AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de l’Environnement, de l’Energie et de la Mer d’une demande d’avis concernant un projet de décret relatif aux modalités de mise à disposition aux consommateurs des données de consommation d’électricité et de gaz ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’énergie, notamment ses articles L. 322-8, L. 322-9, L. 341-4, L. 432-8, L. 453-7 et R. 341-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-4° a/ ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2012-404 du 15 novembre 2012 portant recommandation relative aux traitements des données de consommation détaillées collectées par les compteurs communicants ;
Après avoir entendu M. Eric PERES, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La ministre de l’Environnement, de l’Energie et de la Mer a saisi la Commission nationale de l’informatique et des libertés, selon la procédure d’urgence, par courrier du 10 mars 2017, reçu le 20 mars 2017, puis, par saisine rectificative partielle, le 22 mars 2017, d’une demande d’avis portant sur un projet de décret concernant les modalités de mise à disposition aux consommateurs des données de consommation d’électricité et de gaz par les gestionnaires de réseaux publics de distribution d’électricité.
Ce projet de décret vient préciser les dispositions des articles L. 341-4 du code de l’énergie pour l’électricité et L. 453-7 du code de l’énergie pour le gaz, tels qu’ils résultent de leur modification par la loi du 17 août 2015 relative à la transition énergétique pour la croissance verte.
Sur le stockage en local de la courbe de charge
L’article D. 341-8-4, alinéa 2, du projet de décret prévoit en son alinéa 2 que " la courbe de charge d’électricité est enregistrée, au pas horaire, dans la mémoire du dispositif de comptable, sauf si le consommateur s’y oppose ".
La Commission rappelle que, pour permettre aux usagers de disposer à tout moment d’un historique de leurs consommations et les aider à mieux maîtriser leur consommation d’énergie, elle a validé le principe du stockage par défaut de la courbe de charge en local dans le compteur, sans que les données soient transmises vers le gestionnaire du réseau ou un tiers, sous réserve que :
les compteurs " Linky " soient paramétrés pour enregistrer en local la courbe de charge, au pas horaire, pour une durée maximale d’un an ;
le consentement de l’abonné soit demandé pour la remontée de la courbe de charge dans le système d’information d’ENEDIS ainsi que pour la transmission de la courbe de charge aux tiers ;
l’usager soit en position de s’opposer au déclenchement de ce stockage en local, par le biais d’une case à cocher, sans avoir à motiver sa décision ;
l’usager soit, à tout moment, en position de désactiver ce stockage et purger ses données (notamment en cas de déménagement).
La Commission relève que le projet de décret ne précise pas de durée maximale pour le stockage en local. Aussi, la Commission invite le ministère de l’Environnement, de l’Energie et de la Mer à compléter le projet de décret sur ce point, conformément à l’article 6-5° de la loi du 6 janvier 1978 modifiée.
La Commission considère qu’au regard de la finalité de cet enregistrement, une durée maximale d’une année serait appropriée pour tenir compte des variations saisonnières de température.
Sur la collecte de la courbe de charge
L’article D. 341-8-4, alinéa 3, du projet de décret prévoit que " A la demande du consommateur, la courbe de charge est collectée dans le système informatique du gestionnaire de réseau et mise à sa disposition, sans préjudice d’une collecte effectuée par le gestionnaire de réseau dans les conditions fixées à l’article D. 322-16 ".
L’article D. 322-16 du projet de décret dispose : " Dans le cadre du droit d’utilisation des données, conféré aux gestionnaires des réseaux publics de distribution d’électricité pour le deuxième alinéa de l’article R. 341-5, ces derniers peuvent collecter les courbes de charge définies à l’article D. 341-8-4 pour l’accomplissement des missions mentionnées aux 1°, 5°, 6°, 8° et 9° de l’article L. 322-8 et au premier alinéa de l’article L. 322-9.
La collecte de la courbe de charge est limitée à l’objet de la mission considérée et proportionnée à sa finalité. Les données ainsi recueillies ne sont conservées que le temps nécessaire à l’accomplissement des finalités pour lesquelles elles ont été recueillies ".
 
La Commission rappelle que la courbe de charge est une donnée particulièrement révélatrice des habitudes de vie des personnes concernées en ce qu’elle permet notamment de déterminer les heures de lever et de coucher, les heures ou périodes d’absence ou encore, sous certaines conditions, le nombre de personnes présentes dans le logement.
Aussi, dans sa délibération n° 2012-404 du 15 novembre 2012 portant recommandation relative aux traitements des données de consommation détaillées collectées par les compteurs communicants, la Commission a précisé que :
" Pour la gestion du réseau de distribution :
La Commission recommande que la courbe de charge ne puisse être collectée que lorsque des problèmes d'alimentation ont effectivement été détectés.
Les gestionnaires de réseau sont en effet capables d'assurer la maintenance de leur réseau sans avoir à analyser la courbe de charge de façon systématique. Ils peuvent notamment, détecter les tronçons du réseau posant problème grâce aux autres données fournies par les compteurs (variation de tension, coupure de l'alimentation, etc.). Ainsi, la collecte systématique de la courbe de charge par les gestionnaires de réseau apparaîtrait comme disproportionnée par rapport à la finalité poursuivie.
A l'inverse, la collecte de la courbe de charge est proportionnée une fois le problème spécifiquement localisé. En effet, cette courbe de charge peut permettre de modéliser le comportement d'une ligne basse tension à partir des courbes de charge des logements alimentés par cette ligne et identifier plus précisément les points du réseau nécessitant d'être renforcés ".
La Commission rappelle dès lors que la collecte des courbes de charge, lorsqu’elle est nécessaire à l’accomplissement des missions des gestionnaires de réseaux de distribution telles que définies aux 1°, 5°, 6°, 8° et 9° de l’article L. 322-8 et au premier alinéa de l’article L. 322-9, ne saurait être systématique et généralisée sous peine de méconnaître l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Aussi, la Commission invite le ministère à modifier l’article D. 322-16 du projet de décret en précisant que les gestionnaires des réseaux publics de distribution d’électricité ne peuvent collecter la courbe de charge de manière systématique et généralisée et qu’en tout état de cause l’utilisation des données par les gestionnaires des réseaux de distribution prévue par le deuxième alinéa de l’article R. 341-5 est subordonnée au respect des dispositions de la loi du 6 janvier 1978 modifiée.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre des solidarités et de la santé d’une demande d’avis concernant un projet de décret relatif à l’établissement des listes nominatives des infirmiers et des pédicures-podologues salariés en vue de leur inscription au tableau de l’ordre et modifiant le décret n° 2016-746 du 2 juin 2016 relatif à l’établissement des listes nominatives des masseurs kinésithérapeutes salariés en vue de leur inscription au tableau de l’ordre ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 4311-15, L. 4321-10 et L. 4322-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-4°-a ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie, le 20 novembre 2017, pour avis par la ministre des solidarités et de la santé d’un projet de décret (ci-après le " projet ") relatif à l’établissement des listes nominatives des infirmiers et des pédicures-podologues salariés en vue de leur inscription au tableau de l’ordre et modifiant le décret n° 2016-746 du 2 juin 2016 relatif à l’établissement des listes nominatives des masseurs kinésithérapeutes salariés en vue de leur inscription au tableau de l’ordre.
Le projet est pris en application des articles L. 4311-15, L. 4321-10 et L. 4322-2 du code de la santé publique (CSP) selon lesquels les listes nominatives des infirmiers, des masseurs-kinésithérapeutes et des pédicures-podologues salariés des structures publiques et privées peuvent être communiquées aux conseils nationaux de l’ordre compétent, notamment pour procéder à l’inscription automatique de ces professionnels au tableau tenu par l’ordre.
Dans la mesure où le projet contient les mesures relatives au traitement des données à caractère personnel des infirmiers et pédicures-podologues collectées et modifie certaines dispositions du décret n° 2016-746 du 2 juin 2016 des masseurs-kinésithérapeutes, la Commission a été saisie d’une demande d’avis sur le fondement de l’article 11-4°-a) de la loi du 6 janvier 1978 modifiée (ci-après " loi Informatique et Libertés ").
Sur la finalité du traitement :
Le projet vise à encadrer la transmission des listes nominatives des infirmiers et des pédicures-podologues employés par des structures publiques ou privées, et tenues par ces structures, aux conseils nationaux compétents, tel que cela est prévu par les articles L. 4311-15 et L. 4322-2 du CSP.
A partir des listes nominatives transmises par les structures publiques ou privées employeurs au conseil national, les conseils départementaux ou interdépartementaux pour les infirmiers, les conseils régionaux ou inter-régionaux pour les pédicures-podologues, identifient ceux des infirmiers et pédicures-podologues qui ne sont pas encore inscrits au tableau de l’ordre et procèdent à leur inscription provisoire, dans l’attente de la communication des pièces nécessaires à l’instruction du dossier.
Ce dispositif vise à faciliter l’inscription au tableau de l’ordre des professionnels salariés, non encore inscrits, et des nouveaux entrants dans la profession qui exerceront à titre salarié.
La Commission estime que la finalité est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi Informatique et Libertés.
 
Sur la nature des données traitées :
Les articles 1 et 2 du projet indiquent les données d’identification figurant sur les listes nominatives d’infirmiers et de pédicures-podologues transmises par les structures publiques et privées employeurs aux conseils nationaux de l’ordre compétent :
noms et prénoms du professionnel concerné ;
dernière adresse personnelle de correspondance du professionnel détenue par l’établissement ou la structure ;
date et lieu de naissance du professionnel ;
intitulé, date et lieu d’obtention du titre de formation ou de l’autorisation d’exercice délivrée au professionnel ;
adresse électronique à laquelle le professionnel souhaite être joint par l’ordre pour la transmission des informations prévues aux 2ème et 3ème alinéas du II du présent article (information sur son inscription provisoire, sur la liste des pièces à fournir pour son inscription définitive au tableau et sur les conséquences de la non transmission de ces pièces) et pour répondre aux exigences de l’article L. 4001-2 du CSP (information concernant les messages de sécurité diffusés par les autorités sanitaires).
 
Les articles 1 et 2 du projet précisent quelles sont les pièces complémentaires que les infirmiers et pédicures-podologues, inscrits de manière provisoire au tableau de l’ordre, doivent transmettre pour finaliser leur procédure d’inscription :
une photocopie d'une pièce d'identité en cours de validité ;
le cas échéant, une attestation de nationalité délivrée par une autorité compétente ;
une copie de l’un des diplômes, certificats, titres ou autorisations exigées pour l’exercice de la profession ;
pour les ressortissants d’un Etat étranger, un extrait de casier judiciaire ou un document équivalent ;
une déclaration sur l'honneur du demandeur certifiant qu'aucune instance pouvant donner lieu à condamnation ou sanction susceptible d'avoir des conséquences sur l'inscription au tableau n'est en cours à son encontre ;
un certificat de radiation d’inscription ou d’enregistrement délivré par l’autorité auprès de laquelle le demandeur était antérieurement inscrit ou enregistré ou, à défaut, une déclaration sur l’honneur du demandeur certifiant qu’il n’a jamais été inscrit ou enregistré ;
tous éléments de nature à établir que le demandeur possède les connaissances linguistiques nécessaires à l'exercice de la profession ;
un curriculum vitae.
L’article 3 du projet crée une procédure simplifiée d’inscription, pour les infirmiers et pédicures-podologues déjà salariés d’une structure publique ou privée mais non inscrits au tableau de l’ordre, au moment de la publication du décret. Pour ces professionnels, les pièces suivantes doivent être communiquées :
une photocopie d'une pièce d'identité en cours de validité ;
une copie des titres de formation ou de l’autorisation d’exercice ;
une déclaration sur l’honneur certifiant qu'aucune instance pouvant donner lieu à condamnation ou sanction susceptible d'avoir des conséquences sur l'inscription au tableau n'est en cours à son encontre.
La Commission estime que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés.
Sur les destinataires des données :
Le projet prévoit que les informations sont transmises par les structures publiques ou privées employeurs, pour les infirmiers, au conseil national de l’ordre des infirmiers et, pour les pédicures-podologues, au conseil national de l’ordre des pédicures-podologues par voie électronique. Le conseil national communique ensuite ces informations, pour l’ordre des infirmiers, à chaque conseil départemental ou interdépartemental compétent et, pour l’ordre des pédicures-podologues, à chaque conseil régional ou inter-régional.
Afin de garantir la sécurité des données ainsi transmises, la Commission recommande que seuls les personnels habilités à gérer le tableau des ordres compétents soient destinataires des données au sein des conseils nationaux, départementaux, interdépartementaux, régionaux et interrégionaux visés par le projet.
Sur l'information et les droits des personnes :
Les articles 1 et 2 du projet prévoient que la transmission des données d’identification des infirmiers et des pédicures-podologues figurant dans les listes nominatives transmises par les structures publiques et privées employeurs fait l’objet d’une information préalable du professionnel par ces structures.
Par ailleurs, la Commission relève que les articles 1 et 2 du projet énoncent que les droits d’accès et de rectification s’exercent, pour les infirmiers, auprès des conseils départementaux ou interdépartementaux territorialement compétents et, pour les pédicures-podologues auprès du conseil départemental compétent.
La Commission relève que l’ordre des pédicures-podologues ne dispose pas de niveau départemental. De ce fait, les pédicure-podologues sont privés de l’exercice effectif de leurs droits d’accès et de rectification. Le ministère s’est toutefois engagé à modifier le texte pour permettre l’exercice de ces droits auprès du conseil régional et inter-régional.
La Commission constate que les articles 1 et 2 ne visent pas le droit d’opposition et que l’exclusion de l’exercice de ce droit, initialement prévue pour les kinésithérapeutes, est supprimée par l’article 6 du projet de décret. Elle rappelle que le droit d’opposition prévu par l’article 38 de la loi Informatique et Libertés ne s’applique pas lorsque le traitement répond à une obligation légale. Tel est le cas en l’espèce.
La Commission estime que les dispositions prévues dans le projet, en ce qui concerne l’information et l’exercice des droits des infirmiers et des pédicures-podologues, sont conformes à la loi Informatique et Libertés.
Sur la durée de conservation des données :
Le projet de décret prévoit que les informations collectées et triées par l’ordre des infirmiers et des pédicures-podologues sont conservées par l’ordre compétent pour une durée correspondant à la période d’inscription provisoire.
La Commission estime que les données sont conservées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 6-5° de la loi Informatique et Libertés.
Sur la sécurité des données et la traçabilité des actions :
L’article 1er du projet prévoit que la transmission trimestrielle des informations par les employeurs au conseil national de l’ordre des infirmiers s’opère, par voie électronique, à une adresse communiquée par le conseil national, dans des conditions garantissant la confidentialité des données recueillies.
Le format du fichier contenant ces informations est validé par l’Agence des Systèmes d’Information Partagés en Santé (ASIP Santé). L’article 2 du projet prévoit des modalités similaires pour les pédicures-podologues, sans la mention d’une adresse communiquée par le conseil national.
A cet égard, la Commission prend acte de ce que le format d’échange a été validé par l’ASIP Santé en termes d’interopérabilité et d’uniformisation des remontées.
L’article 3 prévoit que " les infirmiers et pédicures-podologues […] non inscrits au tableau de l’ordre à la date de publication du présent décret " fournissent les pièces de leur dossier d’inscription " le cas échéant au moyen d’un portail Internet sécurisé ".
A cet égard, la Commission considère que la formulation " le cas échéant " est trop large. Interrogé par ses services, le ministère a précisé que les alternatives au portail sécurisé sont celles des textes en vigueur, qui prévoient une transmission par courrier papier. La Commission prend acte de ce que le projet de décret a été modifié par le ministère pour encadrer explicitement ces possibilités de transmission.
Globalement pour ces trois articles, la Commission rappelle qu’en application de l’article 34 de la loi Informatique et Libertés le responsable du traitement doit prendre toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
S’agissant d’échanges par voie électronique, la Commission recommande que des mesures de sécurité appropriées soient prises, telles que le chiffrement et la signature électronique des données échangées, par un algorithme réputé fort et avec une gestion sécurisée des clés, afin de garantir la confidentialité, l’intégrité et l’imputabilité des échanges.
Elle recommande également que des règles d’habilitation soient mises en place pour les destinataires, qu’une revue globale des habilitations soit opérée régulièrement, notamment pour tenir compte des départs de collaborateurs, et que la traçabilité des transmissions, consultations et modifications de données soit assurée par la mise en place d’une journalisation automatique.
En outre, elle rappelle que les portails de téléservice doivent être conformes au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010 susvisé, et doivent à ce titre faire l'objet d'une analyse de risque incluant les risques pesants sur les personnes concernées. La Commission rappelle également qu’il revient au responsable de traitement d’attester formellement de l'acceptation du niveau de sécurité du téléservice au travers d’une homologation RGS et d'en publier l'attestation d'homologation sur son site.
Enfin, la Commission rappelle que l’obligation de sécurité prévue par l’article 34 précité nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Les autres points du projet de décret n’appellent pas, en l’état et au regard de la loi Informatique et Libertés, d’autres observations de la Commission.
 
Pour La Présidente
Le Vice-Président Délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’économie et des finances d’une demande d’avis concernant une convention prévue à l’article L.632-7 du code rural et de la pêche maritime ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code rural et de la pêche maritime, notamment ses articles L. 631-1 à L. 632-2, L.632-6 et l’article 632-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 20 septembre 2016 portant extension d’un accord interprofessionnel conclu dans le cadre de l’association France Bois Forêt pour la période 2017-2019 ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement, 
Émet l’avis suivant :
Le ministère de l’économie et des finances a saisi pour avis la Commission nationale de l’informatique et des libertés d’un projet de convention, prévue à l’article L. 632-7 du Code Rural et de la Pêche Maritime (ci-après " CRPM "), visant à préciser les conditions de transmission de données par les autorités de l’Etat aux organisations interprofessionnelles et aux organismes visés aux articles L. 632-1 à L.632-2-2 du CRPM.
L’article L. 632-7 du CRPM prévoit que "Les services placés sous l'autorité des ministres chargés de l'économie, du budget, de l'agriculture et de la pêche, ainsi que les organismes placés sous leur tutelle, peuvent communiquer aux organisations interprofessionnelles reconnues en application des 
articles L. 632-1 à L. 632-2
, agissant pour leur compte ou pour le compte d'autres organisations en application de 
l'article L. 632-2-2
, et aux fédérations constituées en application de ce même article par des organisations interprofessionnelles reconnues […]. Ils peuvent également leur communiquer les données nécessaires à l'établissement et à l'appel des cotisations permettant leur financement et prévues par un accord satisfaisant aux conditions mentionnées au premier alinéa de l'article 
L. 632-4
, que cet accord soit rendu obligatoire ou non. Les conditions de cette communication sont précisées par voie de convention, après avis de la Commission d'accès aux documents administratifs et de la Commission nationale de l'informatique et des libertés."