AgentPublic/cnil huggingface dataset:
N° de demande d’avis : 2239841
Thématiques : Recherche scientifique (hors santé), mineurs, étude des émotions, éthologie
Organisme(s) à l’origine de la saisine : Université de Caen Normandie
Fondement de la saisine :
Article 44.6° 
de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
1. L’Université de Caen Normandie a saisi la CNIL pour avis sur un traitement de données à caractère personnel nécessaire à la réalisation d’une recherche. L’étude porte sur l’impact de la présence des chiens d’assistance judiciaire durant des auditions de mineurs victimes sur les mineurs, les gendarmes dirigeant les auditions et les chiens eux-mêmes. 
2. Afin de limiter l’atteinte à la vie privée des personnes concernées, la CNIL souligne l’importance d’établir, en amont de la mise en œuvre du traitement, une grille de données adéquates et pertinentes au regard de l’objet de la recherche.
3. Concernant les mesures de sécurité mises en place, elle recommande de ne conserver aucune donnée en local et de réaliser toutes les analyses sur les serveurs de l’université ou de la gendarmerie. Afin de protéger la confidentialité et l’intégrité des de ces données, il conviendra de définir des profils d’habilitation et de mettre en place un contrôle régulier des traces.
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son article 44 ;
Sur la proposition de Mme Aminata Niakaté, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
 
Le laboratoire EthoS de l’Université de Caen Normandie envisage de mener un projet de recherche scientifique en éthologie pour lequel un traitement d données à caractère personnel est nécessaire. Cette recherche s’inscrit dans le cadre d’une thèse "COFRA" (convention de formation par la recherche en administration) conclue entre l’université, la Région de Gendarmerie de Normandie et la chercheuse opérant la recherche.
Elle porte sur la médiation animale à travers la présence d’un chien d’assistance judiciaire, en tant que dispositif d’accompagnement émotionnel des victimes d’infractions pénales pouvant être mis en place à toutes les étapes de la procédure judiciaire. Si l’efficacité de ce dispositif pour les victimes est communément admise, ses effets sur les chiens eux-mêmes demeurent assez peu documentés. Ainsi, le projet de recherche vise à évaluer les conséquences de cette médiation pour les victimes, les gendarmes menant l’audition et les chiens eux-mêmes.
 
Le dispositif retenu permettra à la chercheuse d’assister à 60 auditions de mineurs victimes au sein des UAPED (unités d'accueil pédiatrique enfants en danger) de Saint Lô et Alençon, derrière un miroir sans tain et sans aucune interaction avec eux. Elle pourra par la suite revisionner ces auditions pour observer le comportement des mineurs, des gendarmes et des chiens grâce aux copies sur DVD de chaque audition. La participation des mineurs à la recherche est conditionnée au consentement de leur responsable légal et sous réserve de leur propre acceptation.
 
Une trentaine de gendarmes participeront à cette étude, à laquelle ils auront préalablement consenti. Ils rempliront tous un questionnaire socio-démographique au moment de leur recrutement puis répondront à un questionnaire sur leur niveau d’anxiété avant et après l’audition afin que la chercheuse puisse étudier l’impact de la médiation animale sur leur bien-être.
B. L’objet de la saisine
 
La CNIL a été saisie par l’Université de Caen Normandie pour avis sur un traitement de données à caractère personnel nécessaire pour réaliser cette recherche. Dans la mesure où le traitement porte sur des données sensibles au sens de l'article 9 du RGPD, il doit faire l’objet d’un avis préalable de la CNIL conformément aux dispositions du 6° de l’article 44 de la loi "informatique et libertés".
 
S'agissant de ses finalités, le traitement projeté vise à permettre :
d'évaluer l'effet de la présence des chiens d'assistance judiciaire sur l'état émotionnel du mineur et sa communication lors des auditions judiciaires ;
d'évaluer l'effet de la présence des chiens d'assistance judiciaire sur le confort relationnel et psychologique des gendarmes lors des auditions judiciaires ;
une analyse approfondie des interactions entre les mineurs et le chien.
 
Dans la mesure où il est mis en œuvre par l’Université de Caen Normandie en qualité d’acteur de la recherche publique, le traitement a pour base légale l’exercice d’une mission d’intérêt public à des fins de recherche scientifique.
 
II. L’avis de la CNIL
 
A. Sur les données traitées
Les analyses de la chercheuse reposeront sur des données collectées exclusivement durant les auditions auxquelles elle a été autorisée à assister. Il s’agira des données issues de questionnaires sur le niveau d’anxiété des gendarmes et des enregistrements des auditions sur DVD (auxquels la chercheuse a été autorisée à accéder), ainsi que des informations constitutives des observations écrites sur le comportement des participants.
 
En premier lieu, s’agissant du traitement de données d’infraction, la CNIL observe que l’université appartient à la catégorie des services publics de la recherche au sens de l’article L. 123-2 du code de l’éducation. En conséquence, il convient de qualifier l’université de personne morale gérant un service public, agissant dans le cadre de ses attributions légales, et fondée à traiter ces données en application du 1° de l’article 46 de la loi "informatique et libertés" (v. CNIL, SP, 16 mars 2023, avis sur traitement recherche, n° 2228343, publié).
 
En second lieu, les échanges captés au cours des auditions sont susceptibles de contenir un volume et une diversité importants de catégories de données et ainsi de porter une atteinte significative à la vie privée des personnes concernées.
Tout en relevant la difficulté d’anticiper avec précision les catégories de données susceptibles d’être collectées par ce moyen, la CNIL observe, en revanche, que le périmètre des données traitées peut être affiné s’agissant de l’analyse effectuée à partir des enregistrements et des outils mis en place à cette fin (questionnaires).
 
La CNIL accueille favorablement la mise en place, préalablement à la mise en œuvre du traitement, d’une grille de données pertinentes pour étudier les réactions des personnes à la présence des chiens d’assistance judiciaire ainsi que de critères d’inclusion et d’exclusion des participants. L’ensemble de ces éléments favorise le respect du principe de minimisation exposé à l’article 5(1)c du RGPD.
 
Elle invite l’université à inclure ces éléments dans l’analyse d’impact relative à la protection des données (AIPD) du traitement pour documenter sa conformité et se conformer à l’article 35 du RGPD.
Par ailleurs, la grille a été construite à partir d’études scientifiques relatives aux interactions humain-animal dans le domaine judiciaire, en vue de retenir les variables pouvant influencer l’impact de la présence des chiens sur les comportements des personnes présentes. Parmi les variables retenues figurent plusieurs catégories de données (âge, genre, présence d’animaux dans le foyer, situation professionnelle pour les gendarmes), dont des données sensibles au sens de l’article 9 du RGPD (issues notamment des tests d’anxiété auxquels se soumettent les gendarmes et éléments relatifs à l’intimité des mineurs, notamment leur vie sexuelle).
 
La CNIL estime ces catégories de données pertinentes et nécessaires au regard des finalités du traitement.
 
Enfin, la chercheuse aura inévitablement accès à des informations relatives à des tiers en visionnant les auditions, puisqu’il sera fait mention des personnes accusées des faits qui leur sont reprochés, des témoins ou leurs proches.
 
La CNIL prend acte de ce que ces personnes seront, dans tous les supports exploités, désignées par l’appellation "un tiers" – à l’exception des enregistrements des auditions pour lesquels une pseudonymisation est impossible.
 
B. Sur les durées de conservation
L’ensemble des données permettant une identification directe ou indirecte des personnes concernées par le traitement – y compris la table de pseudonymisation – seront conservées cinq ans à compter de la date de l’audition à laquelle elles se rapportent. A l’issue de ce délai, elles seront toutes détruites, de manière à ce qu’aucune réutilisation ne soit possible, ni même pour la communauté scientifique.
 
Il découle de l’accord des procureurs permettant à la chercheuse d’obtenir l’enregistrement des auditions que la durée de conservation de ces supports est limitée à cinq ans. Le responsable de traitement a généralisé cette durée de conservation à l’ensemble des données, en vue de fluidifier leur gestion.
 
Sans remettre en cause ce besoin, la CNIL rappelle que les durées de conservation doivent être définies au regard des finalités pour lesquelles les données sont traitées (v. article 5(1)e du RGPD). Elle invite ainsi le responsable de traitement à envisager des cas de suppression anticipée des données. A cet égard, elle prend acte de la possibilité de conserver les données moins de cinq ans si les articles scientifiques sont publiés avant cette échéance.
 
Par ailleurs, il ressort des précisions apportées que la date d’enregistrement et la date de limite de conservation seront inscrites sur les DVD afin de faciliter le suivi des durées de conservation et d’éviter une atteinte au principe de limitation de la conservation exposé à l’article 5(1)e du RGPD.
La CNIL accueille favorablement cette mesure, et ce d’autant plus qu’elle concerne les supports qui contiennent le plus de données.
 
 
 
 
 
 
 
 
C. Sur les droits des personnes concernées
 
a) Sur l’information des mineurs
 
Au moment de leur arrivée dans l’UAPED où ils sont auditionnés, les mineurs sont informés des modalités du traitement :
par écrit, par le biais d’une notice rédigée en français facile à lire et à comprendre (FALC) ;
oralement, par la psychologue qui sera présente durant l’audition.
 
La CNIL accueille favorablement la mise en place de mesures spécifiques aux mineurs qui permettent au responsable de traitement de délivrer une information "en des termes clairs et simples", comme le requiert l’article 12 du RGPD.
 
 b) Sur l’exercice des droits
 
Les formulaires de consentement à la recherche – et la notice à destination des mineurs – indiquent que les personnes peuvent adresser leur demande d’exercice des droits auprès de la déléguée à la protection des données de l’université, la chercheuse ou sa directrice de thèse.
 
La CNIL recommande qu’un point de contact unique soit destinataire des demandes, afin de faciliter la procédure et d’assurer l’effectivité des droits.
 
D. Sur les mesures de sécurité
 
Le traitement envisagé a fait l’objet d’une AIPD.
 
Deux ordinateurs professionnels distincts seront utilisés : un sous la responsabilité de la gendarmerie, sans accès internet, et un second sous la responsabilité de l’université.
Les mesures de sécurité concernant ces ordinateurs devront être à l’état de l’art et comprendre un disque dur chiffré, un verrouillage automatique de session ou encore un antivirus et des logiciels régulièrement mis à jour. Si un accès internet s’avère indispensable, les éventuels contenus extérieurs (courriels, document reçu, lien de téléchargement, etc.) devront faire l’objet d’une vigilance accrue.
 
La CNIL recommande que les analyses soient réalisées exclusivement sur les serveurs de l’université ou de la gendarmerie et d’éviter toute conservation en local. Des profils d’habilitation devront être prévus afin de gérer les accès aux données en tant que de besoin. Un contrôle régulier des traces devra être mis en place afin de détecter les comportements anormaux et de générer des alertes le cas échéant.
 
Enfin, les données de l’étude, ses sauvegardes, tables de correspondance ainsi que tout équipement mobile devront être chiffrés avec des algorithmes et des procédures de gestion de clés conformes à l’annexe B1 du référentiel général de sécurité, tant au niveau des bases de données que des sauvegardes.
 
 
La présidente,
 
 
M.-L. Denis
N° de demande d’avis : 25013264
Thématiques : règlement européen sur la transparence de la publicité politique ciblée, techniques de ciblage et de diffusion d’annonce à caractère politique. 
Organisme(s) à l’origine de la saisine : ministère de la culture
Fondement de la saisine : Article 8, I, 4°, a) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
La CNIL a été saisie, par le ministère de la culture, des dispositions d’un projet de loi portant diverses adaptations au droit de l’Union européenne qui concernent la transparence de la publicité politique ciblée. 
Le règlement 2024/900 relatif à la transparence de la publicité politique ciblée (RPP) prévoit la désignation de la CNIL comme autorité compétente pour le contrôle des obligations prévues en son chapitre III qui concerne l’utilisation de techniques de ciblage et de diffusion d’annonce à caractère politique en ligne. 
La CNIL accueille favorablement le projet de disposition législative prévoyant l’établissement d’une convention entre les autorités compétentes, destinée à préciser, organiser et coordonner l’accomplissement de leurs missions respectives. 
Elle estime que le projet devrait à des fins de lisibilité, mentionner dans certains articles les sous-traitants ainsi que le caractère "en ligne" du 
ciblage et de diffusion d’annonce à caractère politique
. 
 
___________________
 
 
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
 
Vu le règlement (UE) 2024/900 relatif à la transparence et au ciblage de la publicité à caractère politique ; 
 
Après avoir entendu le rapport de Mme Laurence Franceschini, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
 
A. Le contexte 
 
Le ministère de la culture a saisi la CNIL des dispositions du projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne, qui vise à adapter le règlement 2024-900 relatif à la transparence de la publicité politique ciblée (RPP) au droit national.
 
Ce règlement instaure un cadre harmonisé de transparence pour la publicité politique ciblée dans l’Union européenne. Il concerne principalement trois catégories d’acteurs :
Les parraineurs : à la demande desquels ou pour le compte desquels une annonce publicitaire à caractère politique est élaborée, placée, promue, publié, distribuée ou diffusée ;
Les prestataires de services de publicité à caractère politique : qui fournissent des services de publicité à caractère politique, à l’exception des services purement accessoires ; 
Les éditeurs de publicité à caractère politique : qui publient, distribuent ou diffusent de la publicité à caractère politique sur tout type de support. 
 
L’objet du règlement est de permettre l’identification claire des publicités à caractère politique, des personnes pour le compte desquelles elles sont diffusées, le processus électoral auxquelles elles se rapportent et l’utilisation éventuelle de techniques de ciblage ou de diffusion d’annonces à caractère politique. 
 
Il impose également de nouvelles obligations aux responsables de traitement dans le cadre de l’utilisation des techniques de ciblage et/ou de diffusion d’annonces publicitaires, qui impliquent le traitement de données à caractère personnel, dans le contexte de la publicité à caractère politique en ligne.
 
 
B. L’objet de la saisine 
 
En vertu du premier alinéa de l’article 22 de ce règlement, la CNIL est compétente pour contrôler l’application des articles 18 et 19. En conséquence, le projet de loi modifie certaines dispositions de la loi n° 78-17 du 76 janvier 1978 relative à l’informatique et aux libertés (ci-après "LIL").
 
L’article 8 relatif aux missions de la CNIL est modifié pour prévoir que la CNIL est l'autorité compétente au sens de l'article 22 du RPP.
Un titre IV quinquies intitulé "Dispositions applicables aux responsables de traitement relevant du règlement (UE) 2024/900 du parlement et du Conseil du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique" est également ajouté. 
Au titre de ces dispositions, la CNIL veille au respect des obligations prévues à l’article 18 du RPP, pour l’utilisation de techniques de ciblage ou de diffusion d’annonces à caractère politique en ligne. 
En particulier : 
le responsable de traitement doit avoir collecté les données auprès de la personne concernée ; 
la personne concernée a donné son consentement explicite au sens de l’article 6 . 1. a) du RGPD ; 
le profilage au sens de l’article 4.4) du RGPD est interdit s’il implique des données sensibles ; 
ces techniques ne doivent pas porter sur les données de personnes dont l’âge est inférieur d’au moins 1 an à l’âge électoral. 
 
A ce titre, elle assure les missions de contrôle et de sanction dont elle est investie par le RGPD. 
 
L’article 16 de la LIL est modifié pour donner compétence à la formation restreinte de la CNIL pour prendre les mesures et prononcer les sanctions à l’encontre des responsables de traitement et sous-traitants qui ne respecteraient pas les exigences du RPP. De même, l’article 20 de la LIL relatif aux pouvoirs propres du président de la CNIL est modifié pour y inclure le RPP.
Le projet de loi prévoit également la répartition des compétences entre la CNIL, l’Autorité de régulation de la communication audiovisuelle et numérique (ARCOM) et la Commission nationale des comptes de campagne et des financements politiques (CNCCFP). 
 
 
II. L’avis de la CNIL
 
A. Observations générales 
 
L’entrée en application du RPP conduisant à une augmentation de ses missions et ses compétences, la CNIL estime indispensable de disposer de ressources techniques, financières et humaines suffisantes. Cette condition apparaît nécessaire pour apporter de la sécurité juridique aux acteurs et les accompagner vers la conformité. Comme précisé à l’article 22.3 du RPP, les États membres doivent s’assurer que les autorités disposent de ressources techniques, financières et humaines suffisantes (y compris d’un personnel en nombre suffisant possédant les compétences et l’expertise requises). 
 
Les autorités compétentes au titre de l’article 22 du règlement et désignées par le projet de loi sont la CNIL et l’ARCOM. Le projet de loi mentionne aussi la CNCCFP au titre des articles 14 et 16 du RPP :
 
- l’ARCOM est compétente pour contrôler le respect des nouvelles obligations de transparence (en dehors des dispositions concernant la protection des données personnelles) : notamment la tenue, par les prestataires, d’un registre des publicités, la publication d’un avis de transparence.
- la CNCCFP est rendue destinataire des rapports périodiques sur les services de publicité à caractère politique qui contiennent notamment des informations sur les montants ou la valeur des avantages perçus par les prestataires. 
 
La compétence de la CNCCFP est insérée après le premier alinéa de l’article L.52-1 du code électoral. Le nouvel article 20-11 de la Loi n°86-1067 du 30 septembre 1986 relative à la liberté de communication organise la répartition des compétences entres la CNIL et l’ARCOM. 
 
Il prévoit que les autorités compétentes au sens du règlement coopèrent entre elles et peuvent se communiquer librement les informations dont elles disposent et se consulter mutuellement. Il prévoit que les modalités de mise en œuvre de cet article sont précisées par voie de convention entre ces autorités. 
 
La CNIL accueille favorablement la mise en place d’une convention entre les autorités compétentes, qui leur permettra de préciser et d’organiser l’articulation de leurs compétences de manière cohérente. 
 
B. Observations particulières 
 
Sur les acteurs concernés
Le projet de titre IV quinquies et d’article 124-13 (nouveau) du projet de loi ne font pas mention des sous-traitants. Ces derniers sont pourtant mentionnés par la suite au projet l’article 124-12 (nouveau) qui prévoit que la CNIL "en tant qu'autorité compétente au sens de l'article 22, paragraphe 1er du règlement (UE) 2024/900 du Parlement européen et du Conseil du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique, sous réserve des exemptions prévues au paragraphe 3, veille au respect par les responsables de traitement et des sous-traitants qui ont leur établissement principal en France ou dont le représentant légal réside ou est établi en France des obligations énoncées". 
 
La CNIL rappelle que le RPP s’applique sans préjudice du RGPD qui s’applique tant aux responsables de traitements qu’aux sous-traitants. Plus généralement, le RPP est applicable à des acteurs qui peuvent être des sous-traitants au sens du RGPD et notamment les prestataires ou éditeurs de publicité à caractère politique. 
 
 Elle estime à des fins de clarté que le projet de titre IV quinquies et d’article L. 124-13 devraient mentionner également les sous-traitants. 
 
 
 
Sur les techniques de ciblage et de diffusion d’annonce à caractère politique en ligne
Le 1e du projet d’article 124-12 (nouveau) de la loi informatique et libertés dispose que les responsables de traitement ou sous-traitants relevant du règlement 2024/900 sont tenus de respecter les obligations les concernant énoncées au 1 de l’article 18 du RPP relatif aux "techniques de ciblage et de diffusion d’annonce publicitaires impliquant le traitement de données personnelles dans la publicité politique". 
 
Le chapitre III du règlement concerne les techniques de ciblage et de diffusion d’annonces à caractère politiques "en ligne". 
 
La CNIL estime qu’a des fins de clarté, le terme "en ligne" devrait figurer dans les dispositions du projet de loi et notamment à l’alinéa 1° du projet d’article 124-12. 
 
Par ailleurs, s’agissant de l’interprétation de cette notion, la CNIL considère, comme elle l’avait relevé dans la communication qu’elle a adoptée concernant l’application des dispositions du règlement UE 2024/900 sur transparence de la publicité politique, que les dispositions du chapitre III intégraient dans le champ d’application des articles 18 et 19 les publicités publiées, distribuées ou diffusées par des "services d’accès à l’internet" et de l’ensemble des dispositifs de communication interpersonnelle (courriels, SMS et messageries instantanées).
Cette interprétation a été retenue sous réserve d’une clarification sur ce point par la Commission européenne, étant entendu qu’elle fait également l’objet de discussions entre homologues dans le cadre des lignes directrices en cours d’élaboration au sein du Comité européen de la protection des données, afin de garantir une application cohérente du RPP. 
 
Sur les compétences de contrôle 
 
L’article 124-12 (nouveau) prévoit que la CNIL assure les missions "[…] prévues à l’article 8-I-d et dispose des pouvoirs prévus aux articles 19, 20, 22 et 22-1 de la présente loi".
 
A des fins de clarté, la CNIL estime que le projet d’article devrait également mentionner l’article 8-I-g qui lui confère ses missions de contrôle. 
 
 
 
 
 
Les autres dispositions du projet de loi n’appellent pas d’observations de la part de la CNIL. 
 
 
La présidente,
 
 
M.-L. Denis