AgentPublic/cnil huggingface dataset:
La CNIL prend acte de l’engagement du ministère de modifier le projet de référentiel afin de mettre à la charge du gestionnaire du système du SNDS l’obligation de s’assurer que les conditions légales sont réunies avant d’ouvrir l’accès aux données aux personnes physiques accédant à des données d’un système du SNDS dans un espace projet sous la responsabilité d’un responsable de traitement (les " utilisateurs ") comme aux administrateurs fonctionnels et techniques du système du SNDS (les " administrateurs ").
 
S’AGISSANT DE LA TERRITORIALITÉ DES DONNÉES DU SNDS
 
Le référentiel rappelle le principe prévu par les dispositions de l'article R. 1461-1 du CSP selon lequel les données du SNDS sont hébergées au sein de l'Union européenne. Par ailleurs, aucun transfert de données à caractère personnel ne peut être réalisé, sauf dans le cas d'accès ponctuels pour une finalité relevant du 1° du I de l'article L. 1461-3.
 
La CNIL rappelle que cette exclusion des transferts en dehors de l’Union européenne ne suffit cependant pas à écarter les risques d’accès par un tiers non autorisé aux données du SNDS hébergées par des prestataires non soumis exclusivement aux lois de l’Union européenne.
La CNIL prend acte de l’engagement du ministère de compléter le projet de référentiel sur les exigences auxquelles les gestionnaires des systèmes du SNDS devront se soumettre pour réduire substantiellement ces risques d’accès. En particulier, les gestionnaires ou les sous-traitants susceptibles d’être soumis à la législation d’un pays tiers n’assurant pas un niveau de protection adéquat au sens de l’article 45 du RGPD, auront pour obligation d’identifier les législations en cause, de mettre en œuvre des mesures pour atténuer les risques d’accès non autorisé induits par ces réglementations et d’identifier les risques résiduels qui demeureraient malgré ces mesures.
 
Toutefois, au regard de la sensibilité et du volume des données figurant dans la base principale du SNDS, la CNIL estime que les organismes rassemblant et mettant à disposition ces données pour des finalités SNDS ainsi que leurs sous-traitants doivent être exclusivement soumis aux lois de l’Union européenne.
 
 
S’AGISSANT DES MESURES DE SÉCURITÉ APPLICABLES EN CAS D’ACCÈS AUX DONNÉES DU SNDS
 
Le projet de référentiel prévoit qu’en cas d'urgence les gestionnaires des systèmes peuvent suspendre temporairement l'accès au SNDS.
La CNIL relève que le ministère souhaite modifier ce paragraphe afin d’indiquer que seuls les responsables des traitements mentionnés au II de l'article L. 1461-1 du CSP, c'est-à-dire la CNAM et la Plateforme de données de santé, " peuvent suspendre temporairement l'accès aux données du système national des données de santé " conformément aux dispositions de l’article 77 de la loi " informatique et libertés ".
 
La CNIL prend acte de l’engagement du ministère :
de prévoir une suspension temporaire de l’accès par les gestionnaires à tout système du SNDS en cas d’incident grave, en informant immédiatement le ou les responsables de traitements ;
de rappeler le principe d’une notification aux autorités compétentes en cas de violation de données susceptible d’engendrer un risque pour les droits et libertés des personnes concernées ;
de réintroduire dans le référentiel le principe selon lequel les administrateurs ne devront pas avoir accès à Internet depuis les environnements d’administration du SNDS élargi.
 
S’AGISSANT DES MESURES DE PSEUDONYMISATION DES DONNÉES
 
La CNIL prend acte de l’engagement du ministère de compléter le référentiel afin qu’il prévoie le renouvellement des pseudonymes en cas de compromission avérée de la fonction de pseudonymisation utilisée. La CNIL recommande néanmoins que dans le cas où une vulnérabilité est constatée, la fonction de pseudonymisation soit modifiée.
En outre, différents usages de la pseudonymisation sont prévus. En particulier, il est mentionné à plusieurs reprises l’utilisation possible d’un " numéro d’ordre ", déjà présent dans le précédent référentiel. Le ministère a précisé que l’utilisation d’un même numéro d’ordre dans différentes études était parfois nécessaire, notamment lorsque le projet nécessite d’effectuer plusieurs extractions pour mettre à jour les données.
 
Néanmoins, l’usage d’un tel numéro identifiant est à éviter afin de limiter le risque de réidentification entre différentes études où l’ordre serait similaire. Alerté sur ces risques, le ministère s’est engagé à prévoir également l’utilisation d’un identifiant aléatoire obtenu par un générateur de nombres pseudo-aléatoires cryptographiquement sûr.
 
En complément, la CNIL estime dans ce cas que le référentiel devrait préciser que :
l’usage d’un numéro d’ordre doit être limité aux cas où cela est strictement nécessaire et justifié ;
si des tables de correspondance doivent être conservées, celles-ci devront faire l’objet de mesures techniques et organisationnelles renforcées.
 
S’AGISSANT DU CONTRÔLE DES SYSTÈMES DU SNDS
 
Concernant la périodicité des audits de cinq ans prévue par le projet de référentiel à la section 8.1, la CNIL prend acte de l’engagement du ministère de réduire ce délai à trois années.
Le ministère a également précisé qu’une procédure d’accréditation de prestataires, sous la responsabilité du comité d’audit, était envisagée pour la réalisation des audits externes. La CNIL prend acte de ce que le ministère s’est engagé à associer la CNIL à ses travaux sur la mise en œuvre d’une telle procédure.
 
Le précédent référentiel précisait en outre que les audits internes pouvaient être " éventuellement délégués à des prestataires PASSI " (prestataires d’audit de la sécurité des systèmes d’information). La CNIL recommande au ministère de réintégrer cette possibilité et d’imposer un recours systématique à de tels prestataires en cas de sous-traitance de ces audits.
 
Le projet de référentiel, en sa section 8.2, prévoit une revue des habilitations à la charge du seul responsable de traitement. La CNIL prend acte de l’engagement du ministère de compléter le projet de référentiel pour prévoir une revue des habilitations similaire par tout gestionnaire de système du SNDS, en particulier pour les administrateurs de ces systèmes.
Les autres dispositions du projet d’arrêté et du référentiel de sécurité annexé n’appellent pas d’observations en matière de protection des données.
 
La Présidente
 
 
M.-L. Denis
N° de demande d’avis : 23012725
Thématiques : Institut national de la statistique et des études économiques, recensement national de la population
Textes concernés :
loi n° 2002-276 du 27 février 2002 relative à la démocratie de proximité ; loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques ; décret n° 2003-485 du 5 juin 2003 modifié relatif au recensement de la population
Fondement de la saisine :
a) du 4° du I de l’article 8 de la loi du 6 janvier 1978 modifiée ; e) du 2° du I de l’article 8 de la loi du 6 janvier 1978 modifiée ; décret n°2003¬485 du 5 juin 2003 relatif au recensement de la population, en particulier ses articles 33 et 34
 
L’essentiel :
1. La CNIL a été saisie par l’Institut national de la statistique et des études économiques (INSEE) d’une demande d’avis concernant un projet d’arrêté portant modification de plusieurs arrêtés relatifs au recensement de la population. Les évolutions portent, en particulier, sur l’ajout à l’enquête annuelle de recensement (EAR) de deux questions relatives au lieu de naissance des parents (département ou pays) et à l’indicateur global de limitation d’activité (dit "Gali"). Le projet de texte prévoit également de nouvelles modalités de diffusion des informations et des produits statistiques réalisés à partir de ces informations.
2. L’introduction de l’indicateur "Gali" aux enquêtes annuelles de recensement est considérée comme légitime sous réserve, d’une part, des restrictions de diffusion prévues par l’INSEE et, d’autre part, d’une attention particulière apportée aux futures interconnexions et rapprochements de données à caractère personnel. 
3. Dans la mesure où l’INSEE a mis en œuvre toutes les précautions méthodologiques nécessaires, où l’acceptabilité d’une telle question a été testée auprès des répondants, et où son existence permettra de mesurer et d’étudier certaines discriminations à des échelles géographiques et temporelles inédites, l’introduction d’une question relative au lieu de naissance des parents aux enquêtes annuelles de recensement est considérée légitime.
4. L’INSEE portera une vigilance particulière à la diffusion des informations relatives au lieu de naissance des parents, à l’indicateur "Gali" ainsi qu’à l’appartenance à un couple de même sexe. Des modalités de diffusion restreintes sont prévues par le projet de texte et accueillies favorablement par la CNIL.
 
___________________
­­­­­­­­­­­­­­­­­­­­­­­­
 
La Commission nationale de l'informatique et des libertés,
 
Saisie par l’Institut national de la statistique et des études économiques d’une demande d’avis concernant un projet d’arrêté portant modification de plusieurs arrêtés relatifs au recensement de la population ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés"),
 
Après avoir entendu le rapport de M. Claude Castelluccia, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I - La saisine
 
A. Le contexte
Au titre du III de l’article 156 de la loi du 27 février 2002 relative à la démocratie de proximité, l’Institut national de la statistique et des études économiques (INSEE) met en œuvre les enquêtes annuelles de recensement (EAR) qui, par le cumul des résultats des cinq années les plus récentes, permet le recensement de la population. Ces enquêtes ont pour objectifs, d’une part, le dénombrement et la description des caractéristiques démographiques et sociales de la population française et, d’autre part, le dénombrement et la description des caractéristiques des logements.
 
En pratique, ce sont les communes ou les établissements publics de coopération intercommunale qui ont la charge de mettre en œuvre les EAR auprès des administrés, sous la direction et le contrôle des agents de l’INSEE.
La gouvernance de la statistique publique vise notamment, par la concertation entre les producteurs et les utilisateurs de statistiques, à faire évoluer les enquêtes afin de tenir compte des besoins et des phénomènes socio-économiques. Dans cette optique, le Conseil national de l’information statistique (Cnis) a publié en août 2012 le rapport "Évolution du questionnaire du recensement de la population" dans lequel figurent plusieurs propositions.
 
B. L’objet de la saisine 
La CNIL a été saisie par l’INSEE pour avis, sur les fondements du e) du 2° et du a) du 4° du I de l’article 8 de la loi du 6 janvier 1978 modifiée, d’un projet d’arrêté portant modification de plusieurs arrêtés relatifs au recensement de la population.
 
Le projet d’arrêté :
met les textes en conformité avec la loi du 6 janvier 1978 modifiée, en particulier concernant la mise à jour des bases légales ;
ajoute au traitement deux données relatives au lieu de naissance des parents (département ou pays) et à l’indicateur global de limitation d’activité (global activity limitation indicator, dit "Gali"), ce dernier faisant référence à un empêchement dans les activités habituelles du répondant du fait d’un problème de santé ;
modifie les modalités de diffusion des informations recueillies et des produits statistiques réalisés à partir de ces informations ;
aménage une diffusion des résultats du recensement de la population "aux carreaux", c’est-à-dire selon un quadrillage géographique ;
clarifie les termes utilisés relatifs aux immeubles d’habitation ;
contient plusieurs dispositions visant la lisibilité et l’harmonisation du droit en vigueur eu égard à la diversité des textes encadrant le recensement et à ses pratiques actuelles.
 
En application de l’article 62 de la loi du 6 janvier 1978 modifiée, dans la mesure où ce traitement est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes physiques, l’INSEE a réalisé une analyse d’impact relative à la protection des données à caractère personnel (AIPD) qui a été adressée à la CNIL avec la demande d’avis.
 
II - L’avis de la CNIL
 
A. Sur les données à caractère personnel collectées
Le 2 de l’article 1er du projet d’arrêté prévoit d’ajouter à la liste des données collectées auprès des personnes résidant dans les communautés, d’une part, le lieu de naissance des parents et, d’autre part, l’indicateur global de limitation d’activité, dit "Gali". Une communauté, telle que définie au V de l’article R. 2151-1 du code général des collectivités territoriales, est un ensemble de locaux d'habitation relevant d'une même autorité gestionnaire et dont les habitants partagent à titre habituel un mode de vie commun (maisons de retraite, casernes, camps militaires, établissements pénitentiaires, etc.). La population de la communauté comprend les personnes qui résident dans la communauté, à l'exception de celles résidant dans des logements de fonction. Les réponses aux questions afférentes dans le questionnaire annuel de recensement seront facultatives.
 
Le deuxième alinéa du 1 de l’article 4 prévoit le traitement de ces deux nouvelles données lors des phases de saisie et d’exploitation des données ainsi que de contrôle de la cohérence des réponses aux enquêtes de recensement de la population.
L’INSEE précise que l’ajout de ces éléments est motivé, en partie, par les insuffisances des enquêtes épisodiques recouvrant ce type de données, telles que les enquêtes "Handicap-Santé" et "Trajectoires et Origines". Les rééditions de ce type d’enquêtes seraient coûteuses et complexes, tout en restant lacunaires puisqu’elles ne couvriraient pas des échelons géographiques fins et rarement les collectivités d’outre-mer.
 
En premier lieu, l’indicateur "Gali" dénombre les personnes déclarant être limitées depuis au moins six mois, à cause d’un problème de santé, dans leurs activités habituelles. Le questionnaire annuel de recensement comprendrait un commentaire indiquant qu’il convient de ne pas tenir compte des problèmes de santé passagers ou temporaires et proposerait trois réponses : "Oui fortement limité(e)", "Oui limité(e) mais pas fortement", "Non".
 
L’INSEE précise que l’introduction d’une question renseignant sur l’indicateur "Gali" serait utile aux politiques publiques, en particulier locales, en offrant une information territorialisée sur les personnes concernées, par classe d’âge et par sexe.
 
L’INSEE considère que les données collectées à l’occasion de cette question ne constituent pas des données de santé au sens des articles 6 de la loi du 6 janvier 1978 modifiée et 9 du RGPD.
La jurisprudence du Conseil d’Etat tend à considérer que la seule information selon laquelle une personne est affectée d’handicap, sans précision sur sa nature et son importance, ne serait pas une donnée de santé au sens du RGPD (CE, 10ème et 9ème sous-sections réunies, 19 juillet 2010, n°317182, Rec. ; CE, 10e - 9e sous-sections réunies, 28 mars 2014, n°361042 ; CE, 10ème - 9ème chambres réunies, 10 juin 2021, n°431875, Rec.). Ainsi, dans la mesure où l’indicateur "Gali" ne révèlerait pas nécessairement un handicap et ne donnerait directement aucune information sur la nature ou la gravité d’un handicap éventuel, il pourrait être considéré qu’il n’est pas une donnée de santé au regard de la jurisprudence précitée.
 
En tout état de cause, la CNIL portera une attention particulière, d’une part, à ce que la diffusion de cette information exclut toute réidentification d’individus ou stigmatisation de groupes de personnes vulnérables et, d’autre part, aux futures interconnexions et rapprochements de données qui pourraient entraîner une requalification des données recueillies au titre de l’indicateur "Gali" en données sensibles au sens du RGPD. Dans ces conditions, la CNIL considère le traitement de cette nouvelle donnée adéquat et pertinent au regard des finalités poursuivies.
En second lieu, la collecte du lieu de naissance des parents permettrait d’améliorer la connaissance territorialisée des inégalités et des discriminations, au-delà de la première génération, et de documenter la mobilité géographique entre les générations. L’INSEE indique que le recueil du lieu de naissance des parents permettra, par croisements avec d’autres variables (diplôme, catégorie sociale, âge, etc.) de mesurer et d’étudier les discriminations, notamment en raison de l’origine géographique, à une échelle inédite. L’INSEE souligne l’apport potentiel de cette innovation aux politiques de cohésion sociale, aux niveaux national et local.
 
L’INSEE précise que la modification envisagée aura pour effet d’étendre cette demande, non plus seulement aux personnes résidant toujours au domicile de leurs parents (très majoritairement des mineurs), mais à toute personne. L’INSEE précise également que le lieu de naissance des parents sera collecté au niveau du département en cas de naissance en France et au niveau du pays en cas de naissance à l’étranger.
Un test du questionnaire ainsi modifié a été conduit sur un échantillon de 1 800 fiches adresses, pour près de 1 200 personnes ayant effectivement répondu. L’INSEE indique que ce test a révélé, d’une part, que seulement 4 à 5% des personnes interrogées trouvaient ces questions trop personnelles, principalement parce qu’elles ne connaissaient pas le lieu de naissance d’au moins un de leurs parents et, d’autre part, que les réponses à ces nouvelles questions étaient globalement cohérentes avec les réponses collectées dans d’autres enquêtes.
 
Dans la mesure où le lieu de naissance des parents est une donnée objective dont le traitement est nécessaire à la conduite d'études sur la mesure de la diversité des origines des personnes, de la discrimination et de l'intégration et n’a pas pour objet, même indirectement, de classifier les personnes interrogées en fonction soit de leur prétendue origine ethnique ou raciale déclarée, soit d’un référentiel ethno-racial, la CNIL estime que l’introduction du lieu de naissance des parents au questionnaire annuel du recensement ne méconnaît pas les principes rappelés par le Conseil constitutionnel (CC, 15 novembre 2007, Loi relative à la maîtrise de l'immigration, à l'intégration et à l'asile, n° 2007-557 DC).
L’introduction d’une question relative au lieu de naissance des parents dans le cadre du recensement de la population est possible dès lors que toutes les précautions méthodologiques ont été prises pour garantir la protection des données et que l’acceptabilité de cette question a été préalablement testée. La CNIL prend acte de ce que l’ajout d’une telle question :
permettrait de mesurer et d’étudier certaines formes de discrimination, notamment en raison de l’origine géographique, à des échelles géographiques et temporelles inédites ; 
a préalablement fait l’objet d’un questionnaire test permettant d’en mesurer l’acceptabilité ; 
fait l’objet de plusieurs précautions méthodologiques parmi lesquelles figurent le caractère facultatif de cette question au sein de l’enquête ainsi que les restrictions de diffusion des résultats statistiques produits. 
Dans ces conditions, la CNIL considère que les produits statistiques découlant des réponses à une telle question seront de nature à nourrir le débat public et à éclairer les politiques publiques sur les discriminations subies par des personnes ou des groupes vulnérables. En ce sens, elle considère le traitement de cette nouvelle donnée adéquat et pertinent au regard des finalités poursuivies.
 
B. Sur les modalités de diffusion des informations recueillies et des produits statistiques afférents
Le 6 de l’article 3 du projet d’arrêté prévoit que la liste de tableaux statistiques et des cartes anonymes réalisés à partir des carreaux fixes découpant le territoire communal ou de leurs regroupements soit disponible auprès de l’INSEE. Ces tableaux et cartes seraient accessibles directement sur le site web de l’INSEE ou sur demande. Ils pourraient comporter le nombre d’habitants, le nombre de logements et le nombre de ménages pour chacun des carreaux.
 
L’INSEE indique que cette modification vise à répondre au règlement d’exécution 2018/1799 de la Commission européenne du 21 novembre 2018.
 
Afin de tenir compte du risque de réidentification pour les plus petites communes, l’INSEE précise que certaines contraintes d’anonymisation seront respectées. En particulier, l’INSEE propose de ne diffuser au niveau des carreaux que le nombre d’habitants, le nombre de logements et le nombre de ménages et d’appliquer pour les autres variables, pour les carreaux de moins de 11 ménages, des méthodes assurant le secret statistique (moyenne sur plusieurs carreaux etc.).
 
Si la CNIL considère ces modifications légitimes, elle restera très attentive aux mécanismes d’anonymisation permettant de limiter le risque de réidentification.
Le deuxième paragraphe du 8 de l’article 3 supprime la disposition restreignant la diffusion des informations relatives à la nationalité et aux migrations (pays de naissance et pays de résidence antérieure) et leurs croisements en fonction d’un seuil géographique minimal.
 
Le paragraphe 3 du 8 de l’article 3 supprime la disposition prévoyant que la date d’arrivée en France ne puisse être diffusée qu’au niveau départemental.
 
L’INSEE précise que ces restrictions à la diffusion de ces informations n’ont plus lieu d’être dans la mesure où il ne s’agirait pas de données sensibles au sens des articles 9 du RGPD et 6 de la loi du 6 janvier 1978 modifiée. L’INSEE indique que cette proposition permettra de répondre à une forte demande d’études approfondies sur les arrivées en France par pays d’origine.
 
L’INSEE propose ne pas publier sur son site web le niveau le plus détaillé de ces informations mais de transmettre ces informations seulement sur demande individuelle.
 
Si la CNIL accueille favorablement cette dernière proposition, elle estime que les garanties en termes de protection des données reposent en premier lieu sur les mécanismes d’anonymisation mis en œuvre. Elle demande donc à l’INSEE d’être particulièrement attentif à l’état de l’art en la matière. Sous cette réserve, la CNIL considère ces modifications légitimes.
Le deuxième paragraphe du 8 de l’article 3 restreint la diffusion des informations relatives au pays de naissance des parents, à l’indicateur Gali et à l’appartenance à un couple de même sexe en fonction d’un seuil géographique minimal :
commune de plus de 5 000 habitants ;
regroupement d'au moins trois quartiers résultant du découpage de la commune en zones géographiques d'un seul tenant d'environ 2 000 habitants, mentionné à l'article 8 du décret du 22 mai 1998 portant création d'un traitement automatisé réalisé à l'occasion de la collecte et de la diffusion des résultats du recensement général de la population de 1999 ;
à partir de 5 000 habitants, pour les arrondissements, zones d'emploi, aires urbaines, pour les unités urbaines ou leurs regroupements et les zones définies pour la politique de la ville.
 
Les quatrième et dernier alinéas du 8 de l’article 3 prévoient que l’indicateur distinguant les lieux de naissance des parents en fonction des modalités "France, Union européenne, hors Union européenne" ne soit pas soumis à ces contraintes de diffusion.