AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de MM. Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, Mmes Christine MAUGÜÉ et Isabelle LATOURNARIE-WILLEMS, MM. Alain DRU et Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° SAN-2021-016 du 24 septembre 2021 adoptée par la formation restreinte à l’encontre […];
Vu les éléments transmis par […]le 18 février 2022 ; 
Vu le courrier du 8 février 2023, par lequel le président de la formation restreinte a demandé au rapporteur d’intervenir à nouveau dans la procédure aux fins d’instruction de ces éléments ;
Vu la demande complémentaire de Mme Sophie LAMBREMON, commissaire rapporteure, notifiée […] le 4 avril 2023 ;
Vu le courrier du 16 juin 2023, en réponse à la demande complémentaire, transmis par […] ;
Vu les autres pièces du dossier ;
Après en avoir délibéré lors de la séance du 30 novembre 2023, a adopté la décision suivante :
I. FAITS ET PROCÉDURE
1. La décision no SAN-2021-016 du 24 septembre 2021, notifiée […] le 4 octobre 2021, a enjoint […] de : 
" s’agissant du manquement relatif à la licéité du traitement :
 ne traiter que les informations visées par […] et uniquement dans le cadre prévu par ce texte, et notamment veiller à l’effacement des données à caractère personnel contenues dans la rubrique " informations spéciales " et à la destruction du " fichier manuel ", à l’exception des fiches pouvant être conservées à des fins archivistiques dans l'intérêt public ou à des fins de recherche scientifique ou historique ;
s’agissant du manquement relatif à la durée de conservation des données, ne conserver des données sous une forme permettant l'identification des personnes concernées que pendant la durée nécessaire au regard des finalités pour lesquelles elles sont traitées, par exemple en mettant en œuvre un système automatisé permettant l’effacement des données à l’expiration des durées prévues par […], en veillant en particulier à ce que ces durées de conservations courent à compter de l’établissement de chaque fiche signalétique et effacer les données dont la durée de conservation est atteinte ;
s’agissant du manquement relatif à l’exactitude des données, prendre toutes les mesures raisonnables pour garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour soient effacées ou rectifiées sans tarder ou ne soient pas transmises ou mises à disposition, par exemple en mettant en place une procédure normalisée et généralisée à l’ensemble des juridictions visant à ce que toutes les décisions juridictionnelles définitives soient répercutées dans le […], et notamment :
 s’agissant de l’effacement de plein droit, s’assurer que l’ensemble des décisions de relaxe, d’acquittement et de correctionnalisation, même partielles, soient répercutées dans le […] ;
 s’agissant de l’effacement de principe, s’assurer que l’ensemble des décisions de non-lieu et de classement sans suite pour absence d'infraction ou insuffisance de charges ou pour auteur inconnu soient répercutées dans le […], sans décision expresse contraire du procureur de la République compétent ;
s’agissant du manquement relatif à la sécurité des données, mettre en œuvre les mesures appropriées afin de garantir un niveau de sécurité adapté au risque :
 en imposant par exemple que l’accès au […] nécessite une connexion à l’aide de la carte-agent et d’un code PIN ;
 en veillant à ne traiter de données à caractère personnel que dans les conditions sécurisées définies pour la mise en œuvre du fichier central du […] à l’issue des opérations de signalisation, notamment dans les locaux de signalisation, par exemple en donnant des instructions en ce sens aux services en charge de la collecte des données.
s’agissant du manquement relatif à l’information des personnes, s’assurer qu’une information conforme aux exigences de l’article 104 de la loi no 78-17 du 6 janvier 1978 est fournie aux personnes concernées ; "
2. Ces injonctions étaient assorties d’un délai de mise en conformité expirant le 31 octobre 2021 et par dérogation le délai de mise en conformité visant le manquement relatif à la durée de conservation des données du seul " fichier manuel " expirerait le 31 décembre 2022.
3. Le 18 février 2022, […] a adressé au président de la formation restreinte des éléments en vue de justifier sa mise en conformité, relatifs à la transmission des décisions de classement sans suite par les magistrats du parquet et l’effacement des données contenues dans le […] (ci-après " le […] "), à la mise en œuvre de mesures proscrivant la conservation des relevés signalétiques et des clichés de signalisation en dehors du […] et préconisant leur suppression ainsi qu’à la modification des mentions d’information.
4. Par courrier du 8 février 2023, le président de la formation restreinte a, sur le fondement de l’article 44 du décret n°2019-536 du 29 mai 2019, demandé à la rapporteure d’intervenir à nouveau aux fins d’instruction de ces éléments.,
5. Dans ce but, après une analyse notifiée […] le 4 avril 2023, la rapporteure a demandé […] de lui fournir, dans un délai de deux mois, des éléments d’informations complémentaires. 
6. Par courrier du 16 juin 2023, […] a apporté les précisions demandées.
II. MOTIFS DE LA DECISION
7. Sur la licéité du traitement, la formation restreinte relève d’abord qu’il ressort des éléments fournis par […] que la modification du décret du 8 avril 1987 portant création du FAED et l’analyse d’impact relative à la protection des données correspondantes sont en cours d’instruction et de finalisation. La formation restreinte relève que […] indique que la nouvelle version du décret prévoira expressément la collecte du […]. La formation restreinte relève que la CNIL a été saisie d’une demande d’avis relative à la nouvelle version du décret et considère que la régularisation du traitement est en cours. Ensuite, la formation restreinte relève qu’il ressort des éléments fournis par […] que l’effacement de l’ensemble des fiches de signalisation papier était réalisé au 24 avril 2023. La formation restreinte considère que les mesures énoncées permettent de considérer que […] s’est conformé à l’injonction sur ce point.
8. Sur la durée de conservation des données, la formation restreinte relève que […] indique avoir mis en place un apurement semi-automatisé hebdomadaire des données dont la date de conservation est dépassée et que ce délai court désormais à compter de l’établissement de chaque fiche de signalisation. La formation restreinte relève également qu’il ressort des éléments fournis par […] que l’ensemble des signalisations dont la date d’expiration est dépassée seront supprimées à partir de la fin du troisième trimestre 2023. Elle considère que ces mesures permettent de considérer que les données à caractère personnel sont conservées uniquement pendant la durée nécessaire au regard des finalités pour lesquelles elles sont traitées. 
9. Sur l’exactitude des données traitées, la formation restreinte relève qu’il ressort des éléments fournis par […] qu’un nouveau modèle de " fiche navette " a été mis en place depuis une dépêche n° […] permettant […] d’être correctement informé des décisions prises par les autorités judiciaires afin de les répercuter dans le […] et que la création d’un réseau de référents dédiés dans les parquets est prévue. Elle considère que ces mesures permettent de garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour, soient effacées ou rectifiées sans tarder.
10. Sur la sécurité des données traitées, la formation restreinte relève d’abord qu’il ressort des éléments fournis par […] que, depuis octobre 2021, il est imposé que l’accès au […] soit fait au moyen de la carte agent associée à un code PIN […]. Ensuite, la formation restreinte relève qu’il ressort des éléments fournis par […] que des instructions ont été communiquées par le service national de police scientifique, préconisant la suppression des clichés de signalisation conservés en format papier ou informatique en dehors du […] ainsi que des relevés signalétiques conservés en dehors du […]. La formation restreinte considère que ces mesures permettent de garantir un niveau de sécurité adapté au risque.
11. Sur l’information des personnes, la formation restreinte relève qu’il ressort des éléments fournis par […] qu’une instruction a été diffusée le 30 mai 2023 par la direction générale de la police nationale à l’ensemble de ses services, comportant une affiche informative à apposer dans tous les lieux accessibles au public et en particulier les lieux privatifs de liberté. La formation restreinte relève que si cette affiche reprend bien les informations figurant à l’article 104 de la loi du 6 janvier 1987 relative à l’informatique, aux fichiers et aux libertés, elle renvoie cependant à la consultation d’une rubrique intitulée " rubrique protection des données ", inexistante sur le site web […]. La formation restreinte relève néanmoins l’existence, sur ce site web, d’une rubrique intitulée " Politique de confidentialité " dont le contenu porte sur la protection des données. La formation restreinte invite donc […] à modifier l’intitulé de la rubrique relative à la protection des données visée par l’affiche informative afin qu’elle corresponde à celui mentionné sur le site internet […]. Sous réserve de cette modification, la formation restreinte considère que […] s’est conformé à l’injonction sur ce point. 
12. Au regard de l’ensemble de ces éléments, la formation restreinte considère que […] a satisfait aux injonctions. 
13. La présente décision sera rendue publique comme l’avait été la délibération no SAN-2021-016 du 24 septembre 2021.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
- de clore la procédure d’injonction ;
- de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément […] à l’expiration d’un délai de trois mois à compter de sa publication.
Le président
Alexandre LINDEN
Date de l'avis : 16 novembre 2023
N° de la délibération : 2023-120
N° de demande d'avis : 23011786
			Organisme(s) à l'origine de la saisine : ministère des affaires sociales et de la santé
Texte concerné : projet de décret modifiant le décret n° 2019-969 du 18 septembre 2019 relatif à des traitements de données à caractère personnel portant sur les ressources des assurés sociaux
Thématiques : dites-le-nous une fois, DLNUF, RSA, prime d'activité, lutte contre la fraude sociale, CNAF, CNAV, CCMSA
Fondement de la saisine : article 8.I.4°a) de la loi n° 78-17 du 6 janvier 1978 modifiée
L'essentiel :
			Le dispositif ressources mensuelles (DRM) vise principalement à mettre en œuvre le principe dites-le nous une fois dans le domaine de la protection sociale, tout en simplifiant les démarches des administrés. La saisine de la CNIL vise à prévoir de nouveaux cas d'usage du DRM à des fins d'appréciation des conditions d'ouverture et de maintien des droits des usagers à des aides et prestations sociales ainsi que son utilisation à des fins de détection et de lutte contre la fraude.
La CNIL considère que la pérennisation du nouvel usage du DRM par la CNAV en vue d'effectuer des profilages automatisés et d'orienter les actions des contrôles à des fins de lutte contre la fraude sociale devrait être précédée d'une phase d'expérimentation, dans des conditions similaires à celles des traitements qui seront mis en place par la CNAF et par la CCMSA. Par ailleurs, elle estime qu'une attention particulière doit être accordée à la transparence autour de tels dispositifs, notamment en ce qui concerne la logique sous-jacente de leur fonctionnement et l'information individuelle des personnes concernées par les décisions prises.
			Elle recommande que, lors de prochaines modifications du DRM, une nouvelle mesure de transparence et de sécurité soit rajoutée au dispositif, permettant aux personnes concernées d'être informées de la consultation des données les concernant, via le portail national des droits sociaux (PNDS).
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son articles 8.I.4°a ;
Vu la délibération n° 2020-120 du 3 décembre 2020 portant avis sur un projet de décret modifiant le décret n° 2019-969 du 18 septembre 2019 relatif à des traitements de données à caractère personnel portant sur les ressources des assurés sociaux ;
Après avoir entendu le rapport de M. Philippe LATOMBE, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
Le dispositif DRM ( dispositif ressources mensuelles ) a été créé par le décret n° 2019-969 du 18 septembre 2019 et modifié à plusieurs reprises. La CNIL a déjà eu l'occasion de se prononcer sur ses évolutions.
Administré par la Caisse nationale d'assurance vieillesse (CNAV), le DRM est constitué de trois traitements de données : une base de données alimentée mensuellement par les données issues de la déclaration sociale nominative (DSN), une base de données alimentée mensuellement par des données issues du flux du prélèvement à la source mis en œuvre par les collecteurs n'entrant pas dans le champ de la déclaration sociale nominative ou versant des revenus de remplacement (PASRAU) et un service de restitution. Ce dispositif centralise la quasi-totalité des données relatives aux revenus de la population connus de l'administration fiscale.
Sa finalité principale est de mettre en œuvre le principe dites-le nous une fois dans le domaine de la protection sociale, en simplifiant les démarches des administrés qui n'ont plus à fournir, dans le cadre d'une démarche liée à une prestation ou une aide sociale, des informations déjà détenues par l'administration. À cette fin, le DRM met à la disposition des différents organismes gestionnaires un outil permettant d'apprécier les ressources des demandeurs et des bénéficiaires des prestations et aides sociales conditionnées par le niveau de revenus directement, sans nécessiter la production de pièces justificatives.
La réalisation pratique de cet objectif s'effectue de manière progressive. Ainsi, dans un premier temps, son utilisation a été réservée aux caisses d'allocations familiales (CAF) et aux caisses de mutualité sociale agricole (CMSA), à des fins de gestion des aides au logement.
Par la suite, son utilisation a été étendue à des prestations telles que l'allocation journalière de proche aidant, l'allocation journalière de présence parentale, la complémentaire santé solidaire, les pensions de réversion, les allocations chômage, les pensions d'invalidité, le cumul emploi-retraite et la garantie jeunes.
B. - L'objet de la saisine
Le projet de décret prévoit principalement :
un élargissement de la liste des aides et allocations gérées par le DRM ;
l'utilisation du DRM à des fins de contrôle et de lutte contre la fraude.
II. - L'avis de la CNIL
A. - L'ajout de nouvelles finalités
Le projet prévoit que le DRM pourra dorénavant être utilisé à des fins de gestion d'aides et allocations nouvelles, à savoir :
le revenu de solidarité active (RSA) ;
la prime d'activité (PA) ;
la pension d'invalidité (PI) de la sécurité sociale ;
l'allocation supplémentaire d'invalidité (ASI) ;
les pensions de réversion, la pension du régime général, les possibilités de cumul emploi-retraite et la gestion des droits associés ;
l'allocation de solidarité aux personnes âgées (ASPA), dans certains cas ;
l'appréciation de la situation des parents débiteurs de pension alimentaire ;
la réalisation d'évaluations, d'études, de statistiques et de recherches nécessaires au pilotage et à l'accomplissement des missions définies à l'article L. 222-1 du code de la sécurité sociale ;
l'allocation du contrat d'engagement jeune (ACEJ).
S'agissant spécifiquement du RSA et de la prime d'activité, la CNIL a déjà eu à se prononcer sur l'utilisation des données figurant dans le DRM à des fins d'appréciation des conditions d'attribution et de maintien de ces aides (CNIL, délibération n° 2020-120 du 3 décembre 2020).
A cet égard, la CNIL estime que l'utilisation du DRM à des fins d'appréciation des conditions d'attribution et du maintien de différentes allocations et prestations sociales constitue une finalité légitime. Il en va de même pour les finalités en lien avec la gestion des prestations de retraite et des pensions alimentaires.
B. - La finalité spécifique de lutte contre la fraude
Le traitement mis en œuvre à des fins de contrôle et de lutte contre la fraude consiste à utiliser l'ensemble des données disponibles pour calculer, au moyen d'un algorithme fondé notamment sur l'historique des fraudes, un taux de risque de fraude ou d'erreur pour chaque dossier.
La lutte contre la fraude ou la détection des erreurs involontaires constitue une finalité légitime pour le responsable de traitement, a fortiori lorsqu'il s'agit de contrôler la juste distribution des allocations et prestations sociales qui constitue une politique publique importante, et qui implique des sommes d'argent considérables.
Cependant, la CNIL alerte le gouvernement sur la très grande prudence avec laquelle ces algorithmes doivent être conçus et utilisés, eu égard aux risques qu'ils présentent et aux biais dont ils peuvent faire l'objet. Les exemples internationaux récents (notamment l'exemple de l'algorithme déployé aux Pays-Bas pour détecter des situations de fraude à certaines prestations sociales, ayant abouti à des milliers de décisions individuelles biaisées aux conséquences dramatiques et ayant conduit le gouvernement néerlandais à démissionner en janvier 2021) ont montré que la trop grande confiance accordée par une administration dans un algorithme de détection de la fraude, sans précautions et contrôles humains suffisants, pouvait conduire à des décisions injustes et avoir des conséquences graves pour les personnes. Ces risques, notamment de discrimination, sont régulièrement rappelés par le Défenseur des droits (v. notamment le rapport Algorithmes : prévenir l'automatisation des discriminations du 2020).
La CNIL estime donc, en l'état de ces technologies, que de tels algorithmes doivent être conçus avec soin, accompagnés de garanties fortes, ne pas conduire à des décisions automatiques et être assortis d'un système de recours efficace en cas d'erreur.
S'agissant de la conception, la CNIL recommande notamment que de tels algorithmes fassent l'objet d'une phase d'expérimentation.
S'agissant des garanties à apporter et du caractère non automatique des décisions, dans le respect du RGPD et de la loi du 6 janvier 1978, le ministère a prévu qu'après que l'algorithme aura identifié des dossiers à risque, seule une liste pseudonymisée de dossiers dépassant un certain seuil, avec leurs caractéristiques sera transmise aux services locaux. Cette liste n'engendrera donc pas automatiquement des contrôles sur les dossiers visés ni à plus forte raison l'arrêt ou la suspension des prestations, mais permettra uniquement d'orienter le programme des contrôles à mener, après examen des dossiers.
La CNIL estime également qu'une attention particulière doit être accordée à la transparence autour de tels dispositifs, notamment en ce qui concerne la logique sous-jacente de leur fonctionnement et l'information individuelle des personnes concernées par les décisions prises.
Enfin, elle souligne le caractère essentiel de la mise en œuvre de voies de recours efficaces et faciles d'accès permettant aux usagers de contester les décisions prises à leur égard.
L'ensemble de cette réflexion doit être menée dès le stade de conception de ces outils, et implique la réalisation d'analyses d'impact relatives à la protection des données (AIPD) au sens de l'article 35 du RGPD dont l'objectif essentiel est d'identifier et de limiter les risques que la mise en place de tels traitements peut créer pour les droits et libertés des personnes concernées.
- Outil de lutte contre la fraude de la CNAF et de la CCMSA :
Le projet de décret prévoit que le DRM pourra dorénavant être utilisé par la Caisse nationale des allocations familiales (CNAF) et par la Caisse centrale de la mutualité sociale agricole (CCMSA) pour améliorer la méthode de profilage des allocataires visant à identifier les situations justifiant la mise en œuvre prioritaire d'un contrôle .
Le ministère a indiqué qu'il s'agit d'une adaptation d'un algorithme de profilage existant autorisé par la CNIL (CNIL, délibération n° 2010-086 du 25 mars 2010), et qui fonctionne actuellement sur des ensembles de données moins complets que ceux présents dans le DRM.
Selon les éléments fournis par le ministère, l'application de ce traitement aux données contenues dans le DRM sera effectuée par un nombre très limité (moins d'une dizaine) de personnes astreintes au secret professionnel. Le traitement aura pour résultat de calculer des taux de risque de fraude ou d'erreur par dossier, et de créer une liste des dossiers dépassant un certain seuil de probabilité et de gravité. Ces listes seront pseudonymisées et transmises aux différentes CAF et CMSA compétentes afin qu'elles puissent orienter le programme des contrôles à mener.
Cette nouvelle utilisation du DRM fera l'objet d'une expérimentation limitée dans le temps, jusqu'à la fin de l'année 2024. En effet, il s'agit d'une phase de test qui vise à évaluer le gain de productivité du dispositif. Ainsi, dans l'hypothèse où ce gain serait avéré et documenté dans un rapport circonstancié et chiffré, une pérennisation du dispositif pourra être envisagée, moyennant une nouvelle modification du décret DRM après avis de la CNIL.
Ces dispositions n'appellent pas d'autres observations de la part de la CNIL.
- Outil de lutte contre la fraude de la CNAV :
Le projet de décret prévoit par ailleurs que les données figurant dans le DRM pourront être utilisées par la CNAV pour des missions de contrôle et de lutte contre la fraude, prévues à l'article L. 114-9 du code de la sécurité sociale .
Contrairement aux nouveaux usages du DRM par la CNAF et la CCMSA, le projet ne prévoit aucune phase d'expérimentation par la CNAV dans le déploiement de du traitement de profilage. Le ministère a indiqué que cette différence s'explique par la spécificité des typologies des fraudes et des situations à risque, qui présentent des différences importantes entre les deux secteurs (prestations sociales et prestations de retraite).
La CNIL observe que contrairement à l'outil de détection des situations à risque utilisé par la CNAF et par la CCMSA, le dispositif correspondant mis en place par la CNAV n'a pas fait l'objet de formalités préalables auprès d'elle, même anciennes.