AgentPublic/cnil huggingface dataset:
Par un courrier en date du 14 août 2020, le ministère des solidarités et de la santé a adressé à la Commission des éléments de réponse et des documents relatifs aux mesures prises pour se conformer à la mise en demeure adoptée par la Présidente de la Commission. Les mesures prises par le ministère ont notamment consisté à techniquement forcer les utilisateurs à avoir recours à une nouvelle version de l’application (v1.1) dans le cadre de laquelle le préfiltrage de l’historique des contacts s’effectue au niveau du téléphone. Avec cette version, il est désormais impossible que l’intégralité de l’historique des contacts de l’utilisateur soit transmise au serveur central, sans préfiltrage au niveau du téléphone. De même, le ministère n’a plus recours au système de reCaptcha proposé par la société Google. Il n’y a donc plus d’opérations de lecture et d’écriture sur le terminal en lien avec cette technologie, même pour les utilisateurs de la première version de l’application (v1.0).
Après examen des réponses du ministère et des pièces justificatives associées (copies d’écran, code source des différentes versions de l’application, contrats mis à jour, etc.), il apparaît que l’ensemble des demandes exprimées par la Présidente de la Commission dans la mise en demeure du 15 juillet 2020 ont été satisfaites.
Les traitements mis en œuvre étant désormais conformes aux exigences du RGPD, la Présidente de la Commission a prononcé la clôture de cette mise en demeure le 3 septembre 2020. En cas d’évolution de l’application, la Commission pourra toujours, le cas échéant, procéder à de nouvelles vérifications.
 
o Une procédure de contrôle continue :
La Commission souligne que les contrôles se poursuivront tout au long de la période d’utilisation des fichiers, jusqu’à la fin de leur mise en œuvre et la suppression des données qu’ils contiennent.
 
Elle rappelle également que les vérifications menées donnent lieu à de nombreux échanges avec le ministère des solidarités et de la santé mais également avec d’autres organismes (CNAM, ARS, laboratoires, CNOM, etc.). Le présent avis ne constitue ainsi qu’une synthèse de ces échanges et des constatations effectuées lors de la première phase de contrôle.
À cet égard, la seconde phase de contrôles est d’ores et déjà prévue et débutera avant la fin du mois de septembre 2020. Elle portera principalement sur les points suivants :
Concernant le traitement SI-DEP :
l’interconnexion de la Plateforme des données de santé avec le fichier SI-DEP, non opérationnelle à la date des premiers contrôles ;
le transfert des données à des organismes tiers (remontées de données pour le suivi épidémiologique (données pseudonymisées) auprès de la DREES ou de Santé publique France ;
Concernant le traitement CONTACT COVID :
les modalités de mise en œuvre du portail d’accès au traitement CONTACT COVID à destination des partenaires ne disposant pas d’un compte ameli pro ;
l’information délivrée aux patients par les médecins et les pharmaciens sur le traitement CONTACT COVID.
Pour ces deux traitements, les investigations porteront également sur l’effectivité des mesures prévues pour l’exercice des droits des personnes concernées.
 
Le prochain avis public de la Commission fera état des résultats de ces contrôles. 
 
Enfin, une troisième vague de contrôles sera effectuée à l’issue de la mise en œuvre des traitements. Des contrôles sur place seront ainsi réalisés auprès des organismes concernés, afin de vérifier notamment la suppression effective des données. Les vérifications devraient porter sur les durées de conservation des données, leur suppression et/ou leur anonymisation éventuelle.
 
Ce dernier point concerne également l’application STOPCOVID. Les vérifications effectuées par la Commission à cette occasion pourront également porter sur des aspects visés dans la mise en demeure du 15 juillet 2020.
 
La Présidente
Marie-Laure DENIS
 
ANNEXE 1 : Liste des auditions Parlementaires et des avis rendus par la Commission
Liste des auditions de la Commission :
8 avril 2020: auditions devant la commission des lois de l’Assemblée Nationale et devant les deux rapporteurs de la commission des affaires économiques de l’Assemblée Nationale ;
15 avril 2020: audition devant la commission des lois du Sénat ;
 
1er mai 2020 : audition devant le rapporteur de la commission des affaires sociales du Sénat sur le projet de loi de prorogation de l’état d’urgence ;
 
5 mai 2020 : audition devant la commission des lois de l’Assemblée Nationale sur le projet de loi de prorogation état d’urgence ;
Liste des avis rendus sur les trois traitements SIDEP, CONTACT COVID et STOPCOVID :
Délibération n° 2020-044 du 20 avril 2020 de la CNIL portant avis sur un projet d'arrêté complétant l’arrêté du 23 mars 2020 prescrivant les mesures d’organisation et de fonctionnement du système de santé nécessaires pour faire face à l’épidémie de COVID-19 dans le cadre de l’état d’urgence sanitaire ;
Délibération n° 2020-046 du 24 avril 2020 de la CNIL portant avis sur un projet d’application mobile dénommée StopCovid;
Délibération n° 2020-051 du 8 mai 2020 portant avis sur un projet de décret relatif aux systèmes d’information mentionnés à l’article 6 du projet de loi prorogeant l’état d’urgence sanitaire ;
Délibération n° 2020-056 du 25 mai 2020 portant avis sur un projet de décret relatif à l’application mobile dénommée StopCovid ;
Délibération n° 2020-083 du 23 juillet 2020 portant avis sur un projet de décret pris en application de l'article 3 de la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire relatif à la durée de conservation des données pseudonymisées collectées à des fins de surveillance épidémiologique et de recherche sur le virus de la COVID-19
ANNEXE 2 : Description des traitements SI-DEP, CONTACT COVID et STOPCOVID
 
Le traitement SI-DEP est un système d’information national mis en œuvre par le ministère de la santé qui permet la centralisation des résultats des tests au SARS-CoV-2 réalisés par des laboratoires publics ou privés. Ces résultats sont transmis à SI-DEP soit automatiquement (4500 laboratoires connectés) soit manuellement. Cette centralisation permet ensuite une transmission des données à différents destinataires, notamment :
aux agences régionales de santé (ARS) et à la Caisse primaire d’assurance maladie (CPAM), en vue de la réalisation des investigations relatives aux cas contacts, dans le cadre du téléservice CONTACT COVID.
à la Direction de la recherche, des études, de l'évaluation et des statistiques (DREES) et à Santé publique France sous une forme pseudonymisées, à des fins de surveillance épidémiologique et de diffusion des informations statistiques.
à la Plateforme des données de santé (PDS) et à la Caisse nationale d’assurance maladie (CNAM) aux seules fins de faciliter l'utilisation des données de santé pour les besoins de la gestion de l'urgence sanitaire et de l'amélioration des connaissances sur le virus.
 
Le traitement CONTACT COVID mis en œuvre par la Caisse nationale d’assurance maladie (CNAM) recueille des informations sur les cas contact et les chaînes de contamination et vise à détecter les cas contacts à trois niveaux différents.
Il permet :
aux médecins de ville/établissements de santé/centres de santé d’initier une fiche de suivi du patient 0 et de ses cas contacts (niveau 1) ;
au personnel habilité de l’assurance maladie (ou aux personnes à qui cette mission est déléguée par les textes) (niveau 2) :
	
de compléter et d’affiner, si nécessaire, la fiche du patient 0 et la liste de ses cas contacts ;
d’appeler les cas contacts pour leur communiquer les consignes de quarantaine, de tests et autres conduites à tenir ;
aux Agences régionales de santé (ARS) d’assurer (niveau 3) :
leurs missions de suivi des cas contacts ;
la gestion des situations nécessitant une prise en charge spécifique. Il s’agit par exemple des chaines de transmission en milieu scolaire, dans un établissement de santé ou dans un foyer de jeunes.
L’application STOPCOVID est une application mobile de suivi de contact, basée sur le volontariat des personnes et utilisant la technologie Bluetooth, mise à disposition par le Gouvernement dans le cadre de sa stratégie globale de déconfinement progressif .
Elle permet d’alerter les utilisateurs d’un risque de contamination lorsqu’ils ont été à proximité d’un autre utilisateur ayant été diagnostiqué ou dépisté positif à la COVID-19. Pendant son utilisation, le smartphone stocke une liste de pseudonymes temporaires des appareils qu’il a croisés pendant 14 jours (c’est ce qu’on appelle l’ historique de proximité ).
Quand un utilisateur est diagnostiqué ou dépisté positif à la COVID-19, il peut choisir de se déclarer dans l'application et, ainsi, faire remonter les données de ses contacts (les cartes de visite pseudonymes) vers un serveur central. La transmission de ces données au serveur ne sera possible qu’avec un code à usage unique remis par un professionnel de santé suite à un diagnostic clinique positif ou un QR Code remis à la personne à l’issue de son test. Le serveur traite alors chacun des contacts remontés dans l’historique de proximité et calcule pour chacun le score de risque de contamination au virus. L’application d’un utilisateur interrogera périodiquement ce serveur pour voir si l’un des identifiants qui lui est rattaché a été remonté par une personne diagnostiquée ou dépistée à la COVID-19 et si le score de risque associé atteint un certain seuil. Une fois notifiée qu’elle est un contact , donc à risque, la personne est notamment invitée à consulter un médecin.
ANNEXE 3 : Liste des textes et de leurs principaux apports en matière de protection des données personnelles
 
Loi n° 2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire et complétant ses dispositions : autorise aux seules fins de lutter contre l’épidémie de COVID-19, le traitement et le partage de données de santé à caractère personnel dans le cadre de systèmes d’information créés par décret en Conseil d’État ;
Décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions : création des traitements SI-DEP et CONTACT COVID ;
Décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé STOPCOVID : institue l’application STOPCOVID ;
Loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire : autorise la prolongation de la durée de conservation des données pseudonymisées collectées dans le cadre des systèmes d’information SI-DEP et CONTACT COVID à des fins de surveillance épidémiologique et de recherche sur le virus de la COVID-19 ;
Décret n° 2020-1018 du 7 août 2020 pris en application de l'article 3 de la loi n° 2020-856 du 9 juillet 2020 organisant la sortie de l'état d'urgence sanitaire et modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions : porte à six mois après la fin de l’état d’urgence sanitaire la durée de conservation des données pseudonymisées collectées dans le cadre de ces systèmes d’information à des fins de surveillance épidémiologique et de recherche sur le virus de la COVID-19
Arrêté du 10 juillet 2020 prescrivant les mesures générales nécessaires pour faire face à l'épidémie de COVID-19 dans les territoires sortis de l'état d'urgence sanitaire et dans ceux où il a été prorogé : encadre la centralisation des données des fichiers SI-DEP et CONTACT COVID au sein de la Plateforme des données de santé et de la CNAM et leur utilisation (remplace et abroge l’arrêté du 21 avril 2020 complétant l’arrêté du 23 mars 2020 prescrivant les mesures d'organisation et de fonctionnement du système de santé nécessaires pour faire face à l'épidémie de COVID-19 dans le cadre de l'état d'urgence sanitaire).
 
ANNEXE 4 : Liste des organismes contrôlés dans le cadre de ces dispositifs
Traitement SI-DEP :
Le ministère des Solidarités et de la Santé ;
L’Assistance Publique des Hôpitaux de Paris (AP-HP) ;
Des laboratoires privés de biologie médicale ;
Traitement CONTACT COVID
 :
Un établissement de santé recevant des malades en consultation ;
Une Caisse Primaire d’Assurance Maladie (CPAM) ;
Une agence régionale de santé (ARS) ;
Le Conseil national de l’Ordre des médecins (CNOM) ;
Le Conseil national de l’Ordre des pharmaciens (CNOP).
Traitement STOPCOVID :
Le ministère des Solidarités et de la Santé ;
L’Institut national de recherche en sciences et technologies du numérique (INRIA) ;
Autres organismes.
_____________________________________________________________________________________________
(1) Désigne une personne testée comme positive ou confirmée positive par l’établissement de santé qui a posé le diagnostic, aussi appelée cas index .
(2) Une description de ces trois dispositifs figure en annexe 2 du présent avis.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre délégué chargé des transports d’une demande d’avis concernant un projet d’ordonnance issu de l’article 32 de la loi d’orientation des mobilités relatif à l’accès aux données des véhicules ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2019-1428 du 24 décembre 2019 d’orientation des mobilités, notamment son article 32 (LOM) ;
Après avoir entendu Mme Marie-Hélène BOIDIN-DUBRULE, commissaire, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations.
Emet l’avis suivant :
Le projet d’ordonnance dont est saisie la Commission est prévu par l'article 32 de la loi n° 2019-1428 du 24 décembre 2019 d’orientation des mobilités (LOM).
Ce projet prévoit de rendre accessibles les données pertinentes issues des systèmes intégrés aux véhicules terrestres à moteur :
aux gestionnaires d’infrastructures routières, forces de l’ordre et services d’incendie et de secours aux fins de détection des incidents et accidents et des conditions dangereuses de circulation ;
au constructeur, dans le cadre du renforcement de la sécurité des systèmes de délégation de conduite.
En cas d’accident de la route, les données des dispositifs d’enregistrement d’événements ( EDR ) et les données d’état de délégation de conduite ( DSSAD ) seront rendues accessibles :
aux officiers et agents de police judiciaire aux fins de l’étude et de l’analyse des accidents pour la détermination des responsabilités, et aux organismes chargés de l’enquête technique et de l’enquête de sécurité, pour la seule finalité de l’étude et de l’analyse des accidents ;
aux assureurs et, le cas échéant, au fonds de garantie prévu dans ce domaine, s’agissant des données d’état de délégation de conduite, aux fins de déterminer les indemnisations nécessaires.
Le projet prévoit également de permettre la transmission de données pertinentes issues de systèmes intégrés aux véhicules terrestres à moteur :
aux gestionnaires d’infrastructures routières aux fins de connaissance de l’infrastructure routière et de son équipement ;
aux gestionnaires d’infrastructures routières et aux autorités organisatrices de la mobilité aux fins de connaissance du trafic routier.
Enfin, il prévoit de permettre la correction télématique des défauts de sécurité des véhicules.
Le projet de loi d’orientation des mobilités dont la Commission avait été saisie pour avis en 2018 ne contenait pas les dispositions de l’article 32, dont résulte le projet d’ordonnance, objet du présent avis. Elle n’avait par conséquent pas pu émettre d’observations sur les principes prévus par cet article.
La question de la légitimité des accès et des transmissions des données
Le projet d’ordonnance prévoit l’accès et la transmission des données issues des véhicules connectés au bénéfice de nombreux acteurs, qu’il s’agisse d’organismes publics (forces de l’ordre et services d’incendie et de secours, etc.) ou privés (gestionnaires d’infrastructures routières, etc.).
A titre liminaire, la Commission souligne que l’organisation de l’accès aux données des véhicules connectés au bénéfice de ces acteurs est prévue, d’une part, par la LOM et, d’autre part, par la réglementation européenne, à l’instar des EDR dont l’accès par les autorités nationales est permis par le règlement (UE) 2019/2144 du Parlement européen et du Conseil du 27 novembre 2019 concernant la sécurité générale des véhicules sur la base, notamment, du droit national.
De nombreuses finalités prévues par le projet d’ordonnance (détection des accidents et des conditions dangereuses de circulation, connaissance de l’état de l’infrastructure et de son équipement, étude et analyse des accidents, etc.) doivent notamment permettre de renforcer la sécurité du transport routier et la qualité des interventions en cas d’accident et poursuivent, dès lors, un intérêt public important.
Toutefois, la Commission s’interroge sur la compatibilité de l’accès, par les officiers et agents de police judiciaire, aux données des enregistreurs d’évènements en vue de la détermination des responsabilités en cas d’accident de la route (projet d’article L.1514-4 du code des transports), avec les dispositions du règlement européen 2019/2144 précité.
En premier lieu, la Commission relève que les dispositions de l’article 6.4 du règlement européen, qui entrent en application le 6 juillet 2022, prévoient que les données des EDR peuvent être communiquées aux autorités nationales, sur la base du droit national, pour les seuls besoins de l’étude et de l’analyse des accidents. La CNIL s’interroge sur la possibilité d’étendre l’usage des données collectées par les EDR au-delà de ces finalités, en y incluant la détermination des responsabilités des personnes impliquées dans l’accident, dans le cadre d’une enquête ou d’une information judiciaire.
En second lieu, elle souligne que le règlement mentionne que les EDR devraient fonctionner suivant un système qui, d’une part, ne permet pas l’identification du véhicule ou de son détenteur (l’article 6.4 emploie le terme de données anonymisées ) et, d’autre part, permet un écrasement des données mémorisées. Par ailleurs, en application de l’article 6.5 du règlement, un tel dispositif ne doit pas être capable d’enregistrer et de mémoriser les quatre derniers chiffres de la partie désignation du véhicule du numéro d’identification du véhicule, ni aucune autre information qui pourrait permettre l’identification individuelle du véhicule concerné, de son propriétaire ou de son détenteur . Dès lors, la logique de séparation entre données relatives aux accidents et données à caractère personnel du conducteur ne paraît pas pouvoir être respectée dans le cadre d’un accès à des données collectées et conservées de manière identifiante pendant les six ans prévus par le texte, aux fins d’établir notamment le niveau de responsabilité du conducteur.
Le projet d’ordonnance prévoit, au projet d’article L. 1514-5 du code des transports, des dispositions équivalentes (finalités, accédants, durée de conservation, etc.) à celles des EDR, pour les DSSAD. A cet égard, la Commission prend acte des précisions du ministère selon lesquelles, les DSSAD font actuellement l’objet de travaux de réglementation au niveau international. La Commission invite celui-ci à tenir compte des conclusions qui seront prises par les instances internationales compétentes, s’agissant notamment des données rendues accessibles et de la qualité des accédants ou destinataires.
De manière plus générale, la Commission relève que les projets d’articles mentionnés ci-dessus imposent, par voie d’ordonnance, à des acteurs privés offrant des biens de consommation connectés, la mise en place de dispositifs permettant de suivre l’usage de ces biens et de vérifier, lors d’éventuelles enquêtes pénales réalisées ultérieurement, les conditions d’utilisation de ceux-ci. Ces mesures reposent sur une logique de traçabilité des actions du conducteur dans son véhicule, sans contrôle de ce dernier sur ses données, logique qui est porteuse de risques pour les libertés individuelles et de nature à amplifier le sentiment de surveillance des citoyens jusque dans leurs véhicules.
Ainsi, sans remettre en cause la possibilité pour les forces de l’ordre, dans un cadre judiciaire, de demander la communication de tout élément disponible contribuant à la manifestation de la vérité selon les règles procédurales prévues en la matière, la Commission rappelle qu’une telle possibilité ne justifie pas, en elle-même, la création d’une obligation pour les fabricants et constructeurs de prévoir la conservation au sein d’enregistreurs d’évènements intégrés dans leurs produits, de la trace des conditions d’utilisation de ceux-ci. De surcroît, le principe de proportionnalité prévu par le RGPD s’oppose à une conservation généralisée, par défaut, de données touchant à la vie privée des personnes.
L’encadrement des opérations de traitement visant à accéder ou à permettre la transmission des informations à partir des véhicules 
Certaines dispositions du projet d’ordonnance précisent que les données pourront être transmises ou accédées via des réseaux de communication ouverts au public (projets d’articles L. 1514-1, L. 1514-2, L. 1514-3 et L. 1514-7 du code des transports).
Les dispositions de l’article 82 de la loi informatique et libertés , qui transposent l’article 5(3) de la directive 2002/58/CE du 12 juillet 2002, dite vie privée et communications électroniques , imposent, en dehors des exceptions applicables, le recueil du consentement de l’utilisateur avant toute opération de traitement visant à accéder ou à inscrire des informations, indépendamment de la qualification de données à caractère personnel, dans l’équipement terminal de l’utilisateur. Or, l’article 1er de la directive 2008/63/CE du 20 juin 2008 définit l’ équipement terminal comme tout équipement qui est connecté directement ou indirectement à l’interface d'un réseau public de télécommunications pour transmettre, traiter ou recevoir des informations . Par conséquent, l’article 82 est susceptible de s’appliquer aux opérations de transmission des données ou d’accès à distance aux dispositifs intégrés aux véhicules par l’interface d’un réseau public de télécommunications, qui seraient réalisées dans le cadre du projet d’ordonnance.
Ces dispositions s’appliquent que les données collectées par l’intermédiaire de ces opérations soient à caractère personnel ou non car elles visent avant tout à protéger l’intégrité du terminal et sa confidentialité, dans la mesure où  […] toute information stockée sur cet équipement relève de la vie privée de l’utilisateur, qui doit être protégée au titre de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales , comme le rappelle le considérant 24 de la directive du 12 juillet 2002 précitée.
Aussi, dans l’hypothèse où les accès et les transmissions prévus par le projet d’ordonnance s’opèreraient à distance par le biais d’un réseau public de télécommunications, le consentement des utilisateurs -entendus comme les utilisateurs du véhicule- devrait être recueilli préalablement à tout accès ou transmission, sauf si ces opérations entrent dans le cadre des exceptions prévues par l’article 82 précité, à savoir qu’elles ne servent qu’à faciliter ou permettre la communication par voie électronique ou si elles sont strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.