AgentPublic/cnil huggingface dataset:
Le traitement " Visioplainte " permet à la victime d'une infraction, ou à son représentant légal, de déposer plainte par voie de télécommunication audiovisuelle (via l'outil " Webconférence de l'Etat "), pour l'ensemble des faits constitutifs d'une infraction, y compris lorsque l'auteur est connu. Ce traitement permet également d'instruire la plainte et d'intégrer l'ensemble des éléments recueillis dans les logiciels de rédaction de procédure (LRP) de la police nationale et de la gendarmerie nationale.
La possibilité de déposer plainte par le biais d'une télédéclaration était déjà ouverte, sous conditions, pour les faits constitutifs d'une atteinte aux biens (vol, dégradation, escroquerie, etc.) et lorsque l'auteur est inconnu, depuis le décret n° 2024-478 du 27 mai 2024 portant autorisation d'un traitement automatisé de données à caractère personnel dénommé " plainte en ligne " (PEL), sur lequel la CNIL s'était prononcée (CNIL, SP, 4 avril 2024, avis sur un projet de décret portant autorisation du traitement PEL, n° 2024-028, publié). Ce traitement est maintenu et si un rendez-vous est à programmer avec un agent, ce rendez-vous pourra désormais être fait en visioconférence ou en commissariat et brigade de gendarmerie.
Le traitement Visioplainte constitue une nouvelle étape dans la dématérialisation du dépôt de plainte. Les victimes conservent le choix entre utiliser le téléservice Visioplainte ou se déplacer physiquement en commissariat ou en brigade de gendarmerie.
B. - L'objet de la saisine
Le ministère de l'intérieur a saisi la CNIL, sur le fondement de l'article 31 de la loi " informatique et libertés ", d'un projet de décret portant autorisation du traitement Visioplainte. Dans la mesure où les finalités poursuivies permettent la prévention, la recherche, la constatation ou la poursuite des infractions pénales, le traitement relève des dispositions du titre III de la loi " informatique et libertés ".
Le projet de décret codifie au sein du code de procédure pénale (CPP) les dispositions relatives à ce traitement. Il est pris en application de l'article 15-3-1-1 du CPP, créé par l'article 12 de la loi n° 2023-22 du 24 janvier 2023 d'orientation et de programmation du ministère de l'intérieur et encadre :
- la liste des catégories de données à caractère personnel et informations pouvant être enregistrées dans le traitement et notamment les données sensibles ;
- la durée de conservation de six mois des données à caractère personnel et des informations collectées dans le traitement à compter de leur enregistrement ou de la dernière action de l'usager et modifie, par une disposition spécifique, le traitement PEL sur ce point aux fins d'harmonisation.
II. - L'avis de la CNIL
A. - Sur les finalités et le périmètre du traitement
Le traitement Visioplainte est un téléservice facultatif, proposé en alternative à la démarche de déplacement en unité ou en commissariat. Il a pour finalités de :
- permettre à la victime ou à son représentant légal (mineur, personne majeure, incapable civilement, personne morale victimes), s'ils le souhaitent, de déposer plainte par voie de télécommunication audiovisuelle ;
- permettre aux personnels de la police nationale et de la gendarmerie nationale d'instruire la plainte effectuée par la victime ou son représentant légal et de les informer des suites réservées.
Conformément aux dispositions de l'article R. 2-25 du CPP, cette procédure pourra être utilisée par toute victime d'une infraction pénale. Le traitement Visioplainte pourra être utilisé en complément d'une télédéclaration effectuée via PEL afin d'effectuer le rendez-vous en visioconférence.
S'agissant des infractions d'agressions sexuelles ou d'atteintes sexuelles (articles 222-22 à 222-31-2 et 227-25 à 227-27-3 du code pénal), la réalisation d'une première audition via Visioplainte est possible mais devra obligatoirement être suivie d'une audition en présentiel. En effet, l'orientation de l'usager s'effectue en fonction de l'infraction concernée et selon les spécifications que l'usager donnera à sa demande notamment via le service " Ma Sécurité ".
Il ressort de l'analyse d'impact relative à la protection des données (AIPD) qu'à partir du site " Ma sécurité " :
- l'usager qui sera dirigé vers le " parcours usager " de prise de rendez-vous pour une visioplainte (sous réserve de créneaux disponibles) crée automatiquement son espace usager, en s'authentifiant par FranceConnect ;
- une fois authentifié, il est invité, sans que cela revête un caractère obligatoire, à décrire sommairement les faits, la date et le lieu permettant d'orienter l'agent instructeur avant la visioplainte, selon le degré d'urgence, et d'expertise nécessaire, qui doit permettre de recueillir ses déclarations ;
- l'usager pourra téléverser via l'espace de partage de fichiers de son espace usager des documents, photographies, etc. qui seront conservés dans un coffre-fort numérique pour le traitement de la plainte ;
- l'agent peut rejeter la plainte si celle-ci ne comporte pas les éléments constitutifs d'une infraction pénale (rejet motivé) ;
- le procès -verbal de plainte est réalisé de manière classique via les logiciels de rédaction de procédure (LRP).
Les finalités du traitement Visioplainte sont déterminées, explicites et légitimes. La CNIL prend acte de ce que les finalités seront rappelées à l'usager qui s'apprête à effectuer cette démarche, au moyen d'une mention du projet d'article R. 2-29-1 du CPP, accessible et dépliable sur la page d'accueil du site web du téléservice.
B. - Sur les catégories de données traitées
1. Concernant la collecte de données sensibles
Le projet de décret liste les données à caractère personnel pouvant être collectées dans le traitement selon la distinction entre les différentes catégories de personnes, conformément à l'article 98 de la loi " informatique et libertés " (personne physique ou morale déposant plainte, personne physique accompagnant, personnels de police nationale et de la gendarmerie nationale et les données relatives aux faits dénoncés).
L'usager qui a pris un rendez-vous est invité à décrire la nature, la date et le lieu des faits s'il le souhaite. Un champ libre de description sommaire de l'infraction est proposé s'agissant des données relatives aux faits dénoncés. Celui-ci est facultatif, limité (200 caractères maximum) et guidé par une question (" en deux mots que s'est-il passé ? ") afin de limiter la collecte des données strictement nécessaires. Cette donnée permet d'assurer un éclairage minimal de l'agent sur la technicité d'un sujet et la durée approximative du dépôt de plainte. L'usager est averti que ces informations ne constituent pas une plainte mais qu'elles sont collectées en vue de la préparation du rendez-vous par Visioplainte, avec la possibilité de recourir au langage qui lui est le plus familier.
S'agissant des autres informations à collecter, il est fait recours à des champs normés (menus déroulants) liés aux référentiels des LRP.
Il ressort, par ailleurs, de l'AIPD que :
- aucune donnée audio ni vidéo n'est enregistrée lors de la visioconférence. L'agent rédige les déclarations de l'usager directement dans le LRP, lequel génère ensuite le procès-verbal de plainte. Le ministère a précisé qu'il n'y a pas de transcription automatisée. Les déclarations de l'usager doivent être reprises sans altération dans les LRP ; ce traitement est dès lors susceptible d'entraîner la collecte de données sensibles, à l'exception des données génétiques et biométriques ;
- ensuite, après avoir recueilli le consentement exprès de l'usager, l'agent signe numériquement le procès-verbal qui devient insusceptible de toute modification et l'enregistre dans le LRP ;
- enfin le procès-verbal de plainte est stocké dans le coffre-fort numérique certifié SecNumCloud. Aucune modification des documents n'est alors possible (intégrité des données). Ni l'usager ni l'agent ne dispose d'un accès direct au coffre-fort numérique ; chacun d'eux dispose en revanche d'un accès en lecture seule (via un appel API déclenché par l'application Visioplainte).
La CNIL prend acte de l'absence de retranscription automatisée des déclarations de l'usager par un traitement supplémentaire. Cette garantie est de nature à renforcer l'intégrité et la sécurité de ces données sensibles. Elle estime néanmoins que cette garantie pourrait être explicitée dans l'AIPD.
Concernant l'unique champ libre de commentaire, la CNIL considère que la collecte de ces catégories de données est adéquate, pertinente et limitée à ce qui est nécessaire. En effet, la victime doit pouvoir fournir certains éléments susceptibles de concerner les faits les plus divers au regard du périmètre du traitement Visioplainte et utiles à son dépôt de plainte (CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié).
La CNIL prend acte de la garantie selon laquelle aucun outil de requête n'est accessible dans l'application Visioplainte pour effectuer des recherches sur les informations et les données sensibles collectées dans ce champ libre.
C. - Sur les durées de conservation des données
Le projet de décret prévoit que les données à caractère personnel et informations collectées (données d'identité, procès-verbaux de dépôt de plainte et documents afférents) peuvent être conservées pendant une durée de six mois après leur dépôt sur le coffre-fort numérique :
- à compter de leur enregistrement ; ou
- s'agissant de l'identifiant et du mot de passe choisi par l'auteur de la plainte, à compter de la dernière action de l'usager.
Les pièces jointes, remises par l'intermédiaire de l'espace usager, sont conservées une semaine puis intégrées au coffre-fort numérique.
Le ministère justifie cette durée de conservation par la nécessité de :
- permettre au service de police ou de gendarmerie concerné de répondre à l'usager en cas de contestation de celui-ci, en s'appuyant sur l'ensemble des éléments du dossier. Ce délai est identique à celui à partir duquel un plaignant peut demander les suites de sa plainte au procureur de la République ;
- limiter l'espace de stockage du coffre-fort numérique.
Cette durée de conservation de six mois des données enregistrées dans le coffre-fort numérique est proportionnée aux besoins exposés par le ministère.
La CNIL prend acte de ce que :
- un dispositif d'effacement automatique des données à caractère personnel recueillies sera mis en œuvre à l'expiration du délai de six mois à compter de leur enregistrement (à date de la déclaration) ;
- un effacement manuel anticipé est possible pour faire droit à un usager qui le demanderait en application de l'article 106 de la loi " informatique et libertés ". La suppression des données sera limitée au traitement " Visioplainte " et n'aura pas d'effet sur les données transmises dans les LRP, dont les règles de fonctionnement relèvent des textes réglementaires qui leur sont propres.
D. - Sur l'information des personnes
Les personnes sont informées conformément à l'article 104 de la loi " informatique et libertés " par les mentions présentes sur le site web du ministère. Ces mentions sont prévues dans les CGU, accessibles depuis le site de Visioplainte. Aucune information individuelle ou particulière des personnes concernées n'est directement accessible sur le site de la Visioplainte.
A l'instar de ce que à quoi s'était engagé le ministère s'agissant du traitement PEL (CNIL, SP, 4 avril 2024, avis sur un projet de décret portant autorisation d'un traitement automatisé de données à caractère personnel dénommé " plainte en ligne " (PEL), n° 2024-028, publié), la CNIL rappelle :
- qu'une mention dans le portail usager devrait être ajoutée afin de rendre l'information des usagers directement accessible et la plus claire possible sur ce traitement d'une certaine sensibilité, notamment en ce qui concerne l'exercice de leurs droits ;
- que l'information des agents sur la collecte de leurs données devrait également être mise en œuvre lors de leur connexion à l'application sur le portail qui leur est dédié.
Elle estime, en outre, que les tuteurs ou les curateurs des déclarants faisant l'objet d'une mesure de protection présents lors du dépôt de plainte par l'intermédiaire de visioplainte devraient être informés de l'enregistrement de leurs données à caractère personnel dans le traitement " Visioplainte ".
E. - Sur les mesures de sécurité
La CNIL prend acte de la mise en œuvre sur le portail usager et le coffre-fort numérique de solutions de chiffrement à l'état de l'art permettant d'assurer la confidentialité des données traitées.
Elle retient que des mécanismes sont mis en œuvre pour assurer l'intégrité et la non modification des données apportées par les usagers lors de leur intégration dans les LRP.
Elle prend acte de ce qu'une doctrine d'emploi précisera aux services ces consignes concernant l'espace de discussion (le " tchat "), qui ne sera utilisé que pour confirmer le bon fonctionnement du micro en cas de nécessité. Aucun élément ne sera pris en compte pour la plainte via ce tchat (pas de transmission de pièces jointes, etc.). Seul le partage de fichiers de l'espace usager de Visioplainte pourra servir à la transmission de ces documents par l'usager aux fins d'enregistrement de manière chiffrée dans le coffre-fort numérique.
Elle relève qu'une authentification forte par carte agent est nécessaire pour accéder au portail agent de l'espace agent de Visioplainte.
Tous les enquêteurs peuvent visualiser l'ensemble des dossiers affectés au service concerné, ainsi que les pièces qui leur sont jointes avant l'attribution d'une visioplainte. La CNIL s'interroge dès lors sur la limitation éventuelle des informations accessibles à l'ensemble des enquêteurs avant qu'une visioplainte ne soit attribuée. Elle prend néanmoins acte de ce que le dépôt de pièces justificatives est optionnel et que cela n'est pas de nature à remettre en cause la confidentialité car seuls les agents (enquêteurs assermentés) qui ont besoin d'en connaître doivent aller consulter les procédures et éléments dans Visioplainte. En outre, les actions sont tracées et les personnels sensibilisés sur ce sujet.
Elle prend acte de la mise en œuvre d'une journalisation conservée pour une durée de six mois sur le portail usager et pour une durée de trois ans pour le portail agent.
Le dispositif FranceConnect est l'unique modalité d'authentification sur Visioplainte.
La CNIL appelle cependant l'attention du ministère sur la prise en compte des risques liés à l'usurpation d'identité des usagers (par le recours à des technologies d'infox vidéo ou deepfake). Tout en prenant acte de l'engagement du ministère d'indiquer dans sa doctrine d'emploi à destination des agents " de débuter chaque entretien par une vérification de l'identité de l'usager avec les éléments indiqués sur FranceConnect ", elle invite le ministère à intégrer ce type de scénario dans l'analyse des risques de l'AIPD et à mettre en place une veille qui permettra, si besoin, le développement de mesures proactives pour limiter ces risques.
Liens relatifs
La présidente,
M.-L. Denis
N° de demande d'avis : 25015579
Thématiques : santé, registres des cancers, recherche
Organisme(s) à l'origine de la saisine : Ministère du travail, de la santé, des solidarités et des familles
Fondement de la saisine :
Article L. 1415-2-1 du code de la santé publique
L'essentiel :
La lutte contre le cancer constitue un enjeu de santé publique important pour lequel plusieurs acteurs et initiatives ont été mis en œuvre ces dernières années, que le projet entend encadrer.
L'INCa, en qualité de pilote de ce dispositif, devra être doté des moyens nécessaires permettant de garantir la sécurité des données à caractère personnel qui lui sont confiées.
La CNIL estime que la nécessité et la proportionnalité de collecter certaines données dans le registre national n'ont pas été suffisamment justifiées. Elle demande également que des garanties supplémentaires soient associées au traitement de certaines données dans ce registre et les registres locaux.
Les mesures d'informations et de transparence vis-à-vis des personnes concernées devraient être renforcées et complétées de garanties supplémentaires. En particulier, le droit d'opposition des personnes dont les données ont déjà été collectées dans des registres locaux ne devrait pas être écarté.
La CNIL s'interroge sur la durée de conservation des données ainsi que la pertinence de maintenir une base commune centralisant les données des registres locaux qui serait distinct du registre national.
La Commission nationale de l'informatique et des libertés (CNIL),
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment ses articles 8, 64 et suivants ;
Vu le code de la santé publique (CSP), notamment ses articles L. 1415-2 et suivants ainsi que ses articles L. 1461-1 et suivants ;
Après avoir entendu le rapport de Mme Marie Zins, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
Plusieurs initiatives destinées à disposer de données dans le cadre de la lutte contre le cancer ont été mises en œuvre par les pouvoirs publics, les établissements de santé et certaines associations :
- des registres locaux des cancers afin de recueillir de manière continue et exhaustive les données nominatives et les données de santé des personnes atteintes d'un cancer ;
- un registre commun afin de centraliser les données des registres locaux participant au réseau FRANCIM ;
- des programmes de dépistages organisés, encadrés par l'arrêté du 16 janvier 2024 ;
- la plateforme des données en cancérologie (PDC) mise en œuvre par l'Institut national du cancer (INCa) qui permet la réalisation de recherches, études ou évaluations dans le domaine de la cancérologie.
La loi n° 2025-596 du 30 juin 2025 a modifié le code de la santé publique (CSP) afin :
- d'étendre les missions de l'INCa ;
- de constituer un registre national des cancers (RNC) qui centralise les données populationnelles dans le domaine de la cancérologie à des fins d'amélioration de la prévention, du dépistage et du diagnostic des cancers notamment dans le cadre de recherches. Celui-ci constitue une transformation et une extension de la PDC.
B. - L'objet de la saisine
L'article L. 1415-2-1 du CSP renvoie à un décret, pris après avis de la CNIL, le soin de préciser "les conditions d'application du présent article […] le rôle des entités et des organisations de recherche en cancérologie labellisées dans la collecte des données et les modalités de leur appariement avec d'autres jeux de données de santé".
Le projet de décret poursuit plusieurs objectifs :
- prévoir les modalités de mise en œuvre et les caractéristiques essentielles du registre national ;
- consolider le cadre juridique applicable aux registres locaux des cancers ;
- imposer à ces registres la transmission annuelle de leurs données à la base commune des registres qui alimentera le registre national ;
- modifier le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire (ci-après "décret-cadre NIR").
II. - L'avis de la CNIL
Les traitements induits par le projet de décret conduiront à la collecte et au traitement de données particulièrement sensibles. Les enjeux liés à la vie privée des personnes concernées nécessitent une vigilance particulière dans la mise en œuvre des textes assurant la protection des données à caractère personnel.
Trois garanties devraient être ajoutées dans le décret, qui devraient être applicables à l'ensemble des traitements envisagés : l'hébergement des données sur le territoire de l'Union européenne (UE), l'interdiction de transferts en dehors de l'UE, sauf accès ponctuel, et la nécessité de sélectionner des prestataires présentant des garanties à l'encontre de tout accès par des autorités publiques d'Etat tiers non autorisées. Sur ce dernier point, le ministère s'est engagé à ce que l'hébergement des registres soit réalisé par des prestataires certifiés "hébergeur de données de santé". La CNIL rappelle, toutefois, que les critères de certification ne comportent pas de garanties similaires à celles prévues par la certification "SecNumCloud" de l'Agence nationale de la sécurité des systèmes d'information.
Les traitements induits par le projet de décret porteront sur des données relevant du système national des données de santé (SNDS) et poursuivront des finalités prévues au III de l'article L. 1461-1 du CSP. L'ensemble des dispositions applicables au SNDS s'appliquera au registre national et aux réutilisations des données qu'il contient.
A. - Concernant le registre national des cancers (RNC)
1. Sur la base légale
Le projet d'article R. 1415-2-1 prévoit que le registre national sera mis en œuvre par l'INCa pour répondre à l'obligation légale, au sens du c) du 1 de l'article 6 du RGPD, qui lui incombe en application de l'article L. 1415-2-1 du CSP.
Le législateur a confié un rôle central à l'INCa dans le pilotage et la rationalisation de ce dispositif, qui devra être doté des moyens appropriés pour mener à bien ses missions et garantir la protection des données qui lui sont confiées.
2. Sur le principe de minimisation
Le I du projet d'article R. 1415-2-1 et l'avant-dernier alinéa du I du projet d'article R. 1415-2-2 du CSP précisent les catégories de personnes concernées par le registre national. L'identification des catégories de personnes concernées constitue un élément essentiel pour apprécier le respect du principe de minimisation.
La CNIL estime que certaines notions pourraient être précisées, en concertation avec les ordres professionnels compétents. Il s'agit plus particulièrement des personnes "rentrant dans un dispositif de prévention ou de dépistage d'un cancer" et "suspectée d'être atteinte d'un cancer". Elle rappelle que sa délibération n° 2023-040 du 20 avril 2023 autorisant des modifications de la PDC définit ces dernières comme les "personnes présentant des risques élevés, soit en raison d'un test de dépistage positif soit parce qu'elles présentent une prédisposition génétique".
Le I du projet d'article R. 1415-2-2 énumère également les catégories de données susceptibles d'être traitées au sein du registre national.
La CNIL considère que la nécessité et la proportionnalité de collecter certaines données n'ont pas été suffisamment justifiées. Il s'agit notamment de :
- la date de naissance complète des patients, dont la collecte est justifiée par une "exploitation selon l'âge", alors qu'elle pourrait être réalisée, sauf pour les contextes pédiatriques, au moyen de l'année de naissance, de l'âge ou de tranches d'âge. Selon les précisions du ministère, la date de naissance complète est nécessaire à des fins d'appariement et ne sera pas mise à disposition à des fins de recherche. La CNIL demande que cette donnée soit ajoutée au dernier alinéa du I du projet d'article R. 1415-2-2, qui prévoit des garanties spécifiques notamment en termes de durée de conservation et de transmission à des tiers du NIR ainsi que des données directement identifiantes ;
- l'adresse de résidence précise dont la collecte est justifiée à des fins "d'analyses géographiques", puisque des données moins précises pourraient être traitées et mises à disposition à des tiers, comme par exemple le code IRIS ou le code de la commune de résidence ;
- les données nominatives, les coordonnées et la date de naissance complète des professionnels ayant pris en charge les patients, dont la collecte n'apparaît pas nécessaire à des fins de recherche, en l'absence de justification particulière ;
- l'identifiant permanent du patient (IPP) ou l'identifiant de l'épisode de soin (IEP). En effet ces identifiants sont propres à chaque structure de soins, sauf cas particuliers. Aussi, la collecte systématique de ces données à des fins d'appariement n'apparaît pas justifiée ;