AgentPublic/cnil huggingface dataset:
En quatrième lieu, un dispositif numérique de suivi individualisé des personnes ne peut être mis en place qu’à titre de mesure complémentaire dans le cadre d’une réponse sanitaire globale. En ce sens, la Commission considère que l'utilisation d'applications de suivi des contacts ne saurait être une mesure autonome et appelle, sur ce point, à une vigilance particulière contre la tentation du solutionnisme technologique . Aussi, il revient au gouvernement d’évaluer l’ensemble des différentes actions à mettre en place, telles que la mobilisation de personnels de santé et des enquêteurs sanitaires, la disponibilité de masques et de tests, l’organisation des dépistages, les mesures de soutien, les informations et le service délivrés aux personnes qui auront reçu l’alerte, la capacité à les isoler dans des lieux adéquats, etc. Ce déploiement doit s’inscrire dans un plan d’ensemble.
Sur ce point, la Commission accueille avec intérêt les précisions apportées par le Secrétaire d’Etat chargé du numérique, qui lui a indiqué que l’usage de l’application est envisagé dans une approche intégrée à la stratégie sanitaire globale pilotée notamment par le ministère de la santé et des solidarités.
La Commission souligne que l’ensemble de ces précautions et garanties est de nature à permettre la confiance du public dans ce dispositif, qui constitue un facteur important de son effectivité.
Enfin, elle recommande que l’impact du dispositif sur la stratégie sanitaire globale soit étudié et documenté de manière régulière, afin que l’efficacité de celui-ci au cours du temps puisse être évaluée. Cela permettra aux pouvoirs publics de décider de manière éclairée son maintien ou non au regard, notamment, des principes de proportionnalité et de nécessité. La Commission recommande que ces analyses lui soient, le cas échéant, communiquées, afin de lui permettre d’exercer sa mission de contrôle de la conformité de la mise en œuvre du dispositif projeté.
La configuration de l’application
La Commission rappelle qu’elle ne se prononce que sur le principe du déploiement d’une application telle que celle décrite dans la saisine, dont les modalités précises pourraient, le cas échéant, évoluer. Elle souhaite cependant apporter dès à présent au Gouvernement les précisions suivantes.
 
La responsabilité du traitement
L'identification du responsable de traitement permet d'établir qui est responsable du respect des règles en matière de protection des données à caractère personnel. Compte tenu de la sensibilité des données collectées, la Commission est d'avis que le dispositif devrait être conçu de telle manière que le ministère chargé de la santé ou toute autre autorité sanitaire impliquée dans la gestion de la crise sanitaire puisse assurer la responsabilité de traitement.
 
Sur la nécessité de réaliser une analyse d’impact sur la protection des données
La Commission attire l’attention du gouvernement sur le fait que, comme tout traitement susceptible de présenter des risques élevés (données de santé, usage à grande échelle, suivi systématique, utilisation d'une nouvelle solution technologique), une analyse d'impact sur la protection des données (AIPD) devra être réalisée avant toute mise en œuvre d’un tel dispositif. La publication de l’AIPD est recommandée à des fins de transparence et au regard du contexte actuel.
Sur l’exactitude des données 
La Commission relève que, dans le protocole technique qui lui a été transmis, il est envisagé qu’on puisse introduire des faux positifs dans les notifications transmises aux personnes afin de limiter les risques de ré-identification dans certains types d’attaques. Elle considère que cette mesure ne peut ni ne doit être mise en œuvre, dès lors qu’elle aurait pour conséquence d’alerter faussement des personnes n’ayant pas eu de contact à risques, et qui seraient dès lors encouragées à se soumettre à des mesures de confinement volontaire consistant en une restriction auto-imposée de leurs libertés individuelles. Elle souligne que maintenir l’exactitude des données est une obligation légale impérieuse au titre du RGPD et de la loi Informatique et Libertés et qu’une telle mesure n’est pas envisageable, sous peine de remettre en cause la conformité du traitement au regard des textes applicables.
Sur la sécurité des données
La sécurité des données personnelles est une garantie indispensable, eu égard à la sensibilité de ce dispositif. Cette sécurité nécessite une prise en compte exhaustive des conditions de mise en œuvre du traitement et une amélioration continue des techniques, procédures et protocoles mis en place. Face au défi que représente la prise en compte de ces exigences dans un temps très court, la Commission attire l’attention du ministère sur ce point.
La Commission souligne que le présent avis s’appuie sur le corpus documentaire qui lui a été transmis, qu’il ne couvre pas l’ensemble des caractéristiques du traitement et que le protocole proposé est encore à ce jour en constante évolution. Elle estime néanmoins nécessaire d’attirer dès maintenant l’attention du Gouvernement sur les quatre points suivants.
En premier lieu, la Commission relève que le dispositif envisagé comprend un serveur chargé de la centralisation des identifiants des personnes exposées. Afin d’apporter les garanties les plus élevées possibles contre tout détournement de finalité lié à ce choix, elle estime nécessaire que des mesures de sécurité organisationnelles et techniques de très haut niveau soient mises en place, en accord avec un modèle de sécurité adapté prenant en compte tout acte malveillant. A ce titre, elle attire l’attention sur les clés de chiffrement permettant l’accès aux identifiants des personnes concernées, qui pourraient par exemple être protégées via des modules de sécurité matériels, ainsi que des tiers de confiance indépendants.
En deuxième lieu, la Commission estime nécessaire que des mesures soient mises en œuvre à la fois dans le serveur central et dans l’application pour éviter de pouvoir recréer un lien entre ces pseudonymes temporaires et des informations spécifiques au terminal liées à la technologie Bluetooth (comme le nom de l’équipement mobile ou son adresse MAC) permettant d’identifier les utilisateurs.
En troisième lieu, la Commission rappelle que seuls des algorithmes cryptographiques à l’état de l’art doivent être mis en œuvre, afin d’assurer l’intégrité et la confidentialité des échanges. Elle relève à cet égard l’usage de l’algorithme 3DES, envisagé à ce stade, et attire l’attention du ministère sur le fait que conformément au référentiel général de sécurité édité par l’Agence nationale de la sécurité des systèmes d’information cet algorithme ne devrait en principe plus être utilisé.
Enfin, en quatrième lieu, la Commission relève que le dispositif envisagé ne prévoit pas de mécanisme d’enrôlement des personnes lors de la première utilisation de l’application, ce qui permet de limiter les données personnelles collectées. Toutefois, il pourrait en résulter un risque d’attaque accru qui n’est acceptable que dans la mesure où un tel mécanisme d’enrôlement des personnes remettrait en question la logique de pseudonymat du traitement. Elle appelle donc le ministère à mettre en place des mesures appropriées afin de lutter contre ce risque.
Par ailleurs, la Commission accueille favorablement le fait que des éléments de documentation technique ont déjà été rendus publics. Elle souligne à cet égard l’importance d’assurer le libre accès aux protocoles utilisés ainsi qu’au code source de l’application, du serveur central et leur paramétrage. Il s’agit tant de permettre à la communauté scientifique de contribuer à l’amélioration constante du dispositif et à la correction des éventuelles vulnérabilités que de garantir une parfaite transparence vis-à-vis de l’ensemble des citoyens. Elle recommande par ailleurs, afin de maximiser la qualité de la solution, que les commentaires et débats de la communauté scientifique soient pris en compte.
Sur le respect des droits des personnes sur leurs données à caractère personnel 
La maitrise de leurs données par les personnes concernées est une garantie essentielle pour garantir la confiance du public dans les mesures prises aux fins de gestion de la crise du COVID-19. Une information appropriée devra donc être fournie aux utilisateurs, dans le respect des articles 12 à 14 du RGPD. Dans la mesure où une partie importante de la population est susceptible d’être concernée par le dispositif, la Commission insiste notamment sur la nécessité de délivrer une information compréhensible par le plus grand nombre, dans des termes clairs et simples.
La Commission rappelle que des situations telles que l'épidémie actuelle de COVID- 19 ne suspendent ni ne restreignent, par principe, la possibilité pour les personnes concernées d'exercer leurs droits sur leurs données à caractère personnel conformément aux dispositions des articles 12 à 22 du RGPD. Des modalités appropriées pour l’exercice des droits devront également être définies si l’application est déployée.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d’une demande d’avis concernant un projet d'arrêté complétant l’arrêté du 23 mars 2020 prescrivant les mesures d’organisation et de fonctionnement du système de santé nécessaires pour faire face à l’épidémie de covid-19 dans le cadre de l’état d’urgence sanitaire ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique, notamment ses articles L. 1461-1, L. 1462-1, L. 3131- 16 et L. 6113-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2-e ;
Vu la loi n° 2020-290 du 23 mars 2020 d’urgence pour faire face à l’épidémie de covid-19, notamment son article 4 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2020-293 du 23 mars 2020 modifié prescrivant les mesures générales nécessaires pour faire face à l’épidémie de covid-19 dans le cadre de l’état d’urgence sanitaire ;
Vu l’arrêté du 23 décembre 2016 modifié relatif au recueil et au traitement des données d'activité médicale et des données de facturation correspondantes, produites par les établissements de santé publics ou privés ayant une activité en médecine, chirurgie, obstétrique et odontologie, et à la transmission d'informations issues de ce traitement dans les conditions définies à l'article L. 6113-8 du code de la santé publique ;
Vu l’arrêté du 23 mars 2020 modifié prescrivant les mesures d’organisation et de fonctionnement du système de santé nécessaires pour faire face à l’épidémie de covid-19 dans le cadre de l’état d’urgence sanitaire ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie le 15 avril 2020 pour avis, sur le fondement de l'article 8.I.2°-e) de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après la loi Informatique et Libertés ), d’un projet d'arrêté complétant l’arrêté du 23 mars 2020 prescrivant les mesures d’organisation et de fonctionnement du système de santé nécessaires pour faire face à l’épidémie de covid-19 dans le cadre de l’état d’urgence sanitaire, pris en application des dispositions de l’article L. 3131-16 du code de la santé publique (ci-après le projet).
En application de ces dispositions introduites par la loi n° 2020-290 du 23 mars 2020 d'urgence pour faire face à l'épidémie de covid-19 le ministre de la santé peut prescrire, par arrêté motivé, toute mesure réglementaire relative à l'organisation et au fonctionnement du dispositif de santé visant à mettre fin à la catastrophe sanitaire, à l’exception des mesures prévues par l’article L. 3131-15 du code de la santé publique, relevant d’un décret.
Le projet d’arrêté a pour objet, dans le contexte d’urgence lié à la gestion de la crise sanitaire actuelle, d’organiser le regroupement de certaines données à caractère personnel, comprenant des données de santé, afin de permettre leur utilisation en vue de suivre et projeter les évolutions de l’épidémie, de prévenir, de diagnostiquer et de traiter au mieux la pathologie et d’organiser le système de santé pour combattre l’épidémie et en atténuer les impacts. Il prévoit pour ce faire l’ajout dans l’arrêté du 23 mars 2020 d’un chapitre relatif aux mesures concernant le traitement des données à caractère personnel du système de santé.
 
Ainsi, le projet prévoit, à titre temporaire et dans le cadre spécifique de la gestion de l’urgence sanitaire :
d’une part, d’ajouter une remontée hebdomadaire au circuit de remontée des informations d'activité médicale et des données de facturation correspondantes, produites par les établissements de santé publics ou privés ayant une activité en médecine, chirurgie, obstétrique et odontologie, prévu à l'article L. 6113-8 du code de la santé publique et par l’arrêté du 23 décembre 2016 modifié (programme de médicalisation des systèmes d'information ou PMSI) ;
d’autre part, la centralisation au sein du groupement d’intérêt public dénommé Plateforme des données de santé, prévu par l’article L. 1462-1 du code de la santé publique (également dénommé Health Data Hub ) de données provenant de différentes sources en vue de leur mise à disposition afin de faciliter l'utilisation des données de santé pour les besoins de la gestion de l’urgence sanitaire et de l’amélioration des connaissances sur le COVID-19.
 
Tout en reconnaissant la légitimité des objectifs poursuivis par le projet, la Commission tient à rappeler, au vu de l’urgence, que quel que soit le contexte, des garanties suffisantes au regard du respect des principes fondamentaux du droit à la protection des données à caractère personnel doivent être mises en œuvre. Ainsi, elle estime que des mesures juridiques et techniques adaptées devront être prévues afin d’assurer un haut niveau de protection des données.
La Commission indique par ailleurs que cet avis rendu dans un délai très bref et dans un contexte de crise sanitaire mondiale exceptionnelle, ne préjuge en rien de l’analyse qu’elle produira au fond tant sur les plans juridique que technique, s’agissant de la mise en œuvre de manière pérenne de la Plateforme des données de santé, notamment à des fins de mise à disposition des données du Système national des données de santé (SNDS), ainsi que sur le décret d’application prévu à l’article L. 1461-7 du code de la santé publique, qui sera modifié suite à l’adoption de la loi du 24 juillet 2019.
Sur la constitution d’un entrepôt de données au sein de la plateforme des données de santé
La Commission relève que la centralisation des données au sein de la Plateforme des données de santé implique la création d’un entrepôt de données de santé en vue de leur mise à disposition auprès d’autres responsables de traitements.
Les opérations de traitement liées à ce projet sont soumises au règlement (UE) n° 2016/679 du Parlement européen et du conseil du 27 avril 2016 (ci-après le RGPD) et aux dispositions pertinentes de la loi informatique et libertés .
La Commission prend acte du choix du ministère de créer ce traitement par la voie d’un arrêté pris dans le cadre de l’état d’urgence sanitaire. Elle rappelle toutefois que la constitution de cette base, qui s’inscrit dans un contexte particulier d’urgence et de gestion d’une crise sanitaire en cours, ne saurait être encadrée par cet arrêté que pour la période d'état d'urgence sanitaire déclaré à l'article 4 de la loi du 23 mars 2020. Au-delà, ce traitement ne disposerait plus de base légale.
 
Elle rappelle que des éléments essentiels concernant le fonctionnement de la plateforme en dehors du contexte de l’état d’urgence sanitaire seront précisés dans le décret en Conseil d’Etat prévu à l’article L. 1461-7 du code de la santé publique et que la centralisation de données au sein du catalogue de la Plateforme, qui constitue un entrepôt de données, sera soumise à autorisation préalable de la Commission, en application des dispositions des articles 44-3° et 66 de la loi informatique et libertés .
Sur la responsabilité de traitement
La Commission prend acte de ce que la Plateforme des données de santé et la Caisse nationale d’assurance maladie (CNAM) seront conjointement responsables des traitements décrits dans le projet. A ce titre, le projet mentionne que la Plateforme des données de santé est responsable du stockage et de la mise à disposition des données et qu’elle est autorisée à opérer des croisements de données. Le projet mentionne par ailleurs que la CNAM est responsable des opérations de pseudonymisation dans le cadre du croisement des données et peut traiter le numéro d'inscription au répertoire national d'identification des personnes physiques à cette fin.
 
La Commission relève cependant que le projet prévoit que les données peuvent être traitées dans la solution technique de la Plateforme des données de santé, ainsi que dans celle de la CNAM. Il en résulte que la CNAM pourrait également être amenée à stocker et à mettre à disposition des données dans le cadre du traitement envisagé.
 
A cet égard, la Commission prend acte de l’engagement du ministère de préciser dans le projet que la CNAM est :
également autorisée à recevoir les données énumérées,
responsable du stockage et de la mise à disposition des données,
autorisée à croiser les données,
et à mettre en œuvre des traitements répondant à ses missions au titre du 3° de l’article 65 de loi informatique et libertés .
Le ministère s’est par ailleurs engagé à ce qu’un accord définissant de manière transparente les obligations respectives de la Plateforme des données de santé et de la CNAM soit conclu, conformément aux dispositions de l’article 26 du Règlement général sur la protection des données. Cet accord précisera notamment les modalités de transfert des données entre la Plateforme des données de santé et la CNAM. La Commission en prend acte.
Sur la mise en œuvre de traitements ultérieurs
Le projet prévoit que seuls peuvent traiter les données ainsi rassemblées par la Plateforme des données de santé les acteurs suivants : des responsables de traitement autorisés dans les conditions prévues aux articles 66 et 76 de la loi informatique et libertés , l’Etat mettant en œuvre des traitements mentionnés au 6° de l'article 65 ou les organismes et les services chargés d’une mission de service public mentionnés à l’article 67.
 
A cet égard, la Commission a été informée de ce que le ministère envisageait de prendre l’arrêté prévu par l’article 67, afin de déterminer les listes des organismes et services chargés d’une mission de service public en lien avec l’alerte sanitaire.
Elle rappelle donc qu’en dehors des organismes et services figurant sur cette liste, ainsi que l’Etat, pour les traitements prévus à l’article 65-6° de la loi informatique et libertés , les traitements mis en œuvre à partir des données contenues dans cet entrepôt devront faire l’objet d’une demande d’autorisation auprès d’elle, qui ne pourra intervenir, s’agissant des recherches, études et évaluations dans le domaine de la santé, qu’après avis du comité compétent.
 
La conformité de ces traitements à la méthodologie de référence MR-004 est de fait exclue, dans la mesure où les personnes concernées ne seront informées individuellement ni de la constitution de cet entrepôt, ni des traitements ultérieurs mis en œuvre à partir des données qu’il contient.
Sur les finalités poursuivies par le traitement et les traitements ultérieurs
La constitution de l’entrepôt de données a pour objet de permettre leur mise à disposition pour la réalisation de traitements ultérieurs. La Commission relève à ce titre que le projet mentionne que les données contenues dans cet entrepôt ne pourront être traitées que pour des projets poursuivant une finalité d’intérêt public en lien avec l’épidémie actuelle de COVID-19.
La Commission prend acte de ce que cette finalité, très générale, sera interprétée au regard des finalités de constitution de l’entrepôt indiquées à l’article 1er et des considérants du projet, qui précisent notamment que la capacité à mobiliser les données de santé est un axe essentiel de la lutte contre l’épidémie de covid-19 et qu’il est nécessaire de poursuivre et anticiper les évolutions de l’épidémie, prévenir, diagnostiquer et traiter au mieux la pathologie et adapter l’organisation de notre système de santé pour combattre l’épidémie et en atténuer les impacts .
 
Elle relève par ailleurs que le projet d’arrêté ne fait, sinon à travers la mention de sa base légale, référence ni à l’urgence qui s’attache la production des résultats des analyses réalisées dans le cadre de ces traitements, ni à la durée de leur mise en œuvre. S’agissant d’une solution temporaire et déployée spécifiquement afin de faire face à l’épidémie de -COVID19 dans le cadre de l’état d’urgence sanitaire, la Commission prend acte de l’engagement du ministère de préciser dans l’arrêté que les traitements mis en œuvre à partir des données de l’entrepôt n’ont pas vocation à s’inscrire dans la durée et ne pourront, en dehors de la réalisation de nouvelles formalités, être mis en œuvre au-delà de l'état d'urgence sanitaire déclaré à l'article 4 de la loi du 23 mars 2020.
Sur les données dont le traitement est envisagé
Le projet dresse la liste des catégories de données susceptibles d’être transmises à la Plateforme des données de santé en vue de leur mise à disposition.
 
La Commission relève, au-delà du caractère très générique des catégories décrites, qu’il n’est fait mention ni de la profondeur historique des données, ni de leur nature exacte, notamment au regard de l’intérêt que peut présenter leur analyse dans le cadre de l’épidémie de COVID-19. A titre d’exemple, le projet mentionne, sans plus de détail, la remontée possible de données issues du SNDS ou de données de pharmacie .
 
Elle rappelle qu’en application du principe de minimisation des données prévu par l’article 5-1-c du RGPD, les données devront être adéquates, pertinentes et limitées à ce qui est nécessaire au vu de la finalité poursuivie, tant s’agissant des données figurant dans l’entrepôt au sein de la Plateforme des données de santé, que des données mises à disposition pour la réalisation de traitements ultérieurs.
 
A cet égard, la Commission prend acte de l’engagement du ministère de compléter le projet afin qu’il précise clairement que la Plateforme des données de santé et la CNAM ne peuvent, dans le cadre de l’arrêté examiné, collecter que les données nécessaires à la réalisation des traitements mis en œuvre dans le cadre des projets poursuivant une finalité d’intérêt public en lien avec l’épidémie actuelle de COVID-19.