AgentPublic/cnil huggingface dataset:
Au regard des précisions apportées par le ministère, la Commission prend acte de ce que la modification projetée vise à permettre l'utilisation du numéro de téléphone pour informer, par SMS, le demandeur de l'expiration prochaine de son titre, six mois avant la date de fin de validité de celui-ci. Cette utilisation des coordonnées téléphoniques s'ajouterait à l'usage qui en est actuellement fait pour transmettre, par SMS également, l'information relative à la disponibilité du titre.
En deuxième lieu, les coordonnées du demandeur sont recueillies lors de la demande de titre d'identité. La durée de validité des titres étant de dix ou quinze ans, il est possible que les coordonnées téléphoniques des personnes changent. En outre, le numéro de téléphone peut être réattribué. Dans ces conditions, les informations transmises par l'administration peuvent être reçues par des personnes tierces.
A cet égard, la Commission prend acte de ce que l'information communiquée par SMS ne sera pas nominative et ne contiendra pas de données à caractère personnel.
Elle s'interroge toutefois sur l'efficacité de l'utilisation du numéro de téléphone du demandeur pour répondre au besoin exprimé. Au regard de l'intervalle de temps séparant le recueil de l'utilisation de cette donnée, et en l'absence de mise à jour des coordonnées des personnes inscrites dans le traitement, il n'est pas garanti que les personnes concernées reçoivent l'information relative à l'expiration de leur titre. Sous cet angle, l'utilisation projetée du numéro de téléphone ne saurait répondre efficacement à l'objectif visé par le ministère.
Au regard de cette observation, la Commission considère que des moyens alternatifs ou complémentaires devraient être mobilisés pour répondre, plus efficacement et dans le strict respect des principes relatifs à la protection des données à caractère personnel, au besoin exprimé. Ainsi, elle accueille favorablement le projet complémentaire de déployer des campagnes d'information visant à inciter les usagers à vérifier eux-mêmes la date de fin de validité de leur titre.
En dernier lieu, elle invite le ministère à mettre à jour l'analyse d'impact relative à la protection des données (AIPD) pour prendre en compte et préciser l'évolution projetée.
Sur les autres caractéristiques du traitement
Au-delà de l'évolution prévue par le projet de décret, l'AIPD a été complétée pour notamment apporter des précisions sur les durées de conservation. Elle ne fait toutefois pas état d'évolutions du traitement qui permettraient de prendre en compte certaines recommandations formulées dans la délibération n° 2021-022 précitée.
En premier lieu, la personne concernée a la possibilité de demander, pour ce qui concerne l'établissement d'une carte nationale d'identité, que l'image numérisée de ses empreintes digitales ne soit pas conservée dans le traitement au-delà d'un délai de quatre-vingt-dix jours à compter de la date de délivrance du titre ou de la date de refus de cette délivrance, la copie sur papier des empreintes étant par ailleurs conservée pour une durée de quinze ans (article 4-3 du décret du 22 octobre 1955 instituant la carte nationale d'identité). Elle est informée, au moment de la demande de titre, de cette possibilité et, s'il en est fait usage, de la conservation d'une copie sur papier (art. 10 du décret n° 2016-1460).
L'AIPD relative au traitement TES a été modifiée pour notamment préciser que l'usager est informé de cette possibilité au moment de sa demande de carte nationale d'identité et que la demande de non-conservation des données à l'issue du délai de quatre-vingt-dix jours se fait sur un formulaire dédié.
A cet égard, la Commission rappelle avoir observé, dans sa délibération n° 2021-022 du 11 février 2021, que :
l'information devra être délivrée aux personnes concernées conformément aux exigences de l'article 12 du règlement général sur la protection des données (RGPD) ;
le formulaire spécifique proposé au demandeur devra comporter des mentions relatives à la réglementation applicable en matière de protection des données à caractère personnel ;
la suppression de l'image numérisée des empreintes digitales à l'issue du délai de quatre-vingt-dix jours, lorsque la personne concernée en a fait la demande, devrait être effectuée de manière automatisée.
S'agissant de l'information des personnes concernées, la Commission souligne la nécessité de garantir une sensibilisation forte des agents municipaux chargés de recueillir les demandes de cartes nationales d'identité, qui devrait porter sur la mise en œuvre des dispositions relatives à la possibilité de s'opposer à la conservation de l'image numérisée des empreintes digitales dans les conditions précitées et sur l'information afférente des personnes concernées. Tout en prenant acte des précisions apportées sur les différents moyens déployés pour assurer l'information des usagers, la Commission recommande que les agents municipaux soient particulièrement sensibilisés à l'importance de fournir verbalement aux personnes concernées, lors de la demande de carte nationale d'identité, une information concise et aisément compréhensible.
S'agissant des modalités de suppression de l'image numérisée des empreintes digitales, la Commission observe qu'une solution manuelle est actuellement en place et qu'aucune évolution n'est, dans l'immédiat, prévue par le ministère. Tout en prenant acte des mesures mises en œuvre pour éviter une conservation des données pertinentes au-delà du délai de quatre-vingt-dix jours, la Commission estime que la solution manuelle actuellement retenue ne devrait être que transitoire et qu'un procédé automatisé de suppression des données devrait être mis en place.
En second lieu, il ressort des précisions apportées par le ministère qu'aucune mesure n'a été prise pour encadrer les transferts de données en dehors de l'Union européenne qu'implique l'interconnexion des traitements TES et Stolen and Lost Travel Documents (SLTD) géré par Interpol.
Or la Commission rappelle avoir souligné, dans sa délibération n° 2021-022 précitée, que de tels transferts ne peuvent être opérés que sous réserve du respect des conditions énoncées aux articles 45 et suivants du RGPD. En l'absence de décision d'adéquation adoptée par la Commission européenne, ces transferts ne peuvent être réalisés que sous réserve que des garanties appropriées soient mises en œuvre conformément à l'article 46 du RGPD, en prenant en compte les circonstances du transfert ainsi que les recommandations du comité européen de la protection des données sur les mesures qui complètent les outils de transfert pour garantir le respect du niveau de protection des données à caractère personnel de l'UE.
La Commission invite le ministère à se conformer aux exigences du RGPD, et rappelle qu'elle ne manquera pas de faire usage, le cas échéant, de ses pouvoirs de contrôle en application de l'article 19 de la loi informatique et libertés.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre des armées d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif aux conditions d'échange et de partage d'informations nécessaires à l'accompagnement des militaires et anciens militaires blessés ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le code de la santé publique, notamment en son article L. 1110-4 ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
Sur l'économie générale du texte :
Le projet de décret vise à préciser les conditions et les modalités de mise en œuvre de l'échange et du partage d'informations, couvertes par le secret médical prévu au I de l'article L. 1110-4 du code de la santé publique (CSP), relatives aux militaires et anciens militaires blessés. La transmission d'informations n'est plus limitée à la coordination ou à la continuité des soins, à la prévention ou au suivi médico-social des personnes concernées, mais s'étend désormais à l'aide et à l'accompagnement des militaires et anciens militaires blessés.
A cette fin, il est prévu de permettre l'échange et le partage d'informations, relatives à l'état de santé ainsi que des données administratives et d'état civil des militaires et anciens militaires blessés :
à des personnes non-professionnels de santé ;
ayant pour mission exclusive d'accompagner ces personnes ;
et exerçant au sein de structures limitativement listées par le projet de décret, telles que l'Office national des anciens combattants et victime de guerre, la Caisse nationale militaire de sécurité sociale, et le service des pensions et des risques professionnels rattaché à la direction des ressources humaines du ministère de la défense.
Il ressort des dispositions de l'article L. 1110-4 du CSP une distinction entre l'échange et le partage d'informations :
au II de cet article, des professionnels identifiés peuvent échanger des informations relatives à une même personne prise en charge, sauf opposition de celle-ci ;
au III, le partage d'informations relatives à une même personne peut intervenir entre des professionnels :
	- appartenant à la même équipe de soins, sauf opposition de la personne concernée ;
	- ou ne faisant pas partie de la même équipe de soins et non identifiés a priori, dès lors que le consentement préalable de la personne concernée a été recueilli.
Le III bis de l'article L. 1110-4 du CSP définit les conditions dans lesquelles un échange d'informations peut intervenir entre un professionnel de santé ou un professionnel du secteur médico-social et une personne ayant pour mission exclusive d'aider ou d'accompagner les militaires et anciens militaires blessés. Parallèlement, le VI de ce même article précise qu'un décret en Conseil d'Etat pris après avis de la Commission détermine les conditions et les modalités de mise en œuvre de l'article L. 1110-4 pour ce qui concerne l'échange et le partage d'informations entre professionnels de santé, non-professionnels de santé du champ social et médico-social et personnes ayant pour mission exclusive d'aider ou d'accompagner les militaires et anciens militaires blessés.
Dans la mesure où le III bis de l'article L. 1110-4 du code de la santé publique ne porte que sur l'échange - et non sur le partage - d'informations entre un professionnel de santé ou un professionnel du secteur médico-social ou social et une ou plusieurs personnes ayant pour mission d'aider ou d'accompagner les militaires, la Commission prend acte de ce que le ministère s'est engagé à ne pas faire mention du partage d'informations dans le décret.
Sur les conditions de l'échange d'informations :
La Commission relève que le projet de décret n'apporte aucune précision s'agissant des conditions et des modalités de mise en œuvre de l'échange d'informations relatives aux militaires et anciens militaires blessés, par rapport à ce qui figure déjà au III bis de l'article L. 1110-4 du CSP - alors que c'est justement l'objet que lui a assigné la loi. La Commission prend acte de ce que le ministère s'est engagé à ajouter dans le décret que l'information préalable de la personne sera attestée par la remise à celle-ci, par le professionnel, d'un support écrit reprenant cette information. Ce support indiquera les modalités effectives d'exercice de ses droits par la personne. Elle regrette toutefois, l'absence de précisions quant aux mesures de sécurité applicables à la transmission d'informations.
Le I du projet d'article R. 1110-3-5 du CSP subordonne l'échange d'informations au respect de certaines conditions cumulatives ; à ce titre, la transmission doit notamment se limiter aux informations strictement nécessaires à l'accompagnement des militaires et anciens militaires blessés. Selon le ministère, le terme : accompagnement vise à englober les différentes missions de ces structures (réinsertion, réadaptation, reconversion des militaires ou anciens militaires blessés, ou de l'instruction des demandes de prestations auxquelles ils peuvent prétendre, etc.).
Etant donné le caractère sensible des données qui seront transmises, la Commission invite le ministère à préciser dans le projet de décret ce que recouvre le terme : accompagnement afin de garantir que l'échange d'informations soit circonscrit aux missions d'accompagnement dévolues aux personnes exerçant leurs fonctions au sein des organismes listés par le projet de décret.
Sur la liste des structures dans lesquelles exercent les personnes recevant les informations relatives à un militaire ou un ancien militaire blessé :
L'article 1er du projet de décret prévoit l'ajout d'un nouvel article R. 1110-3-6 dans le CSP, listant les structures dans lesquelles exercent les personnes ayant pour mission exclusive d'accompagner les militaires et anciens militaires blessés.
Interrogé sur les missions dévolues à chacune de ces structures, le ministère a indiqué que l'échange d'informations s'effectue auprès des personnes, et non auprès des structures dans lesquelles celles-ci exercent. La Commission en comprend que l'échange d'information ne pourra être réalisé, au sein des organisme listés dans le décret, qu'auprès des personnes s'étant vue attribuer des missions d'accompagnement dans le cadre de leurs fonctions.
Par ailleurs, le ministère a confirmé avoir vérifié que les personnes exerçant au sein de ces structures, et auprès desquelles les informations seront transmises, remplissent les conditions prévues au III bis de l'article L. 1110-4 du CSP. La Commission en prend acte.
Les informations relatives aux militaires et anciens militaires blessés qui seront transmises sont des informations couvertes par le secret médical tel que prévu au I de l'article L. 1110-4 du CSP. Dès lors, la Commission invite les structures listées dans le projet de décret à réaliser une sensibilisation, auprès des personnes en charge de l'accompagnement des militaires et anciens militaires blessés sur la protection des données à caractère personnel sensibles, et plus particulièrement des données de santé.
Les autres dispositions du projet de décret n'appellent pas d'observation de la Commission.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de la transition écologique d'une demande d'avis concernant un projet d'arrêté portant modification de l'arrêté du 19 mars 2012 portant création d'un traitement de données à caractère personnel relatif au suivi du trafic maritime dénommé TRAFIC 2000 ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31-I-1° ;
Vu l'arrêté du 19 mars 2012 modifié portant création d'un traitement de données à caractère personnel relatif au suivi du trafic maritime dénommé TRAFIC 2000 ;
Vu l'arrêté du 16 décembre 2019 portant création d'un service à compétence nationale dénommé Service national des données de voyage (SNDV) ;
Sur la proposition de Monsieur Alain DRU, commissaire, et après avoir entendu les observations de Monsieur Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après la Commission ) a été saisie, le 7 décembre 2021, par la ministre de la transition écologique d'un projet d'arrêté portant modification de l'arrêté du 19 mars 2012 portant création d'un traitement de données à caractère personnel relatif au suivi du trafic maritime dénommé TRAFIC 2000 .
L'arrêté du 19 mars 2012, modifié par l'arrêté du 26 octobre 2017, autorise la création par le ministère de la transition écologique et solidaire (direction des affaires maritimes) d'un traitement de données à caractère personnel dénommé TRAFIC 2000 . Ce traitement a pour finalités de recueillir les informations relatives au trafic maritime, au transport par les navires des marchandises dangereuses et polluantes, aux accidents et pollutions maritimes, ainsi que les données d'escale contenues dans les formalités déclaratives prévues par la directive 2010/65 du 20 octobre 2010 afin de relayer, en tant que de besoin, l'ensemble de ces informations aux autorités publiques nationales ou européennes exerçant une compétence dans les domaines du suivi et de la surveillance de la navigation maritime, de la gestion des opérations de recherche et de sauvetage en mer, de la surveillance des pollutions en mer, du contrôle aux frontières, des douanes et de la veille sanitaire.
Le projet d'arrêté, objet de la présente saisine, vient modifier le traitement TRAFIC 2000 sur les destinataires, les données enregistrées et leur durée de conservation. La Commission appelle l'attention du ministère sur la nature de l'acte réglementaire dans l'hypothèse où le traitement ainsi modifié porterait effectivement sur des données sensibles. Elle rappelle également l'importance de l'information des personnes (passagers et membres d'équipage) sur le traitement TRAFIC 2000 .
Sur le régime juridique applicable au traitement et l'acte autorisant celui-ci
La Commission prend acte de ce que le traitement ne relève pas de la directive n° 2016/680 du 27 avril 2016, dite police-justice, transposée au titre III de la loi du 6 janvier 1978 modifiée (ci-après, la loi Informatique et Libertés ), et qu'il y a lieu de faire application des dispositions du règlement général sur la protection des données (RGPD). La Commission prend également acte des précisions du ministère selon lesquelles le traitement TRAFIC 2000 , placé sous la responsabilité de la direction des affaires maritime, intéresse la sécurité publique. Elle relève que cela justifie l'application de l'article 31-I de la loi informatique et libertés .
Par ailleurs, la Commission relève que le 3° du I de l'article 2 de l'arrêté tel que modifié par le présent projet prévoit la collecte, sur demande des passagers, de toute information relative aux besoins particuliers de soins ou d'assistance en cas d'urgence . Compte tenu des précisions apportées par le ministère sur les types de données susceptibles d'être collectés à ce titre (restriction de déplacement ou appareillage, déficience auditive ou visuelle, contraintes de prise en charge de la victime ou précautions particulières, etc.) et du fait que ces données sont initialement collectées par les compagnies maritimes auprès des passagers sans que le ministère puisse en avoir le contrôle, elle appelle son attention sur le risque que des données sensibles, au sens de l'article 9 du RGPD (et notamment des données concernant la santé), soient collectées au sein du traitement.
La Commission rappelle que le cas échéant, l'article 31-II de la loi informatique et libertés impose que le traitement soit autorisé par décret en Conseil d'Etat pris après avis motivé et publié de la Commission.
Sur les données collectées
Le 2° de l'article 1er du projet d'arrêté vient compléter l'article 2 afin d'ajouter aux données déjà mentionnées :
le sexe, pour les membres d'équipage et les passagers ;
à la demande des passagers, le numéro à appeler en cas d'urgence et toute information relative aux besoins particuliers de soins ou d'assistance en cas d'urgence.
Comme évoqué précédemment, la Commission souligne le risque que des données sensibles soient transmises par les autorités portuaires. Si elle prend acte des précisions selon lesquelles la description des besoins particuliers de soins ou d'assistance en cas d'urgence sera limitée à 256 caractères, elle recommande que des actions de sensibilisation et des règles de gestion viennent encadrer la transmission de ces données afin de permettre de ne collecter que les données nécessaires, conformément au principe de minimisation consacré à l'article 5.1.c du RGPD.
Par ailleurs, la Commission prend acte que ces informations ne sont conservées que pour un maximum de soixante jours, et sont transmises uniquement aux centres régionaux opérationnels de surveillance et de sauvetage (CROSS) ou à leurs équivalents européens, à leur demande suite à la survenance d'une situation d'urgence.
Sur la durée de conservation des données
Le point b du 3° de l'article 1er du projet d'arrêté porte de dix à soixante jours la durée de conservation des données à caractère personnel relatives aux membres d'équipage et aux passagers enregistrées dans le traitement TRAFIC 2000 .
Selon le ministère, cette augmentation de la durée de conservation vise à se conformer à la limite haute inscrite à l'article 10.3.a de la directive 2017/2109 du 15 novembre 2017 qui prévoit que les données à caractère personnel collectées sont conservées au plus tard, jusqu'au moment où le voyage du navire en question s'est achevé sans incident, mais en tout état de cause au plus tard soixante jours après le départ du navire.
A cet égard, la Commission invite le ministère à modifier le projet de texte afin de prévoir que les soixante jours constituent un délai maximal, conformément aux dispositions de la directive ci-dessus mentionnée.
Sur l'information des personnes et l'exercice des droits
La Commission prend acte des précisions du ministère selon lesquelles il appartient à chaque compagnie maritime d'informer ses passagers et les membres d'équipage au moment qu'elle juge le plus opportun (a priori, au moment de la réservation du billet ou de la planification du voyage) en fonction de la législation applicable localement. En outre, le ministère indique ne pas avoir la maîtrise du contenu de l'information délivrée.
A cet égard, la Commission rappelle que le traitement TRAFIC 2000 , dont la direction des affaires maritimes du ministère de la mer assure la responsabilité du traitement, est distinct des traitements mis en œuvre par les compagnies maritimes. Or, il appartient à chaque responsable de traitement, pour ce qui le concerne, de s'assurer du respect de l'obligation d'information, sauf à justifier d'une des exceptions prévues à l'article 14.5 du RGPD lorsque les données à caractère personnel ont été collectées auprès de tiers.
En tout état de cause, la Commission recommande de fournir aux compagnies maritimes concernées des modèles types d'informations pour que celles-ci puissent être mises à la disposition des passagers et des membres d'équipage. La Commission s'interroge également sur l'opportunité que soit prévue, dans l'arrêté, une obligation à la charge des professionnels concernés d'informer les personnes concernées du traitement TRAFIC 2000 . Par ailleurs, elle prend acte de la précision selon laquelle une information sur le traitement TRAFIC 2000 sera publiée sur le site web du guichet unique maritime et portuaire.
Enfin, la Commission relève que le projet d'arrêté ne vient pas mettre à jour l'ensemble des droits des personnes prévus par le RGPD (le droit à la limitation du traitement n'est pas mentionné). Elle invite le ministère à compléter l'arrêté en ce sens.
Sur la transmission des données au SNDV