AgentPublic/cnil huggingface dataset:
La Commission observe que durant la phase d’apprentissage et de conception, l’élaboration des différents outils permettant notamment de collecter, d’analyser ou encore de créer des indicateurs à partir des contenus librement accessibles et manifestement rendus publics seront développés à partir d’un échantillon de données. 
Elle relève que pour l’administration fiscale, l’échantillon de données est composé par des données d’identification d’entreprises préalablement sélectionnées (pour la recherche d’activité occulte) et des données d’identification de personnes physiques également préalablement identifiées (pour la recherche de fausse domiciliation à l’étranger). Cet échantillon sera par ailleurs limité à environ une centaine d’entreprises pour la recherche d’activité occulte et à une liste réduite de personnes pour la fausse domiciliation à l’étranger (une dizaine de personnes). Des garanties ont été mises en place s’agissant de la collecte des contenus (écrits, images, photographies, sons, signaux, vidéos, ou contenus de toute nature, y compris diffusés en temps réel) au travers par exemple d’une durée de conservation limitée des données ou encore de l’absence de ciblage des individus à partir de ces dernières.
Par ailleurs la Commission prend acte que l’ampleur de l’échantillon constitué par l’administration des douanes et droits indirects sera limité à ce qui est strictement nécessaire pour développer des indicateurs et critères de pertinence et que les données seront collectées uniquement sur des pages internet en lien avec le tabac . 
- Sur les données collectées durant la phase d’exploitation
La Commission relève qu’il est prévu, pendant la phase d’exploitation, la possibilité de collecter l’ensemble des contenus énumérés pendant la phase d’apprentissage (écrits, vidéo, photographies, etc.) correspondant aux indicateurs, pour la recherche de l’exercice d’une activité occulte ou les délits douaniers visés par la loi, ou correspondant aux outils d’identification de personnes et les outils d’identification géographique pour la recherche d’infraction aux règles de domiciliation fiscale.
Elle relève ainsi que ce n’est qu’à l’issue de la phase d’apprentissage et de conception, c’est-à-dire lors de l’identification des indicateurs et la configuration des outils de collecte et d’analyse, qu’il sera possible de déterminer précisément les données à caractère personnel traitées dans le cadre de la phase d’exploitation. La Commission considère que, si les indicateurs retenus à l’issue de la phase d’apprentissage et de conception sont raisonnables et efficaces, les données traitées dans le cadre de la phase d’exploitation pourront être considérées comme pertinentes et proportionnées au regard de l’objectif général du traitement, à savoir la lutte contre la fraude. Elle relève néanmoins que le choix du gouvernement de réglementer dans un même décret, dès le départ, les traitements utiles à la conception du dispositif expérimental et ceux correspondant au fonctionnement de l’expérimentation elle-même, conduit à ne pas pouvoir énumérer de façon précise dans l’acte réglementaire les données collectées durant la phase de fonctionnement, alors même que, à juste titre, pour minimiser les données traitées, ne seront collectées que les données correspondant aux indicateurs élaborés. 
Indépendamment de ce qui précède, la Commission souligne la nécessité d’encadrer la phase d’exploitation par un acte réglementaire spécifique.
Sur la transmission des données aux traitements CFVR et 
 valorisation des données pour l’analyse de risque
Les articles 7 à 9 du projet de décret prévoient que certaines données collectées feront l’objet d’un rapprochement  avec les données enregistrées dans les traitements CFVR et valorisation des données pour l’analyse de risque .
La Commission relève que le rapprochement  projeté constitue en réalité une transmission de ces données suivie d’une comparaison de celles-ci avec les données contenues dans CFVR et valorisation des données pour l’analyse de risque , laquelle est opérée directement au sein de ces traitements-ci. Elle observe que les résultats de ce rapprochement ne sont pas intégrés au dispositif global de collecte de données sur les réseaux sociaux, l’article 4 b) du projet de décret faisant uniquement mention du transfert de données pour les traitements visés au II des articles 7, 8 et 9. . La Commission considère ainsi que la terminologie employée aux articles 7 à 9 du projet de décret mériterait d’être explicitée. Sur ce point, la Commission prend acte de l’engagement du ministère d’expliciter les opérations de transfert et de comparaison des données dans le projet de décret.
En ce qui concerne les modalités de ce rapprochement , la Commission prend acte des éléments apportés par l’administration fiscale selon lesquels seules les tables d’indicateurs associant des références de comptes (un titulaire de compte) et la présence des indicateurs seront transmises seront transmises à CFVR à l’exclusion des données brutes  collectées sur les plateformes et réseaux sociaux.
En outre, sur le périmètre des données pouvant faire l’objet d’un rapprochement avec le traitement valorisation des données et analyse des risques , le ministère a précisé que le transfert des données sera strictement limité aux données correspondant aux indicateurs, expurgées des données sensibles et des données qui ne sont pas de nature à concourir à la constatation des infractions et manquements visés dans le cadre de l’article 154 de la loi de finances précitée, et que celles-ci seront par la suite sélectionnées sur la base de scoresLa Commission considère que le contrôle effectué sur les données avant leur transmission doit permettre de garantir la proportionnalité de celles-ci au regard de l’objectif poursuivi. 
Sur les mesures de sécurité
La Commission relève que des solutions de chiffrement permettant d’assurer un niveau adéquat de protection des données et de respect de leur confidentialité sont mises en œuvre tant pour l’administration fiscale que pour l’administration des douanes et droits indirects.
La Commission observe par ailleurs que des mesures sont mises en place afin de garantir un strict accès aux données et que seules les personnes dûment habilitées et dans la limite du besoin d’en connaître pourront y accéder comme l’indique l’article 11 du projet de décret.
Concernant la traçabilité des actions, la Commission relève que l’article 10 du projet de décret prévoit que les opérations de collecte, de modification, de consultation, de communication, d'interconnexion et d'effacement des données font l’objet d’une journalisation et que ces données de journalisation ne seront consultables que par les personnes habilitées.
Les autres mesures de sécurité n’appellent pas de remarques de la Commission. 
 
La Présidente 
M.-L. DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant un projet de décret modifiant le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé StopCovid ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 6-III ;
Vu la loi n° 2020-1379 du 14 novembre 2020 autorisant la prorogation de l'état d'urgence sanitaire et portant diverses mesures de gestion de la crise sanitaire ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78- 17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé StopCovid ;
Après avoir entendu Mme Marie-Laure DENIS, Présidente, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations ; 
Emet l’avis suivant :
La Commission a été saisie en urgence, par le ministre des solidarités et de la santé, d’une demande d’avis relative à un projet de décret modifiant le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé StopCovid . Le projet de décret vise à faire évoluer les conditions de mise en œuvre des traitements de données nécessaires au fonctionnement de l'application désormais dénommée TousAntiCovid , notamment dans la perspective d’un nouveau déconfinement et de la réouverture de certains établissements recevant du public (ERP).
Les évolutions envisagées visent principalement à introduire dans l’application TousAntiCovid un dispositif numérique d’enregistrement des visites dans de tels lieux, afin de faciliter l’alerte des personnes les ayant fréquentés sur une plage horaire similaire à celle d’une ou de plusieurs personnes ultérieurement dépistées ou diagnostiquées positives à la COVID-19. Le projet de décret a également vocation à permettre la collecte et le traitement de nouvelles données nécessaires à la lutte contre l’épidémie et à intégrer les évolutions successives de l’application depuis le déploiement de sa version 2.0 en octobre dernier.
Prises dans leur ensemble, ces modifications ont pour effet de faire évoluer l’application vers un portail comprenant plusieurs fonctionnalités reposant, le cas échéant, sur des traitements de données poursuivant des finalités distinctes et dont les modalités de mise en œuvre sont propres à chacune d’entre elles. Le ministère souhaite, pour des raisons de transparence, encadrer l’ensemble des traitements de données susceptibles d’intervenir dans le cadre de l’utilisation de l’application, et non le seul traitement de données de santé ayant rendu nécessaire la prise d’un décret en Conseil d’Etat pris après avis de la Commission. Outre le fait qu’il semble que le décret pourrait gagner en lisibilité, cette saisine appelle les observations suivantes.
S’agissant du dispositif relatif aux codes-QR utilisés dans certains lieux
Ce nouveau dispositif disponible dans l’application TousAntiCovid a vocation à alerter les personnes utilisatrices qu'elles ont été présentes dans un lieu clos (ci-après dénommé lieu contact ) permettant le rassemblement ou la réunion de plusieurs personnes et sur une période pendant laquelle elles auraient pu être contaminées par une ou plusieurs personnes ultérieurement diagnostiquées ou dépistées positives à la COVID-19. Il repose sur un protocole dénommé TAC- WARNING (ci-après TAC- W ), distinct du protocole ROBERT et de la fonctionnalité de suivi des contacts.
En pratique, il repose sur la mise à disposition, par les responsables des ERP, de codes-QR que les personnes sont invitées à scanner, à l’entrée ou à l’intérieur de ces locaux, avec l’application TousAntiCovid . Ces codes-QR et la plage d’horaire concernée sont enregistrés dans l’application. Lorsqu’un utilisateur se signale comme positif au virus, l’application adresse au serveur central TAC-W la liste des codes-QR scannés, qui représente donc la liste des ERP qu’il a fréquentés. Cette liste de lieux contacts est enregistrée sur le serveur. Par ailleurs, l’application de chaque utilisateur interroge régulièrement ce serveur central en lui envoyant la liste des codes-QR scannés par celui-ci et, lorsque le serveur TAC-W identifie une concordance entre un des lieux remontés et un lieu contact déjà enregistré, il notifie l’utilisateur qu’il a pu être exposé dans un des lieux qu’il a fréquentés.
La nature de la notification reçue pourra varier en fonction du risque de contamination encouru, calculé par le serveur TAC-W sur la base de préconisations à venir des autorités sanitaires. Ainsi, les personnes ayant fréquenté un lieu pendant la même plage horaire qu’une ou plusieurs personnes déclarées positives seront notifiées en tant que contact à risque modéré. Au-delà d’un certain seuil permettant d’identifier la présence d’un cluster, les utilisateurs pourront être notifiés comme contact à risque élevé comme dans le protocole ROBERT.
Sur la nécessité et la proportionnalité du dispositif
L’introduction d’une telle fonctionnalité doit contribuer à renforcer l’utilité sanitaire de l’application en permettant à un plus grand nombre d’utilisateurs d’être informés des contacts à risques qu’ils ont croisés. Elle a ainsi vocation à compléter la fonctionnalité de suivi des contacts reposant sur l’utilisation de la technologie de communication de proximité Bluetooth pour évaluer la proximité entre deux ordiphones, de manière à tenir compte des risques particuliers de contamination liés à la fréquentation des ERP et autres lieux accueillant plusieurs personnes.
Conformément aux recommandations de Santé Publique France, ces lieux sont en effet susceptibles de présenter un risque élevé d’exposition au virus, lorsque les personnes qui les fréquentent ne sont pas en mesure de s’assurer du respect des gestes barrières (salles de sport, restaurants, bars, etc.), ou un risque modéré lorsque ces mesures barrières doivent être mises en œuvre mais qu’une rupture de cette protection y est possible (transports publics, lieux culturels, lieux de culte, etc.).
Au regard de ces éléments, la Commission estime que l’utilité, au stade actuel de la lutte contre l’épidémie, d’un dispositif complémentaire d’identification des contacts à risque de contamination est suffisamment démontrée.
Elle rappelle toutefois que les atteintes aux droits au respect de la vie privée et à la protection des données à caractère personnel doivent non seulement être nécessaires à la poursuite d’un intérêt général, comme cela est le cas en l’espèce, mais également être proportionnées à cet objectif. Elle souligne en outre que l’enregistrement des lieux fréquentés par les personnes révèle des informations relevant de leur vie privée, voire des données sensibles bénéficiant d’un régime de protection spécifique prévu par le règlement général sur la protection des données (RGPD) dans certains cas, comme par exemple en cas de fréquentation de lieux de culte. Le traitement de ces informations, et en l’espèce par les pouvoirs publics, doit donc faire l’objet de la plus grande vigilance.
A cet égard, la Commission relève que l’architecture technique et fonctionnelle du dispositif apporte plusieurs garanties substantielles, de nature à en assurer la proportionnalité. En particulier, le dispositif ne recourt pas à une technologie de géolocalisation ni n’implique le suivi des déplacements des utilisateurs de l’application. Il repose sur la seule conservation dans le serveur central TAC-W de la liste des lieux contacts, sans lien avec un quelconque identifiant d’utilisateur, minimisant ainsi le risque de rattacher l’ensemble des lieux fréquentés à l’utilisateur et de pouvoir ainsi reconstituer un historique de certains de ses déplacements.
En outre, si l’interrogation du serveur central nécessite que l’application d’un utilisateur lui transmette la liste des lieux qu’il a fréquentés associés à un horodatage, cette interrogation ne fait pas intervenir, d’après les éléments fournis par le ministère, d’identifiant de l’application, de la personne ou de son terminal. La Commission relève également que les modalités de stockage et de comparaison des lieux fréquentés font l’objet de mesures visant à limiter les risques d’identification de ces lieux par des tiers. Enfin, la collecte et le traitement de données opérés pour cette fonctionnalité revêtent un caractère temporaire et ces données sont strictement séparées de celles traitées dans le cadre du protocole ROBERT (aucun identifiant commun et des serveurs centraux distincts pour les deux fonctions).
Le ministère a ainsi fait le choix d’une architecture dans laquelle l’application interroge le serveur en envoyant régulièrement l’historique des lieux fréquentés et enregistrés par l’application, et non celui d’une architecture dans laquelle les codes-QR des lieux contacts seraient diffusés par le serveur à tous les utilisateurs, permettant la comparaison, en local, des lieux contacts sur chaque application. Néanmoins, au regard de l’ensemble des éléments, la Commission estime que le dispositif projeté est de nature à réduire les risques que fait peser le traitement de données sur les droits et libertés fondamentaux des personnes concernées et rendent l’atteinte proportionnée à l’utilité estimée du dispositif dans le contexte de la crise sanitaire actuelle.
Elle relève en revanche que l’étendue de la collecte et du traitement de données dont les utilisateurs de l’application feront l’objet est conditionnée à certains choix qui n’ont pas pu être portés à sa connaissance, sur la liste précise des ERP concernés, sur le caractère obligatoire ou non, pour ces établissements, de mettre à disposition un code-QR, ou encore sur l’obligation faite aux personnes concernées d’enregistrer leurs visites afin que celles-ci puissent être alertées en cas de risque de contamination. La Commission n’est donc pas pleinement en mesure d’apprécier la proportionnalité de la collecte envisagée.
Elle prend néanmoins acte des précisions du ministère selon lesquelles, dans l’hypothèse où l’enregistrement des visites constituerait une obligation pour les personnes concernées (clients, visiteurs, employés, etc.), deux dispositifs, l’un numérique (codes-QR), l’autre non numérique (un cahier de rappel par exemple), seraient mis à leur disposition par les responsables des établissements visés. Elle rappelle qu’il s’agit d’une garantie essentielle, dans la mesure où l’utilisation d’une application sur la base du volontariat ne saurait par nature conditionner l’accès à certains lieux, notamment s’agissant d’établissements pouvant recevoir du public (transports en commun, salles de sport, restaurants, bars, etc.). Par ailleurs, elle appelle l’attention du ministère sur la nécessité de s’assurer que tout dispositif alternatif non numérique respecte les normes d’accessibilité, afin de permettre aux personnes en situation de handicap qui n’utiliseraient pas l’application d’accéder aux lieux concernés.
Elle prend également acte de ce que le périmètre précis du dispositif fera prochainement l’objet d’arbitrages par les autorités sanitaires compétentes. Afin de minimiser l’atteinte portée au droit à la protection des données à caractère personnel, la Commission recommande que le caractère obligatoire du dispositif soit, le cas échéant, limité aux seuls ERP présentant un risque élevé. Elle appelle en outre à la plus grande vigilance s’agissant des lieux dont la fréquentation est susceptible de révéler des données faisant l’objet d’une protection particulière, tels les lieux de culte ou les lieux de réunion syndicale ou politique. Elle recommande que le dispositif ne soit pas rendu obligatoire dans ces lieux et que des mesures sanitaires appropriées, complémentaires au dispositif des enquêtes sanitaires de droit commun, soient prévues afin de limiter suffisamment le risque de contamination.
La Commission invite enfin le ministère à prévoir de nouvelles garanties de nature à minimiser davantage les risques de traçage des utilisateurs, telles qu’une limitation de la durée de validité des codes-QR voire l’utilisation de codes à usage unique.
Sur les dispositions du projet de décret
L’intégration du dispositif précité de codes-QR dans l’application TousAntiCovid implique la modification du décret n° 2020-650 du 29 mai 2020 susvisé sur plusieurs points et appelle les observations suivantes de la Commission.
A titre liminaire, la Commission invite le ministère à modifier le second alinéa de l’article 1-I du décret n° 2020-650 précité afin de préciser que le dispositif repose sur deux serveurs centraux distincts.
En premier lieu, il est prévu d’ajouter, au projet d’article 1-II-7° dudit décret, une finalité rendant compte du dispositif de code-QR tel que présenté ci-dessus. La Commission relève que la rédaction projetée est très proche de la finalité d’alerte des cas contacts préexistante du traitement TousAntiCovid prévue au 1° des mêmes dispositions, qu’il n’apparaît pas impérativement nécessaire de modifier sur ce point. Elle relève en outre que les spécifications du protocole TAC-W indiquent que l’objectif spécifique de la solution consiste également à permettre l’identification des clusters potentiels dans les lieux clos rassemblant du public. Elle demande dès lors la modification du projet de décret sur ces deux points.
En deuxième lieu, le projet d’article 2-I-12° du décret n° 2020-650 du 29 mai 2020 entend permettre la collecte des informations relatives à la fréquentation d'un lieu clos permettant le rassemblement ou la réunion de plusieurs personnes obtenues par un QR-code mis à disposition à l'intérieur ou devant ce lieu et précise que ces informations sont stockées sur le serveur central en vue d'informer l'utilisateur qu'il a été en contact avec une personne diagnostiquée ou dépistée positive au virus du covid-19 et ayant fréquenté le même lieu durant la même plage horaire .
A cet égard, la Commission considère que le projet de décret définit trop largement les données collectées dans ce cadre et ne comporte dès lors pas les garanties juridiques de nature à assurer le respect du principe de minimisation des données traitées établi par l’article 5.1.c du RGPD alors même que, conformément aux éléments transmis par le ministère, ces données apparaissent effectivement limitées à ce qui est nécessaire au regard de la finalité. Elle invite ainsi le ministère à modifier le projet de décret afin de préciser les catégories de données collectées au titre de cette nouvelle finalité et prend acte, à cet égard, de l’absence de traitement de l’identifiant de l’application spécifique à chaque utilisateur.
En outre, la rédaction actuelle du projet de décret laisse ouverte la possibilité d’une conservation générale et indifférenciée, au sein du serveur central, des informations relatives à tous les lieux fréquentés par l’ensemble des utilisateurs de l’application. La Commission considère que le projet de décret devrait être modifié afin de préciser, conformément aux éléments transmis par le ministère, que seules les informations relatives aux lieux fréquentés par les utilisateurs qui se sont déclarés positifs dans l’application font l’objet d’un stockage au sein du serveur central. Cet élément constitue en effet, à ses yeux, une garantie substantielle.
En troisième lieu, le projet de décret précise que les données sont conservées sur le serveur central pendant quinze jours à compter de leur enregistrement par l’application de l’équipement mobile de la personne concernée.
Si cette durée n’appelle pas d’observation de la part de la Commission, elle invite le ministère à préciser également dans le projet de décret la durée de conservation des données stockées localement, ainsi que la possibilité offerte à l’utilisateur de l’application de supprimer, à tout moment, un lieu visité de son historique, directement depuis son terminal.
Sur l’information des personnes concernant le dispositif relatif aux codes-QR