AgentPublic/cnil huggingface dataset:
La commission relève que seules seront accessibles les  données mentionnées aux 1° b, 2, 3, 4 et 5 du 1 de l'article 2 ; expurgées des textes en clair, de noms d'établissements et de toute indication permettant une localisation au niveau infrarégional . En outre, un comité d'accès aux données ad hoc serait chargé, pour chaque demande d'accès, d'évaluer sa pertinence scientifique ainsi que les risques de ré-identification des personnes au regard des données sollicitées.Excepté une mention relative à la création du comité ad hoc précité chargé de se prononcer sur les demandes d'accès via la plate-forme, la commission observe que le projet n'est pas suffisamment précis sur les modalités d'accès aux données. En outre, le projet prévoit que les  équipes associées RECONAI , mentionnées au II de l'article 4, pourront accéder aux données  sans formalités préalables .A cet égard, la commission demande que re projet soit modifié afin de préciser que :S'agissant des cohortes ELFE et EPIPAGE 2 :Les données mentionnées au 4° et au 5° de l'article 2 (données issues des cohortes appariées avec les données du SNIIRAM associées au  code de confidentialité spécifique ) relatives à chacune des cohortes ne devraient respectivement être accessibles qu'aux équipes de recherche mentionnées au I de l'article 4, sans que des formalités supplémentaires soient nécessaires, le projet autorisant ces traitements, dès lors que chaque équipe accéderait aux données recueillies dans le cadre de l'étude
qu'elle coordonne.S'agissant des autres projets de recherche susceptibles d'être menés à partir des données figurant dans la plate-forme, la commission prend acte de ce que le projet prévoit que ces recherches ultérieures dès lors qu'elles seraient menées par les chercheurs visés au III de l'article 4 ( les autres équipes de recherche, publiques ou privées, françaises ou étrangères travaillant sur la santé, le développement et la socialisation des enfants ) devront respecter les dispositions du chapitre IX de la loi Informatique et Libertés. Toutefois, elle considère que ces formalités sont également requises dès lors que I'INED ou l'INSERM et les équipes de recherche associées mèneraient d'autres projets de recherche qu'ELFE ou EPIPAGE 2.Bien que pour ces autres recherches, le projet prévoit la constitution d'un comité ad hoc chargé de se prononcer sur leur pertinence scientifique et sur les risques de réidentification associés, ce qui parait présenter une garantie pour la confidentialité des données, l'avis de ce comité ne paraît pas pouvoir se substituer à l'autorisation de la commission prévue par la loi Informatique et Libertés selon laquelle tout traitement de données à caractère personnel à des fins de recherche dans le domaine de la santé ou d'évaluation des pratiques de soins doit s'opérer dans le respect des dispositions des chapitres IX et X de la loi précitée.Sur l'information des personnes :L'article 2-II du projet mentionne que  les personnes ayant adhéré à
l'étude ELFE et EPIPAGE 2 sont clairement informées du caractère volontaire et facultatif de leur participation à l'étude et de l'absence de conséquence d'un refus d'y participer, ainsi que de la possibilité de mettre fin à leur participation à tout moment. Le consentement éclairé et exprès doit être obtenu préalablement à la mise en œuvre du traitement des donnees résultant de prélèvements biologiques réalisés dans le cadre de l'étude .En outre, l'article 7 du projet de décret prévoit que l'INED et l'INSERM  mettent en œuvre une information du public sur la plate-forme, ses finalités et les droits des personnes concernées .L'article 57 de la loi lnformatique et Libertés, en application duquel les cohortes ELFE et EPIPAGE 2 ont été initialement autorisées, prévoit que les personnes doivent individuellement être informées notamment de  la nature des informations transmises  et  des personnes physiques ou morales destinataires des données .S'agissant de la cohorte EPIPAGE 2, la commission observe qu'une note d'information intitulée  note d'information pour un recueil de données auprès des caisses d'assurance maladie  est bien prévue, elle précise que les informations transmises aux caisses sont les  noms, prénom, date et lieu de naissance .S'agissant de la cohorte ELFE, la commission observe que le dossier produit à l'appui de la demande mentionne que  dans la note d'information qui leur a été remise, avant de recueillir le consentement, il a bien été précisé que les parents
pouvaient refuser spécifiquement la transmission des données de l'assurance maladie et participer néanmoins à l'étude.S'agissant de la plateforme RECONAI, la commission constate qu'aucune modalité particulière d'information des personnes concernées n'est décrite dans les documents soumis à l'appui de la demande d'avis, autre que les notes précitées précisant que les données seront transmises à l'équipe responsable de la cohorte. La commission relève en outre que ces notes d'information ne précisent ni la nature des données recueillies (seules les données des caisses d'assurance maladie sont mentionnées), ni les modalités de collecte des données issues du SNIIRAM ni les modalités d'exercice du droit d'opposition.La commission demande que les notes d'information des personnes concernées par les cohortes ELFE et EPIPAGE 2 soient complétées afin qu'elles soient conformes à l'article 57 précité.En effet, l'information générale du public prévue à l'article 7 du projet ne paraît, en application de ces mêmes dispositions, pouvoir se substituer à une information individuelle des personnes concernées.Sur les droits d'accès, de rectification et d'opposition des personnes :S'agissant des droits d'accès et de rectificationL'article 7 du projet prévoit que  les droits d'accès et de rectification des données, prévus aux articles 39 et 40 de la loi du 6 janvier 1978  sont exercés auprès de l'Institut national des études démographiques concernant les personnes incluses dans la cohorte ELFE
ou de l'Institut national de la santé et de la recherche médicale concernant les personnes incluses dans la cohorte EPIPAGE 2.La commission demande que le service auprès duquel ces droits s'exercent soit précisé concernant chacun de ces organismes, conformément aux dispositions de l'article 29 (2°) de la loi Informatique et Libertés.S'agissant du droit d'oppositionL'article 2-11 du projet mentionne que  les personnes ayant adhéré à l'étude ELFE et EPIPAGE 2 sont clairement informées du caractère volontaire et facultatif de leur participation à l'étude et de l'absence de conséquence d'un refus d'y participer, ainsi que de la possibilité de mettre fin à leur participation à tout moment. Le consentement éclairé et exprès doit être obtenu préalablement à la mise en œuvre du traitement des données résultant de prélèvements biologiques réalisés dans le cadre de l'étude .Le projet de décret vise à permettre une modification de ces deux traitements consistant en un appariement des données issues des cohortes (données du suivi actif par questionnaires) avec les données issues du SNIIRAM (suivi passif).La commission relève que le dossier soumis à l'appui du projet prévoit une procédure particulière pour l'exercice du droit d'opposition selon laquelle lorsque les titulaires de l'autorité parentale exprimeraient leur souhait de sortir de l'étude à laquelle ils ont accepté de participer, un courrier de confirmation leur serait envoyé pour les informer que leur demande a bien été prise en
considération. Ce courrier indiquerait cependant que les données de l'assurance maladie concernant l'enfant continueraient à être transmises aux coordonnateurs de l'étude, sauf si les titulaires de l'autorité parentale s'y opposent par écrit.La commission estime que le dispositif envisagé doit permettre l'exercice effectif du droit d'opposition et considère que son expression en une seule fois devrait s'appliquer à l'ensemble du traitement dont les personnes ont préalablement été informées. Il est cependant possible que l'expression en une fois du droit d'opposition recouvre diverses composantes. Ainsi les questionnaires adressés chaque année pourraient préciser plusieurs choix possibles aux personnes concernées, au moyen de cases à cocher permettant de s'opposer à la seule participation active à l'enquête en maintenant pour les besoins de la recherche médicale, le traitement des données issues du SNIIRAM, et/ou de s'opposer à la participation passive par le traitement des données issues du SNIIRAM.Sur la sécurité des données :(1) HabilitationsLa commission recommande que le projet d'article 4 soit modifié afin de préciser les habilitations nécessaires pour accéder aux données directement ou indirectement identifiantes.(2) Contrôle d'accès par des chercheurs à la plateforme RECONAIAfin d'accéder aux données, le dossier produit à l'appui de la demande prévoit qu'un chercheur devra demander l'ouverture d'un compte. Cette demande est ensuite traitée par un comité d'accès aux
données qui vérifie que le demandeur est un chercheur appartenant à une équipe de recherche publique labellisée. Lorsque le compte est créé, le chercheur doit ensuite déposer une demande d'accès qui sera validée ou non par le comité.La commission prend acte qu'afin d'accéder aux données, les chercheurs doivent au préalable être authentifiés, au minimum par l'utilisation d'un identifiant et d'un mot de passe dont la complexité doit être conforme aux recommandations de la commission, à savoir que les mots de passe devront disposer d'un minimum de huit caractères et être composés de trois types de caractères distincts parmi les minuscules, majuscules, chiffres et caractères spéciaux. Les mots de passe doivent être modifiés par l'utilisateur dès sa première connexion, puis régulièrement. Enfin, ils ne doivent pas être stockés en clair dans un fichier ou une base de données.En outre, elle précise que le personnel disposant de privilèges élevés sur le système d'information, tels que les administrateurs système ou base de données, doivent disposer de mots de passe comportant un minimum de dix caractères et pour lesquels les autres caractéristiques sont identiques à celles précitées concernant les autres utilisateurs.(3) TraçabilitéLe projet précise que le système assure une traçabilité des actions opérées sur les données d'identification.Les traces des actions opérées sont analysées et des alertes sont remontées en cas d'erreur.Les traces sont conservées pendant cinq ans.A cet
égard, la commission demande que la durée de conservation des traces soit réduite à une durée maximale de six mois.(4) Transferts de données dans le cadre de l'appariement des cohortes ELFE et EPIPAGE 2 avec les données du SNIIRAMLe dossier fourni à l'appui de la demande d'avis prévoit que :La plateforme RECONAI transmet à la Caisse nationale d'assurance vieillesse (CNAV) la liste des nom, prénom, sexe, date et lieu de naissance des parents et des enfants, ainsi qu'un identifiant unique par enfant, le code de confidentialité spécifique. Ces transferts de données sont opérés par courriel chiffré par GnuPG, après échange des clés par courriel.La CNAV interroge le Système national de gestion des identités (SNGI, composante du RNIAM - Répertoire national interrégimes des bénéficiaires de l'assurance maladie) et transmet à la plateforme RECONAI la liste des codes de confidentialité spécifiques pour lesquels la procédure d'identification dans le RNIAM a échoué.La CNAV transmet également à la CNAMTS les données nécessaires à la récupération des données dans le SNIIRAM (code de confidentialité spécifique, NIR de l'assuré, le sexe, année de naissance du bénéficiaire - mère ou enfant). Pour ce faire, la CNAV dépose un fichier chiffré par GnuPG sur une plate-forme mise à disposition par la CNAMTS.Dès réception des données, la CNAMTS applique la fonction d'occultation des informations nominatives (FOIN) aux NIR, consistant en une pseudonymisation du NIR par application de deux fonctions
de hachage successives, permettant d'obtenir l'identifiant des individus dans le SNIIRAM. Après extraction des données correspondantes, un fichier comportant les données du SNIIRAM associées au code de confidentialité spécifique est transmis au système d'information RECONAI.Ces transferts de données sont opérés par l'intermédiaire d'une plate-forme sur laquelle les personnes habilitées pourront récupérer les données chiffrées et protégées par un mot de passe. Ils seront réalisés par l'utilisation des protocoles sécurités SSH ou SFTP.La commission prend acte des mesures de sécurité suivantes qui encadrent l'appariement des données des cohortes avec les données du SNIIRAM :
- chiffrement de fichiers en asymétrique (clé privée + clé publique envoyée par courriel) afin de protéger la confidentialité et l'intégrité des fichiers ;- chiffrement du canal de communication afin de protéger la confidentialité et l'intégrité du moyen de communication par lequel passeront les fichiers ;- réplication des données en RAID afin de protéger la disponibilité des données reçues ;-  authentification  des usagers par Identifiant et mot de passe afin de contrôler leurs accès aux données.
Il est également prévu qu'avant chaque nouvelle interrogation annuelle du SNIIRAM, la plateforme RECONAI transmet à la CNAMTS la liste des identifiants d'enfants (code de confidentialité spécifique) ne participant plus au projet et dont les parents ne se sont pas opposés au suivi passif. A cet égard, la commission renvoie à ses précédentes observations et demande que la procédure soit modifiée afin que seuls les enfants dont les représentants légaux ont consenti au suivi passif soient concernés dès lors qu'ils auraient exercé leur droit d'opposition. A défaut, la plate-forme ne doit pas transmettre les identifiants de ces personnes à la CNAMTS.(5) Transferts de données dans le cadre de la mise à disposition aux chercheurs sur un serveur distinctDans le dossier produit à l'appui de la demande d'avis, il est indiqué que les données seront ouvertes à d'autres projets de recherche, notamment internationaux, et qu'à cette fin une demande d'accès devra être opérée et une convention signée avec les chercheurs demandeurs.La commission prend acte de ce qu'une procédure est mise en place afin de réduire le risque d'accès non autorisé (validation préalable, mise à disposition temporaire et suppression du fichier) et que les fichiers mis à disposition des chercheurs habilités sur un serveur sécurisé seront préalablement chiffrés, la clé de chiffrement symétrique étant transmise par contact téléphonique au demandeur.Sur les modalités et la durée de conservation des données :Le dossier
produit à l'appui de la demande précise les éléments suivants :La CNAV conservera les données le temps de la procédure d'identification (récupération des NIR), puis supprimera les fichiers.La CNAMTS conservera le fichier transmis par la CNAV le temps d'appliquer la fonction FOIN au NIR afin d'obtenir les identifiants SNIIRAM. Le fichier comportant le NIR sera -supprimé après cette procédure, mais la correspondance entre le code de confidentialité spécifique et l'identifiant du SNIIRAM sera conservée pour les extractions annuelles.Le fichier contenant les données du SNIIRAM, transmis à la plateforme RECONAI est stocké sur DVD conservé dans un coffre-fort ignifuge.L'article 6 du projet indique que les données seront collectées pendant vingt ans pour la cohorte ELFE et douze ans pour la cohorte EPIPAGE 2.Cet article précise que les données seront conservées  pendant la durée nécessaire à chacune de ces études, soit dix ans après l'arrêt définitif de la collecte .Compte tenu de l'investissement nécessaire à la constitution et au suivi régulier des cohortes ainsi que des enjeux de ces études en termes de santé publique, la commission estime que les données nécessaires aux analyses peuvent être conservées pendant une telle durée ; conformément aux dispositions de l'article 6 (5°) de la loi Informatique et Libertés qui prévoient qu'elles doivent être conservées pour une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.Les
autres points du projet de décret n'appellent pas, en l'état et au regard de la loi du 6 janvier 1978 modifiée, d'autre observation de la part de la commission.
La Commission nationale de l'informatique et des libertés,
Saisie par la Présidente de la Commission nationale de  l’informatique et des libertés d’une demande d’autorisation concernant la mise  en œuvre par la Commission nationale de   l’informatique et les libertés de traitements de données à caractère  personnel lui permettant d’assurer les missions qui lui sont confiées au titre  de la loi du 6 janvier 1978 modifiée ;
Vu la convention n° 108 du Conseil de l’Europe pour la  protection des personnes à l’égard du traitement automatisé des données à  caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du  24 octobre 1995 relative à la protection des personnes physiques à l’égard du  traitement des données à caractère personnel et à la libre circulation de ces  données ;
Vu le code du patrimoine ; 
Vu le code pénal, notamment ses articles 226-16 à 226-24 ;  
Vu le code des relations entre le public et l’administration,  notamment son article L. 114-2 ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à  l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3 °;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour  l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique,  aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, vice-président, et  après avoir entendu les observations de M. Jean-Alexandre   SILVY, commissaire du Gouvernement,
Émet l’avis suivant :
 
La Commission nationale de l’informatique et des libertés a été saisie d’une demande d’autorisation dont l’objet est de modifier les traitements visés par la délibération n° 2005-161 du 21 juin 2005 autorisant les services de la Commission à mettre en œuvre un traitement de données à caractère personnel relatif à la gestion des déclarations, demandes d’avis et demandes d’autorisation de traitements de données personnelles et des saisines qui lui sont adressées. 
 
Cette demande vise notamment à tenir compte de la désignation par la Commission d’un correspondant à la protection des données à caractère personnel, au sens de l’article 22 de cette même loi, et de la mise à jour des traitements devant désormais faire l’objet d’une inscription à son registre.
 
Ces traitements permettent à la Commission d’exercer les différentes missions dont elle est investie par la loi du 6 janvier 1978 modifiée. Ils sont susceptibles de porter notamment sur des données relatives aux infractions, condamnations ou mesures de sûreté, au sens de l’article 9 de ladite loi. Il y a dès lors lieu de faire application des dispositions prévues à l’article 25-I-3° de cette même loi, qui soumettent à autorisation de la Commission de tels traitements. 
 
Plus précisément, les traitements projetés ont pour finalités de lui permettre :
-       de recevoir et d’instruire les réclamations, pétitions et plaintes relatives à la mise en œuvre de traitements de données à caractère personnel, conformément aux dispositions de l’article 11-2°-c) de la loi du 6 janvier 1978 modifiée ;
-       de répondre aux demandes d’accès concernant les traitements relevant des articles 41 et 42 de la loi   Informatique et Libertés  ; 
-       de procéder ou de faire procéder, dans les conditions prévues à l’article 44 de cette même loi, à des vérifications portant sur tout traitement de données à caractère personnel ;
-       d’assurer le suivi et la gestion des mises en demeure et des procédures de sanction devant la formation restreinte, conformément à l’article 45 de cette même loi ; 
-       de répondre aux réquisitions judiciaires ou demandes d’avis des autorités judiciaires et de procéder, le cas échéant, à des dénonciations au Parquet ;
-       d’assurer le suivi et la gestion des procédures contentieuses devant les juridictions concernées.  
 
Les traitements mis en œuvre doivent également permettre l’élaboration de statistiques sur l’activité des services et les types de dossiers traités, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Les données traitées sont relatives à l’identification (nom, prénom et adresse) et à la vie professionnelle (situation professionnelle) des personnes concernées par les traitements (responsables de traitements et responsables des lieux servant à la mise en œuvre d’un traitement, ou leurs représentants, requérants, plaignants et mis en cause). Ces traitements peuvent également comporter l’ensemble des informations transmises, de manière déclarative, par les requérants ou plaignants, ainsi que les données à caractère personnel figurant sur les documents ou supports d’information dont les membres et agents de la Commission peuvent prendre copie ou obtenir communication dans l’exercice de leurs missions, conformément aux dispositions des articles 41 et 44 de la loi du 6 janvier 1978 modifiée. 
 
En outre, les données traitées sont relatives à l’identification (nom, prénom) et à la vie professionnelle (situation professionnelle) des membres et agents de la CNIL, ainsi qu’aux décisions et aux actes d’instruction et de procédure produits dans le cadre de leurs missions.
Parmi l’ensemble de ces données peuvent ainsi figurer des données relatives à des infractions, condamnations et mesures de sûreté, et notamment à des manquements à la loi  Informatique et Libertés , qui peuvent par ailleurs être constitutifs des infractions pénales prévues et réprimées aux articles 226-16 à 226-24 du code pénal, imputés soit à des personnes morales dont les représentants sont identifiés ou identifiables, soit à des personnes physiques.
 
L’article 9-1° de ladite loi énonce à cet égard que les traitements portant sur de telles données peuvent être mis en œuvre par les autorités publiques agissant dans le cadre de leurs attributions légales. Tel est le cas de la Commission, à laquelle l’article 11-2° de la loi  Informatique et Libertés  confie la mission de veiller à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de ladite loi. 
 
Les durées de conservation de ces données correspondent aux durées d’utilité administrative telles que définies dans le cadre de l’instruction du 20 décembre 2011 cosignée par la Présidente de la Commission et le directeur des Archives de France. 
 
À l’expiration de ces durées, les données sont soit reversées aux Archives de France soit détruites de manière sécurisée, dans les conditions prévues au code du patrimoine.
Les personnes accédant directement aux données sont, dans la limite de leurs attributions respectives et du besoin d’en connaître, les membres et agents habilités de la Commission. 
 
Peuvent également être destinataires de ces données, dans le cadre des missions qui leur sont confiées, le commissaire du Gouvernement, en application des dispositions de l’article 18 de la loi du 6 janvier 1978 modifiée et de l’article 73 du décret n° 2005-1309 du 20 octobre 2005 modifié, le Procureur de la République, conformément à l’article 11-2°-e) de la loi du 6 janvier 1978 modifiée et à l’article 40 du code de procédure pénale, ainsi que les autorités judiciaires ou administratives saisies de litiges en lien avec l’exercice des missions de la Commission. 
 
En outre, dans l’hypothèse où une demande qui ne relève pas de sa compétence est adressée à la Commission, cette dernière la transmet, en application de l’article L. 114-2 du code des relations entre le public et l’administration, à l’administration compétente et en avise l’intéressé. 
 
Les personnes concernées par les traitements sont informées de l’ensemble des mentions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée, par le biais de mentions spécifiques figurant sur les documents qui leur sont remis lors des missions de contrôle sur place, sur les courriers qui leur sont adressés, ainsi que sur le site internet de la Commission.