AgentPublic/cnil huggingface dataset:
Mme Lauren SÉRAN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions  ;
M. Abdoulaye TALL, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions  ;
Mme Ahlem TAMOUZA, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique  ;
Mme Jamila TAZI, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
M. Vincent TOUBIANA, chef du service du laboratoire d'innovation numérique à la direction des technologies et de l'innovation  ;
Mme Rokia TRAORE, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions  ;
M. Félicien VALLET, chef du service de l'intelligence artificielle à la direction des technologies et de l'innovation  ;
M. Marco VERMEIL, chargé de mission sensibilisation aux droits à la direction des relations avec les publics  ;
M. Benjamin VIALLE, chef de service des contrôles à la direction de la protection des droits et des sanctions  ;
Mme Mathilde VIDALOT, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de l'accompagnement juridique  ;
M. Christophe VIVENT, ingénieur cybersécurité spécialisé en traitement des incidents au service de l'expertise technologique à la direction des technologies et de l'innovation  ;
Mme Clémentine VOISARD, chargée de mission au service des relations avec les publics à la direction des relations avec les publics  ;
Mme Aminata VOYEL, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions.
Liens relatifs
Article 2
La délibération n° HAB-2023-002 du 12 octobre 2023 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée.
Article 3
Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 4
La présente décision sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de santé publique d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur les déterminants du vécu et des pratiques parentales des parents d’enfants de moins de deux ans ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 17 mai 2023 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
 
Formule les observations suivantes :
 
Sur le responsable de traitement
Le responsable de traitement de cette étude est l’Agence nationale de santé publique (ANSP).
Sur les sous-traitants
La société IPSOS interviendra dans la mise en œuvre de cette étude en tant que sous-traitant.
Le traitement des données par ce sous-traitant devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD.
Sur les catégories de personnes concernées par l’étude 
Sous réserve de l’exercice du droit d’opposition, seront incluses dans la présente étude les personnes allocataires des caisses d’allocations familiales, ayant au moins un enfant de moins de deux ans et résidant habituellement en France métropolitaine.
Sur la finalité du traitement et son caractère d’intérêt public
Le traitement envisagé a pour finalité la mise en œuvre d’une étude portant sur les déterminants du vécu et des pratiques parentales des parents d’enfants de moins de deux ans, intitulée "EVANE".
 
Plus précisément, cette étude est destinée à :
décrire et analyser les déterminants du vécu et des pratiques parentales des mères et des pères d’enfants de moins de deux ans en France métropolitaine ;
analyser le vécu et les pratiques des parents auprès de populations en situation de vulnérabilité socio-économique.
 
La finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b) du RGPD et ce traitement présente une finalité d’intérêt public, conformément à l’article 66.I de la loi n° 78-17 du 6 janvier 1978 (loi "informatique et libertés").
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement mis en œuvre par l’ANSP est nécessaire à l’exécution de la mission d’intérêt public dont elle est investie.
 
Ce traitement est, à ce titre, licite au regard de l’article 6.1.e) du RGPD. En outre, ce traitement, nécessaire à des fins de recherche scientifique, remplit également la condition prévue à l’article 9.2.j) du RGPD permettant de traiter des données concernant la santé.
 
Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi "informatique et libertés", qui prévoient, en l’absence de conformité à une méthodologie de référence, que les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la Commission.
Sur les points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées et des destinataires des données directement identifiantes.
En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004.
Réutilisation des données de bases existantes
Les données réutilisées dans le cadre de cette étude proviendront de la Caisse nationale d’allocations familiales (CNAF).
Le tirage au sort sera réalisé par la CNAF à partir de sa base de données "études, évaluations, statistiques, simulations et recherches".
Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement devront être transmises par la CNAF à la société IPSOS afin que cette dernière contacte les personnes tirées au sort pour leur proposer de participer à l’étude. Cette base de données ne contiendra aucune donnée relative à la santé des bénéficiaires. À cet égard, les filtrages seront réalisés en amont de cette transmission par les organismes.
 
Cette base de données sera chiffrée et envoyée par la CNAF au responsable de traitement, qui transmettra les données chiffrées à la société IPSOS. Seule la société IPSOS sera destinataire de la clé permettant de déchiffrer les données, qu’elle recevra directement de la CNAF.
Sur les catégories particulières de données traitées
S’agissant de la collecte des données nominatives et des coordonnées postales, électroniques et téléphoniques :
 
La collecte des nom, prénoms, ainsi que des coordonnées (postales, électroniques et téléphoniques) des personnes est nécessaire pour :
réaliser l’information des participants ;
assurer le suivi des participants au cours de l’étude ;
calculer les "Îlots Regroupés pour l'Information Statistique" (IRIS).
 
Les participants en sont informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourront accéder aux données directement identifiantes.
 
Les courriers électroniques adressés aux participants ne devront révéler aucune information sur l’état de santé réel ou supposé du participant.
 
S’agissant des autres données collectées :
 
La collecte de l’orientation sexuelle des participants a été scientifiquement justifiée dans le dossier de demande.
Sur l’information et les droits des personnes
S’agissant des modalités d’information :
 
S’agissant des personnes susceptibles d’être tirées au sort :
 
En application de l'article 69 de la loi "informatique et libertés" et de l’article 14.5.b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une information relative au projet de recherche :
sur le site web du responsable de traitement de l’étude et ses réseaux sociaux ;
sur le site web de la CNAF et ses réseaux sociaux ;
par un dépliant et une affiche numérique à destination des pédiatres et des services départementaux de protection maternelle et infantile.
 
Ces modalités d’information seront mises en œuvre avant la constitution des bases de données par la CNAF permettant la réalisation du tirage au sort.
 
S’agissant des personnes tirées au sort :
 
Elles recevront une note d’information individuelle par voie postale.
 
S’agissant des participants mineurs :
 
Une dérogation à l'obligation d'information des deux titulaires de l’exercice de l’autorité parentale est envisagée, dans les conditions prévues à l’article 70 de la loi "informatique et libertés", en cas d’impossibilité d’informer le second titulaire de l’exercice de l’autorité parentale ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche.
Dans cette hypothèse, une note d’information destinée à l’autre titulaire de l’exercice de l’autorité parentale sera systématiquement transmise au parent contacté en vue de l’inclusion et il sera invité à la lui transmettre.
Toutes les notes d’information devront comporter l’ensemble des mentions prévues par l’article 13 du RGPD. En outre, le terme de "données anonymisées" qui est inapproprié, devra être remplacé par les termes de "données codées" ou "pseudonymisées", en précisant que les noms et prénoms des personnes ne seront pas recueillis.
 
Ces modalités d’information sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés".
 
S’agissant des modalités d’exercice des droits :
 
Conformément aux dispositions de l’article 74 de la loi "informatique et libertés", les personnes disposent du droit de s’opposer au traitement de leurs données à des fins de recherche.
 
Afin de corriger les effets de sélection induits par la non-participation de certaines personnes tirées au sort, le responsable de traitement souhaite mettre en œuvre des méthodes statistiques de traitement des biais de sélection. Pour ce faire, il souhaite traiter les données de l’ensemble des personnes tirées au sort parmi les allocataires de la CNAF. En cas d’exercice du droit d’opposition à des fins de redressement, les données des personnes concernées ne pourront être traitées.
 
Par ailleurs, les personnes ayant refusé de participer à l’étude suite à la campagne d’information réalisée en amont du tirage au sort ne devront pas être recontactées, tout comme celles refusant de continuer à participer à l’étude.
Ces modalités d’exercice du droit d’opposition devront être clarifiées dans la note d’information collective publiée sur le site web du responsable de traitement ainsi que dans les notes d’information individuelles qui seront adressées aux personnes tirées au sort.
 
Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données du responsable de traitement pendant toute la durée de l’étude.
Ces modalités d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la "loi informatique et libertés".
Sur les accédants et destinataires
Dans le cadre de la mise en œuvre de l’étude :
les membres du personnel de l’ANSP auront accès aux données de santé pseudonymisées des participants afin de réaliser l’analyse des données pour les besoins de l’étude ;
les employés de la société IPSOS auront accès aux données nominatives et de santé des participants pour assurer le suivi des inclusions et le recueil des données à travers la passation des questionnaires.
 
Le responsable de traitement a indiqué que les données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) des participants acceptant d’être recontactés pour des études ancillaires seront collectées afin de leur proposer de participer à des études ultérieures. Aux fins de confidentialité, ces données devront être conservées uniquement par la société IPSOS.
Des documents tenus à jour indiquent la ou les personnes compétentes pour le responsable de traitement et le sous-traitant permettant de délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations.
 
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personne habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement et ses sous-traitants.
Sur la sécurité des données et la traçabilité des actions
À titre liminaire, le dossier de demande mentionne que le traitement envisagé est conforme aux mesures de sécurité prévues dans la MR-004.
 
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au traitement envisagé. Celle-ci devra être mise à jour pour tenir compte des différentes phases de l’étude (et notamment le redressement des données), préciser les mesures techniques et organisationnelles ainsi que le plan d’action retenu.
La Commission prend acte de ce que le responsable de traitement s’engage à ce que les serveurs internes utilisés soient conformes à l’état de l’art, notamment à des mesures de sécurité équivalentes aux exigences mentionnées dans le référentiel "entrepôt de données dans le domaine de la santé", pour mener l’étude. 
 
Des espaces projets devront être prévus pour toute mise à disposition des données. Seules des données anonymes pourront faire l’objet d’export hors de ces espaces.
 
Si ces conditions ne sont pas réunies, aucune donnée de l’étude ne pourra être hébergée sur les serveurs internes du responsable de traitement. Les données seront consolidées, analysées et mises à disposition sur la plateforme du Centre d’accès sécurisé aux données (CASD).
 
Le responsable de traitement devra s’assurer du respect des exigences de sécurité à toutes les étapes du traitement opérées par les différents organismes participants, y compris pour les fiches papier.
 
Des pseudonymes aléatoires sont attribués aux participants. Ceux-ci seront dédiés à chaque typologie d’acteurs et distincts pour les différents flux de données. Toute table de correspondance devra être supprimée dans les meilleurs délais après consolidation de la base et génération de nouveaux pseudonymes aléatoires pour celle-ci. Pour toute mise à disposition, des pseudonymes dédiés à chaque espace projet devront être générés.
Les échanges de données seront réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Les algorithmes de chiffrement utilisés et les procédures de gestion des clés devront être conformes à l’annexe B1 du référentiel général de sécurité.
 
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5.1.f) et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
 
Le responsable de traitement devra s’assurer que son prestataire IPSOS mette en œuvre les mesures de sécurité nécessaires pour protéger la base de données nominatives transmises par la CNAF.
Transferts hors Union européenne
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.
Sur la durée de conservation des données
S’agissant des personnes refusant de participer à l’étude :
Leurs données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) seront détruites au moment de leur refus.
S’agissant des données des personnes participant à l’étude et refusant d’être de nouveau contactées pour une étude ancillaire :
Leurs données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) seront détruites dans un délai de six mois après la passation des questionnaires.
 
S’agissant des données des personnes participant à l’étude et acceptant d’être de nouveau contactées pour une étude ancillaire :
Leurs données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) devront être détruites par la société IPSOS dans un délai de trois ans après la passation des questionnaires.
 
Les autres données de l’étude seront conservées en base active pour une durée de dix ans.
 
À l’issue de ce délai, les données seront supprimées ou versées aux Archives nationales, conformément aux dispositions du code du patrimoine.
 
Ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e) du RGPD.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
 
 
 
 
 
 
Autorise, conformément à la présente délibération, l’Agence nationale de santé publique à mettre en œuvre le traitement susmentionné.
 
La Présidente
 
Marie -Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de santé publique d’une demande d’autorisation concernant des traitements automatisés de données à caractère personnel ayant pour finalité la mise en œuvre d’études portant sur le suivi des principaux comportements, attitudes et perceptions liés aux prises de risque et à l’état de santé de la population résidant en France dans le cadre de l’élaboration du "Baromètre de Santé publique France" ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants (loi "informatique et libertés") ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 15 juin 2023 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
Formule les observations suivantes :
 
Sur le responsable de traitement
L’Agence nationale de santé publique (ANSP)
Sur le sous-traitant
Le traitement des données par la société IPSOS devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD.
Sur l’opportunité du recours à la décision unique
Dans le cadre de l’élaboration de son baromètre, l’ANSP souhaite réaliser, à intervalles réguliers, une étude visant à enrichir les connaissances sur l’état de santé de la population française. Pour ce faire, un échantillon représentatif de la population sera tiré au sort tous les deux ans.
 
Outre le fait de poursuivre une même finalité, les traitements envisagés par l’ANSP présentent des caractéristiques similaires :
la nature des données collectées au moyen d’un questionnaire standardisé ;
les mêmes catégories de destinataires : les personnes habilitées par le responsable de traitement et son sous-traitant.
 
Ces traitements, relevant du régime prévu par les dispositions des articles 66 et 72 et suivants de la loi "informatique et libertés", la CNIL estime opportun, au vu des éléments présentés dans le dossier de demande, de faire application des dispositions de l’article 66 IV, qui lui permettent, par décision unique, de délivrer à un même demandeur une autorisation pour des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.
Sur la licéité des traitements et les conditions permettant de traiter des données concernant la santé
Les traitements envisagés par l’ANSP ont vocation à suivre les comportements de santé de la population française et leurs déterminants.
Ces traitements, réalisés à des fins de recherche scientifique, sont nécessaires à l’exécution de la mission d’intérêt public dont est investie l’ANSP.
Ces traitements sont, à ce titre, licites au regard de l’article 6.1.e) du RGPD et remplissent la condition prévue à l’article 9.2.j) du RGPD permettant de traiter des données concernant la santé.
Sur les points de non-conformité à la MR-004
Le dossier de demande mentionne que les traitements envisagés sont conformes aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées et des destinataires des données directement identifiantes.
Sur la finalité des traitements et leur caractère d’intérêt public
Le Baromètre de santé publique France (ci-après "le baromètre") a pour finalité le suivi des principaux comportements, attitudes et perceptions liés aux prises de risque et à l’état de santé de la population résidant en France.
 
Pour ce faire, sera réalisée tous les deux ans une étude visant à :
suivre les comportements de santé de la population française et leurs déterminants ;
documenter des enjeux de santé publique ou orienter une décision politique, notamment via l’interrogation des connaissances et des opinions de la population en vue de la mise en place ou de l'évaluation d’actions de prévention ou de politiques publiques ;