AgentPublic/cnil huggingface dataset:
En particulier, l’arrêté du 27 mai 2013 définissant les règles de bonnes pratiques applicables à l'examen des caractéristiques génétiques d'une personne à des fins médicales et pris en application de l’article L. 1131-2 du code de la santé publique, précise que :  (…) Les examens de génétique ne doivent être prescrits que lorsqu'ils ont une utilité clinique et qu'ils sont souhaités par la personne. Le seul fait qu'un examen soit disponible et réalisable ne justifie ni de sa prescription ni de sa réalisation. 
En matière de recherche scientifique, la Commission constate que les dispositions législatives et réglementaires applicables à l’examen des caractéristiques génétiques, même si elles ne précisent pas les conditions de réalisation d’un tel examen, évoquent la nécessité d’un projet de recherche défini, en usant des termes suivants  la finalité de l’examen à l’article 16-10 du code civil ou  ce projet de recherche  à l’article L 1131-1-1 du CSP.
Il résulte de l’ensemble de ces dispositions que le législateur a entendu subordonner la possibilité de réaliser un projet de recherche reposant sur l’examen de caractéristiques génétiques à l’énoncé préalable d’un objectif scientifique précis. La Commission constate d’ailleurs, qu’elle s’est toujours en pratique prononcée sur des traitements envisagés dans le cadre de projets de recherche répondant à un tel objectif, en particulier aux fins d’étude d’une pathologie particulière.
Or, elle constate qu’aucune finalité déterminée n’est à ce jour définie pour le traitement en question, dans la mesure où le projet prévoit de recueillir le maximum de données génétiques possible pour cartographier le génome humain sans méthodologie associée permettant de répondre à une question scientifique précise, que les critères d’inclusion sont extrêmement vastes (toute personne de plus de 18 ans acceptant de participer à l’étude et affiliée à un régime d’assurance maladie) et visent donc la population générale. Elle ne peut donc que s’interroger sur la pertinence scientifique de la recherche envisagée, au regard notamment de l’étendue et de la nature des données susceptibles d’être collectées (détaillées ci-après et incluant des données génétiques).
Par ailleurs, la Commission relève que de nouvelles questions pourront être posées par chaque chercheur de manière ultérieure et qu’elle n’a pas connaissance, à ce jour, de l’ensemble des données susceptibles d’être collectées.
En outre, elle estime que le responsable de traitement n’indique pas clairement s’il exclut toute finalité médicale dans son projet, dans la mesure où il prévoit notamment la transmission de résultats génétiques pouvant révéler des informations relatives à la santé de la personne concernée, avec un avis médical (voir ci-après).
Elle regrette par ailleurs que le Comité de protection des personnes (CPP) n’ait pas fourni dans son avis les éléments nécessaires permettant à la Commission d’apprécier la pertinence de la recherche, le caractère satisfaisant de l'évaluation des bénéfices et des risques attendus ainsi que la méthodologie de la recherche, la nécessité du recours à la collecte et au traitement de données à caractère personnel et la pertinence de celles-ci par rapport à l'objectif de la recherche, conformément aux missions qui lui sont dévolues par l’article L. 1123-7 du code de la santé publique.
La Commission considère donc que la finalité poursuivie par le traitement n’est pas suffisamment déterminée et explicite, ainsi que l’exige pourtant l’article 5.1.b) du RGPD.
Sur la nature des données traitées
Le protocole transmis dans le dossier précise que les participants seraient recrutés par un médecin d’un centre investigateur (généraliste, spécialiste, en ville ou à l’hôpital) à l’occasion d’une consultation.
Lors de la visite de recrutement de la personne concernée, un prélèvement sanguin et/ou salivaire serait effectué afin de permettre l’analyse génétique de l’échantillon biologique.
S’agissant des questionnaires, de multiples questions figurent déjà au dossier et concernent des domaines très divers (santé, comportement, apparence physique, sexologie). Par ailleurs, de nouveaux centres investigateurs pourraient participer à cette e-CohortE afin de poser des questions précises liées à leur propre spécialité médicale, ce qui nécessiterait, selon le responsable de traitement, le dépôt d’un amendement au CPP. Les personnes concernées pourraient choisir de répondre ou non à chaque question posée.
La collecte des catégories de données suivantes est envisagée :
S’agissant des données directement collectées auprès des personnes concernées
Lors du recrutement des personnes concernées par les centres investigateurs, les données suivantes seront recueillies :
des données identifiantes : les noms, prénoms, l’adresse électronique, la date et lieu de naissance, le sexe, la taille, le poids, la photo du visage (avec grille de face, de dos et des deux profils) ;
des données de santé, telles que la température, la pression artérielle, les antécédents familiaux ;
l’origine ethnique ainsi que la généalogie familiale.
En outre, le protocole prévoit que la personne concernée pourra autoriser l’accès à certaines données de santé issues de son dossier médical partagé, d’applications ou d’objets connectés (sont cités notamment un logiciel Middlecare de gestion des dossiers patients, l’application Santé La Poste, des comptes rendus de laboratoires d’analyses médicales).
Après le recrutement de la personne concernée, par l’intermédiaire de questionnaires créés ultérieurement par les chercheurs des centres participants et dont la Commission n’a donc pas pu prendre connaissance, des informations très variées et portant sur une multitude de catégories de données sont susceptibles d’être collectées. Les catégories de données présentées par le responsable de traitement dans le dossier sont notamment les suivantes :
Données Médicales, 
Données de sexologie, 
Données de comportement, 
Données d’apparence physique, 
Données psychologique, 
Données d’habitudes de vie, 
Données anthropomorphiques, 
Images, Vidéo, 
Historique de Participations à des recherches ou à des études, 
Données relatives à la vie personnelle, 
Habitudes de consommation, 
Dépendances, Assistance, 
Activités physiques, 
Comportement Alimentaire, 
Mode de vie, 
Habitation, 
Géolocalisation, 
Localisation, 
Données socioprofessionnelles 
Données économiques et financières, 
Données Génétiques 
 
S’agissant des données issues du séquençage de l’ADN et de l’ARN 
Dans le cadre du projet, des données génétiques seront collectées grâce à l’analyse des échantillons prélevés spécifiquement pour le projet, analyse qui consiste en un séquençage total du génome.
Ainsi, la Commission constate que le traitement envisagé a pour ambition de collecter un volume considérable de données en vue de remplir son objectif principal, à savoir la connaissance du génome. A cet égard, l’analyse d’impact sur la protection des données (AIPD) et le protocole d’étude ne fournissent aucun élément permettant de garantir que les données collectées seront limitées à celles qui apportent une connaissance nécessaire à la recherche.
En outre, la Commission souligne qu’elle ne dispose pas à ce jour de la liste exhaustive des données pouvant être collectées, chaque futur médecin investigateur ayant le loisir de poser les questions de son choix, au regard de sa spécialité. A l’inverse, certaines des données issues des projets de questionnaires figurant en annexe du protocole, et pour lesquelles aucune justification précise de leur pertinence scientifique n’est apportée dans le dossier, sont susceptibles de n’être utilisées dans aucun des projets dont la mise en œuvre est envisagée ultérieurement.
Enfin, la Commission relève que le projet de questionnaire invite les participants à scanner leurs radiologies, à saisir leurs résultats sanguins et à fournir les données d’objets connectés, le cas échéant. A ce sujet, la Commission relève que le responsable de traitement ne précise pas de quelle manière les données issues des objets connectés ou d’application seront collectées et quels seront les mécanismes d’interconnexion avec ces systèmes tiers.
Ainsi, au vu des multiples catégories des données, pour la plupart sensibles, dont la collecte est envisagée, en l’absence de projet d’étude précis permettant d’en justifier, la Commission considère que les données ne sont pas pertinentes et limitées à ce qui est nécessaire au regard de la finalité pour laquelle leur traitement est envisagée, et que l’exigence prévue à l’article 5.1.c) du RGPD n’est, par suite, pas respectée.
Sur la restitution des informations génétiques directement aux participants
La Commission relève que le protocole mentionne que les médecins investigateurs pourront fournir aux personnes concernées, à partir des analyses génétiques réalisées, certains résultats individuels, liés ou non au domaine médical.
A titre liminaire, la Commission relève qu’aucune disposition législative ou réglementaire ne précise les modalités de transmission des résultats génétiques aux personnes participant à une recherche scientifique, contrairement aux résultats des analyses réalisées dans le cadre de la prise en charge thérapeutique, pour laquelle un cadre particulièrement strict est décrit par les dispositions du CSP.
Elle relève cependant que l’article L. 1122-1 du CSP, applicable aux recherches impliquant la personne humaine en général, prévoit que :  La personne dont la participation est sollicitée est informée de son droit d'avoir communication, au cours ou à l'issue de la recherche, des informations concernant sa santé, détenues par l'investigateur ou, le cas échéant, le médecin ou la personne qualifiée qui le représente. 
Ce même article dispose par ailleurs que la personne a le droit d’être informée des résultats globaux de la recherche.
S’agissant des informations ne relevant pas strictement de la santé
Selon le projet, des facteurs de prédispositions liées à des traits physiques, des tolérances (alcool, caféine) et des résultats relatifs à l’ancestralité (origine ethnique, pourcentage de néanderthalien) pourraient potentiellement être transmis aux personnes. La Commission considère que ces résultats ne relèvent pas du domaine médical et ne sauraient a priori être prescrits dans le cadre d’une prise en charge classique d’un patient.
L’article L. 1122-1 du CSP précité mentionne le droit pour la personne d’obtenir des informations sur sa santé pendant l’étude, limitant ainsi la nature des informations qui pourraient être transmises aux participants et excluant ainsi ce qui ne relève pas de la santé.
En outre, la Commission rappelle qu’au regard de la finalité prévue à l’article 16-10 du code civil et des dispositions de l’article 226-26 du code pénal :  le fait de détourner de leurs finalités médicales ou de recherche scientifique les informations recueillies sur une personne au moyen de l'examen de ses caractéristiques génétiques est puni d'un an d'emprisonnement et de 15 000 euros d'amende. 
La Commission considère donc que la transmission d’informations ne portant pas expressément sur la santé des personnes concernées n’est pas licite.
 
S’agissant des informations relatives à la santé
Le protocole envisage également la possibilité pour les médecins investigateurs de transmettre aux participants des informations relatives aux facteurs de prédisposition à certaines pathologies ou de tolérance à certaines molécules, en application de l’article L. 1122-1 du CSP.
Tout d’abord, la Commission relève que cette disposition n’évoque pas spécifiquement la communication d’informations génétiques, et porte sur le droit pour la personne concernée, au cours ou à l'issue de la recherche, de demander la communication des informations concernant sa santé, détenues par l'investigateur ou, le cas échéant, le médecin ou la personne qualifiée qui le représente. La Commission s’interroge, d’ailleurs, sur la portée du silence du législateur et du pouvoir réglementaire, qui n’ont pas défini, en matière de recherches, de modalités précises de restitution des résultats.
En tout état de cause, ces dispositions de l’article L. 1122-1 du CSP ne pourraient avoir vocation à s’appliquer que dans le cadre de la mise en œuvre d’un protocole scientifique précis, la personne concernée pouvant ainsi accéder aux informations relatives à sa condition médicale collectées et détenues par le professionnel de santé pour les besoins du projet. Or, en l’espèce, en l’absence de finalité déterminée et explicite pour le traitement envisagé, l’application de cette disposition pourrait conduire à la possible transmission d’informations extrêmement variées et indifférenciées, ayant un lien, même très indirect, avec la santé de la personne.
Enfin, la Commission relève par ailleurs une incohérence sur le dispositif de rendu des résultats entre deux documents du dossier. En effet, d’un côté, le protocole indique que  les informations relatives à la santé seraient soumises à l’expertise et la validation préalable d’un généticien agréé et d’un comité pluridisciplinaire avant d’être transmises au médecin investigateur puis au participant lors d’une consultation.
D’un autre côté, le modèle de note d’information prévoit :  C’est pourquoi, si vous le désirez, nous remonterons votre requête au Comité de protection des personnes pour leur demander, dans le cadre de ce protocole, d’évaluer le rendu de tels résultats sur une cohorte. Par ce mécanisme, nous espérons pérenniser votre confiance pour vous éviter d’effectuer ces tests à l’étranger sans aucun avis médical et accompagnement scientifique ou psychologique. (…) Nous vous rendrons des données relatives à votre génome (ancestralité, santé, facteurs de prédispositions) si vous le désirez. Si certaines données ne sont pas rendues, nous vous en indiquerons la raison (Décision CPP et/ou CNIL, non scientifique ou non finalisée).
Or, la Commission précise que ne figure pas, au titre des missions des comités de protection des personnes telles que prévues par le code de la santé publique, l’évaluation du rendu individuel aux personnes concernées des résultats d’analyses réalisées dans le cadre de recherches.
En conclusion, la Commission estime que les modalités envisagées de restitution ne satisfont pas aux exigences des textes mentionnés ci-dessus.
Sur l'information et les modalités d’exercice des droits des personnes
Le formulaire de consentement est accompagné d’une note d’information pour les personnes concernées.
A titre liminaire, la Commission estime que l’approche envisagée, consistant à recueillir de façon dynamique le consentement des personnes concernées pour chaque projet de recherche, permet de leur garantir la maîtrise de leurs données conformément au RGPD.
La Commission relève cependant que la note d’information ne comporte pas l’ensemble des mentions de l’article 13 du RGPD et qu’y figurent des imprécisions, des redondances, des incohérences ou des erreurs sur les droits des personnes, ainsi que des maladresses dans les formulations.
Le document mentionne également la possibilité d’ouvrir et d’alimenter le dossier médical partagé (DMP) des personnes avec les résultats les concernant. Le document mentionne par ailleurs que malgré son opposition à la recherche, le participant pourra jouir,  sauf demande exprès , de son DMP.
La Commission rappelle que l’ouverture et l’alimentation d’un DMP sont indépendantes de toute recherche, que le DMP est destiné à consigner les informations médicales qui concernent le patient et que ce dernier a la faculté de s’opposer à son ouverture à tout moment, conformément aux dispositions du code de la santé publique.
Enfin, la Commission relève que l’analyse d’impact sur la protection des données ne précise pas les données auxquelles les personnes peuvent avoir accès. En outre, les mesures prévues pour l’application des droits des personnes ne sont pas indiquées précisément et ne permettent pas d’évaluer l’effectivité de ces droits.
En conclusion, la Commission considère que la note d’information ne satisfait pas aux exigences prévues par les articles 12 et suivants du RGPD. En outre, les modalités d’exercice des droits des personnes n’étant pas suffisamment détaillées dans la demande, la Commission n’est pas en mesure d’en apprécier la conformité.
Sur la sécurité des données et l’évaluation des risques 
La Commission constate que l’AIPD ne décrit pas le cycle de vie complet des données.
 
Sur les mesures relatives à la sécurité des données
Le cloisonnement du système est mal délimité et les éléments notés dans l’AIPD présentent des aspects contradictoires : l’infrastructure serait placée sur un réseau strictement interne mais elle disposera en fait de formulaires électroniques de recueil de données, de nombreuses interopérabilités avec des sources de données externes ainsi que d’une interface d’administration à distance ; de même, les données génétiques seraient stockées hors réseau mais elles seront reçues par interopérabilité directe avec des plateformes de séquençage.
De plus, la segmentation de l’architecture en plusieurs étages ( n-tiers ) et les mesures renforcées pour sécuriser un accès externe ne sont pas suffisamment définies et sont notées à améliorer dans l’AIPD.
Enfin, les mécanismes de pseudonymisation et d’anonymisation ne sont pas décrits, et la gestion des tables de correspondance n’est pas conforme car elles ne sont pas isolées des données qu’elles référencent.
Sur les mesures générales de sécurité
Aucune information n’est présente concernant l’outil utilisé pour les formulaires de saisie des données par les médecins investigateurs ou recruteurs ; de même pour les moyens devant sécuriser les transmissions des données.
Ensuite, de nombreuses mesures fondamentales de sécurité sont notées à améliorer dans l’AIPD : traçabilité des actions et détection des intrusions sur les systèmes, restriction d’accès aux locaux, audits de code, protection des sauvegardes, antivirus, etc.
Sur les mesures de sécurité organisationnelles
Aucune information n’est présente quant aux moyens de supervision et de maintien en conditions de sécurité du système d’information - analyse des journaux d’événements, gestion des incidents, traitement des vulnérabilités identifiées par les test d’intrusion, mise à jour de l’AIPD, prise de décision quant aux actions correctives, etc.
Sur l’évaluation du risque
Compte-tenu des lacunes de l’AIPD concernant les mesures organisationnelles et techniques, générales et spécifiques au traitement, le niveau d’atténuation de la vraisemblance du risque d’une perte de confidentialité n’est pas démontré. Par ailleurs, les scénarios de menace ne sont pas opérationnels car non-spécifiques aux moyens mis en œuvre dans le cadre du traitement.
Les mesures de sécurité envisagées dans le cadre de ce projet ne sont donc pas conformes aux exigences prévues par les articles 5-1-f et 32 du RGPD.
Dans ces conditions, la Commission refuse la délivrance de l’autorisation sollicitée.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de la justice d’une demande d’avis concernant un projet de décret relatif à la mise à la disposition du public des décisions des juridictions judiciaires et administratives ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de justice administrative ;
Vu le code de l’organisation judiciaire ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi 
n° 2016-1321 du 7 octobre 2016 pour une République numérique, notamment ses articles 20 et 21 ;
Vu la loi 
n° 2019-222 du 23 mars 2019 de programmation 2018-2022 et de réforme pour la justice, notamment son article 33 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78- 17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Christine MAUGÜE, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
Le projet de décret soumis pour avis à la Commission prévoit, en application de l’article 33 de la loi n° 2019-222 du 23 mars 2019 susvisée, le régime de mise à disposition du public des décisions de justice.
A titre liminaire, la Commission rappelle qu’elle a, dès 2001, édicté une recommandation en matière de diffusion sur Internet des décisions de justice afin d’assurer la protection des données des personnes concernées par ces décisions lors de leur diffusion.
Le législateur a, dès 2016 et afin de permettre une diffusion d’ampleur des décisions de justice, prévu dans le droit positif l’obligation de mettre en œuvre les recommandations de la Commission en ce qui concerne l’occultation des éléments directement identifiants. Si initialement cette occultation portait principalement sur les noms et prénoms des parties, la prise en compte des enjeux particuliers soulevés par la mise à disposition des décisions de justice a conduit à envisager une granularité plus fine.
Dans un contexte général de transformation numérique du ministère de la justice, l’article 33 de la loi de programmation et de réforme pour la justice prévoit l'accès aux décisions de justice et leur publicité. Cet article précise également les conditions de délivrance des copies des décisions de justice aux tiers tout en indiquant que les modalités d’application de la mise à la disposition du public des décisions de premier ressort, d’appel ou de cassation ainsi que la délivrance de copie aux tiers sont déterminées par décret en Conseil d’État.
La Commission estime ainsi indispensable que des garanties strictes soient mises en œuvre afin de préserver le délicat équilibre entre accès au droit et protection de la vie privée. La préservation de cet équilibre nécessite qu’une attention particulière soit notamment portée aux modalités précises de mise à disposition de ces décisions, à l’occultation réalisée ainsi qu’aux conditions dans lesquelles les tiers pourront en obtenir copie. A cet égard, la Commission regrette que tant le dispositif dans son ensemble que le projet de décret qui lui est soumis ne permettent pas de s’assurer de la mise en œuvre de l’ensemble des garanties nécessaires à cette diffusion.
Dans ces conditions et au-delà du présent avis, la Commission apportera son expertise aux pouvoirs publics, en particulier quant aux modalités de mise en œuvre de l’ensemble du dispositif d’occultation.
Ces éléments rappelés, elle relève que le présent projet de décret a vocation, selon le ministère, à constituer un décret cadre qui a pour objet de déterminer les conditions de mise à disposition du public des décisions de justice . A cet égard, il est notamment indiqué que les modalités précises de mise à la disposition des décisions ainsi que les modalités d’exercice des droits des personnes seront encadrées par les dispositions réglementaires relatives aux traitements concernés.
Il résulte de ce qui précède que de nombreuses modalités techniques sont encore en cours de conception et sont susceptibles de faire l’objet d’évolutions ultérieures, dont par exemple le dispositif précis de matérialisation de la décision d’occultation par le juge, la transmission de cette décision aux juridictions suprêmes ou encore le dispositif permettant d’informer les juridictions des occultations réalisées dans le cadre de la mise à la disposition du public en vue de la délivrance de copies aux tiers.