AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de sécurité des systèmes d’information (ANSSI) d’un cahier des charges pour la certification des services de coffre-fort numérique ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code des postes et des communications électroniques, notamment son article
L. 103 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2018-418 du 30 mai 2018 relatif aux modalités de mise en œuvre du service de coffre-fort numérique ;
Vu le décret n° 2018-853 du 5 octobre 2018 relatif aux conditions de récupération des documents et données stockés par un service de coffre-fort numérique ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78- 17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-270 du 19 septembre 2013 portant recommandation relative aux services dits de coffre-fort numérique ou électronique destinés aux particuliers ;
Vu la délibération n° 2018-102 du 15 mars 2018 portant abrogation des référentiels de labellisation ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
A titre liminaire, la Commission rappelle que le cadre juridique applicable aux services de coffre-fort numérique a été créé par la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique. Le I de l’article 87 de la loi précitée, codifié à ce jour à l’article L. 103 du code des postes et des communications électroniques (CPCE), prévoit ainsi les caractéristiques nécessaires pour qualifier un service de coffre-fort numérique et la possibilité pour un service de coffre-fort numérique de bénéficier
d’une certification par l’Etat. Il est prévu que les modalités de certification des services de coffre-fort numérique soient définies par un décret en Conseil d’Etat pris après avis de la Commission conformément à l’article L. 103 du CPCE, lequel fait l’objet d’un avis distinct.
Elle relève que le cahier des charges qui lui est soumis pour avis fixe les exigences de sécurité que doit remplir un service de coffre-fort numérique pour bénéficier d’une certification par l’ANSSI. La Commission rappelle que le fournisseur d’un service de coffre-fort numérique devra également s’assurer de sa conformité à la réglementation relative à la protection des données à caractère personnel.
Elle rappelle également qu’elle s’est prononcée à plusieurs reprises sur les services de coffre-fort numérique, et ce dès 2013, en adoptant une recommandation relative aux services dits de coffre-fort numérique ou électronique destinés aux particuliers (délibération n° 2013-270 du 19 septembre 2013) et dans un avis sur deux projets de décrets portant application de l’article 87 de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique relatif au service de coffre-fort numérique (délibération n° 2017-178 du 1er juin 2017).
Ces éléments généraux rappelés, le cahier des charges appelle les observations suivantes de la part de la Commission :
En premier lieu, la Commission rappelle que son activité de labellisation a pris fin avec l’entrée en application du règlement européen sur la protection des données à caractère personnel susvisé et que le référentiel pour la délivrance de labels en matière de services de coffre-fort numérique, adopté par la délibération n° 2014-017 du 23 janvier 2014, a été abrogé par la délibération n° 2018-102 susvisée. Dans ce contexte, elle demande dès lors que le cahier des charges, notamment son annexe 2, soit mis à jour au regard de cette évolution. La Commission rappelle à cet égard que la délibération n° 2013-270 du 19 septembre 2013 portant recommandation relative aux services de coffre-fort numérique demeure en vigueur et constitue un cadre de référence en la matière.
En deuxième lieu, si l’article R. 55-5 du CPCE prévoit que L'identification de l'utilisateur lors de l'accès au service de coffre-fort numérique est assur
ée par un moyen d'identification électronique adapté aux enjeux de sécurité du service 
, la Commission relève toutefois que le cahier des charges ne vise que le niveau d’identification substantiel pour l’accès à un service de coffre-fort numérique. Elle estime en conséquent que ce cahier des charges devrait être complété afin de tenir compte des différents moyens d’identification électronique pouvant être proposés, y compris la possibilité d’ouvrir un coffre-fort numérique sous une identité déclarative, un nom d’usage ou un pseudonyme.
La Commission relève par ailleurs que l’identification de l’utilisateur ne pourra être réalisée au moyen du numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR) conformément à sa délibération n° 2013-270 susvisée.
 Elle rappelle en outre que l’utilisation de ce numéro d’identification est strictement encadrée par l’article 30 de la loi du 6 janvier 1978 précitée. 
En troisième lieu, la Commission rappelle que l’article L.103-4° du CPCE prévoit la possibilité pour un fournisseur de service de coffre-fort d’accéder aux données à caractère personnel de ses utilisateurs pour réaliser un traitement de ces documents ou données au seul bénéfice de l'utilisateur et après avoir recueilli son consentement dans le respect de la loi n 
78-17
du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés
 . Elle observe toutefois que le cahier des charges ne mentionne pas les modalités de recueil de ce consentement. Elle estime dès lors que le cahier des charges pourrait être utilement complété en ce sens.
En quatrième lieu, la Commission rappelle qu’en l’absence d’agrément ministériel pour l’hébergement des données de santé, le fournisseur de service de coffre-fort numérique a l’interdiction de traiter de telles données. Elle estime qu’une vigilance particulière devra être portée au respect de cette condition. 
En cinquième lieu, la Commission rappelle que lorsqu’un service de coffre-fort numérique a vocation à conserver des données à long terme, elle recommande qu’une copie de sauvegarde de la clef de déchiffrement soit confiée à un tiers de confiance afin de permettre à l’utilisateur d’accéder à ses données en cas de perte de sa clef conformément à la délibération n° 2013-270 susvisé. Elle estime dès lors qu’une procédure de récupération de clef devrait être prévue dans le cahier des charges.
Enfin, la Commission appelle l’attention de l’ANSSI sur l’importance de prendre compte la réalisation d’une analyse d’impact sur la protection des données (AIPD) comme preuve de conformité au RGPD dans le processus de certification d’un service de coffre-fort numérique, dès lors que celui-ci peut comprendre des traitements de données à caractère personnel susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques.
-
La Présidente
Marie-Laure DENIS
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° […] du 29 mai 2020 relatif au traitement de données dénommé […] ;
Vu l’arrêté du 30 mai 2020 définissant les critères de distance et de durée du contact au regard du risque de contamination par le virus du covid-19 pour le fonctionnement du traitement de données dénommé […] ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la délibération n° 2020-046 du 24 avril 2020 portant avis sur un projet d’application mobile dénommée […] ;
Vu la délibération n° 2020-056 du 25 mai 2020 portant avis sur un projet de décret relatif à l’application mobile dénommée […] ;
Vu la décision n° 2020-097C du 28 mai 2020 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le Secrétaire général de procéder ou de faire procéder à une mission de vérification de la conformité de tout traitement accessible à partir de l’application […] , mis en œuvre par la Z du X, ou portant sur des données à caractère personnel collectées à partir de cette application, aux dispositions du règlement (UE) 2016/679 susvisé et de la loi n° 78-17 du 6 janvier 1978 modifiée ;
Vu les procès-verbaux de contrôle n° 2020-097/1 du 9 juin 2020, n° 2020-097/2 du 25 juin 2020 et n° 2020-097/3 du 26 juin 2020 ;
Vu les autres pièces du dossier ;
Le contexte
Dans le contexte de l’état d’urgence sanitaire lié à l’épidémie de covid-19, et plus particulièrement de la stratégie dite de déconfinement menée par le gouvernement, X propose dans les magasins d’applications, depuis le 2 juin 2020, une application dénommée […] , disponible sur ordiphones ( smartphones ). Le traitement de données personnelles dénommé […] , dont le responsable de traitement est Y (Z), a été créé par le décret n° […] du 29 mai 2020 relatif au traitement de données dénommé […] , complété par l’arrêté du Y, définissant les critères de distance et de durée du contact au regard du risque de contamination par le virus du covid-19 pour le fonctionnement du traitement de données dénommé […] .
Avant le lancement de l’application, la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été saisie de deux demandes d’avis portant sur les modalités et conditions de mise en œuvre de l’application.
Dans un premier avis du 24 avril 2020, la Commission s’est prononcée sur la conformité générale aux règles de protection des données à caractère personnel du projet d’application mobile de suivi de contacts dénommée […] tel qu’envisagé alors par le gouvernement. Dans un second avis du 25 mai 2020, la Commission s’est prononcée sur le projet de décret portant sur cette même application mobile.
L’application […] est une application de suivi de contacts (ou contact tracing ) qui permet à chaque utilisateur d’enregistrer un historique de contacts avec d’autres utilisateurs, c’est-à-dire une information relative à la proximité entre deux terminaux mobiles. Elle permet à l’utilisateur de se déclarer diagnostiqué ou dépisté au virus SARS-CoV-2. Elle permet également aux utilisateurs d’être informés qu’ils ont été à proximité d’au moins un autre utilisateur diagnostiqué ou dépisté positif au virus SARS-CoV-2 et, le cas échéant, d’être invités à prendre attache avec un professionnel de santé pour être pris en charge le plus rapidement possible et, ainsi, d’être intégrés dans le système plus général de gestion du virus SARS-CoV-2 (systèmes d’information SI-DEP et Contact Covid ).
L’application, dont le téléchargement et l’utilisation reposent sur une démarche volontaire de l’utilisateur, fonctionne grâce à la conservation de l’historique de proximité, constitué des pseudonymes émis par les ordiphones via la technologie Bluetooth à basse consommation (Bluetooth Low Energy — BLE).
En pratique, une fois installée et les fonctionnalités activées, l’application émet des messages Bluetooth spécifiques et en reçoit en provenance d’autres ordiphones sur lesquels l’application […] a été installée et activée.
Si un utilisateur de l’application est diagnostiqué ou dépisté positif au virus SARS-CoV-2, il peut le déclarer dans l’application grâce à un code fourni par le professionnel de santé (via un code de 6 caractères ou un QR Code). L’utilisation de ce code par l’utilisateur lui permet d’envoyer son historique de contacts au serveur central qui traite alors chacun des contacts présents dans l’historique, afin d’en estimer le risque de contamination au virus SARS-CoV-2. Le serveur maintient une base de données dont chaque enregistrement correspond à un utilisateur et contient le score de risque associé à cet utilisateur.
L’application contacte une fois par jour le serveur afin de vérifier le statut d’exposition de l’utilisateur. Les utilisateurs ayant été en contact (à moins d’un mètre pendant au moins 15 minutes) avec la personne diagnostiquée ou dépistée positive sont prévenus qu’ils ont été exposés à un risque de contamination au virus SARS-CoV-2. Ils sont alors invités à suivre des consignes spécifiques liées à la protection de leur santé et à la lutte contre la propagation du virus (surveillance des symptômes, confinement, mise en relation avec un professionnel de santé).
Une nouvelle version de l’application […] (version v1.1.*) a été déployée fin juin 2020, et constitue une version mise à jour de la version […] à sa date de lancement (version v1.0.*). Cette nouvelle version de l’application apporte deux changements majeurs. D’une part, la méthode d’authentification par captcha - qui permet de vérifier lors de l'activation initiale de l’application que cette dernière est utilisée par un être humain - qui reposait sur la technologie reCaptcha de la société GOOGLE, est désormais remplacée par la technologie captcha développée par la société ORANGE. D’autre part, une fonction de préfiltre de l’historique des contacts de l’utilisateur qui se déclare positif au virus SARS-CoV-2, fondée sur des critères de durée et de distance du contact, est activée pour agir au niveau du téléphone de l’utilisateur.
À ce jour, les deux versions de l’application coexistent. Les utilisateurs qui ont téléchargé l’application à compter du 25 juin 2020 ou qui ont procédé à la mise à jour de l’application depuis cette date disposent sur leurs ordiphones de la version v1.1.*. Les utilisateurs qui ont téléchargé l’application avant le 25 juin 2020 et n’ont pas procédé à sa mise à jour, disposent encore sur leurs ordiphones de la version antérieure v1.0.*. 
Au jour des contrôles de la CNIL des 25 et 26 juin 2020, l’application […] dans sa version v1.0.* avait été téléchargée environ 1,9 million de fois et avait été activée environ 1,5 million de fois.
La version v1.1.* de l’application ayant été déployée au moment des contrôles réalisés par la CNIL, la délégation n’a pas pu constater durant ces missions le nombre d’installations et d’activations de la dernière version de l’application. Une demande d’information en ce sens a par conséquent été adressée ultérieurement au X. X a répondu le 10 juillet 2020 que le nombre d’applications […] installées et activées après la sortie de la v1.1.* s’élève à environ 147 000.
La procédure
En application de la décision n° 2020-097C du 28 mai 2020 de la Présidente de la Commission, une délégation de la CNIL a procédé à une mission de contrôle en ligne le 9 juin 2020 et a réalisé deux contrôles sur place les 25 et 26 juin 2020, aux fins de vérifier la conformité de tout traitement de données à caractère personnel réalisé à partir de l’application […] France ou portant sur des données à caractère personnel collectées à partir de cette application, au regard des dispositions du règlement (UE) 2016/679 (ci-après le règlement ou le RGPD ) et de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après la loi Informatique et Libertés ).
Par la suite, X a fourni à la délégation, par courriels des 19 juin, 4, 7, 8 et 10 juillet 2020, les documents complémentaires demandés lors des contrôles concernant, notamment, l’analyse d’impact relative au traitement des données personnelles issues de l’application, les contrats conclus entre X et INRIA pour le développement et l’exploitation de l’application, le registre de traitement des données personnelles ainsi que la documentation technique relative au fonctionnement de l’application.
L’examen de la conformité du traitement
Dans le cadre de ces contrôles, la délégation a constaté que le fonctionnement de l’application […] , notamment dans sa version v1.1.*, respecte pour l’essentiel les dispositions applicables relatives à la protection des données à caractère personnel.
La plupart des préconisations formulées par la Commission dans ses avis des 24 avril et 25 mai 2020 ont été prises en compte par X.
La délégation a toutefois constaté certains manquements aux dispositions du RGPD et de la loi Informatique et Libertés , objets de la présente mise en demeure.
Les manquements au regard des dispositions du RGPD
Un manquement à l’obligation de traiter des données personnelles selon les modalités prévues par le décret du 29 mai 2020, en application de l’article 5-1-a) du RGPD
L’article 5-1-a) du Règlement prévoit que : les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) .
La délégation a été informée que, dans la version de l’application […] disponible au jour du contrôle (version v1.0.* de l’application), lorsqu’un utilisateur se déclare avoir été diagnostiqué ou dépisté positif au virus SARS-CoV-2, l’ensemble de son historique de contacts est remonté au serveur central géré pour le compte du X, sans processus de pré-filtrage préalable des données, reposant sur des critères de distance et de durée du contact avec un autre utilisateur.
Or, le 5° du I de l’article 2 du décret n° […] du 29 mai 2020 relatif au traitement de données dénommé […] prévoit que l’historique de proximité d’un utilisateur se limite aux données de contacts de l’utilisateur avec d’autres utilisateurs qui se trouvent, pendant une durée déterminée, à une distance de son téléphone mobile telle qu’il existe un risque suffisamment significatif qu’un utilisateur qui serait positif au virus covid-19 contamine l’autre .
Par ailleurs, le 6° du I de l’article 2 du décret précité précise que les données de l’historique de proximité des contacts à risque de contamination par le virus covid-19 (…) sont transmises par les utilisateurs diagnostiqués ou dépistés positifs au virus du covid-19 qui le souhaitent au serveur central .
Si les termes du décret et les éléments qui avaient été transmis à la Commission n’excluent pas qu’un filtrage complémentaire puisse être opéré au niveau du serveur central, il résulte toutefois de ces dispositions que le traitement autorisé par le décret du 29 mai 2020, conformément à ce qui avait été présenté à la Commission, doit procéder à un premier filtrage au niveau du téléphone.
Par conséquent, la version de l’application […] disponible au jour du contrôle (version v1.0.* de l’application) est contraire aux dispositions du décret du 29 mai 2020.
Les faits précités constituent un manquement aux obligations prévues à l’article 5-1-a) du RGPD.
Au demeurant, il est relevé que la conception de l’application décrite dans le décret, qui permet d’éviter la remontée de l’ensemble de l’historique de contacts de l’utilisateur au serveur central grâce au pré-filtrage des données de l’historique de proximité directement depuis l’ordiphone, constituait un choix particulièrement pertinent au regard de l’objectif de protection des données personnelles.
Il est également observé que la dernière version disponible de l’application (version v1.1.*) – dans laquelle la fonctionnalité de pré-filtrage des données de l’historique de contacts est active au niveau du téléphone de l’utilisateur – est conforme sur ce point au décret et davantage protectrice des données à caractère personnel.
La Présidente de la CNIL estime donc nécessaire, afin que le traitement respecte pleinement les dispositions du décret du 29 mai 2020, que le responsable de traitement cesse de faire remonter l’intégralité des données de l’historique de contacts de l’utilisateur au serveur central, par exemple en prenant toutes mesures appropriées permettant de généraliser l’usage de la nouvelle version de l’application.
Un manquement à l’obligation d’informer les personnes concernées
L’article 13 du Règlement exige du responsable de traitement qu’il fournisse, au moment où les données sont collectées, les informations relatives à son identité et ses coordonnées, celles du délégué à la protection des données, les finalités du traitement et sa base juridique, les destinataires ou catégories de destinataires des données à caractère personnel, le cas échéant les transferts de données personnelles hors de l’Union européenne, la durée de conservation des données personnelles, les droits dont bénéficient les personnes sur le traitement de leurs données ainsi que le droit d’introduire une réclamation auprès d’une autorité de contrôle.
La délégation a constaté que la politique de traitement des données à caractère personnel est fournie aux utilisateurs de l’application […] à partir d’une rubrique confidentialité - accessible lors du parcours d’activation de l’application - et depuis la page web […] intitulée Données personnelles - également accessible depuis plusieurs liens du parcours d’activation de l’application. La rubrique confidentialité et la page Données personnelles informent les utilisateurs de l’application de l’identité et des coordonnées du responsable de traitement et du délégué à la protection des données, des finalités du traitement et de sa base juridique, de la durée de conservation des données, des droits des personnes concernées, notamment de leur droit à introduire une réclamation auprès de la CNIL.
La Présidente estime que l’information fournie est pour l’essentiel conforme au RGPD. Elle estime cependant que, sur un point, l’information fournie sur les catégories de destinataires des données est incomplète.
En effet, la rubrique confidentialité informe uniquement l’utilisateur que Les données sont partagées par [l’] application avec le serveur géré par X, seulement si vous êtes testé positif et avec votre accord . La section destinataire des données de la page Données personnelles ne contient par ailleurs qu’un seul paragraphe concernant les destinataires, rédigé en ces termes : Les utilisateurs identifiés par l’application comme contacts à risque d’avoir contracté le virus COVID-19 sont destinataires de l’information selon laquelle ils ont été à proximité d’au moins un autre utilisateur diagnostiqué ou dépisté positif au virus du COVID-19 .
Or, la délégation a notamment été informée que INRIA, agissant en qualité d’assistant à la maîtrise d’œuvre du X, traite des données à caractère personnel issues de l’application […] pour le compte du X.
Par conséquent, les informations fournies aux utilisateurs de l’application […] relatives aux destinataires ou aux catégories de destinataires des données à caractère personnel devraient mentionner l’existence d’un sous-traitant et sont incomplètes sur ce point.
Ces faits constituent un manquement à l’article 13 du RGPD.