AgentPublic/cnil huggingface dataset:
124. En quatrième lieu, la formation restreinte considère que la publicité de la sanction se justifie au regard de la pluralité des manquements relevés, de leur persistance et de leur gravité. En effet, la formation restreinte considère que, si la société a pris des mesures dans le cadre de la procédure de sanction permettant de mettre en conformité le traitement des données à caractère personnel qu’elle effectue, elle n’a cependant pas pris en compte l’ensemble des exigences fixées par l’article L. 34-5 du CPCE en matière de recueil du consentement, ni celles résultant de la loi " Informatique et Libertés ".
125. En outre, la formation restreinte considère que les pratiques de la société, qui a effectué des opérations de prospection par courriers électroniques en l’absence de contentement des personnes, justifient la publication de sa décision.
126. Enfin, la formation restreinte considère que la publication permettrait de renforcer le caractère dissuasif de la sanction principale.
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société […] une amende administrative d’un montant de 20 000 (vingt mille) euros pour les manquements aux articles L. 34-5 du Code des postes et des communications électroniques (ci-après le " CPCE ") et 12 et 13 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le RGPD "),;
• prononcer à l’encontre de la société […] une injonction de mettre en conformité les traitements avec les obligations résultant des articles L. 34-5 du CPCE et 15 du RGPD, et en particulier :
o s’agissant du manquement à l’obligation de recueillir le consentement de la personne concernée par une opération de prospection directe au moyen d’un système automatisé de communications électroniques :
 Justifier de la suppression de l’ensemble des données à caractère personnel antérieurement collectées sans le consentement des prospects ;
o s’agissant du manquement à l’obligation de respecter le droit d’accès :
 Satisfaire pleinement aux demandes de droits d’accès en communiquant copie de l’ensemble de leurs données à caractère personnel détenues aux demandeurs, ainsi que le cas échéant, les informations relatives à la source d’où proviennent leurs données ;
• assortir l’injonction d’une astreinte de 500 (cinq cents) euros par jour de retard à l’issue d’un délai de 3 (trois) mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le Vice-Président
Philippe-Pierre CABOURDIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant un projet de décret autorisant la création d'un traitement de données à caractère personnel relatif à la gestion et au suivi des vaccinations contre le coronavirus SARS-CoV-2 ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 6-III et 31-II ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le projet de décret dont est saisie la Commission prévoit la création d'un système d'information pour la mise en œuvre, le suivi et le pilotage des campagnes vaccinales contre la covid-19 dénommé Vaccin Covid (ci-après, le SI Vaccin Covid ), sous la responsabilité conjointe de la direction générale de la santé et de la Caisse nationale d'assurance maladie (CNAM), fondé sur les articles 6.1 e et 9.2 i du RGPD.
Ce décret ne fixant que le cadre juridique du SI Vaccin Covid , la Commission ne se prononcera pas sur les conditions de sa mise en œuvre.
Sur les finalités et l'intérêt du système d'information
Le projet de décret prévoit plusieurs finalités visant principalement à organiser la vaccination des personnes, le suivi et l'approvisionnement en vaccins et consommables, la production d'informations à destination des personnes vaccinées, la mise à disposition de données relatives à la vaccination à des fins de calcul d'indicateurs et de recherche, un suivi de pharmacovigilance ainsi que la prise en charge financière des actes liés à la vaccination.
La Commission prend acte de l'engagement du ministère de préciser les notions d'identification et d'orientation vers un parcours de soins adapté dans le projet de décret, le ministère ayant indiqué que ces mentions renvoyaient spécifiquement à l'orientation de personnes souffrant d'effets indésirables suite à la vaccination. Sous cette réserve, les finalités apparaissent déterminées, explicitées et légitimes, conformément à l'article 5 du RGPD.
La Commission prend par ailleurs acte que ce traitement n'a pas vocation à être étendu à d'autres vaccinations que celle contre le coronavirus SARS-CoV-2.
La Commission constate que ce traitement sera alimenté, au fur et à mesure de l'extension de l'éligibilité à la vaccination, par des versements successifs de données issues des bases des régimes d'assurance maladie obligatoire et complétés par des professionnels de santé. Elle observe qu'à terme, lorsque la campagne vaccinale sera étendue à l'ensemble de la population adulte telle qu'envisagée par le ministère, le SI Vaccin Covid comportera les données de santé d'une majeure partie de la population française.
Sur les destinataires des données et les accédants
Le projet de décret autorise de nombreux acteurs à être destinataires des données à caractère personnel contenues dans le SI Vaccin Covid .
La Commission estime nécessaire de rappeler :
- que les données traitées dans le cadre du SI Vaccin Covid sont protégées par le secret médical, tel que prévu à l'article L. 1110-4 du code de la santé publique ;
- qu'aux termes de l'article 35 (4°) de la loi n° 78-17 du 6 janvier 1978 modifiée, l'acte autorisant un traitement en application des dispositions de l'article 31 doit préciser les destinataires ou catégories de destinataires habilités à recevoir communication des données.
A cet égard, la Commission rappelle que seules les personnes habilitées et soumises au secret professionnel doivent pouvoir accéder aux données du SI Vaccin Covid , dans les strictes limites de leur besoin d'en connaître pour l'exercice de leurs missions.
Il appartient donc au responsable de traitement de définir pour chaque destinataire des profils fonctionnels strictement limités aux besoins d'en connaitre pour l'exercice des missions des personnes habilitées. A cet égard, elle précise que des mesures devront être mises en place dès que possible afin que les personnes habilitées ne puissent accéder aux différentes données relatives aux personnes concernées que lorsqu'elles en ont effectivement besoin.
La Commission relève, au regard des précisions apportées par le ministère, que le SI Vaccin Covid sera mis en relation avec plusieurs systèmes d'information déjà déployés, notamment : le système d'information relatif à l'identifiant national de santé (SI INS), le dossier médical partagé (SI DMP) et le portail de remontées d'évènements indésirables (P-SIG). Le ministère a en outre indiqué prévoir, lors des futurs développements du SI Vaccin Covid , une mise en relation avec des portails patients tiers afin de faciliter la prise de rendez-vous, sans pour autant être en mesure, à ce stade, de préciser quelles en seraient les conditions.
Bien que l'article 35 de la loi informatique et liberté n'exige pas un tel niveau de précision, la Commission estime que le ministère devrait mentionner la liste des traitements et des systèmes d'information dans lesquels les données du SI Vaccin Covid seront appelées à figurer, les catégories de données transmises pour chacun de ces traitements ou systèmes, ainsi que les organismes responsables de ces traitements. Dans l'hypothèse où il n'entendrait pas compléter le décret sur ce point, la Commission invite le ministère à diffuser ces informations, par exemple en les rendant publiques sur son site web.
Le projet de décret prévoit également que la direction du numérique des ministères des affaires sociales (DNUM) sera désignée par la direction générale de la santé (DGS) comme tiers de confiance afin d'orienter des personnes vers un parcours de soin adapté en cas d'effet indésirable. A cette fin, la DNUM aura communication de données identifiantes et les conservera pour une durée de trente ans à des fins de pharmacovigilance. La Commission s'interroge sur l'articulation de ces missions avec celles de l'Agence nationale de sécurité du médicament et des produits de santé (ANSM), à laquelle le législateur a expressément confié la charge d'assurer la mise en œuvre des systèmes de vigilance, portant notamment sur les vaccins, en application des dispositions de l'article L. 5311-1 du code de la santé publique.
Sur ce point le ministère a précisé que la DNUM ne serait pas en charge d'orienter les personnes vers un parcours de soins adapté mais uniquement de la conservation des données dans des conditions permettant d'en garantir la sécurité et l'intégrité. La Commission en prend acte et invite le ministère à préciser les modalités selon lesquelles ces données pourront être traitées à des fins d'orientation des personnes.
Le ministère a précisé que la DNUM sera également chargée, pour le compte de la DGS, de produire des indicateurs de pilotage.
Au regard des compétences de la DNUM déterminées par l'article 6 du décret n° 2013-727 du 12 août 2013, la Commission s'étonne du recours à cette direction pour les missions décrites ci-dessus.
Enfin, il apparaît que le ministère et la CNAM envisagent d'avoir recours à des sous-traitants pour la mise en œuvre du SI Vaccin Covid . Dans un objectif de transparence vis-à-vis des personnes concernées, la Commission demande que le principe du recours à des sous-traitant soit mentionné dans le décret et dans l'hypothèse où il n'entendrait pas compléter le décret sur ce point, la Commission invite le ministère à diffuser cette information, ainsi que la liste des sous-traitants, par exemple en les rendant publiques sur le son site web. Elle rappelle par ailleurs que le recours à des sous-traitants devra respecter les dispositions de l'article 28 du RGPD et que des conventions devront être conclues avant toute mise en œuvre du traitement. Elle relève que ces conventions devront notamment prévoir la possibilité de réaliser des audits pour s'assurer de la conformité du traitement mis en œuvre, et que de tels audits devraient être réalisés afin de vérifier l'application effective des obligations prévues dans les conventions. La Commission demande que de tels audits soient réalisés régulièrement.
Sur la transmission de données pseudonymisées
La Commission relève que la liste des données pseudonymisées transmises à chaque organisme n'est pas détaillée dans le projet de décret. Elle rappelle que, conformément au principe de minimisation, prévu à l'article 5 du RGPD, seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées pourront être transmises aux destinataires identifiés dans le projet de décret. A des fins de transparence, elle invite le ministère à préciser dans le décret la liste des données pouvant être transmises dans ce cadre.
L'article 3 du projet de décret prévoit que la plateforme des données de santé (PDS) et la CNAM sont destinataires des données pseudonymisées aux fins de faciliter l'utilisation des données de santé pour les besoins de la gestion de l'urgence sanitaire et de l'amélioration des connaissances sur le virus , finalités qui ne figurent pas expressément à l'article 1er du projet de décret. La Commission relève que ces finalités sont celles mentionnées à l'article 30-I de l'arrêté du 10 juillet 2020.
La Commission comprend que l'amélioration des connaissances sur le virus correspond à la finalité de recherche mentionnée à l'article 1er du projet de décret. Elle s'interroge en revanche sur la finalité relative à la gestion de l'urgence sanitaire dans la mesure où le projet ne semble pas fondé sur les dispositions applicables dans le cadre de l'état d'urgence et où cette notion n'est pas mentionnée dans les finalités décrites à l'article 1er du projet de décret. La Commission estime ainsi que la transmission des données pour cette finalité ne saurait se prolonger au-delà de l'état d'urgence sanitaire en l'absence de dispositions prévoyant leur intégration dans le Système national des données de santé (SNDS).
La Commission prend acte de l'engagement du ministère d'indiquer les mesures adéquates de pseudonymisation évoquées dans le projet de décret devraient être détaillées dans l'analyse d'impact sur la protection des données qui lui sera transmise.
La Commission prend acte, au regard des précisions apportées par le ministère, qu'aucune donnée traitée dans le cadre du SI Vaccin Covid ne sera transférée en dehors de l'Union européenne et demande que le décret en fasse mention.
Sur la limitation des droits d'opposition et à l'effacement des personnes concernées
Le ministère a indiqué que les personnes concernées pouvaient être inscrites dans le SI Vaccin Covid de la manière suivante :
- lorsque la personne est sélectionnée, selon certains critères, dans les bases des régimes d'assurance maladie obligatoire, ses données seront transmises par l'organisme au SI Vaccin Covid , en vue de l'émission d'un bon de vaccination ;
- lorsque les personnes ne sont pas identifiables ou sélectionnées dans les bases des régimes obligatoires, mais répondent aux critères de vaccination, leur inscription dans le SI Vaccin Covid est réalisée par le professionnel de santé consulté, uniquement dans l'hypothèse où celles-ci souhaitent être vaccinées.
Les critères de sélection qui seront retenus seront établis par la Haute Autorité de santé conformément à l'article L. 3111-1 du code de la santé publique, postérieurement à la publication du décret.
La Commission relève que le projet de décret écarte la possibilité pour les personnes concernées d'exercer leur droit à l'effacement et leur droit d'opposition pour des motifs d'intérêt public.
La Commission se félicite de l'engagement du ministère de permettre aux personnes concernées d'exercer leur droit d'opposition sans limitation jusqu'à l'expression de leur consentement à l'acte vaccinal. La Commission considère donc que le droit à l'effacement pourra également être exercé.
Le ministère a également précisé que les personnes concernées ne pourront plus exercer leur droit d'opposition après l'expression de leur consentement à l'acte vaccinal. La Commission considère que cette limitation vise à garantir un objectif important d'intérêt public au vu des finalités poursuivies par le traitement, notamment dans le cadre de la pharmacovigilance.
Néanmoins, s'agissant du droit d'opposition, l'article 4 du projet de décret prévoit que les personnes concernées pourront l'exercer pour la transmission des données à des fins de recherche à la PDS et la CNAM. La Commission comprend qu'il est ici fait référence à l'amélioration des connaissances sur le virus et que le droit d'opposition pourra s'exercer sans limitation dans cette hypothèse, même après l'expression du consentement à l'acte vaccinal.
Elle en déduit par ailleurs que les personnes concernées ne pourront donc s'opposer à la transmission des données pour les besoins de la gestion de l'urgence sanitaire mentionnés à l'article 3-II (4°) du projet de décret.
Au vu de l'ensemble de ces remarques, la Commission invite le ministère à la parfaite information des personnes concernées s'agissant notamment de l'exercice de leurs droits. Elle invite par ailleurs le ministère à prévoir un dispositif permettant à chaque personne concernée de faire exercice de son droit d'opposition à la transmission d'informations à la PDS et à la CNAM dès la création de la fiche la concernant dans le SI Vaccin Covid , par exemple par l'ajout d'une case à cocher par les professionnels de santé.
Sur les données traitées dans le cadre du SI Vaccin Covid 
La Commission invite le ministère à préciser dans le décret que le numéro d'inscription au répertoire national d'identification des personnes physique est traité en tant qu'identifiant national de santé.
La Commission relève en outre que les lieux de vaccination seront identifiés et localisés dans le SI Vaccin Covid . Ces données pouvant révéler des informations sensibles concernant la personne, telles qu'une vaccination dans un lieu de privation de liberté, des mesures de confidentialité adaptées devront être prévues.
Sur les mesures de sécurité
La Commission souligne qu'en raison du contexte d'urgence le ministère n'a pas été en mesure de lui transmettre les informations techniques nécessaires concernant la mise en œuvre du traitement. Elle n'a donc pas été en mesure de vérifier la conformité du traitement au RGPD avant que celui-ci soit déployé.
La Commission rappelle que la réalisation d'une analyse d'impact relative à la protection des données, qui ne lui a pas été fournie, doit être effectuée avant la mise en œuvre du traitement. La Commission prend acte de l'engagement du ministère de la lui transmettre dans les meilleurs délais.
En outre, la Commission précise qu'elle sera vigilante quant aux conditions de mise en œuvre du SI Vaccin Covid et qu'elle fera exercice de son pouvoir de contrôle.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret portant diverses dispositions relatives au traitement automatisé de données à caractère personnel dénommé PARAFE ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/399 du Parlement européen et du Conseil du 9 mars 2016 concernant un code de l'Union relatif au régime de franchissement des frontières par les personnes (code frontières Schengen) ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la décision (UE) 2020/135 du Conseil du 30 janvier 2020 relative à la conclusion de l'accord sur le retrait du Royaume-Uni de Grande-Bretagne et d'Irlande du Nord de l'Union européenne et de la Communauté européenne de l'énergie atomique ;
Vu l'accord sur le retrait du Royaume-Uni de Grande-Bretagne et d'Irlande du Nord de l'Union européenne et de la Communauté européenne de l'énergie atomique approuvé par la décision (UE) 2020/135 du Conseil du 30 janvier 2020 ;
Vu le code de la sécurité intérieure, notamment ses articles R.232-6 à R.232-11-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 32 et 33 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2007-094 du 3 mai 2007 portant avis sur un projet de décret portant création d'un traitement automatisé de données à caractère personnel relatives à des passagers des aéroports français franchissant les frontières extérieures des Etats parties à la Convention signée à Schengen le 19 juin 1990 ;
Vu la délibération n° 2010-105 du 15 avril 2010 portant avis sur un projet de décret modifiant le décret n° 2007-1182 du 3 août 2007 portant création d'un traitement automatisé de données à caractère personnel relatives à des passagers des aéroports français franchissant les frontières extérieures des Etats parties à la convention signée à Schengen le 19 juin 1990 ;
Vu la délibération n° 2016-012 du 28 janvier 2016 portant avis sur un projet de décret portant modification d'un traitement automatisé de données à caractère personnel dénommé PARAFE ;
Vu la délibération n° 2019-027 du 14 mars 2019 portant avis sur un projet de décret portant diverses dispositions relatives au traitement automatisé de données à caractère personnel dénommé Passage Automatisé Rapide Aux Frontières Extérieures (PARAFE) ;
Vu la délibération n° 2019-028 du 14 mars 2019 portant avis sur un projet de décret élargissant le traitement automatisé de données à caractère personnel dénommé PARAFE aux ressortissants britanniques ;
Après avoir entendu M. Bertrand du MARAIS, commissaire, en son rapport, et M. Benjamin TOUZANNE commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La Commission a été saisie pour avis par le ministre de l'intérieur d'un projet de décret en Conseil d'Etat portant diverses dispositions relatives au traitement automatisé de données à caractère personnel dénommé Passage Automatisé Rapide Aux Frontières Extérieures (PARAFE).
Le dispositif PARAFE, mis en œuvre par le ministère de l'intérieur et encadré par les articles R. 232-6 à R. 232-11-2 du code de la sécurité intérieure (CSI), est destiné à améliorer et faciliter les contrôles de police aux frontières extérieures. Les voyageurs aériens, maritimes et ferroviaires, éligibles au dispositif et disposant d'un document de voyage comportant des données biométriques, peuvent volontairement emprunter un sas PARAFE. Le contrôle aux frontières est alors réalisé au moyen d'une authentification biométrique du voyageur via le traitement de ses empreintes digitales ou de son image faciale.
La Commission considère que le traitement PARAFE, qui a pour finalité de fluidifier les contrôles de police aux frontières extérieures, relève du champ d'application du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après RGPD). Dans la mesure où il est mis en œuvre pour le compte de l'Etat, agissant dans l'exercice de ses prérogatives de puissance publique, et qu'il porte sur des données biométriques nécessaires à l'authentification ou au contrôle de l'identité des personnes, sa modification doit faire l'objet d'un décret en Conseil d'Etat, pris après avis motivé et publié de la Commission, conformément aux articles 32 et 33 de la loi du 6 janvier 1978 modifiée.
La Commission relève que les modifications envisagées par le présent projet de décret visent à modifier les articles R. 232-6 à R. 232-8 du CSI afin notamment de :
- supprimer le processus d'inscription au programme PARAFE au moyen d'un enregistrement préalable des voyageurs et de leurs empreintes digitales au sein d'une base de données centralisée et donc supprimer le recours à une telle base de données centralisée ;
- élargir le public éligible au dispositif des sas PARAFE ;
- introduire la possibilité pour le ministre de l'intérieur de suspendre, en cas de menace pour l'ordre public ou la sûreté de l'Etat, la mise en œuvre du traitement à l'égard de l'une ou de plusieurs des nationalités éligibles.
Ces modifications appellent les observations suivantes.
Sur la suppression du processus d'inscription