AgentPublic/cnil huggingface dataset:
Il est prévu que les personnes concernées soient informées du dispositif sur place, via un affichage sur les lieux concernés, ainsi qu’en ligne au sein de l’application TousAntiCovid et sur le site web dédié à l’application.
Elle précise qu’une information, compréhensible par le plus grand nombre, devra être placée à l’endroit du code-QR afin que les personnes soient en mesure de comprendre ce à quoi elle se rattache. Enfin, la Commission recommande, afin d’assurer l’homogénéité et la conformité de ces mesures d’information aux articles 12 et 13 du RGPD, que des modèles d’affichage standardisés et adaptés aux différents cas d’usage soient mis à la disposition des établissements concernés au sein de la plateforme permettant de générer les codes-QR.
Sur les mesures de sécurité
A titre liminaire, la Commission souligne la prise en compte effective des principes de protection des données et de sécurité dès la conception du dispositif, qui apparaissent comme des préoccupations constantes des concepteurs de l’application. Toutefois, compte tenu des délais très contraints dans lesquels elle a été amenée à se prononcer, son analyse a particulièrement porté sur le dispositif envisagé à court terme, même si l’évolution de TAC-W vers un protocole qualifié de dynamique offrira de meilleures garanties en termes de protection des données et de sécurité, sous réserve de ses conditions de mise en œuvre effectives.
A cet égard, la Commission rappelle que la publication de la documentation technique et du code informatique des nouvelles fonctionnalités du dispositif ainsi que la prise en compte des commentaires de la communauté scientifique permettront l’amélioration continue du dispositif et la correction d’éventuelles vulnérabilités, visant à garantir la sécurité des données. Elle invite donc le ministère à poursuivre et amplifier la démarche d’ouverture encadrant la mise en œuvre initiale de StopCovid.
La Commission considère qu’un tel dispositif doit, en particulier, prévenir tout détournement de la finalité épidémiologique et tout abus de l’infrastructure envisagée. Ainsi, compte tenu du rôle clé joué par les serveurs centraux pour le suivi de contacts et la gestion des lieux contacts, elle estime nécessaire que des mesures de sécurité organisationnelles et techniques adaptées soient mises en place afin notamment de prévenir tout acte malveillant sur cet environnement.
La Commission prend acte que les deux protocoles ROBERT et TAC-W fonctionnent indépendamment, avec notamment une séparation logique des flux et des serveurs respectifs, afin que les données de chacun des protocoles ne puissent pas être reliées, et d’éviter tout risque d’inférence d’information.
Elle relève que le protocole envisagé ne prévoit pas que le serveur central connaisse précisément les lieux fréquentés par les personnes déclarées positives. Toutefois, le serveur collecte les identifiants uniques et aléatoires contenus dans les codes QR remontés lorsqu’un utilisateur se déclare positif dans l’application. Bien que la table de correspondance entre cet identifiant aléatoire et le nom ou la localisation de l’établissement ne semble pas être connue par le serveur, cette information existe par ailleurs et pourrait donc être reliée aux données stockées sur le serveur, ce qui serait susceptible d’affaiblir le niveau de sécurité global du traitement.
A cet égard, la Commission relève que lors de la remontée des historiques de lieux fréquentés d’un utilisateur qui se déclare positif, le serveur applique une fonction de hachage à l’identifiant du lieu contact, en utilisant l’algorithme SHA256 et en l’associant à différentes valeurs d’un paramètre, de façon semblable à un sel, sans que cette mise en œuvre corresponde à l’état de l’art en la matière pour éviter les rapprochements. Si la Commission comprend de cette pratique qu’elle vise à limiter les possibilités pour des tiers de réidentifier les lieux fréquentés par les utilisateurs, elle invite le ministère à mettre en place, sans tarder, des mesures encore plus efficaces, telles que le recours à des codes-QR dynamiques, dont l’usage est d’ores et déjà prévu par le ministère et qui pourrait améliorer substantiellement la sécurité des données traitées.
Par ailleurs, elle rappelle que tout échange de données entre application et serveur doit être sécurisé, par exemple en mettant en œuvre des algorithmes cryptographiques à l’état de l’art, et qu’il doit s’effectuer de manière robuste de telle sorte que la simple observation de la communication ne permet pas d’inférer des informations sur les utilisateurs de l’application. La Commission recommande également que les données stockées sur le serveur et celles stockées sur le terminal de l’utilisateur soient chiffrées à l’aide d’un algorithme cryptographique à l’état de l’art. Elle rappelle à cet égard que les clés de chiffrement devront avoir une taille suffisante et devront être gérées dans des conditions permettant d’en assurer la confidentialité.
Enfin, afin de prévenir l’accès à l’historique des lieux enregistrés localement, par des personnes autres que l’utilisateur de l’application, la Commission recommande la mise en œuvre dans l’application mobile de mécanismes de restriction d’accès adéquats.
Sur les autres modifications apportées au décret n° 2020-650 du 29 mai 2020
S’agissant de la priorisation des cas contacts dans l’accès aux examens ou aux tests de dépistage
Le projet d’article 1-II-4° du décret n° 2020-650 du 29 mai 2020 entend permettre aux utilisateurs de l’application ayant le statut de contacts à risque de contamination de bénéficier d’un examen ou d’un test de dépistage dans des conditions de réalisation prioritaire.
A cet égard, la Commission rappelle que le fait de télécharger et d’utiliser l’application TousAntiCovid n’emporte pas, de facto, la possibilité de bénéficier d’un accès prioritaire à ces examens, seuls les utilisateurs notifiés comme contacts à risques étant concernés par ce caractère prioritaire. Elle relève en outre que la modification projetée du décret s’inscrit dans le cadre de la doctrine de priorisation mise en place par le ministère au cours de ces derniers mois, pour faire face à l’accroissement du nombre de personnes se présentant dans les laboratoires de biologie médicale pour se faire dépister, en priorisant le dépistage des cas-contacts . 
Dès lors que cet accès prioritaire ne sera pas réservé aux utilisateurs de l’application, mais ouvert à tous les cas-contacts , la Commission estime que ce dispositif ne saurait remettre en cause le caractère volontaire de l’utilisation de l’application. Il est néanmoins nécessaire que l’information fournie, notamment dans l’application elle-même, soit sans ambiguïté sur le fait que la priorité est attachée à la qualité de cas-contact et non à l’utilisation de l’application par elle-même.
S’agissant de l’élargissement des fonctionnalités proposées par l’application
Les projets d’article 1-II-6° et 1-II-8° du décret n° 2020-650 du 29 mai 2020 permettent d’élargir les finalités du traitement de données afin d’y intégrer les nouvelles fonctionnalités de l’application TousAntiCovid successivement mises en œuvre depuis le déploiement de la version 2.0. Ils prévoient ainsi que le traitement de données a notamment pour finalités :
d’informer les utilisateurs sur la circulation du virus au niveau national et local (lorsque l’utilisateur renseigne un code postal dans ce dernier cas), sur les mesures ou actions de promotion, de prévention et d’éducation pour la santé ainsi que sur les données d’utilisation de l’application et de les orienter vers d’autres outils numériques mis en œuvre pour la gestion de l’épidémie ;
de permettre aux personnes utilisatrices de l'application de stocker des données à caractère personnel sur leur ordiphone en vue de générer des justificatifs requis par les autorités publiques. Pour ce faire, des données telles que le nom, le prénom et l’adresse sont enregistrées sur le terminal pour ne pas avoir à être renseignées à chaque génération d’un nouveau justificatif.
La Commission s’interroge sur la nécessité d’encadrer de tels traitements par décret. D’une part, l’administration les a déjà mis en œuvre dans le cadre de l’application TousAntiCovid et certains sites internet d’administration proposent, par ailleurs, des fonctionnalités similaires (notamment pour permettre de générer des justificatifs), sans être pour autant prévus par des textes règlementaires. D’autre part, les données personnelles étant stockées et traitées uniquement localement, à la discrétion et pour le compte du seul utilisateur, il ne semble pas que les autorités publiques soient responsables de ces traitements, la seule mise à disposition d’un logiciel au public ne constituant pas la mise en œuvre d’un traitement de données à caractère personnel. En ce sens, il convient de relever que les dispositions du décret relatives à ces traitements ne sont pas conformes aux exigences de la Commission (durée de conservation, liste des destinataires, etc.) mais qu’il n’apparaît pas opportun de réglementer ces aspects qui, dans le cadre du fonctionnement du logiciel en cause, doivent rester à la discrétion du particulier qui utilise l’application.
La Commission prend acte du fait que le Gouvernement souhaite faire de la mise à disposition de ces outils au public une obligation pour l’administration, édictée par le projet de décret. Elle relève les garanties prévues par le ministère s’agissant de ces finalités, dans une logique de minimisation des données et de protection des données dès la conception et par défaut. Ainsi, les données susceptibles d’être collectées tant pour l’obtention d’informations sanitaires relatives à un lieu d’intérêt (identifié par le code postal) que pour la génération des attestations de déplacement dérogatoires seront stockées sur l’ordiphone de l’utilisateur et ne feront l’objet d’aucun traitement sur le serveur central. En outre, conformément au principe de limitation de la conservation des données, le code postal renseigné pour obtenir des informations locales sur la situation sanitaire ne sera pas conservé et le code-QR permettant de disposer d’une attestation dérogatoire de déplacement ne peut être conservé plus de vingt-quatre heures à compter de sa date de validité. Les données renseignées par l’utilisateur sur les sites et applications référencées au sein de TousAntiCovid ne font l'objet d'aucun traitement de données dans le cadre de l’application.
Sur la réalisation d’analyses statistiques
Le projet d’article 1-II-5° du décret n° 2020-650 du 29 mai 2020 a pour objet de préciser la finalité statistique attribuée au traitement en mentionnant la réalisation d’ analyses statistiques à partir des données anonymes issues de l'application afin adapter les mesures de gestion nécessaires pour faire face à l'épidémie .
D’après les éléments transmis par le ministère, ces analyses statistiques ne constituent ni des traitements à des fins de recherche, d’études et d’évaluation dans le domaine de la santé, ni des traitements visant à adapter les mesures de gestion nécessaires à la lutte contre l’épidémie. Dans la mesure où elles ont pour seule vocation l’amélioration des performances de l’application, la Commission demande que le projet de décret soit précisé sur ce point et sur les données effectivement traitées à cette fin.
Dans l’hypothèse où l’élaboration de telles statistiques nécessiteraient la mise en œuvre d’opérations de lecture ou d’écriture sur le terminal de l’utilisateur, la Commission rappelle que celles-ci pourront être exemptées de consentement sous la réserve que ces opérations soient conformes à l’article 5 des lignes directrices de la Commission relatives aux cookies et autres traceurs . A défaut, le consentement devra être recueilli, conformément à l’article 82 de la loi du 6 janvier 1978 modifiée.
Par ailleurs, le projet d’article 2-I-6° bis du décret n° 2020-650 du 29 mai 2020 prévoit que pourront être collectées la date de la remontée de l'historique de proximité des contacts à risque de contamination par le virus du covid-19, la date de la dernière notification du statut contact à risque de contamination et, le cas échéant, la date d'apparition du premier symptôme et la date du prélèvement positif .
Tout d’abord, la Commission prend acte des précisions apportées par le ministère selon lesquelles de telles données ne seront utilisées que dans le cadre de la réalisation des analyses statistiques précédemment évoquées. A cet égard, elle recommande au ministère que le projet de décret soit explicité sur ce point.
La Commission relève que ces données, transmises au serveur central au moment de la remontée de l’historique de proximité des contacts à risque de contamination, ne sont pas liées aux identifiants des personnes effectivement contaminées, ce qui apparait une mesure de minimisation protectrice de la vie privée des personnes concernées.
Sur la collecte de nouvelles données pour la fonctionnalité de suivi des contacts via la technologie Bluetooth
Le projet de décret entend permettre la collecte de nouvelles données dans le cadre de la fonctionnalité de suivi des contacts via la technologie Bluetooth . Le projet d’article 2-I-7° du décret n° 2020-650 du 29 mai 2020 autorise le traitement de la date de dernier contact des utilisateurs à l’une des personnes diagnostiquées ou dépistées positives à la COVID-19 ou une approximation de cette dernière à plus ou moins un jour.
Selon le ministère, le traitement de cette donnée, inférée à partir des contacts remontés par l’application, à vocation à améliorer la précision des recommandations formulées à l’utilisateur notifié s’agissant, d’une part, de la période à respecter pour se faire dépister suite au dernier contact et, d’autre part, de la période durant laquelle ce dernier doit rester isolé. En effet, à ce jour, la date préconisée est celle de la notification qui reste dépendante du délai pris par le cas index pour se faire tester et se déclarer positif dans l’application. Dès lors, la Commission estime cette donnée pertinente au regard de la finalité du traitement.
Sur l’introduction d’un système de notifications push
La Commission relève que l’AIPD transmise mentionne que les dispositifs fonctionnant sous le système d’exploitation iOS ont désormais recours à un système de notifications push . En effet, le ministère indique que le bon fonctionnement de l’application sur ces appareils nécessite, en raison des limitations techniques imposées par Apple, qu’elle soit réactivée périodiquement, faute de quoi les interrogations régulières du serveur central pour vérifier le statut d’exposition au virus de l’utilisateur ne pourraient intervenir. Techniquement, ce système se traduit par l’envoi d’une notification qui implique l’envoi de données supplémentaires au serveur central ainsi qu’au serveur de notification d’Apple, et notamment un identifiant unique spécifique au terminal et à l’application. Dès lors, elle invite le ministère à compléter le projet de décret afin de mentionner, au titre des données traitées, les données techniques nécessaires à ces notifications push .
Par ailleurs, la Commission reconnaît l’intérêt de recourir à cette fonctionnalité, par ailleurs commune à la plupart des applications développées sur iOS (notamment pour avertir l’utilisateur d’une mise à jour), dans le cadre de la crise sanitaire, dès lors qu’elle permet de réveiller l’application aux fins d’interroger le serveur central. Elle attire néanmoins l’attention du ministère sur le fait que cette fonctionnalité pourrait entraîner des transferts de données vers les Etats-Unis nécessaires au bon fonctionnement technique de l’application. Elle invite le ministère à se rapprocher de la société Apple pour avoir confirmation que cette fonctionnalité n’implique pas de transfert ou pour essayer, le cas échéant et dans la mesure du possible, de les éviter. En tout état de cause, l’information des utilisateurs de l’application devra être clarifiée en conséquence.
Sur la durée de mise en œuvre de l’application
La Commission relève que la durée de mise en œuvre est cohérente avec celle prévue pour les traitements Contact Covid et SI-DEP , l’application n’ayant d’utilité qu’en lien avec le cadre plus général de conduite des enquêtes sanitaires.
Sur l’analyse d’impact sur la protection des données
La Commission appelle l’attention du ministère sur la nécessité de mettre régulièrement à jour l’analyse d’impact sur la protection des données (AIPD) avant de mettre en œuvre les évolutions successives de l’application.
Si la Commission prend acte de ce que le ministère a initié une démarche de gestion des risques incluant un volet vie privée, elle regrette que l’AIPD dédiée au dispositif relatif aux codes-QR codes mis à disposition dans certains lieux, en cours de réalisation, ne lui ai pas été transmise en appui de la saisine. La Commission demande que celle-ci lui soit transmise et rappelle en tout état de cause que les risques résiduels devront être ramenés à un niveau acceptable. Elle réitère enfin son appel à la transparence sur ce point et recommande que cette AIPD soit rendue publique.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-h ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 74 ;
Après avoir entendu M. Christian KERT, commissaire, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Conformément à l’article 8-I-2° h de la loi n° 78-17 modifiée, la Commission nationale de l’informatique et des libertés (ci-après, la CNIL ou la Commission) est compétente pour élaborer ou approuver les critères d’un référentiel de certification des compétences certification des personnes, des produits, des systèmes de données ou des procédures.
La présente délibération fixe les critères du référentiel de certification pour les prestataires de formation à la protection des données à caractère personnel.
Décide
De l’approbation des critères du référentiel annexé à la présente délibération en vue de la certification des prestataires de formation à la protection des données à caractère personnel.
La présente délibération et son annexe seront publiées au Journal officiel de la République française.
La Présidente
M.-L. Denis
RÉFÉRENTIEL DE CERTIFICATION DES PRESTATAIRES DE FORMATION À LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL 
(Décembre 2020)
I. À qui s
’
adresse ce référentiel ?
Ce référentiel constitue la liste des critères auxquels un prestataire de formation devra démontrer sa conformité en vue d’obtenir la certification de prestataire de formation à la protection des données à caractère personnel selon le référentiel de la CNIL.
II. Terminologie
			Terme
			Définition
			Apprenant (Bénéficiaire)
			Personne engagée dans un processus d'apprentissage (ISO 29993:2017 [1]).
			Aptitude
			Capacité d'appliquer un savoir et d'utiliser un savoir-faire pour réaliser des tâches et résoudre des problèmes (Guide RNQ [2]).
			Compétence
			Capacité avérée de mettre en œuvre des savoirs, des savoir-faire et des dispositions personnelles, sociales ou méthodologiques dans des situations de travail ou d'études/formations, pour le développement professionnel ou personnel (Guide RNQ).
			Objectifs de formation
			Enoncé des aptitudes et compétences, visées et évaluables, qui seront acquises au cours de la formation (Guide RNQ).
			Commanditaire de la formation
Organisation ou individu qui fait l'acquisition de services de formation pour le compte d'apprenants, qui leur assure un soutien financier ou autre, ou qui a un intérêt direct dans le résultat de l'apprentissage (ISO 29993:2017).
			Prestataire de services de formation (Prestataire)
			Organisme fournissant des services de formation en dehors du cadre de l'enseignement formel, incluant tous les collaborateurs impliqués dans la fourniture du service de formation (ISO 29993:2017).
			Service de formation (Formation/Prestation)
			Séquence d'activités conçue pour permettre l'apprentissage (ISO 29993:2017)
			Formateur
			Personne qui travaille avec les apprenants pour les aider dans leur apprentissage (ISO 29993:2017).
			Méthodes mobilisées
			Modalités pédagogiques et/ou moyens et/ou outils utilisés pour mener à bien la prestation dispensée (Guide RNQ).
			Modalités d'évaluation
			Moyens mobilisés pour mesurer à l'aide de critères objectifs les acquis du bénéficiaire en cours et/ou à la fin de la prestation (Guide RNQ).
			Concepteur du contenu des formations (Concepteur)
			Personne chargée par le prestataire de la conception et de l'adaptation du contenu de la formation et des méthodes mobilisées.
			Concepteurs des modalités d'évaluation (Concepteur)
			Personne chargée par le prestataire de la conception des modalités d'évaluation.
(1) ISO/IEC 29993 - Services de formation fournis en dehors du cadre de l'enseignement formel - Exigences de services.
(2) https://travail-emploi.gouv.fr/demarches-ressources-documentaires/documentation-et-publications-officielles/guides/guide-referentiel-national-qualite.
III. Critères du référentiel
1. Exigences générales
			C01. Le prestataire est en conformité avec les critères du référentiel national qualité mentionné à l'article L. 6316-3 du code du travail pour ses actions de formation concourant au développement des compétences.
			Lorsque le prestataire ne dispose pas d'une certification, selon le référentiel national qualité, en cours de validité pour ses actions de formation concourant au développement des compétences, le prestataire est en mesure de démontrer que chaque exigence de celui-ci est respectée pour les formations à la protection des données qu'il propose.
			C02. Lorsque le prestataire fait appel à la sous-traitance ou au portage salarial, il s'assure du respect des critères du présent référentiel par le sous-traitant ou le salarié porté, préalablement à la première prestation et ensuite, à des fréquences régulières établies par le prestataire.
			Note : cela n'implique pas une obligation de certification des sous-traitants.
			C03. Le prestataire définit, met en œuvre et maintient à jour des procédures permettant de démontrer le respect des règles relatives à la protection des données pour les traitements qu'il met en œuvre dans le cadre de son activité de formation à la protection des données à caractère personnel.