AgentPublic/cnil huggingface dataset:
du II de cet article
. De telles fonctionnalités avancées, conditionnées à l’accord exprès du titulaire de l’autorité parentale, pourraient toutefois être intégrées au terminal sur une base volontaire. 
Enfin,
la CNIL regrette l’absence de garanties s’agissant des données à caractère personnel des utilisateurs majeurs susceptibles de mettre en œuvre les dispositifs de contrôle parental. Dès lors que les fonctionnalités minimales peuvent être mises en œuvre localement, sans remontée de données vers des serveurs distants et sans création de compte sur un serveur, elle considère que les données des utilisateurs majeurs devraient faire l’objet de garanties similaires à celles des utilisateurs mineurs. 
Elle invite le ministère à compléter le projet de décret en ce sens. 
Sur les fonctionnalités et caractéristiques techniques 
des dispositifs de contrôle parental intégrés au terminal de manière volontaire par les fabricants 
Le III du projet d’article R. 20-29-10-1 du CPCE prévoit que les fonctionnalités optionnelles proposées à l’utilisateur majeur doivent être mises en œuvre sans entraîner de traitement de données à caractère personnel de l’utilisateur mineur, y compris localement, sur son équipement terminal. Le projet de décret prévoit une dérogation à ce principe en cas d’accord exprès de l’utilisateur majeur ou lorsque cela est techniquement impossible.
En premier lieu, la CNIL invite le ministère à modifier le projet de décret afin de faire référence au titulaire de l’autorité parentale à l’égard du mineur concerné en lieu et place de l’utilisateur majeur.
Il semble qu’un tel accord ne vise pas le consentement au sens de l’article 6.1.a du RGPD, mais la conclusion d’un contrat permettant à l’utilisateur majeur d’accéder au contrôle parental. A cet égard, cet accord ne préjuge pas de la base légale du traitement de données au sens de l’article 6 du RGPD. La CNIL rappelle par ailleurs que seules les données strictement nécessaires à la finalité poursuivie pourront être collectées. 
En second lieu, le projet de décret étend l’interdiction relative au traitement des données à caractère personnel de l’utilisateur mineur à des fins commerciales initialement prévue s’agissant des données qui pourraient être collectées dans le cadre des fonctionnalités minimales, à celles pouvant être collectées dans le cadre des fonctionnalités optionnelles. La CNIL accueille favorablement cette interdiction.
Sur l’information des utilisateurs concernant le dispositif de contrôle parental et la documentation technique 
Le projet d’article R. 20-29-10-3 du CPCE prévoit que la documentation technique devant être établie par le fabricant de terminaux doit notamment comporter la notice d’utilisation et les instructions permettant l’activation, l’utilisation, la mise à jour et, le cas échéant, la désactivation du dispositif.
Le projet d’article R. 20-29-10-8 du CPCE prévoit, par ailleurs, que le fabricant de terminaux met à disposition des utilisateurs, des informations portant notamment sur les caractéristiques essentielles et fonctionnalités techniques proposées par le dispositif de contrôle parental installé sur leur équipement, ainsi qu’une notice explicative de sa configuration et de son fonctionnement.
La CNIL 
souligne l’importance de mettre à disposition de l’utilisateur une information simple et pédagogique. Cette information devra notamment expliquer clairement les modalités d’activation, de désactivation et, lorsque cela est possible, de désinstallation du dispositif. Cela permettra de s’assurer que les personnes concernées disposent de toutes les informations leur permettant de maîtriser pleinement les outils de contrôle parental.
Par ailleurs, l’utilisation des termes "le cas échéant" au 3° du projet d’article R. 20-29-10 du CPCE, concernant la désactivation du dispositif, n’apparaît pas dans la mesure où un dispositif de contrôle parental doit systématiquement être désactivable. Par conséquent, la CNIL invite le ministère à supprimer ces termes.
Sur les compétences de l’agence nationale des fréquences (ANFR)
Le projet de décret élargit les pouvoirs de l’ANFR afin qu’elle vérifie que les terminaux mis sur le marché respectent les exigences prévues au projet d’article R. 20-29-10-1 du CPCE. Plus précisément, le IV du projet d’article R.20-29-10-4 du CPCE prévoit que l’ANFR peut vérifier auprès des fabricants de terminaux les déclarations de conformité. Lorsque l’ANFR identifie un risque de non-conformité aux spécifications techniques prévues au projet d’article R. 20-29-10-1 du CPCE, elle peut mettre en demeure l’opérateur économique concerné de remédier à cette situation.
Ces dispositions pouvant porter sur la protection des données à caractère personnel, la CNIL rappelle que les pouvoirs conférés à l’ANFR s’exercent sans préjudice de ses compétences concernant le contrôle et les sanctions en lien avec la conformité de tels traitements de données au RGPD et à la loi du 6 janvier 1978 modifiée. La CNIL rappelle la possibilité pour l’ANFR de la consulter pour toute question en lien avec la protection des données à caractère personnel.
Les autres dispositions du projet de décret n’appellent pas d’observations.
La Présidente
 
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’économie, des finances et de la souveraineté industrielle et numérique d’un projet de décret simple portant application de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2022-300 du 2 mars 2022 visant à renforcer le contrôle parental sur les moyens d’accès à internet ;
Vu la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique ;
Après avoir entendu le rapport de Mme Aminata NIAKATE, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
ETANT RAPPELES LES ELEMENTS DE CONTEXTE SUIVANTS
L’article 6 de la loi n° 2004‑575 du 21 juin 2004 pour la confiance dans l’économie numérique a été modifié par l’article 3 de la loi n° 2022-300 du 2 mars 2022 visant à renforcer le contrôle parental sur les moyens d’accès à internet. Cette modification vient préciser que les moyens techniques permettant de restreindre l'accès à certains services que doivent proposer les fournisseurs d’accès à internet (FAI) doivent être proposés aux abonnés "sans surcoût" et que "les fonctionnalités minimales et les caractéristiques techniques" doivent être précisées par décret pris après avis de la CNIL.
 
EMET L’AVIS SUIVANT SUR LE PROJET DE DECRET
Le projet de décret se borne à prévoir que ces moyens techniques doivent permettre "de bloquer l’accès des mineurs aux contenus susceptibles de nuire à leur épanouissement physique, mental ou moral" (projet de Chapitre IV du Titre Ier du livre III du code des postes et des communications électroniques). Le projet de décret ne décrit pas les "fonctionnalités" permettant ce blocage et n’impose aucune caractéristique technique pour leur fonctionnement.
La CNIL s’interroge sur la portée de ce projet de décret.
Elle rappelle qu’il est essentiel de protéger les mineurs sur internet, eu égard aux risques spécifiques auxquels ils sont exposés (harcèlement, arnaques, pédophilie…) et à la facilité d’accès à des contenus inadaptés. Cette protection passe par de nombreux canaux, au premier rang desquels figure l’éducation au numérique, à laquelle diverses autorités publiques, dont la CNIL, contribuent. La mise en place de dispositifs de contrôle automatisés constitue un moyen pertinent pour assurer cette protection. Cependant, la CNIL souligne, d’une part, qu’ils doivent s’inscrire dans le cadre d’une action plus globale de sensibilisation, d’éducation et de protection de la jeunesse dans ses usages numériques ; d’autre part que ces dispositifs peuvent impliquer la collecte de données personnelles et une forme de surveillance des mineurs et qu’un équilibre doit donc être trouvé entre ce contrôle et le respect de leur vie privée et de leur autonomie. Parmi les dispositifs de contrôle automatisé, la CNIL a recommandé, à de nombreuses reprises, de favoriser l’usage de dispositifs à la main des utilisateurs plutôt que de solutions centralisées ou imposées à ceux-ci.
La CNIL approuve donc que les fournisseurs d’accès à internet doivent fournir un dispositif gratuit de contrôle parental. Les fonctionnalités minimales que ce dispositif gratuit doit comporter et ses caractéristiques sont importantes dans un objectif de protection de la jeunesse, et pour garantir la protection des données personnelles qui pourraient être traitées dans le cadre du fonctionnement de ces dispositifs.
S’il est incontestablement difficile d’inscrire dans le CPCE des solutions techniques susceptibles, par nature, d’évoluer, il n’en reste pas moins que le projet de texte ne remplit pas les objectifs que lui a assignés le législateur. La Commission relève d’ailleurs que le projet de décret pour l’application d’une obligation analogue s’imposant aux fabricants de terminaux définit, lui, des fonctionnalités minimales et des caractéristiques techniques.
Au titre de ce qui devrait être précisé par le décret, il faut souligner que l’obligation des FAI et les contraintes techniques ne sont pas les mêmes selon qu’il s’agit d’un accès à internet via un équipement intermédiaire spécifique fourni à l’utilisateur (routeur, box, etc.) ou d’un accès direct à internet par le réseau mobile (4G, 5G, etc.). En effet, les dispositifs de contrôle parental intégrés dans les routeurs ou les box d’accès à internet apparaissent, en première analyse, pouvoir apporter une protection supplémentaire puisqu’ils peuvent être configurés pour s’appliquer à tous les terminaux se connectant par leur biais. En revanche, les dispositifs fournis par les FAI pour l’accès à internet depuis un terminal mobile (téléphone et tablette en particulier) seront largement redondants avec les dispositifs que les fabricants de ces terminaux devront mettre en place. Cette protection pourrait être en tout état de cause pertinente pour tous les terminaux déjà en circulation et il appartient au projet de décret de préciser l’articulation des deux dispositifs, fournis par le FAI et les fabricants, pour les nouveaux terminaux. Le projet de décret devrait également décrire les fonctionnalités minimales offertes aux représentants légaux des mineurs pour paramétrer le contrôle parental (listes noires, listes blanches, téléchargements interdits…). Il devrait enfin déterminer des garanties spécifiques en matière de protection des données personnelles des utilisateurs de l’accès à
internet, en privilégiant un traitement local chaque fois que cela est possible.
En tout état de cause ces dispositions doivent contenir des garanties en matière de protection des données à caractère personnel, sur lesquelles le législateur a souhaité qu’elle porte un avis.
A ce titre, les moyens techniques et les fonctionnalités doivent être mis en place dans le respect des principes de protection des données par conception et par défaut, c’est-à-dire, sans remontée de données à caractère personnel vers des serveurs, sauf à recueillir l’accord exprès d’un titulaire de l’autorité parentale. 
La Présidente
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la société " Clinityx" d’une demande d’autorisation de traitements automatisés ayant pour finalité la réalisation d’études de faisabilité dans le domaine de la santé, nécessitant un accès aux données de l’entrepôt "Magellan" ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 16 février 2023 ;
Vu la délibération n° 2022-009 du 27 janvier 2022 autorisant la société Clinityx à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "Magellan" ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire en son rapport, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés (CNIL) a été saisie par la société Clinityx, agissant en qualité de responsable de traitement, d’une demande d’autorisation de traitements fondée sur l’article 66 IV de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après loi "informatique et libertés").
 
Sur le responsable de traitement :
La société Clinityx, est une entreprise spécialisée dans la recherche dans le domaine de la santé. La société Clinityx souhaite réaliser des études de faisabilité dans la perspective d’éventuelles recherches dans le domaine de la santé.
Sur l’opportunité du recours à la décision unique :
La société Clinityx a été autorisée à mettre en œuvre pendant dix ans un entrepôt de données de santé dénommé "Magellan" (délibération n° 2022-009 du 27 janvier 2022).
La société Clinityx, sollicite l’autorisation de traiter les données de l’entrepôt "Magellan" afin de réaliser des études de faisabilité dans le cadre de recherches dans le domaine de la santé, pendant une durée de trois ans. Les destinataires des données seront les personnes habilitées par la société Clinityx. Elle envisage de mettre en œuvre, dans ce cadre, une centaine de traitements annuellement.
Les traitements décrits relevant du régime prévu par les dispositions des articles 66 et 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après loi "informatique et libertés"), la CNIL estime opportun, au vu des éléments présentés dans le dossier de demande, de faire application des dispositions de l’article 66 IV, qui lui permettent, par décision unique, de délivrer à un même demandeur une autorisation pour des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.
Conformément à l'article 30 du RGPD, le responsable de traitement devra tenir à jour, au sein de son registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente décision unique.
Sur l’application des dispositions liées au Système national des données de santé (SNDS) :
Les traitements nécessitent un accès aux données de l’entrepôt "Magellan", composé exclusivement de certaines données du SNDS.
La CNIL rappelle que l’ensemble des dispositions législatives et réglementaires relatives au SNDS sont applicables en l’espèce, et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code de la santé publique (CSP).
 
Sur la licéité des traitements :
Les traitements mis en œuvre par la société Clinityx sont réalisés à des fins de recherche scientifique. Ils sont nécessaires aux fins des intérêts légitimes poursuivis par le responsable de traitement, prenant en considération le caractère très indirectement identifiant des données et les garanties, notamment en termes de droits des personnes, prévues par les textes encadrant la mise à disposition des données du SNDS.
Ces traitements sont, à ce titre, licites au regard des articles 6.1.f et 9.2.j du Règlement général sur la protection des données (ci-après "RGPD").
Sur la finalité des traitements et leur caractère d’intérêt public :
Les traitements nécessitant un accès aux données de l’entrepôt "Magellan", ont pour finalité la réalisation d’études de faisabilité, afin d’estimer la pertinence de la réalisation de recherches dans le domaine de la santé. Les études seront exclusivement réalisées à l’initiative de la société Clinityx et indépendamment de toute demande d’un client.
S’il ressort de ces études de faisabilité que la réalisation de recherches dans le domaine de la santé est pertinente, ces traitements devront être mis en œuvre conformément aux dispositions des articles 66, 72 et suivants de la loi du 6 janvier 1978 modifiée.
La finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5.1.b) du RGPD et présente un intérêt public, conformément à l’article 66 I de la loi "informatique et libertés".
Sur les catégories de données traitées :
Le responsable de traitement ne doit traiter, pour chacun des traitements mis en œuvre dans le cadre de la présente décision unique, que les données strictement nécessaires et pertinentes au regard des objectifs des traitements.
Les traitements inclus dans le cadre de la décision unique portent sur les données contenues dans l’outil Magellan, correspondant à 90 variables du SNDS, portant sur une profondeur historique de cinq années d’antériorité en fenêtre roulante.
Par ailleurs, le caractère adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles les données sont traitées, la zone géographique concernée et la profondeur historique des données consultées, devront être justifiés dans le registre pour chaque traitement mis en œuvre dans le cadre cette décision unique.
La CNIL considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5.1.c) du RGPD.
Sur la durée de conservation des données :
Les données à caractère personnel contenues dans l’outil "Magellan" ne peuvent faire l’objet d’une conservation par le responsable de traitement en dehors de cette plateforme, leur exportation est interdite.
Les données nécessaires à la réalisation des requêtes seront conservées dans l’espace de travail pendant la durée nécessaire à la production des indicateurs et supprimées dans un délai maximal d’un mois. Les analyses seront réalisées annuellement pendant trois ans, via l’outil de requêtage, dans l’espace projet de chaque étude.
La CNIL considère que cette durée de conservation des données n’excède pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5.1.e du RGPD.
Sur la publication des résultats :
Lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi "informatique et libertés".
Un rapport standard de faisabilité, contenant des indicateurs agrégés, sera disponible dans l’interface utilisateur, à destination exclusive des membres de l’équipe Clinityx.
Un rapport semestriel des usages de l’outil sera publié sur le portail de transparence "Sémaphore" dédié à l’entrepôt "Magellan", et transmis au Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES) et à la CNIL.
Sur les catégories de destinataires des données :
Seules la société Clinityx, responsable du traitement, et les personnes habilitées par elle ont accès aux données dans le cadre de la présente décision unique. La société Clinityx tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur l’information et les droits des personnes :
S’agissant des modalités d’information :
Les personnes concernées sont informées de la mise en œuvre du SNDS et de la réutilisation possible des données de santé à caractère personnel les concernant selon des modalités définies par l'article R. 1461-9 du CSP.
Les dispositions de l’article 69 de la loi "informatique et libertés" sont applicables à tous les traitements réalisés à partir de données du SNDS.
Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il est fait exception au principe d'information individuelle des personnes et des mesures appropriées sont prises par le responsable de traitement afin de rendre l’information publiquement disponible concernant la mise en œuvre de ces traitements.
Un portail de transparence (via l’outil "Semaphore") est mis en place par le responsable de traitement. Il comportera :
une note d’information générale sur les traitements mis en œuvre dans le cadre de la présente décision unique ;
une note d’information spécifique à chaque traitement.
Cette dernière devra être publiée avant la mise en œuvre de chaque traitement.
L’ensemble des documents d’information devront comporter les mentions prévues par l’article 14 du RGPD.
S’agissant des modalités d’exercice des droits :
Les personnes concernées pourront exercer leurs droits auprès du délégué à la protection des données de la société Clinityx pendant toute la durée des traitements.
La CNIL estime que ces modalités d’information et d’exercice des droits sont satisfaisantes au regard des dispositions du RGPD et de la loi "informatique et libertés".
Sur la sécurité des données et la traçabilité des actions :
L’infrastructure technique du responsable de la mise en œuvre de l’entrepôt "Magellan", utilisée pour l’hébergement de systèmes fils du SNDS a été analysée par la CNIL à diverses reprises, notamment dans le cadre de précédentes demandes d’autorisation.
 
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à l’entrepôt "Magellan" et aux différents espaces projet contenant les études liées à cet outil de production d’indicateurs, ainsi qu’une analyse de risques sur la sécurité des systèmes d’information.
 
Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 31 janvier 2023, conformément à l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS. Cette décision d’homologation n’est valable que jusqu’au 31 décembre 2024 et devra donc être renouvelée avant cette date si le projet est toujours en cours.