AgentPublic/cnil huggingface dataset:
Dans un premier temps, la Commission est favorable à la mise en place d’un dispositif permettant l’accès, pour l’usager, aux données échangées, par voie d’API entre administrations et à des informations utiles dans le cadre de ses échanges avec les administrations. De manière plus générale, la Commission recommande l’usage d’API pour procéder aux échanges de données entre administrations afin de garantir la nécessaire minimisation des données échangées et la traçabilité de ces échanges.
Dans un deuxième temps, s’agissant de la faculté offerte à l’usager de bénéficier, sur la base de ses données, de conseils utiles à l’exercice de ses droits et devoirs, il a été précisé qu’il s’agissait d’anticiper , par ce projet de décret, les évolutions envisagées par projet de loi relatif à la différenciation, la décentralisation, la déconcentration et portant diverses mesures de simplification de l’action publique locale (ci-après projet de loi 3DS ) qui n’a pas encore été adopté et qui est, pour l’heure, en cours d’examen devant le Parlement. Il a également été précisé que la version du téléservice Mon FranceConnect qui sera mise en ligne au début de l’expérimentation ne comportera pas cette fonctionnalité.
La Commission prend acte du fait que cette évolution a pour objectif d’accélérer l’échange de données entre administrations au profit de l’usager et de lutter contre le phénomène de non recours aux droits, notamment en matière d’avantages sociaux. Toutefois, elle souligne qu’il s’agit d’une évolution des caractéristiques essentielles du dispositif DLNUF puisque l’intervention a priori de l’usager ne serait plus requise pour initier l’échange de données entre administrations. Il importe de s’assurer que le dispositif soit inscrit dans la loi et soit précisément circonscrit aux usages précités, à savoir l’accélération de l’échange de données et la lutte contre le non-recours aux droits, à l’exclusion de tout autre. Elle souligne qu’il ne doit pas permettre, par exemple, de détecter d’éventuels cas de fraude au moyen de croisement d’informations.
C’est pourquoi la Commission recommande de ne pas mettre en œuvre une telle faculté pour l’usager avant que le projet de loi 3DS ne soit adopté. A cet égard, l’article 4-3° du présent projet de décret devrait le préciser explicitement.
Dans un troisième temps, la Commission s’interroge sur les raisons ayant conduit à choisir une sécurisation par le biais d'un chiffrement symétrique plutôt qu'au moyen de certificats.
Sur les données traitées et les destinataires et accédants aux données
Le projet de décret n’indique pas les données à caractère personnel traitées pourtant décrites au sein de l’analyse d’impact relative à la protection des données (AIPD) transmise. La Commission souhaiterait que la liste des données à caractère personnel traitées dans le cadre du téléservice Mon FranceConnect , ainsi que les destinataires et accédants à ces données, figurent expressément dans le projet de décret.
Dans le cas où la liste des données à caractère personnel traitées serait difficilement déterminable compte tenu des différents cas d’usage du téléservice, le projet de décret pourrait indiquer de façon générale que Mon FranceConnect traite les données d’état civil des usagers ainsi que les données fournies par les différentes API. Le responsable de traitement devra informer plus précisément, au cas par cas, chaque expérimentateur des données traitées par le biais de mentions d’informations conformes à la règlementation informatique et libertés.
Enfin, la Commission souligne l’importance pour les utilisateurs du respect de leur nom d’usage. Au vu des choix différents faits par les opérateurs à ce sujet, la Commission encourage le ministère à intégrer cette problématique, si ce n’est dans l’expérimentation, du moins dans ses conclusions et ses réflexions pour la suite de ce projet.
Sur la durée de conservation
L’article 5 du projet de décret prévoit que les données à caractère personnel rendues accessibles à l’usager par le téléservice Mon FranceConnect seront conservées au sein du téléservice durant quinze minutes. Au-delà de cette durée, ces données seront détruites sans délai. La Commission salue l’approche retenue qui vise à délivrer une information détaillée aux usagers sans constitution d’un registre centralisé et encourage la DINUM à développer ce type de modèle pour les projets interministériels. Ce même article prévoit également que les données permettant au téléservice d’interroger les API ne reposant pas sur le dispositif FranceConnect seront quant à elle conservées toute la durée de l’expérimentation mais que l’usager peut, à tout moment, demander la suppression de ses données.
La Commission prend acte des précisions apportées selon lesquelles une demande de retrait de l’expérimentation de la part de l’usager implique également une suppression de toutes les données liées à l’usager.
Enfin, la Commission prend acte de ce que des informations permettant de garantir l’authenticité des attestations générées sont conservées trois mois. Elle souligne le soin porté à la minimisation des données afin d’assurer un haut niveau d’authentification des attestations tout en limitant le risque de ré-identification des données conservées. La Commission considère ainsi que les données conservées sont des données pseudonymisées. Cependant, les données pseudonymisées, en tant que données à caractère personnel, devraient être mentionnées dans le projet de décret. Ainsi, la Commission souhaiterait que le projet de décret soit complété en ce sens.
Sur la sécurité du traitement
A titre liminaire, la Commission observe que l’analyse de risque fournie par le ministère était en cours de rédaction et était incomplète. La Commission rappelle que celle-ci doit être terminée et dument complétée avant le lancement de l’expérimentation.
La Commission prend acte de ce que le dispositif fera l’objet d’un audit de sécurité dans le cadre de son homologation RGS comprenant, entre autres, une vérification des principales failles de sécurités décrites dans le Top 10 de l’OWASP (Open Web Application Security Project). Ces audits étant un composant important de l’assurance de sécurité de ce traitement, il devra être effectué et les éventuelles mesures correctives mises en œuvre, avant la mise en production.
La Commission prend acte de ce que le responsable de traitement a estimé que l’impact sur le traitement FranceConnect ne serait pas suffisant pour nécessiter une mise à jour de son analyse de risque. Elle recommande que celle-ci soit mise à jour si l’expérimentation venait à être étendue.
Enfin, la Commission rappelle qu'une durée de conservation des journaux de trois mois pour des raisons de sécurité n'est pas conforme aux six mois à un an qu’elle préconise. La Commission recommande donc d’allonger cette durée.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant un décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions, et le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission, ayant reçu la veille de la séance une saisine rectificative portant sur l’ajout des données relatives à l’enregistrement dans le fichier en cause de données relatives aux vaccinations contre la grippe concomitante à la vaccination contre la covid-19, estime que ces nouvelles dispositions posent des questions délicates. Elles nécessitent que le gouvernement apporte certaines précisions et que la CNIL dispose d’un temps d’instruction supplémentaire. La CNIL n’étant pas en mesure de rendre un avis éclairé sur cette saisine rectificative dans la présente délibération, elle renvoie cette question à une séance ultérieure et se prononce uniquement sur les dispositions de la saisine initiale.
A titre liminaire et de façon générale, la Commission relève que le décret n° 2020-1690 du 25 décembre 2020 relatif au traitement Vaccin Covid ne réglemente pas la durée de conservation des données qui y sont enregistrées. Quoique ces durées lui aient été présentées lors de la saisine du décret initial créateur du traitement et bien que l’avis rendu à l’époque n’ait pas relevé ce point, la Commission estime qu’il serait préférable que le décret prévoie des durées de conservation obligatoires. Dès lors qu’un traitement est encadré par un acte réglementaire, la Commission estime en effet que cet acte doit fixer, au titre des règles d’organisation du service public en cause, les principales caractéristiques du traitement de données personnelles opéré par l’administration dans le cadre de ses missions. A ce titre, et quoique l’article 35 de la loi informatique et libertés ne prévoit pas spécifiquement, pour les traitements qu’il concerne, que l’acte réglementaire d’autorisation du traitement régisse les durées de conservation, la CNIL estime, de doctrine constante, que l’inscription de telles durées constitue en principe une garantie indispensable. Elle invite donc le gouvernement à compléter le décret sur ce point.
Sur la délivrance de justificatifs et la génération de codes QR à partir du traitement SI-DEP et de Vaccin Covid :
Le projet prévoit la modification des dispositions applicables au traitement SI-DEP , qui contient notamment les résultats de tests à la covid-19, afin de permettre la génération de plusieurs codes QR et certificats.
Ainsi, il modifie les articles 8 et 9 du décret du 12 mai 2020 pour que ce traitement permette la génération et l’envoi d’un justificatif d’absence de contamination au virus SARS-CoV-2 ou un certificat de rétablissement, afin de satisfaire aux obligations mentionnées au II de l’article 1er de la loi n° 2021-689 du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire et au chapitre II de la loi n° 2021-1040 du 5 août 2021 relative à la gestion de la crise sanitaire.
L’article 9 du décret actuellement en vigueur permet, en cas d’examen de dépistage positif, de faire parvenir à la personne concernée un code QR aléatoire ne concernant aucune information permettant de l’identifier apposé sur les résultats des examens de dépistage. Après modification par le projet de décret, le traitement SI-DEP permettrait :
en cas de résultat négatif d’un examen de dépistage virologique au virus SARS-CoV-2, d’apposer sur tout résultat négatif d’examen de dépistage, les codes QR suivants, contenant des données identifiantes (noms, prénoms et date de naissance de la personne concernée, informations relatives à l'examen de dépistage) :
un code QR valant justificatif d’absence de contamination par la covid-19 ou certificat de rétablissement, pouvant être présenté pour satisfaire aux obligations mentionnées au II de l’article 1er de la loi n° 2021-689 du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire et au chapitre II de la loi n° 2021-1040 du 5 août 2021 relative à la gestion de la crise sanitaire ;
ainsi qu’un code QR permettant l’import de ce justificatif ou certificat dans l’application mobile mentionnée à l’article 1er du décret du 29 mai 2020 susmentionné ;
en cas de résultat positif d’un examen de dépistage virologique au virus SARS-CoV-2, d’apposer sur tout résultat positif d'un examen de dépistage un code QR ne comportant aucune information permettant d'identifier la personne concernée généré aléatoirement. Ce code QR sera envoyé à la personne concernée afin qu’elle puisse l’ajouter dans l’application Tous Anti Covid (TAC) afin d’informer les autres personnes utilisatrices de TAC qu'il existe un risque qu'elles aient été contaminées par le virus SARS-CoV-2 en raison du fait qu'elles se sont trouvées à proximité d'un utilisateur de cette application ayant été diagnostiqué ou dépisté positif à cette pathologie.
Le projet modifie l’article 1er du décret du 25 décembre 2020 afin que le traitement Vaccin COVID permette la délivrance d’un justificatif de statut vaccinal pouvant être présenté pour satisfaire aux obligations vaccinales ou la présentation du passe sanitaire.
La Commission estime que ces ajouts sont légitimes et permettent de générer au bénéfice des personnes concernées toutes les attestations découlant des informations conservées dans le fichier dont elles auraient besoin au regard de la législation en vigueur.
Sur les autres modifications du traitement SI-DEP :
Sur les destinataires
Le projet de décret modifie l’article 10 du décret du 12 mai 2020 afin de compléter la liste des destinataires de certaines données contenues dans le traitement SI-DEP .
D’une part, selon le projet de décret, les médecins traitants et les professionnels de santé prescripteurs pourront accéder à certaines informations de SI-DEP. La Commission invite le ministère à préciser que les professionnels de santé prescripteurs visés sont ceux prescrivant les examens de dépistage virologique ou sérologique.
D’autre part, le projet prévoit que la Caisse nationale d’assurance maladie (CNAM) puisse être destinataire de données contenues dans le traitement SI-DEP (données d’identification, caractéristiques techniques du prélèvement, informations relatives au résultat des examens de dépistage virologique ou sérologique) afin d’alimenter le dossier médical partagé (DMP) des personnes concernées.
Selon les précisions du ministère, une telle alimentation permettra de conserver l’historique daté des résultats de tests de dépistage afférents. Le ministère indique que, bien que l’article R. 1111-30 du code de la santé publique (CSP) prévoie que les comptes rendus de biologie médicale sont versés dans le DMP, moins de 5% environ des comptes rendus émanant de laboratoires de biologie médicale prenant directement en charge le patient y sont effectivement versés. Le projet vise donc à assurer la complétude des DMP, par un versement centralisé effectué par la CNAM.
Si ce mode d’alimentation semble acceptable compte tenu des circonstances, la Commission considère, au vu des risques qu’entraînerait cette alimentation dérogatoire du mode de fonctionnement nominal du DMP, qu’elle ne saurait ni être généralisée, ni perdurer au-delà de l’utilisation de SI-DEP, ni être étendue à d’autres flux de données ; elle juge essentiel que le DMP reste alimenté nominalement par les professionnels de santé, conformément aux dispositions du CSP applicables. La Commission invite également le ministère à déterminer une durée de conservation propre aux données de SI-DEP remontées dans le DMP.
Conformément à l’article L. 1111-14 du CSP, le DMP est ouvert automatiquement, sauf opposition de la personne concernée ou de son représentant légal, depuis le 1er juillet 2021. Selon les précisions du ministère, seules les données relatives à des personnes ne s’étant pas opposées à la création de leur DMP pourront y être versées. La Commission invite la CNAM à prendre les mesures nécessaires afin que les données de personnes ne disposant pas d’un DMP soient immédiatement effacées à réception selon une procédure adaptée.
Sur les données d’identification des professionnels de santé
Le projet modifie l’article 9 du décret du décret afin d’ajouter le numéro ADELI aux données d’identification traitées concernant les professionnels de santé. Le répertoire ADELI recensant les professionnels qui ne sont pas dans le répertoire partagé des professionnels intervenant dans le système de santé (RPPS), cette évolution n’appelle pas d’observations de la part de la Commission.
Sur l’utilisation d’un dispositif automatique connecté à SI-DEP par les professionnels
Le projet modifie l’article 10 du décret afin d’imposer aux professionnels recourant à un dispositif automatique pour renseigner les résultats des examens de dépistage virologique ou sérologique dans le traitement SI-DEP , que celui-ci figure sur une liste publiée des dispositifs respectant les conditions de sécurité fixées par arrêté du ministre chargé de la santé pris en application du III de l’article 11 de la loi n° 2020-546 du 11 mai 2020. La Commission relève qu’à la date de son avis, l’arrêté n’est pas publié et invite le ministère à le publier dans les meilleurs délais.
La Commission accueille favorablement cette modification, mais relève que la rédaction retenue pourrait laisser entendre que la conformité du dispositif retenu pèse intégralement sur les professionnels utilisateurs. Si, en leur qualité de responsable de traitement, le choix du dispositif leur revient en effet, la Commission suggère néanmoins au ministère de faire apparaître plus clairement que la charge du référencement repose sur les prestataires proposant ces dispositifs, en leur qualité de sous-traitant.
Elle invite donc le ministère à modifier le projet de décret afin qu’il impose aux éditeurs de ces dispositifs automatiques d’obtenir leur référencement sur la liste, préalablement à leur commercialisation.
Sur les modifications du traitement Vaccin COVID :
Le projet modifie l’article 3 du décret du 25 décembre 2020 afin de préciser que les professionnels de santé, ainsi que les personnes placées sous leur responsabilité, peuvent accéder à certaines informations du traitement Vaccin COVID afin de réaliser le rappel des personnes pour lesquelles l’injection d’une dose complémentaire de vaccin est recommandée et de délivrer les justificatifs de statut vaccinal. La Commission en prend acte.
Le projet de décret modifie également l’article 1er du même décret afin d’élargir l’usage du traitement dans le cadre du contrôle de l’obligation vaccinale des personnes y étant soumises. Le décret, dans sa version en vigueur, prévoit en effet que le traitement Vaccin COVID a pour finalité la mise à disposition de données permettant le contrôle de l’obligation vaccinale des personnes mentionnées au deuxième alinéa du II de l’article 13 de la loi n°2021-1040 du 5 août 2021 relative à la gestion de la crise sanitaire . Les modifications envisagées, afin de prévoir que  Vaccin COVID puisse être utilisé à des fins de contrôle de l’obligation vaccinale des personnes mentionnées au I de l’article 12 de la loi n°2021-1040 du 5 août 2021 relative à la gestion de la crise sanitaire, tel que prévu au II de l’article 13 de la même loi , permettraient une consultation directe de ce traitement par les personnes responsables de la vérification du respect de l’obligation vaccinale.
Par ailleurs, le projet de décret modifie l’article 3 du décret afin d’ajouter parmi les destinataires des données traitées dans Vaccin COVID les responsables de structures dans le domaine de la santé mentionnées au 1° du I de l’article 12 de la loi n° 2021-1040 du 5 août 2021 modifiée dont les personnels sont soumis à l’obligation vaccinale, et les agents qu’ils habilitent à accéder à certaines données de ces personnels (identification, coordonnées et données relatives à la réalisation de la vaccination).
La Commission comprend que ces modifications du décret visent à permettre, dans le cadre du contrôle de l’obligation vaccinale, deux types d’accès : l’un direct, pour les employeurs de structures dans le domaine de la santé, et l’un indirect via les agences régionales de santé pour les autres employeurs.
Si la Commission relève que l’article 13 de la loi n° 2021-1040 du 5 août 2021 relative à la gestion de la crise sanitaire, modifiée par la loi du 10 novembre 2021, a prévu que les employeurs, et ainsi, les responsables des structures dont les personnels sont soumis à l’obligation vaccinale, pouvaient contrôler le respect de cette obligation, elle souligne que le législateur prévoit qu’il appartient également aux personnes concernées de justifier qu’elles se sont effectivement soumises à leurs obligations.
La Commission rappelle que le dispositif Vaccin COVID contient des informations couvertes par le secret médical prévu à l’article L. 1110-4 du CSP. Le législateur a expressément prévu, au II de l’article 13 de la loi précitée, que les dispositions de l’article L. 1110-4 du CSP ne font pas obstacle au contrôle du respect de l’obligation par l’employeur.
La Commission déduit de la combinaison de ces dispositions que le contrôle par la consultation directe du dispositif Vaccin COVID , qui ne serait en pratique ouvert qu’à certaines catégories d’employeurs particuliers qui ont accès à ce fichier pour d’autres missions, devrait présenter un caractère subsidiaire, notamment lorsqu’aucun justificatif n’a été produit par le salarié, par exemple en cas d’urgence ou de suspicion de faux passe sanitaire.
Elle invite, en tout état de cause, le ministère à prévoir les mesures associées de limitation des accès dans le Vaccin COVID , et les structures bénéficiant d’un accès direct à Vaccin COVID à n’habiliter que des personnes dont les missions sont liées à la gestion des activités du personnel.
Sur l’information des personnes concernées
Le projet de décret, prévoit dans son article 3, que les personnes dont les données ont été collectées préalablement à son entrée en vigueur sont informées sans délai des modifications intervenues sur les dispositifs concernés par les responsables de traitement qui assurent cette information sur leurs sites web respectifs, ou par tout autre moyen permettant de porter cette information à la connaissance des personnes concernées. La Commission accueille favorablement cette modification.
Sur la sécurité des dispositifs Vaccin COVID et SI-DEP 
Ces systèmes, mis en place en urgence et n’ayant pas vocation à être mis en œuvre de manière pérenne, ont vu leur existence régulièrement prolongée du fait de la crise sanitaire.
La Commission invite en conséquence les responsables des traitements concernés à relever le niveau de sécurité de ces systèmes afin que les mesures appliquées soient en adéquation avec les menaces actuelles et à venir. La Commission invite également les responsables des traitements concernés à mettre à jour leurs analyses d’impact sur la protection des données.
Enfin, plus spécifiquement, la Commission invite les responsables de traitement à renforcer les mesures de sécurité encadrant les échanges de données et, notamment, à déployer des mécanismes de défense en profondeur en cas de défaillance d’une mesure de sécurité.
 
La Présidente
 
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant le décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions et le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :