AgentPublic/cnil huggingface dataset:
L’article L. 851-3 du CSI actuellement en vigueur autorise la mise en œuvre de la technique dite "de l’algorithme" pour les seules finalités prévues aux 4° de l'article L. 811-3 du CSI, ainsi qu’à titre expérimental jusqu’au 30 juin 2028, aux 1° et 2° du même article. Sont ainsi autorisés les traitements automatisés destinés à détecter des connexions susceptibles de révéler des menaces terroristes, des menaces pour la défense nationale ou des ingérences étrangères.
 
Le projet de loi prévoit de réécrire l’article L. 851-3 du CSI dans un souci d’intelligibilité et y ajoute une nouvelle finalité, relative à la prévention de la criminalité et de la délinquance organisées (6° de l’article L. 811-3 du CSI) : il s’agira de détecter des connexions susceptibles de révéler "des menaces relatives à la criminalité organisée et à la délinquance organisée portant sur des délits punis de dix ans d’emprisonnement en tant qu’elles concernent le trafic de stupéfiants, le trafic d’armes et de produits explosifs, l’importation et l’exportation de ces marchandises prohibées commises en bande organisée ainsi que le blanchiment des produits qui en sont issus".
 
Le ministère justifie l’ajout de cette finalité par l’intensification des menaces liées au narcotrafic et à la criminalité organisée, qui sont responsables d’une part importante des violences urbaines et des homicides, et dont les flux financiers illicites déstabilisent l’économie légale.
Sans remettre en cause la légitimité d’une telle évolution, la CNIL estime que l’extension de la technique à une nouvelle finalité devrait être prévue à titre expérimental. Cela permettrait :
- d’apprécier la proportionnalité d’un dispositif dont le périmètre aura été élargi alors qu’il était initialement limité à la prévention du terrorisme ;
- d’aligner le dispositif projeté sur le régime prévu pour l’extension de la technique à la détection d’ingérences étrangères et de menaces pour la défense nationale, mise en œuvre à titre expérimental pour une durée de trois ans.
 
C. Sur la collecte des adresses complètes de ressources sur internet
 
Le projet de loi réintroduit la possibilité de cribler, outre les données de connexion, les "adresses complètes de ressources sur internet" (ou URL). Ces dernières, nécessaires à l’acheminement des communications, sont susceptibles de faire apparaître des informations relatives au contenu des éléments consultés ou des correspondances échangées.
A titre liminaire, la CNIL observe que la notion d’URL, en tant que cette donnée est susceptible d’être collectée à partir des requêtes d’usagers d’internet, n’est pas équivalente à celle "d’adresses complètes de ressources sur internet", dès lors que ces requêtes contiennent également des séries de paramètres en supplément de l’adresse des ressources. Elle prend acte des précisions apportées par le ministère, selon lesquelles ces paramètres sont inclus dans les données collectées dès lors qu’ils font partie de l’URL.
En premier lieu, le projet de loi intègre de nouvelles garanties visant à encadrer l’exploitation des URL. Ainsi :
- le traitement des URL est expressément subordonné à une condition de nécessité, de sorte que toute demande de renouvellement de la mise en œuvre de cette technique doit être justifiée et doit désormais comporter "une actualisation de la nécessité et de la proportionnalité du recours aux adresses complètes de ressources utilisées sur internet" (VII) ;
- le traitement ne peut être mis en œuvre que pour les URL qui dirigent vers des ressources en rapport avec les ingérences ou menaces, ou vers des ressources dont il existe des raisons sérieuses de penser qu’elles sont utilisées pour des ingérences ou menaces, ou dont les caractéristiques sont de nature à révéler des ingérences ou menaces de la nature de celles décrites au I du projet d’article L. 851-3.
 
La CNIL accueille favorablement les garanties entourant le traitement de cette donnée.
En second lieu, s’agissant des modalités techniques de collecte, la CNIL rappelle que l’adresse complète des ressources (au-delà des noms de domaine, qui sont accessibles en clair) fait, en général, l’objet d’une communication chiffrée entre les terminaux des usagers et les serveurs auxquels ils envoient leurs requêtes (via le protocole HTTPS par exemple). Les conditions dans lesquelles ces données, lorsqu’elles sont ainsi chiffrées, pourraient le cas échéant être rendues exploitables pour les traitements autorisés par le projet de loi n’ont pas été portées à la connaissance de la CNIL. La CNIL estime que la possibilité d'accéder au contenu chiffré, dans l’hypothèse où elle serait effectivement mise en œuvre, serait susceptible de porter une atteinte grave aux libertés individuelles.
Concernant par ailleurs le ciblage des collectes des URL, celui-ci repose sur la définition des paramètres de conception de l’algorithme, qui feront l’objet d’une autorisation par le Premier ministre et d’un avis de la CNCTR. Or, la nature même de cette méthode reposant sur un calibrage a priori ne permet pas raisonnablement d’écarter le risque de conduire à la collecte incidente d’une certaine quantité de données qui ne rempliront pas les critères définis au III. C’est pourquoi la CNIL considère comme essentiel à l’effectivité des garanties prévues par le dispositif que la CNCTR dispose des moyens suffisants pour exercer l’ensemble des contrôles nécessaires, y compris en aval des collectes, à travers les facultés que lui ouvre le V de l’article.
S’agissant des modifications apportées aux dispositions du code du service national relatives au recensement et à la journée de mobilisation
 
Le projet d’article 21 introduit deux modifications : l’une porte sur la procédure de recensement ; l’autre instaure une journée destinée à sensibiliser les jeunes Français aux fondamentaux de la défense qui remplace la "journée défense et citoyenneté" par une "journée de mobilisation" (JDM).
 
Il prévoit que ses dispositions seront précisées par un décret en Conseil d’Etat, dont la CNIL sera saisie.
 
A. Sur les informations déclarées dans le cadre du recensement
Le recensement est une démarche obligatoire qui permet notamment de préparer la convocation à la journée de mobilisation des jeunes Françaises et Français, ainsi que de faciliter l’inscription d’office sur les listes électorales. Il concerne tous les Français compris dans la tranche d’âge de seize à vingt-cinq ans. Les modifications projetées concernant la déclaration de recensement s’appliqueront donc à toute personne de moins de vingt-cinq ans au moment de l’entrée de vigueur de cette disposition.
 
Le projet de loi prévoit que la procédure de recensement permet la collecte de deux nouvelles catégories de données : les informations de contact et les compétences attestées. Ces dernières doivent permettre d’identifier les profils les plus adaptés, dans l’hypothèse d’un besoin national spécifique.
 
La CNIL observe que l’ajout, dans la déclaration de recensement, des données de contact et des compétences attestées concourt à fiabiliser les données de recensement destinées à permettre d’identifier les profils pertinents susceptibles d’être sollicités en cas de crise ou de menace nécessitant l’appui de la population civile.
 
La CNIL s’interroge néanmoins sur le périmètre de la notion de "compétences attestées". Cette notion, et les caractéristiques du traitement mis en œuvre dans ce cadre, pourraient utilement être précisées par le décret en Conseil d’Etat, pris après avis de la CNIL, prévu par le projet de loi.
Le projet dispose par ailleurs que les informations et compétences devront être mises à jour annuellement par l’intéressé, de son recensement à l’âge de cinquante ans. Le projet de loi prévoit que la déclaration de recensement puisse se faire par voie dématérialisée.
 
 
B. Sur les données collectées lors de la journée de mobilisation
 
Le projet de loi crée un nouvel article L. 113-2-1 dans le code du service national, disposant que dans le cadre de la journée de mobilisation, les Français renseignent un questionnaire destiné à apprécier leurs éventuelles disponibilité, motivation et aptitudes pour servir au sein des forces armées et formations rattachées. Plusieurs modalités peuvent être proposées aux volontaires, telles que le nouveau service national volontaire, la réserve opérationnelle, les volontariats, ou encore l’engagement en tant que militaire d’active.
 
Ce questionnaire, qui implique un traitement de données à caractère personnel, vise à permettre une meilleure connaissance, par les forces armées, des éventuels candidats et le renforcement du vivier de recrutement selon les différentes modalités précitées. Plus précisément, les données collectées dans ce cadre conduiront à apprécier la disponibilité, la motivation et les aptitudes des volontaires pour servir au sein des formes armées.
 
La CNIL estime que ces objectifs sont légitimes.
S’agissant des données susceptibles d’être traitées, le projet de loi exclut la collecte de données sensibles au sens de l’article 6 de la loi "informatique et libertés". Par dérogation, sous réserve du consentement des intéressés, des données relatives à l’engagement associatif et à la santé pourront être collectées. La CNIL rappelle que l’information des personnes sur la collecte de cette catégorie de données devra être claire et effective.
Enfin, la CNIL souligne que les caractéristiques du traitement mis en œuvre dans ce cadre pourraient utilement être précisées par le décret en Conseil d’Etat, pris après avis de la CNIL, prévu par le projet de loi.
 
La présidente,
 
 
M.-L. Denis
Délibération n° 2026-042 du 12 mars 2026 portant adoption d’une recommandation relative aux pixels de suivi dans les courriers électroniques 
 
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b ;
Après avoir entendu le rapport de Mme Laurence Franceschini, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement 
Formule les observations suivantes :
L’usage de pixels de suivi invisibles (parfois appelés "pixels de tracking") insérés dans les courriers électroniques (ci-après "courriels") connaît, depuis quelques années, une croissance significative. Ces outils techniques, largement répandus dans les communications électroniques, sont utilisés à des fins variées : assurer la bonne réception des courriels (appelée "délivrabilité"), mesurer l’audience, personnaliser la communication en fonction de l’intérêt des utilisateurs, etc.
Cette pratique soulève des enjeux particuliers dans le contexte d’une messagerie électronique, espace personnel destiné à la consultation de contenus privés, accessible après une procédure d’authentification. 
 
Cette recommandation a pour objectif d’aider les professionnels concernés dans leur démarche de mise en conformité. Elle n’est ni prescriptive ni exhaustive. Elle a été élaborée à la suite d’une concertation avec des représentants notamment des professions concernées par la publicité numérique ainsi qu’avec des représentants de la société civile. Elle a également fait l’objet d’une consultation publique du 24 avril au 5 juin 2025. 
Décide : 
 
Article 1er : La recommandation figurant en annexe est adoptée. 
 
Article 2 : La présente délibération sera publiée au Journal officiel de la République française
 
 
 La présidente,
 
M.-L. Denis
 
Annexe 
Vous pouvez consulter l'intégralité du texte à l'adresse suivante : https://www.cnil.fr/fr/recommandation-pixel-suivi-courriels
N° de demande d'avis : 25010262
			Thématiques : fonds d'indemnisation, amiante
			Organisme(s) à l'origine de la saisine : ministère du travail, de la santé, des solidarités et des familles
			Fondement de la saisine : article 53 de la loi n° 2000-1257 du 23 décembre 2000 modifiée
L'essentiel :
Le fonds d'indemnisation des victimes de l'amiante (FIVA) est autorisé à requérir des organismes locaux du régime général d'assurance maladie (CPAM) et de la Caisse centrale de la Mutualité sociale agricole (CCMSA) la communication des données à caractère personnel permettant d'identifier les éventuels bénéficiaires d'une réparation des préjudices causés par une exposition à l'amiante.
La CNIL relève que les personnes concernées seront informées directement par leur organisme de prise en charge, en application de l'article 13 du RGPD, en amont de la transmission de leurs données au FIVA. Elles ne pourront s'opposer au traitement de leurs données par le FIVA qu'après la première communication avec celui-ci.
La CNIL invite le ministère à rappeler aux responsables des traitements que les modalités de stockage des données à caractère personnel doivent assurer la stricte confidentialité de celles-ci.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( "loi informatique et libertés" ) ;
Vu la loi n° 2000-1257 du 23 décembre 2000 modifiée de financement de la sécurité sociale pour 2001, notamment son article 53 ;
Sur proposition de M. Philippe Latombe, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
L'article 53 de la loi n° 2000-1257 du 23 décembre 2000 modifiée de financement de la sécurité sociale pour 2001 (ci-après "LFSS 2001 modifiée" ) a instauré un droit à la réparation intégrale des préjudices causés par une exposition à l'amiante. Pour ce faire, il a créé un fonds d'indemnisation des victimes de l'amiante (FIVA), établissement public administratif chargé de la mission d'indemnisation.
Au regard des marges d'amélioration du taux de recours à ce dispositif par les personnes éligibles, une politique proactive d'identification et de contact des potentielles victimes a été mise en œuvre. Aussi, une mission d'identification des personnes pouvant obtenir la réparation intégrale de leur préjudice a été conférée au FIVA par l'article 89 de la loi n° 2023-1250 du 26 décembre 2023 de financement de la sécurité sociale pour 2024.
A ce titre, il autorise le FIVA à requérir de différents services publics la communication des informations et données à caractère personnel permettant d'identifier les éventuels bénéficiaires d'une réparation.
B. - L'objet de la saisine
Le projet de décret en Conseil d'Etat soumis pour avis à la CNIL crée un traitement qui a pour finalités de permettre au FIVA, responsable du traitement qu'il met en œuvre sur le fondement de sa mission d'intérêt public :
- d'identifier les potentiels bénéficiaires de la réparation des préjudices causés par une exposition à l'amiante ;
- et de les informer sur leur droit au bénéfice de cette réparation.
Il organise à cette fin, au profit du FIVA, la transmission automatique et périodique par les CPAM et la CCMSA des données à caractère personnel des personnes ayant sollicité ou obtenu la reconnaissance d'une maladie professionnelle occasionnée par l'amiante ou la reconnaissance en affection longue durée (ALD) pour une pathologie occasionnée par l'amiante.
Il précise également les traitements effectués par les CPAM et la CCMSA - dont ils sont responsables - pour constituer les fichiers aux fins de transmission au FIVA.
II. - L'avis de la CNIL
A. - Sur l'information des personnes
Le projet de décret prévoit que les personnes concernées sont informées indirectement du traitement de leurs données à caractère personnel, en application de l'article 14 du RGPD, par le FIVA au moment de la première communication individuelle.
La CNIL relève qu'elles seront également informées directement par leur organisme de prise en charge, en application de l'article 13 du RGPD, en amont de la transmission de leurs données au FIVA, à travers le courrier de notification à l'assuré de sa prise en charge en ALD ou de reconnaissance ou de rejet du caractère professionnel de sa maladie.
B. - Sur les mesures de sécurité
Aux fins de la transmission au FIVA, les CPAM et la CCMSA constituent des fichiers contenant les données des personnes susceptibles d'obtenir la réparation intégrale de leurs préjudices. Ils conservent les fichiers pendant une durée maximale de trois mois à compter de la transmission.
Au regard de la sensibilité des données, parmi lesquelles des données relatives à la santé des personnes, la CNIL invite le ministère à rappeler aux responsables des traitements que les modalités de stockage des données à caractère personnel doivent assurer leur stricte confidentialité.
Elle recommande notamment la mise en œuvre de procédures visant à éviter toute divulgation volontaire ou accidentelle, l'habilitation spécifique et la formation des agents autorisés à consulter les fichiers conservés pour l'accomplissement de leurs missions, ainsi que la traçabilité des accès.
C. - Sur le droit d'opposition
Le droit d'opposition ne s'applique pas aux traitements effectués par les caisses à des fins de transmission au FIVA, ceux-ci étant fondés sur la base légale de l'obligation légale. La CNIL relève cependant que les personnes concernées pourront tout de même s'opposer à la poursuite du traitement de leurs données dans la base de données de contact du FIVA, après la première communication individuelle avec celui-ci, en application de l'article 53 de la LFSS 2001 modifiée.
Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
Délibération n° 2025-052 du 10 juillet 2025 portant avis sur un projet de décret relatif à la création d’un traitement de données à caractère personnel dénommé "traitement des données consécutif aux tests positifs d’alcoolémie ou stupéfiants parmi des personnels navigants ou concourant à la conduite d’aéronefs"
 
N° de demande d’avis : 25007008
Thématiques : aviation civile ; dépistage ; contrôle d’alcoolémie
Organisme(s) à l’origine de la saisine : Ministère de la transition écologique, de la biodiversité, de la forêt, de la mer et de la pêche
Fondement de la saisine :
Article 31.II de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
 
En complément des données à caractère personnel "nominatives", le projet de décret prévoit la collecte de données "complémentaires" à des fins de transmission à l’Agence de l'Union européenne pour la sécurité aérienne (AESA). Le ministère précise que le risque de réidentification des personnes concernées par ces données apparaît extrêmement faible 
dès lors que les données "nominatives" sont supprimées, et conclut à ce titre à leur anonymisation
. La CNIL considère que l’analyse ne permet pas à ce stade d’exclure le risque de réidentification et recommande en conséquence de compléter l’analyse de réidentification.
La CNIL invite le ministère à compléter les dispositions du projet de décret portant sur les droits des personnes concernées afin d’y faire figurer le droit à l’information des personnes concernées.
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
La Commission nationale de l'informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son article 31.II ;
 
Après avoir entendu le rapport de M. Didier Kling, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
 
L’ordonnance n°2022-830 du 1er juin 2022 "relative aux contrôles de l’alcoolémie et de l’usage de stupéfiants dans le domaine de l’aviation civile permettant le dépistage de l’alcoolémie et de l’usage de stupéfiants par la gendarmerie et la police chez les membres de l'équipage de cabine", introduit :
des mesures administratives de rétention et de suspension des titres aéronautiques ou des autorisations d’exercer des personnels concernés,
ainsi qu’un régime de sanctions pénales en cas de test positif ou en cas de refus de se soumettre au dépistage.
 
Le décret n°2022-978 du 2 juillet 2022 "relatif aux contrôles de l’alcoolémie et de l’usage de stupéfiants dans le domaine de l’aviation civile" précise les modalités d’application de l’ordonnance n°2022-830 du 1er juin 2022. Il prévoit notamment la transmission d’informations nominatives aux autorités compétentes pour la délivrance du titre aéronautique et pour la surveillance du transporteur aérien.
 
Concrètement, le code des transports prévoit que les personnels concernés (énumérés à l’article L. 6225-1) peuvent être soumis à des contrôles de vérification de l’état alcoolique, ainsi qu’à des contrôles de l'usage de substances ou plantes classées comme stupéfiants, opérés par la gendarmerie et la police.
 
Dans le cas d’un test positif (alcool ou stupéfiants), les données à caractère personnel des personnes concernées font ainsi l’objet d’un traitement par la Direction générale de l’aviation civile (ci-après "DGAC"), qui peut prononcer des sanctions administratives en application des articles L. 6231-5 et L. 6231-6, et notamment la suspension du ou des titres aéronautiques de la personne concernée. Dans le cas où un personnel aéronautique ne détiendrait pas un titre aéronautique délivré par la DGAC, celle-ci pourrait notifier une interdiction d’exercer dans l’espace aérien français.
De surcroît, en cas d’ivresse positif, de refus de se soumettre aux vérifications établissant la preuve de l'état alcoolique, la DGAC transmet des données "complémentaires" à l'Agence de l'Union européenne pour la sécurité aérienne (ci-après "AESA").
Enfin, un suivi des procédures liées aux mesures de police et aux sanctions administratives est également prévu entre la DGAC et les autorités judiciaires compétentes en application des articles L. 6231-8, L. 6232-23, R. 6231-41 et R. 6231-42 du code des transports.
 
B. L’objet de la saisine
 
Le projet de décret précise les modalités d’application de l’ordonnance n°2022-830 du 1er juin 2022 et du décret n° 2022-978 du 2 juillet 2022 relatif aux contrôles de l'alcoolémie et de l'usage de stupéfiants dans le domaine de l'aviation civile dont les dispositions sont codifiées dans le code des transports.
 
Il prévoit également, lorsque la DGAC n’est pas l’autorité compétente (par exemple dans le cas d’un pilote étranger), d’assurer la transmission d’informations destinées à informer l’autorité compétente pour la délivrance du titre aéronautique et, le cas échéant, l'autorité compétente pour la surveillance du transporteur aérien.