AgentPublic/cnil huggingface dataset:
En deuxième lieu, la Commission prend acte des précisions du CNRS selon lesquelles une mise à disposition des données sera organisée via le CASD. À cet égard, la Commission demande, conformément à l’article 14 du RGPD, que l’ensemble des catégories de destinataires, notamment la communauté scientifique via des réseaux de diffusion, apparaisse dans les informations délivrées, publiquement le cas échéant, aux personnes concernées.
 
En troisième lieu, la Commission prend acte des précisions apportées par le CNRS selon lesquelles les données seront agrégées au stade de la diffusion des résultats de recherche, qui ne comportera donc pas de données à caractère personnel. La Commission rappelle que l’agrégation devra permettre d’anonymiser les données au sens de l’avis 05/2014 du Groupe de travail " Article 29 " sur la protection des données. A cet égard, s'agissant du " numéro unique d’anonymisation ", qui fait partie de la liste des " variables sociodémographiques " retenues par le CNRS, la Commission rappelle que l’anonymisation, qui ne doit pas être confondue avec la pseudonymisation, est un traitement qui consiste à utiliser un ensemble de techniques de manière à rendre impossible, en pratique, toute identification de la personne par quelque moyen que ce soit et de manière irréversible, au sens de l’avis précité.
 
Sur les droits des personnes
S’agissant en premier lieu du droit à l’information des personnes concernées, la Commission relève que ces dernières ne feront pas l’objet d’une information individuelle. A cet égard, elle estime que l’incarcération de certaines des personnes concernées ne constitue pas, en soi, un élément de nature à rendre cette information impossible. Si le CNRS considère qu’une information individuelle aux personnes concernées apparait disproportionnée au regard de l’utilité de la démarche, la Commission rappelle que, conformément aux articles 14.5-b) du RGPD et 79 de la loi du 6 janvier 1978 modifiée, il peut être dérogé à l’information individuelle des personnes notamment si la fourniture de ces informations exige des efforts disproportionnés, sous réserve des garanties visées à l'article 89.1 du RGPD et moyennant la mise en place de mesures appropriées pour protéger les droits et libertés de la personne concernée. Elle prend acte de l’engagement du CNRS de diffuser une information publique sur son site web et rappelle qu’il revient au responsable du traitement de mettre en œuvre une information accessible au public compte-tenu des contraintes qui caractérisent la situation des personnes détenues. 
 
S’agissant en deuxième lieu du droit d’opposition, la Commission estime qu’il peut être limité conformément aux prévisions de l’article 21.6 du RGPD, le traitement de recherche étant nécessaire à l’exécution d’une mission d’intérêt public.
S’agissant en troisième lieu du droit d’accès et du droit de rectification, la Commission prend acte des indications du CNRS selon lesquelles les personnes concernées disposeront de ce droit pour le traitement à finalité de recherche réalisé par le CNRS à partir de la consultation des dossiers de procédure pénale, notamment dans l’hypothèse d’une erreur de saisie ou d’une demande de répercussion d’une modification d’une donnée extraite depuis un dossier de procédure pénale et pourront l’exercer via une adresse mail générique.
 
S’agissant en quatrième lieu des droits à l’effacement et à la limitation, la Commission rappelle qu’il appartient au CNRS de démontrer que des dérogations à ces droits s’imposent, conformément aux articles 17 à 18 du RGPD, 49.3 et 78 de la loi du 6 janvier 1978 modifiée et 116 du décret n° 2019-536 du 29 mai 2019 susvisé. A défaut, le responsable de traitement doit permettre aux personnes concernées de faire valoir leurs droits à l’effacement et à la limitation. 
 
Sur les mesures de sécurité
La Commission relève tout d’abord que le traitement projeté, qui inclut notamment des données sensibles relatives à des personnes vulnérables, a fait l’objet d’une AIPD. Elle estime que cette AIPD devra être revue s’agissant de l’estimation de la gravité des risques en cas d’accès illégitime aux données. En effet, si la vraisemblance du risque peut être considérée comme négligeable au regard des mesures de sécurité mises en œuvre, aucune n’apparait de nature à limiter la gravité des risques encourus en cas d’accès illégitime aux données, eu égard aux nombreuses données sensibles traitées.
 
La commission prend acte de ce que la base de données utilisée pour réaliser la recherche sera pseudonymisée. Elle recommande que cette pseudonymisation soit réalisée en attribuant un numéro d’ordre non signifiant et qu’aucune table de correspondance ne soit conservée.
 
La Commission prend ensuite acte que les données seront traitées sur des postes de travail mobiles du responsable de traitement, ainsi que sur un serveur de fichier externalisé, et que des mesures de sécurité seront mises en place afin de garantir la confidentialité des données échangées sur des réseaux publics.
 
Elle prend également acte de ce que les logiciels utilisés seront régulièrement mis à jour.
Concernant les mesures de chiffrement des données, la Commission relève de ce que tant les postes de travail que les serveurs et les supports de stockage feront l’objet de mesures de chiffrement afin de prévenir toute atteinte à la sécurité des données en cas de perte ou d’intrusion. Elle rappelle toutefois que les algorithmes utilisés ainsi que les tailles de clés doivent être à l’état de l’art utilisés et que les modalités de génération et de conservation des clés de chiffrement doivent faire l’objet d’une attention particulière.
 
Concernant par ailleurs les modalités d’accès aux données, la Commission prend acte de ce que des profils d’habilitation seront définis et que les personnes seront individuellement habilitées à accéder aux données. Elle constate que les modalités d’authentification des utilisateurs habilités à accéder aux traitements sont conformes à sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe dans sa version actuellement en vigueur.
 
Concernant la traçabilité des opérations sur les données, la Commission relève que les opérations de création et de modification portant sur les données seront tracées. Elle recommande d’une part que les opérations de consultation des données soient également tracées, et d’autre part que ces traces soient conservées pendant une durée de 6 mois.
Enfin la Commission prend acte de ce que les actions de sensibilisation des personnes habilitées seront mises en place afin de s’assurer de leur bonne compréhension des besoins de sécurité associés à l’étude réalisée par le responsable de traitement.
 
La Présidente
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut national d’études démographiques (INED) d’une demande d’avis concernant un projet de traitement automatisé de données à caractère personnel nécessaire à la réalisation d’une enquête de recherche publique intitulée " AMP sans frontières " ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment le 6° de son article 44 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi
n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 116 ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
 
Émet l’avis suivant :
A titre liminaire, la Commission relève que l’enquête de recherche publique intitulée " AMP-sans-frontières " vise à mesurer et décrire la population de personnes majeures résidentes en France et ayant recours à une aide à la procréation, explorer ses parcours et expériences, ses motivations et attentes, en particulier par rapport au cadre légal et médical de l’assistance médicale à la procréation (AMP) en France.
 
Dans ce contexte, elle relève que le traitement projeté poursuit des finalités de recherche scientifique. Elle estime à cet égard que le traitement relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après le RGPD) et prend acte que l’Institut national des études démographiques (INED) entend se prévaloir de la base légale mentionnée au e) du 1. de l’article 6 du RGPD, à savoir de l’exécution d’une mission d’intérêt public 
 
 
Dans la mesure où il porte sur des données " sensibles " au sens de la réglementation, le traitement projeté doit faire l’objet d’un avis préalable de la Commission conformément aux dispositions du 6° de l’article 44 de la loi du 6 janvier 1978 modifiée, sans préjudice de l’obligation de formaliser le cas échéant la création du traitement par un acte réglementaire spécifique.
La Commission relève que le dossier transmis ne contient pas d’analyse d’impact relative à la protection des données (AIPD) car l’INED considère que seul le critère des données " sensibles " ou à caractère hautement personnel est rempli. La Commission estime que le traitement peut présenter un risque élevé pour les personnes concernées dans la mesure où il est susceptible de révéler des pratiques illégales et pénalement répréhensibles par rapport au cadre légal français relatif à l’AMP. Elle considère également que le traitement pourrait conduire l’INED à collecter des données à caractère personnel relatives aux enfants conçus au moyen d’une aide médicale à la procréation, notamment des données hautement personnelles relatives à leur filiation, et rappelle que les enfants sont des personnes vulnérables. Au regard de ces éléments, elle estime que le traitement pourrait remplir deux critères nécessitant la réalisation d’une AIPD et recommande, en tout état de cause, à l’INED de réaliser une AIPD. 
 
La Commission rappelle qu’elle devra être tenue informée et saisie de toute modification substantielle affectant les caractéristiques du traitement.
 
Dans ces conditions, le traitement projeté appelle les observations suivantes. 
 
Sur le contexte général de réalisation de l’enquête
 
Ce projet d’enquête est scindé en plusieurs volets :
une pré-enquête, dénommée " Cap AMP " a eu lieu entre juin et septembre 2018, 544 personnes dont 422 personnes remplissant les critères d’inclusion ont répondu au questionnaire diffusé ;
un questionnaire en ligne sera diffusé via des réseaux identifiés, auquel les personnes concernées pourront répondre de façon volontaire ;
des entretiens semi-directifs seront réalisés a posteriori, à la suite de cette enquête, auprès des personnes qui auront accepté d’être recontactées après avoir rempli le questionnaire en ligne.
 
A titre liminaire, la Commission regrette ne pas s’être vu communiquer davantage d’informations concernant la pré-enquête " Cap AMP ". Si l’INED considère que le questionnaire ne permettait de collecter aucune donnée identifiante de la personne concernée car étaient seulement demandés l’âge, la région de résidence et la période à laquelle avait eu lieu la dernière méthode utilisée, elle rappelle que l’identification d’une personne n’est pas uniquement nominative et qu’elle peut aussi être réalisée par recoupement de données. Elle souligne qu’en fonction des données collectées, notamment si des données " sensibles " sont présentes, des formalités préalables peuvent être à réaliser avant la mise en œuvre du traitement.
En premier lieu, la Commission relève que l’INED envisage de diffuser l’annonce du questionnaire via son site web et les réseaux sociaux. A cet égard, elle rappelle, de manière générale, que l’utilisation d’outils de diffusions publicitaires est susceptible de relever de l’article 82 de la loi du 6 janvier 1978 modifiée dès lors que des opérations de lecture ou écriture sont mises en œuvre sur le terminal de l’utilisateur. Dans cette hypothèse, elle souligne que le consentement libre, spécifique, éclairé et univoque préalable des personnes concernées devra être recueilli dans les conditions prévues par la réglementation. Le responsable de traitement qui se prévaut d’un tel consentement devra être indiqué. La Commission précise également qu’il reviendra, le cas échéant, à l’INED de s’assurer qu’aucune donnée sensible n’est traitée par les intermédiaires auxquels il est fait appel pour diffuser le questionnaire et que le statut ainsi que les obligations de ces intermédiaires devront être clarifiés. 
 
En deuxième lieu, la Commission observe que seront aussi mobilisés des registres de pays et de centres médicaux qui recensent le nombre de personnes résidant en France reçues pour une AMP. Elle prend acte que ces données seront recueillies auprès des représentants nationaux de la Société européenne de reproduction humaine et d’embryologie qui collecte annuellement les activités de l’AMP en Europe ainsi qu’auprès des responsables des centres médicaux.
En troisième lieu, elle observe, en outre, que pour la réalisation de l’enquête projetée, l’INED va produire plusieurs fichiers, à savoir :
 
un " fichier brut de la collecte " qui contiendra les données recueillies au moyen du questionnaire en ligne ;
un " fichier de production intermédiaire " qui sera issu du fichier brut et qui sera apuré de toute référence à des coordonnées et de données nominatives. Il s’agit alors d’un fichier pseudonymisé ;
un " fichier d’étude ", qui sera utilisé par les concepteurs et le groupe d’exploitation pour produire les statistiques et les premières publications. Il sera soumis à la signature par l’utilisateur d’un engagement de confidentialité ;
un " fichier de production et de recherche " : fichier pseudonymisé qui sera mis à disposition des chercheurs via le réseau Quetelet ;
un " fichier des contacts pour les entretiens qualitatifs " ;
un " fichier des historiques de connexion " qui sera fourni à l’INED par le prestataire en charge du développement du questionnaire en ligne ;
les enregistrements des entretiens qualitatifs réalisés avec les personnes ayant accepté d’être recontactées.
En quatrième lieu, la Commission rappelle que la diffusion des données devra être réalisée conformément aux articles 78 de la loi du 6 janvier 1978 modifiée et 116 du décret n° 2019-536 précité. En particulier, il ressort de ces dispositions que les données doivent être préalablement anonymisées pour être diffusées et non pseudonymisées, sauf si l'intérêt des tiers à cette diffusion prévaut sur les intérêts ou les libertés et droits fondamentaux de la personne concernée. Pour les résultats de la recherche, cette diffusion doit être absolument nécessaire à sa présentation. Les données diffusées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
 
Sur les données collectées
La Commission observe que la finalité poursuivie implique la collecte de nombreuses données à caractère personnel de natures très variées auprès des personnes enquêtées, dont certaines relèvent de la catégorie des données dites " sensibles " au sens de l’article 9 du RGPD, notamment des données relatives à la santé (données révélant des problèmes d’infertilité par exemple), à la vie sexuelle ou à l’orientation sexuelle (données révélant l’homo-conjugalité par exemple). Elle rappelle que les données " sensibles " sont définies largement par l’article 9 du RGPD comme étant celles " qui révèle[nt] l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique ".
La Commission relève que le questionnaire qui sera diffusé en ligne contient plusieurs zones de texte libre, afin notamment d’inviter les personnes à préciser les critères de choix (dont les caractéristiques physiques et/ou physiologiques ou encore la religion) de la gestatrice ou du donneur, le contexte de la rencontre avec la gestatrice ou le donneur, les difficultés rencontrées, à indiquer ce qu’elles feraient si elles avaient la possibilité de changer la prise en charge médicale ou la loi en France, ou encore à donner d’autres informations librement quant à la méthode utilisée. Elle rappelle que des entretiens postérieurs sont également envisagés pour " mettre des mots sur les recours et parcours " selon les précisions de l’INED. Elle considère, par conséquent, que sont ainsi susceptibles d’être collectées des données relatives à l’opinion politique et/ou aux convictions religieuses ou des données susceptibles de révéler la prétendue origine raciale ou ethnique. Les mentions d’information ainsi que le registre de traitement devront être mis à jour sur ce point.
Au regard de ces précisions, la Commission rappelle que les données " sensibles " font l’objet d’une protection particulière et estime qu’il conviendrait de pré-renseigner ces champs libres avec une information relative à la manière dont il convient de les renseigner afin de limiter au strict nécessaire la collecte de telles données. Une vigilance particulière devra également être apportée s’agissant des données qui pourront être collectées dans le cadre des entretiens semi-directifs qui auront lieu a posteriori auprès des personnes qui auront accepté d’être recontactées. 
 
Les autres catégories de données collectées n’appellent pas d’observations particulières de la part de la Commission. 
 
Sur les durées de conservation
Il résulte des précisions apportées par l’INED que le " fichier brut ", le " fichier de production intermédiaire " et le " fichier d’étude " seront conservés jusqu’à cinq ans après la date de la dernière valorisation scientifique. Le " fichier de production et de recherche " sera mis à disposition sur le réseau Quetelet Progedo Diffusion et suivra les règles de conservation prévue dans ce cadre. Le " fichier des contacts pour les entretiens qualitatifs " sera détruit dès que les entretiens auront été réalisés. Les fichiers d’enregistrements audio seront conservés le temps de la vérification de leur retranscription puis seront supprimés. Les retranscriptions seront conservées jusqu’à cinq ans après la date de la dernière valorisation scientifique. La Commission prend acte qu’après l’expiration des dates de conservation des fichiers concernés, une copie sera archivée sur un serveur sécurisé de l’INED et les fichiers d’origine seront versés aux Archives de France.
En premier lieu, la Commission relève que le " fichier de production et de recherche ", mis à disposition de la communauté scientifique via le réseau Quetelet-Progedo-Diffusion, est présenté comme subissant un traitement d’anonymisation. Cependant, le responsable de traitement ne le présente pas comme anonyme, ces mesures permettant uniquement de faire diminuer la possibilité de réidentification. Ces données restant donc des données à caractère personnel, la Commission rappelle qu’il est indispensable de fixer une durée de conservation, ces données ne pouvant en tout état de cause rester disponibles pour une durée illimitée. 
 
A cet égard, la Commission rappelle que l’anonymisation des données devrait être conforme à l’avis n°05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G 29) le 10 avril 2014. 
 
En deuxième lieu, concernant les autres fichiers (en dehors du " fichier des contacts pour les entretiens qualitatifs " qui sera détruit dès que les entretiens auront été réalisés), la Commission estime que la durée de conservation ne saurait être supérieure à cinq ans à compter de la dernière publication scientifique.
 
Sous réserve de ce qui précède, la Commission considère que les données collectées sont conservées pendant une durée qui n’excède pas la durée nécessaire compte tenu des finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.
En troisième lieu, les données dédiées à l’archivage ont été clairement identifiées. Celles-ci font l'objet d'une procédure spécifique, à l'issue de leur durée de conservation, qui permet leur extraction et leur stockage dans des conditions adéquates. Cependant, la Commission rappelle que ces archives conservées par l’INED ne peuvent l’être de manière indéfinie, et il est indispensable que le responsable de traitement leur fixe une durée de conservation.
 
En quatrième lieu, la Commission rappelle qu'une durée de conservation des journaux de 18 mois n'est pas conforme aux six mois préconisés par la Commission pour ce type de traitement, et qu’aucune finalité compatible n’a été mise en avant par le responsable de traitement justifiant l'application d'une durée différente de celle habituellement préconisée par la Commission. Elle rappelle que la mise en œuvre d’un mécanisme proactif de contrôle automatique des traces contribue à la détection des comportements anormaux par la génération automatique d’alertes.
 
Sur les destinataires des données
En premier lieu, la Commission prend acte que pourront avoir accès aux données les membres de l’équipe scientifique ainsi que le comité scientifique du consortium sur le " cloud " de l’INED. Elle observe que certains membres du comité scientifique pourraient se trouver hors du territoire de l’Union européenne, notamment au Royaume-Uni qui ne fait désormais plus partie de l’Union européenne mais bénéficie d’une période transitoire. Elle relève que la consultation du " cloud " de l’INED par une personne se situant sur le territoire d’un Etat tiers constitue un transfert de données hors de l’Union européenne.
La Commission rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD. Elle relève que le Royaume-Uni bénéficie d’une période transitoire jusqu’au 31 décembre 2020. Elle considère que, après cette date, il reviendra à l’INED de s’assurer de la licéité d’un tel transfert et de mettre en œuvre les mesures de sécurité nécessaires au traitement des données par des chercheurs situés en dehors du territoire de l’Union européenne. En particulier, elle rappelle que les transferts de données vers des Etats n’appartenant pas à l’Union européenne ne pourront être opérés que sous réserve du respect des conditions énoncées aux articles 45 et suivants du RGPD. En l’absence de décision d’adéquation adoptée par la Commission européenne, de tels transferts ne pourront être réalisés que sous réserve que des garanties appropriées soient mises en œuvre conformément à l’article 46 du RGPD.
 
Sous réserve de ce qui précède, la Commission considère que la consultation des données par les personnes mentionnées dans les nouveaux articles apparaît justifiée et proportionnée.
 
En second lieu, la Commission demande, conformément à l’article 13 du RGPD, que l’ensemble des catégories de destinataires, notamment la communauté scientifique via des réseaux de diffusion, apparaisse dans les informations délivrées aux personnes concernées. Elle prend acte de l’engagement de l’INED sur ce point. 
 
Sur les droits des personnes