AgentPublic/cnil huggingface dataset:
9. Les conditions d'accès définies par le présent référentiel s'appliquent aux traitements mis en œuvre à des fins de recherche, d'étude ou d'évaluations dans le domaine de la santé, présentant un caractère d'intérêt public, et pour la réalisation desquels seul un accès à l'EGB et/ou aux datamarts et tableaux de bord du SNIIRAM est nécessaire.
10. Sont susceptibles de bénéficier d'une approbation unique de l'INDS les traitements qui respectent les conditions cumulatives suivantes :
- le traitement est réalisé au sein du portail sécurisé de la CNAM et ne prévoit pas la constitution d'un système fils du SNDS tel que défini à l'arrêté du 22 mars 2017 précité ;
- aucun croisement de plusieurs identifiants potentiels, tels que définis par le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé système national des données de santé , n'est réalisé ;
- la durée d'accès au portail n'excède pas 24 mois.
Examen par l'INDS
11. L'INDS se prononce au regard des éléments suivants :
- la finalité d'intérêt public de la recherche, de l'étude ou de l'évaluation dans le domaine de la santé ;
- la justification apportée par le responsable de traitement pour démontrer la pertinence scientifique du projet ;
- la durée de l'accès au portail pour le traitement envisagé qui doit être limitée à la durée nécessaire à la réalisation de la recherche, l'étude ou l'évaluation ;
- le respect des exigences législatives applicables au SNDS et notamment l'engagement du responsable de traitement sur le respect du paragraphe 5 Accès aux données du référentiel de sécurité précité applicable au SNDS.
Procédure d’accès
12. La demande d'accès est adressée directement à l'Institut national des données de santé (INDS) dans les mêmes conditions que celles prévues pour la transmission du dossier de demande d'autorisation de recherche, étude ou évaluation dans le domaine de la santé prévu à l'article 64 de la loi informatique et libertés .
13. L'INDS notifie sa décision au demandeur dans un délai de 15 jours ouvrés, à compter de la réception d'un dossier complet. Sans réponse de la part de l'INDS au terme du délai de 15 jours ouvrés, la décision est réputée favorable.
14. L'INDS peut contacter le demandeur pour tout complément d'information si nécessaire. Le délai d'approbation est suspendu dans l'attente des éléments complémentaires.
15. Dans le cas où l'INDS ne s'estime pas en mesure de se prononcer au vu des éléments constitutifs du dossier, il peut décider que le traitement envisagé est soumis à la procédure complète selon les modalités prévues à la section II du chapitre IX de la loi informatique et libertés et en informe le demandeur. Après accord de ce dernier, l'INDS saisit le CEREES pour avis, puis la CNIL pour autorisation dans le respect des dispositions de la loi informatique et libertés .
Transparence
16. L'INDS informe au moins une fois par an le CEREES et la CNIL des approbations délivrées dans les conditions décrites dans la présente délibération.
17. La délibération n° 2018-134 du 12 avril 2018 portant homologation de conditions de mise à disposition de l'échantillon généraliste des bénéficiaires (EGB) et des bases de données thématiques appelées datamarts du Système national d'information inter régimes de l'assurance maladie (SNIIRAM), est abrogée.
18. Le présent référentiel portant sur la description et les garanties de procédure permettant la mise à disposition en vue de leur traitement de l'échantillon généraliste des bénéficiaires (EGB) et des bases de données thématiques appelées datamarts du Système national d'information inter régimes de l'assurance maladie (SNIIRAM), présentant un faible risque d'impact sur la vie privée entre en vigueur le lendemain de sa publication au Journal officiel de la République française.
Pour La Présidente
La Vice-Présidente déléguée
Sophie LAMBREMON
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère chargé des transports, en application des dispositions du 4° sous a) de l’article 8 de la loi n° 78-17 du 6 janvier 1978 modifiée, d’une demande d’avis portant sur un projet de décret relatif au recours à la vidéo intelligente pour mesurer le taux de port de masque dans les transports ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2020-290 du 23 mars 2020 d’urgence pour faire face à l’épidémie de COVID - 19, notamment son article 4 ;
Vu la loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions ;
Vu les articles L. 3131-12 et suivants du code de la santé publique ;
Vu le décret n° 2020-1257 du 14 octobre 2020 déclarant l’état d’urgence sanitaire ;
Vu le décret n° 2020-1262 du 16 octobre 2020 prescrivant les mesures générales nécessaires pour faire face à l’épidémie de COVID-19 dans le cadre de l’état d’urgence sanitaire ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Bertrand du MARAIS, commissaire, en son rapport, et M. Benjamin TOUZANNE commissaire du Gouvernement, en ses observations,
Emet l’avis suivant :
La saisine de la Commission intervient dans le contexte de l’épidémie de COVID-19 et l’obligation, depuis le 11 mai 2020, pour les usagers des transports publics collectifs, de porter un masque de protection. Le projet de décret vise à permettre aux exploitants de services de transports collectifs de voyageurs de mettre en œuvre des dispositifs de mesure du taux de port de masque au moyen du traitement automatisé d’images provenant des caméras de vidéoprotection existantes, en excluant le droit d’opposition des personnes concernées au traitement de leurs données.
Comme elle a eu l’occasion de le souligner dans plusieurs de ses délibérations liées à la crise sanitaire, la Commission a pleinement conscience de la gravité de la situation sanitaire liée à l’épidémie de COVID-19 et de la nécessité pour le Gouvernement de prendre les mesures nécessaires de protection de la population. Ce projet s’inscrit dans son action de lutte contre l’épidémie, et traduit le souhait de ne laisser de côté aucun outil permettant d’endiguer la propagation de la maladie.
Pour autant, la mise en œuvre à grande échelle de dispositifs dits de vidéo intelligente dans l’espace public pose d’importantes questions en termes de protection de la vie privée. L’espace public est un lieu où s’exercent de nombreuses libertés individuelles (droit à la vie privée, à la protection des données à caractère personnel, liberté d’aller et venir, liberté d’expression, etc). La préservation de l’anonymat dans l’espace public est une dimension essentielle pour l’exercice de ces libertés ; la captation et l’analyse systématiques de l’image des personnes dans ces espaces sont incontestablement porteuses de risques pour leurs droits et libertés fondamentaux.
La lutte contre l’épidémie de COVID-19, qui relève de l’objectif à valeur constitutionnelle de protection de la santé, constitue par ailleurs un impératif majeur de nature à justifier, dans certaines conditions, des atteintes transitoires au droit à la protection de la vie privée et des données à caractère personnel.
Les protections constitutionnelle et conventionnelle du droit au respect de la vie privée et à la protection des données à caractère personnel, assises notamment sur la Charte des droits fondamentaux de l’Union européenne et la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, imposent toutefois que les atteintes portées à ces droits par les autorités publiques soient non seulement justifiées par un motif d’intérêt général, mais soient également nécessaires et proportionnées à la réalisation de cet objectif.
Le projet de décret appelle dès lors les observations suivantes de la part de la Commission.
Sur la finalité des dispositifs de détection du port de masque prévus par le projet de décret
Le projet de décret prévoit en son article 1er que, lorsqu’une loi ou un décret impose le port d’un masque de protection dans les transports publics, les exploitants de services de transport public collectif de voyageurs peuvent utiliser  des systèmes de vidéoprotection autorisés sur le fondement de l’article L. 252-1 du code de la sécurité intérieure aux fins d’évaluer statistiquement le respect des obligations de port du masque et d’adapter leurs actions d’information et de sensibilisation du public .
La Commission prend acte de ce que ces dispositifs n’ont pas pour finalité, ni ne peuvent permettre techniquement, l’identification des personnes et n’ont donc pas vocation à traiter des données biométriques.
La Commission prend également acte des précisions apportées par le ministère concernant les finalités de ces dispositifs, qui n’ont pas vocation à poursuivre les infractions à la réglementation relative au port du masque, mais à permettre de diffuser des messages d’annonce types et non ciblés dans les lieux où serait constaté un taux moyen de port du masque insuffisant. Le ministère a également indiqué que les dispositifs n’ont pas davantage vocation à permettre le déploiement immédiat sur les lieux d’agents chargés du respect de la réglementation relative au port du masque, mais de redéployer des agents d’information en vue de sensibiliser davantage les usagers à leurs obligations.
La Commission estime cette finalité comme déterminée, explicite et légitime au sens de l’article 5.1.b du RGPD.
Sur l’exclusion du droit d’opposition des personnes concernées au titre de l’article 23 du RGPD
Le projet de décret prévoit également, de façon relativement inédite, au II de son article 1er, que lorsque les exploitants de service de transport public choisissent de recourir à ces dispositifs, le droit d’opposition des personnes dont les images vont être captées, prévu à l’article 21 du RGPD, ne s’applique pas à ce traitement. Cette faculté est offerte par les articles 23 du RGPD et 56 de la loi Informatique et Libertés qui y renvoie.
L’exclusion d’un droit prévu par le RGPD doit répondre à plusieurs critères.
Sur la justification de l’exclusion du droit d’opposition
L’article 23 du RGPD requiert un texte de droit de l’Union ou de l’Etat membre pour notamment limiter la portée des droits prévus aux articles 12 à 22 du RGPD, à condition qu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir notamment des objectifs importants d’intérêt public général de l’Union ou d’un Etat membre, notamment un intérêt économique ou financier […] y compris dans les domaines […] de la santé publique et de la sécurité sociale (article 23.1.e) ou encore pour garantir la protection des personnes concernées (article 23.1.i).
Le ministère a précisé que, conformément à l’article 23.1 du RGPD, le droit d’opposition pouvait être écarté des traitements envisagés puisque ces derniers permettent de garantir des objectifs importants d’intérêt public, en l’espèce un objectif de santé publique et la protection des personnes concernées, plus particulièrement la protection de leur santé.
La Commission relève à cet égard que les dispositifs envisagés, qui s’inscrivent dans un plan plus large de lutte contre l’épidémie de COVID-19, sont expressément liés par le I de l’article 1er du projet de décret à l’existence d’une obligation de port du masque. Elle estime que ces dispositifs poursuivent des objectifs de santé publique et de protection des personnes permettant d’envisager une limitation de leurs droits.
La Commission tient cependant à rappeler la nécessaire vigilance qui s’impose dans le déploiement de ces dispositifs qui impliquent une collecte et une analyse systématiques de l’image des individus circulant dans les transports publics et une détection de certains de leurs attributs. Même s’il est limité au cadre de l’état d’urgence sanitaire, un tel déploiement présente le risque réel de généraliser un sentiment de surveillance chez les citoyens, de créer un phénomène d’accoutumance et de banalisation de technologies intrusives et, en définitive, d’engendrer une surveillance accrue.
 
Sur les garanties apportées aux traitements dont le droit d’opposition est exclu
La Commission rappelle, d’une part, que, pour pouvoir apporter valablement des limitations au droit d’opposition des personnes, la mesure normative prise à cet effet doit contenir certaines dispositions spécifiques minimales énumérées à l’article 23.2 du RGPD et, d’autre part, que l’article 56 de la loi énonce qu’une telle exclusion doit être prévue par une disposition expresse de l’acte instaurant le traitement .
Elle estime que le projet de décret qui lui est soumis devrait être complété sur deux points afin de satisfaire entièrement aux exigences de ces articles.
En premier lieu, la Commission estime que le projet de décret apparaît bien constituer un acte instaurant le traitement au sens de l’article 56 de la loi. En effet, cette expression peut renvoyer, s’agissant de traitements mis en œuvre par les autorités publiques, à des normes contenant l’ensemble de la réglementation d’un traitement, notamment en application de l’article 35 de la loi Informatique et Libertés . S’agissant de traitements décidés et mis en place par des opérateurs privés – ce qui peut être le cas en l’espèce pour les personnes privées chargées d’une mission de service public par les autorités compétentes en matière de transport public collectif de voyageurs –, la limitation du droit d’opposition doit alors être prévue dans un acte législatif ou réglementaire autorisant la mise en œuvre des traitements par ces opérateurs, qui doit en outre comporter les dispositions spécifiques prescrites par l’article 23.2 du RGPD.
Ainsi, la finalité et les caractéristiques essentielles de ces traitements doivent être décrites avec des précisions suffisantes. En l’espèce, le décret indique que les systèmes de vidéoprotection autorisés sur le fondement de l’article L. 252-1 du code de la sécurité intérieure pourront être utilisés aux fins d’évaluer statistiquement le respect de l’obligation de port du masque, sans toutefois préciser que cette détection statistique du port de masque se fera de manière automatisée par le biais d’un traitement algorithmique.
A cet égard, la Commission prend acte des précisions apportées par le ministère concernant la mise en œuvre des dispositifs visés par l’intégration d’un traitement logiciel aux caméras de vidéoprotection préexistantes, analysant en temps réel le flux vidéo, et relève qu’il serait préférable de faire figurer de telles précisions au sein du projet de décret afin d’éviter toute ambiguïté quant à la nature des dispositifs déployés et ainsi aux traitements de données impliqués.
En second lieu, le projet de décret précise bien l’ensemble des dispositions spécifiques prévues aux points a) à g) de l’article 23.2 du RGPD, à l’exception du point h) relatif au droit des personnes concernées d’être informées de la limitation de leur droit. La Commission estime qu’une telle information est nécessaire dans la mesure où il n’apparaît pas que celle-ci puisse nuire à la finalité de cette exclusion, les personnes ayant en tout état de cause l’obligation de porter un masque dans les transports. Elle prend acte de l’engagement du ministère d’ajouter une mention au décret imposant aux responsables de traitement, à travers l’information qu’ils fourniront en application du RGPD, de préciser que le droit d’opposition n’est pas ouvert.
La Commission rappelle qu’une telle information est d’autant plus importante qu’au-delà de l’exclusion du droit d’opposition, le responsable du traitement ne sera pas en mesure d’assurer l’exercice des droits d’accès, de rectification, d’effacement ou de limitation des personnes concernées du fait de la suppression à très bref délai des images des flux vidéo.
Sur la durée d’application du décret
Le projet de décret prévoit en son article 2 que le décret s’appliquera pendant une durée d’un an à compter de sa publication.
La Commission prend ainsi acte de l’application de ce texte pour une durée maximale d’un an et estime que cette limitation de durée apparaît nécessaire au regard de la nature potentiellement intrusive des dispositifs dont il permet le déploiement et de la dérogation forte au droit d’opposition des personnes concernées qu’il instaure dans ce cadre.
Elle relève également qu’en application du I de l’article 1er du projet de décret, ces dispositifs ne pourront, en tout état de cause, être utilisés que tant qu’’une loi ou un décret impose, dans le cadre de la lutte actuelle contre l’épidémie de COVID-19, le port d’un masque de protection dans les transports. A défaut, le décret se révèlerait sans objet et les dispositifs envisagés ne pourraient être mis en œuvre.
Elle recommande à ce titre que l’impact de tels dispositifs sur la stratégie sanitaire globale soit évalué et documenté de manière régulière, afin que l’efficacité et la pertinence de ceux-ci au cours du temps puissent être évaluées. La Commission recommande que ces analyses lui soient, lorsqu’elles seront disponibles, communiquées afin de lui permettre d’exercer sa mission de contrôle de la conformité de la mise en œuvre des dispositifs projetés.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret modifiant le décret n° 55-1397 du 22 octobre 1955 instituant la carte nationale d'identité et le décret n° 2016-1460 du 28 octobre 2016 autorisant la création d'un traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d'identité ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu le règlement (UE) 2019/1157 du Parlement européen et du Conseil du 20 juin 2019 relatif au renforcement de la sécurité des cartes d'identité des citoyens de l'Union et des documents de séjour délivrés aux citoyens de l'Union et aux membres de leur famille exerçant leur droit à la libre circulation ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 32 ;
Vu le décret n° 55-1397 du 22 octobre 1955 instituant la carte nationale d'identité ;
Vu le décret n° 2016-1460 du 28 octobre 2016 autorisant la création d'un traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d'identité ;
Après avoir entendu Mme Marie-Laure DENIS, présidente, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le règlement européen 2019/1157 du 20 juin 2019 susvisé a pour objet de renforcer la sécurité des cartes d'identité des citoyens de l'Union et des documents de séjour délivrés aux citoyens de l'Union et aux membres de leur famille exerçant leur droit à la libre circulation. Ce règlement, applicable à compter du 2 août 2021, impose aux Etats membres de l’Union européenne (UE) de mettre en circulation des cartes d’identité intégrant un composant électronique hautement sécurisé contenant des données biométriques, à savoir une image numérisée du visage du titulaire de la carte et celle de deux empreintes digitales dans des formats numériques interopérables. L’article 3-5 du règlement 2019/1157 du 20 juin 2019 susvisé, impose par ailleurs le recueil obligatoire des empreintes digitales.
Ne sont exemptés de recueil des empreintes digitales, aux termes de ce règlement, que les mineurs de moins de six ans et les personnes qui sont dans l’incapacité physique de se les voir prélever, les Etats membres conservant quant à eux la possibilité d’exempter de recueil des empreintes digitales les mineurs de moins de douze ans. A cet égard, la Commission relève qu’en France, des dispositions nationales ont été adoptées en ce sens.
C’est dans ce contexte que la Commission est saisie d’un projet de décret modifiant les dispositions relatives à la carte nationale d’identité (CNI) ainsi que celles relatives aux conditions de mise en œuvre du traitement dénommé Titres électroniques sécurisés (TES). Elle rappelle que ce traitement, qui regroupe, dans une base de données centralisée, l'image numérisée du visage et des empreintes digitales de deux doigts de l'ensemble des demandeurs de CNI et de passeports, permet de délivrer et de renouveler ces documents, mais aussi de prévenir et détecter leur falsification et contrefaçon. Afin de mieux lutter contre la fraude documentaire, notamment au moment du renouvellement du titre, le système TES procède à la comparaison automatique des empreintes digitales de chaque demandeur avec celles précédemment enregistrées sous la même identité, afin de vérifier que l’identité du demandeur de titre est bien celle qu’il prétend avoir (fonction d'authentification des personnes).
Elle souligne qu’à ce jour, le TES demeure un fichier singulier, compte tenu tant de son périmètre d’une ampleur inégalée, que de la nature particulièrement sensible des données biométriques qu’il contient. Depuis la création de ce traitement, la Commission s’est ainsi toujours montrée particulièrement attentive quant aux garanties substantielles à mettre en œuvre pour encadrer l’utilisation de ce traitement et entend faire preuve d’une vigilance renforcée dans le cadre des modifications qui lui sont soumises.
Elle rappelle en effet que, s’agissant plus particulièrement des usages régaliens, le recours à des dispositifs de reconnaissance biométrique est considéré comme légitime pour s’assurer de l’identité d’une personne, dès lors que les données biométriques sont conservées sur un support dont la personne a l’usage exclusif, comme c’est le cas pour le passeport biométrique. La Commission estime à ce titre, ainsi qu’elle l’a rappelé dans de nombreuses délibérations, que la mise en place et le maintien d’une base centrale de données biométriques ne peut être admise que dans la mesure où des exigences impérieuses en matière de sécurité ou d’ordre public le justifient. Le traitement de données biométriques (image du visage et empreintes digitales), sous une forme centralisée, engendre en effet davantage de risques du point de vue de la protection des données à caractère personnel, compte tenu à la fois des caractéristiques de l’élément d’identification physique retenu, des usages possibles de ces traitements et des risques d’atteintes graves à la vie privée et aux libertés individuelles en résultant.