AgentPublic/cnil huggingface dataset:
En plus d'une information écrite, la CNIL rappelle qu'une information orale des personnes concernées délivrée par les organismes référents est recommandée, afin de s'assurer de la bonne compréhension des informations communiquées
Ces mentions d'information devront être accessibles et mises à jour afin de prendre en compte l'évolution des cadres juridiques du traitement.
Sur l'exercice des droits des personnes, le projet de décret écarte expressément pour chacun des traitements l'exercice du droit d'opposition en application de l'article 56 de la loi du 6 janvier 1978 modifiée.
Or, les traitements sont fondés sur des bases légales distinctes, telles que les missions d'intérêt public poursuivies par les responsables de traitement, l'obligation légale de traitement de données résultant notamment de formalités obligatoires et, de façon résiduelle, le consentement.
Dès lors, la CNIL s'interroge sur une limitation aussi générale du droit d'opposition.
La CNIL rappelle, d'une part, que, pour pouvoir apporter valablement des limitations au droit d'opposition des personnes, la mesure normative prise à cet effet doit contenir certaines dispositions spécifiques minimales énumérées à l'article 23.2 du RGPD et, d'autre part, que l'article 56 de la loi énonce qu'une telle exclusion doit être prévue par une disposition expresse de l'acte instaurant le traitement .
La CNIL invite en conséquence le ministère à compléter le projet de décret afin de satisfaire entièrement aux exigences de ces articles.
5. Sur les mesures de sécurité
Le texte conduit à une extension des traitements de données opérés par FT et ses partenaires, en particulier du nombre d'entités accédant aux données des demandeurs d'emploi. Cette extension accroît les risques de sécurité auxquels les traitements sont exposés. La CNIL s'inquiète de ce que l'ouverture massive d'accès aux partenaires de FT, dans des délais extrêmement contraints, ne soit pas accompagnée par des mesures de sécurité adaptées aux risques, en particulier à court terme (voir notamment ci-avant la section sur la gestion des identités et des habilitations des accédants).
En effet, les acteurs et systèmes d'information sur lesquels reposent les traitements considérés ont vocation à entrer dans le champ de la directive (UE) 2022/2555 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union (directive NIS 2), dont la transposition doit intervenir prochainement. Dans cette perspective, les systèmes d'information de France Travail, en particulier, ont vocation à faire l'objet d'exigences de sécurité accrues qui s'étendront au moins en partie aux différentes entités accédant à ces systèmes.
Si la CNIL relève qu'une démarche d'homologation et plan d'action de sécurisation des traitements sont initiés, elle regrette que ce plan d'action ne précise pas de calendrier prévisionnel au-delà du 1er trimestre 2025, particulièrement concernant les partenaires réalisant certaines opérations de contrôle essentielles au sein de leur propre système d'information, par exemple l'authentification des utilisateurs ou la gestion des périmètres d'accès.
Des mesures de sécurité techniques et organisationnelles doivent être mises en œuvre, tant pour les utilisateurs des applications du réseau pour l'emploi accédant aux services mis en œuvre que pour des acteurs avec un profil technique (administrateur, RGC, consultant, infogérant, etc.). La CNIL invite le ministère à faire aboutir ces travaux de sécurisation avec toutes les parties prenantes avant la mise en œuvre effective des nouveaux traitements concernés. Elle souligne notamment l'importance de mettre en place des actions de formation et de sensibilisation au sein de l'ensemble des entités accédant aux données.
Elle invite également l'ensemble des parties prenantes à tirer parti des recommandations que l'ANSSI a formulées afin d'aider les organismes à remédier aux insuffisances de sécurité constatées lors de la gestion des récents incidents qui ont affecté les entités du secteur social, afin de limiter la probabilité de survenance d'incidents de grande ampleur similaires.
Les exigences de sécurité, prévues par les articles 5.1.f et 32 du RGPD, nécessitent la mise à jour régulière de l'analyse d'impact relative à la protection des données (AIPD) et de ses mesures de sécurité au regard de la réévaluation régulière des risques et au fur et à fur mesure de la mise en œuvre des plans d'action de sécurisation des SI.
B. - Remarques spécifiques
1. Sur le traitement T1 - RSA et PA :
Il ressort du II du projet d'article R. 262-102 du CASF que le traitement poursuit plusieurs finalités, notamment :
- le recueil et la transmission aux CD par les CNAF et CCMSA des demandes de RSA ;
- l'instruction des demandes de RSA et l'examen du droit à la prime d'activité, conformément à l'article L. 843-1 du code de la sécurité sociale ;
- l'attribution par les caisses d'assurance maladie assurant la prise en charge des frais de santé du demandeur, sauf en cas de refus de celui-ci, de la protection complémentaire en matière de santé pour les demandeurs dont les ressources sont présumées ne pas excéder le montant forfaitaire prévu à l'article L. 262-2 du code de l'action sociale et des familles ;
- le recueil et la transmission à FT des données nécessaires pour l'inscription automatique du demandeur du RSA ainsi que de son conjoint solidarité sur la liste des demandeurs d'emploi ;
- la communication à FT des données nécessaires à l'identification par FT de l'organisme compétent pour prononcer l'orientation du demandeur d'emploi.
Le projet d'article R. 262-103 énumère les données qui devront être collectées dans le cadre du présent traitement, sans pour autant justifier dans quelles mesures elles sont nécessaires aux finalités poursuivies.
Conformément au principe de minimisation, la CNIL recommande au ministère, d'une part, de s'assurer du caractère nécessaire des données collectées au regard des finalités poursuivies et, d'autre part, de distinguer les catégories de données nécessaires pour chacune des finalités poursuivies.
2. Sur le traitement T2 - bRSA :
a) Sur les données collectées :
Il ressort du II du projet d'article R. 262-111 du CASF que le traitement poursuit plusieurs finalités, notamment la transmission de données à FT, aux CAF et CCMSA et aux comités national et territoriaux pour l'emploi dans le cadre des missions exercées par chacun de ces acteurs.
Le projet d'article R. 262-112 énumère les données qui devront être collectées dans le cadre du présent traitement, sans pour autant justifier dans quelle mesure elles sont nécessaires aux finalités poursuivies.
La CNIL prend acte de l'engagement du ministère modifier le projet de décret afin de supprimer ces transmissions mentionnées au 4° et 5° du II du R. 262-11 du CASF, ce flux étant couvert par les dispositions propres du SI FT.
La CNIL s'interroge notamment sur la nécessité pour les comités national et départementaux pour l'emploi d'être destinataires de données relatives aux décisions d'orientations des bénéficiaires du RSA et de leur conjoint au regard des missions qu'ils poursuivent en vertu des articles L. 5311-09 et 5311-10 du code du travail.
Conformément au principe de minimisation, la CNIL recommande au ministère d'une part, de s'assurer du caractère nécessaire des données collectées au regard des finalités poursuivies et, d'autre part, de distinguer les catégories de données nécessaires pour chacune des finalités poursuivies.
b) Sur les durées de conservation :
Le projet d'article R. 262-113 du CASF renvoie pour les durées de conservation des données susmentionnées à celles retenues pour le SI-FT.
Compte tenu des conditions de saisines sus exposées, la CNIL n'est pas en mesure de se prononcer sur le caractère adapté des différentes durées de conservation. Elle observe cependant que le traitement présente plusieurs dizaines de finalités. En conséquence la CNIL invite le ministère à distinguer clairement les durées de conservation en fonction de chacune de ces finalités.
c) Sur les destinataires :
Le projet d'article R. 262-114 mentionne comme seuls destinataires des données les agents de FT désignés et habilités par l'autorité responsable de cet organisme, lorsque les données sont nécessaires à l'exercice de leurs missions.
Le ministère précise que seul FT est destinataire de ce traitement et s'engage à clarifier en ce sens les dispositions projetées.
Au regard des finalités poursuivies cependant, la CNIL invite le ministère de prévoir également comme destinataires les comités national et territoriaux pour l'emploi lorsque l'accès aux données est nécessaire pour l'exercice de leurs missions.
Aussi, la CNIL prend acte des engagements de modifier le projet d'article relatif aux destinataires du SI de FT afin de prévoir ces destinataires de données. Il s'engage également à préciser que les données qui leur seront transmises ne permettront pas de réidentifier les personnes concernées.
3. Sur le traitement T3 - RSA, PA et AAH 
a) Sur la base légale :
Le projet d'article R. 5312-32 du CT indique que les caisses sont responsables du traitement ; or il se fonde sur les nécessitées liées à la fois à l'exercice des missions d'intérêt public de FT ainsi que sur l'exécution des obligations légales auxquelles il est assujetti.
La CNIL rappelle, en application de l'article 6.1.e du RGPD, que l'intérêt public mobilisé doit être celui du responsable du traitement et invite le ministère à mobiliser une différente base légale.
b) Sur les données collectées :
Le projet d'article R. 5312-34 du CT prévoit la suppression des données relatives aux allocataires bénéficiaires du RSA, de la PA et de l'AAH qui ne sont pas demandeurs d'emploi, conjoint ou membre du foyer d'un demandeur d'emploi - et qui ne sont donc pas concernés par les finalités du présent traitement - dans un délai d'un mois. Cela signifie que les données de l'ensemble des bénéficiaires de ces allocations (RSA, PA et AAH) qu'ils soient ou pas demandeurs d'emploi, conjoints ou membres du foyer, sont transmises à FT afin que ce dernier puisse effectuer un tri.
Bien que les données ne soient pas intégrées dans les bases informatiques de FT mais sauvegardées sous forme de fichier brut, cette transmission constitue bien un traitement de données à caractère personnel. Or, conformément au principe de minimisation des données (article 5 du RGPD), seules les données strictement nécessaires pour atteindre la finalité poursuivie doivent être traitées. Aussi, la CNIL considère que la transmission de l'ensemble des données des allocataires est disproportionnée.
La CNIL prend acte des engagements du ministère en ce sens s'agissant de la transmission dans un premier temps des seules données permettant d'identifier si un bénéficiaire est également demandeur d'emploi, et dans un second temps, en cas de confirmation, de la transmission de l'ensemble des données.
S'agissant des nombreuses données, particulièrement sensibles, qui sont uniquement nécessaires à la personnalisation des sanctions en fonction de la situation de la personne, la CNIL estime que ces données ne doivent être collectés que pour les seules personnes faisant l'objet d'une sanction et non pour l'ensemble des demandeurs d'emploi qui pour la plupart ne feront jamais l'objet d'une telle procédure.
Par conséquent, elle invite le ministère à prévoir une interrogation des bases de données des caisses afin de ne cibler que les données nécessaires relatives au demandeur d'emploi concerné par la proposition de sanction.
4. Sur le traitement T4 - SI-FT 
a) Sur les finalités :
Le projet d'article R. 5312-38 du CT prévoit notamment une finalité de prévention et de lutte contre la fraude. La détection de la fraude par FT, portant notamment sur les allocations chômage, repose a priori principalement sur l'exploitation de signalements et de données obtenues par le biais de croisements permettant de faire émerger des facteurs de risque.
La CNIL ne dispose pas de tous les éléments nécessaires pour se prononcer sur ce sujet sur lequel elle est particulièrement attentive. Elle s'interroge néanmoins sur la proportionnalité de l'utilisation de nouvelles catégories de données collectées - notamment sur les conjoints et membres du foyer - dans le cadre de l'identification de facteurs de risques associés à une demandeur afin de déterminer l'opportunité de réaliser un contrôle.
b) Sur les données collectées :
Le projet d'article R. 5312-42-1, III, prévoit un accès par catégories de public suivi sans toutefois limiter les catégories de données nécessaires aux missions des accédants concernant ses personnes.
Par ailleurs, le projet d'article R. 5312-42-1 du CT prévoit une fonction de recherche nationale, permettant à l'ensemble des acteurs cités dans le II° du même article d'accéder aux données d'identification et de contact des demandeurs d'emploi, ainsi que leur organisme référent, sur l'ensemble du territoire national, sur la base de l'utilisation du NIR. La CNIL renvoie sur ce point aux observations effectuées précédemment quant à l'élargissement important de son utilisation.
La CNIL invite le responsable du traitement à prévoir les mesures de sécurité appropriées afin de contrôler les accès à ces données pour prévenir les accès illégitimes, et d'alerter, le cas échéant (voir ci-avant la section concernant la gestion des identités et des habilitations des accédants).
c) Sur les durées de conservation :
Le projet d'article 5312-44 du CT prévoit une durée de conservation des données de 10 ans en base active à compter de la cessation d'inscription sur la liste des demandeurs d'emploi sans dépasser une durée totale de 20 ans.
La CNIL s'interroge sur le caractère proportionné d'une telle durée pour chacune des données collectées au regard des nombreuses finalités poursuivies.
Le projet de décret prévoit par ailleurs que les données techniques et de traçabilité seront conservées durant 6 mois, conformément aux recommandations de la CNIL en matière de journalisation.
La CNIL invite le responsable du traitement SI-FT à prévoir un regroupement des données de traçabilité dans un système dédié et sécurisé facilitant la détection, notamment automatique, des comportements suspects et incidents de sécurité avant l'expiration de cette durée de conservation.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 7 novembre 2024.
Modification substantielle du traitement de données
La modification envisagée porte sur l’allongement de la durée d’accès aux données du SNDS de dix-huit mois supplémentaires.
Les autres conditions de mise en œuvre de l’étude restent inchangées.
 
AUTORISE la société ROCHE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 7 novembre 2024.
Modification substantielle du traitement de données
La modification envisagée porte sur l’allongement de la durée d’accès aux données du SNDS de trois ans supplémentaires.
Les autres conditions de mise en œuvre de l’étude restent inchangées. 
 
AUTORISE, la société IQVIA OPERATIONS FRANCE SAS et un CONSORTIUM DE FABRICANTS DE DISPOSITIFS MEDICAUX à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable du Comité de protection des personnes Nord-Ouest III du 6 novembre 2024.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes et de la nature des données traitées.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que des données de santé)
La collecte de données relatives aux convictions religieuses des participants a été scientifiquement justifiée dans le dossier de demande. Les participants pourront choisir de ne pas transmettre cette information à l’équipe de recherche.
Destinataires de données directement identifiantes
Les membres de l’équipe de recherche FAMIREA auront accès aux données nominatives ainsi qu’aux coordonnées téléphoniques des participants afin d’assurer leur suivi centralisé.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes
Les patients et leurs proches recevront une note d’information individuelle en vue de leur participation à ce projet de recherche.
Durées de conservation en base active et en archivage
Les données administratives d’identification (nom, prénom) ainsi que les coordonnées téléphoniques seront détruites à la fin du suivi des participants.
Autres données :
Base active : six ans
Archivage : quinze ans.
 
AUTORISE l’ASSISTANCE PUBLIQUE HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable du Comité de protection des personnes Ouest IV du 1er octobre 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003 à l'exception des destinataires des données directement identifiantes. 
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. 
Destinataires des données directement identifiantes
Le sous-traitant du responsable de traitement aura accès aux données nominatives ainsi qu’aux coordonnées téléphoniques et électroniques des participants afin d’assurer leur suivi centralisé. Les participants en seront informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes. 
Information et droits des personnes
Tous les participants recevront une note d’information individuelle.
Durées de conservation en base active et en archivage
Les données nominatives et les coordonnées seront détruites à la fin du suivi.
 
Autres données :
Base active : cinq ans 
Archivage : quinze ans.
 
AUTORISE la société IDORSIA PHARMACEUTICALS FRANCE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT