AgentPublic/cnil huggingface dataset:
la demande, qui doit préciser l'état civil de l'intéressé, peut être faite par lettre ou par voie électronique sécurisée ;
le B3 peut aussi être obtenu si la personne qu'il concerne se présente au service du casier judiciaire national automatisé et justifie de son identité ;
il peut également être demandé par voie électronique sécurisée par l'autorité centrale d'un Etat membre de l'Union européenne, saisie par la personne concernée, quel que soit son lieu de naissance. 
 
La Commission relève que le présent projet de décret, qui constitue la première étape de la refonte du casier judiciaire national, vise à :
permettre, pour s’authentifier au téléservice déjà fonctionnel et qui permet de formuler une demande d’extrait du B3, l’utilisation du service FranceConnect , créé par l’arrêté du 8 novembre 2018. L’intégration de l’authentification par FranceConnect au téléservice du casier judiciaire national a pour objectif notamment de simplifier la démarche pour les personnes, et de réduire le risque de délivrance d’un bulletin à une personne autre que son titulaire. Elle prend acte de ce que le recours à FranceConnect pour s’authentifier sera facultatif puisque seront maintenues, d’une part, l’authentification au téléservice au moyen d’un formulaire où doivent être renseignées les données d’identité de l’usager et, d’autre part, la voie postale pour demander la délivrance du B3 pour les personnes éligibles à ce dispositif ;
supprimer la remise en mains propres du B3 au service du casier judiciaire national, en raison de la mise en place de la dématérialisation de la délivrance du B3.
La Commission prend acte que la modalité d’identification via FranceConnect sera en théorie proposée à tous les demandeurs du B3 . Elle estime toutefois que la modification telle que projetée de l’article R. 82 du CPP semble indiquer que cette fonctionnalité ne sera accessible qu’au demandeur né à l'étranger, au demandeur dont le lieu de naissance est inconnu ou au demandeur âgé de moins de douze ans et considère que le projet de décret devrait être modifié afin de clarifier ce point.
 
Seuls les B3 néant , c’est-à-dire sans condamnation ou autre mesure seront adressés par voie dématérialisée. Les autres B3 seront transmis par lettre recommandée avec demande d’avis de réception.
La Commission rappelle que le traitement relève du règlement général relatif à la protection des données (RGPD) dès lors qu’il a pour finalité la délivrance de documents d’information aux demandeurs.
Sur les conditions générales de mise en œuvre du dispositif
En premier lieu, la Commission relève que la suppression du quatrième alinéa de l’article R. 82 du CPP a pour but de prendre acte de la fermeture de l’accueil physique du casier judiciaire national depuis le 24 septembre 2018, pour les personnes nées en France métropolitaine ou dans certains territoires ultramarins (Guadeloupe, Guyane, Martinique, Mayotte et La Réunion). Elle observe que le présent projet de décret ne modifie pas les dispositions relatives aux modalités de délivrance du B3 pour les personnes nées en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna (articles R. 290 et suivants ainsi que R. 306 du CPP). Les personnes résidant dans ces territoires mais nées en dehors de ceux-ci pourront quant à elles demander la délivrance du B3 selon les modalités habituelles prévues (par courrier ou via le téléservice du casier judiciaire national).
Le ministère a précisé que les personnes concernées pourront notamment avoir connaissance des différentes possibilités de demander la délivrance du B3 en fonction de leur lieu de naissance et de l’éventuel accompagnement mis en place pour les aider par différentes informations figurant sur les sites web du ministère de la justice (
www.justice.fr
et www.casier-judiciaire.justice.gouv.fr) et www.service-public.fr. La Commission relève également que la page du site du ministère de la justice permettant de faire la demande de délivrance du B3 est traduite en plusieurs langues (anglais, allemand, espagnol) et est accessible aux personnes malvoyantes.
S’agissant des personnes mineures, la Commission prend acte de ce que le téléservice comporte un filtre sur la date de naissance qui porte sur l’âge de douze ans et que seul un représentant légal est habilité à demander un extrait du B3 par courrier adressé au casier judiciaire national. Pour les mineurs âgés de douze à dix-sept ans, elle prend acte de ce que le représentant légal peut faire une demande de B3 par l’intermédiaire du téléservice ou par courrier postal. S’agissant des majeurs protégés sous tutelle, elle prend aussi acte de ce que seul le tuteur pourra effectuer la demande de délivrance du B3 par courrier adressé au casier judiciaire national. En revanche, elle relève qu’un majeur sous sauvegarde de justice, sous curatelle ou sous curatelle renforcée pourra effectuer lui-même la demande de délivrance du B3.
En second lieu, s’agissant du fonctionnement du dispositif projeté, la Commission relève qu’en principe – et sous réserve de la clarification de la rédaction du décret ainsi qu’indiquée au point 4 - toute personne, quelle que soit sa nationalité, peut demander une copie de son B3 par l’intermédiaire du téléservice mis en place et en s’identifiant avec FranceConnect .
 
Les personnes qui tentent de se connecter avec FranceConnect mais qui ne disposent pas d’un identifiant auprès de ce service car elles ne sont pas renseignées dans le Répertoire national d’identification des personnes physiques (RNIPP) ou dont l’identité n’est pas validée (par exemple : personnes nées à l’étranger et n’ayant jamais travaillé en France, cas d’homonymie, etc.), recevront un message d’erreur transmis par FranceConnect . La Commission prend acte des précisions apportées par le ministère selon lesquelles, dans cette hypothèse, ces personnes pourront revenir à la page d’accueil du site web proposant le téléservice et choisir, en fonction de leur situation, de formuler leur demande en utilisant le formulaire ou par voie postale, en joignant les justificatifs demandés.
Sur la réalisation d’une analyse d’impact relative à la protection des données (AIPD)
La Commission observe que le dossier transmis ne contient pas d’analyse d’impact relative à la protection des données (articles 35 et 36 du RGPD). Elle relève que le ministère considère en effet que l’ajout de la fonctionnalité d’authentification par Franceconnect n’élève pas le niveau de risque, l’utilisation de ce service ayant au contraire pour objet de sécuriser la demande de B3. Dès lors, sa mise en œuvre n’entraîne pas la nécessité de réaliser une AIPD sur ce traitement . Cette analyse relative au seul recours à l’authentification via FranceConnect n’appelle pas d’observations particulières.
 
Cependant, la Commission observe qu’il ressort plus largement des éléments transmis que le ministère a considéré que deux critères permettant d’apprécier si un traitement est susceptible d’engendrer un risque élevé, tels que prévus par les lignes directrices qui ont été adoptées le 4 avril 2017 par le groupe de protection des personnes à l’égard du traitement de données à caractère personnel, dénommé G29 et reprises par le Comité européen à la protection des données, étaient remplis s’agissant du téléservice de délivrance des B3, à savoir le traitement de données à grande échelle et le traitement de données relatives à des personnes vulnérables. Or, les lignes directrices précisent que dans la plupart des cas, le responsable de traitement peut considérer qu’un traitement satisfaisant à deux critères nécessite une AIPD .
En outre, la Commission relève l’existence d’un risque d’accès illégitime aux données puisque le ministère évoque l’utilisation de l’historique des demandes afin de rechercher les demandeurs de B3 en nombre pour repérer les demandeurs institutionnels . A cet égard, il a notamment été identifié,  à plusieurs reprises, que certains employeurs effectuaient la demande de B3 en lieu et place de la personne recrutée .
La Commission observe que, en 2018, le ministère a considéré que la mise en place du téléservice de délivrance des B3 ne conduisait pas à une élévation du niveau de risque et ne nécessitait pas la réalisation d’une AIPD. Compte tenu de ce qui précède, elle rappelle toutefois que les mesures techniques et organisationnelles doivent faire l’objet d’une évaluation régulière et, au regard des risques invoqués, elle recommande dès lors au ministère de réaliser une AIPD dans le cadre de sa mise en conformité pour l’ensemble des opérations nécessaires au bon fonctionnement du casier judiciaire et estime que celle-ci devrait lui être transmise dans le cas où elle ferait apparaître des risques résiduels élevés, conformément à l’article 36 du RGPD.
Sur les mesures de sécurité
La Commission prend acte de la mise en place d’une journalisation sur l’outil de consultation et d’une journalisation fonctionnelle sur les opérations et les documents créés. Elle relève que ces journalisations ont pour finalité la détection et la prévention d'opérations illégitimes sur les données principales. Celles-ci pourront faire l’objet de réquisitions dans le respect des textes en vigueur.
 
La durée de conservation des journaux de l’outil de consultation de six mois est conforme aux préconisations de la Commission. Elle prend acte de ce que ces journaux, consultables par tous les agents du CJN, ont pour objectif de répondre aux demandeurs sur l’historique et le suivi de leurs demandes.
La durée de conservation de la journalisation fonctionnelle est de trois années, ce que la Commission considère comme proportionné compte tenu de l’existence de détournements connus et avérés du traitement ainsi que des risques réels pour les personnes concernées eu égard aux données susceptibles de figurer au B3. Elle souligne dès lors la nécessité de mettre en œuvre des mesures pour lutter contre ces détournements. Elle relève que ces traces correspondent à un historique des opérations et des documents créés, elles ne sont accessibles qu’aux administrateurs. Elles sont utilisées pour répondre aux éventuels recours et permettre au ministère d’effectuer un autocontrôle , c’est-à-dire détecter les demandes répétées de B3 pour identifier les demandes d’employeurs et les cibler pour des campagnes de sensibilisation selon les précisions apportées par le ministère.
Sur les données collectées
La Commission observe qu’il ressort du document de présentation qui lui a été adressé par le ministère que, lorsque le demandeur s’identifie par FranceConnect , les données d’état civil (civilité, nom de famille, son ou ses prénom(s), la date, le département et le lieu de naissance) sont déjà renseignées sur le formulaire (…) il s’agit des données issues de la vérification du RNIPP effectuée par FranceConnect .
Elle relève que l’article 3 de l’arrêté du 8 novembre 2018 relatif au téléservice dénommé FranceConnect prévoit les catégories de données à caractère personnel enregistrées.
A cet égard, s’agissant de la donnée relative au sexe du demandeur, la Commission prend acte de ce que celle-ci sera vérifiée au moyen des données renseignées au titre de l’état civil.
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2020-546 du 11 mai 2020 modifiée prorogeant l’état d’urgence sanitaire et complétant ses dispositions, notamment son article 11 ;
Après avoir entendu Mme Marie-Laure DENIS, présidente, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations ;
 
Emet l’avis suivant :
 
Pour lutter contre l’épidémie de COVID-19, la loi du 11 mai 2020 de prorogation de l’état d’urgence sanitaire a autorisé la création temporaire de deux fichiers nationaux : SI-DEP et CONTACT COVID . Ces traitements de données à caractère personnel sont encadrés par un décret en Conseil d’Etat du 12 mai 2020 modifié qui précise leurs modalités de création et de mise en œuvre.
Outre ces fichiers, d’autres dispositifs ont été déployés aux fins de lutte contre l’épidémie de COVID-19 tels que l’application mobile TOUSANTICOVID , dont le traitement est encadré par le décret n° 2020-650 du 29 mai 2020 modifié, et le système d’information VACCIN COVID devant permettre le déroulement et le suivi de la campagne de vaccination contre le coronavirus SARS-CoV-2, et dont le traitement est encadré par le décret n° 2020-1690 du 25 décembre 2020 modifié.
 
La Commission a été amenée à se prononcer à plusieurs occasions, en urgence, sur le cadre normatif relatif aux traitements mis en œuvre dans le cadre de la gestion de la crise sanitaire : auditionnée à douze reprises et ayant rendu vingt-sept avis depuis avril 2020, elle a ainsi éclairé les débats parlementaires autour des enjeux fondamentaux liés au respect de la vie privée et des données à caractère personnel. La Commission a également procédé à quarante-deux contrôles depuis la mise en œuvre de ces dispositifs. Ses préconisations et constats ont été détaillés dans ses trois premiers avis, en date du 10 septembre 2020, du 14 janvier 2021 et du 27 mai 2021, relatifs au fonctionnement de ces systèmes d’information.
Afin de permettre à la Commission d’apprécier pleinement la nécessité et la proportionnalité de ces dispositifs, déployés dans le cadre de la politique sanitaire actuelle du Gouvernement, il apparaît primordial que, plus de dix-huit mois après le début de la crise sanitaire et comme elle l’a rappelé dans ses trois premiers avis, des éléments concrets d’évaluation de leur efficacité dans la lutte contre l’épidémie de Covid-19 soient portés à sa connaissance. Elle ne peut donc que vivement regretter que malgré ses demandes répétées, notamment dans ses précédents avis, aucun élément ne lui ait été transmis à cette fin par le Gouvernement.
Plus généralement, dans le cadre des avis qu’elle a eu l’occasion de rendre, la Commission a alerté à plusieurs reprises sur le risque d’accoutumance et de banalisation de tels dispositifs attentatoires à la vie privée, craignant le glissement vers une société où de tels contrôles deviendraient la norme et non l’exception. Elle a ainsi rappelé que ces mesures ne peuvent être justifiées que si leur efficacité est prouvée, leur application limitée en termes de durée, de personne ou de lieux où elles s'appliquent, et qu’elles sont assorties de garanties de nature à prévenir efficacement les abus, notamment compte tenu de l’extension importante du dispositif consacrée par la loi n° 2021-1040 du 5 août 2021 relative à la gestion de la crise sanitaire.
La Commission a également eu l’occasion de rappeler, au vu de la sensibilité des données recueillies dans le cadre de ces dispositifs, du contexte justifiant leur mise en œuvre ainsi que de leur ampleur, la nécessité d’améliorer l’information déjà disponible. Elle a ainsi invité le ministère à diffuser une information concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, afin que l’ensemble de la population puisse avoir connaissance de l’existence des différents traitements et appréhender leur étendue ainsi que leurs interconnexions.
 
Par ailleurs, la Commission a rappelé que les personnes concernées devaient être informées des modifications apportées à ces différents traitements.
 
A cet égard, la Commission tient à souligner qu’afin d’améliorer la compréhension, par les professionnels et les personnes concernées, des dispositifs envisagés par le Gouvernement, elle s’est attachée à mettre à disposition de ceux-ci des outils et des publications sur son site web, dans un objectif pédagogique.
 
Elle tient en outre à préciser qu’elle poursuivra, d’une manière générale, ses actions d’accompagnement à destination des professionnels de santé, notamment par la production de référentiels et de contenus sectoriels adaptés à leurs activités.
 
Enfin, elle rappelle que plusieurs saisines n’étaient accompagnées d’aucune précision
Ce quatrième avis de la Commission, rendu sur le fondement de l’article 11 de la loi du 11 mai 2020 modifiée, s’attachera, notamment au regard des préconisations qu’elle a émises dans ses avis sur les projets de texte qui lui ont été soumis depuis le mois d’avril 2021 et de ses constatations lors des divers contrôles effectués, à rappeler les récentes évolutions du cadre normatif et à évaluer les conditions opérationnelles de mise en œuvre de ces traitements.
 
I. ÉVOLUTIONS DU CADRE NORMATIF ET AVIS DE LA COMMISSION
 
La Commission a été saisie pour avis par le Gouvernement des évolutions des textes encadrant la mise en œuvre des traitements de données liés à la gestion de la crise sanitaire.
 
Le présent avis fait état des principales observations formulés par la Commission dans ses délibérations :
n° 2021-067 du 7 juin 2021 portant avis sur le projet de décret portant application du II de l'article 1er de la loi n° 2021-689 du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire (demande d'avis n° 21010600) ;
n° 2021-077du 1er juillet 2021 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions et le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19 (demande d’avis n° 21010901) ;
n° 2021-096 du 6 août 2021 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire et complétant ses dispositions et le décret n° 2020-1690 du 25 décembre 2020 autorisant la création d'un traitement de données à caractère personnel relatif aux vaccinations contre la covid-19 (demande d'avis n° 21013690) ;
n° 2021-097 du 6 août 2021 portant avis sur un projet de décret modifiant le décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire et le décret n° 2021-901 du 6 juillet 2021 relatif au traitement automatisé de données à caractère personnel dénommé Convertisseur de certificats (demande d’avis n° 21013690).
 
Sur les modifications apportées au système d’information " VACCIN-COVID "
 
Sur les listes de personnes non vaccinées
La Commission s’est prononcée sur la création, à destination des médecins traitants et de certains personnels de la Caisse nationale d’assurance maladie (CNAM), de listes de patients non vaccinés.
 
Tout en soulignant la nécessité de sensibiliser la population à la vaccination contre la Covid-19, la Commission a regretté d’avoir eu à se prononcer sur la proportionnalité de cette mesure en l’absence d’éléments d’enquête préalable.
 
Son avis a été l’occasion de rappeler qu’elle n’est en principe pas favorable à la diffusion de ces listes, même si la Commission a estimé que ce dispositif ne porte pas atteinte au principe du secret médical prévu à l’article L. 1110-4 du code de la santé publique, dans la mesure où ces informations sont uniquement communiquées, à leur demande, aux médecins traitants des personnes concernées et traitées par la CNAM. De plus, la Commission a rappelé, conformément aux exigences du RGPD, que ces listes doivent être conservées sous une forme permettant l’identification des personnes concernées et pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.
 
Sur la mise à disposition des agences régionales de santé de la liste des professionnels non vaccinés soumis à l’obligation vaccinale
La Commission s’est prononcée sur la modification du décret applicable au système d’information VACCIN-COVID afin de permettre aux agents habilités des agences régionales de santé (ARS) d’effectuer le contrôle du respect de l'obligation vaccinale des professionnels de santé. Pour ce faire, les données d’identification contenues dans le système d’information VACCIN COVID sont croisées par la CNAM avec les données du fichier national des professionnels de santé (FNPS).
 
Sur ce point, la Commission a eu l’occasion de rappeler que :
les données contenues dans le système d’information VACCIN-COVID étant particulièrement sensibles et protégées par le
 secret médical, les ARS doivent limiter l’accès aux données aux seuls agents habilités intervenant pour le contrôle du respect de l’obligation vaccinale ; 
seule l’ARS territorialement compétente devrait être destinataire des informations relatives au statut vaccinal du professionnel de santé concerné et ne jusqu'à la fin de l'obligation vaccinale ;
la CNAM et les ARS doivent informer les professionnels de santé de l’utilisation du FNPS à des fins de constitution de listes permettant aux ARS de veiller au respect de l’obligation vaccinale.
 
Sur les modifications apportées à CONTACT COVID et SI-DEP
Sur les interconnexions entre CONTACT COVID, SI-DEP et VACCIN COVID
Relevant que ces systèmes d’information font l’objet d’interconnexions, la Commission a rappelé que chacun d’entre eux s’inscrit dans la lutte contre l’épidémie de Covid-19 et poursuit des finalités propres, préalablement définis par la loi du 11 mai 2020. Appelant l’attention du Gouvernement sur le principe de minimisation des données prévu par le RGPD, la Commission l’a invité à ne pas dupliquer les mêmes informations au sein de différentes bases.
 
Sur le recours à des sous-traitants 
Le projet de décret soumis à la Commission visait à permettre aux organismes d’assurance maladie de recourir à des sous-traitants pour le traitement de données directement identifiantes et des coordonnées des personnes concernées, à des fins de recherche et de surveillance épidémiologique.
 
Si la Commission est consciente de l’importance de disposer de ces données pour informer les personnes de la réalisation de projets de recherche, elle s’est toutefois interrogée sur la compatibilité des modifications envisagées avec les dispositions législatives applicables au système d’information CONTACT COVID , notamment celles prévues par l’article 11 de la loi n° 2020-546 du 11 mai 2020. Elle a considéré que seule la CNAM, agissant en qualité de responsable de traitement de CONTACT COVID , pouvait avoir accès à ces données, leur utilisation ne pouvant donc intervenir que sous la responsabilité de la CNAM, le cas échéant conjointe.
Sur le passe sanitaire
Afin de permettre la reprise de diverses activités interrompues en raison de la crise sanitaire et la réouverture des lieux fermés en minimisant, dans la mesure du possible, les risques de contamination associés, le Gouvernement a mis en place, de façon temporaire, un passe sanitaire conditionnant l’accès à certains lieux et activités, à la détention d’un certificat de vaccination complet, d’un test de dépistage négatif à la Covid-19, ou à la preuve d’un rétablissement d’une infection antérieure à la Covid‑19. La Commission, qui s’est prononcée à plusieurs reprises sur le dispositif (le 12 mai 2021, le 7 juin 2021, le 6 août 2021 et le 9 septembre 2021), a rappelé les garanties qui devaient être mises en place dans le cadre de ce dispositif sensible et inédit.