AgentPublic/cnil huggingface dataset:
La transmission des images en temps réel ne peut être réalisée que par l'agent porteur de la caméra. Aucun déclenchement de la transmission en temps réel des images ne peut être opéré à distance.
Les "personnels impliqués dans la conduite de l'intervention" sont présents au sein du poste de commandement et les responsables du service de police municipale. Les "personnels impliqués dans l'exécution" de l'intervention interviennent sur le terrain.
Le ministère indique qu'une doctrine d'emploi ministérielle destinée aux communes précisera les conditions dans lesquelles la transmission en temps réel des images est nécessaire. Des critères objectifs devraient être toutefois déterminés dans le projet de décret permettant d'apprécier les situations dans lesquelles la transmission en temps réel des images est nécessaire. Les situations où la sécurité des agents ou la sécurité des biens et des personnes est menacée devraient être limitées à des risques d'atteintes graves.
En second lieu, le II du projet d'article R. 241-11 du CSI prévoit que, dans le cadre d'une procédure judiciaire ou d'une intervention, les agents auxquels les caméras individuelles sont fournies peuvent avoir accès directement aux enregistrements auxquels ils procèdent afin de faciliter la recherche d'auteurs d'infractions, la prévention d'atteintes imminentes à l'ordre public, le secours aux personnes ou l'établissement fidèle des faits lors des comptes rendus d'interventions.
Les termes utilisés au II du projet d'article R. 241-11 du CSI constituent une reprise de ceux utilisés à l'article L. 241-2 du CSI.
Le ministère indique qu'une doctrine d'emploi ministériel précisera les conditions dans lesquelles l'accès direct aux images par les agents porteurs de caméras peut avoir lieu. Des critères objectifs devraient être toutefois déterminés dans le projet de décret permettant d'apprécier les situations dans lesquelles un tel accès direct est nécessaire.
En outre, le ministère a indiqué qu'au regard des circonstances nécessitant le déclenchement de la caméra, il est préférable que le chef de service soit présent lors de l'accès direct aux images par l'agent porteur de caméra. Cette précision opérationnelle figurera dans la doctrine d'emploi.
Par ailleurs, dans sa décision n° 2021-817 DC du 20 mai 2021, le Conseil constitutionnel a considéré que l'article L. 241-2 du CSI ne saurait s'interpréter que comme impliquant que soient garanties, jusqu'à leur effacement, l'intégrité des enregistrements réalisés ainsi que la traçabilité de toutes leurs consultations. Le projet de décret rappelle ces obligations, qui devront faire l'objet d'une attention particulière lors de la mise en œuvre de ces textes
Sur la durée de conservation des données :
L'article 5 du projet de décret modifie la durée de conservation des données afin de prendre en compte l'article 14 de la loi n° 2022-052 du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure. Les données sont désormais conservées pendant un délai d'un mois à compter du jour de leur enregistrement.
L'analyse d'impact relative à la protection des données (AIPD) cadre mentionne à plusieurs reprises que les données sont conservées six mois. La Commission prend acte de ce que l'AIPD a été modifiée afin de réduire la durée de conservation des données à un mois pour se conformer à la loi précitée.
Sur les catégories d'accédants et de destinataires :
L'article 4 du projet de décret précise les personnes qui pourront accéder aux enregistrements du traitement ou en être destinataires.
S'agissant des accédants, la Commission prend acte de ce que le 2° du I de l'article R. 241-12 du CSI a été modifié afin de préciser le responsable concerné. Le 1° de l'article précité ne mentionne en effet pas ce terme.
Sur l'information des personnes :
L'article L. 241-2 du CSI a organisé un régime particulier, en prévoyant une information orale, sauf si les circonstances l'interdisent, au moment du déclenchement de l'enregistrement, complétée d'une information générale du public sur l'emploi de ces caméras individuelles. Le décret prévoit que cette information est donnée sur le site web de la commune ou, à défaut, par voie d'affichage en mairie. Cette information générale devra fournir tous les renseignements mentionnés à l'article 104 de la loi informatique et libertés .
Le Conseil constitutionnel, dans sa décision du 20 mai 2021 précitée, a relevé que si l'article L. 241-2 du CSI permet que le déclenchement de l'enregistrement puisse, par exception, ne pas faire l'objet de cette information lorsque "les circonstances l'interdisent" , ces circonstances recouvrent les seuls cas où cette information est "rendue impossible pour des raisons purement matérielles et indépendantes des motifs de l'intervention ".
Le projet de décret devrait comporter les critères repris de la décision du Conseil constitutionnel permettant de définir les circonstances permettant d'interdire d'informer les personnes concernées, qui pourraient être ensuite précisés dans la doctrine d'emploi élaborée par le ministère.
Sur l'appréciation sur la sécurité des systèmes d'information :
L'AIPD transmise décrit un cadre très souple et peu clair quant aux éléments effectivement demandés pour que les responsables de traitement locaux aient l'autorisation de mettre en œuvre le traitement. En l'état, cette AIPD cadre ne permet pas de comprendre à quelles obligations de sécurisation ils sont soumis.
Si la Commission entend le besoin d'une certaine souplesse dans la mise en œuvre de ces traitements, laisser une marge d'appréciation trop grande en termes de mesures de sécurité à ces responsables de traitement pourrait se révéler très problématique. En effet, ces responsables de traitement (c'est-à-dire les chefs de service de police municipale ou directeurs de police municipale, maires ou présidents de l'établissement public de coopération intercommunale dans le cadre de l'autorité prévue au V de l'article L. 5211-9-2 du code général des collectivités territoriales) n'ont pas nécessairement les capacités techniques ou les moyens de mener une étude de la menace et des solutions techniques pertinentes pour y faire face. Dans un but d'accompagnement de ces derniers, la CNIL considère donc comme indispensable d'être le plus précis et complet possible dans l'AIPD cadre.
Ainsi, il apparaît problématique que cette AIPD cadre n'inclue pas (et laisse donc explicitement à la charge des responsables de traitements locaux) la définition d'éléments :
quant aux solutions techniques permettant de garantir la bonne association des métadonnées aux flux vidéo captés (identification de l'agent porteur lors de la captation, horodatage, géolocalisation, etc.) ;
quant aux solutions techniques de chiffrement des contenus et de protection contre la suppression sur les caméras elles-mêmes ;
quant aux solutions techniques permettant de signer les contenus extrait des caméras et de protéger contre des déchargements (et suppression) sur des postes non autorisés ;
relatifs à la mise en œuvre technique du cas d'usage de la consultation temps réel (diffusion via un serveur ou de pair à pair, interface et terminaux autorisée pour la consultation, etc.) si ce n'est la simple présence d'un chiffrement ;
quant à l'usage de contrôle d'intégrité opéré sur les données stockées, par exemple en calculant une empreinte des données avec une fonction de hachage conforme à l'annexe B1 du référentiel général de sécurité ;
quant à la réalisation systématique de sauvegardes et de test de restauration ;
relatifs à la protection technique contre une suppression avant échéance et de restriction des droits utilisateurs en termes de suppression ;
relatifs aux modalités de transmissions des contenus extraits, notamment en termes de chiffrement.
En tout état de cause, les seuls éléments présents ne permettent pas de garantir une mise en œuvre systématiquement sécurisée du traitement.
Concernant la journalisation, et en raison de de la gravité et de la vraisemblance du risque pour les personnes en cas de détournement des finalités du traitement ou suppression avant échéance des enregistrements, la durée de conservation de trois années apparait proportionnée. En effet, cette journalisation participe par sa capacité dissuasive à la sécurité du traitement. Cependant, pour garantir l'intégrité des données de journalisation, la Commission recommande d'inclure dans l'AIPD cadre, des exigences relatives à la limitation des droits des agents en écriture et suppression sur ces données de journalisation. Il est de plus nécessaire qu'une analyse des données de journalisation soit prévue. La mise en œuvre d'un mécanisme proactif de contrôle automatique des données de journalisation contribue à la sécurité du traitement par la génération automatique d'alertes.
Sur les transferts de données hors de l'Union européenne :
Il ressort de l'AIPD cadre que les données enregistrées dans les traitements peuvent faire l'objet d'un transfert de données en dehors de l'Union européenne (UE), en cas de recours à un sous-traitant étranger, lorsque celui-ci garantit un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux des personnes à l'égard du traitement dont ces données font l'objet ou peuvent faire l'objet.
En outre, dans le cadre de la coopération judiciaire, les images pourraient être transmises à des pays tiers hors UE, dans le cadre d'Interpol, mais également dans le cadre d'échanges bilatéraux. Selon le ministère, les outils de coopération policière internationale, notamment par le biais des bureaux centraux nationaux permettent le transfert des données à l'international grâce à des messageries sécurisées.
La Commission rappelle que les transferts de données vers des Etats n'appartenant pas à l'UE ne pourront être opérés que sous réserve du respect des conditions énoncées à l'article 112 de la loi du 6 janvier 1978 modifiée. Le cas échéant, il conviendra notamment que des garanties appropriées en matière de protection des données à caractère personnel soient fournies par un instrument juridiquement contraignant. En l'absence de décision d'adéquation adoptée par la Commission européenne ou de garanties appropriées, et par dérogation à l'article 112 précité, de tels transferts ne pourront alors être réalisés que sous réserve de respecter les conditions énoncées à l'article 113 de la loi du 6 janvier 1978 modifiée.
Les autres aspects du projet n'appellent pas, de la part de la Commission, d'observation supplémentaire.
Estime, quant aux conditions de mise en œuvre :
Sur les aspects de sécurité :
En premier lieu, concernant les mots de passe, au-delà de la simple mention de ceux-ci dans l'AIPD cadre, il est nécessaire de mettre en œuvre une politique de mots de passe conforme à la délibération de la CNIL n° 2017-012 du 19 janvier 2017.
En second lieu, concernant l'utilisation des images à des fins pédagogiques après anonymisation, il est nécessaire que l'anonymisation soit effective. Le responsable de traitement doit donc réaliser une analyse permettant de démontrer que ses processus d'anonymisation respectent les trois critères définis par l'avis 05/2014 du groupe de travail de l'article 29 (G29) du 10 avril 2014. A défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit être menée.
Sur la qualité d'acte réglementaire unique du projet de décret et la réalisation d'une AIPD cadre :
Le projet de décret constitue un acte réglementaire unique, au sens du IV de l'article 31 de la loi du 6 janvier 1978 modifiée.
Lorsque la Commission est saisie d'une demande d'avis portant sur un "acte réglementaire unique" qui, en application du IV de l'article 31 de la loi du 6 janvier 1978 modifiée, n'autorise pas un traitement particulier mais la mise en œuvre de traitements qui "répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires" ou catégories de destinataires , l'AIPD ne doit pas porter sur un ou plusieurs traitements particuliers envisagés au moment de la saisine mais évaluer les risques et déterminer les catégories de mesures de nature à les maîtriser pour l'ensemble des traitements autorisés par le projet et susceptibles d'être mis en œuvre après son entrée en vigueur, chaque traitement ne faisant ensuite l'objet que de l'envoi d'un "engagement de conformité" à la Commission, comme le prévoit le projet d'article R. 241-16 du CSI. Cette AIPD d'ensemble ou cadre (voir CE, int., 8 janvier 2019, n° 396340) peut, le cas échéant, être complétée par des AIPD relatives à des traitements spécifiques qui auraient été réalisées à la date de la saisine.
Une seule et même AIPD portant sur un ensemble d'opérations de traitement similaires (AIPD cadre ) a été transmise à la Commission, conformément à l'article 90 de la loi du 6 janvier 1978 modifiée.
Sur l'établissement d'un rapport sur l'emploi des caméras individuelles :
Le projet d'article R. 241-17 du CSI prévoit la réalisation d'un rapport sur l'emploi des caméras individuelles par le maire ou, le cas échéant, l'ensemble des maires concernés au préfet de département et, dans le département des Bouches-du-Rhône, au préfet de police des Bouches-du-Rhône. Une synthèse de ces rapports est transmise tous les vingt-quatre mois par le préfet au ministère de l'intérieur.
Le ministère a indiqué que ces documents pourront être transmis à la Commission dans le cadre de ses pouvoirs prévus par la loi du 6 janvier 1978 modifiée, si celle-ci en fait la demande.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par RESILIENCE SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un entrepôt de données dans le domaine de la santé ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 44-3° et 66-III ;
Vu la délibération n° 2021-118 du 7 octobre 2021 portant adoption d’un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d’entrepôts de données dans le domaine de la santé ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société RESILIENCE, société par actions simplifiées (RESILIENCE)
Sur les points de non-conformité au référentiel concerné
La Commission prend acte de ce que le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel entrepôt de données dans le domaine de la santé , à l’exception :
des finalités poursuivies ;
de la base légale du traitement ;
de la gouvernance de l’entrepôt ;
des sources des données collectées ;
des mesures de sécurité.
En dehors de ces exceptions, ce traitement devra en conséquence respecter le cadre prévu par le référentiel entrepôt de données dans le domaine de la santé .
Sur la finalité et la base légale du traitement
Le traitement envisagé a pour finalité de constituer un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé Resilience Data Warehouse .
Ce dernier vise à :
réaliser des analyses sur le pilotage médical pour l’optimisation de l’organisation des soins ;
développer, faire fonctionner et améliorer en continu un dispositif médical d’aide à la décision et à la prise en charge médicale ;
réaliser des études de faisabilité (pré-screening) ;
réaliser des recherches, études ou évaluations n’impliquant pas la personne humaine en oncologie ;
réaliser l’évaluation clinique du dispositif médical d’aide à la décision et à la prise en charge médicale conformément au règlement (UE) n° 2017-745 du 5 avril 2017 relatif aux dispositifs médicaux.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
La Commission prend acte de ce que RESILIENCE SAS s’engage à :
ne pas traiter les données de l’entrepôt à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé, ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d'un individu ou d'un groupe d'individus présentant un même risque ;
communiquer un rapport annuel à la Commission sur le fonctionnement de ce traitement et sur les recherches, études ou évaluations en cours ou finalisées.
La Commission estime qu’il y a lieu de faire application des dispositions de l’article 44-3° et 66-III de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après, loi informatique et libertés modifiée), qui soumettent à son autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Enfin, la Commission rappelle que les utilisations futures des données contenues dans cet entrepôt s’inscrivant dans le cadre des dispositions des articles 66 et 72 et suivants de la loi informatique et libertés modifiée, qui imposent que chaque traitement soit justifié par l’intérêt public et fasse l’objet de formalités propres.
Sur la base légale du traitement
Le traitement envisagé a pour base légale l’intérêt légitime, au sens de l’article 6-1-f du RGPD.
Le traitement de données sensibles est nécessaire aux fins de recherche scientifique (art. 9.2.j du RGPD) et de garantie des normes élevées de qualité et de sécurité des dispositifs médicaux, sous réserve qu’il soit fondé sur une disposition nationale ou européenne (art. 9-2-i du RGPD).
Sur la gouvernance
La Commission relève que le responsable de traitement a mis en place un dispositif de gouvernance de l’entrepôt Resilience Data Warehouse afin de maîtriser l’exploitation qui en sera faite dans le respect des finalités déclarées et de l’intérêt public. Ce dispositif est composé des trois comités suivants :
le comité data (ou comité de pilotage), chargé de définir les utilisations possibles des données collectées dans l'entrepôt ;
le comité patient, chargé avec le comité scientifique et éthique de valider la feuille de route de Resilience sur le choix des fonctionnalités produit , les aires thérapeutiques à couvrir et la validité médicale des résultats issus des futurs algorithmes ;
le comité scientifique et éthique, chargé avec le comité patient de valider la feuille de route de Resilience sur le choix des fonctionnalités produit , les aires thérapeutiques à couvrir et la validité médicale des résultats issus des futurs algorithmes. Le comité scientifique et éthique est en outre préalablement consulté sur la pertinence de chaque recherche menée dans le cadre de l'entrepôt de données de santé.
Sur les données traitées
L’entrepôt regroupera les données produites à travers l’usage de l’application Resilience Care et de l’outil de télésurveillance Oncolaxy.
Les données relatives aux patients :
données d’identification : âge et genre ;
données de santé : type de cancer, date des premier et dernier diagnostics, symptômes, données sur les traitements des dernières années et en cours, effets secondaires, stade du traitement, statut d’activité (arrêt maladie, mi-temps thérapeutique, en activité), statut ménopausiques ;
données relatives à la vie personnelle : poids, taille, vie sexuelle.
Ces données seront pseudonymisées avant leur intégration dans l’entrepôt et le NIR ne sera pas collecté.
Les données relatives aux professionnels de santé ne seront pas collectées.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
Seuls les membres du personnel de RESILIENCE auront accès aux données de l’entrepôt.
Sur les mesures de sécurité
La Commission prend acte de ce que les mesures de sécurité planifiées ou mises en place par le responsable de traitement visent à garantir la conformité de Resilience Data Warehouse aux exigences de sécurité mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Elle relève que les mesures planifiées font l’objet d’un plan d’action concernant notamment :
la finalisation de la génération des identifiants patient ;
l’implémentation des mécanismes d’anonymisation des exportations via des procédés de confidentialité différentielle et une agrégation d’au moins 100 patients ;
la mise en place d’une analyse proactive des traces techniques.
La Commission rappelle que le traitement ne pourra pas être mis en œuvre avant la finalisation du plan d’action.
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondront alors aux exigences prévues par les articles 5,1, f) et 32 du règlement général sur la protection des données compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Sur les transferts de données
La mise en œuvre de cet entrepôt n’entraîne pas le transfert de données à caractère personnel hors de l’Union européenne.
Sur la durée de conservation
Les données à caractère personnel seront conservées pendant 15 ans à compter de leur collecte dans le Resilience Data Warehouse .
Les traces et journaux techniques seront conservés pendant sept jours.
Une procédure d’alerte automatisée en cas de dépassement de la durée de conservation sera mise en place.
A l’issue de ce délai les données sont supprimées.
La Commission considère que ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise, conformément à la présente délibération, la société RESILIENCE SAS à mettre en œuvre, dans ces conditions et conformément à son plan d'action, un traitement de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé dénommé Resilience Data Warehouse pour une durée de quinze ans.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret portant création d'un traitement automatisé de données à caractère personnel relatif à la centralisation des informations pour la coordination des acteurs de la sécurité intervenant dans les réseaux de transport en commun de voyageurs en Ile-de-France ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31-II et son titre III ;
Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après la Commission ) a été saisie par le ministère de l'intérieur d'un projet de décret portant création d'un traitement automatisé de données à caractère personnel relatif à la centralisation des informations pour la coordination des acteurs de la sécurité intervenant dans les réseaux de transport en commun de voyageurs en Ile-de-France ( "SI CCOS" ).