AgentPublic/cnil huggingface dataset:
En premier lieu, elle estime qu’une telle information s’avère essentielle au regard de l’impact qu’un tel dispositif est susceptible d’avoir sur les personnes et notamment sur les détenteurs légitimes du passe sanitaire pour lesquels l’intégration dans la liste d’exclusion ne découlerait ni d’une plainte ni d’un signalement à leur initiative ou qui n’ont pas recours à la fonctionnalité Carnet de l’application TousAntiCovid . De manière concrète, un tel défaut d’information pourra, par exemple, conduire une personne à se voir refuser l’accès à un établissement de santé dans lequel elle doit se rendre pour des soins programmés (hors situation d’urgence qui n’exige pas la présentation du passe sanitaire) ou encore à ce qu’un salarié ne puisse pas accéder temporairement à son lieu de travail, ou lors de l’embarquement dans un moyen de transport. La mise à disposition d’une procédure permettant aux personnes concernées de générer, de manière quasi-instantanée, un nouveau certificat (avec un nouvel identifiant unique et une nouvelle signature) ne permet pas, selon la Commission, de limiter de manière suffisante l’impact pour les personnes et, plus particulièrement, celles pour lesquelles la capacité d’accès et d’usage aux outils numériques demeure limitée.
En deuxième lieu, la Commission relève que l’importance d’une telle information ressort également de l’esprit du législateur européen qui précise, à l’attention des Etats-membres qui mettent en œuvre une telle liste d’exclusion, que les titulaires de certificats révoqués devraient être rapidement informés de la révocation de leurs certificats et des motifs de la révocation (considérant 19 du règlement relatif au certificat numérique européen Covid).
En dernier lieu, la Commission relève qu’il appartiendra au ministère d’identifier les modalités par lesquelles l’information pourra être délivrée, que celles-ci soient automatisées ou nécessitent une intervention humaine, et notamment la procédure qui permettra de récupérer les coordonnées des personnes à contacter. A cet égard, elle rappelle que, dans l’hypothèse où l’information des personnes impliquerait d’accéder et de réutiliser les informations de contact de la personne concernée via le système d’information national de dépistage (SI-DEP) et le système d’information pour la mise en œuvre, le suivi et le pilotage des campagnes vaccinales contre la covid-19 (SI VACCIN COVID ), le ministère devra s’assurer de la licéité d’un tel dispositif au regard des textes encadrant ces traitements, notamment s’agissant des finalités poursuivies ainsi que des personnes habilitées à accéder aux données.
Sur les droits des personnes concernées
La Commission rappelle que l’information délivrée aux personnes (aux différentes étapes du traitement, tel que rappelé ci-dessus) devra préciser les droits dont celle-ci dispose s’agissant du traitement envisagé, ainsi que les modalités d’exercice de ces droits. Par ailleurs, les précisions apportées par le ministère sur l’exercice de certains droits garantis par le RGPD appellent les observations suivantes.
 
En premier lieu, s’agissant du droit d’opposition, la Commission prend acte des précisions apportées par le ministère selon lesquelles le droit d’opposition, consacré par l’article 21.1 du RGPD, demeure applicable au traitement de données envisagé. La Commission s’interroge sur l’intérêt de prévoir, en l’espèce, un droit d’opposition au regard des finalités poursuivies, dès lors que ce droit ne saurait être justifié lorsque la fraude est caractérisée, d’autant que, lorsqu’il s’avère qu’elle ne l’est pas, les empreintes des certificats doivent être effacées en application du principe d’exactitude des données (article 5.1.d du RGPD) et du droit à l’effacement (article 17 du RGPD). Elle rappelle au ministère que l’article 23 du RGPD permet d’écarter ce droit et, le cas échéant, attire son attention sur la nécessité de s’assurer du respect de l’article 23.2 du RGPD.
En deuxième lieu, le ministère a précisé que le droit d’accès pourra être exercé en prenant connaissance de la liste d’exclusion, accessible publiquement, et souligne que l’information sur le fait que le certificat se trouve ou non dans le traitement considéré sera également présente au sein de la fonctionnalité Carnet de l’application TousAntiCovid. La Commission attire l’attention sur le fait que ces éléments ne sauraient constituer des modalités valables de réponse à l’exercice du droit d’accès des personnes concernées dès lors que :
d’une part, le renvoi à la liste d’exclusion, publiquement accessible, ne permet pas aux personnes concernées de savoir si leurs données à caractère personnel sont présentes dans le fichier, celui-ci ne contenant que les empreintes numériques des certificats, illisibles pour le grand public ;
d’autre part, l’information délivrée via la fonctionnalité Carnet , si elle permet de savoir que des données à caractère personnel de la personne se trouvent ou non dans le fichier, ne concerne que les personnes utilisant la fonctionnalité Carnet de l’application TousAntiCovid ; en outre, elle ne permet pas d’en obtenir une copie au sens de l’article 15.3 du RGPD.
En dernier lieu, la Commission attire l’attention du ministère sur les efforts de pédagogie qui devront être mis en œuvre pour informer les personnes sur les voies de recours possibles, une fois celles-ci informées de l’intégration de l’empreinte numérique de leur certificat dans la liste d’exclusion. En effet, les personnes concernées devront être clairement informées des modalités leur permettant de générer un nouveau certificat comprenant un nouvel identifiant unique et une nouvelle signature numérique.
 
Sur la durée de conservation
 
La Commission relève que le décret reste silencieux sur la durée de conservation des données (empreintes numériques des certificats) au sein de la liste d’exclusion.
 
Elle prend acte des précisions apportées par le ministère selon lesquelles la durée de conservation des données est liée à l’obligation de présentation du passe sanitaire pour les activités concernés qui, s’agissant des déplacements à l’étranger, devrait a minima perdurer jusqu’au 31 décembre 2021.
A cet égard, la Commission invite le ministère à compléter le projet de décret afin soit d’indiquer une date précise à partir de laquelle les données devront être supprimées, soit de préciser les critères utilisés pour déterminer cette durée. En tout état de cause, la Commission rappelle que les empreintes numériques des certificats pour lesquels les infractions suspectées ne seraient finalement pas établies à l’issue de la procédure doivent être supprimées de la liste d’exclusion, en application notamment du principe d’exactitude des données prévu à l’article 5.1.d du RGPD.
Sur la génération temporaire d’un passe sanitaire activité 
 
L’article 1er prévoit d’ajouter un 4° à l’article 2-2 du décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire afin d’intégrer, aux certificats prévus par les textes, un passe dit activités valable pour une durée maximale de 48 heures, sur présentation de l’un des certificats composant le passe sanitaire.
Ce passe activités permet, d’une part, de limiter considérablement les données à caractère personnel présentes dans le code QR, celles-ci étant restreintes aux nom, prénoms, date de naissance ainsi qu’à la date et l’heure de fin de validité du passe activités et, d’autre part, de restreindre la durée durant laquelle le passe pourra être utilisé.
La Commission accueille favorablement la mise en œuvre d’un tel dispositif, qui permet de répondre aux observations que la Commission a formulées à plusieurs reprises dans le cadre de ses précédents avis, en contribuant au renforcement des garanties prévues par le passe sanitaire en matière de protection des données à caractère personnel.
 
En effet, la minimisation des données et le caractère temporaire du passe permettent de réduire considérablement le risque que des personnes, habilitées ou non à contrôler le passe sanitaire, puissent avoir accès à des données à caractère personnel dont elles ne devraient pas avoir connaissance (notamment les données concernant la santé des personnes) compte tenu de l’absence de chiffrement des informations stockées dans le code QR des justificatifs. Plus particulièrement, le passe activités permet notamment de répondre aux observations formulées par la Commission, dans sa délibération du 6 août 2021, sur la nécessité d'identifier des solutions techniques et fonctionnelles permettant de minimiser les risques induits par l’utilisation de l’application TousAntiCovid en lieu et place de l’application de lecture du passe sanitaire dénommée TousAntiCovid Verif . Elle attire toutefois l’attention du ministère sur la nécessité de s’assurer que le parcours utilisateur soit le plus simple possible afin d’assurer la compréhension du dispositif ainsi que son accessibilité par le plus grand nombre.
Par ailleurs, la Commission a rappelé, dans sa délibération du 12 juin 2021, que lorsqu’un traitement de données à caractère personnel, mis en œuvre par une autorité publique, est précisément encadré par un acte réglementaire, la liste des données traitées devait, en principe, figurer dans l’acte. Elle avait alors invité le ministère à compléter le projet de décret sur ce point, d’autant plus que le règlement relatif au certificat numérique européen Covid, qui venait lister les données présentes dans le passe sanitaire européen et auquel le ministère renvoyait dans ses écrits, n’avait pas vocation à encadrer la présentation des justificatifs pour des usages nationaux tels que la régulation de l’accès à certains lieux, établissements ou évènements. De la même façon, la Commission considère que le projet de décret, objet de la présente saisine, devrait être complété afin de préciser les données présentes dans ce nouveau passe activités .
Enfin, la Commission relève que la génération de ce passe activités n’est accessible que via l’application TousAntiCovid . Dans la mesure où celle-ci apporte des garanties supplémentaires en matière de protection des données à caractère personnel, elle s’interroge sur la possibilité de développer un dispositif similaire pour les personnes ne souhaitant pas ou ne pouvant pas utiliser l’application ci-dessus mentionnée, par exemple en permettant la génération d’un passe activités au sein de la plateforme sidep.gouv.fr ou via le téléservice attestation-vaccin.ameli.fr.
 
Sur les mesures de sécurité
A titre liminaire, la Commission rappelle que les AIPD des divers dispositifs impactés par les modifications du présent projet de décret (passe sanitaire, application TousAntiCovid ) devront être mises à jour préalablement à la mise en œuvre des évolutions prévues par le présent projet de décret et prend acte de l’engagement du ministère sur ce point. Elles devront notamment inclure une évaluation détaillée des risques pour les droits et libertés fondamentaux des personnes engendrés par la création du traitement de données relatif à la lutte contre la fraude au passe sanitaire.
La Commission rappelle que les mesures prises pour garantir la sécurité des données traitées dans le cadre des listes d’exclusion et pour informer les personnes dont l’empreinte numérique des certificats est inscrite dans la liste quant à la conduite à tenir, devront également être appliquées aux dispositifs de lecture du passe alternatifs à l’application TousAntiCovid Verif . Elle suggère, à ce titre, que les modalités précises de gestion de ces listes figurent explicitement dans l’arrêté mentionné à l’article 2-3-III du décret n° 2021-699 du 1er juin 2021 susvisé.
Enfin, la Commission rappelle au ministère que les modalités techniques de génération des empreintes numériques des certificats devront être conformes au référentiel général de sécurité (RGS) et notamment à son annexe relative aux mécanismes cryptographiques.
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la justice d’une demande d’avis concernant un projet de décret portant création d’un traitement de données à caractère personnel dénommé Recensement des affaires terroristes (RECAT) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l’égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le règlement (UE) 2018/1727 du Parlement européen et du Conseil du 14 novembre 2018 relatif à l’Agence de l’Union européenne pour la coopération judiciaire en matière pénale ;
Vu le code pénal, notamment ses articles 421-1 à 421-8, 422-1 à 422-7 ;
Vu le code de procédure pénale, notamment ses articles 695-8-1, 695-8-2 et 706-16 et suivants ;
Vu la loi n° 2019-222 du 23 mars 2019 de programmation 2018-2022 et de réforme pour la justice ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 31-II et 89-II ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78- 17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-349 du 21 décembre 2017 portant avis sur un projet de décret portant création d’un traitement automatisé de données à caractère personnel dénommé recensement des individus terroristes (RECIT) ;
Après avoir entendu Mme Christine MAUGÜÉ, commissaire en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
Le projet de décret soumis pour avis à la Commission doit permettre au parquet général de Paris et au parquet national antiterroriste (PNAT) de recenser l’ensemble des procédures judiciaires suivies sous une qualification terroriste ainsi que l’ensemble des personnes mises en cause dans ces affaires. Il vise ainsi à mettre à la disposition du ministère de la justice une base de données exhaustive relative à ces procédures et à permettre de procéder à certains recoupements utiles à l’exercice et à la conduite de l’action publique ainsi qu’à extraire des données statistiques fiables.
La Commission relève qu’un tel projet est justifié par le développement du contentieux pris en charge par le pôle juridictionnel spécialisé dans la lutte contre le terrorisme et institué à Paris (procureur de la République national antiterroriste, pôle de l’instruction, tribunal correctionnel de Paris, cour d’assises de Paris) disposant, en application de l’article 706-17 du code de procédure pénale (CPP), d’une compétence concurrente à celle dévolue aux juridictions de droit commun pour la poursuite, l’instruction et le jugement des actes de terrorisme et des infractions connexes mentionnées à l’article 706-16 du même code. Cette compétence concurrente se traduit dans les faits par une compétence nationale exclusive du parquet antiterroriste et des magistrats instructeurs antiterroristes de Paris pour le traitement des crimes et délits terroristes les plus graves, étant précisé que cette centralisation se poursuit au stade de l’exécution de la peine. Ce traitement doit permettre au ministère de disposer d’éléments chiffrés suffisamment précis et détaillés concernant le traitement judiciaire du contentieux terroriste, ce que ne permettraient pas les autres bases de données du ministère.
La Commission observe que le présent projet de décret vise à tenir compte d’un certain nombre d’observations formulées dans le cadre de sa délibération n° 2017-349 du 21 décembre 2017 susvisée, en particulier s’agissant de la dénomination du projet qui apparaissait comme inappropriée au regard des finalités du traitement dans la mesure où, contrairement à ce que semblait indiquer les termes recensement des individus terroristes , le traitement doit réunir des informations relatives à l’ensemble des personnes mises en cause dans le cadre d’une procédure y compris lorsque la procédure a abouti à un classement sans suite, un non-lieu, un acquittement ou une relaxe. Il vise également à adapter le texte réglementaire à de nouvelles évolutions, notamment celles liées à la nécessité de faire évoluer le traitement pour le rendre accessible à Eurojust.
Dans la mesure où le traitement RECAT est notamment mis en œuvre à des fins de faciliter le suivi par le PNAT et le parquet général de Paris des procédures judiciaires comportant une infraction qualifiée de terroriste, d’assurer le recoupement des informations dans le cadre de la direction des enquêtes et de fiabiliser les données et le partage d’informations avec les directions du ministère de la justice et le bureau français d’Eurojust, il relève du champ d’application de la directive (UE) 2016/680 du 27 avril 2016 susvisée (ci-après la directive ) et doit être examiné au regard des dispositions des articles 87 et suivants de la loi du 6 janvier 1978 modifiée.
La Commission rappelle qu’elle devra être tenue informée, dans les conditions prévues à l’article 33-II de la loi du 6 janvier 1978 modifiée, de toute modification substantielle affectant les caractéristiques du traitement.
Sur les conditions générales de mise en œuvre du dispositif
En premier lieu, la Commission souligne qu’elle avait considéré dans sa délibération n° 2017-349 précitée que, au regard des finalités du traitement, la responsabilité de celui-ci devrait être expressément confiée au parquet de Paris et non à la direction des affaires criminelles et des grâces (DACG) du ministère de la justice. Elle prend acte des précisions apportées par le ministère selon lesquelles la responsabilité du traitement RECAT est confiée à la DAGC et non au PNAT et que cette organisation ne remet pas en cause les prérogatives attachées au statut des magistrats du parquet dans la mesure où si le procureur de la République antiterroriste assure la mise en mouvement et l’exercice de l’action publique dans les procédures terroristes concernées par le traitement RECAT, il met en œuvre la politique pénale définie par les instructions générales du ministère de la justice , qui sont élaborées par la DACG. Le ministère indique également que le groupe de travail à l’origine de la création du traitement a été initié par la DACG qui a décidé l’architecture générale du traitement et ses caractéristiques et que le PNAT n’est que l’utilisateur du traitement .
En deuxième lieu, la Commission prend acte des précisions apportées par le ministère selon lesquelles un contrôle est réalisé par le référent Informatique et libertés de la DACG afin qu’il s’assure que les informations enregistrées dans RECAT sont pertinentes au regard des finalités assignées au traitement et qu’il dispose, à cet effet, d’un accès à l’ensemble des données du traitement en consultation. Le cas échéant, il pourra solliciter auprès du PNAT ou du parquet général de Paris l’effacement des données non pertinentes. Il sera également chargé de vérifier que les habilitations délivrées par le PNAT ou le parquet général de Paris à des personnels n’ayant plus le droit de connaître des informations contenues dans le traitement ont bien été supprimées. Elle prend également acte que ce référent Informatique et Libertés n’exercera aucun contrôle sur l’exercice, par les magistrats du parquet général ou du PNAT, de leurs missions ou sur le suivi des enquêtes, dont il n’est pas informé. Elle considère que l’existence des missions de contrôle du référent Informatique et Libertés , qui constitue une garantie participant à la mise en conformité du traitement RECAT aux exigences en matière de protection des données à caractère personnel, pourrait être utilement mentionnée dans le projet de décret et prend acte de l’engagement du ministère de modifier le projet de décret afin de la faire figurer dans ce texte.
En troisième lieu, la Commission relève que des données relatives à des personnes mineures pourront être enregistrées dans le traitement RECAT . Elle estime que des mesures particulières devraient être mises en œuvre par le ministère afin de s’assurer que le traitement de données relatives à des personnes mineures, qui peuvent être des données sensibles, fait l’objet de garanties appropriées pour les droits et libertés de ces dernières. En effet, elle rappelle que, conformément aux dispositions de l’article 88 de la loi du 6 janvier 1978 modifiée, le traitement de ces données est possible uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée .
Sur les finalités du traitement
Les finalités assignées au traitement et énoncées à l’article 1er du projet de décret sont les suivantes :
faciliter le suivi des procédures terroristes par le PNAT et le parquet général de Paris ;
assurer le recoupement des informations dans le cadre de la direction des enquêtes ;
fiabiliser les données et le partage d’informations avec les directions du ministère de la justice, sans se substituer aux rapports d’action publique, ainsi qu’avec le bureau français d’Eurojust afin de faciliter la coopération judiciaire en matière de lutte contre le terrorisme entre les Etats membres de l’Union européenne ;
assurer la remontrée d’informations statistiques. Le traitement permettra à la DACG d’évaluer les instructions de politique pénale qu’elle donne ainsi que l’élaboration de politique pénale et l’adaptation des moyens dédiés au terrorisme.
S’agissant de la finalité permettant d’ assurer le recoupement des informations dans le cadre de la direction des enquêtes , la Commission prend acte que ces recoupements doivent permettre au parquet d’orienter au mieux les investigations mais que, s’agissant en particulier des personnes acquittées, il n’est tiré aucune conséquence judiciaire (ni davantage administrative) des éléments enregistrés dans le traitement . Elle prend également acte que le traitement RECAT ne permet pas d’établir des liens ou des comportements au sens des fichiers d’analyse sérielle . Ainsi, pour la DACG, la seule modalité de recoupement porte sur la recherche par nom ou par numéro de parquet et, si ces recherches permettent d’identifier, en corollaire, des affaires ou des personnes liées , elles ne pourront pas porter sur les champs libres du traitement. Pour les magistrats du PNAT, la Commission relève que les critères de recherche sont identiques mais qu’ils peuvent aussi faire une recherche à partir des champs libres. Au regard de ces précisions, la Commission estime que le projet de décret devrait être complété afin d’indiquer expressément que le traitement RECAT ne permet pas d’établir des recoupements sur la base de liens ou de comportements au sens des fichiers d’analyse sérielle (articles 230-12 à 230-18 du code de procédure pénale) et prend acte de l’engagement du ministère de modifier le projet de décret sur ce point.
Sous réserve de ce qui précède, la Commission estime que les finalités projetées sont déterminées, explicites et légitimes conformément à l’article 4-2° de la loi du 6 janvier 1978 modifiée.
Sur les données collectées
L’article 2 du projet de décret liste les personnes concernées par le traitement :
les personnes mises en cause, mises en examen, placées sous le statut de témoin assisté et poursuivies, qu’elles soient par la suite condamnées, relaxées ou acquittées ;
les victimes, dès lors que ces informations sont nécessaires à l’identification de l’affaire, dans le cadre des procédures pénales diligentées par le PNAT en matière antiterroriste.
La Commission considère que si le ministère entend collecter des données relatives aux personnes ayant fait l’objet d’un classement sans suite ou d’une décision de non-lieu, qui ne sont pas des personnes mises en cause, mises en examen, placées sous le statut de témoins et poursuivies , alors le projet de décret devrait être modifié afin de le prévoir expressément.