AgentPublic/cnil huggingface dataset:
15 février 2021 : audition devant les sénateurs membres de la délégation sénatoriale à la prospective sur le thème le recours aux nouvelles technologies dans la prévention et la gestion des épidémies .
30 avril 2021 : audition devant le rapporteur relative au projet de loi relatif à la gestion de la sortie de l’état d’urgence sanitaire.
Liste des avis rendus sur les quatre traitements SIDEP, CONTACT COVID, VACCIN COVID et STOPCOVID/TOUSANTICOVID :
Délibération n° 2020-044 du 20 avril 2020 de la CNIL portant avis sur un projet d'arrêté complétant l’arrêté du 23 mars 2020 prescrivant les mesures d’organisation et de fonctionnement du système de santé nécessaires pour faire face à l’épidémie de COVID-19 dans le cadre de l’état d’urgence sanitaire ;
Délibération n° 2020-046 du 24 avril 2020 de la CNIL portant avis sur un projet d’application mobile dénommée StopCovid ;
Délibération n° 2020-051 du 8 mai 2020 portant avis sur un projet de décret relatif aux systèmes d’information mentionnés à l’article 6 du projet de loi prorogeant l’état d’urgence sanitaire ;
Délibération n° 2020-056 du 25 mai 2020 portant avis sur un projet de décret relatif à l’application mobile dénommée StopCovid ;
Délibération n° 2020-083 du 23 juillet 2020 portant avis sur un projet de décret pris en application de l'article 3 de la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire relatif à la durée de conservation des données pseudonymisées collectées à des fins de surveillance épidémiologique et de recherche sur le virus de la COVID-19 ;
 
Délibération n° 2020-087 du 10 septembre 2020 portant avis public sur les conditions de mise en œuvre des systèmes d'information développés aux fins de lutter contre la propagation de l'épidémie de COVID-19 (mai à août 2020) ;
 
Délibération n° 2020-108 du 5 novembre 2020 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire ;
 
Délibération n° 2020-126 du 10 décembre 2020 portant avis sur un projet de décret autorisant la création d’un traitement de données à caractère personnel relatif à la gestion et au suivi des vaccinations contre le coronavirus SARS-CoV-2 ;
 
Délibération n° 2020-135 du 17 décembre 2020 portant avis sur un projet de décret modifiant le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé StopCovid ;
 
Délibération n° 2021-004 du 14 janvier 2021 portant avis public sur les conditions de mise en œuvre des systèmes d'information développés aux fins de lutter contre la propagation de l'épidémie de COVID-19
Délibération n° 2021-006 du 19 janvier 2021 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions.
 
Délibération n° 2021-055 du 12 mai 2021 portant avis sur un projet de décret portant création du traitement automatisé de données à caractère personnel relatif au suivi et au contrôle du respect des certaines mesures prises sur le fondement du II de l’article L. 3131-17 du code de la santé publique.
 
ANNEXE 3 : Liste des textes et de leurs principaux apports en matière de protection des données personnelles
Loi n° 2020-546 du 11 mai 2020 modifiée prorogeant l’état d’urgence sanitaire et complétant ses dispositions : autorise aux seules fins de lutter contre l’épidémie de covid-19, le traitement et le partage de données de santé à caractère personnel dans le cadre de systèmes d’information créés par décret en Conseil d’État ;
Loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire : autorise la prolongation de la durée de conservation des données pseudonymisées collectées dans le cadre des systèmes d’information SI-DEP et CONTACT COVID à des fins de surveillance épidémiologique et de recherche sur le virus de la covid-19 ;
Loi n° 2020-1379 du 14 novembre 2020 autorisant la prorogation de l'état d'urgence sanitaire et portant diverses mesures de gestion de la crise sanitaire et modifiant la loi n°2020-546 du 11 mai 2020 : autorise la prolongation de la durée de mise en œuvre des systèmes d’information CONTACT COVID et SI-DEP jusqu’au 1er avril 2021 au plus tard ; Allonge la durée de conservation des données pseudonymisées traitées à des fins de surveillance épidémiologique et de recherche sur le virus jusqu’au 1 er avril 2021 ; La finalité des SI covid-19, relative à l'identification des personnes infectées et à la prescription et la réalisation des examens de biologie, est étendue à la prescription et à la réalisation d'examens de dépistage sérologique ou virologique, afin de prendre en compte l'évolution des modalités de réalisation des examens de dépistage par des professionnels de santé habilités (liste fixée par décret) ;
Loi n° 2021-160 du 15 février 2021 prorogeant l'état d'urgence sanitaire : prolonge le maintien des fichiers SIDEP et ContactCovid jusqu’au 31 décembre 2021 et autorise la conservation des données pseudonymisées à des fins de de surveillance épidémiologique et de recherche sur le virus de la covid-19 jusqu’au 31 décembre 2021.
Décret n° 2020-551 du 12 mai 2020 modifié relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 modifiée prorogeant l'état d'urgence sanitaire et complétant ses dispositions : création des traitements SI-DEP et CONTACT COVID ;
Décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé STOPCOVID : institue l’application STOPCOVID ;
Décret n° 2020-1018 du 7 août 2020 pris en application de l'article 3 de la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire et modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions : porte à six mois après la fin de l’état d’urgence sanitaire la durée de conservation des données pseudonymisées collectées dans le cadre de ces systèmes d’information à des fins de surveillance épidémiologique et de recherche sur le virus de la covid-19 ;
Décret n° 2020-1385 du 14 novembre 2020 modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions : prolongation des SI covid-19 jusqu’au plus tard au 1 er avril 2021 ; extension de la remontée des résultats à tous les examens de dépistage (sérologique ou virologique) réalisés par des professionnels de santé figurant sur une liste prévue par décret et habilités à la réalisation de ces tests ; ajout de données collectées, de personnes accédant et enregistrant les données, de destinataires des données, etc.
Décret n° 2020-1387 du 14 novembre 2020 fixant la liste des professionnels de santé habilités à renseigner les systèmes d'information mentionnés à l'article 11 de la loi du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions : médecins, biologistes médicaux, pharmaciens et infirmiers.
Décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19 : porte création du système d’information VACCIN COVID visant à permettre le déroulement et le suivi de la campagne de vaccination contre le coronavirus SARS-CoV-2.
Décret n° 2021-48 du 20 janvier 2021 modifiant le chapitre Ier du décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions : renforce le dispositif de traçage des chaînes de transmission du virus en élargissant le champ d’action du fichier CONTACTCOVID afin de faciliter la réalisation des enquêtes sanitaires.
Décret n° 2021-157 du 12 février 2021 modifiant le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé StopCovid : introduction d’un dispositif numérique d’enregistrement des visites dans certains établissement recevant du public et ajout de nouvelles fonctionnalités.
Arrêté du 10 juillet 2020 modifié prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé : encadre la centralisation des données des fichiers SI-DEP et CONTACT COVID au sein de la Plateforme des données de santé et de la CNAM et leur utilisation (remplace et abroge l’arrêté du 21 avril 2020 complétant l’arrêté du 23 mars 2020 prescrivant les mesures d'organisation et de fonctionnement du système de santé nécessaires pour faire face à l'épidémie de covid-19 dans le cadre de l'état d'urgence sanitaire).
Arrêté du 9 octobre 2020 modifiant l'arrêté du 10 juillet 2020 prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé ;
Arrêté du 16 octobre 2020 modifiant l'arrêté du 10 juillet 2020 prescrivant les mesures générales nécessaires pour faire face à l'épidémie de covid-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé : Les données ne peuvent être traitées que pour des projets poursuivant une finalité d'intérêt public en lien avec l'épidémie actuelle de covid-19 et jusqu'à l'entrée en vigueur des dispositions prises en application de l'article 41 de la loi du 24 juillet 2019 susvisée (décret SNDS) - suppression de la date limite du 30 octobre 2020 pour traiter les données.
Arrêté du 26 octobre 2020 modifiant l'arrêté du 10 juillet 2020 prescrivant les mesures d'organisation et de fonctionnement du système de santé nécessaires pour faire face à l'épidémie de covid-19 dans le cadre de l'état d'urgence sanitaire
ANNEXE 4 : Liste des organismes contrôlés depuis mai 2020
Traitement SI-DEP :
Le ministère des solidarités et de la santé ;
L’Assistance Publique des Hôpitaux de Paris (AP-HP) ;
Des laboratoires privés de biologie médicale ;
Des pharmacies réalisant des tests antigéniques ;
Traitement CONTACT COVID 
 :
La Caisse nationale de l’Assurance Maladie (CNAM) ;
Un établissement de santé recevant des malades en consultation ;
Des Caisses Primaires d’Assurance Maladie (CPAM) ;
Des agences régionales de santé (ARS) ;
Le Conseil national de l’Ordre des médecins (CNOM) ;
Le Conseil national de l’Ordre des pharmaciens (CNOP).
Traitement STOPCOVID / TOUSANTICOVID :
Le ministère des solidarités et de la santé ;
L’Institut national de recherche en sciences et technologies du numérique (INRIA) ;
Traitement SI-VACCIN :
La Caisse nationale de l’Assurance Maladie (CNAM) ;
Le centre de vaccination du Stade de France ;
Le centre de vaccination de Melun ;
________________________________________
(1) Les données des personnes co-exposées sont définies comme celles s’étant trouvées au même moment qu’un patient diagnostiqué positif à la COVID-19 dans le même lieu, rassemblement ou évènement, où les mesures barrières n’ont pu être pleinement respectés au cours des quatorze derniers jours.
(2) Délibération n° 2021-006 du 19 janvier 2021 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions.
(3) La CNIL a considéré que cette information était susceptible de révéler la nature exacte du rassemblement, évènement ou activité. Elle a estimé qu’en l’absence d’une justification particulière concernant la nécessité d’une telle information pour la réalisation des enquêtes sanitaires, cette collecte n’était pas conforme au principe de minimisation imposé par le RGPD.
(4) La CNIL avait rappelé que des dispositions règlementaires ne sauraient délier les professionnels concernés de leur obligation légale de secret professionnel.
(5) aux personnes co-exposées , aux responsables ou organisateurs d’un lieu ou d’une structure accueillant du public, d’un rassemblement, d’une activité ou d’un évènement que le patient a fréquenté ou auquel il a participé dans les quatorze derniers jours et aux personnes et autorités disposant d’informations pertinentes pour la recherche des cas contacts et des personnes co-exposées .
(6) En effet, celles-ci entreront désormais dans le droit commun du système national des données de santé, lequel permettra une conservation des données pouvant aller jusqu’à vingt ans (4° du IV de l’article L. 1461-1).
(7) En date du 17 décembre 2020, le dispositif sur lequel la Commission a rendu son avis prévoyait la mise à disposition, par les responsables des ERP, de codes QR que les personnes sont invitées à scanner, à l’entrée ou à l’intérieur de ces locaux, avec l’application TOUSANTICOVID . Ces codes QR et la plage d’horaire concernée sont enregistrés dans l’application. Il était prévu que lorsqu’un utilisateur se signalait comme positif au virus, la liste des codes QR scannés, qui représente donc la liste des ERP qu’il a fréquentés, était remontée et stockée sur un serveur central. Les applications des autres utilisateurs interrogent régulièrement le serveur, en envoyant l’historique des lieux fréquentés stockés dans l’application. Le serveur estimait le risque d’exposition et notifiait, le cas échéant, les utilisateurs qu’ils ont pu être exposés dans un des lieux à risque qu’ils ont fréquentés. 
(8) Dans le nouveau protocole, baptisé CLEA, seuls les utilisateurs se déclarant positifs au virus de la COVID-19 dans l’application transmettent leur historique de codes QR au serveur. Celui-ci tient à jour une liste publique de lieux à risque qui est régulièrement téléchargée par les utilisateurs afin qu’ils puissent comparer ces lieux avec leur propre historique de lieux visités conservé localement sur leur terminal.
(9) Informations des utilisateurs sur la circulation du virus au niveau national et local, stockage des données à caractère personnel sur leur ordiphone en vue de générer des justificatifs requis par les autorités publiques, etc.
(10) Délibération n° 2020-087 du 10 septembre 2020 portant avis public sur les conditions de mise en œuvre des systèmes d'information développés aux fins de lutter contre la propagation de l'épidémie de covid-19 (mai à août 2020)
(11) Délibération n° 2021-004 du 14 janvier 2021portant avis public sur les conditions de mise en œuvre des systèmes d'information développés aux fins de lutter contre la propagation de l'épidémie de COVID-19 (septembre à décembre 2020)
(12) Voir Annexe 1 pour la description des traitements
(13) Articles L. 1432-1 et suivants du code de la santé publique
(14) Circulaire Interministérielle N° DGCS/DIRECTION/2021/16 du 14 janvier 2021 relative au nouveau dispositif d’accompagnement à l’isolement par les cellules territoriales d’appui à l’isolement.
(N° MDM211166)
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2020-116C du 26 août 2020 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le Secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société X ;
Vu les saisines n° X ;
Vu le questionnaire de contrôle sur pièces du 27 octobre 2020 ;
Vu les autres pièces du dossier ;
La procédure
La société X (ci-après ' la société ' ou ' X '), établie aux États-Unis, a été créée en 2017. Elle a développé un logiciel de reconnaissance faciale, dont la base de données repose sur l’aspiration de photographies publiquement accessibles sur Internet, qui permet d’identifier une personne à partir d’une photographie la représentant.
La Commission nationale de l’informatique et des libertés (ci-après ' CNIL ') a été saisie entre mai et décembre 2020 de plusieurs réclamations relatives aux difficultés rencontrées par les plaignants pour exercer leurs droits d’accès et d’effacement auprès de la société.
En application de la décision n° 2020-116C du 26 août 2020 de la Présidente de la CNIL, une délégation de la CNIL a procédé à une mission de contrôle sur pièces par l’envoi d’un questionnaire le 27 octobre 2020, auquel la société a répondu par un courrier du 27 novembre suivant. Ce questionnaire portait sur les différents traitements mis en œuvre par la société, les organismes utilisateurs des services de la société (actuels ou anciens) ayant leur principal établissement en France ou au sein de l’Union européenne ainsi que les réclamations n° X.
Le 27 mai 2021, la CNIL a été saisie d’une plainte de l’organisme Privacy International (saisine n° X) portant sur le logiciel de reconnaissance faciale de la société et son utilisation par les forces de l’ordre.
Dans le cadre de l’assistance mutuelle prévue à l’article 61 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le ' RGPD ' ou le ' Règlement), la CNIL s’est vue communiquer des informations utiles par plusieurs de ses homologues européens.
Le contexte
Il ressort des informations utiles, transmises dans le cadre de la coopération entre autorités de contrôle, d’informations publiquement accessibles ainsi que des réclamations reçues par la Commission que la société utilise une technologie propre pour indexer les pages web librement accessibles. Elle collecte toutes les images sur lesquelles apparaissent des visages, sur des millions de sites web. Des photographies sont ainsi extraites notamment de réseaux sociaux (par exemple, Twitter ou Facebook), de sites professionnels contenant des photographies de leurs salariés, de blogs et de tous sites sur lesquels des photographies de personnes sont publiquement accessibles. Des images sont également extraites de vidéos disponibles en ligne, par exemple sur le site www.youtube.com. Cette collecte concerne des images de personnes majeures comme mineures, aucun filtre n’étant appliqué à cet égard. Seules des centaines d’URL, associées aux sites ' pour adultes ' ayant des audiences parmi les plus importantes, sont bloquées et exclues de la collecte.
La collecte de ces images sur des réseaux sociaux porte sur l’ensemble des images accessibles au moment de la collecte à une personne non connectée au réseau en cause. En dehors des réseaux sociaux, la collecte concerne l’ensemble des images accessibles au moment de la collecte à un moteur de recherche. La société a ainsi collecté plus de dix milliards d’images.
À partir de chaque photographie collectée, la société calcule un gabarit biométrique. Une empreinte numérique unique, propre au visage tel qu’il apparaît sur la photographie (basée sur les points du visage) est ainsi générée. Les milliards d’images sont ensuite enregistrées dans une base de données sous une forme permettant de les rechercher (à l’aide de l’empreinte numérique). 
La société commercialise l’accès à une plateforme en ligne sur laquelle se trouve un moteur de recherche. Cet outil fonctionne en y téléchargeant une photographie d’un visage. À partir de cette photographie, l’outil calcule l’empreinte numérique correspondante à celle-ci et effectue, dans la base de données, une recherche des photographies auxquelles sont liées des empreintes similaires. Le logiciel produit un résultat de recherche, composé de photographies, auxquelles est associé l’URL de la page web à partir de laquelle elles ont été extraites (réseau social, article de presse, blog …). Ce résultat de recherche compile ainsi l’ensemble des images collectées par la société au sujet d’une personne ainsi que le contexte dans lequel ces images sont en ligne, tel que, par exemple, le compte de réseau social ou un article de presse.
La société décrit le service qu’elle offre comme ' un outil de recherche utilisé par les forces de l’ordre (' law inforcement ') pour identifier des auteurs et des victimes d’infractions ' à partir d’une photographie. Il est indiqué sur son site web que cet outil permet par exemple à des ' analystes ' d’effectuer une recherche en téléchargeant des images de scènes de crime afin de les comparer à celles qui sont publiquement accessibles. Les forces de l’ordre peuvent ainsi utiliser cet outil afin d’identifier une personne dont elles disposent d’une image (par exemple, issue d’un enregistrement de vidéosurveillance) mais ne connaissent pas l’identité.
Sur l’applicabilité du RGPD
En vertu de l’article 3, paragraphe 2 du RGPD : ' Le présent règlement s’applique au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l’Union par un responsable du traitement ou un sous-traitant qui n’est pas établi dans l’Union, lorsque les activités de traitement sont liées : […] b) au suivi du comportement de ces personnes, dans la mesure où il s’agit d’un comportement qui a lieu au sein de l'Union. ' (soulignement ajouté).
Le considérant 24 du RGPD précise à cet égard que ' Le traitement de données à caractère personnel de personnes concernées qui se trouvent dans l’Union par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l’Union devrait également être soumis au présent règlement lorsque ledit traitement est lié au suivi du comportement de ces personnes dans la mesure où il s’agit de leur comportement au sein de l’Union. Afin de déterminer si une activité de traitement peut être considérée comme un suivi du comportement des personnes concernées, il y a lieu d’établir si les personnes physiques sont suivies sur internet, ce qui comprend l’utilisation ultérieure éventuelle de techniques de traitement des données à caractère personnel qui consistent en un profilage d’une personne physique, afin notamment de prendre des décisions la concernant ou d’analyser ou de prédire ses préférences, ses comportements et ses dispositions d’esprit ' (soulignement ajouté).
À titre d’éclairage, dans ses lignes directrices 3/2018 relatives au champ d’application territorial du RGPD dans leur version du 12 novembre 2019, le Comité européen de protection des données (ci-après ' le CEPD ') relève que, ' contrairement à la disposition de l’article 3, paragraphe 2, point a), ni l’article 3, paragraphe 2, point b), ni le considérant 24 n’introduisent expressément un degré nécessaire d’ ' intention de cibler ' de la part du responsable du traitement ou du sous-traitant pour déterminer si l’activité de surveillance déclencherait l’application du RGPD aux activités de traitement. Toutefois, l’utilisation du mot ' suivi ' implique que le responsable du traitement poursuit un objectif spécifique en vue de la collecte et de la réutilisation ultérieure des données pertinentes relatives au comportement d’une personne au sein de l’Union. Le comité n’estime pas que la collecte ou l’analyse en ligne de données à caractère personnel relatives à des personnes dans l'Union serait automatiquement considérée comme un ' suivi '. Il sera nécessaire de tenir compte de la finalité du traitement des données par le responsable du traitement et, en particulier, de toute analyse comportementale ou technique de profilage ultérieure impliquant ces données. Le comité tient compte du libellé du considérant 24, qui indique que pour déterminer si le traitement implique le suivi du comportement d'une personne concernée, le suivi des personnes physiques sur l’internet, y compris
l’utilisation ultérieure potentielle de techniques de profilage, constitue un facteur important '.