AgentPublic/cnil huggingface dataset:
Le responsable de traitement met en œuvre les mesures adéquates pour gérer les risques inhérents à ces procédures de ré-identification et notamment pour garantir qu'elles ne soient utilisables que dans le cas d'une demande émanant effectivement d'une personne concernée ou d'un professionnel de santé dûment habilité.
			Gestion des incidents de sécurité et des violations de données à caractère personnel
			SEC-INC-1
			Le responsable de traitement prévoit une procédure de gestion et de traitement des incidents de sécurité et des violations de données à caractère personnel, précisant les rôles et responsabilités et les actions à mener en cas de survenue de tels incidents.
			SEC-INC-2
			Tout incident de sécurité, d'origine malveillante ou non et se produisant de manière intentionnelle ou non, ayant comme conséquence, même temporaire, de compromettre l'intégrité, la confidentialité ou la disponibilité de données à caractère personnel, doit faire l'objet d'une documentation en interne dans un registre des violations.
			SEC-INC-3
			Lorsqu'un tel incident est susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, la violation de données qui en résulte doit être notifiée à la Commission dans les conditions prévues à l'article 33 du RGPD.
			SEC-INC-4
Dans l'hypothèse où la violation est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne physique, le responsable de traitement est tenu de communiquer la violation des données aux personnes concernées dans les meilleurs délais, conformément à l'article 34 du RGPD.
10.3. Ces mesures ne sont pas exhaustives et devront être complétées par les éventuelles dispositions qui auront été jugées nécessaires lors de la réalisation de l'analyse d'impact sur la protection des données menée tel que détaillé dans la section 13 du présent référentiel.
10.4. Les articles 5.1.f et 32 du RGPD nécessitent la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques afin que celles-ci soient conformes à l'état de l'art.
11. Sous-traitants
11.1. En cas de recours à un prestataire, la prestation doit s'effectuer dans les conditions prévues à l'article 28 du RGPD. Un contrat de sous-traitance doit être conclu entre le prestataire et le responsable de traitement. Ce contrat doit notamment spécifier la répartition des responsabilités relatives aux mesures de sécurité et à la gestion des violations de données entre les différents acteurs.
11.2. Le prestataire doit, en sa qualité de sous-traitant, tenir un registre des activités de traitement dans les conditions de l'article 30.2 du RGPD.
11.3. Seuls les entrepôts ayant recours à un sous-traitant relevant exclusivement des juridictions de l'Union européenne ou d'un pays considéré comme adéquat au sens de l'article 45 du RGPD sont conformes au présent référentiel.
11.4. Dans le cas où le responsable de traitement a recours aux services d'un sous-traitant pour l'hébergement, le stockage ou la conservation des données de santé, ce sous-traitant doit être un hébergeur de données de santé agréé ou certifié selon les dispositions du CSP.
12. Transfert de données hors de l'Union européenne
12.1. Est considéré comme transfert tout accès distant aux données depuis l'extérieur du territoire européen.
12.2. La mise en place et le fonctionnement d'un entrepôt ne peuvent entrainer le transfert de données à caractère personnel, directement ou indirectement identifiantes hors de l'Union européenne ou à destination d'un pays ne disposant pas d'un niveau de protection adéquat.
13. Analyse d'impact sur la protection des données
13.1. Le responsable de traitement doit réaliser et documenter une analyse d'impact sur la protection des données.
13.2. A cette fin, le responsable de traitement pourra se reporter :
- aux principes contenus dans ce référentiel ;
- aux outils méthodologiques proposés par la Commission sur son site web.
13.3. Le cas échéant, le responsable de traitement pourra élaborer une procédure relative à l'AIPD permettant d'impliquer les acteurs et les personnes pertinentes pour sa réalisation, notamment le délégué à la protection des données (DPD/DPO) qui devra être consulté.
13.4. L'AIPD devra être réexaminée et mise à jour régulièrement, notamment si des changements importants sont prévus dans le traitement ou si les risques pour les personnes concernées ont évolué (comme la poursuite d'une finalité supplémentaire, le recours à un nouveau sous-traitant, de nouvelles données collectées, une fuite de données permettant la réidentification, etc.).
(1) Le PMSI local correspond au PMSI de l'établissement, sauf dans le cas d'un GHT dans lequel l'établissement chef de file pourrait disposer du PMSI du GHT.
(2) Conformément aux critères du G29 ou tout avis futur du CEPD.
(3) G29, Lignes directrices sur la transparence au sens du règlement (UE) 2016/679, adoptées le 11 avril 2018.
(4) Un mot de passe seul n'est pas considéré comme un dispositif d'authentification équivalent à un certificat.
(5) Y compris en mobilisant les sels, clés de hachage ou les tables de correspondance
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis relative au projet de décret modifiant le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé TousAntiCovid ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2021-1465 du 10 novembre 2021 portant diverses dispositions de vigilance sanitaire ;
Vu le décret modifiant le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé TousAntiCovid ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après la Commission ) a été saisie en urgence, le 16 novembre 2021, par le ministre des solidarités et de la santé, puis le 24 novembre 2021 par saisine rectificative, d'une demande d'avis relative à un projet de décret modifiant le décret n° 2020‑650 du 29 mai 2020 relatif au traitement de données dénommé TousAntiCovid .
Pour rappel, ce traitement se présente sous la forme d’une application mobile comprenant plusieurs fonctionnalités qui reposent, le cas échéant, sur des traitements de données poursuivant des finalités distinctes et dont les modalités de mise en œuvre sont propres à chacune d'entre elles. En particulier, elle permet une information des personnes lorsqu’elles présentent un risque d’avoir été contaminées à la COVID-19, soit en raison d’un contact avec une personne contaminée qui s’est déclarée comme telle dans l’application, soit en raison de la fréquentation de lieux sur la même plage horaire qu’une ou plusieurs personnes ultérieurement diagnostiquées positives à la COVID-19. Elle permet également, à partir d’informations renseignées ou intégrées par l’utilisateur, la génération et le stockage de certains justificatifs ou certificats officiels, notamment le passe sanitaire mis en place pour la gestion de la crise sanitaire.
La saisine s'inscrit, dans le cadre de l’évolution de la stratégie de lutte contre la COVID‑19. Tout d’abord, l’adoption de la loi n° 2021-1465 du 10 novembre 2021, portant diverses dispositions de vigilance sanitaire, a pour effet de prolonger l’usage du passe sanitaire jusqu’au 31 juillet 2022. Ensuite, le gouvernement a récemment annoncé des évolutions, d’une part, quant à la campagne de vaccination qui prévoit la nécessité, pour certaines catégories de personnes, d’effectuer un rappel afin de bénéficier d’un schéma vaccinal complet et, d’autre part, une modification de la durée de validité des tests permettant de bénéficier du passe sanitaire, qui passe de 72 heures à 24 heures.
Dans ce contexte, les principales évolutions envisagées visent à permettre le traitement des données contenues dans les certificats composant le passe sanitaire afin d’afficher aux utilisateurs des recommandations sanitaires ciblées et, le cas échéant, des mesures à prendre afin de bénéficier d’un passe sanitaire valide. Ces recommandations et mesures doivent permettre d’améliorer la pédagogie sur les conduites à tenir, dont certaines auront un impact direct sur la validité des certificats (par exemple, en informant les personnes adultes de la nécessité d’une troisième dose afin de bénéficier d’un schéma vaccinal complet), et ce dans l’objectif de limiter la propagation du virus. A cet égard, la Commission prend acte de ce que les données seront traitées uniquement en local dans le terminal de l’utilisateur. Par ailleurs, elle rappelle que les personnes concernées doivent être informées de ces nouvelles fonctionnalités et pouvoir exercer leur droit d’opposition au traitement de leurs données pour ces nouvelles finalités.
Sur l’affichage de recommandations sanitaires ciblées et de mesures à prendre afin de bénéficier d’un passe sanitaire valide
Le projet prévoit l’ajout d’un 9° au II de l’article 1er du décret afin de créer une nouvelle finalité au traitement mis en œuvre dans le cadre de l’application TousAntiCovid . Celle‑ci vise trois objectifs : le stockage des certificats composant le passe sanitaire, l’information des utilisateurs quant à la validité de leurs justificatifs et l’affichage de recommandations sanitaires ciblées et, le cas échéant, de mesures à prendre afin de bénéficier d’un passe sanitaire valide. A cet égard, le 14° du II de l’article 2, tel que modifié par le projet de décret, indique que l’ensemble des données contenues dans le passe sanitaire et le statut des certificats feront l’objet d’un traitement de données.
La Commission souligne qu’il s’agit d’une modification importante, qui change la portée du traitement. En effet, jusqu’ici le ministère se contentait de mettre à disposition des personnes, via la fonctionnalité carnet , un outil numérique permettant un stockage local et une présentation aisée du passe sanitaire sans que les données figurant dans les codes QR fassent l’objet d’un traitement dans l’application TousAntiCovid relevant de sa responsabilité. Le traitement de ces données, qui constituent notamment des données sensibles, intervient pour le compte du ministère : il s’agit de lire, en local sur le terminal de l’utilisateur, les données des certificats, à des fins déterminées par le ministère, à savoir, l’affichage de notifications sanitaires personnalisées. La Commission estime que cette finalité, qui répond à un motif important d’intérêt public, est légitime.
Les modalités du traitement appellent les observations suivantes.
S’agissant des données traitées à fins de recommandations sanitaires ciblées et de mesures à prendre afin de bénéficier d’un passe sanitaire valide
En premier lieu, la Commission relève que l’affichage des recommandations ciblées et des mesures à prendre afin de bénéficier d’un passe sanitaire valide implique le traitement de données nominatives (nom, prénoms). Elle prend acte des précisions du ministère selon lesquelles un tel traitement doit uniquement permettre de détecter et de préciser quels certificats sont concernés par la recommandation ciblée et si l’utilisateur a intégré plusieurs certificats de vaccination (famille, proches, etc.) au sein de l’application.
La Commission estime que les données à caractère personnel traitées dans le cadre de l’affichage des recommandations ciblées et des mesures ci‑dessus mentionnées n’appellent pas d’observations complémentaires.
En deuxième lieu, la Commission constate que le 14° du I de l’article 2, tel que modifié par le projet de décret, précise que toutes les données figurant sur les certificats du passe sanitaire ne font l’objet d’aucun traitement sur les serveurs centraux de l’application (les serveurs dénommés ROBERT et Cléa ). Le ministère a confirmé que le traitement de données considéré dans le cadre de l’affichage des recommandations ciblées et de mesures à prendre afin de bénéficier d’un passe sanitaire valide s’effectuerait donc localement, sur le terminal de l’utilisateur, et qu’aucun recoupement de données n’est envisagé avec d’autres traitements de données, notamment ceux mis en œuvre dans le cadre des autres fonctionnalités de l’application.
Elle considère que ce fonctionnement apporte des garanties substantielles au dispositif, de nature à en assurer la proportionnalité.
S’agissant de l’information des personnes et l’exercice du droit d’opposition
L’alinéa 2 de l’article 4, tel que modifié par le projet de décret, prévoit une information spécifique des utilisateurs de l’application concernant les modalités du traitement mis en œuvre aux fins de l’affichage de recommandations ciblées et de mesures à prendre afin de bénéficier d’un passe sanitaire valide et ce, conformément à l’article 13 du règlement général sur la protection des données (RGPD).
La Commission insiste sur la nécessité, pour le ministère, d’informer les personnes sur la possibilité de s’opposer au traitement de leurs données à ces fins et d’assurer l’effectivité de ce droit, conformément à l’article 21 du RGPD.
Sur les autres modifications apportées au décret n° 2020-650 du 29 mai 2020
S’agissant de la prolongation de la durée du traitement
Le premier alinéa de l’article 3 tel que modifié par le projet de décret prévoit désormais que le traitement, initialement mis en œuvre jusqu’au 31 décembre 2021, sera prolongé jusqu’au 31 juillet 2022.
La Commission relève que la durée de mise en œuvre est cohérente avec celle prévue, d’une part, pour les traitements Contact Covid et SI-DEP et, d’autre part, pour l’obligation de présentation du passe sanitaire pour certains déplacements et activités conformément à la loi n° 2021-1465 du 10 novembre 2021 portant diverses dispositions de vigilance sanitaire, l'application n'ayant d'utilité qu'en lien avec la stratégie sanitaire globale.
Toutefois, elle réitère ses alertes afin qu’une vigilance particulière soit accordée vis‑à‑vis de la tentation du solutionnisme technologique . A cet égard, la Commission rappelle que la multiplication des dispositifs numériques mis en œuvre dans le cadre de la gestion de l'épidémie rend absolument nécessaire une évaluation quantifiée et objective de leur efficacité dans la contribution à la lutte contre la COVID-19, ce qu'elle a rappelé à de nombreuses reprises depuis le début de l'épidémie, afin de s'assurer que le recours à ces dispositifs prendra fin dès que cette nécessité aura disparu.
La Commission regrette qu’à ce jour, les études et évaluations demandées de façon réitérée ne lui aient pas été transmises.
S’agissant de la prise en charge des personnes identifiées comme cas contact dans l’application TousAntiCovid 
A titre liminaire, la Commission rappelle que l’application TousAntiCovid a initialement été conçue pour informer ses utilisateurs en cas d’exposition à la COVID‑ 19 :
La fonctionnalité de suivi des contacts via la technologie Bluetooth vise à informer les personnes utilisatrices qu'elles ont été à proximité de personnes disposant de la même application et diagnostiquées positives à la COVID-19, cette proximité induisant un risque de contamination ;
Le dispositif numérique d'enregistrement des visites dans certains établissements recevant du public, via la mise à disposition par les responsables de ces lieux de codes QR que les personnes sont invitées à scanner, permet de faciliter l'alerte des personnes les ayant fréquentés en même temps qu'une ou plusieurs personnes ultérieurement dépistées ou diagnostiquées positives à la COVID-19.
Ces traitements de données reposent tous deux, d’une part, sur la collecte de données à caractère personnel en local sur le terminal de l’utilisateur (notamment une liste de pseudonymes temporaires dans le premier cas et la liste des codes QR scannés des lieux visités dans le second) et, d’autre part, sur l’envoi de ces données sur des serveurs centraux distincts (les serveurs ROBERT et Cléa ) lorsqu’un utilisateur se déclare positif dans l’application.
Le projet prévoit de modifier le 6° du II de l’article 1er du décret afin de préciser queles personnes identifiées comme contact à risque de contamination via les deux fonctionnalités de l’application rappelées ci-dessus bénéficieront de tout droit, prestation ou service ouvert […] aux personnes identifiées comme cas contact mentionnées au IV de l'article 11 de la loi n° 2020-546 du 11 mai 2020.
La Commission prend acte des précisions apportées par le ministère selon lesquelles la modification du décret TousAntiCovid a pour objectif d’assurer une égalité de traitement entre toutes les personnes identifiées comme contact à risque de contamination, quel que soit le mode d’identification – par les enquêteurs sanitaires ou via l’application mobile – notamment dans le cadre de la prise en charge des tests de dépistage sans prescription médicale, tel que prévu par l’article 24 de l’arrêté du 1er juin 2021 modifié prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire.
Ces modifications n’appellent pas d’observations particulières.
S’agissant de la génération des justificatifs requis par les autorités publiques
A titre liminaire, la Commission rappelle que l’application TousAntiCovid permet aux personnes utilisatrices de l'application de stocker, localement sur le terminal de l’utilisateur, des données à caractère personnel en vue de générer des justificatifs requis par les autorités publiques. Pour ce faire, des données telles que le nom, les prénoms et l'adresse sont enregistrées par l’utilisateur sur le terminal, pour ne pas avoir à être renseignées à chaque génération d'un nouveau justificatif. Jusqu’à ce jour, seule l’attestation de déplacement dérogatoire avait été intégrée durant les périodes de confinement et celles au cours desquelles un couvre-feu avait été instauré.
Le 13° du I de l’article 2 du décret, tel que modifié par le projet, prévoit le stockage des données renseignées par l’utilisateur, afin de générer un code QR lui permettant de disposer de tout justificatif requis par les autorités publiques, au-delà de la seule attestation de déplacement dérogatoire initialement visée (par exemple, la déclaration sur l’honneur attestant d’une absence de symptôme d’infection à la COVID‑19).
La Commission prend acte des précisions du ministère selon lesquelles, au même titre que l’attestation de déplacement dérogatoire, le traitement des données pertinentes sera effectué uniquement en local, sur le terminal de l’utilisateur.
Ces modifications n’appellent pas d’observations particulières.
S’agissant de l’information des personnes relative à la validité des certificats composant le passe sanitaire
Le 9° du II de l’article 1er du décret, tel que créé par le projet, prévoit notamment l’information des personnes quant à la validité des certificats. Le 14° du II de l’article 2 précise, à cet égard, que le statut (valide ou révoqué) associé aux codes QR fera l’objet d’un traitement.
Le ministère a précisé que la validité des certificats se rattache au traitement mis en œuvre à des fins de lutte contre la fraude, sur laquelle la Commission s’est prononcée dans le cadre de la délibération n° 2021-103 du 9 septembre 2021.
S’agissant de l’absence de remontée des identifiants au sein des serveurs centraux de l’application TousAntiCovid 
Le premier alinéa du II de l’article 2 du décret est modifié afin de rappeler que les données permettant l’identification des personnes concernées et de leur terminal, ne peuvent être collectées ni enregistrées dans le cadre d’un des serveurs centraux du traitement .
Il ressort des échanges avec le ministère que ces dispositions font référence aux serveurs centraux de l’application, dénommés ROBERT et Cléa et visés au troisième alinéa du I de l’article 1er du décret.
La Commission prend acte des précisions du ministère selon lesquelles la réalisation des analyses statistiques, pour laquelle le 4° du II de l’article 1 modifié prévoit désormais le traitement de données pseudonymisées en lieu et place de données anonymes, ne remet pas en cause les dispositions ci-dessus mentionnées. En effet, le traitement de données mis en œuvre pour lesdites analyses n’implique pas la remontée d’informations sur l’un de ces serveurs.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le secrétaire général de la défense et de la sécurité nationale d'une demande d'avis concernant un projet de décret portant création d'un traitement automatisé de données à caractère personnel visant à détecter et caractériser les opérations d'ingérence numérique étrangères aux fins de manipulation de l'information sur les plateformes en ligne ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31-II et son titre IV ;
Après avoir entendu le rapport de Mme Isabelle LATOURNARIE-WILLEMS, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
Le traitement dont la Commission nationale de l’informatique et des libertés (ci-après la Commission ) a été saisie a pour finalité la caractérisation d’opérations d’ingérence numérique étrangères de nature à porter atteinte aux intérêts fondamentaux de la Nation grâce à la collecte et l’exploitation des contenus publiquement accessibles publiés sur Internet par les utilisateurs des opérateurs de plateformes en ligne. Ce traitement a vocation à être mis en œuvre par un service à compétence nationale dénommé service de vigilance et de protection contre les ingérences numériques étrangères (Viginum), créé par le décret n° 2021-922 du 13 juillet 2021, rattaché au secrétaire général de la défense et de la sécurité nationale (SGDSN). Le service Viginum agira en qualité de responsable du traitement. Dans la mesure où le traitement projeté intéresse la défense et la sûreté de l’Etat, et que des données mentionnées au I de l’article 6 de la loi du 6 janvier 1978 modifiée sont susceptibles d’être enregistrées, celui-ci doit faire l’objet d’un décret en Conseil d'Etat pris après avis motivé de la Commission.
 
L’activité de Viginum s’inscrit dans un contexte global de lutte contre la manipulation de l’information.
Le SGDSN fait valoir que la diffusion de fausses informations s’est généralisée sur les plateformes en ligne, notamment avec le développement des réseaux sociaux, et touche aussi bien les périodes électorales que les autres champs du débat public (faits d’actualités ou de société marquants). Le législateur a renforcé l’arsenal juridique permettant de lutter contre la publication de fausses informations pendant les périodes de campagne électorale, notamment avec la loi n° 2018-1202 du 22 décembre 2018 relative à la lutte contre la manipulation de l’information, tandis que les services de l’État ont mis en place un réseau de coordination interministérielle (comité de lutte contre la manipulation de l’information). Le Gouvernement souhaite renforcer ce dispositif en se dotant d’un service opérationnel destiné à détecter à tout instant les menaces informationnelles numériques provenant de l’étranger à l’aide d’un outil informatique que le projet de décret, soumis à l’avis de la Commission, a vocation à encadrer.