AgentPublic/cnil huggingface dataset:
- des données d'identité (prénoms et noms) des patients. L'utilisation de ces variables à des fins d'appariement génère un risque significatif pour la vie privée des personnes et ne permet pas d'atteindre un niveau de qualité suffisant. Ces variables ne devraient être utilisées à des fins d'appariement qu'en vue de la reconstitution du NIR par les organismes habilités à réaliser cette opération. La CNIL prend acte que cette garantie sera ajoutée au décret.
L'article L. 1415-2-2 du CSP renvoie au décret le soin de déterminer les modalités d'appariement des données du registre national. Or, aucune disposition du projet de décret ne détaille ces modalités. La CNIL prend acte qu'il sera complété afin de préciser que l'INCa sera chargé de réaliser l'appariement, après pseudonymisation des données "dans un environnement d'intégration spécifique comprenant des mesures de sécurité techniques et organisationnelles renforcées afin de garantir un cloisonnement par rapport à l'entrepôt de données de santé".
Le ministère souhaite également confier à l'INCa l'appariement des données du SNDS entre elles ou avec d'autres bases. Néanmoins, ces missions sont dévolues à la Caisse nationale de l'assurance maladie (CNAM) et à la Plateforme des données de santé (PDS) en application de l'article R. 1461-3 du CSP. Dès lors la CNIL s'interroge sur la compatibilité de la proposition du ministère avec les dispositions applicables au SNDS.
Le II du projet d'article R. 1415-2-2 du CSP énumère les sources des données collectées. Compte tenu de leur diversité, la CNIL rappelle que :
- si une base de données est susceptible de couvrir une population plus large que le seul domaine de la cancérologie, un ciblage préalable devra être réalisé par le responsable de traitement concerné ;
- seuls les traitements licitement constitués, notamment par la réalisation des formalités préalables prévues par la loi "informatique et libertés" le cas échéant, et régulièrement conservés, pourront être versés au sein du registre national.
3. Sur l'information et les droits des personnes
Le projet de décret (article R. 1415-2-4) prévoit une dérogation à l'obligation d'information individuelle des personnes dont les données vont être versées dans le registre national.
La plupart des personnes concernées pourraient être individuellement informées, notamment par l'intermédiaire du responsable du traitement initial dont les données seront versées dans les registres locaux puis dans le registre national. La CNIL demande ainsi au ministère de prévoir une information individuelle pour la constitution du registre national.
Dans l'hypothèse où les dispositions du b du 5 de l'article 14 du RGPD pourraient être mobilisables, la CNIL demande que le projet d'article précité soit complété :
- des mesures de transparence mentionnées dans les éléments de la saisine (par exemple mention sur les invitations pour les dépistages organisés, ligne téléphonique Cancer Info, etc.) ;
- de mesures complémentaires comme l'affichage dans les établissements de santé ayant une activité en oncologie, ainsi que la publication sur les portails de transparence des responsables de traitement dont les données sont susceptibles d'être versées au sein du registre national.
En outre, au vu de la sensibilité des données traitées, les mesures supplémentaires suivantes devraient être mises en œuvre afin de renforcer la transparence du registre national :
- la publication, sur la page du site web de l'INCa dédiée au registre national, de la liste des traitements versés au sein de ce registre et le renvoi vers la note d'information et/ou la page web dédiée à ce traitement le cas échéant ;
- la publication sur le portail de transparence de l'ensemble des traitements procédant à une réutilisation des données du registre ;
- une information extrêmement claire et pédagogique des modalités selon lesquelles les personnes concernées pourront exercer leurs droits, le cas échéant.
4. Sur les durées de conservation
Le III du projet d'article R. 1415-2-2 précise les durées maximales de conservation des données nécessaires :
- à des fins d'appariement : vingt-quatre mois ;
- pour les autres finalités : cinquante ans à compter de la dernière inclusion de donnée relative à une personne.
Ces durées de conservation sont particulièrement longues. La CNIL ne remet pas en cause la nécessité pour l'INCa et les chercheurs de disposer de données d'une profondeur historique importante pour la mise en œuvre de leurs projets, a fortiori lorsqu'ils portent sur des cancers pédiatriques.
La CNIL s'interroge sur la compatibilité de la durée de conservation de cinquante ans avec celle des données du SNDS, fixée par l'article L. 1461 du CSP. Au surplus, les éléments présentés dans le dossier de saisine ne lui permettent pas de se prononcer sur la pertinence de la profondeur historique et des durées de conservation retenues. Enfin, si une telle durée devait être retenue, la CNIL estime que le ministère devrait étudier des pistes visant à minimiser les données conservées au fil du temps.
5. Sur les destinataires et les conditions d'accès
Il ressort de l'article L. 1415-2-1 du CSP que le législateur a souhaité restreindre la mise à disposition des données du registre national aux seules recherches, études ou évaluations intervenant dans le domaine de la cancérologie. La CNIL estime que le décret devrait le mentionner explicitement.
Le ministère a précisé que toute demande d'accès au registre national devra respecter les dispositions de la section 3 du chapitre III du titre II de la loi "informatique et libertés". La CNIL en prend acte et demande que le décret le mentionne expressément.
Le projet d'article R. 1415-2-5 prévoit la création d'un comité scientifique et éthique chargé notamment de rendre un avis les recherches, études ou évaluations souhaitant réutiliser les données du registre national.
La CNIL considère que ce comité devrait :
- se prononcer sur l'ensemble des demandes de l'INCa, ou de tiers, relatives à la mise à disposition des données ;
- répondre à des garanties semblables à celles prévues dans le référentiel "entrepôt de données de santé" en termes de composition.
6. Sur le principe de sécurité
Comme rappelé précédemment, le registre national devra respecter les dispositions applicables aux traitements de données du SNDS, en particulier les dispositions de l'arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au SNDS dès sa mise en œuvre.
Le projet de décret impose une obligation de pseudonymisation et de cloisonnement. Au vu du volume, de la sensibilité des données concernées et de leur durée de conservation envisagée, une attention toute particulière doit être apportée à l'enrichissement de l'AIPD qui devra préciser :
- les modalités de génération des identifiants pseudonymes utilisés dans le registre ;
- les modalités de ségrégation, en termes de stockage et d'accès, entre les données administratives identifiant les participants au registre, les données de santé qui leur sont rattachées, les identifiants de ces personnes dans les bases sources ainsi que les pseudonymes utilisés dans le registre ;
- les modalités de mobilisation, de ségrégation et d'accès pour ces identifiants aux fins d'exercice des droits ;
- le responsable chargé de reconstituer, le cas échéant, aux fins d'appariement et d'alimentation du registre, le NIR des personnes concernées à partir de leurs traits d'identité. A cet égard, la CNIL relève que cette tâche incombe, pour le SNDS, au service "concentrateur" de la Plateforme des données de santé et invite à intégrer les besoins du registre national dans ce service ;
- que les mises à disposition devront intervenir avec un pseudonyme différent pour chacune des bases de données rendues accessibles à chacun des responsables de traitement ;
- les modalités d'attribution, de gestion et de contrôle des habilitations d'accès aux données mises à disposition, conformément à un modèle établi par arrêté du ministre chargé de la santé ;
- la constitution des listes des personnes désignées pour délivrer ces habilitations et des personnes habilitées à accéder au registre, détaillant leurs profils d'accès respectifs en termes de périmètre, de caractéristiques et de profondeur historique des données ;
- que ces listes seront communiquable à la CNIL à sa demande.
Enfin, la CNIL relève que, dans l'AIPD fournie à l'appui du dossier de demande d'avis :
- l'utilisation de données identifiantes autres que le NIR aux fins d'appariement probabiliste ne semble pas respecter les principes de ségrégation entre les données administratives, les données de santé, les identifiants des participants au registre dans les bases sources ainsi que les pseudonymes utilisés dans le registre ;
- l'analyse des risques et les mesures pour les traiter devraient être plus détaillées et contextualisées au regard des particularités du traitement envisagé, en particulier concernant la conservation des données nominatives d'identification pendant 24 mois, si la collecte de ces données devait être maintenue.
La CNIL prend acte que l'AIPD sera modifiée sur ces points.
B. - S'agissant des registres locaux
A titre liminaire, le projet de décret n'autorisant pas la création des registres et ces traitements constituant des entrepôts de données de santé, leur mise en œuvre sera soumise à la réalisation de formalités préalables, en application des dispositions des articles 66 et suivants de la loi "informatique et libertés" (déclaration de conformité au référentiel "entrepôts de données dans le domaine de la santé" ou, en cas de non-conformité à ce référentiel, une autorisation de la CNIL).
1. Sur les responsables de traitement
Le premier alinéa du projet d'article R. 1415-2-6 confie à l'INCa la prérogative de désigner des responsables de traitements distincts du registre national. Dans ce cadre, une attention particulière devra être portée par l'INCa aux moyens dont disposent les organismes mettant en œuvre les registres locaux, notamment afin de garantir les droits et libertés des personnes concernées et la protection de leurs données. Dans la mesure où les données concernées sont issues de la prise en charge sanitaire des personnes, la CNIL suggère que ces registres soient mis en œuvre sous la responsabilité des établissements participant à la prise en charge des personnes concernées.
2. Sur le principe de minimisation
Le deuxième alinéa du projet d'article R. 1415-25-6 indique que les registres locaux portent sur le "recueil exhaustif et continu de données nominatives intéressant un ou plusieurs événements de santé dans une population géographiquement définie".
En application de l'article L. 1415-2-1 du CSP, les évènements de santé auxquels il est fait référence devront exclusivement être liés au domaine de la cancérologie et seules des personnes atteintes d'un cancer ou en rémission pourront être concernées.
En outre, le ministère a précisé que la collecte de données nominatives est nécessaire pour la reconstitution du NIR, qui permettra de réaliser les appariements. La CNIL demande que le décret le précise expressément.
Afin de garantir le respect du principe de minimisation prévu par le RGPD, la CNIL estime en outre, à l'instar des observations formulées concernant le registre national, que :
- les catégories générales de données susceptibles d'être traitées devraient être précisées, particulièrement les catégories de données sensibles et les données devant faire l'objet d'une protection particulière au regard des risques que leur traitement induit, telles que la date de naissance complète, les coordonnées et le NIR ;
- seules les données strictement nécessaires pour atteindre les finalités poursuivies par les registres devront y être versées.
3. Sur les droits
L'alinéa précité limite le droit d'opposition des personnes concernées par les registres locaux en application du e) du 1 de l'article 23 du RGPD.
Si la CNIL ne remet pas en cause l'intérêt de ces registres et le principe de cette limitation eu égard aux enjeux de santé publique associés, elle considère que le projet de texte ne contient pas l'ensemble des garanties prévues au 2 de l'article 23 du RGPD. Sur ce point, elle estime que des garanties supplémentaires devraient être prévues concernant des traitements, qui pour la plupart, sont :
- mis en œuvre depuis plusieurs décennies ;
- encadrés par des formalités anciennes réalisées avant la mise en œuvre du RGPD et couverts par une recommandation de la CNIL de 2003 (délibération n° 2003-053) qui prévoyait que les personnes concernées étaient "individuellement informées […] des modalités d'exercice du droit d'accès, de rectification et de leur droit d'opposition".
Au titre de ces garanties supplémentaires, la CNIL estime que les personnes incluses avant la mise en œuvre des évolutions apportées par le décret devraient disposer du droit de s'opposer au traitement de leurs données par les registres locaux pour les données déjà collectées. A cet égard, une attention particulière devra être portée à l'information des personnes sur la mise en œuvre de ces modifications afin de garantir l'effectivité de leurs droits.
Les personnes incluses après la mise en œuvre des modifications induites par le décret devront être spécifiquement et individuellement informées de cette limitation avant la collecte de leurs données.
La CNIL demande que le décret soit complété en ce sens.
C. - S'agissant de la base commune des registres
En l'absence de précision spécifique dans les éléments de la saisine concernant la base commune des registres mentionnée au quatrième alinéa du projet d'article R. 1415-2-6 du CSP, notamment s'agissant de la finalité de ce traitement, la CNIL s'interroge sur la pertinence du maintien de ce traitement dans la mesure où les données des registres locaux seront centralisées au sein du registre national.
D. - Sur les modifications du décret-cadre NIR
S'agissant du traitement du NIR par l'INCa, la CNIL estime que le décret devrait préciser que cette donnée est exclusivement traitée à des fins d'appariement lors de la constitution du RNC.
S'agissant du traitement du NIR par les registres locaux, ni le projet de décret ni les éléments de la saisine n'apportent d'éléments permettant de justifier cette collecte. La CNIL déduit toutefois de l'économie générale du texte que cette donnée serait collectée exclusivement à des fins d'appariement.
Elle demande que ces éléments soient précisés dans le décret.
La présidente,
M.-L. Denis
N° de demande d'avis : 25009754.
Thématiques : caméras frontales embarquées, transports guidés urbains, tramways.
Organisme(s) à l'origine de la saisine : ministère de l'aménagement du territoire et de la décentralisation.
Fondement de la saisine : article 8, I, 4°, a, de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
L'essentiel :
1. Le projet de décret prévoit une expérimentation relative aux caméras frontales embarquées sur les tramways, en application de l'article 14 de la loi n° 2025-379 du 28 avril 2025 relative au renforcement de la sûreté dans les transports.
2. Il s'inspire du cadre expérimental qui avait été mis en œuvre dans le secteur ferroviaire et reprend à cet effet les garanties sur lesquelles la CNIL s'était prononcée (pseudonymisation, durées de conservation, journalisation, etc.). La plupart des caractéristiques essentielles des traitements sont décrites de manière suffisante. La CNIL prend acte de qu'une mention sera ajoutée au projet de décret, imposant aux responsables de traitement de préciser que le droit d'opposition n'est pas ouvert.
3. La CNIL prend en compte les difficultés exprimées par les opérateurs quant aux mesures de minimisation prévues. Elle considère que la captation en continu des images est légitime et que l'expérimentation prévue devrait permettre d'évaluer l'efficacité des garanties prévues. Elle relève en outre des disparités au sein des pratiques des opérateurs s'agissant de la pseudonymisation et du stockage des données. A cet égard, elle recommande au ministère de préciser les modalités de pseudonymisation et certaines mesures de sécurité (chiffrement, cloisonnement des données, etc.) afin d'harmoniser a minima les pratiques.
4. Enfin, la CNIL considère que le rapport d'évaluation devrait pouvoir faire apparaître la vision d'ensemble du ministère en précisant notamment la méthodologie d'expérimentation, l'évaluation de l'efficience des différentes modalités retenues de pseudonymisation, les contraintes opérationnelles rencontrées par les différents opérateurs et les mesures associées. Elle estime que ce rapport d'expérimentation devrait lui être transmis.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ("loi informatique et libertés") ;
Sur la proposition de Mme Sophie Lambremon, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
L'article 14 de la loi n° 2025-379 du 28 avril 2025 relative au renforcement de la sûreté dans les transports a ouvert la possibilité, pour les opérateurs de transports guidés urbains (ci-après les opérateurs), de recourir à des caméras frontales embarquées sur les matériels roulants qu'ils exploitent. La mise en œuvre de ces dispositifs doit être expérimentée pendant trois ans à compter du 28 juin 2025 et concerne exclusivement les tramways. Les images captées sur la voie publique visent à faciliter la compréhension des circonstances des accidents et à permettre la formation des conducteurs.
Ce dispositif s'inspire d'un précédent cadre expérimental mis en œuvre dans le secteur ferroviaire sur la voie publique et dans les lieux ouverts au public, dont les tramways étaient expressément exclus (décret n° 2022-1672 du 27 décembre 2022 pris en application de l'article 61 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés). Le présent projet de décret reprend à cet effet les garanties sur lesquelles la CNIL s'était prononcée (CNIL, SP, 3 février 2022, avis sur un projet de décret pris en application de l'article 61 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés, n° 2022-012, publié) et notamment, la systématisation de la pseudonymisation à l'enregistrement des images captées, la limitation des accès aux images au personnel habilité, la tenue d'un registre des opérations de traitement, la limitation de la durée de conservation de ces éléments à trente jours.
B. - L'objet de la saisine
Le ministère de l'aménagement du territoire et de la décentralisation a saisi la CNIL d'un projet de décret d'application de l'article 14 de la loi n° 2025-379 du 28 avril 2025 relative au renforcement de la sûreté dans les transports.
Le projet de décret a vocation à fixer un cadre général d'usage pour les opérateurs de transport dans la mise en œuvre de traitements. Il détermine :
- les modalités d'application de l'expérimentation et son bilan ;
- les modalités d'utilisation des données collectées, s'agissant en particulier des catégories de données à caractère personnel pouvant faire l'objet d'un traitement, de la distance de captation d'images et des conditions de pseudonymisation et d'anonymisation des données enregistrées.
II. - L'avis de la CNIL
A. - Sur la base légale
L'article 14 de la loi relative au renforcement de la sûreté dans les transports a ouvert la possibilité aux opérateurs de mettre en œuvre, à titre expérimental, la captation, la transmission et l'enregistrement d'images prises sur la voie publique au moyen de caméras frontales embarquées sur les matériels roulants qu'ils exploitent.
Dès lors que les opérateurs souhaitent adhérer à l'expérimentation, les traitements trouvent leur base légale dans le fait qu'ils contribuent à une mission d'intérêt public telle que prévue au point e du § 1 de l'article 6 du RGPD. En effet, le ministère a indiqué qu'ils assurent une mission de service public de transports réguliers de personnes.
La CNIL prend acte de ce que la base légale de la mission d'intérêt public autorise la mise en œuvre de ces traitements de données à caractère personnel.
B. - Sur l'information et les droits des personnes
Le projet de décret prévoit en son article 13 que lorsque les exploitants de services de transport public choisissent de recourir à ces dispositifs, le droit d'opposition des personnes dont les images vont être captées, prévu aux articles 18 et 21 du RGPD, ne s'applique pas. S'agissant d'un traitement nécessaire à l'exécution d'une mission d'intérêt public, le droit d'opposition peut être écarté dans les conditions prévues par l'article 23 du RGPD (v. art. 56 de la loi "informatique et libertés").
La CNIL rappelle (CNIL, SP, 17 décembre 2020, avis sur un projet de décret relatif au recours à la vidéo intelligente pour mesurer le taux de port de masque dans les transports, n° 2020-136, publié) :
- d'une part, que, pour pouvoir apporter valablement des limitations au droit d'opposition des personnes, la mesure normative prise à cet effet doit contenir certaines "dispositions spécifiques" minimales énumérées à l'article 23.2 du RGPD, que sont la finalité et les caractéristiques essentielles du traitement (catégories de données à caractère personnel, durées de conservation, étendue des limitations introduites, etc.). A ce titre, les finalités sont bien mentionnées dans le projet de décret ;
- et, d'autre part, que l'article 56 de la loi "informatique et libertés" énonce qu'une telle exclusion doit être prévue par "une disposition expresse de l'acte instaurant le traitement", ce qui est la cas en l'espèce (projet d'article 13).
Le projet de décret indique que l'information générale du public sur l'emploi de ces caméras est délivrée sur le site web du ministère chargé des transports et de l'opérateur concerné, dans les gares ou stations desservies, ainsi que sur le matériel roulant.
En revanche, il ne vise notamment pas le point h de l'article 23. 2 du RGPD relatif au droit des personnes concernées d'être informées de la limitation de leur droit. La CNIL prend acte de ce qu'une mention sera ajoutée au projet de décret, imposant aux responsables de traitement, à travers l'information qu'ils fourniront en application du RGPD, de préciser que le droit d'opposition n'est pas ouvert.
C. - Sur le périmètre des traitements
L'article 2 du projet de décret précise que les matériels roulants concernés par l'expérimentation sont ceux visés par le décret n° 2017-440 du 30 mars 2017. Il donne une définition croisée en renvoyant à l'article L. 2000-1 du code des transports sur le transport ferroviaire ou guidé et en mentionnant des exclusions sur un certain nombre de critères.
La CNIL relève que, pour décrire le périmètre des traitements projetés, le projet de décret vise le décret du 30 mars 2017, opérant un renvoi à un texte relatif au transport ferroviaire ou guidé, ce qui apparaît particulièrement large. Elle prend toutefois acte de ce que cette expérimentation ne porte que sur les tramways.
D. - Sur la minimisation des données
1. Concernant la captation en continu des images