AgentPublic/cnil huggingface dataset:
Elle rappelle que les conditions d’accès à des données individuelles non anonymisées, figurant dans les questionnaires des enquêtes statistiques des services publics et ayant trait à la vie personnelle et familiale et, d'une manière générale, aux faits et comportements d'ordre privé sont prévues par l'article 6 de la loi n° 51-711 du 7 juin 1951 modifiée ainsi que par l'article 17 du décret n° 2009-318 du 20 mars 2009 susvisé. Ces données ne peuvent faire l'objet d'aucune communication de la part des services dépositaires avant l'expiration d'un délai de soixante-quinze ans suivant la date de réalisation de l'enquête ou d'un délai de vingt-cinq ans à compter de la date du décès de l'intéressé, si ce dernier délai est plus bref, " sauf décision de l'administration des archives, prise après avis du comité du secret statistique et relative à une demande effectuée à des fins de statistique publique ou de recherche scientifique ou historique ".
 
Elle prend acte que les procédures d’accès aux dites données via le CASD et le réseau Quételet PROGEDO est conforme aux dispositions légales applicables en matière de statistique publique.
 
La Commission observe que différents niveaux de pseudonymisation existent selon les destinataires. Elle rappelle, à toutes fins utiles, que la réutilisation éventuelle de données à caractère personnel devra s’effectuer dans le respect de la réglementation applicable en matière de protection des données.
La Commission relève par ailleurs que les différents supports d’information utilisés dans le cadre de l’enquête font référence à " l’anonymisation des données mises à disposition des chercheurs ". À cet égard, elle rappelle que conformément à l’avis 05/2014 du groupe de travail " article 29 " sur la protection des données sur les techniques d’anonymisation, l’anonymisation est un processus technique irréversible garantissant que les données ne puissent plus permettre l’identification des personnes que ce soit par individualisation, corrélation ou inférence.
 
Dans la mesure où les fichiers précités ne réuniront pas les conditions rappelées ci-dessus pour présenter les garanties de l’anonymat et qu’ils seront à ce titre pseudonymisés, la Commission demande que les supports précités soient modifiés. 
 
Sur les durées de conservation 
 
En premier lieu, la Commission relève que les données directement identifiantes des personnes ayant donné leur accord lors de l’enquête TeO2 pour être recontactées dans le cadre de la réalisation des post-enquêtes qualitatives seront conservées par l’INED au plus tard jusqu’à la fin de l’année 2023, date butoir programmée pour leur réalisation. Ces données seront, en tout état de cause, supprimées à l’expiration de ce délai.
La Commission rappelle à cet égard que les données directement identifiantes des personnes n’ayant pas donné leur accord pour être recontactées devront être supprimées à l’issue de la passation du questionnaire dans le cadre de l’enquête principale ou de l’enquête 3G.
 
En deuxième lieu, la Commission relève que, compte tenu de la durée nécessaire à leur exploitation statistique par les responsables de traitement, le " fichier de production intermédiaire " comprenant les données brutes de la collecte desquelles sont soustraites les noms patronymiques et l’adresse des enquêtés sera conservé pendant cinq ans à compter de la collecte avant d’être versé aux archives nationales. 
 
Le " fichier d’étude ", le " fichier de production et de recherche " ainsi que le " fichier contextuel " précités seront également versés aux archives nationales au terme d’un délai de cinq ans à compter de la collecte des données. Une copie de ces fichiers sera conservée sans limite de durée par l’INED.
La Commission rappelle à titre général que, conformément au e) du 1) de l’article 5 du RGPD, les données collectées dans le cadre d’un traitement doivent être " conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ". Elle rappelle en outre que si " les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins de recherche scientifique ou à des fins statistiques ", une telle conservation doit être accompagnée de la mise en œuvre de " mesures techniques et organisationnelles appropriées afin de garantir les droits et libertés des personnes ".
En l’espèce, la Commission prend acte que les données ainsi conservées seront pseudonymisées, que leur stockage sera effectué sur des serveurs sécurisés et qu’une politique d’habilitation sera mise en place pour y accéder. Elle considère néanmoins que l’INED ne devrait conserver les données de l’enquête sans limitation de durée que dans la mesure où elles seraient par ailleurs anonymisées. Dans le cas contraire, l’INED devra déterminer une durée de conservation des données en base active au terme de laquelle il procèderait au versement de ces données aux archives de France conformément aux dispositions du code du patrimoine. Cette durée de conservation qui ne serait pas nécessairement chiffrée pourrait correspondre à la survenance d’un évènement spécifique tel que le renouvellement des données de l’enquête.
 
Sur la sécurité des données et la traçabilité des actions
Concernant le contrôle des accès logiques, la Commission prend acte que des profils d'habilitation sont prévus afin de gérer les accès aux données stockées dans les serveurs de l’INED en tant que besoin. Les habilitations sont gérées et distribuées uniquement par les membres du service informatique de l’INED, en fonction des demandes du responsable de l’enquête. Elle rappelle que les permissions d'accès doivent être attribuées pour une durée déterminée et limitée, après validation hiérarchique, qu’elles doivent être supprimées dès qu'un utilisateur n'est plus habilité et qu’une revue globale des habilitations attribuées doit être opérée régulièrement tout au long de la collecte des données ainsi que de la production des études statistiques. 
 
La Commission relève que les accès aux serveurs de l’INED sont contrôlés par un identifiant et un mot de passe. Elle rappelle à cet égard l’importance de s’assurer que les mots de passes utilisés répondent aux caractéristiques mentionnées dans le cadre de la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
Concernant le chiffrement, la Commission prend acte que les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Par ailleurs, les supports de stockage des postes nomades utilisés par les enquêteurs lors de la collecte auprès des personnes non-francophones sont chiffrés. Elle prend également acte de ce que le serveur de fichiers PETRUS et les plateformes de stockage et de calcul stockent les données de manière chiffrée. La Commission rappelle que les mécanismes de chiffrement employés doivent être conformes à l’état de l’art et au Référentiel général de sécurité (RGS). En ce qui concerne la gestion des clés cryptographiques utilisées dans les mécanismes de chiffrement, la Commission recommande d’adopter les règles listées dans l’annexe B2 du RGS. 
 
Concernant la sauvegarde, la Commission prend acte de l’existence d’un dispositif permettant une sauvegarde quotidienne et automatisée sur les serveurs, impliquant la sauvegarde des données du traitement. Les sauvegardes sont conservées dans les locaux de l’INED pendant une durée variable n’excédant pas dix-huit mois. Elle considère à cet égard que, dans la mesure que les données sont chiffrées en base, les sauvegardes devraient être aussi chiffrées.
Concernant les documents papier, la Commission prend acte des mesures prévues pour assurer la sécurité des versions papier des fiches-adresses, à savoir l’existence d’un local fermé à clé pour imprimer et scanner les fiches-adresses ainsi qu’une procédure de destruction sécurisée après le scan des documents.
 
Concernant la traçabilité, la Commission prend acte qu’une procédure de journalisation des accès aux applications et aux données est mise en œuvre au sein des serveurs de l’INED. Eu égard de la nature des données à caractère personnel, elle considère nécessaire d’inclure dans les journaux la référence des données accédées. La Commission rappelle en outre que la procédure de journalisation doit garantir que les traces ne soient pas altérées.
 
Dans ces conditions, la Commission considère les mesures de sécurité décrites par le responsable de traitement conformes à l'exigence de sécurité prévue par l'article 32 du RGPD. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. A cet égard, la Commission rappelle qu'il conviendra d'apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour régulière de l'analyse d'impact.
 
 
 
 
La Présidente
 
 
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre national de la recherche scientifique (CNRS) d’une demande d’avis concernant un projet de traitement automatisé de données à caractère personnel nécessaire à la réalisation d’une recherche sur les comportements et les attitudes liées au développement du djihadisme en France depuis le début des années 1990 ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code du patrimoine, notamment son article L. 213-3 ;
Vu le code de procédure pénale, notamment son article 801-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment le 6° de son article 44 ;
Vu le décret n° 82-993 du 24 novembre 1982 portant organisation et fonctionnement du Centre national de la recherche scientifique, notamment son article 2 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi
n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 116 ;
Vu la délibération n° 2017-012 du 19 janvier 2017 modifiée portant adoption d'une recommandation relative aux mots de passe ;
 
Vu la délibération n° 2020-040 du 2 avril 2020 portant avis sur un projet de traitement automatisé de données à caractère personnel nécessaire à la réalisation d’une recherche sur les comportements et les attitudes liées au développement du djihadisme en France depuis le début des années 1990 ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de Mme Benjamin TOUZANNE, commissaire du Gouvernement,
 
Émet l’avis suivant :
 
La Commission relève que le traitement envisagé a pour finalité de produire une analyse empirique et cumulative des comportements et attitudes liées au développement du djihadisme en France depuis le début des années 1990 jusqu’en 2020. Le traitement dont le responsable est le Centre national de la recherche scientifique (CNRS) sera mis en œuvre par le Centre de recherches Sociologiques sur le Droit et les Institutions Pénales (CESDIP). La recherche projetée vise à constituer, à partir des archives papiers des dossiers de procédure pénale relatifs au djihadisme, correspondant aux affaires correctionnelles ou criminelles définitivement jugées en première comme en seconde instance, archivés par le ministère de la Justice, la base de données la plus complète possible sur ces profils, les réseaux, les environnements et les contenus djihadistes.
Cette base de données devrait également permettre, grâce à sa mise à disposition via le Centre d’accès sécurisé aux données (CASD), la production d’une connaissance large des phénomènes de radicalisation terroriste, fondée sur des données considérées comme objectives par le responsable de traitement et la constitution d’un outil d'information et de décryptage qui puisse participer à la définition de politiques pénales en matière d'antiterrorisme. 
 
Le traitement projeté, qui poursuit des finalités déterminées, explicites et légitimes dans le domaine de la recherche scientifique, relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après le " RGPD ") et est mis en œuvre sur le fondement de l’article 6-1-e) du RGPD, à savoir " l’exécution d’une mission d’intérêt public ". 
 
Dans la mesure où il porte sur des données sensibles au sens de la réglementation, le traitement projeté doit faire l’objet d’un avis préalable de la Commission conformément aux dispositions de l’article 44-6 de la loi du 6 janvier 1978 modifiée, sans préjudice de l’obligation de formaliser le cas échéant la création du traitement par un acte réglementaire spécifique. 
 
La Commission rappelle qu’elle devra être tenue informée et saisie de toute modification substantielle affectant les caractéristiques du traitement et que l’analyse d’impact relative à la protection des données (AIPD) transmise devra le cas échéant faire l’objet d’une mise à jour.
La Commission relève que cette demande d’avis a été présentée par le CNRS à la suite de la délibération n°2020-040 du 2 avril 2020 susvisée, et est relative au même projet de recherche que celui visé par la délibération susvisée. Elle observe que la présente demande d’avis vise à tenir compte d’un certain nombre d’observations formulées dans le cadre de la délibération n°2020-040 du 2 avril 2020.
 
Dans ces conditions, le traitement projeté appelle les observations suivantes. 
 
 
Sur les données collectées et traitées 
 
En premier lieu, la Commission prend acte que seront traitées les données issues de la consultation de dossiers de procédure pénale et non des seuls jugements et arrêts. Interrogé sur le périmètre exact des données collectées, le CNRS a indiqué que le traitement de collecte concernerait uniquement les données à caractère personnel des personnes vivantes et décédées, condamnées en dernier ressort et après épuisement des voies de recours, dans le cadre des procédures pénales relatives au djihadisme contenant les qualifications NATINF suivantes : homicide volontaire, terrorisme, association de malfaiteurs, apologie de crime ou de délit. Elle rappelle qu’il reviendra au CNRS de mettre en œuvre l’ensemble des mesures permettant de s’assurer que seules les données issues de ces dossiers seront effectivement traitées sur la période des années 1990 à 2020.
Ainsi que précisé par le CNRS, la Commission relève que la mise à disposition des dossiers de procédure pénale aura nécessairement pour effet, en l’absence de tout dispositif d’occultation ou d’anonymisation des données relatives aux personnes mentionnées dans lesdits documents et autres que les personnes condamnées, de permettre leur consultation par l’équipe de recherche. Sont ainsi potentiellement concernés, et de manière non exhaustive, les victimes, les témoins, les experts ainsi que les professionnels de justice, mais aussi les autres personnes mentionnées par les précédentes. La Commission rappelle que tant l’extraction que la consultation constituent des traitements de données à caractère personnel au sens du 2 de l’article 4 du RGPD. Elle considère par ailleurs que d’autres données que les seules données d’identification directe, et notamment des données considérées comme sensibles au sens de l’article 9 du RGPD, sont susceptibles de figurer dans les dossiers de procédure pénale s’agissant notamment des victimes et des témoins. A cet égard, la Commission rappelle qu’il appartient au CNRS d’une part de tirer toutes les conséquences de la mise en œuvre ces traitements vis-à-vis des personnes concernées précitées, et d’autre part, dans la mesure où les données sont issues en partie des jugements et arrêts, de concilier les obligations prévues par le RGPD avec le cadre juridique propre à l’accès aux décisions de justice.
En deuxième lieu, si la Commission prend acte de ce que le CNRS n’entend plus traiter les données relatives à la " trajectoire de l’individu " ainsi que le " nom du conjoint ", elle relève que, s’agissant des personnes condamnées, seront traitées de nombreuses données à caractère personnel. Outre les données d’identification, les habitudes de vie, la situation familiale, la situation professionnelle, la scolarité et la formation, les revenus et la situation financière, les données concernées la santé (nombre et conclusion des expertises psychiatriques le cas échéant) le CNRS entend ainsi collecter plusieurs variables sociodémographiques relatives à la " vie personnelle " et à la " vie professionnelle " telles que le nombre d’enfants, de frères et sœurs, la position dans la fratrie, le fait d’avoir grandi dans une famille monoparentale, l’existence d’une prise en charge par l’aide sociale à l’enfance, la maitrise de la langue arabe et/ou d’une autre langue, la date d’apprentissage de ces langues, le nombre de partenaires connus, l’existence d’un mariage civil et/ou d’un ou plusieurs mariage(s) religieux, l’utilisation d’un pseudonyme, le pays de naissance des parents, la date d’arrivée en France pour les personnes concernées nées à l’étranger, la date de la naturalisation le cas échéant.
En troisième lieu, la Commission relève que si certaines des données traitées relèvent de la catégorie des données dites " sensibles " au sens de l’article 9 du RGPD, d’autres relèvent de la catégorie des données relatives aux condamnations pénales et aux infractions au sens de l’article 10 du RGPD. À cet égard, la Commission considère, au vu des missions octroyées au CNRS par le décret n° 82-993 susvisé, que ce dernier peut se prévaloir de l’exception prévue à l’article 46-1 de la loi n° 78-17 du 6 janvier 1978 modifiée pour traiter de telles données pour la finalité envisagée.
 
En dernier lieu, la Commission prend acte des précisions apportées par le CNRS selon lesquelles le traitement projeté ne fera l’objet d’aucune interconnexion, rapprochement ou toute autre forme de mise en relation.
 
Sur la nécessaire conciliation avec les dispositions du code du patrimoine
La Commission relève qu’indépendamment de ce qui précède, les archives publiques que constituent les dossiers de procédure pénale d’où seront issues les données, sont communicables de plein droit à l’issue de délais fixés à l’article L. 213-2 du code du patrimoine. L’article L. 213-3 de ce code prévoit que l’administration des archives peut octroyer aux personnes qui en font la demande l’autorisation de consulter des documents d’archives avant l’expiration de ces délais " dans la mesure où l'intérêt qui s'attache à la consultation de ces documents ne conduit pas à porter une atteinte excessive aux intérêts que la loi a entendu protéger " et " après accord de l’autorité dont émanent les documents ". Invité à préciser s’il avait obtenu une telle autorisation, le CNRS a indiqué que l’autorisation des archives visée à l’article précité nécessitait l’avis préalable de la Commission. Le CNRS a également précisé que le Parquet général de la Cour d’appel de Paris se proposait d’autoriser l’équipe de recherche à formuler la demande d’accès dérogatoire auprès des archives nationales, et souhaitait ainsi mettre à disposition des chercheurs le corpus des dossiers de procédure pénale. Pour ce qui relève de sa compétence et sans se prononcer sur la levée de secrets que pourraient éventuellement couvrir certaines données à caractère personnel et les intérêts que la loi a entendu protéger, la Commission rappelle que l’autorisation des archives devra être obtenue par le CNRS avant la mise en
œuvre du traitement.
S’agissant des données telles que la mention d’un enregistrement dans le Fichier des personnes recherchées (FPR) en tant que " fiché S ", d’un enregistrement dans le FSPRT, d’un enregistrement dans le Fichier national automatisé des empreintes génétiques (FNAEG) et/ou dans le traitement d’antécédents judiciaires (TAJ), ainsi que les dates de ces enregistrements, la Commission rappelle que l’accès ou la possibilité d’être rendu destinataire de ces données via ces fichiers sont strictement encadrés par les dispositions relatives à ces différents traitements spécifiques relevant pour la plupart d’entre eux de la responsabilité du ministère de l’intérieur. Elle relève que, dans ces dispositions, le CNRS ne figure ni à titre d’accédant ni à titre de destinataire des données des fichiers susmentionnés.
La Commission observe en outre que l’autorisation de l’administration des archives, si elle porte sur toutes les données contenues dans les dossiers de procédure pénale, y compris l’existence et la date d’une mention au FPR, l’existence et la date d’une mention au FSPRT, la mention d’une mention au FNAEG ou au TAJ, aura pour effet de permettre à l’équipe de recherche et, par la voie du droit d’accès, aux personnes concernées elles-mêmes d’avoir connaissance des données précitées qui font l’objet d’un encadrement spécifique. Elle rappelle que certaines des dispositions encadrant ces fichiers prévoient l’exercice indirect des droits par les personnes concernées et qu’à ce titre les données les concernant peuvent ne pas leur être communiquées. A cet égard, la Commission s’interroge sur les modalités de la conciliation des dispositions du code du patrimoine avec le cadre juridique relatif à la protection des données personnelles, et en particulier pour les données issues de ce type de fichiers. La Commission rappelle en tout état de cause le caractère particulièrement sensible des données figurant dans ces traitements, a fortiori ceux dispensés de publication ou intéressant la sûreté de l’Etat.
 
Sur les durées de conservation
Il résulte des précisions apportées par le CNRS que les données seront conservées en base active pendant une durée de deux ans après la collecte et que sera mise en œuvre à l’issue de cette période une procédure d’archivage dans le respect du code du patrimoine. 
 
La Commission considère que les données collectées sont conservées pendant une durée qui n’excède pas la durée nécessaire compte-tenu des finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.
 
Sur les destinataires des données
 
En premier lieu, la Commission relève que les destinataires de l’ensemble des données, y compris des données d’état-civil, d’identité et d’identification, seront les membres de l’unité de recherche du Centre de recherches Sociologiques sur le Droit et les Institutions Pénales (CESDIP). La Commission prend note des précisions du CNRS selon lesquelles l’accès à cette catégorie de données est nécessaire à l’ensemble de l’équipe de recherche, soit quatre personnes au maximum, pour l’analyse des trajectoires.