AgentPublic/cnil huggingface dataset:
Le Gouvernement indique que, si la loi était votée, il recourrait aux preuves disponibles dans la fonctionnalité du TousAntiCovid Carnet déjà utilisées pour le passage des frontières. Il s’interroge sur la pertinence de mettre en œuvre une solution de lecture des preuves numériques certifiées qui traiterait les informations contenues dans les certificats numériques afin de ne restituer à l’écran, lors de la vérification, qu’un résultat de conformité (couleur verte ou rouge) en complément de l’identité de la personne concernée, sans qu’apparaisse la catégorie de preuve mobilisée.
La Commission considère qu’un dispositif visant à ne permettre la vérification que sur la base d’un résultat de conformité réduirait considérablement les données accessibles aux personnes habilitées à vérifier le statut des personnes concernées, et notamment de ne pas indiquer si elle a été vaccinée, a fait un test ou s’est rétablie d’une infection antérieure à la COVID-19, conformément au principe de minimisation des données. Elle accueille donc favorablement la proposition du Gouvernement et l’invite à mettre en œuvre cette fonctionnalité dans les plus brefs délais, dans l’hypothèse où le Parlement inscrirait dans la loi le principe du pass sanitaire.
Un tel dispositif implique le téléchargement, du côté des vérificateurs, d’une application permettant de décoder les signaux, probablement sous forme de code-QR, qui contiendront l’information permettant de faire apparaître un résultat vert ou rouge et d’en vérifier l’authenticité. Dans l’hypothèse où ce code-QR correspondrait aux codes actuellement disponibles dans la fonctionnalité TousAntiCovid Carnet , la Commission relève que celui-ci contient plus d’informations (nom, prénom, date de naissance, date d’examen, type d’examen, résultat). Il est donc possible, dans ce cas, qu’un tel dispositif soit détourné de façon à ce que le lecteur (téléphone ou lecteur dédié) lisant le code-QR puisse accéder à davantage d’informations qu’un simple résultat de conformité (couleur verte ou rouge). Elle invite le Gouvernement à s’assurer de la mise en œuvre des mesures opérationnelles et à fournir, aux personnes gérant les lieux, événements et établissements toute documentation nécessaire (communication sur les lieux, établissements ou évènements soumis au dispositif, mise en place d’une signalétique visible sur place, etc.) permettant de se prémunir de ce risque.
Sur les garanties à apporter aux preuves certifiées présentées en dehors de l’application TousAntiCovid
La Commission demande au Gouvernement de réfléchir au format et au contenu des preuves papier certifiées, afin qu’elles présentent les mêmes garanties que leur version numérique en matière d’accessibilité et de protection des données à caractère personnel. En particulier, le dispositif mis en œuvre devrait garantir que les personnes ne disposant pas d’une preuve intégrée dans l’application TousAntiCovid (preuve papier ou preuve au format PDF) devraient pouvoir avoir la possibilité de ne présenter que le code-QR contenant les données numériques lors du contrôle de leur état sanitaire.
Sur la responsabilité de traitement, l’information et les droits des personnes concernées
Quoique les preuves de vaccination, de non-contamination ou de rétablissement peuvent être destinées à être appelées sur un ordiphone par la personne concernée, la Commission estime que la responsabilité du traitement de données incombera à la puissance publique qui aura mis en place ce dispositif.
La Commission rappelle qu’au titre du RGPD, les personnes gérant les lieux, établissements ou événements qui seront conditionnés à la présentation de ce passe sanitaire seront responsables du traitement de données dans le cadre de l’opération de vérification. A cet égard, elle attire l’attention sur la nécessité, pour ces derniers, de sensibiliser les personnes autorisées à vérifier les preuves, que celles-ci soient des professionnels ou des bénévoles, à leurs obligations en matière de respect de la protection des données à caractère personnel.
S’agissant du respect des obligations en matière de transparence, une information appropriée devra être fournie par ces responsables de traitement aux personnes concernées, dans le respect des articles 12 à 14 du RGPD. La Commission précise qu'une information, compréhensible par le plus grand nombre, devrait notamment être disponible le plus en amont possible de la vérification (par exemple, sur les sites web de réservation d’un concert, etc.) et placée à des emplacements accessibles et visibles lors de l’accès au lieu, à l’établissement ou à l’évènement concerné par le dispositif. La Commission demande, afin d'assurer l'homogénéité et la conformité de ces mesures d'information aux articles 12 et 13 du RGPD, à ce que des modèles d’information soient mis à la disposition, par le Gouvernement, des professionnels concernés.
Elle rappelle que des situations telles que la crise sanitaire actuelle ne sauraient ni suspendre ni restreindre, par principe, la possibilité pour les personnes concernées d'exercer leurs droits sur leurs données à caractère personnel, conformément aux dispositions des articles 12 à 22 du RGPD.
Sur la sécurité du dispositif
Les modalités techniques détaillées du dispositif envisagé n’étant pas encore définies, la Commission présente uniquement à ce stade des axes de réflexion à destination du ministère.
L’AIPD de la fonctionnalité de gestion des preuves numériques devra prendre en compte les risques liés à l’ensemble de la chaîne de traitement des informations nécessaires à la mise en œuvre du passe sanitaire, depuis les systèmes d’information déjà mis en œuvre et permettant la génération des passes jusqu’à l’application de vérification intitulée TousAntiCovid-Verif . Cette analyse devra notamment inclure un examen détaillé des flux de données, de leur collecte à leur destruction, ainsi que des opérations de traitement de ces données y compris lors du processus de vérification des preuves par TousAntiCovid-Verif .
L’AIPD devra en outre identifier les risques liés au traitement du passe sanitaire pour la confidentialité, l’intégrité et la disponibilité des données ainsi que leurs impacts sur la vie privée des utilisateurs de TousAntiCovid , y compris lors du processus de vérification des preuves via l’outil TousAntiCovid-Verif , et tenir compte des risques additionnels liés aux bénéfices apportés par ce passe sanitaire pour leur porteur. La Commission attire l’attention du ministère sur le fait que les risques résultant de l’émission frauduleuse, de l’utilisation frauduleuse ou encore de la falsification des preuves numériques contenues dans les certificats devront être pris en compte dans l’analyse, si ces risques ont un impact sur les droits et libertés des personnes souhaitant accéder à des lieux, établissements ou évènements dont l’accès est conditionné par une vérification de leur état sanitaire.
Enfin, l’AIPD devra lister les mesures techniques et organisationnelles prévues pour minimiser les risques identifiés. La Commission rappelle qu’il est nécessaire que les risques résiduels soient ramenés au niveau le plus faible possible pour être acceptable.
Dans l’attente de la réception de cette nouvelle AIPD, la Commission estime toutefois devoir faire part au Gouvernement des orientations sur la mise en œuvre concrète du passe sanitaire qu’elle considère comme des impératifs attendus pour un traitement respectant le principe de protection des données dès la conception et protection des données par défaut.
En premier lieu, la Commission souligne que le dispositif de pass sanitaire, y compris l’outil TousAntiCovid-Verif , ne devra pas engendrer la création d’une base de données centralisée regroupant les données traitées dans le cadre des vérifications des certificats. A ce titre, s’il est évidemment possible de vérifier la validité des preuves présentées par les personnes, aucune trace de cette vérification ne devra subsister une fois celle-ci réalisée.
En deuxième lieu, la Commission insiste sur l’importance de garantir que les informations présentes dans le passe sanitaire et permettant la définition du statut correspondent bien à celles de la personne concernée, qu’elles soient correctes et infalsifiables. À cet égard, la Commission relève que les preuves seront fournies par une autorité de santé et qu’elles seront signées cryptographiquement. Les algorithmes utilisés permettant les vérifications d’intégrité et d’authenticité des preuves devront être robustes et à l’état de l’art, et associés à une gestion adéquate des clés cryptographiques.
En troisième lieu, la Commission relève que l’outil numérique, dénommé TousAntiCovid-Verif , dédié à la lecture du pass sanitaire, ne pourra avoir accès aux informations de celui-ci qu’en lecture seule.
Enfin, la Commission invite le ministère à se rapprocher de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) afin que soient réalisés des audits et des tests techniques permettant de garantir la sécurité et la résilience du dispositif envisagé.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’Intérieur d’une demande d’avis concernant un projet de loi relatif à la prévention d’actes de terrorisme et au renseignement ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8 ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant 
La loi n° 2015-912 du 24 juillet 2015 a eu pour objet d’établir le cadre juridique applicable aux activités des services de renseignement en déterminant notamment les principes et les finalités de la politique publique en la matière, le régime juridique applicable aux techniques de renseignement ainsi que les différentes garanties qui permettent, effectivement, d’y recourir. La CNIL est saisie d’un projet de loi relatif à la prévention d’actes de terrorisme et au renseignement. Le présent avis ne se prononce pas sur les articles 13 bis et 13 ter du projet de loi, introduits par une saisine rectificative sur laquelle la Commission se prononcera ultérieurement.
La préservation d’un strict équilibre entre la sécurité publique, la protection des intérêts fondamentaux de la Nation et le respect de la vie privée a conduit, par la loi de 2015, à confier le contrôle des différentes techniques de renseignement à une autorité administrative indépendante spécialisée (la Commission nationale de contrôle des techniques de renseignement ou CNCTR) ainsi qu’à une juridiction administrative spécialisée relevant du contrôle en cassation du Conseil d’Etat.
Les évolutions envisagées par le projet de loi visent principalement à pérenniser et élargir les instruments de prévention de la commission d’actes de terrorisme et à modifier, par ailleurs, certaines dispositions relatives au renseignement introduites notamment par la loi n° 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme (loi SILT ). En particulier, il s’agit d’étendre la nature des données pouvant être collectées dans le cadre de l’accès aux données de connexion, ainsi que la possibilité de transmission d’informations relatives à une personne faisant l’objet d’une hospitalisation sans consentement, notamment aux services de renseignement, ou encore de permettre aux services de renseignement d’exploiter des données collectées via des techniques de renseignement pour d’autres finalités que celles ayant justifié leur recueil, et de transmettre ces informations à d’autres services ayant des missions de renseignement.
Compte tenu des enjeux associés à la mise en œuvre de certains moyens considérés comme particulièrement intrusifs et permettant de recueillir un volume très important de données, la Commission estime indispensable de s’assurer que les atteintes portées au respect de la vie privée soient limitées au strict nécessaire. Elle rappelle que ces atteintes doivent être adéquates et proportionnées au but poursuivi et que des garanties suffisantes doivent être mises en œuvre. A cet égard, la Commission observe que plusieurs des garanties introduites par la loi du 24 juillet 2015 précitée sont reprises par le présent projet de loi, tel que le formalisme strict attaché à la mise en œuvre de ces techniques.
La Commission relève que certaines dispositions du projet de loi ont vocation à encadrer les principes régissant la collecte de données à caractère personnel, et concernent dès lors, et pour les dispositions qui s’y rapportent, la protection des données. C’est à ce titre que la Commission a été saisie, sur le fondement de l’article 8- 4°-a) de la loi du 6 janvier 1978, du présent projet de loi.
La Commission rappelle que le projet de loi encadre les modalités de collecte des différentes techniques de renseignements prévues par le texte. Les données doivent ensuite être traitées, au sein de différents fichiers mis en œuvre par les services concernés, dans le respect du droit à la protection des données à caractère personnel notamment du titre IV de la loi Informatique et libertés . Cependant, la Commission rappelle que la plupart d’entre eux (énumérés au sein du décret n° 2007-914 du 15 mai 2007) bénéficient d’un régime dérogatoire, lequel permet de les exclure du champ de contrôle a posteriori de la Commission, conformément à l’article 19-IV de la loi du 6 janvier 1978 modifiée.
Au regard des évolutions projetées, tant en matière de données collectées que d’exploitation et de transmission de ces informations, la Commission rappelle, ainsi qu’elle l’a fait par le passé, qu’elle demande à pouvoir exercer ses pouvoirs de contrôle sur ces traitements. Si elle relève que tant la CNCTR (par son avis sur la mise en œuvre des techniques, ainsi que son contrôle de l’exécution des autorisations accordées par le Premier ministre) que le groupement interministériel de contrôle (GIC) disposent de prérogatives visant notamment à assurer la légalité des pratiques mises en œuvre, la Commission estime que son contrôle, qui porterait sur les conditions de mise en œuvre globales desdits fichiers et devrait être assorti de garanties adaptées à leur nature particulière, devrait compléter ceux déjà réalisés par ces deux entités et constituerait une garantie supplémentaire.
Enfin, la Commission relève que la Cour de justice de l’Union européenne s’est prononcée le 6 octobre 2020 (Privacy international (aff. C-623/17), et La Quadrature du Net, French Data Network, Ordre des barreaux francophones et germanophone (aff. jointes C-511/18, C-512/18, C-520-18)), dans le cadre d’une question préjudicielle, sur la conformité de certaines des dispositions visées par le projet de loi. Si elle n’entend pas apprécier, dans son avis, la régularité des dispositions déjà en vigueur et non modifiées par le projet au regard du droit de l’Union européenne, pour lesquelles le Gouvernement a indiqué attendre l’issue des contentieux en cours, la Commission rappelle néanmoins que le juge européen s’est prononcé sur les conditions de licéité de mise en œuvre des techniques de renseignement de recueil en temps réel et d’analyse automatisée des données de trafic et des données techniques relatives à la localisation des équipements. Or plusieurs dispositions du projet de loi examiné sont relatives à ces techniques. Le juge européen a admis le recours à ces méthodes pour l’objectif de lutte contre le terrorisme. Les garanties exigées par le juge européen ont notamment trait à l’existence d’une
menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible et qui justifie la surveillance, et à l’existence d’un contrôle effectif du traitement algorithmique de criblage, soit par une juridiction, soit par une entité administrative indépendante dont la décision est dotée d’un effet contraignant. A cet égard, la Commission relève que la législation française a institué une autorité administrative indépendante, la CNCTR, qui est saisie pour avis de toute autorisation de mise en œuvre de ces techniques de renseignement, dispose de pouvoirs de contrôle sur leur mise en œuvre, peut adresser au Premier ministre toute recommandation jugée nécessaire et peut saisir, lorsque ses avis ou recommandations ne sont pas suivis d’effet, une juridiction spécialisée dont la décision s’impose aux services de renseignement.
En revanche, si l’article L. 801-1 du code de la sécurité intérieure prévoit que l’autorisation de ces techniques doit être justifiée par les menaces, les risques et les enjeux liés aux intérêts fondamentaux de la Nation , la Commission recommande que la rédaction du projet de loi explicite qu’il rentre dans l’office de la CNCTR de vérifier l’existence de cette menace de nature terroriste. Un tel contrôle, rappelle la CJUE, doit en effet être réalisé lors de la décision de procéder au traitement d’analyse automatisée de données de connexion, ou lors du renouvellement de son autorisation. La Commission relève que, s’agissant du recueil en temps réel des données de connexion de certaines personnes, la Cour a exigé qu’elle soit limitée aux personnes pour lesquelles il existe une raison valable de soupçonner qu’elles sont impliquées d’une manière ou d’une autre dans des activités de terrorisme , ce qu’il conviendrait de préciser. Enfin, la Cour a également insisté sur la nécessité d’apporter sur ces mesures une information appropriée, générale et parfois individuelle, sans nuire à leur efficacité. La loi ou les dispositions réglementaires devront intégrer ces exigences.
Compte tenu des fortes incidences que pourraient avoir les choix du Parlement sur la mise en œuvre de certaines techniques de renseignement, la Commission rappelle qu’elle se montrera particulièrement vigilante quant aux évolutions qui pourraient être apportées aux dispositifs en question (et notamment les mesures de nécessité et de proportionnalité qui s’imposeront en toute hypothèse). Elle souligne en tout état de cause qu’elle devra être consultée sur les aspects relevant de sa compétence.
Sur la pérennisation de la technique de renseignement visée à l’article L. 851-3 du code de la sécurité intérieure, dite de l’algorithme (articles 1, 7 et 8 du projet de loi)
L’article L. 851-3 du code de la sécurité intérieure (CSI) dans sa rédaction issue de la loi de 2015 précitée prévoit la possibilité de mettre en œuvre sur les réseaux de communication électroniques des opérateurs et de certaines autres personnes morales, des traitements automatisés destinés à détecter au moyen d’un algorithme , des connexions susceptibles de révéler une menace terroriste.
A titre liminaire, la Commission relève la différence entre les caractéristiques du premier traitement mis en œuvre en 2017, qui portait uniquement sur la téléphonie, et celles de ceux envisagés en application du même texte qui, en raison de l’évolution des pratiques en la matière ainsi que du type d’informations concernées, soulèvent des enjeux particuliers.
Elle relève à cet égard que l’article L. 851-3 du CSI encadre aussi bien le traitement des données de téléphonie que celles issues des connexions sur Internet. A cet égard, la Commission souligne que l’expérimentation dont il est envisagé la pérennisation porte sur ces deux types de données, de manière indifférenciée et ce, alors même que sa mise en œuvre n’a jusqu’à présent porté que sur les données de téléphonie. Elle estime que l’atteinte portée à la vie privée par le criblage algorithmique des données de connexion sur internet est cependant plus forte que celui de données de connexion téléphonique et que le contrôle de proportionnalité doit être différencié.
En ce qui concerne les modalités de mise en œuvre de cette technique 
L’article 8 du projet de loi prévoit que ces algorithmes peuvent être autorisés, à la demande des services spécialisés de renseignement mentionnés à l’article L. 811- 2, sur les données transitant par les réseaux des opérateurs et des personnes mentionnées à l’article L. 851-1 (…) . Il précise en outre que, un
service du Premier ministre est seul habilité à exécuter les traitements et opérations mis en œuvre sur le fondement du I et du IV, sous le contrôle de la Commission nationale de contrôle des techniques de renseignement .
Le ministère a précisé que la modalité initialement envisagée pour mettre en œuvre cette technique, consistait à placer physiquement les dispositifs de détection en plusieurs points des réseaux des opérateurs. La Commission relève que cette modalité correspondait à l’interprétation la plus naturelle de l’article L. 851-3 du CSI, issu de la loi de 2015 et aurait constitué une forme de garantie technique apportée au dispositif.
Le ministère a néanmoins indiqué que placer physiquement les dispositifs de détection en plusieurs points des réseaux des opérateurs présente des difficultés techniques, tant en matière de sécurité des réseaux des opérateurs, que de détection d’évènements communs à plusieurs dispositifs installés sur ces réseaux. En outre, certains des paramètres de détection revêtant une sensibilité particulière, ils ne peuvent être rendus accessibles ou divulgués lors de l’exécution de l’algorithme par les opérateurs. En conséquence, le ministère a retenu une architecture selon laquelle les flux de données ne sont pas analysés au moyen d’algorithmes installés sur les réseaux des opérateurs mais dupliqués puis acheminés au sein d’une infrastructure dépendant de l’Etat pour être soumis à des dispositifs de détection centralisés. La CNCTR a donné son accord à ces modalités techniques, qu’elle a estimées conformes à la loi autorisant l’expérimentation, en exigeant certaines garanties, notamment le fait que l’algorithme soit mis en œuvre par le GIC et non par les services de renseignement.
S’agissant de ces modalités, la Commission formule, en l’état des informations mises à sa disposition, les observations suivantes.
La Commission considère que les modifications apportées par le projet de loi à l’article L. 851-3 du CSI ne permettent pas d’appréhender de manière claire et précise les évolutions envisagées et ainsi la manière dont cette technique de renseignement sera mise en œuvre. Elle estime indispensable que le texte soit précisé. Elle considère notamment que le fait que la mise en œuvre de l’algorithme implique de dupliquer, au bénéfice d’un service administratif du Premier ministre, l’ensemble de ces données, qui concernent tous les appels téléphoniques et accès internet réalisés sur le territoire français, constitue une évolution particulièrement significative. La centralisation et la duplication modifient la portée de l’atteinte à la vie privée, par les risques qu’elles portent en elle-même. Le principe même de cette architecture technique devrait donc, à ses yeux, figurer dans la loi.
La Commission considère, a fortiori, que des garanties spécifiques, prévues par les textes, doivent nécessairement entourer la mise en œuvre d’une telle architecture technique. Ces garanties doivent permettre que la mise à disposition du GIC de l’ensemble de ces données, en dehors de toute mesure de surveillance ciblée, ne puisse s’analyser en une forme de recueil en temps réel des données de connexion, qui serait prohibée par la jurisprudence européenne. A cet égard, si les données de connexion elles-mêmes ne sont pas mises à disposition des services de renseignement et ne peuvent, sous le contrôle de la CNCTR, être utilisées par le GIC que pour la mise en œuvre de l’algorithme, la Commission estime qu’il est également nécessaire que les données ne soient conservées que le temps strictement nécessaire à leur analyse, puis immédiatement détruites, et que le GIC ne garde que le strict minimum nécessaire au fonctionnement de l’algorithme sur la période d’analyse considérée. A cet égard, elle prend acte des précisions apportées par le ministère selon lesquelles ces données sont conservées sous forme pseudonyme pour une durée de vingt-quatre heures (sauf dans l’hypothèse d’un hit), avant d’être détruites. Cette précision devrait expressément figurer dans le projet de loi, qui devrait également préciser les modalités de recueil et d’accès à ces données.
En ce qui concerne le recours à un algorithme