AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Vu le code de la défense, notamment ses articles R. 2311-7 à R. 2311-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 52, 108 et 118 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 141 et suivants ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 72 ;
Après avoir entendu Mme Marie-Laure DENIS, commissaire, en son rapport, et Monsieur Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
 :Article 1er
Sont désignés, aux fins de l’application des articles 108 et 118 de la loi du 6 janvier 1978 modifiée, les membres suivants de la Commission, spécifiquement habilités à cet effet :
Mme Marie-Laure DENIS, conseillère d'Etat,
M. Bertrand du MARAIS, conseiller d’Etat,
Mme Christine MAUGÜE, conseillère d’Etat,
Mme Sophie LAMBREMON, conseillère honoraire à la Cour de cassation,
M. Alexandre LINDEN, conseiller honoraire à la Cour de cassation,
M. Philippe-Pierre CABOURDIN, conseiller maître à la Cour des comptes,
Mme Isabelle LATOURNARIE-WILLEMS, conseillère maître à la Cour des comptes.
Article 2
Les membres de la Commission désignés mènent les investigations utiles dans le cadre de l’exercice indirect des droits des personnes concernées tel que prévu aux articles 52, 108 et 118 de la loi du 6 janvier 1978 modifiée. Dans le cadre de ces vérifications, ils sont chargés de faire procéder aux modifications et suppressions nécessaires et de déterminer, en accord avec le responsable du traitement, si le résultat des vérifications menées ainsi que, le cas échéant, les données en cause, peuvent être communiqués au requérant.
Article 3
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de la culture d’une demande d’avis concernant un projet de décret relatif aux modalités de mise en œuvre des mesures visant à protéger les mineurs contre l’accès à des sites diffusant un contenu pornographique ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2020-936 du 30 juillet 2020 visant à protéger les victimes de violences conjugales, notamment son article 23 ;
Après avoir entendu le rapport de M. Christian KERT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement ;
 
Emet l’avis suivant :
Pris en application de l’article 23 de la loi du 30 juillet 2020, le projet de décret vise à permettre au président du Conseil supérieur de l’audiovisuel (CSA), dans un premier temps, d’adresser aux éditeurs de services de communication au public qui autorisent, en violation de l’article 227-24 du code pénal, l’accès des mineurs à un contenu pornographique, une mise en demeure leur enjoignant de prendre toute mesure de nature à empêcher l’accès des mineurs au contenu incriminé. A l’expiration d’un délai de quinze jours, en cas d’inexécution de cette injonction et si le contenu reste accessible aux mineurs, le président du CSA peut saisir le président du tribunal judiciaire de Paris aux fins notamment d’ordonner aux fournisseurs d’accès à internet de mettre fin à l’accès au service en cause.
Le projet de décret prévoit en son article 3, alinéa 1 que, pour apprécier si des mineurs peuvent accéder à un contenu pornographique, le président du Conseil supérieur de l’audiovisuel tient compte du niveau de fiabilité du procédé technique mis en place par [la personne dont l’activité est d’éditer un service de communication au public] afin de s’assurer de la majorité d’âge des utilisateurs souhaitant accéder au service .
Par ailleurs, le 2ème alinéa de l’article 3 du projet de décret prévoit que le CSA pourra adopter des lignes directrices afin de préciser la fiabilité des procédés techniques permettant de s’assurer de cette majorité d’âge.
La mise en place de procédés techniques de vérification de la majorité d’âge des utilisateurs est susceptible d’entrainer la mise en œuvre de traitements de données à caractère personnel. Ces traitements, qui présentent une sensibilité particulière au regard de leur finalité, sont soumis au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) et relèvent de la compétence de la CNIL.
Conformément à son article 3.2-a, le RGPD s’applique aux traitements mis en œuvre par un éditeur de services de communication au public qui n’est pas établi dans l’UE lorsque ses activités de traitement sont liées à l’offre de biens ou de services aux personnes se trouvant sur le territoire de l’Union européenne. Ce cadre juridique inclut en particulier un principe de minimisation des données collectées, une information adaptée aux personnes concernées, une interdiction du détournement de finalité, une durée de conservation limitée des données ainsi que des mesures de sécurité régulièrement mises à jour.
Le Gouvernement a saisi la Commission du projet de décret afin que celle-ci rappelle les garanties que les procédés techniques de vérification de la majorité d’âge des utilisateurs devront respecter afin d’être conformes aux principes consacrés par le RGPD.
Sur le périmètre de l’obligation de mise en œuvre de la vérification de la majorité d’âge 
L’appréciation du président du CSA prévue à l’article 3 du projet de décret a vocation à s’appliquer au périmètre défini par la loi, à savoir les éditeurs de services de communication au public en ligne. La Commission relève que cela recouvre principalement des éditeurs de services de communication au public en ligne dont l’activité unique ou principale consiste en la diffusion de contenus pornographiques, mais peut s’étendre à de très nombreux sites qui éditent des contenus pornographiques.
La Commission souligne que l’exigence de mise en place d’un dispositif de vérification de la majorité d’âge à des fins légitimes de préservation des mineurs, ne saurait justifier une obligation générale d’identification préalablement à la consultation de tout site proposant des contenus. Elle rappelle que le fait de pouvoir en principe bénéficier de services de communication au public en ligne sans obligation de s’identifier ou en utilisant des pseudonymes participe à la liberté de s’informer et à la protection de la vie privée des utilisateurs. Cela constitue un élément essentiel de l’exercice de ces libertés sur internet.
La Commission souligne donc qu’il revient aux autorités compétentes de veiller à ce que les obligations de mise en œuvre de dispositifs spécifiques de vérification de la majorité d’âge aux fins de lutte contre l’accès des mineurs aux contenus pornographiques, et de contrôle de ces dispositifs, ne soient pas étendues au-delà du périmètre défini par l’article 23 de la loi du 30 juillet 2020 combiné avec l’article 227-24 du code pénal. 
 
Sur la nécessaire proportionnalité des procédés techniques mis en œuvre aux fins de vérification de la majorité d’âge des utilisateurs
En vertu de l’article 5.1-c du RGPD, les traitements de données à caractère personnel mis en œuvre aux fins de vérification de la majorité d’âge des utilisateurs souhaitant accéder aux contenus pornographiques doivent être proportionnés à la finalité poursuivie. Le Comité européen de la protection des données (CEPD), dans ses lignes directrices 5/2020 du 4 mai 2020 sur le consentement, indique, s’agissant des fournisseurs de services de la société de l’information à des mineurs, que  Le caractère raisonnable d’une mesure, à la fois pour ce qui est de vérifier qu’un utilisateur est suffisamment âgé pour donner son propre consentement et que la personne donnant son consentement au nom d’un enfant est titulaire de la responsabilité parentale, peut dépendre des risques liés au traitement ainsi que des technologies disponibles .
La Commission estime que la vérification de la majorité d’âge par les éditeurs diffusant eux-mêmes des contenus pornographiques, ne doit pas les conduire à collecter des données directement identifiantes de leurs utilisateurs. Une telle collecte de données présenterait, en effet, des risques importants pour les personnes concernées dès lors que leur orientation sexuelle – réelle ou supposée – pourrait être déduite des contenus visualisés et directement rattachée à leur identité. Or, une telle collecte d’informations aussi sensibles par les sites concernés serait contraire au RGPD. De plus, la multiplication de ce type de bases de données poserait de sérieux risques en cas de compromission de celles-ci par un tiers qui pourrait utiliser ces données à son profit ou les diffuser, avec un impact très significatif pour les utilisateurs concernés.
La Commission relève la difficulté de concilier les principes relatifs à la protection des données à caractère personnel avec tout mécanisme de contrôle de l’âge des mineurs faisant appel à une identification préalable de ceux-ci. Elle estime préférable le recours à des dispositifs consistant en la fourniture d’une preuve de la majorité d’âge. Ces services pourraient par exemple reposer sur un organisme tiers de confiance qui devraient intégrer un mécanisme de double anonymat empêchant, d’une part, le tiers de confiance d’identifier le site ou l’application à l’origine d’une demande de vérification et, d’autre part, faisant obstacle à la transmission de données identifiantes relatives à l’utilisateur au site ou à l’application proposant des contenus pornographiques. Le moyen de preuve devrait ainsi être à la main de son porteur et se limiter à un seul attribut d’âge. L’organisme tiers de confiance doit par ailleurs intégrer toutes les garanties de protection des données à caractère personnel et en particulier l’information de la personne concernée, dans des termes simples et adaptés à chaque public, sur les risques et droits liés au traitement de ses données.
En tout état de cause, les dispositifs de vérification de la majorité d’âge doivent strictement respecter le principe de minimisation des données.
Serait considérée comme contraire aux règles relatives à la protection des données la collecte de justificatifs d’identité officiels, compte tenu des enjeux spécifiques attachés à ces documents et du risque d’usurpation d’identité lié à leur divulgation et détournement. La même analyse peut être appliquée aux dispositifs destinés à estimer l’âge d’un utilisateur à partir d’une analyse de son historique de navigation, sans qu’en outre une telle collecte permette une estimation précise.
Enfin, la Commission considère que les procédés techniques visant à vérifier la majorité d’âge ne sauraient conduire au traitement de données biométriques au sens de l’article 9 du RGPD, compte tenu de la nature particulière de ces données et du fait que le recueil du consentement de la personne concernée ne pourrait être considéré comme libre s’il conditionne l’accès au contenu demandé.
 
Sur le rôle du CSA
La Commission souligne que le mécanisme prévu à l’article 5 du projet de décret, prévoyant un renvoi des utilisateurs des services de communication en ligne auxquels l’accès est empêché vers une page d’information sur le site web du CSA, ne devrait pas conduire ce dernier à collecter les données à caractère personnel des internautes concernés, et notamment leurs adresses IP.
La Commission souligne la nécessité de mettre en place des dispositifs de vérification de la majorité d’âge conformes aux règles de protection des données et estime dès lors nécessaire de poursuivre des travaux communs avec le CSA, dans une logique d’inter-régulation.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD), notamment son article 9, alinéas 1, 2 et 4 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8 et 11-I-2° (b) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
 
Contexte
 
La loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles a confié à la Commission une mission nouvelle, celle d’établir et de publier, en concertation avec les organismes publics et privés représentatifs des acteurs concernés, des règlements types en vue d'assurer la sécurité des systèmes de traitement de données à caractère personnel et de régir les traitements de données biométriques, génétiques et de santé .
A ce titre, la Commission peut prescrire des mesures, notamment techniques et organisationnelles, supplémentaires pour le traitement des données biométriques, devenues sensibles au sens de l’article 9-1° du règlement général sur la protection des données (ci-après RGPD), ainsi que des données génétiques et de santé en application du 4° du même article.
 
La présente délibération a pour objet l’adoption d’un règlement type relatif à la mise en œuvre de dispositifs ayant pour finalité le contrôle d'accès par authentification biométrique aux locaux, aux appareils et aux applications informatiques sur les lieux de travail.
 
Elle intervient à la suite d’une consultation publique menée du 3 au 30 septembre 2018.
 
En conséquence, la Commission adopte le règlement type suivant :
 
Article premier - Objet et champ d’application du présent règlement
 
Conformément aux dispositions des articles 9-4° du RGPD, 11-I-2°-b) et 8-II-9° de la loi du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, le présent règlement type a pour objet de fixer des exigences spécifiques applicables aux traitements de données biométriques nécessaires au contrôle par les employeurs publics ou privés de l'accès aux lieux de travail ainsi qu'aux appareils et aux applications utilisés dans le cadre des missions confiées aux salariés, aux agents, aux stagiaires ou aux prestataires (ci-après, personnes concernées ).
Les données biométriques s’entendent, conformément à l’article 4-14) du RGPD, comme les données à caractère personnel résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques. Ces données sont considérées comme sensibles au sens de l’article 9 du RGPD.
Constitue un gabarit , au sens du présent règlement type, le résultat du traitement de l’enregistrement brut (photo, enregistrement audio, etc.) de la caractéristique biométrique par un algorithme rendant impossible la reconstitution de celle-ci. Les gabarits constituent des données biométriques dérivées et doivent ainsi être distinguées des données dont sont issues les caractéristiques biométriques.
Le règlement type n’a pas vocation à se substituer aux obligations générales découlant du RGPD et de la loi Informatique et Libertés modifiée, mais à les compléter ou à préciser certaines d’entre elles. Les organismes mettant en œuvre de tels traitements devront ainsi respecter l’ensemble des autres exigences légales et réglementaires relatives aux principes du traitement de données, aux droits des personnes ou aux transferts internationaux des données. 
Les organismes devront s’assurer que les traitements de contrôle d’accès concernés sont fondés au regard de l’article 6 du RGPD. 
 
Article 2 - Finalités du traitement
Le recours aux dispositifs biométriques n’est autorisé, dans le champ du présent règlement type, que pour les finalités suivantes :
le contrôle d’accès aux locaux limitativement identifiés par l'organisme comme devant faire l'objet d'une restriction de circulation ;
le contrôle d’accès aux appareils et applications informatiques professionnels limitativement identifiés de l'organisme. 
 
Article 3 - Justification du recours à un traitement de données biométriques
 
Le responsable de traitement doit démontrer la nécessité de recourir à un traitement de données biométriques, en indiquant les raisons pour lesquelles le recours à d’autres dispositifs d’identification (badges, mots de passe, etc.) ou mesures organisationnelles et techniques de protection ne permet pas d’atteindre le niveau de sécurité exigé.
Cette justification doit : 
détailler le contexte spécifique rendant nécessaire un niveau de protection élevé ; 
détailler les raisons justifiant l’utilisation de la biométrie plutôt qu’une autre technologie ;
être documentée par le responsable du traitement. 
 
Article 4 - Données personnelles collectées et traitées
Dans le cadre du présent règlement type, le dispositif de contrôle d’accès biométrique ne peut comporter que les données à caractère personnel suivantes :
Données renseignées par l’employeur ou ses préposés (données d’identification)
:
l'identité : nom, prénoms, photographie, enregistrement brut (photo, enregistrement audio, etc.) de la caractéristique biométrique et gabarit(s) d’une ou plusieurs caractéristiques biométriques,numéro d'authentification ou numéro de support individuel, 
la vie professionnelle
: numéro de matricule interne, corps ou service d'appartenance, grade, identité ou dénomination sociale de la personne (physique ou morale) ayant la qualité d’employeur ;
l’accès aux locaux
: accès, zones et plages horaires autorisés ;
l’accès aux outils de travail : matériels ou applicatifs concernés, plages horaires et modalités d’accès autorisées.
 
Données générées par le dispositif (données de journalisation)
:
journalisation des accès aux locaux
: accès utilisés, horodatage des tentatives d’accès, numéro d'authentification ou numéro de support individuel ;
journalisation des accès aux outils de travail : matériels ou applicatifs concernés, horodatage des tentatives d’accès, numéro d'authentification ou numéro de support individuel.
 
Article 5 - Données biométriques
Est autorisée, en milieu professionnel, l’authentification biométrique basée sur des caractéristiques morphologiques des personnes concernées. L’authentification biométrique nécessitant un prélèvement biologique (salive, sang, etc.) est proscrite dans le champ du présent règlement.
Le choix du ou des types de biométrie (iris, empreinte digitale, réseau veineux de la main, etc.) doit être justifié et documenté par l’employeur, notamment la raison d’utilisation d’une caractéristique biométrique plutôt qu’une autre.
 
Article 6 - Personnes habilitées à traiter les données 
 
Des profils d'habilitation doivent être prévus afin de gérer les accès aux données en tant que de besoin. 
Les personnes habilitées ne peuvent accéder aux données que dans les limites de leurs attributions. Une revue annuelle des habilitations doit être opérée afin d’assurer que les droits accordés restent bien cohérents avec les personnes habilitées et leurs fonctions.
Concernant les données biométriques :
Seules peuvent avoir accès aux données biométriques les personnes qui sont limitativement habilitées en raison de leurs fonctions à gérer l'enrôlement de la personne concernée, à supprimer les gabarits ou à assurer la maintenance du dispositif. Elles ne doivent accéder à ces gabarits dans le cadre de leur habilitation que de façon temporaire et pour les stricts besoins des actions précitées.
Concernant les autres données renseignées par l’employeur ou ses préposés :
Peuvent avoir accès aux autres données à caractère personnel renseignées dans le dispositif biométrique (identité, vie professionnelle, accès aux locaux, matériels et applicatifs) les personnes qui sont limitativement habilitées en raison de leurs fonctions à gérer l'enrôlement de la personne concernée, la suppression ou la modification de son profil d’accès, ou à assurer la maintenance du dispositif. 
Concernant les données générées par le dispositif :
Seules peuvent avoir accès aux données générées par le dispositif biométrique, les personnes qui sont limitativement habilitées en raison de leurs fonctions à assurer la sécurité des locaux, matériels et applicatifs concernés, ou de la sécurité du dispositif biométrique lui-même.
Article 7 - Choix des modalités de détention du gabarit
 
Le présent règlement distingue trois types de détention de gabarits biométriques, selon le degré de maîtrise exercé par les personnes concernées sur le support de conservation :
Type 1 : les gabarits sous maîtrise des personnes concernées sont ceux dont le seul support de stockage durable est détenu par la personne elle-même, par exemple sous forme de badge ou de carte à puce ;
Type 2 : les gabarits sous maîtrise partagée sont ceux dont le support de stockage durable est maîtrisé par l’employeur ou ses préposés, mais qui sont conservés sous une forme les rendant inexploitables sans l’utilisation d’un secret détenu par la personne concernée ;
Type 3 : les gabarits non maîtrisés par les personnes concernées sont ceux dont le support de stockage durable est maîtrisé par l’employeur ou ses préposés sous une forme exploitable ne nécessitant ni badge contenant le gabarit ni utilisation d’un secret maîtrisé par la personne concernée.
 
En l’absence de circonstances particulières mentionnées aux alinéas suivants, les traitements de données biométriques mis en place par des employeurs publics ou privés ne peuvent utiliser que des gabarits sous maîtrise des personnes concernées (type 1). 
Il ne peut être fait recours aux gabarits sous maîtrise partagée (type 2) que s’il est avéré que la détention d’un support dédié au seul stockage du gabarit (type 1) n’est pas adaptée à l’architecture et au contexte d’exploitation du dispositif.
De la même manière, il ne peut être fait recours aux gabarits non maîtrisés par les personnes (type 3) que s’il est avéré que la mise en place des gabarits sous maîtrise partagée (type 2) ou des gabarits sous maîtrise des personnes concernées (type 1) n’est pas adapté au vu de l’architecture et du contexte d’exploitation du dispositif et seulement si les éléments de sécurité prévus à l’article 10 sont complétés par l’analyse des risques sur les droits et libertés des personnes prévue à l’article 11.
La décision de recourir aux gabarits de type 2 ou 3 doit être documentée de manière détaillée en justifiant le choix effectué. 
 
Article 8 - Modalités et durées de conservation