie professionnelle, consommation de tabac, alcool, drogue, habitudes de vie et comportements). Des données relatives à l'origine ethnique peuvent être collectées par le responsable de traitement lorsqu'un document de présentation des caractéristiques du médicament, du dispositif ou du produit validé par une autorité compétente (p. ex. : résumé des caractéristiques du produit pour les médicaments, résumé des caractéristiques du dispositif médical, etc.) fait état, en s'appuyant sur des travaux scientifiques, de la circonstance que l'origine ethnique des personnes peut avoir une incidence sur son efficacité ou sa sécurité.