AgentPublic/cnil huggingface dataset:
N° de demande d’avis : 2235205
Thématiques : Recherche scientifique (hors santé), mineurs, prostitution, trajectoires scolaires 
Organisme(s) à l’origine de la saisine : Centre national de la recherche scientifique
Fondement de la saisine :
Article 44.6° 
de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
La CNIL a été saisie, par le Centre national de la recherche scientifique (CNRS), d’une demande d’avis sur un traitement mis en œuvre dans le cadre d’un projet de recherche sur les pratiques prostitutionnelles des mineurs. Ce projet portant sur des données de personnes mineurs d’une très grande sensibilité, la CNIL rappelle la nécessité d’une réflexion du CNRS sur la bonne articulation avec le respect de l’autorité parentale et les compétences du Parquet. 
Afin d’éviter tout risque d’atteinte disproportionnée à la vie privée des personnes la CNIL recommande de pseudonymiser les données collectées dès la retranscription des échanges. Ces données devront être anonymisées au moment de la diffusion des résultats de l’étude. 
Concernant les droits des personnes, 
- la CNIL rappelle que les dérogations prévues à l’article 89 du RGPD peuvent être invoquées si l’exercice de ces droits entrave sérieusement la réalisation des finalités spécifiques, ce qui peut être le cas s’il entraine le retrait de la participation des personnes concernées dans une recherche comptant déjà un faible nombre de participants ;
-
la CNIL recommande au CNRS de préciser les modalités d’information auprès des personnes mineures et des titulaires de l’autorité parentale dans l’AIPD.
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
La Commission nationale de l'informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son article 44 ;
Après avoir entendu le rapport de Mme. Laurence Franceschini, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
 
Le projet de recherche sur les pratiques prostitutionnelles des mineurs s’inscrit dans le programme Travail des lycéen(ne)s et trajectoires scolaires porté par l’Agence Nationale de la Recherche . Il est piloté par deux laboratoires de recherche du CNRS (le Laboratoire d’Economie et de Sociologie du Travail à Aix-en-Provence et le Centre Emile Durkheim à Bordeaux). Il vise notamment à comprendre le phénomène du travail rétribué parmi les lycéens, d’en mesurer l’ampleur et les conséquences sur les parcours des élèves.
Ce projet a pour objectifs :
d’explorer les conditions dans lesquelles des adolescents s’engagent dans l’exercice d’activités prostitutionnelles, en identifiant et analysant les facteurs de vulnérabilités (âge, genre, situation socio-économique et familiale, territoire, scolarité) qui structurent les parcours prostitutionnels juvéniles ; 
d’étudier les impacts de la prostitution sur les parcours scolaires et personnels des jeunes, à travers les conséquences de la conciliation prostitution-études, sur les inégalités de trajectoires scolaires et biographiques des élèves. 
 
B. L’objet de la saisine
 
La CNIL a été saisie par le CNRS pour avis sur un traitement de données à caractère personnel nécessaires pour mener la recherche sur la prostitution des mineurs. Dans la mesure où ce traitement porte sur des données sensibles au sens de l’article 9 du RGPD, il doit faire l’objet d’un avis préalable de la CNIL (article 44.6° de la loi informatique et libertés ). 
 
Au regard du RGPD, le traitement s’inscrit dans le cadre de l’exercice d’une mission d’intérêt public à des fins de recherche scientifique, dans le cadre des missions du CNRS et des laboratoires qui lui sont rattachés (art. R. 322-1 à R. 322-33 du code de la recherche).
 
Les données à caractère personnel seront collectées lors d’entretiens, 
menés auprès de mineurs âgés de 13 à 18 ans, scolarisés ou non dans des collèges et lycées, ces entretiens pouvant être réalisés :
- via les établissements scolaires (entretiens micro-exploratoires menés auprès des élèves volontaires sur les relations amoureuses et activités extrascolaires),
- via les structures spécialisées (structures de remédiation scolaire, associations, centres sociaux, foyers de la protection de l’enfance, …), à l’appui desquelles des mineurs concernés peuvent être identifiés et se voir proposer de participer à la recherche) ;
menés auprès de jeunes majeurs qui ont exercé la prostitution en étant mineurs identifiés grâce au soutien de diverses structures qui accompagnent les personnes en situation de prostitution (associations spécialisées, centre d’hébergement et de réinsertion sociale, missions locales, …)
menés auprès de professionnels qui accompagnent des mineurs et jeunes majeurs en situation de prostitution 
II. L’avis de la CNIL
À titre liminaire, la CNIL observe que, pour déterminer les entretiens à mener, le CNRS aura recours à un certain nombre de moyens parmi lesquels figure l’interrogation de certains professionnels. Or la CNIL souligne que certaines informations, y compris l’identité des personnes mineures, sont susceptibles d’être couvertes par l’obligation du secret professionnel, à laquelle sont astreintes certaines professions. C’est le cas, par exemple, des personnes appartenant à des professions relevant de la protection de l’enfance, tel que prévu à l’article L. 226-2-2 du code de l’action sociale et des familles ou de tout agent public conformément à l’article L. 121-6 du code général de la fonction publique. À ce titre, la CNIL rappelle qu’il résulte des principes généraux de licéité et de loyauté des traitements de l’article 5.1.a du RGPD que le chercheur ne peut recueillir des informations dont la transmission est illicite.
Au surplus, du fait de l’objet de la recherche, seront interrogées des personnes mineures en situation de grande vulnérabilité qui pourraient éventuellement nécessiter d’une protection spécifique de la part des autorités judiciaires, médicales ou administratives. La CNIL rappelle à cet égard que, aux termes de l’article 13 de la loi n° 2002-305 du 4 mars 2002 relative à l'autorité parentale [t]out mineur qui se livre à la prostitution, même occasionnellement, est réputé en danger et relève de la protection du juge des enfants au titre de la procédure d'assistance éducative . Par ailleurs, au terme de cette même loi, le fait de  solliciter, d'accepter ou d'obtenir, en échange d'une rémunération ou d'une promesse de rémunération, des relations de nature sexuelle de la part d'un mineur qui se livre à la prostitution, y compris de façon occasionnelle  est reconnue comme une infraction pénale. Dès lors, elle appelle le CNRS à clarifier avant la conduite de l’enquête les conditions dans lesquelles il pourrait choisir (en ce sens, voir le rapport n° 304 (2019-2020) des Commissions des affaires sociales et des lois du Sénat selon lequel les professionnels disposent d’une option de conscience ) ou être tenu de signaler la situation au parquet, ou aux autorités compétentes en tenant compte du cadre juridique résultant des articles 40 du code de procédure pénale, 434-3 et 226-14 du code pénal et L. 121-6 du code général de la fonction publique.
Si de tels signalements sont susceptibles d’être opérés ou de devoir être opérés, il est nécessaire que les participants mineurs à la recherche en aient conscience.
 
A. Sur les catégories de données collectées
 
En plus d’une participation volontaire à la recherche, les personnes concernées ne seront pas tenues de répondre à toutes les questions. La CNIL approuve cette approche, qu’elle recommande de façon générale et encore davantage en l’espèce dès lors qu’il s’agit de données pouvant concerner l’intimité des personnes concernées. 
 
Des entretiens semi-directifs seront menés auprès des personnes mineures et de professionnels, ce qui peut impliquer des questions ouvertes et, par là même, la collecte de nombreuses catégories de données relatives à l’intimité des personnes interrogées. 
La CNIL estime cette possibilité légitime, en raison notamment de la diversité des réponses attendues. Elle rappelle toutefois que, pour éviter toute atteinte disproportionnée à la vie privée des personnes interrogées, les questions posées devront être strictement pertinentes et nécessaires au regard du contexte de la recherche scientifique. 
 
Au regard du grand nombre de catégories de données traitées, y compris de données sensibles, et pour éviter tout risque d’atteinte disproportionnée à la vie privée des mineurs, la CNIL invite le CNRS à s’interroger sur la nécessité de chacune d’entre elles pour la recherche, conformément au principe de minimisation des données (art. 5-1-c du RGPD).
B. Sur les destinataires des données
 
Les données de la recherche seront mises à disposition de la communauté scientifique dans des conditions d’accès et de sécurité organisées par le chercheur et ses directeurs de thèse, conformément à la politique de sciences ouvertes consacrée par la loi dite Lemaire (notamment en son article 30 créant l’article L. 533-4 du code de la recherche). 
 
Sans remettre en cause la nécessité de garantir la libre circulation des connaissances et l’accès libre aux publications scientifiques, la CNIL rappelle que la diffusion des données devra être réalisée conformément aux articles 78 de la loi informatique et libertés et 116 du décret n°2019-536 du 29 mai 2019. En particulier, les données doivent être préalablement anonymisées pour être diffusées et non seulement pseudonymisées. 
 
C. Sur l’information des personnes
 
À titre liminaire, la CNIL relève que les questions de l’exercice du droit d’accès aux données des personnes mineures par les titulaires de l’autorité parentale ainsi que l’information de ces derniers cristallisent les difficultés d’articulation entre différents objectifs : celui du respect des prérogatives de l’autorité parentale, celui de la protection de la vie privée des mineurs et celui de la recherche de la protection des personnes vulnérables. Elle rappelle en particulier que, conformément aux articles 371 et suivants du code civil, les titulaires de l’autorité parentale disposent d’un
ensemble de droits et de devoirs ayant pour finalité l’intérêt de l’enfant . Par ailleurs, elle note que la révélation d’informations aux titulaires de l’autorité parentale pourrait, dans certains cas, nuire aux personnes mineures participant à la recherche. Elle rappelle que le principe directeur guidant l’interprétation des dispositions relatives à la protection des données à caractère personnel doit être l’intérêt supérieur de l’enfant. 
 
En premier lieu, la CNIL prend acte de ce qu’une notice d’information sera remise en amont des entretiens, pour ce qui concerne :
les professionnels ; 
les personnes majeures ayant exercé la prostitution en étant mineures.
 
En deuxième lieu, s’agissant des mineurs, les modalités d’information diffèrent selon les circonstances suivantes : 
lorsque les entretiens sont conduits dans les établissements scolaires, les titulaires de l’autorité parentale sont informés en amont d’une recherche en cours auprès des élèves portant sur les pratiques sociales et scolaires adolescentes ;
lorsqu’il est projeté de réaliser des entretiens avec des personnes mineures identifiées par la direction des services départementaux de l’éducation Nationale (DSDEN), les parents sont destinataires d’une notice d’information ;
pour les entretiens conduits au sein des structures spécialisées ou via des associations et des foyers de protection de l’enfance, les modalités d’information ne sont pas indiquées.
Le CNRS prévoit de procéder à une information individuelle auprès des titulaires de l’autorité parentale sur le projet de recherche, sans mentionner l’objet précis de la recherche. La CNIL considère que cette modalité d’information permet de concilier l’exigence de l’information des parents en tant que titulaire des droits et la protection de la vie privée des personnes mineures. Elle estime que les modalités d’information auprès des personnes mineures et des titulaires de l’autorité parentale devraient être précisées dans l’AIPD. 
Il revient également au CNRS de clarifier la possibilité pour les mineurs de participer à cette recherche avec ou sans autorisation des titulaires de l’autorité parentale.
 
En outre, la CNIL souligne l’importance de mettre à disposition des personnes mineures une information simple et pédagogique, adaptée à la tranche d’âge des répondants, en particulier pour les plus jeunes d’entre eux. Cette information devra notamment expliquer clairement :
l’objectif poursuivi par le traitement ;
les accédants et destinataires du traitement ;
le caractère obligatoire ou facultatif des questions ; 
les modalités d’exercice des droits et leurs éventuelles dérogations.
Par ailleurs, cette information devrait également préciser les informations auxquelles les titulaires de l’autorité parentale auront accès en cas de demande d’accès de ces derniers et la possibilité ou l’obligation pour le CNRS de procéder à un signalement du mineur auprès des autorités judiciaires, médicales ou administratives des maltraitances, privations ou sévices infligés à un mineur et porté à la connaissance du chercheur. 
 
S’agissant enfin de l’information des personnes tierces dont les données pourraient être collectées, le CNRS entend mobiliser la dérogation prévue à l’article 14.5.b du RGPD dès lors que cette information  est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement . 
 
La CNIL accueille favorablement l’approche consistant en une diffusion publique, dans les établissements concernés, d’une information générale indiquant que la recherche porte sur des pratiques sociales et scolaires adolescentes . Toutefois, elle invite le CNRS à publier ces informations sur le site de l’université ou à les faire diffuser via les flux de communication entre les établissements et structures concernées d’une part et les personnes concernées d’autre part.
Le CNRS devra, par ailleurs, détailler précisément dans l’AIPD les éléments qui ont conduit à considérer que délivrer une information individuelle constituerait un effort disproportionné, ainsi que les garanties susmentionnées afin de protéger les droits et libertés des personnes concernées. 
 
D. Sur l’exercice du droit d’accès 
 
À titre liminaire, compte tenu des particularités du cas d’espèce, la CNIL tient à souligner l’importance de minimiser le plus possible le risque de réidentification. Elle recommande en conséquence que les données soient anonymisées le plus tôt possible après leur retranscription, ou à défaut, fortement pseudonymisées. Cela implique que toute table de correspondance soit supprimée dans les meilleurs délais après la consolidation de la base et dès lors qu’il n’est pas envisagé de recontacter les participants.  
 
Dans l’hypothèse où la mise en œuvre de telles mesures ne serait pas possible, l’exercice du droit d’accès pourrait être limité pour ce qui concerne les personnes titulaires de l’autorité parentale. Le CNRS, qui envisage cette hypothèse, a indiqué que les demandes d’accès seront examinées au cas par cas par la déléguée à la protection des données en lien avec la direction des affaires juridiques et le Fonctionnaire Sécurité Défense.
La CNIL rappelle que la limitation du droit d’accès est rendue possible par les dérogations prévues notamment aux articles 89 du RGPD et 78 de la loi informatique et libertés (mis en oeuvre par l’article 116 du décret 
n°2019-536 du 29 mai 2019
). Toutefois, elle ne peut être envisagée que dans la mesure où l’exercice de ces droits risquerait d’entraver sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités . 
 
Cela pourrait être le cas, par exemple, dans le cadre d’une recherche avec un faible nombre de participants si, pour éviter tout risque d’atteinte à leur vie privée en cas d’exercice de droit d’accès :
des personnes enquêtées s’autocensurent ; ou 
décident de se retirer de l’enquête.
 
En l’espèce, les titulaires de l’autorité parentale peuvent exercer les droits au nom de leur enfant conformément aux articles 371 et suivants du code civil. Or, l’exercice du droit d’accès par les titulaires de droits pourrait comporter des risques pour la réalisation de la recherche scientifique. La CNIL observe que cela pourrait en outre porter une atteinte excessive à la vie privée des personnes concernées, en particulier des personnes mineures. 
 
Dès lors, la CNIL estime que, dans son examen au cas par cas des demandes d’accès, le CNRS devra ménager un juste équilibre entre :
d’une part l’intérêt des titulaires des droits de demander l’accès aux données personnelles concernant les personnes mineures concernées, conformément aux dispositions relatives à l’exercice de l’autorité parentale ; et
d’autre part, la protection de la vie privée et l’intimité des personnes concernées, en particulier des personnes mineures qui souhaiteraient garder confidentielles les informations et leur situation vis-à-vis de leur entourage. 
 
Elle recommande, par ailleurs, d’informer les participants de cette configuration en amont de l’entretien et de prendre en compte leur éventuelle opposition à tout exercice des droits. 
 
Le CNRS devra détailler précisément dans l’AIPD les éléments qui ont conduit à considérer qu’accéder à la requête des titulaires de l’autorité parentale constituerait une entrave à la réalisation de la recherche scientifique.
 
E. Sur les mesures de sécurité
 
Compte tenu de la sensibilité des données collectées, la CNIL recommande de manière générale que l’ensemble des mesures de sécurité soient conformes à l’état de l’art et notamment à des mesures de sécurité équivalentes aux exigences mentionnées dans le référentiel entrepôt de données dans le domaine de la santé . Ces exigences peuvent être atteintes en ayant recours à une plateforme sécurisée externe et spécialisée dans la mise à disposition de données à des fins de recherche, étude ou évaluation.
En l’espèce, le projet prévoit la mise à disposition des données de l’étude (hors table de correspondance) sur un ordinateur sous la responsabilité du CNRS. Celui-ci devra faire l’objet de mesures de sécurité à l’état de l’art telles qu’un disque dur chiffré, un verrouillage automatique de session ou encore un antivirus et des logiciels régulièrement mis à jour. Le recours à des contenus extérieurs (courriels, document reçu, lien de téléchargement, etc.) devra être limité au strict nécessaire et faire l’objet d’une vigilance accrue. La base de données de l’étude devra également être chiffrée sur le disque.
 
Au regard des conséquences graves pour les personnes en cas de divulgation de la base de données, la CNIL recommande que cette modalité de mise à disposition ainsi que l’accès à la base de données conservée sur le serveur interne du responsable de traitement soit restreint à une unique personne dûment habilitée. 
 
Les données de l’étude, ses sauvegardes et table de correspondance seront conservées chiffrées. Des pseudonymes aléatoires seront attribués aux participants. 
 
Étant donné la sensibilité des données collectées, la CNIL estime également qu’une authentification forte multifacteur, disposant au moins de deux facteurs d’authentification différents, devrait être mise en place pour l’accès aux données de l’étude stockées sur le serveur lors des différentes étapes du traitement.
La CNIL rappelle qu’il appartient au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, des mesures de sécurité. 
 
 
 
La présidente,
(No MDM 241080)
 
 
Conformément à la décision no 2023-259C du 15 novembre 2023, la Commission nationale de l’informatique et des libertés (CNIL) a effectué un contrôle sur pièces du ministère de l’Intérieur et des Outre-mer (ci-après, le " ministère de l’Intérieur ") le 6 décembre 2023 ainsi que des contrôles sur place auprès des direction de la police judiciaire de la préfecture de police de Paris (DPJ-PP) et service central de renseignement criminel de la gendarmerie nationale (SCRC-GN). [...]
 
Cette procédure de contrôle avait pour objet d’apprécier la conformité des traitements de données à caractère personnel relatifs aux logiciels de traitements d’analyse automatisée des images (ci-après, " logiciels d’analyse vidéo ") mis en œuvre par le ministère de l’Intérieur ou pour son compte aux dispositions de la loi no 78-17 du 6 janvier 1978 (la loi " Informatique et Libertés "), du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (le " RGPD "), de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 (la directive " Police-Justice ") ainsi que des dispositions prévues aux articles L. 233-1 et suivants et L. 251-1 et suivants du code de la sécurité intérieure (CSI).
À titre liminaire, je vous rappelle que cette décision de contrôle a été prise suite à la publication par le journal d’investigation Disclose, le 14 novembre 2023, d’une enquête révélant l’utilisation par les services du ministère de l’Intérieur d’un logiciel d’analyse vidéo commercialisé par la société BRIEFCAM. Cette enquête indiquait que plusieurs directions et services du ministère, commissariats de police et brigades de gendarmerie auraient utilisé, progressivement depuis 2015, ce logiciel afin notamment de rechercher un individu en fonction de différents critères. Selon cette enquête, ce logiciel disposerait également d’une fonctionnalité de reconnaissance faciale, laquelle serait utilisée par différents services du ministère.
 
Concomitamment à l’ouverture par la CNIL de cette procédure de contrôle, le ministre de l’Intérieur et des Outre-mer a annoncé le 17 novembre 2023 " une mission inter-inspections sur l'utilisation de logiciels d'analyse vidéo par les services de police et gendarmerie nationales ".
 
Dans le cadre de la procédure de contrôle de la CNIL, une réponse au questionnaire adressé au ministère de l’Intérieur, le 6 décembre 2023, a été apportée à la Commission le 18 mars 2024.
 
Suite à ces premiers éléments de réponse, des contrôles sur place ont eu lieu auprès de la DPJ-PP le 15 mai 2024 et du SCRC-GN le 21 mai 2024.
 
Les constatations effectuées lors de ces contrôles me conduisent à relever les éléments suivants.
I- Analyse des faits en cause
1. Sur le manquement à l’obligation de traiter des données de façon licite
 
En droit, d’une part, l’article 4, 1o, de la loi " Informatique et Libertés " dispose que les données à caractère personnel doivent être " traitées de manière licite, loyale ".
 
Par ailleurs, l’article 87 de cette loi prévoit que les traitements de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales " ne sont licites que si et dans la mesure où ils sont nécessaires à l'exécution d'une mission effectuée, pour l'une des finalités énoncées au premier alinéa, par une autorité compétente au sens du même premier alinéa et où sont respectées les dispositions des articles 89 et 90 ".
 
L’article 89 de cette loi précise quant à lui que " si le traitement est mis en œuvre pour le compte de l'État pour au moins l'une des finalités énoncées au premier alinéa de l'article 87, il est prévu par une disposition législative ou réglementaire prise dans les conditions prévues au I de l'article 31 et aux articles 33 à 36 ". Ces derniers articles prévoient que les traitements doivent être autorisés, selon les cas par arrêté ou décret et que, lorsqu’un acte réglementaire unique autorise un ensemble de traitements similaires, chaque traitement doit ensuite faire l’objet d’une déclaration à la CNIL prenant la forme d’un " engagement de conformité ".