AgentPublic/cnil huggingface dataset:
Elle observe que le projet d’enquête, qui vise principalement à collecter des données objectives, ne repose pas sur l’origine ethnique ou prétendument raciale des personnes interrogées. Si certaines questions, telles que celles relatives aux expériences de discrimination, impliquent la collecte de données subjectives, la Commission estime que cette enquête n’a pas pour objet, même indirectement, de classifier les personnes interrogées en fonction soit de leur origine ethnique ou prétendument raciale déclarée, soit d’un référentiel ethno-racial. Dans ces conditions, elle estime que les questions posées ne sont pas contraires à la décision précitée du Conseil Constitutionnel.
En outre, la Commission rappelle que, dans la mesure où l’INED n’est pas un service statistique ministériel, il ne peut pas mobiliser l’exception prévue à l’article
44-2° de la loi du 6 janvier 1978 modifiée pour traiter des données sensibles à des fins statistiques dans le cadre de MFV2. Elle rappelle ainsi que l’INED s’inscrit dans le cadre des dispositions de l’article 44-6° de cette même loi lui permettant le traitement de données sensibles pour des traitements nécessaires à la recherche publique sous réserve que des motifs d’intérêt public important les rendent nécessaires.
Sur les droits des personnes
En premier lieu
, la Commission rappelle que conformément aux dispositions de l’article 12 du RGPD, le responsable du traitement est tenu de prendre des mesures appropriées pour fournir aux personnes concernées des informations sur le traitement et leurs droits 
d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples. .
 Elle prend acte qu’une lettre-avis rédigée en français doit être adressée par courrier au domicile de la personne devant être interrogée, que les enquêteurs sont tenus de s’assurer de la bonne réception de la lettre-avis et qu’ils sont en capacité d’en fournir une copie avant de débuter la collecte des données si nécessaire.
La Commission demande cependant que les lettres-avis soient complétées afin d’y faire figurer l’ensemble des mentions listées à l’article 13 du RGPD. En particulier, elle invite l’INED à mentionner explicitement la base légale du traitement et indiquer que les réponses pseudonymisées seront mises à disposition de chercheurs extérieurs à l’INED. La Commission invite également à préciser l’information sur les délais de conservation des données à caractère personnel afin d’indiquer, d’une part, que les données nominatives nécessaires à la réalisation de post-enquêtes qualitatives seront conservées jusqu’à la fin de l’année 2023 et, d’autre part, pour indiquer que les réponses seront conservées sous forme pseudonymisée pour une durée de cinq ans à compter de la dernière valorisation, elle-même prévue dans un délai de quatre ans à l’issue de la collecte. L’adresse postale permettant de contacter par courrier le délégué à la protection des données de l’INED devra également être modifiée afin de tenir compte du changement d’adresse de l’INED.
Ces éléments rappelés, elle prend acte, que la lettre-avis informera les personnes de leurs droits d’accès, de rectification, d’effacement et de limitation pour les données les concernant, qu’elles pourront exercer auprès de l’INED pendant la période de conservation des données permettant leur identification directe. A l’issue du processus de pseudonymisation des données, les mêmes procédures seront appliquées pour répondre aux demandes d’exercice de ces droits uniquement s’il est possible de retrouver la personne concernée dans le fichier à partir des informations qu’elle aura fournies.
Par ailleurs, elle invite l’INED à prendre des mesures appropriées pour s’assurer que les personnes enquêtées non-francophones ont effectivement reçu ces informations au plus tard au moment de la collecte.
En deuxième lieu
, la Commission relève que le projet d’enquête prévoit de demander aux répondants s’ils acceptent de fournir les coordonnées de leurs enfants majeurs (numéro de téléphone et adresse électronique) lorsque ces derniers vivent en dehors du département. Ces coordonnées devront permettre de contacter ultérieurement ces enfants afin de leur proposer de participer à une enquête complémentaire facultative sur leur vision de leur avenir et de celui de leur département d’origine et, plus particulièrement, sur leur éventuel retour au pays ainsi que les conditions de celui-ci et l’accompagnement, voire la prise en charge, de leurs parents vieillissants et les modes d’organisation afférents.
Elle rappelle dès lors qu’une information spécifique doit être communiquée, dans les conditions prévues par l’article 14 du RGPD, aux enfants majeurs dont les données ont été collectées. A cet égard, si la Commission prend acte des précisions apportées par l’INED selon lesquelles la fourniture de cette information dans le délai d’un mois prévu par le RGPD engendre des difficultés d’ordre technique, elle rappelle qu’à défaut de pouvoir justifier de l’impossibilité de procéder à cette information ou des efforts disproportionnés que cela impliquerait, l’INED demeure dans l’obligation de contacter les enfants majeurs concernés afin de leur communiquer les informations requises et recueillir leur consentement pour participer à une enquête complémentaire facultative.
En troisième lieu
, la Commission relève que, compte tenu du caractère obligatoire de l’enquête, les personnes seront tenues d’y répondre avec exactitude et dans les délais fixés conformément aux dispositions de l’article 3 de la loi n° 51-711 du 7 juin 1951 susvisée.
Elle rappelle à cet égard que si, conformément à l’article 21-6 du RGPD, les personnes concernées ne peuvent s’opposer à la collecte de leurs données pour les traitements nécessaires à l’exécution d’une mission d’intérêt public et poursuivant notamment des finalités de recherche scientifique et statistiques, une telle dérogation au droit d’opposition doit cependant être assortie de garanties pour les droits et libertés des personnes conformément aux dispositions de l’article 89-2 du RGPD.
En l’espèce, la Commission prend acte des précisions apportées par l’INED selon lesquelles il est expressément rappelé aux enquêtés qu’ils peuvent choisir de ne pas répondre aux questions sensibles ou susceptibles de susciter une gêne, notamment pour le module portant sur la pratique religieuse.
Elle estime néanmoins que le questionnaire pourrait être modifié afin d’indiquer également la possibilité de non réponse dans la formulation de toute question susceptible de révéler l’état de santé, l’existence d’une demande d’asile ou la qualité de réfugié ou de membre de la famille d’une personne reconnue réfugiée, dans la mesure où il résulte des éléments transmis que le refus de réponse ou une valeur fictive pourront être renseignés, y compris dans les cas où les modalités non concerné , ne sait pas , ne souhaite pas répondre ou refus ne sont pas proposées.
 
Sur les destinataires des données
La Commission relève que l’INED est le dépositaire exclusif de l’ensemble des fichiers de l’enquête qui seront accessibles à ses équipes de recherche habilitées à procéder à l’exploitation des résultats.
A l’issue d’un délai de trois mois suivant la fin de la collecte des données, un  fichier brut  pseudonymisé comprenant l’intégralité des informations collectées lors de l’enquête, y compris des informations indirectement nominatives, sera livré par l’INSEE par transfert numérique sécurisé. La Commission prend acte que ce fichier ne comporte pas de variable directement nominative telle que les noms des enquêtés et des enquêteurs ou l’adresse des logements enquêtés. C’est à partir de ce fichier de données brutes complétées de pondérations provisoires que seront réalisés les traitements qui serviront de base aux premières publications par l’INED avec la collaboration de l’INSEE. Il est ensuite prévu qu’un  fichier d’étude  correspondant au fichier brut pseudonymisé comprenant, à l’exception des noms patronymiques et de l’adresse des enquêtés, les données issues de l’enquête enrichies de nouvelles variables d’études, de variables redressées et des poids finaux, soit mis à disposition des chercheurs n’appartenant pas à la maitrise d’ouvrage depuis le Centre d’accès sécurisé aux données (CASD).
La Commission relève en outre qu’un  fichier de production et de recherche  pseudonymisé intégrant des données issues du  fichier d’étude  avec, selon l’INED, un plus faible risque d’identification, sera accessible aux chercheurs n’appartenant pas à la maitrise d’ouvrage ayant signé un engagement individuel de confidentialité via le réseau Quetelet PROGEDO à la fin de l’année 2022.
Elle rappelle que les conditions d’accès à des données individuelles non anonymisées, figurant dans les questionnaires des enquêtes statistiques des services publics et ayant trait à la vie personnelle et familiale et, d'une manière générale, aux faits et comportements d'ordre privé sont prévues par l’article 6 de la loi n° 51-711 du 7 juin 1951 modifiée ainsi que par l'article 17 du décret n° 2009-318 du 20 mars 2009 susvisé. Ces données ne peuvent faire l'objet d'aucune communication de la part des services dépositaires avant l'expiration d'un délai de soixante-quinze ans suivant la date de réalisation de l'enquête ou d'un délai de vingt-cinq ans à compter de la date du décès de l'intéressé, si ce dernier délai est plus bref,  sauf décision de l'administration des archives, prise après avis du comité du secret statistique et relative à une demande effectuée à des fins de statistique publique ou de recherche scientifique ou
historique .
Elle prend acte que les procédures d’accès aux dites données via le CASD et le réseau Quételet PROGEDO sont conformes aux dispositions légales applicables en matière de statistique publique.
Sur les durées de conservation des données
En premier lieu
, la Commission relève que les données directement identifiantes des personnes ayant donné leur accord lors de l’enquête MFV2 pour être recontactées dans le cadre de la réalisation des post-enquêtes qualitatives, seront conservées par l’INSEE au plus tard jusqu’à la fin de l’année 2023. Ces données seront, en tout état de cause, supprimées à l’expiration de ce délai. Elle prend acte des précisions apportées par l’INED selon lesquelles les données nominatives des personnes ayant refusé de participer aux post-enquêtes qualitatives seront supprimées dans un délai de quatre mois après la fin de la collecte.
En deuxième lieu
, la Commission relève que, compte tenu de la durée nécessaire à leur exploitation par le responsable de traitement, le fichier brut comprenant les données brutes de la collecte, desquelles sont soustraites les noms patronymiques et l’adresse des enquêtés, ainsi que le  fichier d’étude  mentionné précédemment, seront conservés pendant cinq ans à compter de la dernière valorisation. La dernière valorisation prévue consistant en la publication d’un ouvrage quatre ans après la collecte.
Au terme de ce délai, les fichiers originaux seront versés aux Archives nationales tandis qu’une copie de ces fichiers sera conservée par l’INED sur un serveur sécurisé dont l’accès est restreint au responsable du service de enquêtes et au responsable scientifique de l’enquête.
La Commission rappelle, à titre général que, conformément au e) du 1) de l’article 5 du RGPD, les données collectées dans le cadre d’un traitement doivent être  conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées . Elle rappelle en outre que si  les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins de recherche scientifique ou à des fins statistiques , une telle conservation doit être accompagné de la mise en œuvre de  mesures techniques et organisationnelles appropriées afin de garantir les droits et libertés des personnes .
En l’espèce, la Commission prend acte que les données ainsi conservées seront pseudonymisées, que leur stockage sera effectué sur des serveurs sécurisés et qu’une politique d’habilitation sera mise en place pour y accéder. Elle considère néanmoins que l’INED ne devrait conserver les données de l’enquête sans limitation de durée que dans la mesure où elles seraient par ailleurs anonymisées. Dans le cas contraire, l’INED devra déterminer une durée de conservation des données en base active au terme de laquelle il procèderait au versement de ces données aux Archives nationales, conformément aux dispositions du code du patrimoine. Cette durée de conservation, qui ne serait pas nécessairement chiffrée, pourrait correspondre à la survenance d’un évènement spécifique tel que le renouvellement des données de l’enquête.
Sur la sécurité des données et la traçabilité des actions
Concernant le contrôle des accès logiques, la Commission prend acte que des profils d'habilitation sont prévus afin de gérer les accès aux données stockées dans les serveurs de l’INED en tant que besoin. Les habilitations sont gérées et distribuées uniquement par les membres du service informatique de l’INED, en fonction des demandes du responsable de l’enquête. Elle rappelle que les permissions d'accès doivent être attribuées pour une durée déterminée et limitée, après validation hiérarchique, qu’elles doivent être supprimées dès qu'un utilisateur n'est plus habilité et qu’une revue globale des habilitations attribuées doit être opérée régulièrement tout au long de la collecte des données ainsi que de la production des études statistiques.
La Commission relève que les accès aux serveurs de l’INED sont contrôlés par un identifiant et un mot de passe. Elle rappelle à cet égard l’importance de s’assurer que les mots de passes utilisés répondent aux caractéristiques mentionnées dans le cadre de la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
Concernant le chiffrement, la Commission prend acte que les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire.
Concernant la sauvegarde, la Commission prend acte de l’existence d’un dispositif permettant une sauvegarde quotidienne et automatisée sur les serveurs, impliquant la sauvegarde des données du traitement.
Concernant la traçabilité, la Commission prend acte qu’une procédure de journalisation des accès aux applications est mise en œuvre au sein des serveurs de l’INED. Eu égard à la nature des données à caractère personnel, elle considère nécessaire d’inclure dans les journaux la référence des données accédées. La Commission rappelle en outre que la procédure de journalisation doit garantir que les traces ne soient pas altérées.
Dans ces conditions, la Commission considère les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 32 du RGPD. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. A cet égard, la Commission rappelle qu'il conviendra d'apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour régulière de l'analyse d'impact.
Pour la Présidente
La Vice-Présidente déléguée
Sophie LAMBREMON
La Commission nationale de l’informatique et des libertés,
 
Saisie pour avis par la ministre des solidarités et de la santé du dossier de demande d’agrément de la Centrale d'achat de l'informatique hospitalière, candidate à l’hébergement de données de santé à caractère personnel ;
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
 
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8 et suivants et R. 1111-1 à R. 1111-15-1 ;
 
Vu le code de la sécurité sociale, notamment son article L. 161-36-1 ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le dossier et ses compléments ;
 
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
 
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés est saisie pour avis par la ministre des solidarités et de la santé, conformément aux dispositions de l’article R. 1111-10 du code de la santé publique, de la demande d’agrément présentée par la Centrale d'achat de l'informatique hospitalière, candidate à l’hébergement de données de santé à caractère personnel.
 
La Commission doit se prononcer, conformément auxdites dispositions, sur les garanties présentées par le candidat à l’agrément en matière de protection des personnes à l’égard des traitements de données de santé à caractère personnel et de sécurité de ces données .
 
La Commission rappelle que quel qu’ait été son avis, émis au vu du dossier qui lui a été communiqué, elle a le pouvoir de diligenter des contrôles auprès de tout responsable de traitement afin de procéder à toute opération de vérification nécessaire, conformément aux dispositions des articles 19 de la loi du 6 janvier 1978 modifiée et 16 et suivants du décret n° 2019-536 du 29 mai 2019 pris pour application de cette loi.
 
Emet dans ces conditions l’avis suivant :
Candidat hébergeur : 
 Le candidat à l’agrément est la Centrale d’achat de l’informatique hospitalière (CAIH), une association loi de 1901 regroupant des établissements de santé, des établissements sociaux et médico-sociaux, des groupements constitués par ces établissements, ou des agences et établissements publics intervenant dans ces secteurs. Il compte 1150 membres.
Le candidat à l’agrément propose un service d’hébergement de données de santé à caractère personnel de la suite logicielle Office 365 de Microsoft.
Microsoft Ireland Operations Limited (MIOL) est identifié comme sous-traitant par le candidat.
 
Les services d’Office 365 objets de la présente demande d’agrément sont :
Exchange Online
SharePoint Online
Skype Entreprise Online
Project Online
 
Microsoft Teams
One Drive Entreprise
Ainsi que les briques technologiques Azure permettant d’assurer le bon fonctionnement de ces services à l’exception du service d’annuaire Active Directory.
 
L’hébergeur propose ce service à ses adhérents, qui sont des établissements publics de santé.
 
Le candidat ne propose pas de fonctionnalité d’accès direct aux données par les personnes concernées.
 
Le périmètre de l’agrément n’est pas conforme aux exigences de la Commission :
les données hébergées sont dans l’ensemble stockées dans des serveurs de Microsoft disposant de la certification HDS. Ce n’est cependant pas le cas pour les données liées au service Office Exchange qui sont stockées en Finlande et en Autriche et n’entre donc pas dans le périmètre couvert par la certification HDS de Microsoft ;
le périmètre exclut de façon explicite le service d’Active Directory d’Azure ( Azure AD ) permettant d’assurer la gestion de l’accès et des identités basés sur le Cloud Microsoft. Les services d’Office 365 proposés par le candidat ont cependant directement recours à l’Azure AD. Son absence du périmètre soulève des interrogations concernant les mesures associées, notamment la localisation des données d’authentification liées à l’Active Directory ;
le candidat ne remplit pas suffisamment son devoir de conseil concernant le paramétrage de l’Active Directory, de la télémétrie et d’une façon générale sur les mesures permettant d’améliorer la sécurité et de paramétrer les modules de sécurité fournis par le sous-traitant. En effet le candidat apparaît comme une simple interface entre le sous-traitant Microsoft et le client final. Or les services mis à disposition par Microsoft semblent relativement génériques et le candidat ne semble pas apporter d’éléments supplémentaires aux briques technologiques fournies par le sous-traitant. Il en résulte de nombreuses interrogations concernant le devoir de conseil du candidat qui reporte de nombreuses exigences de sécurité sur son client mais ne semble pas en mesure de pouvoir l’accompagner dans la mise en place de ces mesures ;
à titre d’exemples, le candidat reporte sur son client la mise en place d’une politique d’identification et d’authentification, de formations adaptées, de traçabilité des données, d’une politique de sauvegarde, de restauration et d’archivage, d’une politique de continuité d’activité et de reprise d’activité, d’une politique opérationnelle de sécurité applicable à son bastion ;
le candidat ne présente pas d’organigramme propre à son organisation. La présence d’un responsable de la sécurité des systèmes d’information (RSSI) au sein de l’organisation du candidat ou de celle du sous-traitant est mentionnée sans autres précisions. Des organigrammes présentant l’organisation du personnel du sous-traitant en charge sont présentés mais ceux-ci semblent être une équipe générique associée à Office 365 et n’incluent pas le médecin de l’hébergeur. Le personnel du candidat en charge d’accompagner le client n’est pas présenté ce qui renforce les doutes sur la capacité du candidat à accompagner ses clients ;
 
La politique de sécurité des systèmes d’informations est conforme aux critères exigés par la Commission.
 
La procédure de gestion du personnel et des habilitations est conforme aux critères exigés par la Commission, sous les réserves suivantes :
le candidat reporte sur son client la responsabilité de définir la politique de gestion des habilitations ;
le candidat indique que le personnel de Microsoft n’accède pas aux données des clients, ni aux données de santé hébergées. Ce point est applicable au personnel du C.A.I.H. . Toutefois le candidat indique dans sa documentation qu’un tel accès peut être permis en cas d’incident technique ou de sécurité. Le candidat présente de nombreuses garanties permettant d’encadrer ce type d’accès (gestion fine des habilitations, traçabilité renforcée, audits réguliers…) ;
de tels accès font l’objet d’une information du médecin de l’hébergeur qui dispose également d’un accès aux traces associées. De telles mesures semblent cependant trop permissives. Les éventuels accès aux données par le personnel de l’hébergeur en cas d’incident technique ou de sécurité doivent faire l’objet d’une information en amont du médecin de l’hébergeur et s’effectuer sous sa supervision directe ;
le candidat présente différentes catégories de personnes pouvant disposer d’un accès aux données sous les conditions évoquées ci-dessus. Les modalités d’accès et notamment le(s) lieu(x) depuis lequel s’effectuent ces accès ne sont pas précisés.
 
 
Le Plan de continuité d’activité est conforme aux critères exigés par la Commission sous les réserves suivantes :