AgentPublic/cnil huggingface dataset:
Si elle prend acte qu’une information individuelle des personnes concernées est rendue particulièrement difficile dans la mesure où le ministère ne dispose pas toujours des coordonnées de celles-ci, la Commission prend acte qu’il est prévu qu’une information générale soit délivrée. En l’absence de précision sur son contenu, elle rappelle que cette information devra satisfaire aux exigences posées par le RGPD et demande, en tout état de cause, que le projet de décret soit complété sur ce point.
De manière générale, elle émet des réserves sur l’impossibilité de délivrer cette information, de manière individuelle, aux parties. En particulier, la Commission considère qu’une information individuelle pourrait, par exemple, être envisagée lors de la notification des décisions de justice qui leur est faite.
En second lieu, l’article 8 du projet de décret énonce les droits que les personnes concernées peuvent faire valoir auprès du service du Conseil d’Etat et de la Cour de cassation en charge de la mise à la disposition du public des décisions de justice (droits d’accès, de rectification et d’effacement).
A titre liminaire, la Commission regrette de ne pas avoir eu communication de la version définitive du projet de décret et, par conséquent, de ne pouvoir se prononcer que partiellement sur cette disposition qui, selon les précisions apportées par le ministère, est susceptible de faire l’objet de modifications rédactionnelles.
Dans ces conditions, elle ne peut que prendre acte des précisions selon lesquelles les modalités d’exercice de ces droits seront précisées dans les dispositions réglementaires qui porteront création des traitements effectivement mis en œuvre et rappeler que, sauf exception dûment justifiée au regard de la réglementation applicable qu’il reviendra le cas échéant à la Commission d’apprécier, le responsable de traitement doit garantir, par principe, l’effectivité de l’ensemble des droits des personnes concernées par les traitements mis en œuvre.
La Présidente
M-L. DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de la transition écologique et solidaire d’une demande d’avis concernant un projet d’arrêté fixant la liste des données mises à disposition des fournisseurs de gaz naturel qui en font la demande par les fournisseurs proposant des contrats aux tarifs réglementés de vente du gaz naturel;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés;
Vu la loi n° 2019-1147 du 8 novembre 2019 relative à l’énergie et au climat, notamment son article 63 ;
Vu le décret n° 2018-687 du 1er août 2018 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles;
Après avoir entendu Monsieur Eric PERES, commissaire, en son rapport, et Madame Nacima BELKACEM, commissaire du Gouvernement, en ses observations.
Emet l’avis suivant :
Le projet de texte dont est saisie la Commission est pris en application du IX de l'article 63 de la loi n° 2019-1147 du 8 novembre 2019 relative à l'énergie et au climat qui prévoit notamment que les fournisseurs proposant des contrats aux tarifs réglementés de vente (TRV) de gaz sont tenus d’accorder à toute entreprise disposant d’une autorisation de fourniture de gaz naturel qui en ferait la demande, l’accès aux données de contact et de consommation dont ils disposent concernant leurs clients qui bénéficient auprès d’eux desdits tarifs réglementés.
Le texte précise que la liste des informations mises à disposition par les fournisseurs assurant la fourniture de clients aux tarifs réglementés de vente du gaz naturel est fixée par arrêté conjoint des ministres chargés de l'énergie et de la consommation sur proposition de la Commission de régulation de l'énergie (CRE) et après avis de la Commission nationale de l'informatique et des libertés.
Un tel dispositif participe au basculement progressif des TRV de gaz vers l’offre de marché tel qu’introduit par l’article 63 de la loi précitée. En effet, le Conseil d’Etat a jugé le 19 juillet 2017, après avoir saisi la Cour de justice de l’Union européenne (CJUE) d’une question préjudicielle, que la réglementation des prix dans le cas du gaz ne poursuit aucun objectif d’intérêt économique général . En conséquence, les contrats aux TRV de gaz sont progressivement supprimés.
La liste des données mises à disposition par les fournisseurs assurant la fourniture de gaz naturel aux tarifs réglementés appelle les observations suivantes de la Commission.
Sur les finalités 
La Commission observe, à titre liminaire, que ni la loi n° 2019-1147 du 8 novembre 2019 relative à l'énergie et au climat, ni le projet d’arrêté soumis pour avis ne précisent les finalités exactes de l’accès aux données de contact et de consommation des clients qui bénéficient d’un contrat aux tarifs réglementés.
Elle relève que le projet d’arrêté a fait l’objet d’une délibération n° 2019-255 de la CRE, le 21 novembre 2019. A cette occasion, la CRE précise que le périmètre de la liste des données est en cohérence avec la pratique décisionnelle de l’Autorité de la concurrence, laquelle dans sa décision n° 14-MC-02 du 9 septembre 2014, a enjoint à GDF Suez (aujourd’hui ENGIE) de mettre à disposition des fournisseurs alternatifs, sous condition d’absence d’opposition des consommateurs concernés, certaines données de son fichier de clients résidentiels et professionnels aux TRV qu’il utilisait pour proposer des offres de marché. En conséquence, le périmètre de la liste de données proposé par la CRE est restreint à celles qui sont nécessaires pour la prospection commerciale et la construction d’offres de fourniture adaptées au profil du consommateur .
Il ressort de cette délibération que la mise à disposition de ces données a pour finalité de permettre aux entreprises destinataires, d’une part, d’établir des offres de marché adaptées aux clients qui bénéficient auprès des fournisseurs historiques d’un contrat aux TRV de gaz (consommateurs non domestiques, consommateurs domestiques, propriétaires uniques d’un immeuble à usage principal d’habitation et syndicats des copropriétaires d’un tel immeuble) et, d’autre part, de pouvoir démarcher commercialement ces clients. Afin d’encadrer la réutilisation des données par les entreprises destinataires et ainsi s’assurer du respect du principe de limitation des finalités posé à l’article 5(1)(b) du règlement général sur la protection des données (RGPD), la Commission invite le ministère à préciser ces finalités dans le projet de texte soumis pour avis.
Sur la nature des données mises à disposition des fournisseurs alternatifs et leur qualification au regard de la loi du 6 janvier 1978 modifiée 
La Commission rappelle qu’en application de l’article 4 du RGPD, les données relatives à des personnes physiques identifiées ou identifiables, qu’il s’agisse de particuliers ou de professionnels, constituent des données à caractère personnel, dont le traitement est soumis aux dispositions du Règlement. Une personne physique peut être identifiée directement (par exemple, par un nom et prénom) ou indirectement (par exemple, par un numéro de téléphone, une adresse postale ou courriel).
En revanche, le traitement de données relatives à des personnes morales, lorsque celles-ci ne sont pas rattachées à une personne physique, n’entre pas dans le champ d’application du RGPD.
En premier lieu, la Commission constate que le projet d’arrêté fixant la liste des données qui lui est soumis pour avis, concerne à la fois des personnes physiques et des personnes morales.
A cet égard, elle observe qu’au sein de la catégorie des propriétaires uniques d’un immeuble à usage principal d’habitation , il n’est pas exclu de pouvoir identifier des personnes physiques et qu’en conséquence cette catégorie est susceptible de contenir des données à caractère personnel (notamment les données de contact et l’adresse de facturation ou de consommation).
La Commission constate également qu’au sein de la catégorie des clients finals non domestiques, il n’est pas exclu de pouvoir identifier des personnes physiques exerçant à titre libéral (des avocats, des médecins, etc.) depuis leur domicile, sous une dénomination sociale composée de leur nom de famille, et qu’en conséquence cette catégorie est susceptible de contenir des données à caractère personnel (notamment les données de contact et adresse de facturation ou de consommation).
En second lieu, la Commission observe que l’ensemble des données listées dans le projet d’arrêté, notamment aux articles 3 et 4 concernant les clients finals se rattachant à la catégorie des propriétaires uniques d’un immeuble à usage principal d’habitation et les clients finals domestiques , sont des données à caractère personnel dès lors qu’elles se rattachent à une personne physique. En effet, si certaines de ces données techniques (telles que le tarif souscrit, la zone tarifaire, le type d’usage en gaz, le type de compteur, le point d’interface distribution transport, la consommation annuelle de référence, etc.), prises isolément, ne permettent pas d’identifier un client final, personne physique, leur association pourrait permettre d’individualiser ce dernier, de telle sorte qu’elles ne sauraient être considérées comme anonymes. De surcroît, le caractère personnel de ces données est mis en évidence par la finalité même de leur traitement, tel que défini par la CRE, à savoir la construction d’offres de fourniture adaptées au profil du consommateur , dans une optique de prospection commerciale ciblée.
Dès lors, afin de clarifier la nature de ces informations, la Commission relève qu’il serait utile de rappeler dans le projet d’arrêté que les données rendues accessibles revêtent un caractère personnel dès lors qu’elles se  rapportent à une personne physique identifiable directement ou indirectement et que celles-ci doivent dès lors être traitées dans le respect des conditions posées par le RGPD, notamment en termes d’information préalable des personnes concernées.
Sur la pertinence des données au regard des finalités poursuivies par le traitement
La Commission constate que les données listées aux articles 1er à 4 du projet d’arrêté tel que le numéro de téléphone fixe du titulaire du contrat de gaz, l’adresse de facturation du client final, la consommation annuelle de référence ou la zone tarifaire, sont principalement des données de contact et des données de consommation et de tarification.
Conformément aux dispositions de l’article 5(1) (c) du RGPD, la Commission estime que la liste de données communiquées apparaît adéquate, pertinente et limitée à ce qui est nécessaire au regard des finalités de prospection commerciale et de construction d’offres de fourniture adaptées au profil du consommateur évoquées par la CRE dans son projet de délibération précité.
La Présidente 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code du patrimoine, notamment ses articles L. 213-1 et L. 213-2 ;
Vu le code des relations entre le public et l’administration, notamment ses articles
L. 312-1-2 et D. 312-1-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi
n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2018-101 du 15 mars 2018 portant avis sur un projet de décret pris pour l’application de l’article 6 de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique ;
Vu la saisine du Président du conseil départemental de l’Aude du 23 juillet 2019 et les saisines rectificatives des 4 et 19 février 2020 ;
Vu la saisine de la Présidente du conseil départemental des Pyrénées-Orientales du 26 juillet 2019 et les saisines rectificatives des 31 janvier et 7 février 2020 ;
Après avoir entendu Mme Anne DEBET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Initialement saisie de deux demandes d’autorisations de publication en ligne anticipée de documents conservés par les services d’archives départementales de l’Aude et des Pyrénées-Orientales uniquement dans un contexte de commémoration de l’épisode historique dit de la Retirada , la Commission relève que la présente demande d’autorisation, transmise en application des dispositions du b) du 9° de l’article D. 312‑1-3 du code des relations entre le public et l’administration (CRPA), vise désormais à permettre la diffusion en ligne anticipée de documents administratifs conservés par ces deux services publics d’archives relatifs aux camps d’internement installés sur leurs territoires respectifs et ce, indépendamment du seul épisode historique de la Retirada .
En particulier, elle prend acte des précisions apportées par le conseil départemental des Pyrénées-Orientales qui a indiqué que la demande d’autorisation de diffusion en ligne anticipée adressée portait sur la mise en ligne anticipée de données figurant dans des documents relatifs aux camps d’Argelès-sur-Mer, Rivesaltes, Saint-Cyprien, Le Barcarès, Collioure et d’Arles-sur-Tech pour toute la période de la Seconde Guerre mondiale. La Commission relève également qu’il a été précisé que les documents concernés couvrent une période comprise entre février 1939 et novembre 1942.
De la même manière, elle relève que la demande adressée par le conseil départemental de l’Aude porte sur les données contenues dans des documents conservés par son service d’archives départementales concernant dans les camps de Bram, Couiza-Montazels et Montolieu. La Commission prend acte des précisions apportées par le département selon lequel ces camps n’ont accueilli que des réfugiés espagnols entre février 1939 et janvier 1941.
À titre liminaire, elle observe que la diffusion des documents envisagée par ces deux départements a reçu le soutien de plusieurs organismes tels que l’Amicale des anciens guérilleros espagnols en France – Forces françaises de l’intérieur Aude, l’Amicale mémorielle des chemins de l’exil républicain dans l’Aude (AMCERE11), l’association FFREEE (Filles et fils de républicains espagnols enfants de l’exode) ou encore le Mémorial du camp de Rivesaltes et par la ville d’Argelès-sur-Mer.
Ces éléments de contexte rappelés, la Commission entend, au regard des éléments portés à sa connaissance notamment par le biais de plusieurs consultations réalisées, formuler les observations et recommandations suivantes afin de délimiter le périmètre de l’autorisation délivrée. Elle rappelle en effet qu’il importe de concilier l’intérêt que revêt la diffusion anticipée – pour le public – des documents précités avec la protection des données à caractère personnel des personnes concernées et, le cas échéant, de la vie privée de leurs ayants droit ou proches survivants.
Sur la nature des données concernées et les droits des personnes
De manière générale, la Commission relève tout d’abord que les documents dont la diffusion est envisagée sont susceptibles de contenir de nombreuses données à caractère personnel, de natures variées, en raison de la diversité de leurs modalités de leur collecte auprès des personnes concernées.
Ces documents sont ainsi susceptibles de comporter des données sensibles au sens de l’article 9 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 susvisé (RGPD) et de l'article 6 de la loi du 6 janvier 1978 modifiée, ainsi que des données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes, au sens de l’article 10 du RGPD et de l’article 46 de la loi du 6 janvier 1978 modifiée, relatives aux personnes internées dans les camps visés par la présente autorisation et sur les périodes couvertes.
Si la Commission n’entend pas remettre en cause l’intérêt public que représente l’accès à ces documents, elle rappelle qu’il appartiendra à chaque responsable de traitement ultérieur de s’assurer de sa conformité à la réglementation applicable et, en particulier, de sa possibilité de traiter de telles catégories de données, conformément à l’article 9 du RGPD et aux articles 44 et 46 de la loi du 6 janvier 1978 modifiée.
La Commission estime également que la diffusion des documents demandés devra faire l’objet d’une vigilance particulière, notamment afin de s’assurer qu’aucune donnée relative à l’état de santé des personnes concernées ne soit diffusée. À cet égard, elle prend acte des éléments communiqués par les conseils départementaux de l’Aude et des Pyrénées-Orientales selon lesquels l’ensemble des documents dont la diffusion est envisagée est déjà librement consultable en salle de lecture ou communicable sur demande conformément aux dispositions des articles L. 213-2 du code du patrimoine et L. 311-9 du CRPA et que, par voie de conséquence, ces documents ne devraient donc pas comporter de données relatives à l’état de santé des personnes concernées.
La Commission rappelle toutefois que, dans l’hypothèse où les documents contiendraient de telles données, ils ne seraient librement communicables qu’à l’expiration d’un délai de vingt-cinq ans à compter de la date du décès de l'intéressé ou de cent-vingt ans à compter de la date de naissance de la personne en cause si la date du décès n’est pas connue, conformément aux dispositions de l’article L. 213-2 du code du patrimoine, et ne devront donc pas faire l’objet d’une diffusion anticipée au titre de la présente autorisation.
Au regard des impacts éventuels sur la vie privée des personnes concernées, de leurs proches ou ayants droit de la diffusion demandée, la Commission invite également les départements concernés à mettre à la disposition du public une information délivrée en des termes pédagogiques visant notamment à expliquer le contexte de production initiale des documents dont la diffusion a été autorisée, la valeur à attribuer aux données qu’ils contiennent, tout particulièrement en présence de données sensibles, ainsi que le cadre juridique dans lequel s’inscrit une telle diffusion anticipée.
La Commission rappelle par ailleurs que si, par principe, les dispositions de la réglementation relative à la protection des données n’ont pas vocation à s’appliquer aux personnes décédées auxquelles les documents diffusés se rapporteraient, il y a lieu de faire application de ces dispositions lorsque le traitement des données de personnes décédées est susceptible d’avoir des conséquences sur la vie privée de leurs ayants droits ou proches.
Elle considère à cet égard qu’il n’est notamment pas possible d’exclure que ces proches ou ayants droit souhaitent compléter l’histoire de la personne concernée ou du document dont la diffusion est autorisée ou qu’ils souhaitent s’opposer à la diffusion des données de nature à porter atteinte à leur vie privée. Dans ces conditions, la Commission estime indispensable que ces derniers puissent exercer leurs droits dans les conditions prévues par la réglementation applicable et que, dans l’hypothèse où les départements concernés entendraient mobiliser des dérogations éventuelles, celles-ci soient précisément justifiées et s’inscrivent strictement dans le cadre prévu par le RGPD et la loi du 6 janvier 1978 modifiée.
Elle rappelle à cet égard que les modalités d’exercice de ces droits devront être portées à la connaissance des personnes concernées dans des conditions de nature à garantir leur effectivité.
Sur les mesures recommandées pour la diffusion anticipée des documents
La Commission rappelle qu’elle s’est prononcée, à plusieurs reprises, sur les garanties à mettre en œuvre afin d’accompagner les modalités de diffusion et de réutilisation des données à caractère personnel et, en particulier, dans le cadre de la délibération n° 2018-101 du 15 mars 2018 susvisée. Elle rappelle qu’il s’agit en effet de matérialiser l’équilibre à organiser entre les exigences d’une mémoire collective, l’accès à l’information qui doit s’inscrire dans un contexte de transparence ainsi que la sensibilité, le cas échéant, d’une mémoire familiale qui peut être ravivée par certaines des informations contenues dans les documents diffusés.
La Commission estime à cet égard que dans la mesure où la diffusion anticipée des documents demandés est susceptible d’exposer les personnes concernées encore en vie, leurs proches ou leurs ayants droit à un risque potentiel d’atteinte à leur vie privée et à la protection des données à caractère personnel, des garanties doivent être prévues dans le cadre de la diffusion envisagée.
En particulier, la Commission invite les responsables de traitements à accompagner les documents d’une information rappelant que leur diffusion anticipée a fait l’objet d’une autorisation préalable et que toute réutilisation de ces données est soumise au respect du cadre juridique en vigueur sur la protection des données à caractère personnel.
Au-delà de cette recommandation générale préalable et dans la mesure où les documents sur lesquels porte la présente autorisation sont susceptibles de comporter des données sensibles ou relatives aux condamnations pénales et aux infractions, elle recommande également le déploiement d’un système permettant d’empêcher toute aspiration automatique de données par des programmes informatisés (tel qu’un système de captcha non intrusif).
La Commission préconise par ailleurs de mettre en place des mesures empêchant l’indexation, sur des moteurs de recherche externes, des données directement identifiantes. Ces mesures peuvent consister en l’utilisation de règles d’indexation à destination des moteurs de recherche correctement définies (tel qu’un fichier robots.txt ).
Elle recommande en outre de configurer les systèmes de recherche sur le site de consultation, de façon à limiter leur caractère potentiellement intrusif, par exemple en ne permettant pas de faire des recherches en plein texte ou d’effectuer des requêtes touchant à des données définies aux articles 9 et 10 du RGPD, en ne soumettant pas à l’internaute des suggestions des termes les plus fréquemment recherchés ou encore en exigeant de renseigner dans le moteur de recherche au minimum deux données : un nom et un prénom ou une date ou un lieu de naissance ou de provenance
En tout état de cause et sans préjudice de ce qui précède, la Commission rappelle qu’il appartient au responsable de traitement assurant la diffusion anticipée d’apprécier, au regard des conditions prévues à l’article 35 du RGPD, la nécessité d’effectuer une analyse d’impact relative à la protection des données personnelles et de prendre des mesures adéquates pour faire face aux risques que le traitement est susceptible d’engendrer pour les droits et libertés des personnes concernées.
Autorise, conformément à la présente délibération, les départements de l’Aude et des Pyrénées-Orientales, à diffuser de manière anticipée les données à caractère personnel relatives à des personnes internées dans les camps établis sur leurs territoires respectifs contenues dans des documents administratifs conservés par leurs services d’archives.
La Présidente
Marie-Laure DENIS