AgentPublic/cnil huggingface dataset:
enregistrent le NIR ou qui requièrent une consultation du répertoire  national d'identification des personnes physiques (RNIPP), doivent faire  l'objet d'une déclaration auprès de la commission, dès lors qu'ils ne  comportent aucune des données mentionnées à l'article 8-1 ou à l'article  9 de ladite loi. Le Législateur a également prévu que les traitements qui  enregistrent le NIR ou qui requièrent une consultation du répertoire  national d'identification des personnes physiques (RNIPP) et qui ont  exclusivement des finalités de recherche scientifique ou historique,  sont autorisés par la commission, conformément au nouvel article 25-I  (9) de la loi du 6 janvier 1978 modifiée. En contrepartie de cet allègement des formalités préalables, la loi a  néanmoins prévu plusieurs garanties, sur lesquelles la commission s'est  prononcée dans son avis n° 2015-414 du 19 novembre 2015 susvisé. En  particulier, elle a prévu que l'appariement de fichiers ne peut être  opéré que sur la base d'un numéro issu du NIR mais distinct de celui-ci  et dépourvu de tout caractère signifiant. Elle a également prévu, par de nouvelles dispositions insérées à  l'article 71 de la loi  Informatique et Libertés , que les modalités  d'application des articles 22-I bis et 25-I (9°) précités doivent être  définies par décret en Conseil d'Etat pris après avis motivé et publié  de la commission, et notamment la fréquence du renouvellement de  l'opération cryptographique précitée appliquée au NIR. C'est dès
lors  sur ce fondement que la commission est saisie du présent projet de  décret. A titre liminaire, la commission rappelle qu'elle avait appelé  l'attention du Gouvernement, dans son avis du 19 novembre 2015, sur la  nécessité de garantir, par des mesures juridiques, techniques et  organisationnelles, l'impossibilité de ré-identifier directement les  personnes concernées par ces appariements de fichiers, ainsi qu'un haut  niveau de sécurité des données traitées dans le cadre de l'opération  cryptographique appliquée au NIR. Les dispositions du projet de décret relatives aux traitements  poursuivant une finalité statistique et aux traitements ayant une  finalité de recherche scientifique ou historique appellent dès lors les  observations suivantes. Sur les traitements poursuivant une finalité statistique : Les traitements concernés par les nouvelles dispositions de  l'article 22-I bis de la loi du 6 janvier 1978 modifiée sont uniquement  les traitements mis en œuvre par le service statistique public au sens  de la  loi du 7 juin 1951 précitée,  c'est-à-dire par l'Institut national de la statistique et des études  économiques (INSEE) ou par les services statistiques ministériels (SSM)  mentionnés à l' annexe du décret n° 2009-250 du 3 mars 2009, et poursuivant une finalité exclusivement statistique. Pour ces traitements, le projet de décret prévoit que l'opération  cryptographique du NIR consiste à substituer à cet identifiant  particulièrement sensible un code statistique
non signifiant (CStatNS),  grâce à une clé secrète. Le ministère a en outre précisé qu'il est  nécessaire, afin de simplifier l'appariement de plusieurs sources de la  statistique publique détenues par différents SSM, que la clé secrète  soit identique pour l'ensemble de ces services. L'utilisation d'un  unique CStatNS pour l'ensemble du service de la statistique publique  doit ainsi permettre d'apparier plus rapidement des sources variées. A cet égard, la commission rappelle que les dispositions relatives à  l'assouplissement des formalités préalables pour les traitements  statistiques nécessitant, à des fins d'appariement, l'utilisation du NIR  n'ont pas pour objet et ne doivent pas avoir pour effet de créer un   NIR statistique  dérivé du NIR, qui soit pérenne dans le temps, propre à  chaque personne et figurant dans tout traitement de données à caractère  personnel mis en œuvre par l'INSEE ou les services statistiques  ministériels à des fins d'enquête statistique publique. Or, en l'état,  les dispositions du projet de décret ne permettent pas de se prémunir  contre une telle utilisation. La commission demande dès lors que des  garanties soient apportées sur ce point et à ce qu'elle soit informée  des mesures précises qui seront mises en œuvre à cet effet. En tout état de cause, il appartient à la commission de vérifier que  la mise en œuvre d'une opération cryptographique consistant à  transformer le NIR à l'aide d'une clé secrète est assortie de garanties  suffisantes.
A cet égard, la commission rappelle que, aux termes du nouvel  article 22 de la loi du 6 janvier 1978 modifiée, l'utilisation du code  statistique non signifiant n'est autorisée qu'au sein du service  statistique public. Imposant que ce CStatNS ne soit pas communiqué en  dehors de la sphère de la statistique publique, et notamment aux autres  services de l'Etat, le législateur a ainsi prévu une première garantie.  En effet, les traitements du service statistique public sont mis en  œuvre dans les conditions prévues par la loi du 7 juin 1951 modifiée,  qui permettent d'assurer un niveau de protection des données  satisfaisant. En particulier, cette loi interdit toute ré­identification  des personnes. Le projet de décret prévoit en outre que J'opération cryptographique  est confiée à un service de l'INSEE dont les agents sont désignés par  Je directeur général de l'INSEE qui doit fixer la liste des personnes  strictement habilitées à mettre en œuvre l'opération cryptographique du  NIR et à manipuler la clé secrète nécessaire. La commission rappelle que le service de l'INSEE chargé de  l'opération cryptographique du NIR doit présenter des caractéristiques  de nature à limiter les risques de ré-identification directe des  personnes concernées. En particulier, il ne devrait poursuivre aucune  mission statistique, afin que l'organisme chargé de l'opération  cryptographique soit systématiquement distinct du responsable de  traitement. Ainsi, elle estime que cette opération pourrait
être confiée  au service de l'INSEE chargé, depuis 1946, de tenir le RNIPP et qui  présente des garanties d'indépendance et de fiabilité. Le ministère a en outre indiqué que la mise en œuvre de l'opération  cryptographique ne pouvait être décidée par une personne seule, mais  reposait sur une décision collégiale, chaque membre du service détenant  une partie de la clé secrète. Le projet de décret précise également que le directeur général de  l'INSEE nomme  les détenteurs des clés extérieurs  au service de  l'INSEE dédié à l'opération cryptographique. Sans donner plus de  précisions sur ces personnes, le ministère a indiqué que cette  disposition a pour objectif d'assurer la continuité de l'opération  cryptographique dans le cas où une ou plusieurs personnes travaillant au  sein du service précité ne seraient pas en mesure de communiquer une  partie de la clé secrète. La commission prend acte que, à sa demande, le  ministère s'engage à ce que ces personnes soient des membres de l'INSEE  soumis au secret statistique et respectent les exigences de  confidentialité liées au secret de la clé. Au regard de ces éléments et sous réserve des précédentes  observations, la commission considère que confier à un service de  l'INSEE l'opération cryptographique du NIR permet de limiter les risques  d'une ré-identification directe des personnes concernées. Concernant la mise en œuvre pratique de l'opération cryptographique,  le projet de décret prévoit que le responsable de traitement
(INSEE ou  SSM) transmet au service dédié de l'INSEE, d'une part, le NIR ou des  éléments d'identité permettant de retrouver ce numéro en consultant le  RNIPP et, d'autre part, un numéro d'indexation provisoire non  signifiant. Le projet de décret précise que cette transmission peut  également être effectuée par un tiers détenteur de ces données pour le  compte du responsable de traitement. Le service de l'INSEE en charge de l'opération cryptographique  procède au calcul du CStatNS et renvoie au responsable de traitement ce  résultat ainsi que le numéro d'indexation provisoire. Le projet de  décret précise que l'INSEE détruit le NIR ou les données d'identité  ayant permis de déterminer celui-ci, le CStatNS et, le cas échéant, la  qualité du résultat de la consultation du RNIPP une fois le CStatNS  transmis au responsable de traitement. De même, une fois le CStatNS  reçu, le responsable de traitement doit détruire le NIR. La commission relève que ces dispositions relatives à la destruction  du NIR constituent une mesure de sécurité entourant la mise en œuvre  concrète de l'opération cryptographique. Elle prend acte de l'engagement  du ministère de prévoir expressément, dans le projet de décret, que les  transmissions des données (NIR, données d'identité, CStatNS) et leur  destruction s'effectuent de manière sécurisée. En tout état de cause, la commission considère que, pour chaque  transfert de données, des mesures devront assurer la confidentialité et  l'authentification des
acteurs concernés. A cet égard, pour un transfert  numérique, le chiffrement en transport et l'authentification par  certificat du serveur destinataire avec des protocoles respectant les  recommandations de I'ANSSI dans son référentiel général de sécurité  constitueraient des mesures adéquates. L'article 4 du projet de décret précise que l'opération  cryptographique est mise en œuvre selon des modalités garantissant la  sécurité des informations traitées et sa traçabilité qui sont fixées par  un arrêté du ministre chargé de l'économie. La commission estime que  cette disposition implique, implicitement mais nécessairement, que cet  arrêté ministériel doive définir précisément le type d'opération  cryptographique choisi. A cet égard, l'exemple de mise en œuvre d'opération cryptographique  présenté par le ministère est une fonction de hachage à clé. Cette   famille  de techniques cryptographiques contient des fonctions qui  peuvent être adaptées à l'objectif recherché, dès lors qu'elles sont  mises en œuvre dans le respect des bonnes pratiques. C'est pourquoi la  commission demande que la fonction de hachage à clé retenue, ou tout  autre type d'opération cryptographique choisi, soit précisément définie  par l'arrêté précité. De même, l'article 5 du projet de décret prévoit qu'un arrêté dudiit  ministre décrit les règles de gestion et de protection des clés  secrètes mises en œuvre par l'INSEE pour générer le CStatNS. A cet  égard, la commission relève qu'est envisagée
l'utilisation d'un système  de partage de secret pour la clé secrète, ou le déverrouillage de  celle-ci. Elle recommande que ce système intègre l'ensemble des membres inclus dans la décision collégiale de mise en œuvre. Sur ces dispositions, la commission relève qu'un décret en Conseil  d'Etat n'a en effet pas vocation à fixer, dans le détail, des mesures  opérationnelles et techniques de sécurité qui, pour être conformes à  l'état de l'art, doivent être régulièrement modifiées. Elle estime en  revanche que, compte tenu des enjeux liés au traitement du NIR et à  l'importance des mesures de sécurité encadrant la mise en œuvre  effective de l'opération cryptographique choisie pour l'obtention du  CStatNS, elle devrait être saisie de ces arrêtés ministériels, sur le  fondement de l'article 11 (2°, d) de la loi du 6 janvier 1978 modifiée. Enfin, le projet de décret précise les modalités et la fréquence du  renouvellement de la clé secrète permettant de générer le CStatNS. Il  est ainsi prévu que le renouvellement de l'opération cryptographique  applicable aux traitements à finalité statistique ait lieu, en principe,  tous les dix ans. Le ministère a indiqué que cette durée permettait de  prendre en compte le besoin d'une certaine stabilité du code non  signifiant, nécessaire pour comparer les données sur plusieurs années,  et qu'un renouvellement plus fréquent aurait un coût important. Ce renouvellement a pour objet premier d'assurer la robustesse de la  protection du CStatNS,
prévue par le Législateur. La commission relève  que, d'un point de vue technique, cette fréquence suffit à se prémunir  contre un risque massif de compromission de la sécurité du dispositif,  sous réserve qu'un renouvellement soit mis en œuvre en cas de suspicion  d'une telle compromission. A cet égard, le projet de décret prévoit que l'opération de  renouvellement peut être mise en œuvre avant le délai de dix ans en cas  de suspicion de compromission de la sécurité des opérations. Cette  disposition constitue une garantie importante, dans la mesure où elle  permet d'assurer immédiatement la protection du NIR en cas d'atteinte à  la clé utilisée pour sa transformation en un code non signifiant. La  commission estime néanmoins que cette garantie doit être renforcée. Elle  considère que cette mesure de renouvellement devrait être  systématiquement appliquée dès qu'est identifié un doute raisonnable  quant à la sécurité de la clé secrète ou de l'opération cryptographique.  Elle prend acte de l'engagement du ministère de modifier le projet de  décret en ce sens. Cependant, la commission considère que la fréquence de  renouvellement de dix ans pourrait conduire à une stabilité trop  importante du CStatNS, renforçant le risque de mise en place d'un   NIR-statistique  propre à chaque personne et pérenne dans le temps.  Elle relève que l'article 22 de la loi Informatique et Libertés  tel  que modifié par la loi du 7 octobre 2016 dispose que la fréquence de  renouvellement de
l'opération cryptographique est précisément ce qui  doit faire l'objet d'un décret en Conseil d'Etat pris après avis motivé  et publié de la commission. Aussi la commission demande-t-elle que cette  durée soit, dans un premier temps, abaissée à cinq ans, délai au terme  duquel elle pourra, sur la base d'un bilan adressé par l'INSEE,  apprécier si cette fréquence de renouvellement peut être augmentée sans  toutefois entraîner un risque effectif de dérive liée à l'utilisation  d'un code unique. En tout état de cause, la commission estime qu'une durée plus  réduite ne suffirait pas, à elle seule, à éviter une telle dérive si  toutes les bases de données de l'INSEE et des SSM comportaient  systématiquement l'identité et le code statistique non-signifiant de  chaque personne ou si était mise à leur disposition une base de données  unique associant ces deux informations. C'est pourquoi la commission  réitère ses observations relatives à la nécessité que des garanties  soient apportées quant au risque de mise en place d'un  NIR-statistique  , quelle que soit la fréquence de renouvellement retenue. Enfin, le projet de décret prévoit que le renouvellement de  l'opération cryptographique consiste à appliquer une nouvelle clé  secrète au premier CStatNS. La commission considère qu'une telle  procédure est satisfaisante, dès lors qu'elle permet d'éviter qu'une  table de correspondance entre le NIR et le CstatNS soit conservée par  l'INSEE. Sur les traitements poursuivant une finalité de
recherche scientifique ou historique : Les traitements concernés par les nouvelles dispositions de  l'article 25-I (9°) de la loi du 6 janvier 1978 modifiée sont uniquement  les traitements mis en œuvre à des fins de recherche scientifique ou  historique, à l'exclusion des traitements poursuivant des finalités de  recherche, d'étude ou d'évaluation dans le domaine de la santé qui font  l'objet de dispositions spécifiques. Pour ces traitements, le projet de décret prévoit que l'opération  cryptographique, destinée à substituer au NIR un code spécifique non  signifiant (CSpeNS), est mise en œuvre par un organisme différent du  responsable de traitement et présentant les garanties nécessaires pour  gérer les données d'identité. La commission considère que ces garanties  doivent notamment inclure des mesures assurant la confidentialité de ces  données et l'authentification des acteurs concernés et que le projet de  décret devrait être précisé en ce sens. Comme pour les traitements à finalité statistique, il est prévu que  l'organisme chargé de transformer le NIR se voie transmettre, d'une  part, cette donnée ou des données d'identité permettant de le déterminer  en consultant le RNIPP et, d'autre part, un numéro provisoire  d'indexation. Il devra ensuite appliquer au NIR une opération  cryptographique à clé secrète et obtenir ainsi le CSpeNS. En revanche, à la différence des traitements à finalité statistique,  il n'est pas prévu de transmettre au responsable de traitement un
indicateur de qualité du résultat de la consultation du RNIPP. La  commission estime toutefois qu'une telle information pourrait être utile  aux chercheurs, en particulier lorsque la qualité du résultat de la  consultation est peu satisfaisante et peut ainsi nuire à la qualité de  l'appariement. Elle prend acte de l'engagement du ministère de modifier  le projet de décret en ce sens. Conformément aux dispositions législatives précitées, le projet de  décret prévoit en outre que le CSpeNS n'est pas transmis directement au  responsable de traitement. Un second organisme tiers, chargé d'apparier  les données, reçoit, d'une part, la table de correspondance entre le NIR  transformé en code non signifiant et le numéro provisoire d'indexation  et, d'autre part, les données de recherches à apparier. Ce second  organisme tiers ne traite donc ni les données d'identité ni le NIR  lui-même. Seuls les résultats de l'appariement, à l'exception des données  relatives à l'identité des personnes, du NIR et du CSpeNS, sont ensuite  transmis au responsable de traitement. Ces mesures, prévues par le  Législateur et précisées par le projet de décret, constituent une des  garanties permettant de limiter le risque de ré-identification des  personnes concernées par ces appariements. L'article 8 du projet de décret prévoit que le résultat de  l'appariement peut être ultérieurement mis à disposition d'autres  chercheurs, après qu'ils ont obtenu les autorisations nécessaires pour  accéder aux données
et pour les traiter. Ces dispositions n'appellent  pas d'observations particulières de la commission, dès lors que les  données appariées ne contiennent ni le NIR, ni même le CSpeNS. Une autre garantie, également prévue par le Législateur, est  précisée à l'article 9 du projet de décret qui prévoit que la clé  secrète utilisée est spécifique à chaque projet de recherche.  L'organisme tiers ayant généré le CSpeNS conserve la clé secrète du  projet le temps nécessaire à la mise en œuvre du projet de recherche.  Une fois ce délai expiré, la clé doit être détruite. La commission prend  acte de l'engagement du ministère de prévoir, à sa demande, qu'une  procédure sera mise en œuvre pour assurer la suppression effective de  ces clés et recommande, lorsque cela est possible, que cette suppression  soit automatisée. Dans la mesure où le CSpeNS est un code unique pour chaque projet de  recherche, il aurait pu être considéré qu'il n'était pas nécessaire de  renouveler la clé. Cependant, le projet de décret prévoit que, dès lors  que la durée du projet est supérieure à dix ans, la procédure de  renouvellement de l'opération cryptographique décrite à l'égard des  traitements à finalité statistique doit être appliquée. La commission  estime que cette limite temporelle de validité du CSpeNS, dans le cas où  le traitement concerné nécessiterait une conservation des données  supérieure à dix ans, participe de la réduction des risques de  ré-identification directe des personnes concernées.
De même, si un doute quant à la compromission de la sécurité de  l'opération cryptographique existe, une procédure de renouvellement  identique à celle prévue pour les traitements à finalité statistique est  mise en œuvre. A cet égard, si cette possibilité de renouvellement en  cas de suspicion constitue une garantie satisfaisante, la commission  rappelle l'importance que l'opération de renouvellement soit  systématiquement mise en œuvre dès qu'un doute raisonnable sur la  compromission de la clé est identifié et prend acte que, à sa demande,  le ministère s'engage à modifier le projet de décret en ce sens. Dans les cas où ce renouvellement doit intervenir, l'article 9 du  projet de décret prévoit que les responsables de traitement  souhaitant  le résultat de cette opération complémentaire  demandent à l'organisme  chargé de l'appariement des données de transmettre à l'organisme tiers  chargé de l'opération cryptographique du NIR le CSpeNS et un numéro  provisoire d'indexation non signifiant. A cet égard, la commission  rappelle que le responsable de traitement ne doit recevoir que les  résultats d'appariement, sans le CSpeNS, et estime que le projet de  décret devrait être clarifié sur ce point. A titre plus général, la commission rappelle que, dans le cadre des  traitements à finalité de recherche scientifique ou historique, le  projet de décret confie l'opération cryptographique et l'appariement des  données à des organismes tiers, différents du responsable de
traitement. Toutefois, la nature de ces organismes ou les critères de  sécurité auxquels ils doivent répondre ne sont pas prévus par le présent  projet de décret. Le ministère a indiqué que cette absence avait pour objectif de  permettre de confier ces fonctions à des organismes recourant à des  modalités de mise en œuvre variées. Il a en outre précisé que, d'une  part, ces organismes devront obtenir de la commission une autorisation  relative à leur opération cryptographique sur le NIR et que, d'autre  part, les responsables de traitement concernés devront indiquer, dans  leur demande d'autorisation, les organismes choisis et les conditions de  sécurité qu'ils mettent en œuvre. Si la commission prend acte de ces précisions, elle estime néanmoins  que l'assouplissement de la procédure pour les chercheurs prévue par le  Législateur pourrait, en l'état actuel du projet de décret, ne s'avérer  que théorique si l'ensemble de la chaîne et des mesures mises en œuvre  pour garantir la sécurité des données et le sérieux de l'opération  cryptographique devait être vérifié, par la commission, à chaque demande  d'autorisation. Elle relève en outre que les présentes dispositions réglementaires  ont notamment pour objet d'assurer un haut niveau de sécurité de  l'ensemble du dispositif. A cet égard, l'absence de tout élément précis  sur les organismes tiers constitue une lacune importante du projet de  décret quant aux garanties devant nécessairement entourer le traitement  du NIR dans le
cadre de la recherche scientifique et historique. La  commission considère dès lors que le projet de décret pourrait prévoir  que de tels organismes sont désignés par le pouvoir réglementaire. A  défaut d'une telle habilitation réglementaire des organismes tiers, les  règles élémentaires de sécurité qu'ils doivent respecter devraient être  fixées soit par le projet de décret, soit par un arrêté ministériel  auquel le projet de décret renverrait, à l'instar de ce qui est prévu en  matière de statistique publique. Dans ce cas, le projet d'arrêté  devrait être soumis à l'avis de la commission. Enfin, le projet de décret autorise le service de l'INSEE en charge  de l'opération cryptographique ainsi que les autres organismes chargés  de la même opération pour les traitements de recherche scientifique ou  historique à consulter le RNIPP, dont les conditions de mise en œuvre  sont fixées par le  décret du 22 janvier 1982 susvisé, dès lors que seules des données d'identité, sans NIR, leur ont été fournies. La commission rappelle que l'ouverture du RNIPP à de nouveaux  organismes, en l'occurrence les organismes tiers chargés de l'opération  cryptographique dans le cadre des traitements de recherche scientifique  et historique, ne doit pas affaiblir le haut niveau de sécurité qui doit  entourer ce traitement particulièrement sensible. Ainsi, les accès devront répondre à un haut niveau d'exigence quant à  leur sécurité, notamment en matière de chiffrement et  d'authentification
mutuelle entre le RNIPP et l'organisme tiers. La  commission recommande également que la consultation du RNIPP par ces  organismes soit subordonnée à la conclusion de conventions spécifiques  avec l'INSEE.