AgentPublic/cnil huggingface dataset:
La Commission observe que, conformément aux recommandations qu'elle a formulées dans sa délibération n° 2021-098 du 2 septembre 2021, il est prévu d'intégrer au RNE des fonctionnalités permettant d'exercer ce droit d'opposition et d'identifier les données concernées pour informer les utilisateurs de l'opposition formée. En particulier, elle prend acte de ce que l'opposition du déclarant sera matérialisée soit lors de la déclaration par l'intermédiaire d'une case à cocher, soit postérieurement par l'envoi d'un formulaire à l'INPI. Elle souligne qu'en vue de faciliter, conformément aux articles 12 et 21 du RGPD, l'exercice des droits des personnes concernées, les déclarants devront être informés de la possibilité d'exercer à tout moment, y compris après la procédure de déclaration, leur droit d'opposition au traitement de leurs données à des fins de prospection, et que le formulaire prévu à cet effet devra être facilement accessible.
Sur les autres caractéristiques du RNE
Au-delà des caractéristiques du RNE décrites par le projet de décret, la Commission prend acte de ce qu'une circulaire établira les durées de conservation et de ce qu'un alignement des durées de conservation entre anciens registres et registres maintenus est envisagé.
Par ailleurs, elle rappelle avoir considéré, dans sa délibération n° 2021-098 précitée, qu'au regard de la nature des traitements envisagés, une analyse d'impact sur la protection des données (ci-après AIPD ) devrait être réalisée préalablement à la mise en œuvre des traitements, conformément aux articles 62 de loi du 6 janvier 1978 modifiée et 35 du RGPD. A cet égard, elle prend acte de ce que le ministère s'est engagé à réaliser une AIPD à l'échéance du quatrième trimestre 2022, ce qui ne permettra pas de mettre en œuvre le traitement avant cette date. Elle considère que la production de l'AIPD concomitamment à la publication du décret constitue une bonne pratique, à laquelle elle est favorable.
Enfin, la Commission observe que certaines dispositions du projet de décret sont en cours de rédaction et qu'elle n'a, de ce fait, pas été saisie de l'intégralité du texte. A cet égard, elle prend acte de ce qu'il s'agit de dispositions d'adaptation ou de suppression des registres existants qui n'impliquent pas le traitement de données à caractère personnel. La Commission regrette que ces dispositions d'adaptation ou de suppression n'aient pas été réalisées avant sa saisine pour avis.
Sur la modification des dispositions relatives au répertoire national mentionné à l'article R. 123-20 du code de commerce
En premier lieu, le projet de décret modifie l'article R. 123-222 du code de commerce pour ajouter, parmi les renseignements portés au répertoire SIRENE, l'indication selon laquelle l'adresse de l'unité légale correspond le cas échéant au domicile personnel de la personne physique ou du dirigeant de la personne morale ou du groupement.
La Commission prend note de ce que l'inscription de l'information de cette adresse de l'unité légale telle que précisée ci-dessus est une donnée à caractère personnel du chef d'entreprise qui doit être considérée comme telle au regard du droit d'opposition à la diffusion et du droit d'opposition à la réutilisation des données (à propos de l'exercice de ces droits, v. infra).
Par ailleurs, le projet de décret prévoit de modifier l'article R. 123-232 du code de commerce pour ajouter l'information selon laquelle l'adresse de l'unité légale correspond au domicile personnel aux données pouvant être communiquées aux autorités administratives et personnes morales de droit privé mentionnées par la même disposition. Si la Commission prend note de ce que cette information sera mise à disposition des administrations pour éviter d'interroger l'entreprise sur des données déjà disponibles au sein de l'administration, elle s'interroge néanmoins sur la nécessité de transmettre aux autorités administratives et personnes morales précitées cette information au regard, notamment, de la finalité de son inscription au registre telle que précisée par le ministère (identification d'une donnée à caractère personnel dans le cadre de l'exercice du droit d'opposition). Au regard de cette finalité, la Commission invite le ministère à s'assurer que cette information sera accessible au seul teneur du registre en sa qualité de responsable du traitement.
En deuxième lieu, le projet de décret prévoit d'ajouter au code de commerce un nouvel article R. 123-232-1 qui prévoit, en son premier alinéa, que l'INSEE pourra mettre à disposition des administrations les renseignements contenus dans le répertoire et ce, dans les conditions définies à la section 4 du chapitre IV du titre 1er du livre 1er du code des relations entre le public et l'administration (ci-après le CRPA). La Commission prend acte de ce que cette mise à disposition sera réalisée sous réserve que chaque administration indique le fondement juridique lui permettant d'utiliser les données en question.
En troisième lieu, les alinéas 2 à 4 du projet d'article R. 123-232-1 prévoient et délimitent les conditions d'exercice d'un droit d'opposition à la mise à disposition de ses données à des fins de prospection en application de l'article 21-2 du RGPD et d'un droit d'opposition à la mise à disposition de ses données pour des raisons tenant à sa situation particulière en application de l'article 21-1 du même règlement.
S'agissant d'une part du périmètre de ces droits, la Commission prend acte des précisions apportées par le ministère selon lesquelles le deuxième alinéa de l'article R. 123-232-1 prévoit un droit d'opposition à la réutilisation des données à caractère personnel à des fins de prospection, et de ce que l'exercice de ce droit conduira à ajouter aux données diffusées au sein du répertoire un marqueur à destination du public et des potentiels réutilisateurs. Dès lors que dans sa rédaction actuelle, le projet d'article prévoit un droit d'opposition à la mise à disposition de ces données à des fins de prospection, la Commission recommande de préciser cet article pour indiquer, conformément aux éléments ci-dessus évoqués, que le droit d'opposition s'exerce au regard de l'utilisation des données à caractère personnel à des fins de prospection, de telles données étant disponibles mais non utilisables. Enfin, elle prend acte de ce que l'article A. 123-96 du code de commerce, qui prévoit un droit d'opposition à l'utilisation des données à caractère personnel à des fins de prospection, sera mis en adéquation par un texte ultérieur.
Par ailleurs, le troisième alinéa du projet d'article R. 123-232-1 prévoit qu'une personne physique peut s'opposer à la mise à disposition de ses données pour des raisons tenant à sa situation particulière et, le cas échéant, que la mise à disposition des informations relatives à l'identité de cette personne sera limitée à l'identifiant au sein du répertoire et à la commune. La poursuite du traitement de ces dernières données vise, selon les éléments communiqués par le ministère, à faciliter les relations entre les entreprises et les tiers n'ayant pas accès aux données pour lesquels le droit d'opposition s'applique et, par là même, à permettre une connaissance de l'entreprise. A cet égard, la Commission rappelle que le traitement de données à caractère personnel auquel s'est opposé la personne concernée ne peut être poursuivi que s'il est démontré, conformément à l'article 21-1 du RGPD, qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice.
Enfin, la Commission prend note des précisions apportées par le ministère selon lesquelles l'exercice des droits d'opposition prive l'administration de pouvoir solliciter les informations concernées au titre de l'alinéa premier du même article R. 123-232-1 (v. supra, point 30). Elle relève néanmoins que les données mises à disposition des administrations dans les conditions définies par les articles précités du CRPA n'ont, conformément à ces derniers, pas vocation à être traitées à des fins de prospection. De manière générale, la Commission s'interroge sur l'insertion des dispositions relatives au droit d'opposition dans l'article R. 123-232-1, à la suite d'un premier alinéa ayant pour objet la mise à disposition des données aux administrations dans les conditions prévues par le CRPA, dans la mesure où ce droit aurait vocation à être exercé au regard tant des administrations que du public.
S'agissant d'autre part des modalités d'exercice de ces droits, la Commission relève que l'exercice du droit d'opposition ne sera assuré qu'à l'occasion de toute formalité de création, de modification et de cessation d'entreprise et par la mise à disposition d'une téléprocédure gratuite. A cet égard, elle rappelle que les personnes concernées devront être informées de la possibilité d'exercer à tout moment leur droit d'opposition au traitement de leurs données à des fins de prospection ou pour des raisons tenant à leur situation particulière (v. supra, point 23).
Sur la modification des dispositions relatives à l'organisme unique mentionné à l'article L. 123-33 du code de commerce
Le projet de décret modifie l'article R. 123-4 du code de commerce pour autoriser l'organisme unique à transmettre aux organismes destinataires des formalités d'entreprises le résultat de la consultation du RNIPP, laquelle vise à confirmer, pour les personnes physiques inscrites, le caractère identique des éléments déclarés à ceux figurant dans le répertoire.
Pour permettre cette transmission, le projet de décret modifie également le 6° du A de l'article 2 du décret du 19 avril 2019 précité.
A cet égard, la Commission prend acte de ce que la transmission du résultat de la consultation du RNIPP permettra d'alerter les organismes destinataires des formalités d'entreprises sur l'absence de concordance entre les éléments déclarés et ceux figurant au RNIPP.
Si la Commission a observé, dans sa délibération n° 2020-129 du 17 décembre 2020, que l'information relative au caractère identique ou non des éléments comparés serait transmise aux seuls organismes sociaux, elle relève aujourd'hui qu'il est également prévu de communiquer cette information aux autres organismes destinataires des formalités d'entreprises visés par l'annexe à l'article R. 123-30 du code de commerce lesquels pourront, en cas d'information sur une possible divergence, mettre en place des contrôles approfondis en lien avec les déclarants.
En tout état de cause, la Commission invite le ministère à prévoir les mesures nécessaires pour garantir que seul le résultat de la consultation du RNIPP sera transmis aux organismes destinataires de cette consultation prévue par l'article R. 123-4 du code de commerce.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par l'Agence nationale de la sécurité des systèmes d'information d'une demande d'avis concernant un projet de décret en Conseil d'Etat fixant les modalités de certification de moyens d'identification électronique ainsi que le cahier des charges permettant d'établir la présomption de fiabilité de ces moyens et un projet de référentiel d'exigences de sécurité pour les moyens d'identification électronique ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 32 ;
Sur la proposition de M. Claude CASTELLUCCIA, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) le 9 décembre 2021 d'une demande d'avis portant sur un projet de décret en Conseil d'Etat fixant les modalités de certification de moyens d'identification électronique ainsi que le cahier des charges permettant d'établir la présomption de fiabilité de ces moyens et un projet de référentiel d'exigences de sécurité pour les moyens d'identification électronique.
La Commission avait été saisie en 2018 par l'ANSSI d'un premier projet de décret fixant le cahier des charges du moyen d'identification électronique et d'un premier projet de référentiel définissant les exigences de sécurité associées au moyen d'identification électronique. Elle a rendu deux avis distincts à ce sujet le 17 janvier 2019 : délibérations n° 2019-005 et n° 2019-006. La Commission relève que ces projets n'ont pas été publiés. Elle prend acte des précisions apportées par l'ANSSI selon lesquelles les présents projets de décret et de référentiel s'inscrivent dans la lignée de la précédente saisine à laquelle ils apportent quelques modifications.
La Commission accueille favorablement la prise en compte par l'ANSSI de la plupart des observations formulées en 2019, notamment au sujet du principe de minimisation des données à caractère personnel et de la possibilité pour les personnes concernées d'exercer leurs droits.
La Commission rappelle qu'en matière d'identification électronique, le règlement (UE) 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 susvisé, dit règlement e-IDAS , fixe un cadre de référence à l'échelle européenne. Elle rappelle également que la loi n° 2016-1321 pour une République numérique, puis l'ordonnance n° 2017-1426 relative à l'identification électronique et aux services de confiance pour les transactions électroniques, ont élaboré un régime juridique national de l'identité numérique, lequel figure désormais dans le code des postes et des communications électroniques (CPCE).
Dans un premier temps, l'article L. 102 du CPCE prévoit que la preuve de l'identité aux fins d'accéder à un service de communication en ligne peut être apportée par un moyen d'identification électronique. Cet article énonce en outre que ce moyen d'identification est présumé fiable jusqu'à preuve du contraire lorsqu'il répond aux prescriptions du cahier des charges établi par l'ANSSI. La Commission relève que, dans ce contexte, le projet de décret qui lui est soumis pour avis fixe le contenu du cahier des charges précité et établit, au niveau élevé au sens du règlement e-IDAS, le niveau de garantie qu'un moyen d'identification électronique doit avoir pour être présumé fiable. Le projet de décret précise également le périmètre (niveaux substantiel et élevé ) et les processus de certification (de la délivrance à l'abrogation) des moyens d'identification électronique prévus par le CPCE en son article L. 102.
Dans un deuxième temps, le projet de référentiel soumis pour avis à la Commission précise les exigences du règlement d'exécution (UE) 2015/1502 du 8 septembre 2015 fixant les spécifications techniques et procédures minimales relatives aux trois niveaux de garantie des moyens d'identification électroniques visés à l'article 8, paragraphe 3, du règlement e-IDAS ( faible , substantiel et élevé ).
Ces éléments généraux rappelés, les projets de décret et de référentiel transmis appellent les observations suivantes.
A titre liminaire, la Commission prend note que le référentiel d'exigence rappelle que tout moyen d'identification électronique suppose un traitement de données à caractère personnel au sens de l'article 4-2 du RGPD et que la mise en œuvre d'un tel moyen d'identification doit, par sa conception et par défaut, respecter les principes essentiels en matière de protection des données à caractère personnel.
Sur les données traitées :
La Commission prend acte de l'engagement de l'ANSSI à préciser que des précautions particulières doivent être prises pour le traitement des données des personnes sous tutelle, dont le cas a été ajouté au projet de référentiel. Elle accueille favorablement cette précision, ainsi que la nécessité de réaliser une analyse d'impact relative à la protection des données à caractère personnel (AIPD) dans ce cas.
S'agissant de la vérification de l'identité lors de l'enrôlement, le présent projet de référentiel indique que celle-ci peut se faire en face à face physique ou à distance. Dans ce second cas, le projet de référentiel fait référence au référentiel de l'ANSSI applicable aux prestataires de vérification de l'identité à distance (dit PVID ).
Les exigences relatives à la sécurisation du traitement des données biométriques sont limitées à celles détaillées dans le référentiel PVID pour les seuls prestataires de vérification à distance et à une obligation de sécurisation d'ordre général. Dans ce contexte, la Commission considère que les exigences décrites dans le référentiel PVID pourraient être appliquées à tous les prestataires amenés à traiter ces données.
La Commission rappelle que l'article 9-1 du RGPD pose un principe d'interdiction du traitement de certaines catégories de données dites sensibles , parmi lesquelles figurent les données biométriques. L'article 9-2 du RGPD précise quant à lui que l'interdiction précitée peut être écartée dans certains cas, notamment lorsque (a) la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques ou (g) lorsque le traitement est nécessaire pour des motifs d'intérêt public importants . La Commission prend acte de l'engagement de l'ANSSI de préciser dans le référentiel que si un traitement de données biométriques du demandeur est réalisé, il doit être justifié par le respect de l'une des conditions prévues à l'article 9.2 du RGPD.
Enfin, la Commission prend note de l'engagement de l'ANSSI à faire apparaitre explicitement l'interdiction de conservation d'empreintes digitales et l'exigence, pour le stockage d'image ou de copie complète de document d'identité, de mettre en œuvre des mesures garantissant un haut niveau de confidentialité.
Sur les droits des personnes :
La Commission relève que l'ANSSI s'engage à ce que le projet de référentiel prévoit que l'utilisateur du moyen d'identification électronique devra disposer de l'ensemble des droits prévus par l'article 15, 16, 17, 18, 20 et 21 du [RGPD], sous réserve d'incompatibilité avec les autres exigences applicables au titre du présent référentiel (par exemple, l'exercice par l'utilisateur de son droit de rectification ou de suppression ne doit pas affecter les données archivées pour des raisons de résolution des litiges). .
La Commission prend acte des précisions apportées par l'ANSSI relatives au droit à la rectification de données d'identité. Notamment il est précisé que lorsqu'une telle demande est formulée, l'ancienne identité ne sera pas corrigée dans l'archive enregistrée préalablement à cette demande mais que cette demande de correction sera archivée. Elle souhaite que les précisions apportées par l'ANSSI au sujet de l'exercice du droit de rectification soient intégrées au projet de référentiel.
Sur les durées de conservation des données :
La Commission relève que s'agissant des durées de conservation des données à caractère personnel contenues dans tous les types de moyens d'identification électronique, le projet de référentiel prévoit que les informations, en particulier celles utilisées aux fins de la non-répudiation, seront conservées pour une durée de six ans à compter de la dernière utilisation pour les moyens d'identification électronique visant le niveau de garantie substantiel ou élevé , ou d' un an à compter de la dernière utilisation pour les moyens d'identification électronique visant le niveau de garantie faible . Le référentiel précise par ailleurs que les informations seront détruites lors du processus de renouvellement ou de remplacement du moyen d'identification électronique, ce qui assure que seul le dernier dossier de preuve relatif à l'individu soit conservé.
La Commission comprend que cette formulation allonge le délai de conservation des données pour les moyens d'identification électronique de niveau substantiel et élevé, délai qui pourrait aller jusqu'à onze ans à compter de la délivrance du moyen d'identification électronique dans l'éventualité où le dossier de preuve serait créé dès l'édition du moyen d'identification électronique.
Si la Commission entend qu'une durée de conservation longue soit nécessaire, elle reste réservée sur la proportionnalité d'une telle durée de conservation des données à caractère personnel. Elle relève notamment que pour la journalisation de données dans des cas similaires, une durée de conservation de 3 ans après les faits avait pu être observée.
Sur les mesures de sécurité :
La Commission rappelle que, s'agissant des traitements pouvant être susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques, une AIPD doit être réalisée et, le cas échéant, lui être transmise si un risque résiduel élevé est identifié à l'issue de l'AIPD, conformément à l'article 36 du RGPD. A cet égard, elle souhaite que la rédaction du paragraphe afférant au sein du projet de référentiel soit modifiée en ce sens.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant un projet de décret relatif à l'accès aux données non identifiantes et à l'identité du tiers donneur pris en application de l'article 5 de la loi n° 2021-1017 du 2 août 2021 relative à la bioéthique ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ;
Vu l'article 5 de la loi n° 2021-1017 du 2 août 2021 relative à la bioéthique ;
Vu le code de la santé publique ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
ETANT RAPPELES LES ELEMENTS DE CONTEXTE SUIVANTS :
L'article 5 de la loi n° 2021-1017 du 2 août 2021 relative à la bioéthique (loi relative à la bioéthique) permet à toute personne conçue par assistance médicale à la procréation (AMP) avec tiers donneur, si elle le souhaite, d'accéder à sa majorité à l'identité, aux données non identifiantes du tiers donneur ou à l'ensemble de ses informations. Seront concernées par ce dispositif les catégories de personne suivantes :
les personnes nées d’une AMP avec tiers donneur ;
les bénéficiaires d’une AMP avec tiers donneur ;
les tiers donneurs, pour lesquels une sous-distinction peut être opérée entre :
	
les tiers donneurs qui n’étaient pas soumis aux dispositions de la loi relative à la bioéthique au moment de leur don (anciens tiers donneurs). Pour ceux-ci, il est prévu un dispositif leur permettant de consentir ou non à la transmission de leurs données aux personnes nées d’une AMP ;
et les tiers donneurs soumis aux dispositions de la nouvelle loi bioéthique au moment de leur don (nouveaux tiers donneurs).