AgentPublic/cnil huggingface dataset:
le candidat met en place des mécanismes de chiffrement des sauvegardes permettant d’assurer la confidentialité et l’intégrité des données. La documentation semble indiquer que la gestion des clés de chiffrement est confiée au client, mais ce report n’est pas effectué contractuellement. Le devoir de conseil de l’hébergeur ne semble pas rempli à cet égard ;
l’emplacement d’hébergement des sauvegardes n’est pas mentionné de façon explicite au sein du dossier. Le candidat indique uniquement que les sauvegardes sont localisées au sein des centres de données Microsoft ;
une cellule de crise est présente au sein des équipes Microsoft. Celle-ci travaille de pair avec une cellule de crise au sein du candidat. Cependant les activités et les missions de ce dernier comité ne sont pas présentées.
 
La procédure de traçabilité est conforme aux critères exigés par la Commission.
 
Les droits des personnes concernées sont respectés conformément aux exigences de la Commission, sous les réserves suivantes :
 
le candidat doit prendre en compte dans l’ensemble des documents contractuels, la nouvelle rédaction de l’article L. 1111-8 du code de la santé publique, modifié par la loi n° 2016-041 du 26 janvier 2016 de modernisation de notre système de santé, qui a remplacé le recueil du consentement exprès de la personne concernée pour l’hébergement de ses données de santé par une information assortie d’un droit d’opposition.
le candidat doit annexer au contrat un modèle de note d’information conforme aux articles 13 et 14 du règlement général sur la protection des données et mentionnant les modalités d’exercice des droits de la personne concernée.
 
 
Le personnel concerné n’est pas formé conformément aux exigences de la Commission :
des formations suivies par le personnel de Microsoft sont présentées mais celles-ci ne mentionnent pas le caractère spécifique des données de santé ;
le candidat reporte sur son client la responsabilité de mettre en place des formations adaptés pour ses utilisateurs mais ne semble pas proposer de devoir de conseil à cet égard.
 
Avis de la Commission :  Défavorable
Pour la Présidente 
La Vice-Présidente déléguée 
Sophie LAMBREMON
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil national de l’Ordre des infirmiers d’une demande d’avis sur un projet de règlement électoral fixant les modalités de vote électronique au sein de l’Ordre national des infirmiers ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données ou RGPD ) ;
Vu le code de la santé publique, notamment son article L. 4312-14 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-108 du 13 avril 2017 portant avis sur un projet de règlement électoral fixant les modalités de vote électronique au sein de l’ordre national des infirmiers ;
Vu la délibération n° 2019-053 du 25 avril 2019 portant adoption d'une recommandation relative à la sécurité des systèmes de vote par correspondance électronique, notamment via Internet, et son rectificatif ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
1. Le Conseil national de l’Ordre des infirmiers a saisi la Commission, sur le fondement de l’article L. 4312-14 du code de la santé publique (CSP), d’une demande d’avis concernant un projet de règlement électoral fixant les modalités de vote électronique au sein de l’Ordre national des infirmiers.
2. Cet article prévoit en effet que les modalités d’élections par voie électronique sont fixées après avis de la CNIL. Le présent projet d’acte règlementaire vise à fixer les modalités des élections aux conseils et aux chambres disciplinaires de l’Ordre des infirmiers.
3. Compte tenu des risques spécifiques que ces traitements de données à caractère personnel peuvent présenter pour les personnes, comme la divulgation de leurs opinions politiques ou syndicales, lesquelles bénéficient d’une protection particulière en application de l’article 9 du Règlement général sur la protection des données (RGPD), la Commission porte une attention toute particulière aux mesures de sécurité mises en œuvre à l’aune de ses recommandations formulées dans la délibération n° 2019-053 du 25 avril 2019 portant adoption d'une recommandation relative à la sécurité des systèmes de vote par correspondance électronique, notamment via Internet (ainsi que son rectificatif).
4. Elle rappelle au Conseil national de l’Ordre des infirmiers la nécessité de s’assurer que des mesures de sécurité adéquates sont mises en œuvre de manière effective par l’ensemble des acteurs prenant part à la mise en œuvre du dispositif de vote. Il s’agit tout particulièrement de respecter la confidentialité de l’expression du vote et la sincérité du scrutin.
Sur le niveau de risque du scrutin
5. La recommandation du 25 avril 2019 susvisée identifie trois niveaux de risque en fonction de leur importance.
6. Au regard des caractéristiques du scrutin qui concerne un ordre professionnel, implique un nombre important d’électeurs et présente un enjeu élevé pour les personnes, dans un contexte qui semble toutefois dépourvu de conflictualité particulière, la Commission relève un niveau de risque de niveau 2.
7. Elle recommande par conséquent que le dispositif de vote électronique remplisse les objectifs de sécurité correspondant à ce niveau de risque tels que fixés dans la recommandation.
Sur les données traitées
8. L’articl 15 du projet de règlement détermine les conditions de transmission du fichier des électeurs et du fichier des candidats au prestataire de vote.
9. S’il est indiqué que le fichier des électeurs comporte les noms et adresses électronique et postale des électeurs ainsi que le collège électoral dans lesquels ils doivent voter , les données du fichier des candidats transmises au gestionnaire du système de vote électronique ne sont pas précisées dans le projet.
10. La Commission relève néanmoins à l’article 8 que la déclaration de candidature comprend le nom et le prénom, la date de naissance, l’adresse professionnelle, le ou les titres permettant l’exercice de la profession, le mode d’exercice, la qualification professionnelle et, le cas échéant, les fonctions ordinales ou dans les organismes professionnels, actuelles ou passées .
11. La Commission recommande de préciser quelles données personnelles contenues dans le fichier des candidats seront transmises au prestataire du vote électronique. Elle rappelle à cet égard que conformément au principe de minimisation prévu à l’article 5.1.c) du RGPD, seules les données strictement nécessaires peuvent être communiquées au prestataire de vote.
12. La Commission invite également le Conseil à préciser les données traitées s’agissant du traitement du fichier dénommé contenu de l’urne électronique mentionné à l’article 14 du projet de règlement.
Sur l’expertise indépendante du dispositif de vote électronique
13. La Commission relève que le système de vote électronique fait l’objet d’une expertise indépendante dans les conditions prévues à l’article 17 du projet.
14. Elle rappelle que, conformément à la recommandation du 25 avril 2019, l’expertise portant sur une solution mise en œuvre pour un scrutin dont le niveau de risque est évalué à 2 ne peut reprendre des éléments d’un rapport d’expertise précédant, qu’à la condition que celle-ci ne soit pas antérieure à douze mois.
15. Le précédent règlement électoral datant de 2017 ainsi que l’indique la saisine du Conseil national de l’Ordre des infirmiers, pour lequel la Commission s’était d’ailleurs prononcée par la délibération n° 2017-108 du 13 avril 2017, l’expertise réalisée à cet effet ne saurait être réutilisée dans le cadre de l’expertise prévue dans le présent projet.
Sur les listes d’électeurs
16. S’agissant de l’affichage des listes électorales relatives à l’élection des conseils départementaux, l’article 7 du projet prévoit qu’un site web dédié permet à chacun de vérifier son inscription.
17. Concernant l’affichage sur internet, la Commission recommande que le contenu de la page web soit protégé de toute indexation par les moteurs de recherche.
18. S’agissant de la transmission du fichier des électeurs au gestionnaire du système de vote électronique, la Commission relève que l’article 15 du projet dispose aux alinéas 2 et 3 que le fichier des électeurs est transmis au gestionnaire du système de vote électronique qui attribue à chacun des électeurs un code d'accès et un mot de passe pour le vote électronique. 
19. Le fichier des candidats est transmis au gestionnaire du système de vote électronique afin de l’insérer dans le système de vote .
20. La Commission invite le Conseil à modifier les alinéas 2 et 3 comme suit : Le fichier des électeurs est transmis, de manière sécurisée, au gestionnaire du système de vote électronique qui génère, de manière sécurisée et sans en prendre connaissance, à chacun des électeurs un code d'accès et un mot de passe pour le vote électronique.
21. Le fichier des candidats est transmis, de manière sécurisée, au gestionnaire du système de vote électronique afin de l’insérer dans le système de vote .
Sur la sécurité informatique
22. La Commission recommande au Conseil national de l’Ordre des infirmiers de prendre en compte, notamment s’agissant des garanties permettant d’assurer la sécurité et la confidentialité des informations traitées, les dispositions de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, qui crée le référentiel général de sécurité (RGS), et du décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 précitée.
Sur les procédés d’authentification
23. L’article 18 du projet dispose que l'électeur reçoit par voie électronique (ou par voie postale si l'ordre ne détient pas d'adresse électronique) de manière sécurisée quelques jours avant l'ouverture de la période de vote un code d'identification personnel lui permettant d'accéder au système de vote afin de retirer son mot de passe après avoir entré ce code et le numéro ordinal à cette fin. Le mot de passe est adressé à l'adresse mail ou au numéro de téléphone portable que l'ordre détient dans sa base de données .
24. La Commission souligne qu’il est important que le Conseil collecte, en amont des scrutins, des données fiables et qualifiées permettant de s’assurer que les risques majeurs et mineurs liés à une usurpation d’identité des électeurs soient réduits de manière significative.
25. La Commission invite également le Conseil à prendre en compte, dans la rédaction de l’article 18, les éléments suivant permettant d’assurer une authentification correcte des électeurs :
l’envoi du code d’identification et du mot de passe ne doit pas se faire par le même canal. Ainsi, il convient de disposer au minimum de deux moyens afin de contacter l’électeur (courriel et SMS, ou adresse postale et SMS, etc.) ;
le mot de passe ne doit jamais être envoyé en clair sur une boîte aux lettres, qu’elle soit personnelle ou professionnelle. Il convient au mieux d’envoyer un courriel contenant un lien sécurisé à usage unique permettant à l’utilisateur de générer un mot de passe qui lui sera affiché uniquement au sein de la connexion sécurisée de son navigateur, voire de choisir lui-même son mot de passe (ce dernier devant répondre aux conditions fixées par la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ainsi que la délibération n° 2017-190 du 22 juin 2017 portant modification de la recommandation relative aux mots de passe) ;
le mot de passe doit être généré juste avant l’envoi puis immédiatement stocké de manière sécurisée et non réversibles au sein de la solution de vote, de sorte que le prestataire ne puisse y avoir accès.
26. Par ailleurs, la Commission recommande de renforcer l’authentification de l’électeur en utilisant, en sus du couple identifiant et mot de passe précité, un dispositif de défi/réponse – c'est-à-dire l'envoi par le serveur d'authentification d'une question dont l'électeur est le seul à connaître la réponse. Elle rappelle que les données aisément accessibles, à l’instar de la date de naissance, ne devraient pas être utilisées pour organiser un défi/réponse.
27. L’article 18 du projet prévoit également qu’en cas de difficultés rencontrées par l’électeur dans la réception des codes, de compromission ou perte de ces codes, l’électeur peut contacter l’assistance téléphonique, mise en œuvre par le prestataire.
28. La Commission rappelle, d’une part, que l’assistance téléphonique doit être en mesure d’authentifier la personne de manière certaine et, d’autre part, qu’en cas de compromission ou de perte de ses moyens d’authentification, la procédure sécurisée doit permettre à l’électeur d’effectuer son vote et de rendre les moyens d’authentification perdus ou compromis inutilisables sans que le prestataire prenne connaissance du nouveau mot de passe.
29. Les autres dispositions du projet n’appellent pas d’observation de la Commission.
-
Pour la Présidente
La Vice-Présidente déléguée
Sophie LAMBREMON
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut national d’études démographiques d’une demande d’avis concernant un projet de traitement automatisé de données à caractère personnel nécessaire à la réalisation d’une enquête dénommée Immigrants chinois à Paris et en région parisienne ( Chinese immigrants in the Paris Region ou CHIPRE ) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment le 6° de son article 44 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Émet l’avis suivant :
1. À titre liminaire, la Commission relève que l’enquête dénommée Immigrants chinois à Paris et en région parisienne (CHIPRE) vise à fournir des données permettant une description de la population chinoise en Ile-de-France et à mettre en évidence les aspects cruciaux d’assimilation des immigrants dans le contexte français.
2. Dans ce contexte, elle relève que le traitement projeté poursuit des finalités de recherche scientifique. Elle estime à cet égard que le traitement relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après le RGPD ) et prend acte que l’Institut national des études démographiques (INED) entend se prévaloir de la base licéité mentionnée au e) du 1. de l’article 6 du RGPD, à savoir de l’exécution d’une mission d’intérêt public . 
3. Dans la mesure où il porte sur des données sensibles au sens de la réglementation, le traitement projeté doit faire l’objet d’un avis préalable de la Commission conformément aux dispositions du 6° de l’article 44 de la loi du 6 janvier 1978 modifiée, sans préjudice de l’obligation de formaliser le cas échéant la création du traitement par un acte réglementaire spécifique. Elle rappelle qu’elle devra être tenue informée et saisie de toute modification substantielle affectant les caractéristiques du traitement et que l’analyse d’impact relative à la protection des données (AIPD) devra faire l’objet d’une mise à jour.
Sur le contexte général de réalisation de l’enquête ( CHIPRE )
4. Le projet d’enquête vise à collecter, à partir d’un échantillon de 800 personnes, des données auprès de personnes nées en Chine, vivant depuis au moins trois mois en
Ile-de-France, âgées de plus de 18 ans et de moins de 65 ans au moment de l’enquête, à l’exception des étudiants titulaires d’une bourse du gouvernement chinois (en ce qu’ils sont amenés à retourner en Chine immédiatement à la fin de leurs études). 
5. La Commission relève que cet échantillon sera constitué à partir de dix enquêtés graines , appelé échantillon de convenance . Les critères de choix de cet échantillon découleront des conclusions de l’exploration de terrain menée par l’INED préalablement à l’enquête elle-même, qui investigue différents réseaux et s’appuie sur son expérience lors d’autres enquêtes (associations, commerçants, famille). 
6. Ce projet d’enquête est scindé en plusieurs volets :
une enquête exploratoire, qui ne vise pas à recueillir de données à caractère personnel mais à établir une pré-connaissance qualitative de la structuration du réseau ;
la passation des questionnaires ;
la passation des registres ( rosters ).
7. Elle relève également que l’INED envisage la passation d’une trentaine d’entretiens qualitatifs a posteriori, lesquels sont exclus de la présente saisine. La Commission, qui prend acte que ces entretiens devraient faire l’objet d’un enregistrement audio, rappelle qu’il appartiendra au responsable du traitement de s’assurer de la conformité des traitements de données à caractère personnel mis en œuvre dans ce cadre à la réglementation applicable.
8. Elle relève en outre que pour la réalisation de l’enquête projetée, l’INED va produire plusieurs fichiers, à savoir : 
deux fichiers bruts de collecte : l’un correspondant aux réponses au questionnaire, l’autre contenant les données du registre ; 
les fichiers d’étude : correspondant aux fichiers bruts apurés de toute référence à des coordonnées et de données nominatives. Il s’agit alors de fichierspseudonymisés ; 
le fichier de contacts quali : ce fichier contient les données des personnes qui ont accepté le principe des entretiens-qualitatifs ; 
le fichier de production et de recherche : fichier pseudonymisé qui sera mis à disposition des chercheurs via le réseau Quetelet ; 
le fichier des entretiens qualitatifs.
9. L’échantillonnage sera réalisé via la méthode Network Sampling with Memory (NSM)  : les personnes interrogées sont sollicitées pour lister au maximum six membres de leur entourage ou de leur réseau de sociabilité correspondant aux critères d’éligibilité de l’enquête et fournir des informations permettant de les identifier partiellement (le registre ou roster ). 
10. La Commission relève que les données collectées permettent de reconstituer le réseau social sous-jacent de la population cible et que l’emploi de la méthode NSM combine deux modes d’échantillonnage mis en œuvre au moyen d’un algorithme programmé par les services de l’INED : 
le mode recherche qui est utilisé pour explorer le réseau, sélectionne prioritairement les membres du réseau de sociabilité des nœuds-ponts (répondant ayant un nombre anormalement élevé d’amis et de connaissances au sein de son réseau de sociabilité qui sont listés dans le registre et qui n’ont pas été nommés par un autre répondant au sein de l’échantillon) non cités par ailleurs ;
le mode liste qui permet que tous les individus nommés dans l’enquête se rapprochent de la base de sondage constituée par l’ensemble des membres de la composante connectée (en réseau) de la population cible.
11. La Commission observe par ailleurs qu’un chèque-cadeau d’un montant de 15 euros sera remis à la fin de la passation du questionnaire pour dédommager les enquêtés du temps qu’ils y ont consacré ainsi qu’un chèque-cadeau d’un montant de 20 euros en cas de diffusion de l’information relative à l’enquête par le répondant à son réseau de sociabilité. Elle rappelle que la remise des chèques-cadeaux, qui ne saurait être conditionnée à la collecte de données à caractère personnel, a uniquement vocation à dédommager le répondant pour le temps consacré et est sans incidence sur la base légale mobilisée pour le traitement projeté ( exécution d’une mission d’intérêt public ).
12. La Commission constate enfin que, ne s’agissant pas d’une enquête obligatoire, l’accord des personnes concernées sera demandé oralement par les enquêteurs avant le début de la passation du questionnaire.
Sur les finalités du traitement
13. L’enquête CHIPRE a pour objectifs principaux de : 
remédier au manque de données quantitatives détaillées sur les Chinois nés en Chine et résidant en France et ainsi constituer une base de données quantitatives permettant d’enrichir les connaissances sur les Chinois vivant à Paris et en région parisienne ; 
mesurer l’hétérogénéité de cette population ;
explorer les liens entre les populations chinoises d’origines géographiques différentes en Chine et les populations non-chinoises, de même que le rôle des réseaux de sociabilité dans la recherche d’emploi et l’adaptation à la société d’accueil ;
tester l’existence d’un modèle d’adaptation sélective des membres de cette population notamment en fonction de la région d’origine en Chine ;
étudier les déterminants et perceptions de discriminations éventuelles intra et extra-communautaires (au sein de la société française).
14. La Commission, qui prend acte des précisions apportées selon lesquelles le projet d’enquête ne poursuit que des finalités de recherche scientifique, considère que les finalités poursuivies par le traitement projeté sont déterminées, explicites et légitimes, conformément aux dispositions du b) du 1. de l’article 5 du RGPD.
Sur les données traitées 
15. En premier lieu
, la Commission observe que les finalités poursuivies impliquent la collecte de nombreuses données à caractère personnel de natures très variées auprès des personnes enquêtées dont certaines relèvent de la catégorie des données dites sensibles au sens de l’article 9 du RGPD, notamment des données concernant la santé et des données qui révèlent les origines ou les convictions religieuses.
16. Elle rappelle que, dans la décision n° 2007-557 DC du 15 novembre 2007, le Conseil constitutionnel a jugé que  si les traitements nécessaires à la conduite d'études sur la mesure de la diversité des origines des personnes, de la discrimination et de l'intégration peuvent porter sur des données objectives, ils ne sauraient, sans méconnaître le principe énoncé par l'article 1er de la Constitution, reposer sur l'origine ethnique ou la race .
17. La Commission observe que le projet d’enquête, qui vise principalement à collecter des données objectives, ne repose pas sur la prétendue origine raciale ou ethnique des personnes interrogées. Si certaines questions telles que celles figurant dans les sections relatives aux emplois passé et actuel et celles relatives aux expériences de discrimination impliquent la collecte de données subjectives, elle estime que cette enquête n’a pas pour objet, même indirectement, de classifier les personnes interrogées en fonction soit de leur prétendue origine ethnique ou raciale déclarée, soit d’un référentiel ethno-racial. Dans ces conditions, la Commission considère que les questions posées ne sont pas contraires à la décision précitée du Conseil Constitutionnel.
18. En deuxième lieu