AgentPublic/cnil huggingface dataset:
S'agissant du respect des obligations de transparence (articles 5.1.a et 12 à 14 du RGPD), l'article 5 du projet de décret précise, d'une part, que les personnes concernées sont informées des principales caractéristiques du traitement et de leurs droits au moment de l'installation de l'application StopCovid et, d'autre part, que des mentions d'information sont également mises à la disposition du public par l'intermédiaire du site web https://www.stopcovid.gouv.fr .
En outre, l'AIPD précise que des infographies complèteront l'information en permettant de vulgariser les concepts technologiques sous-jacents.
En premier lieu, la Commission attire l'attention du ministère sur le fait que l'intégralité des informations doit être mise à disposition de l'utilisateur au sein même de l'application. Une telle obligation ne fait cependant pas obstacle à la possibilité d'adopter une approche à plusieurs niveaux par laquelle le responsable de traitement choisit de faire figurer les principales caractéristiques du traitement dans un premier temps. En tout état de cause, une information conforme aux dispositions du RGPD doit être aisément accessible tant lors de l'installation de l'application que tout au long de son usage.
En deuxième lieu, la Commission insiste sur la nécessité de délivrer une information compréhensible par le plus grand nombre, dans la mesure où une partie importante de la population est susceptible d'être concernée par le dispositif. L'information devrait également être mise à disposition dans des modalités permettant aux personnes en situation de handicap d'en prendre connaissance.
Une attention particulière devrait, par ailleurs, être accordée aux mineurs, quand bien même l'information fournie sera identique pour tous les utilisateurs de l'application. Les mineurs équipés d'ordiphones par leurs parents sont en effet susceptibles de télécharger l'application, dans des conditions de droit commun. A leur intention, plus encore que pour les autres utilisateurs, une attention particulière doit être apportée à l'information fournie, afin que l'application soit utilisée à bon escient et que le message d'alerte susceptible de leur être adressé soit adapté et bien interprété. La Commission demande donc que soient intégrés dans l'information fournie aux utilisateurs des développements spécifiques à la fois pour les mineurs eux-mêmes mais aussi pour leurs parents.
Au regard de ces éléments, les exemples de mentions d'informations fournis dans l'AIPD devront faire l'objet de travaux complémentaires afin de répondre aux dispositions des articles 12 à 14 du RGPD.
Sur les droits d'accès, de rectification, le droit à la portabilité et le droit à la limitation du traitement
La Commission relève que l'article 5 du projet de décret a vocation à exclure les droits d'accès, de rectification ainsi que le droit à la limitation du traitement sur le fondement des articles 11 et 23.i du RGPD.
S'agissant du droit à la rectification et du droit à la limitation du traitement, la Commission considère qu'au regard des caractéristiques du traitement, ces derniers n'ont pas vocation à s'appliquer. Il en est de même pour le droit à la portabilité, étant donné que le traitement n'est pas fondé sur l'article 6.1.a ni sur l'article 6.1.b du RGPD.
Le droit d'accès pourrait théoriquement concerner la consultation par un utilisateur des clés et identifiants pseudonymes associés à l'application qu'il utilise. Eu égard au fait que la consultation de ces données ne présente en principe, compte tenu notamment de leur caractère pseudonyme, qu'une très faible utilité pour la personne concernée et que leur libre consultation par toute personne pouvant s'approprier l'ordiphone sur lequel l'application est installée serait de nature à fragiliser la sécurité du dispositif, la Commission estime qu'il résulte des dispositions 11, 15(4) et 23 du RGPD que le ministère peut écarter l'application du droit d'accès. L'application est en effet conçue dans un objectif de santé publique et la pseudonymisation est un élément important pour préserver la vie privée des personnes qui utiliseront ce dispositif.
Sur le droit à l'effacement et le droit d'opposition
La Commission relève que le ministère considère que le droit à l'effacement et le droit d'opposition ne sont pas applicables dans le cadre de la mise en œuvre du dispositif.
D'une part, le ministère estime que les dispositions de l'article 17.3.b et c du RGPD excluent l'application du droit à l'effacement et il entend, d'autre part, déroger au droit d'opposition sur le fondement de l'article 23 du RGPD.
La Commission considère que s'agissant d'un traitement basé sur le volontariat des personnes concernées, le droit à l'effacement et le droit d'opposition devraient être pleinement applicables. Par ailleurs, elle relève qu'en pratique l'AIPD prévoit bien la possibilité, pour l'utilisateur, d'exercer ces droits de manière effective.
En premier lieu, l'utilisateur peut demander l'effacement de ces données directement via l'application tant en ce qui concerne les données stockées sur le terminal que celles disponibles sur le serveur central.
En second lieu, le droit d'opposition se matérialise par la possibilité, pour l'utilisateur, de cesser, à tout moment, d'utiliser l'application en se désabonnant du serveur ou en désinstallant celle-ci du terminal. L'AIPD précise, à cet égard, que le désabonnement doit conduire à l'effacement des données tant en local que sur le serveur central et que la désinstallation conduira à l'effacement des données en local ; les données potentiellement présentes sur le serveur central ne pourront alors plus être rattachées à un utilisateur.
La Commission prend acte de l'engagement du ministère à modifier le projet de décret sur ces points.
Sur les mesures de sécurité
A titre liminaire, la Commission prend acte que le dispositif envisagé a fait l'objet de mesures complémentaires sur un certain nombre de points qu'elle avait relevés dans sa délibération du 24 avril 2020.
En premier lieu, concernant la sécurité du serveur chargé de la centralisation des identifiants des personnes exposées au virus, l'avis de la Commission attirait l'attention sur la nécessité de mettre en œuvre des mesures de sécurité organisationnelles et techniques permettant d'apporter les garanties les plus élevées possibles contre tout détournement de finalité, du fait de la nature centralisée du protocole mis en œuvre au sein de l'application StopCovid . A ce titre, la Commission prend acte de ce que le ministère aura recours à des modules de sécurité afin de protéger les clés de chiffrement permettant l'accès aux identifiants des personnes concernées.
Elle relève également que le responsable de traitement prévoit la mise en place d'un comité regroupant plusieurs entités auxquelles seraient confiés des fragments des clés de chiffrement, afin de garantir l'impossibilité pour un seul acteur d'opérer un détournement d'usage des données. Elle estime qu'une telle mesure est de nature à limiter les risques de détournement de la base centrale, et elle appelle le ministère à inclure dans ce comité des organismes de natures différentes et présentant un haut niveau d'indépendance, et relève que la participation de plusieurs organismes de recherche scientifique serait de nature à accroître encore le niveau de garantie apporté par le dispositif. Elle appelle toutefois le ministère à évaluer spécifiquement le niveau de garantie offert par une telle mesure dans l'AIPD, et à mettre en place des garanties supplémentaires le cas échéant.
En deuxième lieu, sur le recours à des mécanismes cryptographiques, la Commission rappelle s'être prononcée dans son avis sur la nécessité d'utiliser des algorithmes cryptographiques à l'état de l'art et conformes au référentiel général de sécurité édité par l'Agence nationale de la sécurité des systèmes d'information (ANSSI). Elle note à cet égard que le protocole a évolué, l'algorithme de chiffrement 3DES ayant été remplacé par SKINNY-CIPHER64/192, tel que recommandé par l'ANSSI.
En troisième lieu, concernant la publication du code source, le projet de décret mentionne que certains éléments du code informatique de l'application ou du serveur central ne seront pas rendus publics, car cela mettrait en danger l'intégrité et la sécurité de l'application. Même si le paramétrage des logiciels utilisés et le détail des mesures de sécurité n'ont pas vocation à être rendus publics, il est important que l'intégralité du code source soit quant à lui rendu public. La Commission accueille favorablement l'engagement du ministère de rendre public l'intégralité du code source et suggère que le décret soit modifié en conséquence.
Par ailleurs, la Commission relève que l'utilisation du mécanisme de fixation du certificat ( certificate pinning ) sur les applications mobiles constitue une bonne pratique, permettant aux applications d'authentifier de manière sûre le serveur avec lequel elles communiquent et par là même de garantir la stricte confidentialité des données échangées avec le serveur.
La Commission prend acte que seules les personnes individuellement habilitées pourront accéder aux données enregistrées sur le serveur central. Elle rappelle que les modalités d'authentification de ces personnes devront être conformes à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, et que compte tenu de la nature du traitement elle recommande que des mécanismes d'authentification forte soient mis en place.
La Commission prend acte de ce que le fournisseur de l'infrastructure hébergeant la plateforme StopCovid , agissant en qualité de sous-traitant, est qualifié SecNumCloud par l'ANSSI, qu'il est certifié hébergeur de données de santé (HDS) et qu'il met en œuvre des centres de données certifiés ISO/IEC 27001.
En outre, la Commission prend acte que, conformément au référentiel général de sécurité, une homologation de sécurité de StopCovid est prévue, préalablement à la mise en production de l'application. Elle relève également que l'ANSSI est impliquée dans la mise en œuvre de l'application, et qu'un certain nombre de recommandations ont été émises par cette dernière à destination du responsable de traitement.
De plus, la Commission accueille favorablement le fait que des audits de sécurité soient prévus par l'ANSSI tout au long du développement de l'application. La Commission prend acte également que des audits seront réalisés par des tiers.
La Commission prend acte de ce que le ministère prévoit d'avoir recours à un captcha lors de l'initialisation de l'application, afin de vérifier que celle-ci est bien utilisée par une personne physique. Elle relève que le captcha envisagé repose, dans un premier temps, sur l'utilisation d'un service assuré par un tiers. La Commission constate que le recours à ce service est susceptible d'entraîner la collecte de données personnelles non prévues dans le décret, des transferts de données hors de l'Union européenne, ainsi que des opérations de lecture/écriture qui nécessiteraient un consentement de l'utilisateur. La Commission relève également que l'utilisateur final devrait être informé de ces opérations de traitement conformément au RGPD et que la relation avec ce tiers devrait être encadrée par un contrat de sous-traitance. En conséquence, elle appelle le ministère à la vigilance et souhaiterait que des développements ultérieurs de l'application permettent rapidement l'utilisation d'une technologie alternative.
La Commission relève enfin qu'il est prévu que certaines opérations fassent l'objet de mesures de journalisation. Concernant les données relatives aux erreurs techniques, la Commission recommande que seul le minimum de données strictement nécessaire à la vérification du bon fonctionnement du système soit journalisé, et notamment que ces journaux soient exempts d'identifiants ou de clés cryptographiques relatives aux utilisateurs. Concernant la journalisation des actions réalisées par les administrateurs, la Commission recommande que celle-ci soit conservée pendant une durée de six mois dans des conditions permettant de garantir son intégrité, et que des mécanismes d'analyse automatiques soient mis en place afin de détecter toute opération anormale.
La Commission prend acte que des évolutions de l'application et du protocole de suivi des contacts, notamment afin de permettre une interopérabilité à l'échelle de l'Union européenne, sont susceptibles d'être développées à moyen terme. Elle prend également acte de l'intention du ministère de la saisir à nouveau, y compris de façon facultative, pour toute modification qui serait apportée au traitement.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 12 ;
Vu la loi n° 2017-55 du 20 janvier 2017 modifiée portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes, notamment ses articles 8-1 et 14 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2020-173 du 27 février 2020 relatif aux modalités de rémunération des membres des autorités administratives indépendantes et des autorités publiques indépendantes, notamment son article 6 ;
Vu l'arrêté du 27 février 2020 pris en application du décret n° 2020-173 du 27 février 2020 relatif aux modalités de rémunération des membres des autorités administratives indépendantes et des autorités publiques indépendantes, notamment ses articles 4 à 6 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu Mme Marie-Laure DENIS, présidente, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Décide :
Article 1 En savoir plus sur cet article...
Après le chapitre XII de l'annexe à la délibération n° 2013-175 du 4 juillet 2013 susvisée, il est ajouté un chapitre XIII ainsi rédigé :
 Chapitre XIII
Modalités de rémunération des membres de la commission
Article 78
Principes
Sans préjudice des indemnités forfaitaires, prévues par le décret n° 2020-173 du 27 février 2020 et l'arrêté du 27 février 2020 pris pour son application, qui sont allouées à certains membres de la commission en raison de leurs fonctions, des indemnités à la vacation peuvent être versées aux membres de la commission, à l'exception de son président et des députés et sénateurs nommés en cette qualité, dans les conditions fixées aux articles 79 à 85 du présent règlement intérieur.
Article 79
Indemnités à la vacation allouées au titre de la participation aux séances de la commission
Le montant des indemnités allouées aux membres de la commission est fixé à 250 euros par participation effective à toute séance de la formation plénière et de la formation restreinte de la commission.
Le nombre maximal de séances indemnisées par membre à ce titre est respectivement fixé à cinquante par année civile pour la participation aux séances de la formation plénière et à vingt-cinq par année civile pour la participation aux séances de la formation restreinte.
Article 80
Indemnités à la vacation allouées au titre de la présidence des séances de la formation restreinte
Le montant des indemnités allouées au vice-président de la formation restreinte est fixé à 400 euros par présidence effective, en cas d'absence ou d'empêchement du président de cette formation, d'une séance de la formation restreinte de la commission. Cette indemnité n'est pas cumulable avec celle mentionnée à l'article précédent.
Le nombre maximal de séances indemnisées à ce titre est fixé à douze par année civile.
Article 81
Indemnités à la vacation allouées au titre de la présentation des dossiers devant la commission
Le montant unitaire des vacations allouées aux membres de la commission au titre de la préparation et de la présentation des dossiers devant la commission est fixé à 25 euros.
Le fait de préparer et rapporter devant la formation plénière de la commission une délibération ne présentant pas de difficulté technique ou juridique particulière, au sens de l'article 17 du présent règlement intérieur, correspond à deux vacations (50 euros). Le nombre maximal de dossiers indemnisés par membre à ce titre est fixé à soixante-dix par année civile.
Le fait de préparer et présenter oralement une délibération ou un dossier faisant l'objet d'un rapport écrit à la formation plénière ou à la formation restreinte de la commission correspond à quinze vacations (375 euros). En cas de complexité particulière, ce taux est porté à vingt-trois vacations (575 euros). Le nombre maximal de délibérations ou dossiers donnant lieu au versement de ces indemnités, par membre et au titre d'une année civile, est fixé à quarante.
Article 82
Indemnités à la vacation allouées au titre des investigations menées dans le cadre de l'exercice des droits des personnes auprès de la commission
Le montant des indemnités allouées aux membres de la commission au titre des investigations hors des locaux de la commission, dans le cadre de l'exercice des droits des personnes auprès de la commission, est fixé à 250 euros par demi-journée d'investigation.
Le nombre maximal de demi-journées indemnisées par membre à ce titre est fixé à trente par année civile.
Article 83
Indemnités à la vacation allouées au titre des déplacements à l'étranger
Le montant des vacations allouées aux membres de la commission pour se déplacer à l'étranger et participer aux travaux liés à l'activité européenne ou internationale de la commission à l'étranger est fixé à 250 euros par demi-journée.
La participation effective à distance à ces travaux donne lieu au versement de la même indemnité lorsqu'ils sont assimilables à une séance de la commission.
Le nombre maximal de vacations indemnisées par membre à ce titre est fixé à cent par année civile.
Article 84
Indemnités à la vacation allouées au titre de la participation aux travaux d'une instance ou d'un organisme administratifs
Le montant des indemnités allouées aux membres de la commission au titre de leur participation aux travaux d'une instance ou d'un organisme administratifs est fixé à 250 euros par séance de travail effective, dès lors que la participation du membre de la commission concerné résulte de la loi ou d'un acte réglementaire publié au Journal officiel et qu'elle ne fait pas l'objet d'une indemnité versée par l'instance ou l'organisme administratifs concernés.
Le nombre maximal de vacations indemnisées par membre à ce titre est fixé à quinze par année civile.
Article 85
Indemnités à la vacation allouées au titre des autres activités et interventions
Le montant des indemnités allouées aux membres de la commission pour leur participation à toute autre séance de travail, y compris à distance, nécessaire à l'exercice des missions de la commission, est fixé à 100 euros par séance.
Le nombre maximal de séances de travail indemnisées par membre à ce titre est fixé à soixante par année civile. 
Article 2
La présidente et le secrétaire général de la Commission nationale de l'informatique et des libertés sont chargés, chacun pour ce qui le concerne, de l'exécution de la présente décision, qui sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret relatif au traitement de données à caractère personnel relatives aux étrangers sollicitant la délivrance d'un visa ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de l'action sociale et des familles, notamment ses articles L. 251-1 et L.254-1 ;
Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment ses articles L. 611-6 et L. 611-7 et R. 611-8 à R. 611-15 ;
Vu le code de la sécurité sociale, notamment son article L. 160-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 33 ;
Vu le décret n° 2010-112 du 2 février 2010 relatif au référentiel général de sécurité (RGS) ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2012-293 du 13 septembre 2012 portant avis sur un projet de décret relatif à l'application de gestion des dossiers de ressortissants étrangers en France et au traitement automatisé de données à caractère personnel relatives aux étrangers sollicitant la délivrance d'un visa ;
Vu les délibérations n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe et n° 2017-190 du 22 juin 2017 portant modification de la recommandation relative aux mots de passe ;
Après avoir entendu Mme Sophie LAMBREMON, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
1. Le projet de décret en Conseil d'Etat soumis pour avis à la Commission vise à autoriser la consultation de certaines données du traitement relatif aux étrangers sollicitant la délivrance d'un visa (VISABIO) par les organismes de sécurité sociale. Cette consultation doit ainsi permettre la vérification du respect des conditions de prise en charge au titre de l'aide médicale de l'Etat (AME) prévue à l'article L. 251-1 du code de l'action sociale et des familles (CASF) et des soins urgents prévus à l'article L. 254-1 du même code, et plus spécifiquement de l'irrégularité du séjour.
2. La Commission prend acte que cette vérification s'inscrit dans un contexte global de lutte contre le phénomène de fraude à ces dispositifs du fait de ressortissants étrangers qui, étant en situation régulière, ne sont pas en droit d'en bénéficier.
3. Conformément à l'article L. 611-7 du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA) qui prévoit qu' un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, fixe les modalités d'application de l'article L. 611-6. , et aux dispositions du II de l'article 33 de la loi du 6 janvier 1978 modifiée, la modification de ce traitement est soumise pour avis à la Commission.
4. Dans ce contexte, le projet de décret modifie les finalités du traitement VISABIO telles que prévues à l'article R. 611-8 du CESEDA, afin qu'il vise également à faciliter la vérification des conditions d'éligibilité des assurés étrangers aux dispositifs précités. Il modifie également les destinataires de ce traitement tels que prévus à l'article R. 611-12 du CESEDA afin de prévoir à titre d'accédants les agents des organismes de sécurité sociale, qui interrogeront le traitement VISABIO, par l'intermédiaire d'un service web, aux fins de vérification de l'existence ou non d'un visa en cours dans le cadre de l'instruction d'une demande d'AME.
Sur les finalités du traitement et l'ajout de nouveaux destinataires