AgentPublic/cnil huggingface dataset:
En deuxième lieu, la Commission prend acte de ce que le stockage des dossiers ouverts sera effectué chez un hébergeur garantissant un hébergement sur une plateforme non soumise à des législations extra européennes. Concernant le sous-système de conversation instantanées EASICHAT, la Commission rappelle que les données traitées par ce sous-système doivent être hébergées dans les mêmes conditions que celles des dossiers ouverts, ou à défaut que des mesures complémentaires de chiffrement soient mises en œuvre afin de garantir l’impossibilité technique pour l’hébergeur d’accéder aux données en clair.
En troisième lieu, la Commission renvoie à sa délibération n°2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe modifiée par la délibération n°2017-190 du 22 juin 2017. Elle souligne, en particulier, l’importance d’utiliser une fonction cryptographique non réversible et sûre spécialisée dans le stockage de mots de passe.
En quatrième lieu, il apparaît qu’une journalisation des opérations de création, modification, consultation, communication, transferts et suppression des données sera mise en place. Toutes les traces seront conservées trois ans. La Commission prend acte de cette durée pour ce qui concerne les dossiers stockés. Pour les traces relatives aux échanges, elles-mêmes intégrées aux logiciels métier si besoin et supprimées au bout de quatre heures du traitement PNAV, elle estime qu’une durée inférieure aurait dû être retenue. En tout état de cause, et afin de limiter les risques de non-détection d'une utilisation anormale du dispositif, la Commission recommande de réaliser un contrôle des traces de manière automatique, générant des alertes le cas échéant, ainsi qu'une revue régulière des habilitations et des contrôles de leur utilisation.
En dernier lieu, la Commission prend acte de ce que le ministère a mis en œuvre plusieurs mesures visant à limiter les risques de découverte de l’utilisation de la plateforme par des tiers, comme un bouton rouge "Quitter en urgence et effacer la conversation" , un choix d’URL peu signifiant ou une information sur l’effacement des traces mise à disposition des victimes sur le principal site orientant les victimes sur la PNAV.
Sous réserve des précédentes observations, la Commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 99 de la loi du 6 janvier 1978 modifiée. Toutefois, cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. À cet égard, la Commission souligne qu'il conviendra d'apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour impérative de l'analyse d'impact.
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis portant sur un projet de décret en Conseil d'Etat relatif aux conditions de traitement et de conservation de données à caractère personnel permettant l'accès aux origines personnelles ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code de l'action sociale et des familles, notamment ses articles L. 147-1 et s. et R. 147-1 et s. ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Philippe GOSSELIN commissaire, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Étant rappelés les éléments de contexte suivants :
Le Conseil national pour l’accès aux origines personnelles (ci-après le "CNAOP") a été créé par les articles L. 147-1 et suivants du code de l’action sociale et des familles (CASF), pour faciliter l’accès aux origines personnelles des enfants qui ne connaissent pas l’identité de leurs parents de naissance (enfants nés dans le secret de l’identité des parents de naissance et ayant été adoptés ou étant restés pupilles de l’Etat jusqu’à leur majorité). A cette fin, il mène un rôle actif dans la gestion des demandes et déclarations formulées par les enfants concernés, leurs parents de naissance, leurs ascendants, descendants et collatéraux privilégiés.
Le CNAOP est chargé de recevoir :
les demandes d’accès à la connaissance des origines formulées par l’enfant, son représentant légal ou ses descendants majeurs en ligne directe (s’il est décédé) ;
les autorisations de levée du secret de la mère ou du père de naissance ;
les "déclarations d’identité" formulées par leurs ascendants, descendants et collatéraux privilégiés ;
les demandes du père ou de la mère de naissance s’enquérant de leur recherche éventuelle par l’enfant.
Il est également chargé de recueillir copie des éléments relatifs à l’identité des parents de naissance ainsi que tout renseignement laissé par la mère concernant leur santé, les origines de l’enfant, les raisons et circonstances de la remise de l’enfant au service de l’aide sociale à l’enfance ou à un organisme autorisé ou habilité pour l’adoption.
La loi n° 2021-1017 du 2 août 2021 relative à la bioéthique a doté le CNAOP d’une compétence nouvelle, celle d’informer les enfant, père et mère de naissance via les professionnels de santé qu’une maladie génétique a été diagnostiquée sur l’un d’entre eux et peut les concerner. Le ministère a précisé que les modalités de collecte des informations personnelles nécessaires à l’exercice de cette nouvelle compétence seraient précisées dans un décret ultérieur.
En vertu de l’article R. 147-27 du CASF, le CNAOP est autorisé, depuis sa création, à utiliser un traitement automatisé de données à caractère personnel ayant pour finalité d’assurer la conservation et le suivi des demandes d’accès à la connaissance de ses origines effectuées par l’enfant ainsi que des déclarations notamment formulées par les parents de naissance, leurs ascendants, descendants et collatéraux privilégiés. Ce traitement a également pour finalité d’établir des statistiques anonymes sur son activité.
C’est dans ce contexte que la Commission nationale de l’informatique et des libertés a été saisie par le ministère des solidarités et de la santé (ci-après le ministère), sur le fondement de l’article L. 147-11 du CASF, d’une demande d’avis sur un projet de décret en Conseil d’Etat relatif aux conditions de traitement et de conservation de données à caractère personnel permettant l’accès aux origines personnelles.
Formule les observations suivantes concernant le projet de texte :
Concernant l’économie générale du projet de texte 
Le projet d’article R. 147-25 du CASF autorise le CNAOP à mettre en œuvre un traitement de données à caractère personnel dénommé "Origines personnelles" ("ORPER"), dont il est responsable, pour exercer les missions qui lui sont dévolues en matière d’accès aux origines personnelles.
A cet égard, la Commission considère que le traitement "ORPER" est, suivant la rédaction actuelle du projet de décret et par application des dispositions de l’article 6-1-c) du RGPD, nécessaire au respect d’une obligation légale. Elle estime par ailleurs que ce traitement poursuit une finalité déterminée, explicite et légitime conforme aux exigences de l’article 5-1-b) du RGPD.
La Commission estime que la collecte par le CNAOP, dans le traitement "ORPER", de données à caractère personnel sur les parents de naissance - parfois hautement sensibles telles que les convictions religieuses, la prétendue origine raciale ou l’origine ethnique, la santé - , dès lors qu’elle s’effectue dans le strict respect des exigences du CASF et qu’elle se fonde sur les dispositions de l’article 9-2-g) du RGPD, est conforme au principe de minimisation visé par l’article 5-1-c) du RGPD dans la mesure où ces données répondent à la finalité d’offrir à l’enfant la possibilité de lever le secret de sa naissance ou du moins de se construire psychiquement dans une histoire familiale.
Concernant la durée de conservation du traitement "ORPER"
Le projet d’article R. 147-32 du CASF pose le principe suivant lequel les dossiers constitués par le CNAOP et clos pour un motif autre que son incompétence sont conservés dans le traitement "ORPER" en base active soit pour une durée de cinq ans si leur clôture est définitive (ex. : levée du secret), soit pour une durée de dix ans si leur clôture est provisoire (ex. : impossibilité d’identifier les parents de naissance). Les dossiers sont ensuite transférés au ministère chargé de la famille qui en assure la conservation en archivage intermédiaire conformément aux dispositions de l’article R. 212-11 du code du patrimoine, pendant une durée de cinquante ans à compter de leur clôture. A l’issue de cette période, ils sont détruits.
La Commission observe qu’une durée unique de conservation d’un an était jusqu’alors prévue par l’article R. 147-33 du CASF, pour les hypothèses de clôture définitive du dossier.
Le ministère a précisé s’être référé aux pratiques actuellement observées chez les personnes en quête de leurs origines personnelles pour justifier l’extension de la durée de conservation des dossiers. Il a indiqué que ces personnes, en particulier dans l’hypothèse où elles n’accèdent pas à leurs origines personnelles expriment alors le besoin de solliciter à intervalles réguliers le CNAOP soit pour demander une réouverture de leur dossier, soit pour demander des renseignements de diverses natures et disposer de réponses à leurs interrogations concernant leurs origines.
Dans ce contexte, la Commission estime que les données à caractère personnel collectées dans le traitement "ORPER" sont conservées pendant une durée n’excédant pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.
Formule les observations suivantes quant aux conditions de mise en œuvre du traitement "ORPER" :
Concernant la structuration du traitement "ORPER" :
Les projets d’article R. 147-26 et R. 147-27 du CASF structurent le traitement "ORPER", en distinguant deux catégories d’opérations :
l’enregistrement numérique des informations personnelles générant l’ouverture d’un dossier auprès du CNAOP telles que la demande d’accès de l’enfant, la déclaration d’identité des parents de naissance, les informations nécessaires au suivi et à l’instruction du dossier dont le CNAOP est destinataire ;
la saisine numérique des informations considérées comme nécessaires au suivi et à l’instruction d’un dossier ouvert auprès du CNAOP.
Pour chacune de ces opérations, des modalités différentes de conservation des données à caractère personnel collectées sont prévues. Ainsi, les données utilisées pour permettre l’ouverture d’un dossier peuvent être conservées en double, sur support numérique et sur support "papier".
Pour justifier cette structuration et les modalités de conservation qui y sont associées, le ministère a précisé qu’il n’apparaît pas toujours opportun de formaliser dans un support numérique les premiers actes d’instruction menés et retranscrits exclusivement sur papier, au regard notamment de la pluralité des pistes explorées. Il a signalé, d’une part, que cette pratique permettait de retracer l’exhaustivité des recherches réalisées - quand bien même certaines pistes étaient au terme de l’instruction écartées - et, d’autre part, que les supports utilisés étaient complémentaires.
Sans remettre en cause, au plan opérationnel, le bien-fondé de cette structuration et la nécessité d’assurer la traçabilité de l’ensemble des recherches menées et des premiers actes d’instruction réalisés, la Commission attire l’attention du ministère sur l’intérêt de sensibiliser les personnels du CNAOP à la conservation des seules données à caractère personnel pertinentes, afin de garantir le respect du principe de minimisation énoncé à l’article 5-1-c) du RGPD.
A cet égard, la Commission demande à ce que les données à caractère personnel telles que les listes recensant les identités de plusieurs parents de naissance potentiels, qui deviendraient ultérieurement inutiles - parce qu’après instruction ils ne sont pas concernés par l’accouchement dans le secret à l’origine de la saisine du CNAOP -, soient automatiquement supprimées. Elle prend acte de l’engagement du ministère à ce que cette demande figure dans le projet de décret.
Par ailleurs, afin de respecter le principe d’exactitude des données visé à l’article 5-1-d) du RGPD, elle appelle à la plus grande vigilance pour que les données à caractère personnel, qui seraient enregistrées en double, sur des supports distincts, soient bien dans leur contenu conformes les unes aux autres.
Concernant l’information des personnes concernées par le traitement "ORPER"
Les modalités d’information des demandeurs, des déclarants et des parents de naissance identifiés par le CNAOP sont précisées par le projet d’article R. 147-33 du CASF. Outre le site web du CNAOP auquel le projet de décret fait référence comme support d’information, le ministère a transmis à la Commission les livrets d’accueil rédigés aux fins d’assurer l’information des demandeurs, déclarants et femmes ayant accouché sous X concernant le traitement de leurs données ainsi que les courriers adressés aux parents de naissance.
La Commission appelle l’attention du ministère sur la nécessité de mettre à jour les informations telles qu’elles existent actuellement dans les différents supports de communication utilisés pour qu’elles soient strictement conformes aux exigences des articles 12, 13 et 14 du RGPD. Elle prend acte de ce que le ministère est en train d’actualiser les supports, afin de satisfaire pleinement à ces dispositions.
De plus, le CNAOP déroge, par application des dispositions de l’article 14-5-b) du RGPD, à l’obligation d’informer les personnes concernées, notamment lorsqu’il collecte, au titre des premiers actes d’instruction, des données à caractère personnel concernant des personnes susceptibles d’être les parents de naissance sans que cela soit par la suite confirmé (ex. : liste recensant les identités de plusieurs parents de naissance potentiels s’avérant ultérieurement non concernés par l’accouchement dans le secret à l’origine de la saisine du CNAOP). Pour ces situations, la Commission recommande que le projet de décret précise la nature des garanties appropriées recensées par le ministère qui seront mises en place pour protéger les droits et libertés ainsi que les intérêts légitimes des personnes concernées.
Concernant la production de statistiques et l’anonymisation de documents
Le ministère a informé la Commission que les données à caractère personnel collectées dans le cadre du traitement "ORPER" pourraient être utilisées à des fins de production de résultats statistiques. Le ministère a indiqué, lors de ses échanges avec la Commission, que ces statistiques étaient produites sous forme anonyme.
Au vu du caractère exceptionnel que peut revêtir l’accouchement dans le secret, la Commission considère que les risques de réidentification des personnes doivent être évalués avec la plus grande attention et, le cas échéant, diminués en réduisant, par exemple, la granularité des ensembles utilisés.
Par ailleurs, le ministère a informé la Commission qu’une anonymisation de certains documents pouvait avoir lieu, notamment en occultant l’identité des personnes qui pourraient être visées.
En l’absence d’informations complémentaires concernant le type de documents faisant l’objet d’une telle anonymisation, des catégories de destinataires des documents anonymisés et des finalités de cette anonymisation, la Commission estime qu’elle ne dispose pas des éléments suffisants pour se prononcer sur le procédé d’anonymisation utilisé.
En tout état de cause, la Commission rappelle que l’occultation de l’identité des personnes ne saurait garantir le caractère anonyme d’un document si d’autres informations permettaient de réidentifier les personnes.
La Commission invite le ministère à s’assurer de la conformité des deux procédés évoqués précédemment, concernant la production de statistiques et l’anonymisation de documents, aux critères d’individualisation, de corrélation et d’inférence définis par le groupe de travail "article 29" (G29), dans son avis 05/2014 du 10 avril 2014 sur les techniques d’anonymisation.
Concernant la sécurité et la confidentialité des données
Des données à caractère personnel, parfois sensibles, en lien avec la prétendue origine raciale ou l’origine ethnique, les convictions religieuses ou la santé, sont collectées et conservées par le CNAOP.
La Commission rappelle que ces données doivent faire l’objet de mesures adaptées afin d’en protéger la sécurité et la confidentialité conformément aux exigences de l’article 32 du RGPD. Elle invite ainsi le ministère à porter une attention particulière à la sécurité des communications, des sauvegardes et de toute utilisation de ces données.
Concernant la journalisation
Dans ses échanges avec le CNAOP, la Commission a été informée qu’une journalisation des actions portant sur les systèmes d’information était prévue.
A cet égard, la Commission recommande de mettre en œuvre un système de traitement et d’analyse des données collectées et de formaliser un processus permettant de générer des alertes et de les traiter en cas de suspicion de comportement anormal. Enfin, la Commission prend acte de ce que la mise en place d’une suppression automatique des traces après un an est prévue par le ministère et sera mise en place dès avril 2022.
Enfin, dans l’hypothèse où il serait procédé à une externalisation de l’hébergement des données de santé pour les informations de cette nature qui seraient librement laissées par la mère de naissance, la Commission demande de recourir à un prestataire agréé ou certifié à cette fin.
La Présidente
Marie-Laure DENIS
Après avoir entendu Mme Sophie LAMBREMON, vice-présidente déléguée, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Décide :
Les agents de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 19 de la loi du 6 janvier 1978 modifiée et à l'article L. 253-3 du code de la sécurité intérieure :
M. Belaïd AÏT HAMOUDA, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Amandine ANDRETTO, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Dorine ARNAUDEAU, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
M. Monir AZRAOUI, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Audrey BACQUIE, assistante au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Isabelle BARBÉ, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Siré BARRY, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Jean BAUDRILLARD, juriste au service des relations avec les publics à la direction des relations avec les publics et la recherche ;
Mme Barbara BAVOIL, assistante au service des affaires économiques à la direction de la conformité ;
Mme Nacéra BEKHAT, chef du service des affaires économiques à la direction de la conformité ;
Mme Khadija BELGHITI-ALAOUI, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Justine BERTAUD du CHAZAUD, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
M. Martin BIERI, chargé des études prospectives au laboratoire d'innovation numérique à la direction des technologies et de l'innovation ;
M. Thomas BIZET, adjoint au chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;
Mme Claire BIZOT-ESPIARD, juriste au service de la santé à la direction de la conformité ;
Mme Nathalie BOHBOT, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Stéphanie BOISSEAU, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Sophie BORY, juriste au service des affaires européennes et internationales ;
Mme Cécile BOSSER, juriste au service des relations avec les publics à la direction des relations avec les publics et la recherche ;
Mme Aziza BOUALLAGA BENHASSI, chargée du développement des outils au service des outils de la conformité à la direction de la conformité ;
Mme Soumia BOUASSAM, juriste au service de la santé à la direction de la conformité ;
M. Tanguy BOUCHER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
M. Érik BOUCHER DE CRÈVECOEUR, ingénieur référent santé au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Valérie BOURRIQUEN, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Flora BRAC DE LA PERRIERE, juriste au service des affaires économiques à la direction de la conformité ;
M. Amine BRAHMI, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Justine BRAIVE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Rodolphe BRÉARD, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Véronique BREMOND, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Émilie BRUNET, juriste au service des affaires européennes et internationales ;
Mme Solenn BRUNET, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Sarah BULLY, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Marjolaine CASSAR, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Madeleine CAZETTES de SAINT LEGER, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Lucie CHARTRAIN, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
M. Régis CHATELLIER, chargé des études prospectives au laboratoire d'innovation numérique à la direction des technologies et de l'innovation ;
Mme Virginie CLAUDE-LOONIS, adjointe au chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Antoine COURMONT, sociologue du numérique au laboratoire d'innovation numérique à la direction des technologies et de l'innovation ;
Mme Erika COURSAUX, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;