AgentPublic/cnil huggingface dataset:
Vu l'arrêté du 6 octobre 2016 relatif à la mise en œuvre, par la direction de l'animation de la recherche, des études et des statistiques (DARES), d'un traitement automatisé de données à caractère personnel, dénommé TRAJAM (Trajectoires des jeunes aux mesures actives du marché du travail) visant à élaborer une base de données statistiques permanente permettant de suivre les trajectoires professionnelles des jeunes et leur participation à des mesures actives du marché du travail ;
Vu la délibération n° 2016-244 de la Commission nationale de l'informatique et des libertés portant avis sur un projet d'arrêté relatif à la mise en œuvre, par la direction de l'animation de la recherche, des études et des statistiques (DARES) d'un traitement automatisé de données à caractère personnel dénommé TRAJAM en date du 21 juillet 2016 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la Direction de l’animation de la recherche, des études et des statistiques (DARES), en 2016, d’une demande d’avis sur un projet d’arrêté relatif à la mise en œuvre d’un traitement de données à caractère personnel dénommé TRAJAM (TRAjectoires des Jeunes Appariés aux Mesures actives du marché du travail). Ce traitement, qui vise à élaborer une base de données statistiques permanente afin de mieux suivre les trajectoires professionnelles des jeunes et leur participation à des mesures actives du marché du travail, est soumis à une demande d’avis sur un arrêté, en application des dispositions de l’article 27-II-2° de la loi du 6 janvier 1978 modifiée.
Des changements étant intervenus sur ce traitement concernant le champ des personnes concernées et les modalités de mise en œuvre, la Commission est appelée à se prononcer de nouveau sur le traitement.
Sur les finalités du traitement 
La DARES est un service statistique ministériel, chargé d’assurer la production régulière et fiable de statistiques et d’analyses pour le ministère en charge du travail, de l’emploi et de la formation professionnelle et pour les acteurs sociaux.
Le projet TRAJAM (TRAjectoire des Jeunes Appariés au Mesures actives du marché du travail) s’inscrit dans le cadre de la mise en œuvre du plan de la Garantie européenne pour la jeunesse (GEJ). Ce plan a été adopté par les Etats membres de l’Union européenne en 2013, sur proposition de la Commission européenne, et incite les Etats à mettre en place un système d’accompagnement des jeunes qui ne sont ni en emploi ni inscrits dans le système éducatif ou en formation.
Le plan français a inscrit l’ensemble de son système institutionnel d’insertion des jeunes dans la GEJ afin notamment de renforcer la coordination des opérateurs partenaires intervenant dans l’accompagnement des jeunes vers l’emploi ou la formation.
Un suivi au niveau communautaire est opéré quant au déploiement des plans nationaux pris pour l’application de la GEJ. Ainsi, la Commission européenne attend de chaque Etat qu’il réalise un compte-rendu indiquant le devenir des jeunes après l’entrée dans une solution d’emploi ou de formation.
Le traitement dont a été saisie la Commission pour avis, tel que précisé par le projet d’arrêté, vise à créer une base de données statistiques permanente qui permet de suivre les trajectoires professionnelles des jeunes (16-25 ans voire les 16-30 ans) ayant participé à des mesures actives du marché du travail (accompagnement, formation et contrats aidés).
Par ailleurs, l’article 34 de la loi pour une République numérique du 7 octobre 2016 a instauré un code statistique non signifiant (CSNS) lequel est appelé à se substituer au NIR.
Le traitement de la DARES est réalisé en plusieurs étapes :
la DARES reçoit communication des informations relatives aux jeunes ayant bénéficié de mesures d’accompagnement, auprès des organismes partenaires, dont la liste est fixée en annexe de l’arrêté. Ces informations composent le fichier DISPOSITIFS ;
la DARES sélectionne 1/12e des jeunes du fichier DISPOSITIFS, ce qui correspond à la proportion que représente le panel TOUS SALARIES de l’Institut national de la statistique et des études économiques (INSEE) par rapport au fichier des Déclarations annuelles des données sociales (DADS). C’est précisément le panel TOUS SALARIES qui sera utilisé pour le projet TRAJAM pour notamment obtenir les données des jeunes entrés dans le monde du travail ;
la DARES envoie les données d’état civil du 1/12e des jeunes sélectionnés dans le fichier DISPOSITIF à l’INSEE, étant précisé que chaque jeune se voit attribuer un identifiant jeune ;
l’INSEE, le cas échéant, met à jour les informations d’état civil des jeunes et complète le fichier des NIR qui n’auraient pas été communiqués à la DARES par les organismes partenaires, et transmet la table de passage entre le NIR et l’identifiant jeune au Centre d’accès sécurisé aux données (CASD) pour qu’elle soit conservée de manière sécurisée, jusqu’à l’entrée en vigueur effective du code statistique non signifiant (CSNS) ;
l’INSEE procède ensuite au hachage du NIR et crée une table de passage entre le NIR haché et l’identifiant jeune, qu’il transmet à la DARES. La DARES, qui aura supprimé les informations directement identifiantes de sa base de travail (dont le NIR), ne disposera plus, à ce stade, que d’une table de passage entre le NIR haché et l’identifiant jeune, ainsi que des informations fournies par les organismes partenaires, reliées à l’identifiant jeune ;
l’INSEE crée également une table de passage entre le NIR haché et un identifiant attribué à chaque salarié du panel TOUS SALARIES, qu’il transmet à la DARES ;
la DARES disposera alors de deux tables de passage dont l’élément commun est le NIR haché. Ces deux tables de passage permettront d’apparier les données issues du fichier DISPOSITIFS et celles issues du panel TOUS SALARIES (lui-même issu du fichier DADS).
Lorsqu’il sera utilisé, le CSNS aura vocation à remplacer le NIR haché pour effectuer les appariements de données.
L’année de l’entrée en vigueur effective du CSNS, l’INSEE récupèrera la table de passage entre le NIR et l’identifiant jeune, qui a été utilisée pour la mise en œuvre du projet TRAJAM lors des années précédentes et qui aura été conservée par le CASD. L’INSEE hachera alors le NIR et y attribuera le CSNS correspondant. L’INSEE enverra à la DARES la table de passage entre le NIR haché, l’identifiant jeune et le CSNS. La DARES effectuera les appariements avec les données collectées antérieurement et ne conservera alors que la table de passage entre l’identifiant jeune et le CSNS, en supprimant de ses bases les NIR hachés.
La Commission note qu’après l’entrée en vigueur du CSNS, la DARES, le cas échéant, collectera le NIR des jeunes auprès des partenaires du projet. Toutefois, une fois qu’elle aura communiqué les NIR à l’INSEE, la DARES supprimera les NIR de ses bases et n’aura recours qu’au CSNS pour apparier les données. Le hachage du NIR ne sera plus réalisé.
La base de données ainsi constituée permettra de disposer de nouvelles informations et ainsi, d’approfondir les travaux d’évaluation des politiques d’emploi et de formation. Elle permettra, par exemple, d’identifier et d’exploiter les aléas qui exposent différemment, aux mesures évaluées, des publics pourtant similaires ou identiques.
La Commission considère que ces finalités sont déterminées, explicites et légitimes au regard de la mission de la DARES.
Sur la nature des données traitées
Les données collectées sont les suivantes :
concernant l’identification des personnes, servant à l’appariement des extraits des bases de données de suivi des mesures actives du marché du travail des opérateurs partenaires : nom de famille et nom marital, prénoms, sexe, date et lieu de naissance complet, NIR (le cas échéant) ;
concernant les programmes relatifs aux mesures actives du marché du travail mis en œuvre par les opérateurs partenaires :
nom du programme, nature de la mesure, date d’entrée, date de début, date de renouvellement, date de fin théorique, date de sortie effective, niveau de formation, niveau des allocations perçues, diplôme détenu, situation familiale ;
d’autres informations souhaitées (si elles sont disponibles) : commune de résidence, prise de connaissance du dispositif, motif de sortie, obligation d’emploi (le cas échéant) ;
pour certains programmes : informations qualitatives (données relatives à l’intensité, au contenu, au nombre d’entretiens individuels, aux types de prestations reçues).
La DARES a indiqué à la Commission que les autres informations souhaitées constituaient une catégorie de données distinctes en ce qu’elles ne sont pas systématiquement renseignées par les partenaires. Si ces derniers disposent des informations, ils peuvent décider de les transmettre à la DARES.
concernant les données issues du panel TOUS SALARIES : données relatives à la catégorie et à l’identité de l’employeur, à la situation professionnelle et à la situation économique et financière du salarié.
La liste des données issues de ce panel est fixée par la convention conclue entre l’INSEE et la DARES. La Commission relève le silence du projet d’arrêté sur ces données et recommande au responsable de traitement de préciser, dans l’acte, les liste ou catégories de données collectées via le panel TOUS SALARIES, par exemple en annexant la liste des données au projet d’arrêté.
Ce point n’appelle pas d’observation de la part de la Commission, sous réserve que la catégorie des informations qualitatives ne contienne pas d’autres informations que celles citées précédemment.
Sur l’origine des données 
La base de données, rendue anonyme, est obtenue à partir du rapprochement entre le panel TOUS SALARIES, issu du fichier DADS détenu par l’INSEE et des extraits des bases de données de suivi des mesures actives du marché du travail, détenus par les opérateurs partenaires dont la liste est précisée en annexe du projet d’arrêté.
La Commission est informée que s’agissant de la communication du fichier TOUS SALARIES, elle se fera par le biais d’une convention de mise à disposition des données, spécifique au projet TRAJAM, après avis favorable du Conseil national de l’information statistique (CNIS), sur le fondement de l’article 7 bis de la loi n°51-711 du 7 juin 1951 sur l’obligation, la coordination et le secret en matière de statistiques. Cette convention fixera également l’ensemble des modalités techniques en matière de sécurité informatique pour la transmission des données entre l’INSEE et la DARES.
Par ailleurs, dans le cadre de la convention n° 16/2004 signée entre l’INSEE et la DARES et relative à la transmission, par l’INSEE à la DARES, à des fins statistiques, d’informations individuelles contenues dans les fichiers issus des DADS, la DARES reçoit lesdites informations à des fins exclusivement statistiques.
Sur la durée de conservation des données
Le projet d’arrêté portant création du traitement TRAJAM indique que les données, à l’exception des données d’identification, sont conservées pendant vingt ans à compter de l’enregistrement des données par la DARES.
La DARES souhaite étudier la trajectoire professionnelle des personnes au minimum cinq ans après leur sortie du dispositif. Or, certains dispositifs sont proposés aux 16-30 ans et les données des personnes sont collectées de l’âge de 16 ans à l’âge de 35 ans. Puis ces données sont conservées pendant vingt ans, durée que la DARES considère nécessaire et suffisante pour avoir le recul nécessaire pour exploiter lesdites données.
La Commission relève que la durée de conservation de vingt ans a déjà été retenue pour de précédentes études statistiques nécessitant une étude sur le long terme, telles que l’étude sur les statistiques mensuelles sur le marché du travail.
S’agissant des informations d’identification nécessaires à l’appariement, le projet d’arrêté indique qu’elles ne sont conservées que le temps nécessaires au chiffrement de l’ensemble des données identifiantes des personnes concernées (par le hachage du NIR réalisé par l’INSEE).
S’agissant de la table de passage entre le NIR et l’identifiant jeune, elle est transmise par l’INSEE au CASD qui est chargé de la conserver jusqu’à l’utilisation effective du CSNS.
Sous ces réserves, la Commission considère que les données sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui apparaît proportionnée aux finalités du traitement.
Sur les destinataires des données
La Commission rappelle que les données du traitement sont accessibles aux personnes habilitées listées ci-après, dans la stricte limite des informations dont elles ont à connaître au regard de leurs fonctions.
Le projet d’arrêté liste les personnes habilitées à accéder aux données, dans la stricte limite des informations dont elles ont à connaître au regard de leurs fonctions. Ces personnes sont :
la DARES (Direction de l’Animation de la Recherche, des Etudes et des Statistiques) s’agissant de l’intégralité des données ;
le pôle RNIPP de l’INSEE s’agissant des données d’identification enregistrées pour effectuer l’appariement, afin de réaliser l’enrichissement du NIR, le cas échéant, et le chiffrement des données ;
les chercheurs associés à TRAJAM et légalement habilités par la DARES, dans le cadre de leur mission de recherche, qui auront accès aux informations anonymisées, comme cela a été confirmé par la DARES lors de l’instruction du dossier.
La Commission est informée que pour être habilités à avoir accès aux données, les chercheurs doivent voir leur projet être sélectionné et validé à l’unanimité par le comité de pilotage du projet TRAJAM, et obtenir un avis du Comité du secret. Les chercheurs passeront alors une convention avec le Groupe des écoles nationales d'économie et statistique (GENES) pour accéder au fichier TRAJAM via le Centre d’accès sécurisé aux données.
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement, sous réserve que les données effectivement accessibles présentent un lien direct et nécessaire avec leurs fonctions et leurs missions.
Sur l'information des personnes 
Les personnes concernées sont informées de la réalisation de statistiques de manière indirecte, via la publication de l’arrêté informant de la création et de la réalisation du traitement.
Sur les droits d'accès, de rectification et d'opposition des personnes 
Les droits d’accès et de rectification s’exercent auprès de la DARES, par voie postale ou par voie électronique.
Le droit d’opposition prévu à l’article 38 de la loi susvisée ne trouve pas à s’appliquer au présent traitement, ainsi que le prévoit le projet d’arrêté, en application des dispositions du troisième alinéa de l’article 38 de la loi du 6 janvier 1978 modifiée.
La Commission est informée du fait que, dans la mesure où l’anonymisation des données ne permet plus de répondre précisément lorsqu’est exercé un droit d’accès, l’information communiquée en réponse à l’exercice de ce droit, portera notamment sur la nature des variables recueillies dans le cadre de ce projet.
Sur la sécurité des données et la traçabilité des actions
La Commission observe que la construction des bases de données statistiques permanentes implique de nombreux échanges avec les plateformes partenaires, soit au travers de canaux de communication soit par échange de clés USB. Elle observe en outre que les informations échangées entre les partenaires et la DARES peuvent comporter de nombreuses données personnelles sur les individus, dont certaines seront directement associées à leur NIR.
La Commission considère ainsi que des mesures de sécurité appropriées devront être prises en conséquence, telles que le chiffrement des données échangées par un algorithme réputé fort utilisant des clés de taille suffisante, afin de garantir la confidentialité des échanges. Elle recommande en outre que la transmission de ces clés se fasse via un canal de communication distinct des données. Enfin, elle recommande que l’échange de données par clé USB, leur intégration au sein des bases ainsi que la destruction de ces données sur le support fassent l’objet de procédures formalisées, validées par le responsable de traitement et portées à la connaissance des utilisateurs.
La Commission observe que le traitement implique que le NIR soit conservé dans les bases de données après la construction des bases statistiques, notamment sous une forme hachée au sein des tables de passage (NIR0). La Commission considère qu’aucun NIR ne devrait être conservé par la DARES après ce traitement, qu’il soit stocké en clair ou sous sa forme hachée. La Commission considère en effet que le croisement des multiples informations détaillées de ces bases, notamment en vue de leur enrichissement, pourrait permettre une identification directe des individus et de leur NIR, qu’il soit stocké sous forme hachée ou non. Elle recommande ainsi que l’identification des données au moyen des tables de passage se réalise au moyen de clés uniques n’ayant aucune relation avec le NIR.
La Commission relève enfin qu’un module d’analyse de données permet une exploitation statistique. Elle recommande que l’outil de requête ne permette que des restitutions anonymes et réduise également le risque de réidentification des personnes en limitant les interrogations ciblées et le niveau de détail des rapports.
La présente délibération abroge la délibération n° 2016-244 du 21 juillet 2016.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET, Madame Christine MAUGÜÉ, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2020-272C du 14 août 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement de données à caractère personnel portant, en tout ou partie, sur des données relatives à la commercialisation ou à l’utilisation des produits ou services rattachés à la marque " […] " ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 24 décembre 2021 ;
Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié à la société […] le 25 février 2022 ;
Vu les observations écrites versées par la société […] le 15 avril 2022 ;
Vu la réponse de la rapporteure à ces observations notifiée le 12 mai 2022 au conseil de la société ;
Vu les observations écrites de la société […] reçues le 12 juillet 2022 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 15 septembre 2022 :
- Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;
En qualité de représentants de la société […] :
- […]
La société […] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société […] (ci-après " la société "), dont le siège social est situé […], a été créée en 2015. En janvier 2021, elle comptait environ […] salariés. 
2. Pour les années 2019 et 2020, la société a respectivement réalisé un chiffre d’affaires d’environ […] dollars et d’environ […] dollars.
3. […] est un logiciel de voix sur IP (technologie qui permet aux utilisateurs de discuter via leur microphone et/ou leur webcam via Internet) et de messagerie instantanée, permettant notamment aux utilisateurs de créer des serveurs, ainsi que des salons textuels, vocaux et vidéos. […] est ainsi une plateforme permettant aux personnes ayant des intérêts similaires de partager et de communiquer. Ce logiciel est disponible sous Windows, Mac, Linux, iOS et Android et également accessible directement à travers un navigateur web, à partir de l’URL " […] ", ou via une application. Populaire parmi la communauté des joueurs de jeux vidéo car leur offrant un moyen de communiquer entre eux et de développer une communauté en dehors des jeux eux-mêmes, […] est devenu un réseau social complet avec un large éventail de façons d’interagir. L’application a connu une forte popularité pendant le confinement lié à la pandémie de Covid-19, en particulier auprès d’un jeune public. 
4. L’utilisation du logiciel est gratuite dans son ensemble, mais […] propose la possibilité de s’abonner pour améliorer son profil, ajouter des fonctionnalités sur des serveurs, disposer de plus de débit pour l’échange de fichiers, etc.
5. En janvier 2021, environ […] comptes d’utilisateurs de […] étaient enregistrés dans le monde, parmi lesquels plus de […] en France.
6. La société ne dispose pas d’établissement dans l’Union européenne mais a désigné un représentant, conformément à l’article 27 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le " RGPD "), à savoir la société […].
7. En application de la décision n° 2020-272C de la présidente de la Commission nationale de l’informatique et des libertés (ci-après la " Commission " ou la " CNIL ") du 14 août 2020, la CNIL a effectué une mission de contrôle en ligne sur le site web " […] " et sur l’application mobile […] le 17 novembre 2020. 
8. Le 29 décembre 2020, une mission de contrôle sur pièces auprès de la société a également été réalisée par l’envoi d’un questionnaire à la société.
9. Les 5 et 12 février 2021, la société a transmis des éléments de réponse à la CNIL. Par courriel du 8 mars 2021, la délégation de la CNIL a sollicité des éléments complémentaires auprès du conseil de la société, lesquels ont été transmis par le conseil de la société les 23 et 24 mars 2021. 
10. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 24 décembre 2021, désigné Madame Valérie PEUGEOT en qualité de rapporteure sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019.
11. Le 25 février 2022, la rapporteure a fait notifier à la société un rapport détaillant les manquements au RGPD qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer une amende administrative au regard des manquements constitués aux articles 5, paragraphe 1, e), 12, 13, 21, paragraphe 1, 25, paragraphe 2, 32 et 35 du RGPD. Il proposait également que la décision de sanction soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
12. Le 15 avril 2022, la société a produit ses observations en réponse au rapport de sanction.
13. La rapporteure a répondu aux observations de la société le 12 mai 2022. 
14. Le 12 juillet 2022, la société a produit de nouvelles observations en réponse à celles de la rapporteure.
15. Par courrier du 10 août 2022, la rapporteure a informé le conseil de la société que l’instruction était close, en application de l’article 40, III, du décret modifié n°2019-536 du 29 mai 2019.
16. Par courrier du 11 août 2022, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 15 septembre 2022.
17. La société et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur les traitements en cause et l’applicabilité du RGPD