AgentPublic/cnil huggingface dataset:
La Commission estime que ces données relèvent des catégories visées à l’article 11.I de la loi du 11 mai 2020, pouvant être traitées et partagées, le cas échéant, sans le consentement de la personne. Elle estime également que leur collecte est pertinente pour la conduite d’une enquête sanitaire, puisque l’évaluation d’un risque de contamination ou la reconstitution d’une chaîne de transmission du virus varie selon que les personnes sont ou non vaccinées. La Commission invite en revanche le ministère à indiquer précisément dans le décret les catégories de données provenant du SI Vaccin Covid qui seront collectées au sein de Contact Covid, ainsi que les personnes concernées.
S’agissant de SI-DEP
Le projet d’article 9.2° prévoit la collecte des données suivantes : statut vaccinal, nom du vaccin et la ou les dates d’injection . La Commission prend acte de ce que le ministère a précisé que ces données proviennent du SI Vaccin Covid . Elle invite donc le ministère à le mentionner expressément dans le projet.
La Commission relève en outre que le ministère entend justifier cette collecte par la réalisation de recherches portant sur les effets de la vaccination et, notamment, sur les risques de contamination avant ou après la finalisation du schéma vaccinal. La Commission attire l’attention du ministère sur la nécessité de ne collecter que des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Elle rappelle à cette fin que l’utilisation des données des systèmes d’information SI-DEP, Contact Covid et Vaccin Covid à des fins de recherche est d’ores et déjà prévue par les textes, notamment par leur versement à la CNAM et à la Plateforme des données de santé (PDS), en vue de leur mise à disposition auprès des chercheurs. Dès lors, afin de garantir le respect de la vie privée des personnes et la protection des données qui les concernent, elle invite le ministère à ne pas dupliquer les données structurées, en faisant de SI-DEP une nouvelle base de recherche, en plus des entrepôts de la CNAM et de la PDS.
Sur le versement de données du SI Vaccin Covid dans le Système national des données de santé (SNDS)
La Commission estime que, en application de l’article 7 de la loi du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire, l’ajout de données, issues du SI Vaccin Covid , à Contact Covid et SI-DEP aura pour conséquence de les intégrer au SNDS.
Tout en observant que certaines catégories de données de ce système d’information pourraient relever des catégories de données mentionnées à l’article L. 1461-1 du CSP, la Commission s’interroge sur la possibilité de prévoir par voie réglementaire le versement des données du SI Vaccin Covid dans le SNDS, alors même que le versement des données des SI Contact Covid et SI-DEP a été prévu par la loi et dans les conditions précisées par le décret n°2021-848 du 29 juin 2021 relatif au SNDS.
La Commission demande que le décret relatif au SI Vaccin Covid soit modifié afin de faire expressément mention de l’intégration de certaines de ses données au SNDS. Elle souligne par ailleurs que les responsables des traitements Contact Covid, SI-DEP et SI Vaccin Covid seront respectivement tenus d’en informer individuellement et sans délai toutes les personnes concernées par cette évolution ainsi que des modalités selon lesquelles elles pourront exercer leurs droits.
Sur les modifications apportées à Contact Covid et SI-DEP
Sur l’ajout dans Contact Covid de nouvelles catégories de destinataires des données à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé
D’une part, le projet d’article 1er IV prévoit d’autoriser les organismes d’assurance maladie et la Caisse nationale militaire de sécurité sociale à recourir à des sous-traitants à des fins de surveillance épidémiologique, de recherche sur le virus et sur les moyens de lutter contre sa propagation.
La Commission prend acte des précisions du ministère selon lesquelles :
cette modification permettra à certains organismes gestionnaires d’un régime obligatoire d’assurance maladie, et plus particulièrement la mutuelle sociale agricole (MSA) et la mutuelle générale de l’éducation nationale (MGEN) d’intervenir pour la mise en œuvre de cette finalité, notamment pour l’envoi aux personnes concernées d’informations relatives à des programmes de recherche ;
seules les données d’identification des personnes seront communiquées à ces organismes d’assurance maladie, afin qu’ils identifient les assurés concernés et collectent leurs coordonnées directement depuis leurs systèmes d’information.
D’autre part, le projet d’article 3.VIII du décret du 12 mai 2020 prévoit d’autoriser l’accès par les organismes nationaux et locaux d’assurance maladie, leurs sous-traitants et les personnes mises à dispositions de ces organismes par des entreprises de travail temporaire, aux données d’identification et aux coordonnées des personnes concernées par Contact Covid, à des fins d’évaluation du dispositif de suivi de contacts ( contact tracing ).
La Commission prend acte des précisions du ministère selon lesquelles :
la mise en œuvre de cette évaluation serait assurée par la CNAM, qui sélectionnera un panel de personnes et leur transmettra par courrier électronique un lien vers le questionnaire d’évaluation ;
seules les coordonnées électroniques des personnes seront utilisées par la CNAM à cette fin. Elle invite donc le ministère à modifier le projet d’article en conséquence.
La Commission remarque que ces deux modifications permettront aux organismes précités et à leurs sous-traitants d’avoir accès à des données directement identifiantes, dont le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), et aux coordonnées des personnes à des fins de surveillance épidémiologique et de recherche sur le virus.
A cet égard, la Commission relève que :
l’article 11 de la loi du 11 mai 2020 permet la réutilisation des données de Contact Covid et de SI-DEP à des fins de surveillance épidémiologique aux niveaux national et local, ainsi que la recherche sur le virus et les moyens de lutter contre sa propagation, sous réserve, en cas de collecte d'informations, de supprimer les nom et prénoms des personnes, leur numéro d'inscription au répertoire national d'identification des personnes physiques, leur adresse et leurs coordonnées de contact téléphonique et électronique . A cet égard, il doit être relevé qu’il résulte des débats parlementaires ayant précédé l’adoption de la loi précitée que les données d’identification et les coordonnées des personnes ne sont collectées qu’à des fins d’identification des personnes contaminées et/ou des personnes présentant un risque de contamination ainsi que d’orientation de ces personnes vers les mesures les plus adaptées ;
l’article 3. VI du décret du 12 mai 2020 prévoit que seules les données ayant fait l’objet de mesures adéquates de pseudonymisation permettant d’assurer la confidentialité de l’identité des personnes peuvent être transmises à des fins de recherche.
Si Commission comprend l’utilité de disposer de données directement identifiantes pour pouvoir informer les personnes de la réalisation de projets de recherche, les inviter à y participer et évaluer le fonctionnement du dispositif, elle attire néanmoins l’attention du ministère sur le fait que le législateur a entendu limiter les réutilisations des fins de recherche à des données pseudonymisées. Par conséquent, elle s’interroge sur la compatibilité des modifications envisagées, prévues par une norme de nature règlementaire, avec les dispositions législatives relatives à Contact Covid.
Par ailleurs, les personnes concernées n’ayant pas été préalablement informées de l’utilisation de leurs données nominatives à des fins de recherche, la Commission recommande que les personnes soient mises en mesure de s’opposer à la réutilisation de leurs données avant toute réutilisation à cette fin.
S
’agissant du recours à des sous-traitants par les organismes d’assurance maladie à des fins de surveillance épidémiologique, de recherche sur le virus et sur les moyens de lutter contre sa propagation
La Commission estime donc que la modification envisagée par le projet d’article conduira à transmettre à des organismes tiers des données directement identifiantes à des fins de recherche, ce qui n’apparaît pas conforme aux dispositions de l’article 11 de la loi du 11 mai 2020. Elle considère en effet que seule la CNAM disposant des données directement identifiantes et des coordonnées des personnes, en sa qualité de responsable de traitement de Contact Covid, devrait pouvoir accéder à ces données. Dès lors tout projet de recherche qui nécessiterait l’utilisation de telles données ne pourra intervenir que sous la responsabilité, le cas échéant conjointe, de la CNAM.
S’agissant des destinataires des données pour l’évaluation du fonctionnement du dispositif Contact Covid
La Commission prend acte de ce que le ministère a indiqué que :
la mise en œuvre de cette évaluation sera effectuée en deux temps : d’abord la réutilisation des coordonnées électroniques des personnes à des fins d’envoi du questionnaire d’évaluation du dispositif, puis la réalisation de l’évaluation par les personnes contactées qui le souhaitent ;
le questionnaire ne contiendra aucun champ libre.
La Commission estime que cette évaluation est compatible avec les finalités de Contact Covid mentionnées à l’article 1er.III du décret du 12 mai 2020 et plus particulièrement celle relative à la surveillance épidémiologique, la recherche sur le virus et les moyens de lutter contre sa propagation.
Elle considère que cette évaluation, qui suppose la mise en œuvre d’un traitement distinct de Contact Covid, devra faire l’objet de formalités auprès de la Commission si ledit traitement poursuit des finalités d’évaluation dans le domaine de la santé au sens des articles 72 et suivants de la loi informatique et libertés . Elle rappelle cependant que ces formalités ne seront pas requises si le traitement est réalisé dans les conditions prévues à l’article 65-6° de cette même loi.
Concernant l’information des personnes, le ministère a indiqué que :
les personnes seront invitées à participer à l’évaluation par l’envoi d’un courrier électronique renvoyant au lien du questionnaire ;
ce courrier électronique sera accompagné d’une notice d’information sur les finalités du questionnaire.
La Commission en prend acte et attire l’attention du ministère sur le fait que le courrier électronique d’invitation et la notice d’information ne devront pas permettre de déduire d’informations sur l’état de santé de la personne destinataire.
En outre, elle recommande l’utilisation de la messagerie de l’espace sécurisée du compte Ameli afin de limiter les risques pour la vie privée des personnes.
Sur les traitements mis en œuvre par les ARS
La Commission relève que l’article 14 du décret du 12 mai 2020 autorisant les ARS à recourir à des sous-traitants pour la réalisation des enquêtes sanitaires, d’orientation de suivi et d’accompagnement des personnes et de surveillance épidémiologique, est abrogé et est remplacé par un projet de chapitre 3 relatif aux traitements mis en œuvre par les ARS.
La Commission prend acte de ce que les traitements visés par ce projet de chapitre 3 renvoient à des traitements déjà mis en œuvre par les ARS sur le fondement de l’arrêté du 30 juin 2020 fixant la liste des organismes ou services chargés d’une mission de service public pouvant mettre en œuvre des traitements de données à caractère personnel ayant pour finalité de répondre à une alerte sanitaire, dans les conditions définies à l’article 67 de la loi informatique et libertés , qui vont prendre fin un an après leur création.
Sur les catégories de destinataires
La Commission relève que les catégories de données collectées par les ARS dans le cadre de leurs enquêtes sanitaires seront identiques à celles collectées au sein du Contact Covid et SI-DEP. Elle relève en outre que les destinataires de données pseudonymisées à des fins de recherche entre Contact Covid, SI-DEP et des traitements mis en œuvre par les ARS sont identiques.Par ailleurs, la Commission prend acte des précisions du ministère selon lesquelles les données issues des traitements mis en œuvre par les ARS ont vocation à intégrer le SNDS.
La Commission estime que seules les données pseudonymisées collectées par les ARS dans le cadre de leurs enquêtes sanitaires pourront être transmises à la CNAM et à la PDS et pourront être versées au sein du SNDS.
En outre, la Commission invite le ministère à compléter le projet d’article 14-2 afin de préciser, à l’instar l’article 11 de la loi du 11 mai 2020, de l’article 3.VI relatif à Contact Covid et de l’article 10.III relatif à SI-DEP, les données qui devront être supprimées lors du processus de pseudonymisation.
Sur l’information et l’exercice des droits
La Commission relève qu’aucune disposition du projet de chapitre 3 ne détaille les conditions dans lesquelles les personnes concernées seront informées de la mise en œuvre de traitements par les ARS. Elle rappelle que des non-conformités aux modalités d’information des personnes ont donné lieu à des mises en demeure d’ARS dans le cadre de ses précédentes missions de contrôle.
Elle signale que les ARS, en qualité de responsables des traitements qu’elles mettent en œuvre, sont tenues d’informer individuellement les personnes concernées dans les conditions prévues par les dispositions des articles 13 et 14 du RGPD. A cet égard, elles ne sauraient se prévaloir de l’information délivrée aux personnes par les responsables de Contact Covid et SI-DEP et devront informer spécifiquement les personnes de la réutilisation de leurs données, le cas échéant.
La Commission demande donc que le projet de chapitre 3 soit complété en ce sens.
Le projet d’article 14-4 prévoit que le droit d’opposition n’est pas applicable aux traitements mis en œuvre par les ARS, à l’exception des données pseudonymisées transmises à la PDS et à la CNAM à des fins de recherche. La Commission relève à ce titre que les personnes pourront exercer leurs droits auprès de l’agence régionale de santé . Elle invite le ministère à préciser les critères de compétence territoriale et matérielle des ARS dans les documents d’information remis aux personnes.
Afin de favoriser et de faciliter l’exercice par les personnes concernées de leurs droits, la Commission estime que dès lors qu’une personne a exercé son droit d’opposition auprès du responsable de traitement de Contact Covid ou de SI-DEP, pour la transmission de ses données à la PDS ou à la CNAM à des fins de recherche, la mention de cette opposition devrait être reportée sur les données transmises aux ARS.
Sur la sécurité des systèmes d’information
La Commission souligne qu’elle a été saisie d’un projet de texte qui n’était accompagné d’aucun détail sur les modalités techniques de mise en œuvre des traitements envisagées, tant du point de vue fonctionnel ou que de celui de la sécurité des systèmes d’information. La Commission rappelle que la fourniture d’une analyse d’impact sur la protection des données est indispensable à l’appréciation des conditions de mise en œuvre des traitements dont elle est saisie. Elle invite donc le ministère à lui transmettre ce document dans les meilleurs délais.
 Si la Commission ne remet pas en cause l’intérêt de ces traitements mis en œuvre afin de lutter contre la Covid-19, elle relève que les évolutions introduites par ce projet de décret, d’une part, visent à rassembler les données de différents traitements existants et à en créer de nouveaux, portant sur des catégories de données similaires mais poursuivant des finalités différentes et, d’autre part, multiplient les interconnexions ainsi que les flux de données entre ces systèmes d’informations. Elle ne peut donc que regretter ne pas avoir eu communication de la documentation technique correspondante, afin d’apprécier les risques que ces évolutions sont susceptibles de générer.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’intérieur d’une demande d’avis concernant un projet de décret portant modification du décret n° 2011-111 du 27 janvier 2011 autorisant la mise en œuvre par le ministère de l’intérieur (direction générale de la gendarmerie nationale) d’un traitement automatisé de données à caractère personnel d’aide à la rédaction des procédures ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie en urgence le 19 mai 2021 d’une demande d’avis portant sur un projet de décret portant modification du décret n° 2011-111 du 27 janvier 2011 autorisant la mise en œuvre par le ministère de l’intérieur (direction générale de la gendarmerie nationale) d’un traitement automatisé de données à caractère personnel d’aide à la rédaction des procédures (LRPGN).
Cette saisine rectificative, qui fait suite à un premier avis de la Commission en date du 1er octobre 2020, vise notamment à tenir compte des observations qu’elle a formulées, ainsi que de la décision du 13 avril 2021 du Conseil d’Etat sur le traitement GendNotes (CE, 13 avril 2021, LDH e.a., n° 439360, inédit).
Dans cette décision, le Conseil d’Etat, après avoir rappelé que le décret régissant le traitement présentait comme l’une des finalités de l’application GendNotes le recueil et de la conservation de données en vue de leur exploitation dans d’autres traitements , a observé que le décret ne comportait aucune indication quant à la nature et à l'objet des traitements concernés ni quant aux conditions d'exploitation, dans ces autres traitements, des données collectées par le traitement . En conséquence, le Conseil d’Etat a considéré que cette finalité n’était pas déterminée, explicite et légitime , comme l’exige l’article 4 de la loi du 6 janvier 1978 modifiée, et a annulé la disposition du décret correspondante.
Ainsi, et pour tenir compte de cette décision, le projet de décret vise à expliciter les finalités du traitement LRPGN, qui prévoyaient initialement une finalité de mise en relation avec des traitements de données relatives aux procédures judiciaires .
 
Dans ce contexte, après avoir précisé les garanties devant selon elle s’attacher de manière générale à la mise en œuvre de mises en relation entre traitements, la Commission formule plusieurs séries d’observations concernant le projet de décret.
Enfin, la Commission accueille favorablement le fait que, dans le nouveau projet transmis, le ministère apporte des ajustements à certaines dispositions du décret, afin de tenir compte des observations formulées dans sa délibération précitée, plus particulièrement s’agissant du régime juridique retenu, des catégories de données collectées, ainsi que des durées de conservation.
Elle relève néanmoins que l’analyse d’impact sur la protection des données (AIPD) qui lui a été transmise n’a pas été mise à jour depuis la précédente saisine portant sur le traitement LRPGN, et datant de 2020, ce qu’elle regrette. La Commission invite le ministère à la mettre à jour dans les meilleurs délais afin de tenir compte des évolutions envisagées.
Sur les garanties attachées à la mise en œuvre de mises en relation entre plusieurs traitements
En premier lieu, la Commission rappelle qu’il y a lieu de distinguer entre la finalité et les moyens d’un traitement.
Une mise en relation est constituée par toute opération visant à utiliser les données d’un premier traitement pour une opération, quelle qu’elle soit, liée à un second traitement. De manière générale, le fait de mettre en relation deux traitements, que cela s’apparente à une interconnexion, à un rapprochement ou prenne une autre forme, ne constitue pas une finalité en soi mais simplement une fonctionnalité, un moyen par lequel une certaine finalité peut être poursuivie.
La Commission rappelle que, conformément aux dispositions de l’article 35 de la loi du 6 janvier 1978 modifiée et dans son champ d’application, les finalités du traitement doivent figurer expressément dans l’acte réglementaire encadrant le traitement mais pas l’ensemble des moyens permettant de poursuivre cette finalité.
La Commission estime en revanche que, dans le cas où une mise en relation avec un autre traitement poursuit une finalité propre, distincte des finalités énumérées par l’acte réglementaire, voire constitue l’unique finalité du traitement, alors cette dernière doit être suffisamment précise afin de répondre aux exigences de la loi informatique et libertés , comme l’a rappelé le Conseil d’Etat dans sa décision du 13 avril 2021. Plus particulièrement, dans cette hypothèse, la seule mention de l’interconnexion, du rapprochement ou de la mise en relation au titre des finalités du traitement, ne saurait suffire, à elle seule, à satisfaire ces exigences. Une telle finalité doit, comme l’a jugé le Conseil d’Etat, préciser  la nature et l’objet des traitements concernés  et, le cas échéant, les conditions d’exploitation de ces opérations. Ce type de finalité peut également être déterminé en énumérant les traitements avec lesquels la mise en relation est possible. A titre d’illustration, la Commission relève que les traitements de données dont l’objectif premier est de réaliser un criblage d’autre fichiers (comme c’est par exemple le cas s’agissant du traitement Automatisation de la consultation centralisée de renseignements et de données (ACCReD), mentionnent de manière expresse dans l’acte réglementaire les encadrant, les traitements pouvant être interrogés.
En deuxième lieu, la Commission rappelle de manière plus globale, s’agissant de l’équilibre général du traitement et, notamment, l’appréciation de ses conditions de mise en œuvre, que chaque mise en relation, qu’elle constitue une opération orientée à la finalité du traitement principal ou un traitement en elle-même tendant à une autre fin, doit respecter les règles prévues par la loi du 6 janvier 1978 et, le cas échéant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD). La réglementation applicable en matière de protection des données à caractère personnel impose notamment que les données collectées pour des finalités déterminées, explicites et légitimes ne puissent pas être traitées ultérieurement d’une manière incompatible avec ces finalités.
En troisième lieu, lorsque les traitements en cause sont régis par des actes réglementaires, la mise en relation doit respecter les dispositions régissant les deux traitements. Cela impose de s’assurer que l’opération est conforme aux finalités, aux données et aux accédants et destinataires fixés par les deux actes réglementaires.
Ainsi, s’agissant par exemple du transfert de données d’une base de données vers une autre, celui-ci n’est possible que s’il s’inscrit ou concourt aux finalités poursuivies par la base d’origine (ou à celles associées aux transmissions à des destinataires), si les données transférées sont autorisées à figurer dans la base de destination et si au moins une personne habilitée à alimenter la base de destination constitue un accédant ou un destinataire de la base d’origine.
En quatrième lieu, la réglementation en matière de protection des données à caractère personnel impose dans certaines hypothèses, la réalisation d’une AIPD.
A ce titre, la Commission rappelle que l’AIPD, qui doit notamment contenir une description détaillée du traitement mis en œuvre (comprenant tant les aspects techniques qu’opérationnels) doit nécessairement, lorsqu’elle est réalisée, porter sur les mises en relation, et notamment les interconnexions. Elle devra ainsi les lister de manière aussi exhaustive que possible, telles qu’elles sont connues et envisagées à la date de rédaction de l’analyse, en précisant leurs conditions de mise en œuvre (finalités, nature des données transmises, nécessité, conditions de transmission, sécurité des opérations, etc.).