AgentPublic/cnil huggingface dataset:
Le projet de décret ajoute la qualité de destinataires des images de vidéoprotection aux agents de la police municipale, aux agents de la ville de Paris chargés d'un service de police, aux contrôleurs relevant du statut des administrations parisiennes exerçant leurs fonctions dans la spécialité de la voie publique, aux agents de surveillance de Paris ainsi qu'aux agents de police municipale de Paris.
Si la Commission prend acte de ces modifications qui découlent de l'article 40 de la loi n° 2021-646 précitée, elle relève cependant que ces dispositions ont pour effet d'élargir fortement les destinataires des images de vidéoprotection. Elle appelle donc à encadrer strictement les habilitations des personnels à visionner ces images, afin notamment de limiter l'accès aux personnes justifiant d'un besoin d'en connaître et d'éviter tout usage qui ne serait pas conforme aux finalités du traitement.
Sur les conditions d'habilitation et l'obligation de formation des agents
En premier lieu, l'article 3 du projet de décret précise par quelle autorité seront désignés et habilités les agents des services de police ou de gendarmerie nationales, les agents des douanes ou des services d'incendie et de secours, les agents de police municipale ainsi que les agents mentionnés aux articles L. 531-1, L. 532-1 et L. 533-1 du CSI, destinataires des images et enregistrements de systèmes de vidéoprotection. Il est prévu que ces agents soient individuellement désignés et dûment habilités par le chef de service ou le chef d'unité à compétence départementale, régionale, zonale ou nationale sous l'autorité duquel ils sont affectés, et pour les agents de police municipale ainsi que les agents mentionnés aux articles L. 531-1, L. 532-1 et L. 533-1, par le chef de service de police municipale ou le directeur de police municipale sous l'autorité duquel ils sont affectés, ou par le maire.
L'article 3 du projet de décret indique également que les agents précités sont destinataires des images et enregistrements de systèmes de vidéoprotection pour les seuls besoins de leurs missions . La Commission relève que à cette condition découle directement des dispositions de l'article L. 255-1 du CSI tel que modifié par l'article 40 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés. Elle appelle toutefois à une vigilance particulière concernant les habilitations qui seront mises en place et à leur mise à jour régulière. A cet égard, elle prend acte de ce que le ministère prévoit d'adresser une circulaire aux préfectures dont l'objet sera notamment d'attirer leur attention sur ces points.
La Commission prend acte de ce que les modalités d'accès aux images par ces agents seront détaillées dans le dossier administratif et technique accompagnant la demande d'autorisation auprès du préfet exigée par l'article R. 252-3 du CSI. Dans la mesure où les autorisations sont délivrées au cas par cas afin de pouvoir être adaptées au contexte propre à chaque organisation et de vérifier lors de l'examen du dossier les modalités d'accès aux images mis en œuvre, le ministère indique qu'il n'apparaît pas adapté qu'un texte réglementaire recense en détail l'ensemble des modalités d'accès aux images, ces dernières devant être adaptées aux risques en cause. La Commission estime néanmoins que ces modalités pourraient être détaillées dans une doctrine d'emploi adoptée au niveau ministériel sur l'utilisation des caméras, d'autant que l'ouverture des destinataires rend très large le nombre d'agents potentiellement concernés. Sur ce point, elle prend acte de ce qu'il est prévu qu'une doctrine d'emploi soit formalisée pour fixer les règles générales d'utilisation des caméras.
La Commission prend également acte de ce que les agents de police municipale ainsi que les agents de la ville de Paris ne pourront pas accéder à des images prises par des systèmes de vidéoprotection qui ne seraient pas mis en œuvre sur le territoire de la commune ou de l'intercommunalité sur lequel ils exercent leurs missions. Elle considère que cette garantie, exigée par le Conseil constitutionnel dans sa décision n° 2021-817 DC du 20 mai 2021, devrait être ajoutée dans le projet de décret et prend acte du fait que ce point sera vérifié dans le cadre de l'instruction des autorisations préfectorales délivrées.
En second lieu, l'article 3 du projet de décret prévoit également une obligation de formation en matière de protection des données à caractère personnel pour les agents mentionnés au second alinéa de l'article L. 252-2 et à l'article L. 252-3 du CSI.
La Commission observe que les modalités de formation pour ces agents sont encadrées par la loi. A titre d'illustration, s'agissant des agents de police municipale et des agents de police municipale de la ville de Paris, leur formation est notamment encadrée par les articles L. 511-6 et L. 533-3 du CSI. L'article L. 511-6 du CSI indique que les fonctionnaires de police municipale sont assujettis à des obligations de formations initiales et continues, organisées et assurées par le Centre national de la fonction publique territoriale (CNFPT). Selon le ministère, ce corpus juridique est nécessaire et suffisant pour mettre en œuvre dans la formation des agents concernés tout module en lien avec la protection des données. Le catalogue des stages de formation continue du CNFPT propose par exemple un stage relatif aux obligations de la police municipale en matière de sécurité et de protection des données personnelles . Elle prend également acte de ce qu'il n'est pas prévu que le contenu de la formation doive être conforme à un cahier des charges particulier. Elle relève toutefois qu'il conviendra pour le ministère de s'assurer que chacun des agents concernés suive une formation spécifique aux enjeux de la protection des données à caractère personnel.
Au regard de ces éléments, cette disposition n'appelle pas d'autre observation particulière de la part de la Commission.
Sur les mesures de sécurité
L'article L. 255-1 du CSI prévoit que le décret précise les mesures techniques mises en œuvre pour garantir la sécurité des enregistrements et assurer la traçabilité des accès aux images . Le projet de décret se limite à prévoir à l'article 4 que Les systèmes de vidéoprotection sont équipés de dispositifs techniques permettant de garantir l'intégrité des enregistrements ainsi que la traçabilité des consultations des images . La Commission rappelle que la sécurité des enregistrements inclut non seulement l'intégrité des enregistrements mais aussi la nécessité d'assurer leur confidentialité et leur disponibilité. Elle recommande donc au Gouvernement de compléter l'article 4 du projet de décret en ce sens et prend acte de l'engagement du ministère sur ce point.
La Commission regrette que le ministère renvoie la définition des normes techniques à respecter à un arrêté ministériel, à savoir l'arrêté du 3 août 2007 portant définition des normes techniques des systèmes de vidéosurveillance.
En effet, cet arrêté définit des éléments génériques et requiert notamment que les responsables de traitement fixent des objectifs de sécurité en fonction de la finalité de la caméra. La Commission invite dès lors le ministère à compléter le projet de décret sur ce point. Il reviendra en outre aux responsables de traitement, pour la mise en œuvre de leur traitement, de prendre en compte la protection des données et les risques sur les personnes concernées lors de la définition des objectifs de sécurité pour répondre aux obligations de sécurité prévues par les articles 5.1.f) et 32 du RGPD ainsi que l'article 99 de la loi du 6 janvier 1978 modifiée.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant sur un projet de décret relatif au système d'information d'identification unique des victimes (SIVIC) ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu l'article L. 3131-9-1 du code de la santé publique (CSP) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie d'un projet de décret relatif au système d'information d'identification unique des victimes modifiant les dispositions du décret n° 2018-175 du 9 mars 2018, codifié au code de la santé publique. Ce traitement, dénommé SIVIC et dont le ministre en charge de la santé est responsable, est prévu par l'article L. 3131-39-1 du CSP, vise, en cas d'évènement constituant une situation sanitaire exceptionnelle ou étant de nature à impliquer de nombreuses victimes, notamment en cas d'accidents collectifs, à assurer la gestion de ces évènements et le suivi des victimes.
L'article L. 3131-9-1 du CSP renvoie à un décret en Conseil d'Etat, pris après avis de la Commission, le soin de préciser la nature des données recueillies et de fixer les modalités de leur transmission dans le respect des règles garantissant la protection de la vie privée.
Sur la finalité du traitement
Le projet d'article R. 3131-10-1 du CSP détaille les finalités de SIVIC , qui ne figurent pas dans le décret n° 2018-175 du 9 mars 2018. La Commission accueille favorablement cette modification, qu'elle estime de nature à favoriser le respect du principe de transparence.
Sur la nature des données traitées
Le projet d'article R. 3131-10-2 du CSP détaille les catégories de données à caractère personnel qui seront enregistrées dans SIVIC et qui se rapportent à trois catégories de personnes : les personnes prises en charge, les personnes à contacter afin de les informer de la prise en charge d'un proche (personnes contact) et les utilisateurs du système d'information.
S'agissant des personnes prises en charge :
Le numéro d'identification des personnes au répertoire national d'identification des personnes physiques en tant qu'identifiant national de santé (NIR INS) est ajouté dans les catégories de données collectées, notamment afin d'améliorer l'identitovigilance et de détecter les éventuels doublons. Si la Commission comprend cet objectif, elle relève toutefois que ce traitement est susceptible de concerner un grand nombre de personnes, notamment dans l'hypothèse où le dispositif serait utilisé dans le cadre d'un événement de grande ampleur.
La Commission relève également que le projet de texte qui lui est soumis est un décret en Conseil d'Etat, d'un niveau de norme permettant d'élargir les cas d'utilisation du NIR. Toutefois, cette modification aboutit à prévoir une utilisation du NIR hors des cas prévus par le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire (décret cadre NIR).
Elle s'interroge par ailleurs sur le fondement juridique permettant la collecte du NIR INS dans SIVIC . En effet, elle rappelle que le traitement de cette donnée est notamment encadré par les dispositions des articles L. 1111-8-1 et R. 1111-8-1 et suivants du CSP, l'article 30 de la loi informatique et libertés, ainsi que par le décret cadre NIR.
A cet égard, elle précise que le référencement à l'aide de l'identifiant national de santé doit être réalisé, selon les termes de l'article R. 1111-8-3 du CSP et de l'article 2-B-1° du décret précité, par des professionnels, établissements, services et organismes mentionnés à l'article L. 1110-4 et des professionnels constituant une équipe de soins en application de l'article L. 1110-12 et intervenant dans la prise en charge sanitaire ou médico-sociale de la personne concernée .
Or, la Commission relève que n'appartiennent pas à ces catégories le ministère chargé de la santé, désigné comme responsable de traitement, ainsi que la plupart des personnes visées au projet d'article R. 3131-10-3, tels que, par exemple, les personnels relevant des ministères de l'intérieur, de la justice et des affaires étrangères. Elle relève par ailleurs que le projet d'article R. 3131-10-3-V° prévoit la transmission du NIR INS dans le système d'information mis en place pour organiser les échanges définis à l'article 10-6 du code de procédure pénale, qui ne s'inscrivent pas dans la prise en charge sanitaire ou médico-sociale des personnes concernées.
A cet égard, et comme elle a eu l'occasion de le faire dans ses précédents avis, la Commission attire l'attention du ministère sur les risques engendrés en matière de vie privée par l'élargissement substantiel du nombre d'organismes et de personnes amenées à traiter le NIR dans ce contexte et sur l'impérieuse nécessité de cantonner l'utilisation du NIR INS aux sphères sanitaire et médico-sociale dans les conditions prévues par le code de la santé publique. Elle invite donc le ministère à clarifier le projet sur ce point, notamment s'agissant de la qualification juridique du NIR utilisé dans SIVIC .
Selon les précisions du ministère, l'enregistrement des données sera réalisé uniquement par les personnels administratifs des établissements de santé. Les professionnels de santé ne pourront que leur fournir des informations complémentaires.
La Commission attire l'attention du ministère sur le fait que le détail des différentes catégories de données collectées dans le cadre de SIVIC (poids, état de conscience, type et établissement d'hospitalisation, attestation de prise en charge clinique, etc.) ainsi que le contexte de leur recueil impliquent nécessairement le traitement de données de santé à caractère personnel, au sens de l'article 4-15) du règlement général sur la protection des données (RGPD). A ce titre, elle prend acte de ce que le ministère s'engage à faire preuve d'une vigilance particulière s'agissant des modalités de recueil de ces informations et à sensibiliser les personnes renseignant SIVIC , notamment s'agissant des zones de commentaires libres ou blocs-notes , susceptibles de contenir des données non pertinentes.
S'agissant des utilisateurs :
Concernant la collecte du numéro de téléphone mobile des utilisateurs du système d'information, prévue par le projet d'article R. 3131-10-2 2., la Commission prend acte, comme elle l'avait fait dans sa délibération n° 2017-322 du 7 décembre 2017, de ce qu'il s'agira en principe, du numéro de téléphone professionnel de l'utilisateur. Elle acte également que dans l'hypothèse où le professionnel ne dispose pas d'un numéro de téléphone mobile professionnel, la collecte d'un numéro personnel ne pourra lui être imposée.
La Commission prend acte de ce que le ministère s'est engagé à supprimer l'adverbe notamment du projet d'article, afin que soit dressée une liste exhaustive des données adéquates, pertinentes et limitées à celles nécessaires.
Sur la durée de conservation des données
Le projet de décret ne mentionne pas la durée de conservation des données qui seront contenues dans SIVIC . Selon les précisions du ministère, les données concernant les personnes prises en charge et les personnes contact sont conservées pendant une durée de deux ans à compter de la clôture de l'événement, à l'issue de laquelle les données seront supprimées. Les données de journalisation relatives à l'utilisation du système seront conservées un an après la clôture de l'événement avant d'être supprimées.
En outre, selon les indications du ministère, dans l'hypothèse d'événements impliquant uniquement des prises en charge médico-psychologiques, la clôture de l'évènement interviendra trente jours après l'ouverture de l'événement. Dans le cas contraire, un événement est clos au plus tard trente jours après que le dernier patient a quitté l'hôpital ou jusqu'à la fin de l'hospitalisation complète du dernier patient de l'évènement . Interrogé sur les critères de fin de l'hospitalisation, le ministère a précisé que le suivi de l'hospitalisation doit inclure les soins de suites et de réadaptation, ainsi que les hospitalisations en psychiatrie à l'issue d'une prise en charge dans un service de médecine, de chirurgie ou d'obstétrique. Par ailleurs, la Commission relève que la clôture d'un évènement n'est pas définitive car, selon les précisions du ministère, un événement pourrait être réouvert à l'initiative des agences régionales de santé (ARS) ou de la direction générale de la santé (DGS), lorsqu'une personne doit être réhospitalisée après la clôture de l'évènement. Dès lors, la Commission invite le ministère à préciser clairement dans le projet de décret les critères et modalités de calcul de la durée de conservation des données.
La Commission prend acte de ce que les données des utilisateurs de SIVIC seront conservées jusqu'à la fermeture du compte utilisateur.
La Commission invite le ministère à modifier le projet de décret afin d'indiquer la durée de conservation des données, pour chaque catégorie de personnes concernées.
Sur les destinataires des données
L'article L. 3131-9-1 du CSP prévoit que les données de SIVIC peuvent être transmises dans le but d'assurer la gestion de l'événement et le suivi des victimes, aux agents désignés au sein des agences régionales de santé et des ministères compétents .
Le projet d'article R. 3131-10-3 prévoit toutefois la transmission des données de SIVIC à l'Agence nationale de santé publique (ANSP), lors d'évènements de nature épidémique ou biologique, destinataire non mentionné dans l'article L. 3131-9-1 du CSP.
Tout en prenant acte de ce que le ministère s'est engagé à modifier le projet de décret afin que seules des données pseudonymisées soient transmises à l'ANSP, la Commission s'interroge sur la possibilité pour le projet de prévoir une telle transmission.
Par ailleurs, la Commission rappelle, dans l'hypothèse où SIVIC devrait être interconnecté avec d'autres systèmes d'information, que de tels rapprochements nécessiteraient de modifier le projet de décret ainsi que les textes encadrant leur mise en œuvre et que les catégories de destinataires devront être conformes aux textes en vigueur et notamment l'article L. 3131-9-1 du CSP.
Enfin, la communication de données est susceptible d'entraîner l'extension de la durée de conservation des données de SIVIC , qui ne semble pas être prévue par les textes.
Sur l'information des personnes
La Commission invite le ministère à faire figurer dans le projet de décret les modalités d'information des personnes dont les données ont vocation à être traitées dans SIVIC . En outre, au vu de la sensibilité des données concernées, et en raison du contexte justifiant sa mise en œuvre, la Commission estime nécessaire que, conformément à l'article 12 du RPGD, le ministère diffuse sur son site web une information concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples afin que l'ensemble de la population puisse avoir connaissance de l'existence de SIVIC et appréhender son étendue et ses interconnexions.
Concernant les personnes prises en charge :
Selon les précisions du ministère, les personnes prises en charge seront informées du traitement des données à caractère personnel les concernant dans le cadre de SIVIC par la remise d'une attestation à l'issue d'une prise en charge somatique ou médico-psychologique. La Commission s'interroge sur la temporalité de l'information : l'issue d'une prise charge médico-psychologique pouvant intervenir dans un délai variable après la survenue de l'événement et, par conséquent, l'enregistrement des données dans SIVIC . Elle invite le ministère à prévoir une information des personnes prises en charge préalablement à leur inscription dans SIVIC et, dans l'hypothèse où les personnes ne seraient pas en état de recevoir cette information, à leur en faire part dès que leur état le permet. La Commission prend acte de ce que le ministère recommande aux établissements d'informer la famille ou le proche de confiance des personnes prises en charge à l'occasion de leur visite éventuelle.
Plus généralement, la Commission rappelle que selon les termes de l'article 12 du RGPD, l'information délivrée doit être concise, transparente, compréhensible et aisément accessible, en des termes clairs et simple. Elle insiste, au vu de la situation de particulière vulnérabilité dans laquelle se trouvent les personnes concernées par le traitement, sur la nécessité de tenir le plus grand compte de ces principes. Ainsi, ayant pris connaissance du modèle de document d'information, la Commission :
relève qu'il y est fait mention que SIVIC n'implique pas le traitement de données médicales. La Commission considère que cette mention est de nature à remettre en cause la bonne compréhension du traitement envisagé, ce dernier portant sur des données concernant la santé ;
invite le ministère à modifier les informations relatives à la durée de conservation des données dans l'attestation afin d'éviter un renvoi aux dispositions réglementaires du CSP.
La Commission prend acte de ce que le ministère s'est engagé à y préciser la limitation des droits des personnes concernées, conformément à l'article 23.2.h du RGPD.
Concernant les personnes contact :
Le ministère n'a pas précisé la façon dont les personnes contact seront informées du traitement dans SIVIC des données à caractère personnel les concernant. La Commission prend acte de ce que le ministère s'est engagé à prévoir une information individuelle des personnes contact et à leur communiquer un document comportant l'ensemble des mentions prévues par le RGPD.
Concernant les utilisateurs de SIVIC :
Selon les précisions du ministère, les utilisateurs sont informés du traitement des données à caractère personnel les concernant par le biais des conditions générales d'utilisation (CGU) de SIVIC qui seront affichées et validées par l'utilisateur lors de sa première connexion et après chaque mise à jour des CGU. La Commission relève que l'information ne se limite pas à l'affichage des CGU et est être complétée par des informations disponibles sur une page dédiée disponible sur le portail SIVIC auxquelles les utilisateurs pourront se reporter pendant toute la durée du traitement.
Sur les droits d'accès, de rectification et d'opposition des personnes
Le projet d'article R. 3131-10-4 exclut l'exercice du droit d'opposition et ne mentionne pas le droit d'effacement des personnes concernées par SIVIC . Selon les précisions du ministère, le droit d'effacement et d'opposition ne peuvent être exercés en raison de l'objectif de SIVIC .
La Commission analyse ces exclusions comme la mobilisation des dispositions de l'article 23 du RGPD qui permettent de limiter les droits des personnes pour garantir, notamment, des objectifs importants d'intérêt public dans le domaine de la santé publique. La Commission prend acte de ce que le ministère s'est engagé à modifier le projet de décret afin qu'il mentionne les raisons pour lesquelles les droits des personnes sont limités ainsi que les risques pour les droits et libertés que présente le traitement, conformément à l'article 23.2.g du RGPD.
Selon les précisions du ministère, les droits des personnes pourront être exercés auprès de la DGS et, pour les personnes prises en charge, auprès de l'établissement de santé ou de la cellule d'urgence médico-psychologique porteur des informations renseignées dans l'outil. La Commission prend acte de ce que le ministère s'est engagé à compléter le projet de décret en conséquence.
Sur la sécurité des données et la traçabilité des actions
Le traitement projeté, réalisé à grande échelle et incluant notamment des données sensibles, a fait l'objet d'une analyse d'impact relative à la protection des données et a fait l'objet d'une homologation de sécurité avant sa mise en production.
En raison de la sensibilité des données contenues dans SIVIC , l'hébergement de ses services sera réalisé par un prestataire externalisé certifié hébergeur de données de santé (HDS).