AgentPublic/cnil huggingface dataset:
S’agissant des personnes prises en charge après la constitution des entrepôts de données de santé : 
Les personnes concernées ont reçu un premier niveau d’information individuelle les renvoyant vers un dispositif spécifique d’information (portail de transparence) auquel elles peuvent se reporter préalablement à la mise en œuvre de chaque nouveau traitement de données procédant à la réutilisation des données des entrepôts concernés. Une note d’information relative à la présente étude sera diffusée sur le portail de transparence de chaque entrepôt accessible via le site web de leur responsable de traitement.
 
S’agissant des personnes prises en charge avant la constitution des entrepôts de données de santé :
En application de l'article 69 de la loi "informatique et libertés" et du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une information relative à l’étude sur le site web :
du responsable de traitement ;
des CHU de Nantes, de Brest, de Tours et de Rennes ;
de la plateforme ODH.
 
Ces notes d’information devront être complétées avant le commencement de l’étude afin de comporter l’ensemble des mentions prévues par le RGPD. 
Mesures de sécurité
Une analyse d’impact relative à la protection des données spécifique au projet "PAI" a été réalisée et fournie à l’appui du dossier. Celle-ci intègre également les éléments liés à la solution technique de la plateforme "ODH".
 
Les utilisateurs se connecteront à la plateforme ODH à l’aide d’un certificat et d’un mot de passe ; l’authentification multifacteurs pour l’accès aux espaces projet a été mise en place. Les traces seront centralisées dans un système mis à disposition par l’hébergeur. Un mécanisme proactif de contrôle automatique des données de journalisation contribuant à la sécurité du traitement par la génération automatique d’alertes a été mis en place.
Les exports de données depuis l’espace projet ne pourront être constitués que de données anonymes. À cet égard, le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n°05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. À défaut de remplir parfaitement ces trois critères, le responsable de traitement doit démontrer, via une évaluation approfondie, que le risque d’identification d'une personne à l'aide de moyens raisonnablement susceptibles d'être utilisés, par lui-même ou par toute autre personne, est négligeable.
 
Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par le f) du 1 de l’article 5 et l’article 32 du RGPD. Cette obligation nécessite la mise à jour de l’AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
Durées de conservation en base active et en archivage
Les données administratives d’identification (nom, prénom, date et commune de naissance) ne seront pas conservées après la recherche du statut vital.
 
Les NIR et la date de naissance complète des participants ne seront pas conservés après l’appariement.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
AUTORISE le
centre hospitalier universitaire d’Angers à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU
N° de demande d’avis : 26002493
Thématiques : données
génétiques, généalogie génétique, enquêtes pénales, FNAEG 
Organisme(s) à l’origine de la saisine :
Ministère de la Justice
Fondement de la saisine :
Article 8 
de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
Le projet de loi modifie significativement le cadre juridique du traitement de données génétiques en matière pénale, induisant ainsi un changement de paradigme éthique.
 
En introduisant une exception à l’interdiction générale issue des lois sur la bioéthique, le texte permet l’examen des caractéristiques génétiques constitutionnelles d’une personne sur instructions d’un magistrat dans le cadre d’une procédure pénale. Compte tenu de la particulière sensibilité des données traitées, la CNIL estime que cette possibilité devrait être explicitement circonscrite au seul objectif d’identification de personnes inconnues à partir de traces génétiques prélevées. 
 
Le code de procédure pénale est également modifié pour permettre la comparaison d’empreintes génétiques avec des bases de données établies hors du territoire national qui ne sont pas autorisées en France. Si le texte apporte certaines garanties, la CNIL estime que celles-ci devraient être encore renforcées, notamment sur la question du consentement.
Le projet de loi étend, de façon significative, le périmètre des infractions pour lesquelles les traces et empreintes génétiques peuvent être enregistrées au FNAEG.
La CNIL regrette que les évolutions successives du traitement, en particulier celles prévues par le présent projet de loi, conduisent à faire évoluer le FNAEG en un instrument de recherche "de droit commun" et à banaliser l’usage de données génétiques. Elle appelle à ce que la liste des infractions soit réévaluée sur la base de critères objectifs permettant d’apprécier la proportionnalité du traitement des données génétiques pour chacune des infractions considérées. 
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
La Commission nationale de l'informatique et des libertés,
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après "loi informatique et libertés"), notamment son article 8 ;
 
Après avoir entendu le rapport de M. Vincent Lesclous, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
La CNIL est saisie pour avis d’un projet de loi modifiant significativement le cadre juridique du traitement de données génétiques en matière pénale, par voie d’exception à une interdiction générale ou par l’autorisation d’exploiter des bases étrangères interdites par principe sur le territoire national, induisant ainsi un changement de paradigme. Le projet de texte porte également une extension du champ infractionnel conduisant à l’enregistrement au FNAEG.
 
A. Le contexte
 
De manière générale, de tels traitements soulèvent des questions éthiques et sociétales majeures. Consciente des enjeux liés au traitement des données génétiques en matière pénale, notamment pour la résolution de crimes graves et/ou sériels, la CNIL porte une attention particulière à toute évolution du cadre existant dans une logique de mise en balance des opportunités et des principes fondamentaux de la réglementation en matière de protection des données.
 
S’agissant de l’encadrement des examens des caractéristiques génétiques
Les données génétiques sont des données à caractère personnel hautement sensibles, signifiantes et potentiellement discriminantes. Elles présentent en outre la particularité d’être non seulement personnelles mais aussi pluripersonnelles car transmissibles et partagées. Le caractère sensible des informations génétiques a été souligné par la CEDH dans son arrêt S. et Marper c/ Royaume-Uni du 4 décembre 2008 qui rappelle la nécessité de respecter strictement le principe de proportionnalité.
 
En France, les données génétiques peuvent être utilisées dans deux cas spécifiques, que les articles 16-10 et 16-11 du Code civil distinguent précisément.
 
D’une part, l’examen des caractéristiques d’une personne au vu de son patrimoine génétique (article 16-10) ne peut être réalisé qu’à des fins médicales ou de recherche scientifique avec le consentement préalable et exprès de la personne (sauf exceptions prévues par la loi). L'examen des "caractéristiques génétiques constitutionnelles" est réalisé à partir d’éléments codants de l’ADN. Il permet ainsi de déterminer des éléments distinctifs d’un individu, relatifs à son identité. Il peut s’agir d’éléments relatifs à sa morphologie ou à d’autres caractéristiques telles que des pathologies.
D’autre part, l’identification d’une personne à partir de ses empreintes génétiques (article 16-11) ne peut être recherchée que :
dans le cadre de mesures d'enquête ou d'instruction diligentées lors d'une procédure judiciaire ;
à des fins médicales ou de recherche scientifique ;
aux fins d'établir, lorsqu'elle est inconnue, l'identité de personnes décédées.
 
Les articles 16-10 et 16-11 du Code civil distinguent ainsi clairement examen et identification et déterminent, de façon exhaustive et limitative, les seules possibilités de recueil et d’exploitation de l’ADN d’une personne.
 
S’agissant de la généalogie génétique d’investigation
 
La généalogie génétique d’investigation (ou forensique) est un outil d’enquête permettant d’orienter les investigations et de faciliter la recherche d’un suspect. Un éventuel rapprochement est donc suivi d’investigations (constitution d’un arbre généalogique reliant un ou plusieurs personnes à l’individu ayant laissé sa trace), permettant de sélectionner, à partir de cet arbre généalogique, la personne dont le profil correspond à celui de l’auteur du crime.
 
L’utilisation de cette méthode est un complément aux méthodes d’analyses classiques en matière génétique (enregistrement de la trace au FNAEG, recherches en parentalité, portrait-robot génétique). Elle permet d’établir des liens de parenté au 5ème degré, concernant ainsi une part significative de la population.
 
S’agissant du FNAEG
L’article 706-54 du code de procédure pénale (ci-après "CPP"), issu de la loi n° 98-468 du 17 juin 1998 autorise la centralisation et la conservation des empreintes génétiques, recueillies dans un cadre judiciaire ou administratif, au fichier national automatisé des empreintes génétiques (FNAEG).
 
L’article 706-54 du CPP limite les segments d’ADN susceptibles d’être analysés : "
Les empreintes génétiques conservées dans ce fichier ne peuvent être réalisées qu'à partir de segments d'acide désoxyribonucléique non codants, à l'exception du segment correspondant au marqueur du sexe". L’identification doit donc être réalisée à partir d’éléments non-codants de l’ADN, c'est-à-dire des éléments qui ne permettent pas de déterminer les caractéristiques physiologiques d’un individu. À cet égard, les articles R. 53-13 et A. 38 du CPP dressent une liste limitative des segments de l’ADN exploitables. Cette garantie a été jugée essentielle par le Conseil Constitutionnel s’agissant du FNAEG (décision n° 2010-25 QPC du 16 septembre 2010).
À l’origine, le FNAEG avait un champ d’application limité et ne pouvait être alimenté que par les empreintes génétiques des personnes condamnées pour des infractions sexuelles ou atteintes sexuelles commises sur des mineurs. Plusieurs lois ont, depuis, considérablement élargi la liste des infractions concernées (atteintes volontaires à la vie, actes de terrorisme, vol, trafic de stupéfiants, dégradation de biens, etc.) et le champ des personnes susceptibles d’y figurer (voir par ex. CNIL, SP, 7 janvier 2021, avis sur un projet de décret, FNAEG, n° 2021-009).
Ce traitement contient désormais des données relatives aux personnes mises en cause ou déclarées coupables, aux personnes décédées dont l’identité n’a pas pu être établie, aux victimes de catastrophes naturelles, ou encore aux personnes disparues. Il est ainsi devenu un outil de police technique et scientifique communément mobilisé par la police judiciaire dans la recherche et l'identification des auteurs d'infractions.
 
Au 1er janvier 2025, le FNAEG comprenait plus de six millions d’empreintes génétiques, dont 4 368 268 correspondant à des personnes identifiées.
 
Ayant des utilisations civiles, administratives et pénales, ce traitement relève à la fois du RGPD et du titre III de la loi "informatique et libertés".
 
B. L’objet de la saisine
La CNIL a été saisie pour avis, en urgence, de l’article 3 du projet de loi sur la justice criminelle et le respect des victimes (ci-après "projet de loi") porté par le ministère de la justice.
 
Le projet de loi vise à :
donner un fondement légal général à l’examen des caractéristiques génétiques constitutionnelles dans le cadre des enquêtes pénales ;
permettre le recours à des bases de données génétiques étrangères ;
étendre le champ des infractions susceptibles de donner lieu à un prélèvement génétique des personnes mises en cause et à leur enregistrement au FNAEG ;
modifier les modalités d’accès à ce fichier ;
permettre l’examen médical par téléconsultation dès le début de la garde à vue.
 
La CNIL regrette vivement d’avoir à se prononcer dans des conditions d’urgence compte tenu des enjeux associés :
à une extension indifférenciée, en matière pénale, de l’examen des caractéristiques génétiques constitutionnelles ; 
au recours à la généalogie génétique d’investigation qui, compte tenu de la portée de la modification projetée de l’article 16-10 du Code civil, reposera sur l’analyse de segments d’ADN codant comportant un nombre de marqueurs plus élevé ;
à une modification substantielle des conditions de mise en œuvre du FNAEG, alors que la sensibilité de ce fichier a déjà été soulignée à plusieurs reprises par la CNIL (v. CNIL, SP, 7 janvier 2021, précité).
Cette situation est d’autant plus regrettable que le projet de loi qui procède par voie d’exception aux lois bioéthiques et autorise l’exploitation de bases étrangères interdites par principe sur le territoire national, soulève, au-delà des seuls enjeux liés à la protection de la vie privée, des questions sensibles dont les implications éthiques auraient pu être analysées préalablement à cette délibération par des autorités existantes, en particulier le Comité consultatif national d’éthique.
II. L’avis de la CNIL 
 
A. Sur la modification de l’article 16-10 du Code civil
 
Le projet de loi ajoute à l’article 16-10 du Code civil un nouveau paragraphe III ter qui permettrait, sur instruction d’un magistrat, "l’examen des caractéristiques génétiques 
constitutionnelles d’une personne" (soit "l’analyse de ses caractéristiques génétiques héritées ou acquises à un stade précoce du développement prénatal" au sens de l’art. L. 1130-1 du code de la santé publique) dans le cadre d’une enquête pénale. Le consentement des personnes concernées à cet examen ne serait pas nécessaire.
La CNIL souligne que l’examen des traces et prélèvements contenant de l’ADN à des fins d’identification dans le cadre de mesures d'enquête ou d'instruction diligentées lors d'une procédure judiciaire (article 16-11 du Code civil) est, en l’état, limité aux segments "non codants" (à l’exception du marqueur du sexe). La modification envisagée permettrait cependant de procéder, sur instruction d’un magistrat et dans le cadre d’une enquête pénale, à l’examen partiel du génome d’une personne, donc de son ADN codant, à laquelle les traces ou prélèvements se rapportent. Cet examen permettrait potentiellement de déterminer ses caractéristiques telles que sa morphologie ou certaines pathologies ainsi que des membres de sa famille. Selon les précisions du ministère, cette technique peut déjà être mise œuvre pour, par exemple, l’établissement de portraits robots génétiques, mais elle ne concerne qu’un nombre de marqueurs beaucoup moins élevé et s’effectue sans cadre légal et sur la base d’un seul arrêt de la Cour de cassation (Cass. Crim.; 25 juin 2014 : n° 13.87-493).
 
A titre liminaire, la CNIL souligne que, s’il appartient au législateur d’apprécier l’opportunité d’une telle évolution, le recours à de tels examens ne devrait pas intervenir de manière générale et systématique. Or, il ressort du projet de texte que l’examen des caractéristiques génétiques constitutionnelles d’une personne trouverait à s’appliquer à l’ensemble des enquêtes pénales.
Elle considère, dès lors, que cette évolution devrait, pour rester proportionnée, être très strictement limitée aux infractions les plus graves. Dans cette perspective, elle invite le ministère à préciser explicitement, dans le projet de loi, le champ des infractions pénales pour lesquelles la recherche de leurs auteurs serait susceptible de justifier le recours à un tel examen. 
 
En premier lieu, le projet de loi prévoit qu’un tel examen ne pourra être entrepris que sur instructions d’un magistrat dans le cadre d’une procédure pénale. La CNIL estime cet encadrement insuffisant et considère que le projet de loi devrait également définir, en particulier, les finalités du dispositif.
 
A cet égard, il ressort des précisions apportées que l’objectif principal est d’identifier des personnes inconnues à partir de traces génétiques prélevées sur tout support en tout lieu utile à l’enquête judiciaires, pour, notamment, mettre en évidence certains marqueurs nécessaires à la généalogie génétique.
 
La CNIL estime que la loi devrait limiter le dispositif au seul objectif d’identification des auteurs présumés ou victimes d’infractions graves.
En second lieu, la CNIL estime que cette technique devrait être assortie de conditions et garanties plus strictes que ce que prévoit le texte du gouvernement. Ce dernier pourrait par exemple renvoyer à des dispositions spécifiques du code de procédure pénale prévoyant un tel encadrement. Sur ce point, la CNIL souligne aussi que cette technique, particulièrement intrusive, ne devrait pouvoir être mise en œuvre que dans les cas où il n’existe pas d’autres moyens moins intrusifs pour atteindre l’objectif poursuivi. 
 
Elle considère que ce caractère subsidiaire devrait explicitement figurer dans la loi. 
 
Enfin, la CNIL prend acte de l’engagement du Gouvernement de ce que cette évolution du cadre juridique ne remettra pas en cause, à terme, le fait que le FNAEG ne conserve que des segments d’ADN non codant (articles L. 706-54, R. 53-13 et A. 38 du CPP).
 
B. Sur la comparaison des profils génétiques avec les données de bases établies hors du territoire national
 
Le projet de loi vise à donner une base légale à la comparaison des profils génétiques établie à partir d’une trace biologique d’une personne inconnue avec les données de bases génétiques étrangères, notamment commerciales, aux fins de recherche de personnes pouvant être apparentées à la personne dont l’identification est recherchée.
 
Le projet d’article 706-56-1-2 du CPP soumet la mise en œuvre de cette procédure aux conditions suivantes :
la comparaison ne pourra être demandée que pour les crimes les plus graves, à savoir les crimes sériels ou non résolus (aussi appelés "cold cases") visés au premier alinéa de l’article 706-106-1 du CPP et les infractions de terrorisme (prévues aux articles 421-1 à 421-2-1 du Code pénal) ;
elle ne pourra être mise en œuvre que lorsque les vérifications opérées à partir de l’empreinte génétique issue d’une trace biologique d’une personne inconnue n’auront donné aucune correspondance dans le FNAEG, y compris par les recherches en parentèle autorisées par le droit en vigueur ;
la demande de comparaison devra être ordonnée par une décision écrite et motivée du procureur de la République ou du juge d'instruction ;
un effacement immédiat de l’empreinte génétique sera effectué à l’issue de cette opération.
A titre liminaire, la CNIL rappelle que les examens des caractéristiques génétiques dits "récréatifs" sont proscrits en France, sous peine de sanction pénale, l’achat de kits à cette fin étant sanctionnable d’une amende pouvant s’élever jusqu’à 3 750€ aux termes de l’article 226-28-1 du Code pénal. Un certain nombre de résidents français (évalué entre 1,5 et 2 millions au total) ont toutefois réalisé de tels examens auprès d’acteurs établis dans des pays autorisant cette pratique. C’est dans ce contexte, qui peut apparaître paradoxal, que s’inscrit la volonté du ministère de pouvoir comparer les empreintes génétiques visées avec celles contenues dans les bases étrangères, malgré l’illégalité, de principe, des bases de ce type sur le territoire national.
 
En premier lieu, la CNIL relève que les sociétés proposant de tels tests dits "récréatifs" apportent peu de garanties quant à la qualité des résultats obtenus et la sécurité des échantillons et données (techniques d’analyse, modalités de stockage, traçabilité, etc.). En découlent des interrogations quant à la fiabilité des résultats des comparaisons qui pourraient être réalisées dans ce cadre. Elle rappelle que les éventuelles inexactitudes des données sont susceptibles d’entraîner des conséquences importantes pour les personnes concernées qui peuvent n’avoir qu’un rapport lointain, voire insoupçonné, avec la personne à identifier.
La CNIL note encore que plusieurs des bases de données existantes contiennent non seulement des informations nécessaires à un possible apparentement, mais, également, des données de santé. En conséquence, au regard de la sensibilité des données génétiques et des fortes garanties qui doivent encadrer leur traitement.
La CNIL estime, de surcroît, que la garantie d’un effacement immédiat des données ainsi transmises pourrait s’avérer illusoire. Il paraît en effet difficile de contraindre les entreprises de droit étranger à effacer les données transmises de leur base.
La CNIL insiste sur la nécessité de limiter le recours à cette technique, qui doit demeurer un outil d’exception réservé aux infractions les plus graves
 et exclure la collecte de données de santé.
Elle ne devrait, en outre, être utilisée que s’il peut être établi avec un degré élevé de probabilité que le matériel biologique appartient à un auteur ou à la victime d’un crime prévu aux articles 706-106-1 du CPP et concernant les infractions de terrorisme prévues aux articles 421-1 à 421-2-1 du Code pénal
.
En deuxième lieu, la liste des bases de données avec lesquelles des comparaisons pourront être demandées devait initialement être fixée par arrêté. Si le projet de loi prévoit que "cet arrêté ne peut désigner que des bases garantissant le consentement de leurs utilisateurs à l’usage de leur profil génétique [aux fins] d’identification d’auteurs d’infractions pénales", il ressort des dernières précisions apportées qu’un décret en Conseil d’Etat pris après avis de la CNIL fixera les critères que devront respecter les bases pouvant être désignées.
 
D’une part, la CNIL estime que le projet de loi pourrait apporter davantage de garanties. Elle propose, à cette fin, que la qualité des analyses et des traitements opérés dans le cadre de la mise en œuvre de ces bases de données constitue un critère de sélection. Elle propose également de préciser les catégories de bases de données étrangères exclues du dispositif – en particulier celles constituées exclusivement à des fins de prise en charge médicale et/ou de recherche scientifique, dont la mobilisation, quand bien même le consentement serait recueilli, serait de nature à altérer la confiance particulière que doivent nourrir les personnes concernées à l’égard des traitements afférents.
 
D’autre part, le projet de loi limite les comparaisons aux seules bases garantissant le consentement de leurs utilisateurs à l’usage de leur profil génétique aux fins d’identification d’auteurs d’infractions pénales.