AgentPublic/cnil huggingface dataset:
Sans remettre en cause la légitimité de cette nouvelle finalité, la Commission estime que le traitement conserve sa finalité principale de suivi des personnes faisant l'objet de soins psychiatriques sans consentement et qu’à cet égard, la prévention des risques liés à la radicalisation des personnes atteintes de troubles mentaux ne constitue qu’une finalité secondaire. L’interconnexion projetée avec le FSPRT n’a pas pour effet de modifier les caractéristiques principales poursuivies par les traitements HOPSYWEB, dont l’objectif général est d’homogénéiser et de sécuriser les pratiques en matière d’hospitalisation sans consentement.
Par suite, l’ajout de la nouvelle finalité et l’interconnexion envisagée n’ont pas pour effet d’attraire les traitements HOPSYWEB dans le champ des traitements intéressant la sûreté de l’Etat ou la défense au sens des dispositions de l’article 26-I-2° de la loi du 6 janvier 1978 modifiée. Les traitements HOPSYWEB n’entrent pas davantage dans le champ d’application de la directive 2016/680 du 27 avril susvisée.
Compte tenu de ce qui précède, la Commission estime que les conditions de mise en œuvre de ces traitements doivent être examinées au regard des dispositions du RGPD précité. Elle rappelle que, conformément à l’article 9-4 du RGPD, des dispositions spécifiques ont été adoptées en droit national s’agissant des traitements portant sur des données de santé. Dans ces conditions, la Commission rappelle qu’il y a également lieu de faire application des dispositions de la loi du 6 janvier 1978.
Sur l’interconnexion des traitements HOPSYWEB avec le FSPRT :
La Commission relève que l’ajout de la nouvelle finalité de prévention des risques liés à la radicalisation des personnes atteintes de troubles mentaux implique que les traitements HOPSYWEB soient interconnectés avec le FSPRT. A ce titre, l’article 2 du projet de décret prévoit qu’aux fins d’information du préfet de département et, à Paris, du préfet de police, pour la prévention de la radicalisation,  les données d’identification (des traitements HOPSYWEB) visées aux 1° de l’article 2 (nom, prénoms, domicile, sexe, date et lieu de naissance) peuvent faire l’objet d’une mise en relation avec les données d’identification enregistrées dans le traitement automatisé de données à caractère personnel dénommé FSPRT .
La Commission prend acte qu’un croisement entre les données enregistrées dans les deux traitements est réalisé, a minima toutes les 24 heures. Les traitements FSPRT et HOPSYWEB sont également interrogés, dès lors qu’un nouvel individu est enregistré dans l’un de ces deux traitements.
 La Commission prend également acte des précisions apportées selon lesquelles le croisement des données s’effectuera uniquement à partir du nom, du prénom et de la date de naissance de la personne concernée. Elle demande à ce que le projet de décret soit modifié en ce sens. Elle relève par ailleurs que cette interconnexion ne portera que sur un nombre strictement limité de données, faisant l’objet d’une phonétisation et d’un hachage, et uniquement relatives au nom, prénom et date de naissance de la personne concernée.
Dans l’hypothèse d’une concordance, c’est-à-dire si la personne est connue du FSPRT et d’HOPSYWEB, le préfet du département d'hospitalisation peut dès lors procéder à des démarches auprès de l’ARS pour obtenir des informations complémentaires et s’assurer de l’identité de la personne concernée dans le cadre d’une procédure de levée de doute. A cet égard, la Commission prend acte de ce que ces échanges intervenant dans ce cadre se limitent à ce qui est strictement prévu par les dispositions du code de la santé publique et du code de procédure pénale, c’est-à-dire, en pratique, aux dates de début et de fin de mesure, au type de mesure prononcée et, le cas échéant, au lieu d’hospitalisation. Par ailleurs, elle relève que les préfets seront informés qu’ils ne doivent pas, dans le cadre de cette levée de doute, divulguer le fait que la personne concernée est enregistrée dans le FSPRT. 
Le ministère a, par ailleurs, indiqué que les informations communiquées dans le cadre de la levée de doute, le seront via les canaux de transmission habituels, soit par exemple par téléphone. Il a précisé à cet égard que les agents de l’ARS susceptibles de répondre à de telles demandes sont sensibilisés au caractère confidentiel des informations transmises.
Enfin, il a été précisé que l’ARS est l’interlocuteur privilégié du préfet dans le cadre de la CPRAF (cellule pour la prévention de la radicalisation et l’accompagnement des familles), au sein de laquelle un référent identifié de l’ARS intervient et peut déjà avoir connaissance des cas de radicalisation.
Si la Commission ne remet pas en cause la nécessité pour les préfets de département de vérifier l’identité et de recueillir des informations complémentaires relatives aux personnes ainsi visées par l’intermédiaire des ARS, elle estime qu’au regard du caractère particulièrement sensible de l’information dont il est question (inscription ou non au FSPRT), les modalités d’échanges des informations précitées avec l’ARS, dans le cadre de la procédure de levée de doute, ne sont pas suffisamment encadrées.
Au regard de ces éléments, la Commission s’interroge sur les conditions dans lesquelles les levées de doute sont amenées à s’opérer. Elle considère que seul le référent identifié au sein de chaque ARS, intervenant dans les CPRAF, devrait procéder à la vérification de l’identité de la personne et communiquer des informations complémentaires, sur sollicitation du préfet de département, et à Paris, du préfet de police. Elle estime qu’une telle mesure serait en effet de nature à limiter les risques conduisant à la connaissance par les agents des ARS du fait qu’une personne est enregistrée dans le FSPRT à l’occasion de la sollicitation du préfet de département, et à Paris, du préfet de police.
La Commission souligne que la modification envisagée est, en elle-même, sans incidence sur la gestion des mesures de soins sans consentement et sur la finalité première d’HOPSYWEB. En cas de concordance, seul le préfet du département du lieu d’hospitalisation ou les agents qu’il désigne seront informés de ladite concordance via un mail généré par le FSPRT. Par ailleurs, la Commission relève que les préfets et les agents dûment désignés et habilités par ce dernier ne disposeront pas d’un accès à HOPSYWEB et que les accédants et destinataires des traitements HOPSYWEB ne pourront pas accéder au FSPRT.
Sur les destinataires des données :
Le projet de décret prévoit que sont destinataires des données d’identification des personnes concernées par une mesure d’hospitalisation sans consentement et des informations complémentaires le préfet de département et, à Paris, le préfet de police du lieu d’hospitalisation.
La Commission prend acte des précisions apportées par le ministère selon lesquelles, dans le cadre de la procédure de levée de doute, le préfet de département du lieu d’hospitalisation peut ensuite prendre contact, le cas échéant, avec le préfet de département en charge du suivi de la personne radicalisée ou du service chargé de ce suivi. A ce titre il a également été précisé que le préfet compétent en charge du suivi de la personne radicalisée peut également lancer une évaluation plus poussée de l’individu dans le cadre du groupe d’évaluation départementale (GED) ou de la CPRAF ou encore renseigner le FSPRT.
Compte tenu de ces éléments, la Commission estime qu’en pratique il est possible de considérer que tant le préfet en charge du suivi de la personne radicalisée, que les membres du GED et de la CPRAF, ou encore les personnes accédant au FSPRT seront destinataires de l’information selon laquelle une personne déterminée fait l’objet d’une mesure d’hospitalisation sans consentement. Or, la Commission souligne que le présent projet de décret, en ce qu’il permet l’accès de ces personnes, qui n’interviennent pas dans la mise en place de la mesure d’hospitalisation sans consentement, à l’information selon laquelle un individu fait effectivement l’objet d’une telle mesure et à des informations complémentaires en cas de mise en œuvre de la procédure de levée de doute (dates de début et de fin des mesures, type de mesure prononcée, le cas échéant lieu d’hospitalisation), pose question au regard des exigences de secret professionnel en la matière.
La Commission rappelle qu’en vertu de l’article L. 1110-4 du code de la santé publique, les informations recueillies par un établissement de santé, à l’occasion d’un acte de prévention, de diagnostic ou de soins sont protégées par le secret professionnel, excepté dans les cas de dérogation prévus par la loi. De la même manière, elle observe que le principe selon lequel seule une dérogation légale à la règle du secret professionnel autorise un professionnel à accéder aux données couvertes par le secret médical, est également rappelé au titre des instructions des mois de janvier et décembre 2016 susvisées.
Or, les informations relatives aux mesures de soins sans consentement dont a fait l’objet une personne, en particulier les informations complémentaires susceptibles d’être transmises dans le cadre de la procédure de levée de doute, sont susceptibles de relever du secret professionnel prévu à l’article L. 1110-4 du code de la santé publique. Au demeurant, la Commission rappelle que l’information concernant la mise en place d’une mesure d’hospitalisation sans consentement à l’égard d’une personne déterminée constitue une donnée de santé conformément aux dispositions de l’article 4-15) du RGPD, précisément en ce qu’elle peut révéler la nature de l’affection (troubles mentaux) et fournir, par elle-même, des éléments permettant d’en caractériser la gravité.
Ces éléments rappelés, la Commission est réservée sur la possibilité, pour le présent projet de décret, d’introduire une dérogation au secret professionnel qui permettrait, en particulier aux agents accédant au FSPRT, d’être destinataires d’informations couvertes par le secret médical.
Sur les droits des personnes :
La Commission relève qu’il n’est pas prévu d’informer spécifiquement les personnes concernées, à savoir les personnes faisant l’objet d’une mesure d’hospitalisation sans consentement, de la nouvelle finalité qui serait poursuivie par les traitements HOPSYWEB.
Or, la Commission rappelle qu’une telle information est exigée au regard des dispositions des articles 12, 13 et 14 du RGPD.
Indépendamment de ce qui précède, la Commission estime que, compte tenu de l’évolution du cadre juridique applicable à la protection des données à caractère personnel, il revient au ministère de s’assurer que l’information délivrée actuellement par les ARS répond aux exigences des dispositions précitées. A ce titre et compte tenu des enjeux liés à la mise en relation des traitements HOPSYWEB et du FSPRT, elle considère qu’une information spécifique, quant à la nouvelle finalité poursuivie, devrait être délivrée.
Par ailleurs, la Commission relève que le projet de décret ne prévoit aucune disposition sur le droit à l’effacement des informations contenues dans HOPSYWEB, en particulier lorsqu’une mesure de soins sans consentement est ensuite déclarée irrégulière par le juge des libertés et de la détention. De la même manière, la Commission constate que le projet de décret ne précise pas les modalités selon lesquelles l’ARS concernée devra notifier l’effacement des données au préfet de département du lieu d’hospitalisation conformément aux dispositions de l’article 19 du RGPD. 
Si la Commission prend acte que les modalités d’exercice des autres droits demeurent inchangées, elle invite néanmoins le ministère à s’assurer de la complétude des droits mentionnés afin de prendre en compte les apports opérés par le RGPD. En particulier, la Commission estime que le projet de décret devrait être complété s’agissant de la mise en œuvre du droit à la limitation des personnes concernées. De la même manière, elle considère que le projet de décret devrait être modifié s’agissant en particulier des dispositions applicables au droit d’opposition et des raisons conduisant, en l’espèce, à l’écarter dans la mesure où il y a lieu de faire application des dispositions du règlement (UE) 2016/679 susvisé.
 
Sur la sécurité des données :
A titre liminaire, la Commission relève que les traitements HOPSYWEB étant susceptibles d’engendrer des risques élevés pour les personnes concernées au sens de l’article 35 du RGPD, une analyse d’impact a été transmise par le ministère. Elle souligne toutefois que l’absence d’information précise sur l’architecture et les mesures retenues ne permettent pas d’évaluer la conformité du dispositif à l’exigence de sécurité prévue par les articles 5-1-f) et 32 du RGPD.
De manière générale, elle rappelle que la nature des données traitées au sein des traitements HOPSYWEB requiert que des mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité tant au niveau des bases de données que des sauvegardes soient mises en œuvre.
La journalisation des consultations, ajouts, modifications, suppressions dans les traitements HOPSYWEB, jusqu’à présent conservée 15 jours, sera conservée un an. La Commission recommande, s'agissant des données de santé, que les traces soient conservées dans les dossiers des patients et pour une durée égale à la durée de conservation de ces dossiers. Elle recommande également que l’administrateur, qui est en mesure de consulter les traces des accès, n’accède pas aux données de santé.
Les échanges entre les deux systèmes HOPSYWEB et FSPRT sont effectués via le protocole HTTPS. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible et d’utiliser des algorithmes et des procédures de gestion de clés conformes à l'annexe B1 du référentiel général de sécurité. De plus, un mécanisme d’authentification mutuelle des serveurs devrait être mis en place.
La méthode de vérification de concordance entre les deux bases met en œuvre un mécanisme cryptographique à clé. La Commission rappelle la nécessité de respecter les recommandations de l’Agence nationale de la sécurité des systèmes d’information en la matière et appelle le ministère à la vigilance quant aux moyens mis en œuvre pour la gestion des clés.
La sensibilité de l’information calculée sur chaque service web HOPSYWEB dans le cas d’un ajout dans FSPRT requiert qu’une analyse de sécurité du dispositif soit effectuée, incluant notamment des tests d’intrusion et un audit de code. La Commission recommande que la ou les personnes responsables de l’administration de ces services suivent une formation spécifique sur l’impact potentiel de ce service sur les personnes concernées. Enfin, un mécanisme de journalisation de toute action d’administration sur ce système devrait être mis en œuvre de telle manière à ce que ces traces ne soient pas accessibles aux administrateurs susmentionnés.
La Commission prend acte de l’engagement du ministère selon lequel aucune trace des calculs de vérifications ne figurera sur le système. Elle en déduit que seules des traces de connections entre les serveurs ne seront conservées. Dans ce contexte, et dès lors qu’une nouvelle connexion entre les webservices est effectuée à chaque nouvelle entrée dans le FSPRT, la Commission relève que le ministère accepte le risque résiduel consistant à pouvoir déduire des traces techniques de n’importe lequel des systèmes HOPSYWEB qu’une ligne a été ajoutée dans le FSPRT, sans savoir laquelle.
Dans le cadre de la procédure de levée de doute, la Commission souligne la nécessité de mettre en œuvre un processus permettant l’authentification de l’appelant et du répondant avant d’échanger sur toute demande. De plus, le risque que la personne habilitée à répondre à cette levée de doute à l’ARS déduise les raisons de l’appel n’étant pas négligeable, des mesures permettant d’en limiter la gravité devraient être mises en place, par exemple en l’informant des haut taux de faux positifs et en choisissant un interlocuteur habilité, par ailleurs, à manipuler des informations de ce type.
La Commission rappelle en outre que l’exigence de sécurité prévue par les articles
5-1-f) et 32 du RGPD nécessite la mise à jour de l’analyse d’impact relative à la protection des données et de ses mesures de sécurité au regard de la réévaluation régulière des risques. A ce titre, elle souligne que l’ouverture du FSPRT à tous les webservices HOPSYWEB mis en œuvre par chacune des ARS a pour effet d’augmenter la surface d’attaque potentielle et nécessite qu’une attention particulière soit portée au choix des mesures de sécurité effectué.
 
 
La Présidente
 
 
 
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet d’arrêté modifiant l’arrêté du 2 mai 2011 relatif aux traitements automatisés de données à caractère personnel dénommé fichiers des résidents des zones de sécurité créés à l’occasion d’un évènement majeur ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l’égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-219 du 21 mars 2019 portant application de l’article L. 211-11-1 du code de la sécurité intérieure au sommet du G7 de Biarritz ;
Vu l’arrêté du 2 mai 2011 relatif aux traitements automatisés de données à caractère personnel dénommés fichier des résidents des zones de sécurité créés à l’occasion d’un événement majeur ;
Vu la délibération n° 2011-106 du 28 avril 2011 portant avis sur un projet d’arrêté du ministère de l’intérieur, de l’outre-mer, des collectivités locales et de l’immigration autorisant la mise en œuvre de traitements de données à caractère personnel dénommées fichiers des résidents des zones de sécurité instaurés à l’occasion d’événements majeurs ;
Après avoir entendu Mme Sophie LAMBREMON, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
 
Émet l’avis suivant :
1.La Commission a été saisie pour avis par le ministre de l’intérieur d’un projet d’arrêté modifiant l’arrêté du 2 mai 2011 relatif aux traitements automatisés de données à caractère personnel dénommés fichiers des résidents des zones de sécurités créés à l’occasion d’un évènement majeur. Elle souligne que la présente saisine s’inscrit dans la perspective plus particulière de la tenue du G7 à Biarritz en août 2019, constitutif d’un grand évènement aux termes du décret n° 2019-219 du 21 mars 2019 susvisé.
2.Les traitements pouvant être mis en œuvre conformément à l’arrêté du 2 mai précité ont pour finalité la gestion des titres permettant l’accès des personnes ou des véhicules aux zones à l’intérieur desquelles sont apportées des restrictions à la libre circulation et à l’exercice de certaines activités, afin de prévenir les troubles à l’ordre public et garantir la sécurité d’un événement majeur .
3.Les zones de sécurité définies à l’occasion d’événements majeurs délimitent un périmètre dont l’accès est contrôlé par les forces de police et de gendarmerie nationales, afin d’interdire notamment aux éventuels manifestants violents de se rapprocher du lieu du sommet et de perturber le déroulement de l’événement. Ces zones sont définies par arrêté préfectoral et seules y ont accès les personnes physiques : y ayant leur domicile, y exerçant une activité professionnelle, ou ayant un motif légitime pour s’y rendre (p. ex. un médecin, des soins à domicile). Les fichiers des résidents des zones de sécurité doivent ainsi permettre la fabrication, par un prestataire conventionné, de titres d’accès (cartes individuelles personnelles pour les personnes physiques ou macarons pour les véhicules). Pendant le déroulement de l’événement en question, ces fichiers sont utilisés aux fins de contrôler les accès des personnes physiques aux zones sécurisées.
4.La Commission relève que le ministère entend modifier l’arrêté du 2 mai 2011 précité afin de prévoir la collecte de nouvelles catégories de données. Elle rappelle à cet égard qu’elle s’est prononcée sur la mise en œuvre de ce dispositif dans sa délibération du 28 avril 2011 susvisée et relève que les caractéristiques générales du dispositif sont pour la plupart inchangées.
5.Outre la modification précitée, la Commission relève que le ministère entend également prévoir de nouvelles modalités de remise des badges aux résidents des zones visées. Les titres pourront ainsi être adressés par voie postale à une adresse différente de celle du lieu de résidence de la personne dans la zone visée par l’événement. Elle prend acte que les plis seront remis sur présentation d’une pièce d’identité par la personne concernée et que, de ce fait, une autre adresse postale que celle se trouvant dans la zone concernée par l’évènement majeur, pourra faire l’objet d’une collecte dans le traitement.
6.Dans la mesure où le traitement a pour finalité la protection de la sécurité publique ainsi que la prévention des troubles à l’ordre public, celui-ci doit dès lors faire l’objet d’un arrêté, pris après avis motivé et publié de la Commission. L’arrêté examiné constitue un acte réglementaire unique, en référence duquel des engagements de conformité seront adressés à la Commission préalablement à chaque mise en œuvre d’un fichier de résidents d’une zone de sécurité, conformément aux dispositions de l’article 26-IV de la loi du 6 janvier 1978 modifiée. Enfin, compte-tenu de l’évolution du cadre juridique relatif à la protection des données à caractère personnel résultant notamment de la prise en compte des dispositions de la directive (UE) 2016/680 du 27 avril 2016 susvisée, la Commission considère que le projet d’arrêté qui lui est soumis doit faire l’objet d’un examen au regard de ces dispositions, et plus particulièrement des articles 70-1 et suivants de la loi du 6 janvier 1978 modifiée.
7.Le projet appelle de la part de la Commission les observations suivantes.
Sur les données collectées
8.A titre liminaire, la Commission rappelle que le ministère a précisé que toutes les données seront collectées directement auprès des personnes concernées sur la base du volontariat, à l’exception des personnes se déclarant mineures ou incapables majeures, qui ne disposent pas de la capacité juridique pour renseigner eux-mêmes le formulaire. Aucun autre fichier ne sera consulté pour l’alimentation du traitement, les fichiers des résidents des zones de sécurité ne permettant aucun rapprochement avec d’autres traitements automatisés de données à caractère personnel.
9.Ces éléments rappelés, la Commission relève que l’article 2 de l’arrêté du 2 mai 2011 susvisé prévoit la collecte des données à caractère personnel suivantes : le nom, le prénom, la date et le lieu de naissance ; l’adresse postale et électronique, les coordonnées téléphoniques ; le numéro de la carte nationale d’identité, du permis de conduire, du passeport ou du titre de séjour (au choix du déclarant) ; la date et l’heure d’entrée et de sortie de la zone sécurisée, ainsi que le motif de l’accès à la zone sécurisée. Elle rappelle par ailleurs que les informations qui seront mentionnées et visibles sur les titres d’accès sont : le nom, le prénom, le numéro de la pièce d’identité, le numéro d’ordre du titre d’accès, le numéro de la zone et le sigle (par exemple : G7 ).