AgentPublic/cnil huggingface dataset:
20. Au regard de ces précisions, la CNIL s’interroge sur la nécessité de conserver pendant dix ans l’ensemble de ces données (par exemple, les données relatives à l’identité ou à la fonction des personnes physiques interrogées dans le cadre des audits). Elle considère que seules les données nécessaires à la " recherche d’antécédents " devraient être conservées pour une telle durée ; l’article 5 du projet de décret devrait donc être complété afin de prévoir des durées de conservation adaptées pour les données qui ne sont pas nécessaires à la " recherche d’antécédents ".
 
21. La durée de conservation des données relatives à la finalité de prévention et d’analyse des activités malveillantes affectant ou susceptibles d’affecter la sécurité des systèmes d’information, mentionnée au 4° du II de l’article 1er du projet de décret, est fixée de la façon suivante par le projet de décret :
deux ans à compter de la qualification par l’ANSSI comme étant directement utiles à la prévention et à la caractérisation des menaces et celles permettant d’identifier les victimes, pour les données à caractère personnel collectées sur le fondement de l’article L. 2321-2-1 du code de la défense relatif aux dispositifs exploitant des marqueurs techniques et permettant le recueil de données ;
cinq ans à compter de cette même qualification pour les données à caractère personnel collectées sur le fondement de l’article L. 2321-2-3 du code de la défense relatif aux dispositifs permettant le blocage, l’enregistrement, la suspension, le transfert et la redirection de nom de domaine ;
vingt-quatre heures à compter de leur qualification pour les données qui ne sont pas qualifiées comme étant directement utiles à la prévention et à la caractérisation des menaces ;
cinq ans à compter de leur collecte par l’ANSSI pour les données collectées sur le fondement du deuxième alinéa de l’article L. 2321-3 du code de la défense relatif à la transmission à l’ANSSI, par les opérateurs, de l’identité et des coordonnées des utilisateurs ou détenteurs de systèmes d’information vulnérables, menacés ou attaqués, afin de les alerter sur la vulnérabilité ou l’atteinte de leur système.
22. Sur ce point, le projet de décret reprend les durées de conservation fixées par les articles L. 2321-2-1 et L. 2321-2-3 du code de la défense. A cet égard, la CNIL s’interroge toutefois sur le point de départ du délai de conservation retenu au regard des dispositions du code de la défense. En effet, les articles R. 2321-1-5 et R. 2321-1-10 de ce code font débuter la durée de conservation des données à compter de leur recueil, alors que le projet de décret retient la qualification par l’ANSSI de la donnée comme directement liée à la menace comme point de départ de la durée de conservation des données. Elle invite ainsi le SGDSN à mettre en cohérence le projet de décret avec le code de la défense sur ce point.
23. Par ailleurs, pour les " fichiers soumis dans le cadre de services opérés par l’ANSSI " mentionnés au e) du 4° du I de l’article 2 du projet, la durée de conservation de dix ans vise, selon le SGDSN, à permettre d’assurer que les capacités d’anticipation, de détection et de réponse de l’ANSSI soient préservées. La CNIL relève que cette durée de conservation ne résulte que du projet de décret qui lui est soumis, et diffère notablement de celle définie pour les autres données correspondant à la quatrième finalité qui relèvent des dispositions de la LPM. Il va de soi que cette durée de conservation de dix ans ne pourra s’appliquer que pour autant que les données en cause n’entreront pas dans le champ d’application de dispositions législatives du code de la défense qui prévoiraient une durée différente.
 
24. Sous ces réserves, la Commission considère que les données sont conservées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément au 5° de l'article 4 de la loi du 6 janvier 1978 susvisée.
 
D. Sur les accédants et les destinataires
 
25. L’article 4 du projet de décret liste les accédants (les agents de l’ANSSI) ainsi que les destinataires des données à caractère personnel et informations pouvant être enregistrées dans le traitement, en fonction des finalités :
les commanditaires des audits, au titre de l’évaluation et l’amélioration du niveau de sécurité des systèmes d’information ;
les agents de l’Etat, de l’autorité publique, le personnel de l’OIV ou celui de l’opérateur de services essentiels, les personnels de leurs prestataires ou sous-traitants qui sont les interlocuteurs du service de supervision de l’ANSSI dans la chaîne de traitement des incidents, au titre de la prévention, la supervision et l’analyse des évènements affectant ou susceptibles d’affecter la sécurité des systèmes d’information ;
les entités contribuant au traitement de l’incident de sécurité si le bénéficiaire a donné son accord, au titre de la qualification, du traitement et de l’analyse d’un incident de sécurité affectant les systèmes d’information ;
les partenaires de l’ANSSI pour certaines données limitativement énumérées.
 
26. La CNIL prend acte de ce que les échanges avec les partenaires de l’ANSSI (nationaux, européens ou internationaux) visent notamment à communiquer les données relatives aux victimes potentielles à ces partenaires (adresses IP, url ou identifiants, adresses de courrier électronique ou identités (nom, prénom)), notamment lorsqu’ils concernent des entités relevant de la compétence d’autres Etats. Elle prend aussi acte de ce que ces échanges pourront concerner des " marqueurs d’attaque ". Elle relève que, si tel est le cas, le SGDSN devrait modifier le V de l’article 4 du projet de décret afin d’ajouter cette donnée à la liste.
27. Sans remettre en cause ces échanges de données avec les partenaires de l’ANSSI, la CNIL considère que le projet de décret pourrait préciser, de manière cohérente avec les conditions concernant la conservation des données, qu’ils se limitent aux données " directement utiles " à la prévention et à la caractérisation des menaces pour celles collectées sur le fondement de l’article L. 2321-2-1 du code de la défense, et à la caractérisation des menaces seulement pour celles collectées sur le fondement de l’article L. 2321-2-3 de ce code.
 
E. Sur les droits des personnes
 
28. L’article 8 du projet de décret détaille les modalités d’exercice des droits, en fonction du régime juridique applicable. En outre, l’article 2 du projet de décret prévoit que les données à caractère personnel intéressant la sûreté de l’Etat et la défense, de façon isolée ou groupée, font l’objet d’une identification dans le traitement.
29. Pour les données relevant du RGPD, il est prévu que les droits d’information et d’opposition ne s’appliquent pas, conformément à l’article 23 de ce règlement. Les droits d’accès, de rectification et d’effacement s’exercent directement auprès de l’ANSSI.
30. Pour les données relevant du titre IV de la loi du 6 janvier 1978 susvisée, les droits d’information et d’opposition ne s’appliquent pas, conformément aux articles 116 et 117 de cette loi. Les droits d’accès, de rectification et d’effacement s’exercent de manière indirecte auprès de la CNIL, dans les conditions prévues à l’article 118 de la même loi.
 
31. Le caractère de fichier mixte, relevant concurremment du RGPD et du titre IV de la loi " informatique et libertés ", entraîne une complexité particulière des modalités d'exercice des droits. Or, la CNIL rappelle que l'exercice des droits des personnes, et notamment la possibilité de demander à accéder aux données les concernant, constitue une garantie importante en vue de prévenir des atteintes à leur vie privée.
 
32. Compte tenu des finalités poursuivies par le traitement, les restrictions prévues aux droits des personnes n’appellent pas d’observation particulière.
 
33. En revanche, la CNIL observe que les dispositions projetées ne permettent pas de rattacher de manière certaine les données concernées à la finalité pour laquelle elles sont traitées.
Elle considère que la mise en œuvre de marqueurs spécifiques, ou d'un dispositif équivalent, devrait permettre de déterminer les données considérées comme intéressant la sûreté de l'Etat, sur la base de critères précis. Une telle identification est de nature à permettre au responsable de traitement, saisi d'une demande d'exercice des droits sur le fondement du RGPD, de n'exclure de sa réponse que les données identifiées par avance, et sur la base de critères précis, comme relevant du régime du titre IV.
 
F. Sur les mesures de sécurité
 
34. L’analyse d’impact relative à la protection des données montre que le système d’information sur lequel repose le traitement dispose de fonctionnalités de cloisonnement appropriées au regard de la nature des données traitées et de leur classification.
 
35. La CNIL prend acte de ce que la journalisation des accès a pour seule finalité la détection et la prévention d'opérations illégitimes sur les données du traitement. Elle prend également acte de la supervision en continu des accès qui, couplée à un système de détection des anomalies, permet d’exploiter ces données et contribue à la sécurité du traitement.
36. La CNIL prend aussi acte de ce que l’ANSSI réalise une revue trimestrielle des privilèges afin de réaligner les habilitations sur les fonctions de chaque agent dans le cadre des habilitations spécifiques, et limite ainsi les risques que des personnes non autorisées accèdent aux données alors qu’elles n’auraient pas le besoin d’en connaître.
 
37. Enfin, la CNIL prend également acte de l’absence de recours à la sous-traitance, de sorte que seuls les agents de la sous-direction des opérations de l’ANSSI auront accès aux données du traitement, y compris pour les opérations d’administration du système d’information. L’ANSSI indique que l’Arcep vérifie, notamment, l’adéquation entre les notes de nomination et les droits d’accès réels ouverts aux agents, dans le cadre de sa mission de contrôle définie dans l’article L. 2321-5 du code de la défense.
38. De manière complémentaire, la CNIL relève que l’Arcep est chargée du contrôle des dispositifs liés à la LPM. Elle exerce ce contrôle de manière régulière notamment sur " le fonctionnement précis des mécanismes de traçabilité des actions réalisées au sein des différents réseaux et outils de l’ANSSI impliqués dans la supervision et la caractérisation des menaces " (rapport d’activité de 2023). L’Arcep indique aussi que, suite à ses contrôles, l’ANSSI conduit des travaux visant, entre autres, à améliorer ces mécanismes de traçabilité ; la CNIL estime que ces améliorations de mesures de sécurité contribuent à une logique d’amélioration continue.
 
39. Les autres dispositions du projet de décret n’appellent pas d’observations de la part de la CNIL.
 
La présidente,
 
 
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. Alain DRU et Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° SAN-2023-018 du 12 décembre 2023 adoptée par la formation restreinte à l’encontre de X ;
Vu la délibération n°SAN-2024-005 du 4 avril 2024 adoptée par la formation restreinte à l’encontre de X ;
Après en avoir délibéré, a adopté la décision suivante :
FAITS ET PROCÉDURE
Par décision du 12 décembre 2023, notifiée le 18 décembre 2023, la formation restreinte a adopté des mesures correctrices dans les termes suivants :
" prononcer à l’encontre de X une amende administrative d’un montant de cinq mille (5 000) euros au regard des manquements constitués aux articles 31 et 37 du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des données ;
prononcer à l’encontre de X une injonction de désigner un délégué à la protection des données assortie d’une astreinte de cent-cinquante (150) euros par jour de retard à l’issue d’un délai de deux mois suivant la notification de la délibération de la formation restreinte ".
En application de l’article 44 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 modifiée "), la formation restreinte a, par une délibération du 4 avril 2024, notifiée le 10 avril 2024, porté à la connaissance de la commune que, compte tenu de l’absence de réponse de la commune relative à la désignation d’un délégué à la protection des données dans le délai imparti par l’injonction, elle envisageait de liquider l’astreinte pour un montant de six mille neuf cents euros (6 900 euros) au titre de la période du 19 février 2024 au 4 avril 2024, et de rendre publique la délibération prononçant la liquidation de l’astreinte. Elle a indiqué à la commune qu’elle disposait d’un délai de quinze jours à compter de la notification des motifs de la liquidation et de son montant pour transmettre ses observations écrites.
La commune n’a formulé aucune observation écrite.
MOTIFS DE LA LIQUIDATION ET MONTANT
Aux termes de l’article 44 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi du 6 janvier 1978 modifiée " Lorsque la formation restreinte décide d'assortir d'une astreinte sa décision d'injonction de mise en conformité […], elle peut le faire par la même décision. Le responsable de traitement […] transmet à la formation restreinte, au plus tard à la date fixée dans la décision de cette dernière, les éléments attestant qu'il s'est conformé à l'injonction prononcée à son encontre ".
L’article 44, paragraphe 3, du décret précité prévoit que " En cas d'inexécution totale ou partielle ou d'exécution tardive, la formation restreinte procède à la liquidation de l'astreinte qu'elle avait prononcée " et que " Le montant de l'astreinte est liquidé en tenant compte des éléments transmis, le cas échéant, par le responsable de traitement ou le sous-traitant, de son comportement et des difficultés d'exécution qu'il a rencontrées, notamment s'il est établi que l'inexécution ou le retard dans l'exécution provient, en tout ou partie, d'une cause étrangère aux capacités de mise en conformité ".
Enfin, selon les paragraphes 4 et 5 de l’article précité, " la décision prononçant la liquidation de l’astreinte est précédée d’une procédure écrite au cours de laquelle la formation restreinte porte à la connaissance du responsable de traitement ou du sous-traitant les motifs de la liquidation envisagée et son montant. Le responsable du traitement ou le sous-traitant dispose d'un délai de quinze jours à compter de la date de notification des motifs de la liquidation et de son montant pour transmettre à la formation restreinte ses observations écrites ".
Sur les motifs de la liquidation
La formation restreinte relève que la commune ne lui a transmis aucun élément permettant d’attester de la désignation d’un délégué à la protection des données.
Par conséquent, la formation restreinte considère que la commune n’a pas satisfait à l’injonction prononcée par la délibération n° SAN-2023-018 du 12 décembre 2023.
Sur le montant de l’astreinte à liquider
Compte tenu de l’absence de mise en conformité de X, la formation restreinte considère qu’il y a lieu de liquider l’astreinte à hauteur de six mille neuf cents euros (6 900 euros) au titre de la période du 19 février 2024 au 4 avril 2024.
Sur la publicité
Il convient de rendre publique la présente délibération afin d’informer des suites données au prononcé de l’injonction de la sanction n°SAN-2023-018 du 12 décembre 2023, elle-même publiée.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
procéder à la liquidation de l’astreinte prononcée à l’encontre de X pour un montant de six mille neuf cents euros (6 900 euros) au titre de la période du 19 février 2024 au 4 avril 2024 ;
rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération, qui n’identifiera plus nommément X à l’expiration d’un délai d’un an à compter de sa publication ;
 Le président
 
Philippe-Pierre CABOURDIN
Conformément à l’article R.421-7 du code de justice administrative, cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de trois mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 10 et 22-1 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 41, 45-1 et 45-2 ;
Après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
Décide :
Article 1
Les agents de la direction de la protection des droits et des sanctions de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés et ceux nommés en application du premier alinéa de l'article 41 du décret n° 2019-536 du 29 mai 2019 modifié, sont habilités à établir un rapport en application du cinquième alinéa de l'article 22-1 de la loi du 6 janvier 1978 modifiée :
Mme Sophie BRIET ;
Mme Madeleine CAZETTES DE SAINT LEGER ;
Mme Virginie CLAUDE-LOONIS ;
Mme Audrey DANEL ;
Mme Caroline DEROUET ;
Mme Rosine DOLBEC ;
Mme Marie GAILLARDON ;
M. Rodolphe GÉNISSEL ;
Mme Sarah GUILLOU ;
Mme Marion JABOT ;
M. Jérémie KOUZMINE ;
Mme Morgane LE HIR ;
Mme Isabelle MANTZ ;
Mme Clothilde MAULIN ;
Mme Oriane MAURICE ;
Mme Nina MCEVOY ;
Mme Aude RICHARD ;
Mme Lauren SERAN.
Article 2
La délibération n° HAB-2024-002 du 21 mars 2024 portant habilitation de certains agents de la Commission nationale de l'informatique et des libertés est abrogée.
Article 3
Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 4
La présente décision sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la santé et de la prévention d’une demande d’avis concernant le projet d’arrêté fixant les règles de gestion des droits d'accès au dossier médical partagé des professionnels mentionnés à l’article L. 1111-15 et au III de l’article L. 1111-17 du code de la santé publique ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Étant rappelés les éléments de contexte suivants :
La délégation ministérielle au numérique en santé (DNS) a saisi la Commission d’une demande d’avis relative aux évolutions des règles d’accès par les professionnels de santé au dossier médical partagé (DMP), dont la Caisse nationale de l'assurance maladie (CNAM) est responsable de traitement.
Le projet d’arrêté est pris en application de l’alinéa 6 de l’article R. 1111-46 du code de la santé publique (CSP) qui prévoit que les professionnels n’accèdent qu’aux seules données strictement nécessaires à la prise en charge du titulaire du DMP, dans le respect des règles de gestion des droits d'accès définies après consultation de la CNAM, des conseils nationaux des ordres des professionnels de santé et de l'Union nationale des associations agréées d'usagers du système de santé.
La matrice d’habilitation définissant les règles d’accès et le niveau d’information consultable par défaut par les professionnels est annexée au projet. Elle prévoit les règles d’accès en lecture aux volets de contenus du DMP en fonction des profils de professionnels et du type de documents.
Le titulaire du DMP peut à tout moment décider d’étendre ou de restreindre ces autorisations d’accès directement via Mon espace santé, auquel le DMP est désormais intégré. Selon les éléments transmis par le ministère, le médecin traitant du patient, appelé médecin "administrateur", peut accéder à tous les documents, y compris ceux qui ont été masqués par le titulaire du DMP.
La matrice élargit par ailleurs les catégories de professionnels pouvant accéder au DMP à certains professionnels du secteur médico-social et de la coordination, en conséquence de la loi n° 2020-1525 du 7 décembre 2020 d'accélération et de simplification de l'action publique.
Elle intègre enfin de nouveaux types de documents, tels que le dossier de liaison d’urgence ou les documents utiles à la dispensation et aux conseils en pharmacie.
Formule les 
observations suivantes :
Sur l’accès aux données
Il ne relève pas de la compétence de la Commission d’évaluer, d’un point de vue scientifique et médical, la pertinence de chacun des accès proposés dans la matrice.
Les évolutions proposées paraissent néanmoins justifiées dès lors :
qu’elles résultent de concertations avec les ordres professionnels et les représentants des usagers ;
et qu’elles tiennent compte des évolutions du cadre normatif des professions de santé portant sur leur champ de compétence et/ou leur pratiques de soins.
La Commission rappelle que l’accès par un professionnel de santé aux documents contenus dans le DMP ne pourra intervenir que si :
les documents sont strictement nécessaires à la prise en charge du patient ; 
et le consentement du patient préalablement informé a été recueilli, conformément aux dispositions de l’article L. 1111-17-III du code de la santé publique. 
 
Sur la sécurité des données
Le respect du principe de minimisation est d’autant plus important que les risques inhérents à la mise en œuvre du DMP, notamment en matière d’accès non autorisés ou de violation des données, vont être accrus du fait de son intégration à "Mon espace santé" et de la généralisation de son usage.
La Commission accueille favorablement les mesures organisationnelles prévues afin de garantir la confidentialité et la sécurité des données, notamment l’identification des professionnels et la traçabilité des accès aux DMP par l’utilisation de moyens d’identification électronique. L’extension du Répertoire partagé des professionnels de santé (RPPS) aux professionnels du secteur médico-social et intervenant dans le domaine de la coordination des soins permet, par le biais de "Pro Santé Connect", de garantir cette traçabilité et cette sécurité pour tous les professionnels concernés.
Enfin, la Commission invite le ministère à accompagner cette matrice, comme cela été fait pour la précédente version, d’une mention rappelant les principes régissant l’accès au DMP par les professionnels, ainsi que les sanctions encourues en cas de violation du secret professionnel.
 
La Présidente
 
 
Marie-Laure DENIS