AgentPublic/cnil huggingface dataset:
La Commission estime nécessaire d'améliorer l'information déjà disponible afin que, conformément à l'article 12 du RGPD, chaque organisme d'assurance maladie diffuse une information compréhensible et aisément accessible, en des termes clairs et simples, afin que l'ensemble de la population puisse avoir connaissance de l'existence des différents traitements de données en lien avec la carte Vitale, quelle que soit sa forme.
À cet égard, elle invite les ministères à créer des supports d'information en langue étrangère pour les personnes de nationalité étrangère qui bénéficient, dans certains cas prévus par le CSS, d'une carte Vitale, ainsi que des supports adaptés pour l'information des mineurs et des personnes majeures faisant l'objet d'une mesure de protection.
Sur les modalités d'exercice des droits
Les droits des personnes s'exerceront auprès de leur organisme d'assurance maladie de rattachement.
Eu égard à la multitude de traitements en lien avec la carte Vitale, la Commission rappelle que les agents des organismes de tous les régimes obligatoires d'assurance maladie devront être spécialement formés sur ces aspects afin de garantir l'effectivité des droits.
Sur la limitation du droit d'opposition et d'effacement
Le projet d'article R. 161-33-10 du CSS exclut l'application du droit d'opposition concernant le traitement de données intervenant lors de l'activation de la e-carte Vitale.
Si la Commission estime cette exclusion conforme à l'article 23, elle relève que ce droit ne sera pas non plus applicable au traitement de données mis en œuvre lors de l'utilisation de l'application e-carte Vitale, notamment s'agissant des données permettant la liquidation des dépenses et le contrôle de ses liquidations. Cette limitation n'étant pas précisée dans le projet de décret, la Commission demande qu'il soit complété sur ce point conformément à l'article 23 du RGPD, dans un souci de lisibilité.
L'AIPD transmise précise que ce droit sera également écarté s'agissant de la carte Vitale sous sa forme physique au motif que, selon les précisions apportées par les ministères, les données alimentant la carte Vitale sont issues des traitements relatifs aux  référentiels bénéficiaires des organismes d'AMO . En raison de la mission d'intérêt public dont est investie l'assurance maladie, les droits d'opposition et d'effacement sont écartés pour ces traitements, notamment en application du décret n° 2015-390 du 3 avril 2015.
S'agissant de la e-carte Vitale
Selon les précisions des ministères, les personnes seront informées que leurs données à caractère personnel seront traitées, lors de l'enrôlement, via les conditions générales d'utilisation (CGU) de l'application mobile. Chaque mise à jour des CGU conduira à une alerte de l'usager lors de sa prochaine connexion.
La Commission prend également acte de ce qu'une information sera publiée sur les sites web du groupement d'intérêt économique Sesam-Vitale (GIE Sesam-Vitale), de la Caisse nationale d'assurance maladie (CNAM) et de la Caisse centrale de la mutualité sociale agricole (CCMSA). Elle rappelle que cette information devra comporter l'ensemble des mentions prévues par le RGPD.
Le projet d'article R. 161-33-6 III du CSS prévoit que le titulaire de la e-carte Vitale a accès aux données qu'elle contient sur une interface dédiée.
La Commission prend acte de ce qu'un historique de toutes les utilisations de la e-carte Vitale sera conservé dans l'application et accessible à la personne concernée. Elle encourage la mise en œuvre de ce type de dispositif, qui doit rester à la main de l'usager.
S'agissant de la carte Vitale sous sa forme physique
Sur l'information des personnes
Le projet d'article R. 161-33-4 II du CSS prévoit que, lors de la délivrance de la carte Vitale sous sa forme physique, l'organisme émetteur adresse au titulaire une copie, sur papier ou sur support dématérialisé, de la liste des informations enregistrées dans la carte.
La Commission prend acte de ce que les responsables de traitement transmettront, à cette occasion, une note informant les titulaires du traitement de données les concernant. Elle demande que ce premier niveau d'information soit complété par un renvoi vers une page dédiée disponible sur le site web des responsables de traitement, qui devra comporter l'ensemble des mentions prévues par le RGPD.
Sur les modalités d'exercice des droits
En parallèle du droit de rectification prévu à l'article 16 du RGPD, le projet d'article R.161-33-4. V du CSS prévoit que les titulaires de la carte Vitale sous sa forme physique sont tenus d'effectuer une mise à jour de celle-ci annuellement ou en cas de changement des données mentionnées dans ce même article. La Commission rappelle que l'information délivrée aux personnes concernées devra clairement distinguer les opérations de mise à jour et les différentes modalités d'exercice des droits.
Les autres dispositions du projet de décret n'appellent pas d'observations de la Commission.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur et par la ministre chargée des sports et des jeux Olympiques et Paralympiques d’une demande d’avis concernant un projet de loi portant avis sur un projet de loi portant sur les jeux Olympiques et Paralympiques de 2024 ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code du sport, notamment ses articles L. 232-9 et suivants ;
Vu le code civil, notamment ses articles 16-10 et 16-11 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON et M. Claude CASTELLUCCIA, commissaires, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
ETANT RAPPELES LES ELEMENTS DE CONTEXTE SUIVANTS
La Commission a été saisie par le ministère de l’intérieur et des Outre-mer ainsi que par le ministère des sports et des jeux Olympiques et Paralympiques, des articles 4, 5, 6, 7, 9 et 10 du projet de loi relatif aux jeux olympiques et paralympiques.
Ces articles portent sur :
l’autorisation de l’examen des caractéristiques génétiques ou de la comparaison d’empreintes génétiques pour les analyses antidopage ;
la mise en conformité du code de la sécurité intérieure (CSI) avec le RGPD et la loi du 6 janvier 1978 modifiée ;
l’utilisation de traitements algorithmiques sur les images captées par des dispositifs de vidéoprotection ou des aéronefs afin de détecter et de signaler en temps réel des évènements prédéterminés susceptibles de menacer la sécurité des personnes ;
l’extension des images de vidéoprotection que les agents des services internes de la Société nationale des chemins de fer français -SNCF) et de la Régie autonome des transports parisiens (RATP) peuvent visionner lorsqu’ils sont affectés au sein des salles d’information et de commandement relevant de l’Etat ;
l’élargissement de la procédure de criblage prévue à l’article L211- 11-1 du CSI aux fans-zones et aux participants aux grands évènements ;
la possibilité de mettre en place des scanners corporels à l’entrée des enceintes sportives.
De manière générale, la Commission regrette d’avoir à se prononcer en urgence sur les évolutions envisagées par le projet de texte, compte tenu de la prévisibilité, largement connue à l’avance, de l’événement et des enjeux importants s’agissant de la vie privée des personnes concernées.
Les articles du projet de loi dont elle a été saisie appellent les observations suivantes.
EMET L’AVIS SUIVANT SUR LE PROJET DE LOI
Sur l’autorisation de l’examen des caractéristiques génétiques ou de la comparaison d’empreintes génétiques du sportif aux fins de la lutte contre le dopage (article 4)
L’article 4 du projet de loi autorise, aux seules fins de lutte contre le dopage, l’analyse des caractéristiques génétiques ou la comparaison des empreintes génétiques à partir des échantillons biologiques prélevés sur les sportifs à l’occasion d’un contrôle antidopage (mise en évidence d’une substance ou l’usage par le sportif d’une méthode, interdites en vertu de l’article L. 232-9 du code du sport). Il introduit une dérogation nouvelle aux différentes dispositions qui limitaient jusqu’à présent strictement les hypothèses pour lesquelles est autorisé l’examen des caractéristiques génétiques d’une personne ou son identification par ses empreintes génétiques. En effet, d’une part, s’agissant des tests génétiques (article 16-10 du Code civil), le consentement de la personne vivante doit systématiquement être recueilli sauf dans une hypothèse très spécifique liée à la recherche, hypothèse dans laquelle un droit d’opposition est prévu (article L.1130-5 du Code de la santé publique). D’autre part, la règle s’applique aussi pour les empreintes génétiques (article 16-11 du Code civil). Hors l’hypothèse du matériel biologique qui se serait naturellement détaché du corps de l'intéressé, seules les personnes condamnées pour crime ou déclarées coupables d'un délit puni de dix ans d'emprisonnement peuvent être contraintes à se soumettre à la réalisation de telles empreintes sur réquisitions écrites du procureur de la République (article 706-56, I, 5e alinéa du Code de procédure
pénale). L’exception introduite par l’article 4 du projet de loi est donc beaucoup plus large que celles qui existaient antérieurement, tant en ce qui concerne les personnes (sont visés ici tous les sportifs) que de l’examen réalisé (examen des caractéristiques génétiques constitutionnelles d’une personne et non une simple identification par ses empreintes génétiques).
Cet article répond au besoin de mettre en conformité le droit français avec :
les dispositions de l’article 6-2 du code mondial antidopage (CMA) entré en vigueur le 1er janvier 2021 ;
plusieurs règlements antidopage adoptés par l’Agence mondiale antidopage (AMA).
Le projet de loi répond également au besoin d’autoriser le laboratoire antidopage français (LADF) à procéder à l’analyse, le cas échéant, des caractéristiques génétiques des échantillons prélevés sur les sportifs. En effet, lors des jeux olympiques et paralympiques de 2024, de telles analyses seront réalisées par le LADF pour le compte de l’International Testing Agency (ITA), organisme indépendant missionné par le Comité international olympique (CIO) et le Comité international paralympique (CIP) pour appliquer le programme mondial antidopage.
Le projet de loi indique que les conditions de réalisation des analyses génétiques à des fins de lutte contre le dopage seront précisées par un décret en Conseil d’État, pris après avis de la CNIL.
En premier lieu, le CMA harmonise les politiques, règles et règlements antidopage des organisations sportives et des autorités publiques à travers le monde.
Son article 6-2 prévoit que  les échantillons et les données d’analyse afférentes, ainsi que les informations sur le contrôle du dopage, seront analysés afin d’y détecter les substances interdites et les méthodes interdites énumérées dans la liste des interdictions et toute autre substance dont la détection est demandée par l’AMA conformément à l’article 4.5, ou afin d’aider une organisation antidopage à établir un profil à partir des paramètres pertinents dans l’urine, le sang ou une autre matrice du sportif, y compris le profil ADN ou le profil génomique, ou à toute autre fin antidopage légitime .
Le standard international adopté par l’AMA portant Liste des interdictions recense parmi les méthodes interdites celles susceptibles de modifier les séquences génomiques et/ou d’altérer l’expression génétique et celles impliquant l’utilisation de cellules génétiquement modifiées.
Enfin, différents documents techniques élaborés par l’AMA décrivent les analyses ADN à réaliser pour mettre en évidence une substance ou une méthode interdite.
La majorité des États se sont engagés  à adopter les mesures appropriées aux niveaux national et international qui soient conformes aux principes énoncés par le code , dans le cadre de la convention internationale contre le dopage dans le sport, adoptée le 19 octobre 2005 sous l'égide de l'Organisation des Nations unies pour l’éducation, la science et la culture (UNESCO).
En France, l’ordonnance n° 2021-488 du 21 avril 2021 relative aux mesures relevant du domaine de la loi nécessaires pour assurer la conformité du droit interne aux principes du code mondial antidopage et renforcer l’efficacité de la lutte contre le dopage a transposé en droit interne dans le code du sport les principes du nouveau CMA. Cependant, eu égard aux questionnements qu’un tel procédé pouvait soulever et au calendrier d’adoption de l’ordonnance, les analyses génétiques des échantillons n’ont pas été autorisées par ce texte.
D’après le ministère, l’AMA a considéré que l’impossibilité, en France, de procéder à une analyse génétique des échantillons prélevés sur les sportifs n’était pas conforme au CMA.
En second lieu, s’agissant plus particulièrement de la protection des données à caractère personnel, la CNIL prend acte de ce que les analyses consistant en l’examen des caractéristiques génétiques ou la comparaison d’empreintes génétiques – et les traitements de données qui en découleront – ne pourront être mises en œuvre qu’aux seules fins de mettre en évidence la présence et l’usage d’une substance ou d’une méthode interdite en vertu de l’article L. 232-9 . Toute autre utilisation de ces données est donc interdite.
L’article 4 du projet de loi appelle les observations complémentaires suivantes :
d’abord, le projet d’article L. 232-12-2 du code du sport instaure une nouvelle dérogation au principe d’obligation de recueil du consentement exprès, recueilli par écrit préalablement à l’examen des caractéristiques génétiques (article 16-10 du code civil) ou à l’identification d'une personne par ses empreintes génétiques (article 16-11 du code civil).
La CNIL estime que la formulation retenue par le projet de texte ( même en l’absence de consentement du sportif concerné ) apparaît équivoque et devrait être précisée afin de distinguer les cas dans lesquels le consentement du sportif est, ou non, recueilli (s’agissant notamment du prélèvement d’échantillon biologique et de l’examen génétique susceptible d’être réalisé) ainsi que les conséquences en cas de refus du sportif. En ce sens, selon les précisions apportées par le ministère, le projet de loi est en cours de révision afin notamment de prévoir des garanties accessoires à l’absence de consentement. La Commission estime que l’information du sportif, préalablement à sa participation à la compétition, portant sur la possibilité que ses échantillons puissent faire l’objet d’analyses génétiques, constitue une de ces garanties.
ensuite, le projet d’article L. 232-12-2 du code du sport prévoit une information préalable du sportif concerné, mais uniquement dans l’hypothèse d’une analyse portant sur ses caractéristiques génétiques constitutionnelles. Le ministère a précisé qu’une information sur la possibilité que le produit prélevé puisse faire l’objet des analyses génétiques autorisées sera systématiquement délivrée au sportif, lors du prélèvement.
enfin, le projet de loi envisage l’information du sportif concerné en cas de découverte, à l’occasion de la réalisation de ces analyses, de caractéristiques génétiques pouvant être responsables d’une affection justifiant des mesures de prévention ou de soins pour lui-même ou au bénéfice de membres de sa famille potentiellement concernés. La Commission estime cette information justifiée. Dans cette hypothèse, sauf s’il s’y est préalablement opposé, le projet de loi prévoit que le sportif est invité à se rendre à une consultation chez un médecin qualifié en génétique afin de pouvoir bénéficier d’une prise en charge adéquate. Le projet de loi renvoie aux dispositions du II de l’article L. 1130-5 du code de la santé publique (CSP) qui concerne la réutilisation d’échantillons biologiques pour réaliser des examens des caractéristiques génétiques d'une personne à des fins de recherche scientifique.
La Commission s’interroge sur le renvoi à cet article qui est de nature à créer une confusion quant à une éventuelle réutilisation des échantillons biologiques du sportif, alors même que celle-ci est, selon les précisions apportées par le ministère, exclue par les normes internationales applicables en matière de lutte contre le dopage. Contre ce risque de confusion, le ministère a précisé que le fait de renvoyer aux conditions de l’article L. 1130-5 du CSP signifie que seules les conditions procédurales sont applicables et non l’intégralité du régime juridique de la recherche scientifique, ce qui mériterait d’être davantage explicite dans le projet de loi.
Les autres points de l’article 4 du projet de loi n’appellent pas d’observations particulières de la Commission.
Sur la mise en conformité du CSI avec le RGPD et la loi du 6 janvier 1978 modifiée
 (article 5) 
L’article 5 du projet de loi vise à mettre en conformité le régime de vidéoprotection prévu par les articles L251-1 à L255-1 du CSI avec le RGPD et la loi du 6 janvier 1978 modifiée.
La Commission a rappelé à plusieurs reprises que plusieurs dispositions du CSI étaient obsolètes depuis l’évolution de la réglementation en matière de protection des données à caractère personnel intervenue en 2018. En effet, elles ne permettent plus aux responsables de traitement de connaître l’état réel de leurs obligations en la matière ni aux personnes concernées de savoir de quelle manière exercer leurs droits, alors même que ces dispositions constituent le cadre juridique général en la matière. Si elle accueille ainsi favorablement la démarche de mise en conformité du ministère, la Commission constate que celui-ci a fait le choix de modifier a minima les dispositions existantes et souligne le fait qu’une réforme plus globale des traitements des images dans les espaces ouverts au public sera nécessaire pour sécuriser les acteurs et encadrer les usages.
En premier lieu, les principales modifications envisagées visent à préciser, à l’article L251-1 du CSI, que les traitements automatisés de données à caractère personnel qui résultent des enregistrements visuels de vidéoprotection sont régis par les dispositions applicables en matière de protection des données et à supprimer les dispositions relatives aux pouvoirs de la Commission qui sont dérogatoires à celles prévues par la loi du 6 janvier 1978 modifiée.
Sans remettre en cause le souhait du ministère de maintenir des règles particulières pour les systèmes de vidéoprotection dans le CSI, l’évolution de l’article L251-1 interroge. Le ministère a précisé que la modification projetée avait pour objectif de clarifier le fait , d’une part, que le CSI encadre le dispositif de vidéoprotection en lui-même (procédure d’autorisation, etc.) , d’autre part, que les traitements qui en découlent sont régis par la réglementation en matière de protection des données, dès lors que des données à caractère personnel sont traitées.
Si la Commission accueille favorablement cette interprétation, la rédaction retenue dans le projet de loi est ambigüe. En effet, dès lors qu’il est précisé par le projet de texte que les enregistrements visuels de vidéoprotection relèvent du CSI, il conviendrait de clarifier, dans la mesure où ils portent sur l’image de personnes, que ce sont des traitements de données à caractère personnel qui sont réalisés et soumis à la réglementation en la matière. A cet égard, la Commission rappelle que toute opération – notamment la captation, la transmission, la modification ou la consultation – portant sur l’image de personnes pouvant être reconnues constitue un traitement de données à caractère personnel. Elle considère par conséquent que les images captées par les dispositifs de vidéoprotection, même si elles ne font pas l’objet d’un enregistrement ultérieur, sont soumises à la réglementation en matière de protection des données à caractère personnel.
Il conviendrait ainsi de clarifier l’article L251-1 du CSI pour prévoir que les systèmes de vidéoprotection relèvent des dispositions du CSI et que le traitement (la captation, l’enregistrement, la conservation, etc.) d’images par ces systèmes constituent des traitements de données à caractère personnel soumis au respect de la loi du 6 janvier 1978 modifiée et du RGPD ainsi que de la directive (UE) 2016/680 le cas échéant. Cette articulation n’exclurait pas la possibilité de prévoir des dispositions spécifiques dans le CSI concernant les traitements de données à caractère personnel dès lors qu’elles sont compatibles avec les textes relatifs à la protection des données.
En second lieu, les modifications apportées par le projet de loi ne permettront pas de résoudre les difficultés plus spécifiques d’articulation entre le CSI et la réglementation en matière de protection des données à caractère personnel.
A cet égard, des modifications supplémentaires seraient nécessaires pour assurer la bonne articulation entre le CSI et la réglementation relative à la protection des données à caractère personnel.
D’une part, il conviendrait de compléter les dispositions du CSI s’agissant du droit des personnes, notamment afin d’écarter explicitement, le cas échéant, le droit d’opposition, de prévoir une information des personnes concernées conforme à la réglementation relative à la protection des données, et de clarifier l’articulation entre le droit d’accès aux enregistrements tel que prévu par le CSI (consultation des images intègres, y compris le cas échéant avec la présence de tiers) et le droit d’avoir accès ainsi que d’obtenir copie des données à caractère personnel prévu par le RGPD et la loi du 6 janvier 1978 modifiée (accès aux seules images du demandeur). Pour les droits des personnes, un renvoi à la loi informatique et libertés et au RGPD pourrait être ajouté dans les dispositions législatives du CSI, tandis que les modalités d’exercice de ces droits pourraient, elles, être prévues au niveau réglementaire. Le ministère a en effet précisé que l’encadrement des modalités d’exercice des droits sera prévu par un décret en Conseil d’Etat pris après avis de la CNIL, conformément à l’article L255-1 du CSI. Outre la difficulté liée à l’appréhension du périmètre des traitements résultant des systèmes de vidéoprotection, cet article précise que le décret fixera notamment les conditions dans lesquelles le public est informé de l'existence d'un dispositif de vidéoprotection sans qu’il fasse expressément référence aux autres droits des personnes concernées. Sur ce point, la Commission
estime que l’article L255- 1 du CSI devrait être complété pour prévoir un encadrement au niveau réglementaire de l’ensemble des droits des personnes concernées.
Par ailleurs, le ministère envisage d’encadrer ces modalités par un décret qui a vocation à constituer un acte réglementaire unique pour l’ensemble de ces systèmes. La Commission s’interroge sur la faisabilité d’un tel encadrement par un seul texte général au regard de la diversité des finalités des systèmes visés, de leurs régimes juridiques susceptibles d’être distincts (notamment, le RGPD et/ou la directive (UE) 2016/680) ou encore de la pluralité des situations que les systèmes de captation et de traitement vidéo ont vocation à couvrir. Elle recommande ainsi au ministère, dans la mesure du possible, de prévoir un encadrement général mais différencié (au moyen, par exemple, de plusieurs actes réglementaires uniques) en fonction notamment des particularités présentées par les systèmes de vidéoprotection.