AgentPublic/cnil huggingface dataset:
Sur le scellement du dispositif de vote électronique et la confidentialité des données
 
Les dispositions de l’article 11 du projet de décret sur le scellement reprennent la recommandation de la CNIL de 2010. Toutefois, concernant la confidentialité des données, le troisième alinéa de l’article 11 ne prévoit pas la mise en place d’un dispositif technique garantissant l’information systématique du bureau de vote en cas d’intervention sur le système de vote ni l’existence d’un module permettant la remontée automatique d’informations.
 
La Commission suggère donc au ministère que l’obligation d’information du bureau de vote soit renforcée, par exemple en ajoutant l’obligation de prévoir un dispositif technique garantissant l’information automatique du bureau de vote en cas d’intervention.
 
Sur la surveillance effective du scrutin
 
Le deuxième alinéa de l’article 8 prévoit une formation des membres du bureau de vote sur le système de vote, conformément au §I.6. de la recommandation de la CNIL, mais pas la mise à disposition de tous documents utiles .
 
La Commission propose donc au ministère de compléter cet article pour garantir l’autonomie du bureau de vote vis-à-vis du prestataire afin de mieux assurer la surveillance et le bon fonctionnement du système de vote. La Commission suggère de mentionner dans le deuxième alinéa de l’article 8 que les membres du bureau de vote  […] et ont accès à tous documents utiles sur le système de vote électronique 
.
Sur les procédés d’authentification
 
L’alinéa 3 de l’article 12 prévoit les principes de mise à disposition des moyens d’authentification des électeurs. Les principes sont partiellement conformes à la recommandation de la CNIL et devront être précisés par les actes réglementaires ultérieurs.
 
La Commission considère que cet alinéa pourrait préciser plus clairement que le choix des moyens d’authentification doit protéger contre l’usurpation d’identité. A ce titre, la Commission propose qu’à l’article 12, la phrase  Ce moyen d'authentification permet au serveur de vérifier son identité et garantit l'unicité de son vote. soit remplacée par  Ce moyen d'authentification permet au serveur de vérifier son identité et qu’une personne non autorisée ne puisse se substituer frauduleusement à l’électeur. Il garantit également l'unicité de son vote. 
 
Sur le contrôle du système avant le scrutin
 
Le contrôle n’est pas prévu par le projet de décret mais à l’article 8 du projet d’arrêté.
 
La Commission estime plus pertinent de prévoir clairement dans le décret, au sein de l’article 6 par exemple, ce contrôle du système de vote.
 
Sur les clés de chiffrement et le dépouillement
 
L’article 13 du projet de décret fixe les modalités de dépouillement du vote. Toutefois, il existe une confusion entre les conditions de création des clés de chiffrement/déchiffrement, qui seront utilisées pour le dépouillement et les conditions de dépouillement elles-mêmes.
La Commission propose donc que le texte soit précisé. Pour cela, la Commission suggère que les alinéas 2 à 7 de l’article 13 soient distingués dans un article distinct, qui pourrait être intitulé  Clés de chiffrement des bulletins . De plus, la Commission propose que cet article inclue un alinéa supplémentaire indiquant que  Les clés de chiffrement sont utilisées pour le chiffrement des bulletins et le dépouillement. Elles sont générées avant l’ouverture du scrutin. 
 
Par ailleurs, l’article 13 b) mentionne, comme la recommandation de la CNIL, que  l’établissement des clés est public de manière à prouver de façon irréfutable que seuls les détenteurs de ces clés […] en ont connaissance à l’exclusion de toute autre personne .
 
La Commission attire l’attention du ministère sur le fait que la notion d’irréfutabilité pourrait contraindre les administrations à utiliser certains organismes et dispositifs en application du Référentiel Général de Sécurité adopté le 6 mai 2010. La Commission tient à rappeler la nécessité de prévoir, pour la procédure d’établissement des clés de chiffrement, des mesures de sécurité adaptées aux risques associés au scrutin, notamment en matière de confidentialité.
 
Sur le chiffrement du bulletin de vote
 
Le chiffrement du bulletin de vote est mentionné au dernier alinéa de l’article 12 du projet de décret.
La formulation retenue ne permet pas de garantir que le bulletin sera chiffré sur le poste de l’électeur et qu’il ne sera pas déchiffré jusqu’au dépouillement. A cet égard, l’article 2 dernier alinéa du projet d’arrêté apporte les précisions suivantes :  Les données du vote font l’objet d’un chiffrement dès l’émission du vote sur le poste de l’électeur. 
 
La Commission propose au ministère que la première phrase du dernier alinéa de l’article 12 du projet de décret soit séparée du reste de l’article et regroupée avec la partie  Clés de chiffrement des bulletins mentionnée au point précédent. La Commission suggère de plus que la mention du chiffrement sur le poste de l’électeur figure dans le décret, compte-tenu de l’importance de cette mesure, et soit complétée de la manière suivante :  Le vote est anonyme. Le bulletin de vote est chiffré sur le poste de l’électeur et stocké dans l’urne, en vue du dépouillement, sans avoir été déchiffré à aucun moment, même de manière transitoire. 
 
Sur le dépouillement et la clôture du scrutin
 
L’article 13 du projet de décret mentionne le scellement de l’urne et de la liste d’émargement avant le dépouillement mais ne mentionne pas la copie de tous les documents utiles pour le contrôle a posteriori.
 
La Commission propose en conséquence au ministère de préciser l’article 13 en ajoutant la phrase  L’ensemble des informations nécessaires à un éventuel contrôle a posteriori doit également être recueilli lors de cette phase.
La Commission rappelle en tout état de cause que, conformément à l’article 15 du projet de décret, à l’expiration du délai de recours ou, lorsqu’une action contentieuse a été engagée, après l’intervention d’une décision juridictionnelle devenue définitive, l’administration ou, le cas échéant, le prestataire procède à la destruction des fichiers supports .
 
Le Président
Alex TÜRK
La Commission nationale de l’informatique et des libertés,
Saisie par le ministère du budget, des comptes publics et de la fonction publique d’une demande d’avis sur le projet de décret pris en application de l’article L 107 A du Livre des procédures fiscales ;
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et notamment son article 11 ;
Vu la loi n° 78-753 du 17 juillet 1978 portant diverses mesures d’amélioration des relations entre l’administration et le public et diverses dispositions d’ordre administratif, social et fiscal ;
Vu le Livre des procédures fiscales, notamment son article L. 107 A ;
Vu la loi n° 2009-526 du 12 mai 2009 de simplification et de clarification du droit et d’allègement des procédures ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Après avoir entendu M. Dominique RICHARD, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
 
Emet l’avis suivant :
La Commission a été saisie par le ministère du budget, des comptes publics, de la fonction publique et de la réforme de l’Etat d’une demande d’avis portant sur le projet de décret pris en application de l’article L. 107 A du Livre des procédures fiscales (LPF). Ledit article, créé par la loi du 12 mai 2009 susvisée, a redonné un fondement législatif au principe de libre accès à la documentation cadastrale, qui ne ressortait plus que de la jurisprudence. Il dispose ainsi que toute personne peut obtenir communication ponctuelle, le cas échéant par voie électronique, d’informations relatives aux immeubles sur lesquels une personne désignée dans la demande dispose d’un droit réel immobilier. Le législateur a en outre souhaité que les modalités de cette communication soient précisées par décret en Conseil d’Etat pris après avis de la CNIL.
Les informations communicables sont expressément mentionnées à l’article L. 107 A du Livre des Procédures Fscales, qui précise que seules les références cadastrales, l’adresse ou les autres éléments d’identification cadastrale des immeubles, la contenance cadastrale de la parcelle, la valeur locative cadastrale des immeubles, et les noms et adresses des titulaires de droit sur ces immeubles, peuvent être communiqués aux demandeurs. L’article 1er du projet de décret précise à cet égard que la communication de ces informations a lieu sous la forme d’un relevé de propriété issu de la matrice cadastrale.
La Commission par délibération 2009-698 du 10 décembre 2009 a relevé que le législateur a limité l’accès aux informations cadastrales susmentionnées en précisant le caractère ponctuel de cette communication, dont l’appréciation sera faite au regard du nombre d’informations sollicitées et de la fréquence des demandes. Elle a observé à cet égard que le contrôle du caractère ponctuel des demandes de communication d’informations cadastrales, adressées aux centres des impôts fonciers, nécessiterait la mise en œuvre d’un traitement de données à caractère personnel, enregistrant notamment l’identité des usagers demandeurs, leurs adresses électroniques le cas échéant, ainsi que les informations demandées. Le ministère compétent avait en outre précisé que les demandes de communication seraient conservées au maximum deux ans, et que les adresses électroniques seraient détruites après l’envoi du relevé de propriété demandé.
Mais elle a estimé que les modalités précises d’établissement des demandes et de contrôle de leurs volumes, qui, aux termes de l’article 1er du projet de décret, devraient être fixées par le directeur général des finances publiques, constituaient des modalités d’application importantes de l’article L. 107 A du LPF. Dans la mesure où le législateur avait expressément souhaité que ces modalités soient précisées par décret en Conseil d’Etat pris après avis de la Commission, elle souhaitait la déclaration susmentionnée soit accompagnée des instructions fixant ces modalités.
 
Le ministère du budget, des comptes publics et de la fonction publique a formulé une nouvelle demande d’avis sur un projet de décret remanié et relatif à la délivrance au public de certaines informations cadastrales.
 
La commission prend acte de ce que cette nouvelle rédaction définit le caractère ponctuel de la communication [..] par le nombre de demandes présentées par un usager auprès d’un service qui ne peut être supérieur à cinq par semaine dans la limite de dix par mois civil. 
 
Par ailleurs elle prend acte de ce que les collectivités locales sont pleinement associées au dispositif prévu, conformément à ses observations.
L’article R107 a 6 du projet de décret prévoit que la communication du relevé de propriété par voie électronique est réalisée, à l’exclusion de tout autre moyen, par courrier électronique si le demandeur en a choisi l’option et a fourni une adresse électronique unique et valide, ou dans le cadre d’une application informatique à accès contrôlé.
Dans la mesure où cette application constituerait un téléservice de l’administration, la Commission devrait être saisie par le ministère d’un projet d’arrêté en portant création, préalablement à sa mise en œuvre, conformément aux dispositions de l’article 27-II-4° de la loi du 6 janvier 1978 modifiée.
Quant au courrier électronique la Commission rappelle que s’agissant d’un document comportant des données à caractère personnel il doit faire l’objet d’un chiffrement ou être transmis par réseau sécurisé.
 
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère des affaires sociales et de la santé d’un projet de décret en Conseil d’Etat relatif à la transparence des avantages consentis par les entreprises produisant ou commercialisant des produits à finalité sanitaire destinés à l’homme ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L.1453-1 et L.4113-6 ; 
Vu le code de commerce, notamment ses articles L.441-3 et L.441-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-4°-a) ;
Vu la loi n°2011-2012 du 29 décembre 2011 relative au renforcement de la sécurité sanitaire du médicament et des produits de santé;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le 
décret n° 2009-134 du 6 février 2009 
 relatif aux procédures liées à l'exercice des professionnels de santé ;
Vu l’arrêté du 6 février 2009 portant création d'un traitement de données à caractère personnel dénommé " Répertoire partagé des professionnels de santé " (RPPS) pris en application du 
décret n° 2009-134 du 6 février 2009 
;
Après avoir entendu M. Jean MASSOT, commissaire, en son rapport et Mme Catherine POZZO DI BORGO, commissaire du Gouvernement, en ses observations,
 
Emet l'avis suivant :
 
La Commission a été saisie, le 20 novembre 2012, par le ministère des affaires sociales et de la santé, au titre de l'article 11-4°-a) de la loi du 6 janvier 1978 modifiée, d’un projet de décret en Conseil d’Etat relatif à la transparence des avantages consentis par les entreprises produisant ou commercialisant des produits à finalité sanitaire et cosmétique destinés à l’homme.
 
Ce projet de décret, pris en application des articles L. 1453-1 et L. 4113-6 du code de la santé publique issus de la loi n° 2011-2012 du 29 décembre 2011, a pour objet d’améliorer la transparence et l’information du public s’agissant des liens entre l’industrie pharmaceutique et les professions de santé, d’une part, et d’étendre le dispositif " anti-cadeaux " aux étudiants se destinant aux professions de santé ainsi qu’aux associations représentant ces étudiants et les membres des professions médicales, d’autre part.
L’article L.1453-1 du code la santé publique (CSP) prévoit, sous peine de sanctions pénales prévues aux articles L.1454-2 à L.1454-5 du même code, que les entreprises, produisant ou commercialisant des produits à finalité sanitaire destinés à l’homme mentionnés au II de l’article L.5311-1 du code précité ou assurant des prestations associées à ces produits, sont tenues de rendre publique l’existence des conventions qu’elles concluent notamment avec les professionnels de santé relevant de la quatrième partie du code de la santé publique et les étudiants se destinant à ces professions, ainsi que les avantages en nature ou en espèces que ces mêmes entreprises leur procurent directement ou indirectement dès lors qu’ils sont supérieurs à un seuil fixé par décret.
Ce même article renvoie à un décret en Conseil d’Etat le soin de fixer les conditions de cette publication, la nature des informations qui doivent être rendues publiques, notamment l’objet et la date des conventions, les délais et modalités de publication et d’actualisation de ces informations ainsi que les modalités selon lesquelles les ordres des professions de santé sont associés à cette publication.
 
Plus précisément, le projet de décret soumis pour avis à la Commission :
organise les modalités de publicité de l’existence des conventions conclues entre les entreprises produisant ou commercialisant des produits à finalité sanitaire ou cosmétiques destinés à l’hommeet certaines parties prenantes intervenant dans le champ de la santé,
organise les modalités de publicité du montant des avantages que ces mêmes entreprises leur procurent ;
fixe un seuil au-delà duquel les avantages consentis par les entreprises sont rendus publics ;
précise les modalités d’application du dispositif issu de la loi dite " anti-cadeaux " aux étudiants se destinant à une profession de santé ;
prévoit les modalités d’association des ordres professionnels au mécanisme de transparence.
 
Sur les données à caractère personnel traitées et leur publicité
L’article 1er du projet de décret prévoit de modifier le code de la santé publique, notamment en y insérant de nouveaux articles D.1453-1 et R.1453-2 à R.1453-9.
Le projet d’article D.1453-1 précise le seuil à partir duquel sont recensés les avantages perçus et celui à partir duquel le cumul de ces avantages est rendu public. Ainsi les avantages d’un montant supérieur ou égal à dix euros TTC sont recensés et lorsque le cumul de ces avantages sur un semestre civil atteint soixante euros, il doit faire l’objet d’une publication.
Le projet d’article R.1453-2 rappelle les exigences de l’article L.1453-1 précité et précise que les obligations de publication ne s’appliquent pas aux conventions conclues en application des articles L.441-3 et L.441-7 du code de commerce qui ont pour objet l’achat de biens ou de services.
Le projet d’article R.1453- 3 impose aux entreprises de rendre publics, d’une part, l’existence des conventions qu’elles concluent avec les personnes, associations, établissements et, d’autre part, les avantages qu’elles procurent aux personnes, établissements, fondations, sociétés, organismes ou organes mentionnés à l’article L. 1453-1 du CSP. Ces dispositions sont applicables aux conventions conclues et aux avantages procurés par les entreprises produisant ou commercialisant des produits à finalité sanitaire destinés à l’homme. Des dispositions similaires sont applicables aux entreprises produisant ou commercialisant des lentilles oculaires non correctrices, des produits cosmétiques et des produits de tatouages mentionnés au 14°), 15°), et 17°) de l’article L.5311-1 du CSP.
La publication porte notamment sur l’identité des parties à la convention et l’identité du bénéficiaire de l’avantage. A cet égard, il est prévu que :
Pour les professionnels de santé, les données publiées portent sur le nom, la qualité, et le cas échéant la qualification, le titre, la spécialité, l’adresse professionnelle, le numéro d’inscription à l’ordre ou le cas échéantl’identifiant personnel issu du répertoire partagé des professionnels de santé (RPPS);
Pour les étudiants se destinant à l’une des professions de santé relevant de la quatrième partie du CSP, les données publiées portent sur le nom, le prénom, l’établissement d’enseignement et le cas échéant l’identifiant personnel dans le répertoire partagé des professionnels de santé (RPPS) lorsqu’il existe ;
Pour les personnes morales : l’identité de l’entreprise concernée, la date de signature de chaque convention, son objet, et le programme de la manifestation le cas échéant ;
 
S’agissant des conventions, la publication porte également sur la date de signature, l’objet de la convention et le cas échéant le programme de la manifestation. S’agissant des avantages, la publication porte également sur l’entreprise et la personne bénéficiaire selon des tranches prévues par le projet de décret.
La Commission observe que parmi les données traitées, figure l’identifiant personnel issu du répertoire partagé des professionnels de santé. Elle rappelle que, l’article 8 de l’arrêté du 6 février 2009 portant création d'un traitement de données à caractère personnel dénommé " Répertoire partagé des professionnels de santé " (RPPS) pris en application du
décret n° 2009-134 du 6 février 2009 
relatif aux procédures liées à l'exercice des professionnels de santé ne prévoit pas que les entreprises concernées [entreprises produisant ou commercialisant des produits à finalité sanitaire destinés à l’homme mentionnés au II de l’article L.5311-1 du CSP ou assurant des prestations associées à ces produits] figurent parmi les utilisateurs pouvant rediffuser les données communicables au public, en consultation. La circonstance que les entreprises ont accès à ces données ne suffit pas à considérer qu’elles seraient ensuite, du fait de l’obligation de publication de l’existence des conventions et avantages mise à leur charge par la loi du 29 décembre 2011, habilitées à diffuser ces données d’identification. La Commission appelle l’attention du gouvernement sur la nécessité d’envisager, le cas échéant, une modification de l’arrêté précité relatif au RPPS. 
La Commission relève les risques d’atteinte à la vie privée que peut entraîner la divulgation de l’ensemble des informations dont la liste est précisée par le projet de décret. Elle ne peut que constater que la publication de toutes les données visées au projet d’article R.1453-3 du CSP n’est pas prévue expressément par le législateur.
La Commission rappelle, à titre indicatif, la jurisprudence de la Cour de Justice de l’Union Européenne (CJUE)1 relative à la publication des informations relatives aux bénéficiaires de fonds européens agricoles qui considère que : " l’obligation de publication des noms des personnes physiques bénéficiaires d’une telle aide ainsi que les montants précis qu’elles ont perçus constitue, au regard de l’objectif de transparence, une mesure disproportionnée ". La CJUE estime qu’ : " aucune prééminence automatique ne saurait être reconnue à l’objectif de transparence sur le droit à la protection des données à caractère personnel ".
On pourrait estimer au regard de ces éléments, que la publication des données à caractère personnel telle que prévue par le futur article R.1453-3, n’apparaît ni adéquate ni pertinente et qu’elle serait excessive au regard des finalités poursuivies par le traitement au sens de l’article 6-3 de la loi du 6 janvier 1978 modifiée. En l’espèce, cette publication pourrait être justifiée au regard de l’objectif de prévention des conflits d’intérêts susceptibles d’intervenir dans le domaine sanitaire. En tout état de cause, la Commission prend acte de la volonté du législateur de rendre publiques des données à caractère personnel en vue d’améliorer la transparence des liens entre l’industrie pharmaceutique et les professions de santé comme le prévoit l’article L.1453-1 du CSP.
Sur les modalités de publication
Le projet d’article R.1453-4 du CSP, prévoit que la publication des informations s’opère sur un site internet public unique ou à défaut, sur le site internet des conseils nationaux des ordres professionnels compétents et sur le site des syndicats professionnels des entreprises produisant ou commercialisant les produits concernés.
Le projet d’article R.1453-5 du CSP, prévoit que les données sont rendues publiques au premier janvier de chaque année civile puis actualisées de façon semestrielle. Dans un délai de quinze jours après la signature de la convention ou tous les six mois si la somme des avantages est supérieure ou égale à soixante euros, l’entreprise concernée transmet les informations à l’autorité responsable du site internet public par télé déclaration ou aux conseils ordinaux nationaux et aux syndicats professionnels des entreprises concernés par voie électronique conformément aux dispositions du décret n°2011-272 du 30 mars 2001 pris pour l’application de l’article 1316-4 du code civil relatif à la signature électronique. La Commission en prend acte.