AgentPublic/cnil huggingface dataset:
enrichir les connaissances sur l’état de santé de la population française, pour des indicateurs non couverts par d’autres enquêtes par d’autres systèmes de surveillance.
 
Ce projet a reçu le label d’intérêt général et de qualité statistique à caractère obligatoire par le Comité du label, conformément aux dispositions de la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques.
 
La finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5.1.b) du RGPD et présente un intérêt public, conformément à l’article 66.I de la loi "informatique et libertés".
Sur la réutilisation de données de bases existantes
Tous les deux ans, les participants au baromètre seront tirés au sort par l’Institut national de la statistique et des études économiques (INSEE), à partir de la base de données dénommée "Fideli" (Fichier démographique d'origine fiscale sur les logements et les personnes), qu’il détient. La taille de l’échantillon tiré au sort sera d’environ 60 000 à 75 000 personnes.
 
Seules les données strictement nécessaires et pertinentes au regard des objectifs du baromètre devront être transmises par l’INSEE :
à la société IPSOS, afin que cette dernière contacte les personnes tirées au sort pour leur proposer de participer au baromètre. Cette base de données ne contiendra aucune donnée relative à la santé des bénéficiaires ;
à l’ANSP, afin de réaliser de corriger la non-réponse et de réaliser des pondérations (redressements).
 
À cet égard, les filtrages seront réalisés en amont de cette transmission par l’INSEE.
Sur les catégories particulières de données traitées
 
Les données suivantes seront traitées dans le cadre du baromètre :
les données nominatives et les coordonnées (postales, électroniques et téléphoniques) des personnes tirées au sort ainsi que, le cas échéant, celles des référents fiscaux dont les coordonnées sont présentes dans la base de données Fideli, aux fins de suivi des participants ;
la vie sexuelle des participants, dont la collecte a été scientifiquement justifiée dans le dossier de demande.
 
Les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5.1.c) du RGPD.
Sur l'information et les droits des personnes
S’agissant des modalités d’information :
 
S’agissant des personnes susceptibles d’être tirées au sort et des référents fiscaux dont les coordonnées sont présentes dans la base de données Fideli :
En application de l'article 69 de la loi "informatique et libertés" et de l’article 14.5.b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
 
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une information relative :
à la réutilisation des données issues de la base Fideli sur les site web du Conseil national de l’information statistique et du Comité du secret ;
aux projets de recherche sur le site web du responsable de traitement du "Baromètre de Santé publique France".
 
Ces modalités d’information seront mises en œuvre avant la constitution des bases de données par l’INSEE permettant la réalisation du tirage au sort.
 
S’agissant des personnes tirées au sort :
 
Elles recevront une note d’information individuelle par voie postale ou électronique.
Toutes les notes d’information devront comporter l’ensemble des mentions prévues par l’article 13 du RGPD.
S’agissant des modalités d’exercice des droits :
 
S’agissant du droit d’opposition :
 
Conformément aux dispositions de l’article 74 de la loi "informatique et libertés", les personnes disposent du droit de s’opposer au traitement de leurs données à des fins de recherche dans le domaine de la santé.
 
Les personnes ayant refusé de participer au baromètre suite à la campagne d’information réalisée en amont du tirage au sort ne devront pas être contactées et leurs données ne pourront être traitées, y compris à des fins de redressement. Par ailleurs, les personnes s’opposant au traitement de leurs données au cours de l’étude ne devront pas être recontactées.
 
S’agissant du droit à l’effacement :
 
Conformément aux dispositions de l’article 17 du RGPD, le droit à l'effacement s'applique lorsque la personne concernée exerce son droit d'opposition et demande également l'effacement des données la concernant déjà collectées. Sous réserve d'une information préalable appropriée par le responsable de traitement, certaines données préalablement collectées peuvent cependant ne pas être effacées, si cette suppression est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs de la recherche.
 
Ces modalités d’exercice des droits seront clairement décrites dans les différentes notes d’information.
Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données du responsable de traitement pendant toute la durée des traitements.
Sur les catégories de destinataires des données
Des documents tenus à jour indiquent la ou les personnes compétentes pour le responsable de traitement et le sous-traitant permettant de délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personne habilitées et leurs droits d’accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement et ses sous-traitants.
S’agissant des accédants aux données pseudonymisées :
 
Les membres du personnel de l’ANSP auront accès aux données de santé pseudonymisées des participants afin de réaliser l’analyse des données pour les besoins du baromètre.
 
S’agissant des destinataires des autres données :
 
Les employés de la société IPSOS auront accès aux données administratives d’identification (les données nominatives ainsi que les coordonnées postales, électroniques et téléphoniques) et de santé des participants pour :
réaliser l’information des participants ;
assurer le suivi des inclusions et le recueil des données à travers la passation des questionnaires.
 
Les participants en sont informés. Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourront accéder aux données directement identifiantes.
 
Les courriers électroniques adressés aux participants ne devront révéler aucune information sur leur état de santé réel ou supposé.
 
Par ailleurs, les données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) des participants acceptant d’être recontactés pour des études ancillaires seront conservées afin de leur proposer de participer à des études ultérieures. Aux fins de confidentialité, ces données devront être conservées uniquement par la société IPSOS.
Sur la sécurité des données et la traçabilité des actions
Le dossier de demande mentionne que le traitement envisagé est conforme aux mesures de sécurité prévues dans la MR-004.
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique aux traitements envisagés. Celle-ci devra être mise à jour pour tenir compte des différentes phases du baromètre (et notamment le redressement des données), préciser les mesures techniques et organisationnelles ainsi que le plan d’action retenu.
 
Le responsable de traitement s’engage à ce que les serveurs internes utilisés soient conformes à l’état de l’art, notamment à des mesures de sécurité équivalentes aux exigences mentionnées dans le référentiel "entrepôt de données dans le domaine de la santé", pour constituer le baromètre.
 
Des espaces projets devront être prévus pour toute mise à disposition des données. Seules des données anonymes pourront faire l’objet d’export hors de ces espaces.
 
Si ces conditions ne sont pas réunies, aucune donnée du baromètre ne pourra être hébergée sur les serveurs internes du responsable de traitement. Les données seront alors consolidées, analysées et mises à disposition sur la plateforme du Centre d’accès sécurisé aux données (CASD).
 
Le responsable de traitement devra s’assurer du respect des exigences de sécurité à toutes les étapes des traitements opérés par les différents organismes participants, y compris pour les fiches papier.
Des pseudonymes aléatoires sont attribués aux participants. Ceux-ci seront dédiés à chaque typologie d’acteurs et distincts pour les différents flux de données. Toute table de correspondance devra être supprimée dans les meilleurs délais après consolidation de la base et génération de nouveaux pseudonymes aléatoires pour celle-ci. Pour toute mise à disposition, des pseudonymes dédiés à chaque espace projet devront être générés.
 
Les échanges de données seront réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Les algorithmes de chiffrement utilisés et les procédures de gestion des clés devront être conformes à l’annexe B1 du référentiel général de sécurité.
 
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5.1.f) et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. 
Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
 
Le responsable de traitement devra s’assurer que son prestataire IPSOS mette en œuvre les mesures de sécurité nécessaires pour protéger la base de données nominatives transmises par l’INSEE.
Sur les transferts hors Union européenne
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.
Sur la durée de conservation des données 
S’agissant des personnes refusant de participer au baromètre malgré son caractère obligatoire :
Leurs données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) devront être détruites au moment de leur refus.
 
S’agissant des données des personnes participant au baromètre et refusant d’être de nouveau contactées pour une étude ancillaire :
Leurs données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) seront détruites dans un délai de six mois après la collecte des données.
 
S’agissant des données des personnes participant au baromètre et acceptant d’être de nouveau contactées pour une étude ancillaire :
Leurs données administratives d’identification (nom, prénom, coordonnées téléphoniques, électroniques et postales) seront détruites par la société IPSOS dans un délai d’un an après la passation des questionnaires.
 
Les autres données du Baromètre de Santé publique France seront conservées en base active pour une durée de trente ans.
 
À l’issue de ce délai, les données seront archivées pour une durée de cinquante ans puis versées aux Archives nationales, conformément aux dispositions du code du patrimoine.
Eu égard aux caractéristiques du baromètre, ces durées de conservation des données n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e) du RGPD.
 
 
 
 
 
Autorise, conformément à la présente délibération, l’Agence nationale de santé publique à mettre en œuvre les traitements décrits ci-dessus pendant une durée de huit ans.
 
La Présidente
 
 
Marie-Laure DENIS
Délibération de la formation restreinte no SAN-2023-018 du 12 décembre 2023 concernant la commune X
 
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, vice-président, Mmes Isabelle LATOURNARIE-WILLEMS et Christine MAUGÜÉ ; MM. Alain DRU et Bertrand du MARAIS, membres ; 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 28 août 2023 ;
Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié à la commune X le 11 septembre 2023 ;
Vu la clôture de l’instruction notifiée à la commune le 23 octobre 2023 ;
Vu les autres pièces du dossier ;
Lors de la séance de la formation restreinte du 30 novembre 2023 :
- Était présente, Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;
- Etaient absents les représentants de la commune X […] régulièrement convoqués.
 
La formation restreinte a adopté la délibération suivante :
 
I. Faits et procédure
 
1. La commune X (ci-après " la commune "), est une collectivité territoriale de 25 000 habitants, située dans la collectivité territoriale unique de …, dont la mairie se trouve [...]
 
2. Par courrier du 2 juin 2021, dans le cadre des missions définies à l’article 8 de la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, la Présidente de la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a alerté la commune X sur l’absence de désignation d’un délégué à la protection des données (ou " DPD ") en son sein.
 
3. Ce courrier est resté sans suite de la part de la commune X (ci-après " la commune ").
 
4. Le 25 avril 2022, la Présidente de la CNIL a mis en demeure la commune, sous un délai de quatre mois à compter de la notification de cette décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de procéder à la désignation d’un DPD. Cette décision, rendue publique après délibération du bureau de la CNIL du 5 mai 2022, a été notifiée à la commune le 19 mai 2022 par lettre recommandée avec accusé de réception.
 
5. Cette mise en demeure est restée sans réponse de la commune qui n’a pas désigné de DPD.
6. Dans le cadre d’une procédure de sanction simplifiée, le président de la formation restreinte a prononcé, par décision du 8 février 2023, une amende à l’encontre de la commune d’un montant de cinq mille euros pour les manquements aux articles 31 et 37-1-a) du RGPD et une injonction de désigner un délégué à la protection des données dans un délai de trois mois suivant la notification de ladite décision, intervenue le 25 février 2023.
 
7. En l’absence de réponse de la commune et de désignation d’un DPD, la présidente de la Commission a, le 28 août 2023, désigné Madame Valérie PEUGEOT en qualité de rapporteure sur le fondement de l’article 39 du décret n°2019-536 du 29 mai 2019 modifié.
 
8. À l’issue de son instruction, la rapporteure a, le 13 septembre 2023, fait notifier à la commune un rapport détaillant les manquements aux articles 37-1-a) et 31 du règlement général sur la protection des données (ci-après " RGPD ") qu’elle estimait constitués en l’espèce. Elle proposait à la formation restreinte de prononcer un rappel à l’ordre et une injonction de désigner un délégué à la protection des données assortie d’une astreinte de cent cinquante euros par jour de retard à l’issue d’un délai de deux mois suivant la notification de la délibération et que cette décision soit rendue publique.
 
9. Par courrier du 19 octobre 2023, la rapporteure a informé la commune que l’instruction était close, en application de l’article 40, III, du décret modifié n° 2019-536 du 29 mai 2019.
10. Par courrier du 20 octobre 2023, la commune a été informée que le dossier était inscrit à la séance de la formation restreinte du 16 novembre 2023.
 
11. Par courrier du 9 novembre 2023, la commune a été informée que le dossier était reporté à la séance de la formation restreinte au 30 novembre 2023.
 
12. La rapporteure a été entendue lors de la séance de la formation restreinte du 30 novembre 2023. La formation restreinte a constaté l’absence de la commune qui n’était ni présente ni représentée.
 
II. Motifs de la décision
 
A. Sur le manquement à l’obligation de désigner un délégué à la protection des données en application de l’article 37, paragraphe 1, a) du RGPD
 
13. En droit, l’article 37, paragraphe 1, a) du RGPD dispose que " Le responsable du traitement et le sous-traitant désignent en tout état de cause un délégué à la protection des données lorsque : a) le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle […] ".
14. La formation restreinte rappelle l’importance du rôle du délégué à la protection des données devenu obligatoire au sein des autorités et organismes publics depuis l’entrée en application le 25 mai 2018 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. La désignation d’un délégué à la protection des données est essentielle pour assurer la conformité des organismes avec les dispositions du RGPD. 
 
15. La formation restreinte relève que les autorités publiques chargées de missions de service public traitent de nombreuses données à caractère personnel (données d’administrés, d’agents publics et d’élus) dont certaines sont des données sensibles et doivent particulièrement veiller à leur protection dans un contexte d’accroissement des attaques informatiques à l’encontre des organismes publics.
16. Le délégué à la protection des données est en charge, conformément à l’article 39 du RGPD, notamment d’informer et conseiller le responsable de traitement sur les obligations qui lui incombe, contrôler le respect du RGPD en procédant à l’analyse et la vérification des activités de traitement et faire office de point de contact pour l’autorité de contrôle sur les questions relatives aux traitements. En outre, le délégué à la protection des données constitue également le point de contact des personnes concernées, notamment les administrés, au sujet de questions relatives au traitement de leurs données à caractère personnel et à l’exercice des droits que leur confère le règlement conformément à l’article 38-4 du RGPD.
 
17. En l’espèce, il résulte de l’instruction que la commune n’a pas procédé à la désignation d’un délégué à la protection des données alors qu’elle y était tenue depuis le 25 mai 2018.
 
18. En conséquence, les faits précités constituent un manquement à l’article 37-1-a) du RGPD.
 
 
 
 
 
B. Sur le manquement à l’obligation de coopérer avec les services de la CNIL en application de l’article 31 du RGPD
 
19. En droit, l’article 31 du RGPD dispose que " le responsable du traitement et le sous-traitant ainsi que, le cas échéant, leurs représentants coopèrent avec l'autorité de contrôle, à la demande de celle-ci, dans l'exécution de ses missions ".
20. En l’espèce, la formation restreinte relève que la commune n’a pas répondu à la lettre de la Présidente de la CNIL du 2 juin 2021 l’invitant à désigner un délégué à la protection des données, pas plus qu’elle n’a répondu à la mise en demeure du 25 avril 2022 et à la décision du président de la formation restreinte du 8 février 2023 lui enjoignant de désigner un délégué à la protection des données dans un délai de trois mois suivant la notification de sa décision intervenue le 25 février 2023. 
 
21. Ainsi, la formation restreinte considère que la commune X, en s’abstenant de répondre à toutes les correspondances de la CNIL, a méconnu l’obligation prévue à l’article 31 du Règlement.
 
III. Sur les mesures correctrices et leur publicité
 
22. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
 
23. " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'Etat, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […] 
 
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".