AgentPublic/cnil huggingface dataset:
- les agents exerçant des activités statistiques au sein des organismes contributeurs et des services de l'Etat, placés sous l'autorité respective des ministres chargés de la sécurité sociale, de l'agriculture, du budget et de la fonction publique. Ces agents ont accès à l'intégralité des données de l'usager, à l'exception de ses nom de famille, nom d'usage et prénoms. S'agissant des informations concernant les enfants des assurés, le responsable de traitement s'engage à ne donner accès qu'aux informations relatives au nombre d'enfants et exclure l'accès aux données d'identification. Cet accès aux données a pour objectif de réaliser les statistiques des régimes de retraite obligatoires et des services de l'Etat chargés de la liquidation des pensions. La commission prend acte de ce que les services statistiques ont accès au NIR (ou NIA) de l'usager afin d'effectuer, dans le respect des dispositions de la loi du 6 janvier 1978 modifiée et de la loi du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques, des appariements de données pour réaliser des statistiques plus complètes.
La commission relève que l'article R. 161-69-12-III du projet de texte portant sur la liste des destinataires des données ne renvoie qu'à l'article R. 161-69-8-I-6° relatif à la finalité des statistiques élaborées par les organismes contributeurs. Il conviendrait de renvoyer également à l'article R. 161-69-8-II relatif à la finalité statistique réalisée par les services de l'Etat. La commission prend acte de l'engagement du responsable de traitement à modifier l'acte réglementaire en ce sens.
Sous ces réserves, la commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement, dans la limite de leurs attributions et sous réserve que les données effectivement accessibles présentent un lien direct et nécessaire avec leurs fonctions.
Sur l'information des personnes et sur les droits d'accès, de rectification et d'opposition des personnes :
L'information découlant de l'article 32 de la loi du 6 janvier 1978 modifiée est délivrée par les régimes de retraite de base et complémentaires légalement obligatoires ainsi que par les services de l'Etat chargés de la liquidation des pensions, aux assurés sociaux. L'obligation d'information sera intégrée à la convention conclue entre la CNAV et les organismes.
Les droits d'accès et de rectification s'exercent par voie postale ou par voie électronique, notamment via le portail des organismes.
En revanche, le droit de rectification portant sur les données de carrière de l'assuré s'exerce auprès du ou des organismes de rattachement.
La commission note que le traitement envisagé écarte l'application du droit d'opposition, en application des dispositions du dernier alinéa de l'article 38 de la loi du 6 janvier 1978 modifiée. Afin d'améliorer la qualité de l'information délivrée aux personnes concernées, la commission recommande que l'éviction du droit d'opposition soit inscrite dans le projet de décret et prend acte de ce que le responsable de traitement s'est d'ores et déjà engagé à y procéder.
La commission considère que ces modalités d'information des personnes sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
Le traitement RGCU est une base de données accessible par les applications métiers, par les agents des organismes.
Constatant que le traitement consiste en une centralisation des données issues de nombreux traitements, la commission regrette qu'une architecture décentralisée, à l'image de ce qui a été élaboré pour le Répertoire national commun de la protection sociale (RNCPS), n'ait pas été retenue. Le nombre de personnes concernées ainsi que la quantité et la nature des données qu'il conserve confèrent à ce traitement un enjeu de sécurité certain. Aussi, la commission recommande que soit réalisée une analyse de risques en matière de vie privée.
Le RGCU reprendra les données issues du SNGC, ce traitement étant déjà mis en œuvre par le même organisme, la CNAV. Dès lors, la question de la protection des données lors de la migration est du seul ressort de la CNAV.
L'alimentation de masse sera effectuée via le Dispositif de gestion des échanges (DGE) ou, à défaut, par transfert sécurisé par lots point à point. Concernant l'alimentation unitaire , sa sécurité et son intégrité seront assurées par l'utilisation du standard InterOPS. DGE et InterOPS sont des mécanismes d'échanges qui ont été visés par la commission par le passé.
Les échanges entre la DSN et le RGCU s'effectueront à partir de l'outil RGCU, selon une norme d'échange spécifique qui reste à établir. La commission n'est donc pas en mesure de se prononcer sur la sécurité de ces échanges. C'est pourquoi elle demande à être destinataire des choix techniques qui seront opérés.
Une traçabilité des flux, des accès et des données est prévue dans l'outil, permettant de conserver une trace des flux entrants et sortants du système RGCU, des accès aux différents services de l'outil ainsi que de connaître l'origine des données du RGCU.
La présente délibération abroge et remplace la délibération n° 2016-294 du 29 septembre 2016.
Pour la présidente :
La vice-présidente déléguée,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par les ministères en charge des solidarités et de la santé, du travail, de l'éducation nationale et des sports d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif à l'hébergement de données de santé à caractère personnel et modifiant le code de la santé publique ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés modifiée ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le code du patrimoine, notamment son article L. 212-4 ;
Vu le code des relations entre le public et l'administration ;
Vu le code de la santé publique, notamment son article L. 1111-8 ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé ;
Vu l' ordonnance n° 2017-27 du 12 janvier 2017 relative à l'hébergement de données de santé à caractère personnel ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie le 30 août 2017 par les ministères en charge des solidarités et de la santé, du travail, de l'éducation nationale et des sports, d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif à l'hébergement de données de santé à caractère personnel et modifiant le code de la santé publique (ci-après le projet ).
Ce texte est pris en application des dispositions de l'article L. 1111-8 du code de la santé publique ( CSP) modifié par l' ordonnance n° 2017-27 du 12 janvier 2017 relative à l'hébergement des données de santé.
Le projet définit les modalités de mises en oeuvre de la procédure de certification, le périmètre d'application de ce dispositif ainsi que la période de transition entre la procédure d'agrément et de certification.
Il procède également, de manière plus secondaire, à une modification mineure de certains des articles du code de la santé publique ayant trait aux hébergeurs et à la fonction d'hébergement ; ces dernières dispositions n'appellent pas d'observations de la part de la commission.
Sur le champ d'application de l' article L. 1111-8 du CSP
L' article L. 1111-8 du CSP énonce que la procédure de certification ou d'agrément est applicable à Toute personne qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de personnes physiques ou morales à l'origine de la production ou du recueil de ces données ou pour le compte du patient lui-même .
La commission relève que la rédaction de cet article a conduit de nombreux responsables de traitement à s'interroger sur l'obligation de recourir, ou non, à un hébergeur de données de santé ; à titre d'exemple, certains assureurs, lorsqu'ils externalisent l'hébergement des données recueillies dans le cadre des procédures de remboursement, estiment ainsi avoir l'obligation légale de faire appel à des hébergeurs répondant aux obligations issues de l' article L. 1111-8 du CSP, d'autres non. Une interrogation similaire se présente notamment pour les offres de stockage sur des serveurs distants ( cloud computing ) à destination des particuliers, qui ne présenteraient pas expressément leurs offres comme ayant vocation à héberger des données de santé.
L'article R. 1111-8-8. I du projet de texte a pour vocation de préciser le périmètre des activités d'hébergement soumises à certification. Il prévoit ainsi que :
L'activité d'hébergement consiste à héberger les données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social :
1° pour le compte de personnes physiques ou morales, responsables de traitement au sens de la loi n° 78-17 du 6 janvier 1978, à l'origine de la production ou du recueil de ces données ;
2° pour le compte du patient lui-même.
Toutefois, ne constitue pas une activité d'hébergement au sens de l'article L. 1111-8, un hébergement temporaire de données n'ayant pas pour finalité d'organiser leur accès ou leur transmission au profit du responsable de traitement, du patient ou de tout professionnel participant à la prise en charge de la personne concernée par les données .
La commission relève que ce projet d'article ne remplit pas pleinement l'objectif de précision des conditions d'application de l' article L. 1111-8 du CSP qui était le sien ; le seul ajout notable est la mention d'une exclusion à l'activité d'hébergement au sens de l' article L. 1111-8 du CSP. Sur ce dernier point, le ministère a précisé que cette disposition vise à exclure du champ du texte les opérateurs qui sont amenés à héberger temporairement des données de santé à caractère personnel à l'occasion d'une prestation dont la finalité n'est pas l'hébergement proprement dit (par exemple, la saisie informatique de comptes-rendus médicaux) effectuée pour le compte de l'acteur de santé.
La commission estime que le projet de décret devrait-être modifié pour lever les interrogations subsistantes sur le contour de l'obligation de recourir à un hébergeur de données de santé certifié.
Sur la procédure de certification
La commission relève que la sécurité des données liées à l'activité d'hébergeur certifié sera encadrée par un référentiel de certification.
Le projet énonce en effet dans son article 3 que :
 Toute personne physique ou morale assurant une activité d'hébergement sur support numérique de données de santé à caractère personnel mentionnées au I de l'article R.1111-8-8, doit être titulaire d'un certificat de conformité délivré par un organisme de certification accrédité pour la certification relative à l'hébergement de données de santé, par le Comité français d'accréditation ou l'instance nationale d'accréditation d'un autre Etat membre de l'Union européenne membre de la coopération européenne pour l'accréditation et ayant signé les accords de reconnaissance mutuelle multilatéraux couvrant la certification considérée.
L'organisme de certification est accrédité conformément à un référentiel d'accréditation élaboré par le groupement d'intérêt public mentionné à l'article L. 1111-24 en lien avec les organismes d'accréditation concernés et approuvé par arrêté du ministre chargé de la santé.
Le certificat de conformité mentionné au II de l'article L. 1111-8 est délivré sur le fondement d'un référentiel de certification élaboré par le groupement d'intérêt public mentionné à l'article L. 1111-24 et approuvé par arrêté du ministre chargé de la santé, pris après avis de la Commission nationale de l'informatique et des libertés. 
Ces éléments n'appellent pas d'observations de la commission.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'action et des comptes publics d'une demande d'avis sur un projet de décret relatif à un traitement automatisé de données à caractère personnel dénommé Base concours ayant pour finalité la production d'études et de statistiques anonymes ainsi que la réalisation de travaux de recherche sur l'accès à la fonction publique ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 (4°, a) ;
Vu la loi n° 83-634 du 13 juillet 1983 modifiée portant droits et obligations des fonctionnaires ;
Vu la loi n° 84-16 du 11 janvier 1984 modifiée portant dispositions statutaires relatives à la fonction publique de l'Etat ;
Vu la loi n° 84-53 du 26 janvier 1984 modifiée portant dispositions statutaires relatives à la fonction publique territoriale ;
Vu la loi n° 86-33 du 9 janvier 1986 modifiée portant dispositions statutaires relative à la fonction publique hospitalière ;
Vu la loi n° 2017-86 du 27 janvier 2017 relative à l'égalité et à la citoyenneté notamment son article 161 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
L'article 161 de la loi n° 2017-86 du 27 janvier 2017 relative à l'égalité et à la citoyenneté a créé un article 16 bis à la loi n° 83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires.
Ce nouvel article prévoit que les administrations mentionnées à l'article 2 de la loi n° 83-634 du 13 juillet 1983 demandent aux personnes candidates à l'accès aux corps et cadres d'emplois de la fonction publique de 1'Etat, territoriale et hospitalière dans le cadre d'un recrutement par concours externe, interne ou troisième concours, de fournir des données relatives à leur formation et leur environnement social ou professionnel afin de produire des études et statistiques sur l'accès aux emplois mentionnés à l'article 3 de la loi susvisée.
Aussi, le ministère de l'action et des comptes publics a saisi la Commission nationale de l'informatique et des libertés sur le fondement de l'article 11 (4°, a) de la loi du 6 janvier 1978 modifiée en août 2004 d'une demande d'avis concernant un projet de décret relatif aux caractéristiques et au processus de sélection des candidats à l'accès à la fonction publique.
Sur les finalités et le fonctionnement du traitement
L'article 1er du projet de décret prévoit que le service statistique ministériel du ministère de l'action et des comptes publics (DESSI) met en œuvre un traitement automatisé de données à caractère personnel dénommé Base concours ayant pour finalité la production d'études et de statistiques anonymes ainsi que la réalisation de travaux de recherche sur l'accès à la fonction publique.
Aussi, les administrations mentionnées à l'article 2 de la loi n° 83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires, et chargées d'organiser les recrutements prévus par les articles 19 de la loi du 11 janvier 1984, 36 de la loi du 26 janvier 1984 et 29 de la loi du 9 janvier 1986 (articles 2 et 3 du projet de décret), collectent auprès des candidats des informations relatives à leur identification ainsi que des informations relatives au concours et les transmettent au service statistique du ministère.
La transmission de ces informations par les administrations permet au service statistique ministériel de réaliser, à l'issue de l'inscription des candidats à un des concours et avant l'envoi des convocations pour les premières épreuves, une enquête concours par l'envoi d'un questionnaire en ligne aux candidats (articles 1er et 4 du projet de décret).
Une fois le processus de sélection terminé, les autorités organisatrices du recrutement communiquent au service statistique ministériel les informations relatives à la situation du candidat au moment de l'inscription, au concours et aux modalités de recrutement, ainsi qu'à la sélection des candidats.
Aussi, le service statistique ministériel apparie les informations susmentionnées avec les informations issues de l'enquête concours afin de constituer la Base concours .
La commission considère les finalités poursuivies par le traitement comme déterminées, explicites et légitimes conformément aux dispositions de l'article 6 (2°) de la loi Informatique et Libertés.
Sur les données à caractère personnel traitées
L'article 3 du projet de décret prévoit que les autorités organisatrices des recrutements transmettent au service statistique ministériel, des informations relatives :
- à l'identification du recrutement ;
- à l'identification des candidats inscrits et plus particulièrement : nom de naissance, nom d'usage et prénoms, sexe, date, pays et lieu de naissance, adresse postale et adresse courriel ;
- à la situation du candidat au moment de l'inscription ;
- au concours et aux modalités de recrutement ;
- à la sélection des candidats.
La commission prend note que l'article 3 du projet de décret prévoit que les informations relatives à l'identification du recrutement, à la situation du candidat au moment de l'inscription, au concours et aux modalités de recrutement ainsi qu'à la sélection des candidats seront précisées ultérieurement par un arrêté du ministre du ministère de l'action et des comptes publics.
D'autre part, l'article 5 du projet de décret prévoit que dans le cadre de l'enquête concours , des informations relatives aux caractéristiques sociodémographiques peuvent être collectées, et plus particulièrement :
- la nationalité de naissance et le cas échéant l'autre nationalité ;
- le diplôme obtenu le plus élevé et sa nature ou son objet du diplôme, et, le cas échéant la nature (ou l'objet) du deuxième diplôme requis par des dispositions réglementaires ;
- la situation de famille et le nombre d'enfants ;
- la situation professionnelle ;
- la catégorie socioprofessionnelle principale de chacun des deux parents ou tuteurs, actuelle ou correspondant à leur dernière activité professionnelle ;
- l'appartenance de chacun des deux parents ou tuteurs à un corps ou cadre d'emploi de la fonction publique ;
- le lieu de naissance de chacun des deux parents ou tuteurs ;
- la nationalité de naissance de chacun des deux parents ou tuteurs.
S'agissant des informations relatives au lieu de naissance ainsi que la nationalité de naissance de chacun des deux parents ou tuteurs, la commission prend note que ces informations sont collectées afin d'analyser les résultats différentiels aux concours selon les origines des candidats.
D'autre part, la commission relève que des informations complémentaires quantitatives ou qualitatives peuvent être collectées dans le cadre de l'enquête concours .
Sur ce dernier point, la commission rappelle que les données collectées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément aux dispositions de l'article 6 (3°) de la loi Informatique et Libertés.
Sur les destinataires des données
Dans les limites de leurs attributions respectives, et chacun pour ce qui le concerne, peuvent accéder aux données enregistrées dans le traitement, les personnels du service statistique ministériel du ministère de l'action et des comptes publics.
L'article 8 du projet de décret prévoit que les informations concernant les recrutements de la fonction publique territoriale seront transmises au service statistique du ministère en charge des collectivités territoriales, et que les informations concernant les recrutements de la fonction publique hospitalière seront transmises au service statistique du ministère de la santé, à raison de leurs attributions respectives et dans la limite du besoin d'en connaître.
D'autre part, la commission prend note que peuvent être destinataires des informations issues de la Base concours , autres que celles relatives aux noms de naissance, d'usage, prénoms, adresses postale et courriel, les services statistiques de certains organismes dans les conditions prévues à l'article 17 du décret du 20 mars 2009 relatif au Conseil national de l'information statistique, au Comité du secret statistique et au Comité du label de la statistique publique, à des fins de statistique publique ou de recherche scientifique ou historique, après avis du comité du secret statistique.
La commission estime que ces personnes présentent un intérêt légitime à connaître de ces données.
Sur la durée de conservation
Dans la mesure où il s'agit d'études longitudinales, l'article 9 du projet de décret prévoit que les informations relatives à l'identité des candidats inscrits à un des concours sont conservées par le service statistique ministériel cinq ans à l'issue de la publication de la liste des personnes admises au dernier recrutement auquel ils ont été inscrits.
S'agissant des informations relatives à l'identification du recrutement, à la situation du candidat au moment de l'inscription, au concours et aux modalités de recrutement, à la sélection des candidats, ainsi qu'aux caractéristiques sociodémographiques, l'article 9 du projet de décret prévoit que celles-ci sont conservées par les services statistiques du ministère de l'action et des comptes publics, du ministère en charge des collectivités territoriales et du ministère de la santé, six ans à l'issue de la publication de la liste des personnes admises aux recrutements.
Les informations susvisées sont ensuite archivées de manière définitive, conformément aux dispositions du code du patrimoine.
Ces durées n'appellent pas d'observation de la part de la commission.
Sur l'information et les droits des personnes
La commission n'est pas en mesure de se prononcer sur les modalités d'information des personnes concernées mais prend acte que celles-ci seront précisées dans le cadre des formalités préalables qui seront accomplies par chacun des organismes concernés conformément à l'article 6 du projet de décret.
Aussi, la commission rappelle que les personnes participantes à l'enquête concours devront être informées conformément aux dispositions de l'article 32 de la loi Informatique et Libertés.
Sur les mesures de sécurité