AgentPublic/cnil huggingface dataset:
Des mesures de chiffrement permettant d'assurer l'intégrité et la confidentialité des données traitées seront mises en place dans le cadre du traitement, tant concernant le stockage, les sauvegardes, les flux d'accès que les échanges de données. Les mécanismes techniques mis en œuvre pour ces mesures sont conformes à l'état de l'art, et notamment aux préconisations du référentiel général de sécurité (RGS) ; les données sensibles, dont le NIR INS, seront chiffrées au repos en base de données et lors des sauvegardes, par des algorithmes à l'état de l'art au moyen de boîtiers chiffrants. Une compartimentation des données au moyen de méthodes cryptographiques est également prévue pour amoindrir les risques de réidentification des patients.
Concernant l'habilitation des personnes pouvant accéder aux données traitées, une matrice d'habilitation a été réalisée afin de gérer les accès en tant que de besoin et selon des profils d'habilitation permettant une granularité des accès.
Concernant l'authentification des utilisateurs habilités, différents modes d'authentification sont disponibles au sein de SIVIC : une authentification forte par carte CPx, une authentification forte à deux facteurs par mot de passe à usage unique et une authentification simple par mot de passe conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. Les fonctionnalités liées à la gestion des comptes nécessitent l'utilisation d'une authentification forte. L'accès aux données métier de SIVIC requiert soit une authentification par mot de passe, soit une authentification par carte CPx si celle-ci a été préalablement enregistrée dans SIVIC . La Commission note que des recommandations relatives à l'authentification par carte CPx seront communiquées aux utilisateurs pendant leurs formations et font partie de la documentation associée à l'outil, mais rappelle sa recommandation de sécuriser l'accès aux données de santé par une authentification forte à deux facteurs.
Concernant l'authentification des utilisateurs habilités conformément au référentiel Identifiant national de santé (INS), des tests d'adéquation seront réalisés et validés par le centre national de dépôt et d'agrément (CNDA) afin de s'assurer de la bonne adéquation de SIVIC avec le téléservice INSi . Le traitement projeté fera l'objet d'une auto-homologation afin de pouvoir appeler ce téléservice via une connexion authentifiée par certificat serveur. Dans ce cadre, La Commission prend acte de ce que le téléservice ne sera appelé que sur l'action volontaire et manuelle de l'utilisateur via un bouton dans le dossier SIVIC et qu'un tel appel ne sera effectué que lors d'une opération de recherche par traits d'identité du patient. Elle prend acte également de ce que des traces fonctionnelles seront mises en place comprenant l'utilisateur, la structure, la date et l'heure de l'appel au téléservice et rappelle le besoin de suivi et de remontée d'alertes liées à cette fonctionnalité.
Concernant les fonctionnalités d'exportation liées à un évènement au sein d'un établissement de santé, SAMU ou ARS, la Commission relève la mise en œuvre d'une limitation des données extraites au strict nécessaire au respect du droit d'en connaître des utilisateurs habilités et des habilitations mises en place pour chaque profil, ainsi que de traces fonctionnelles reprenant l'auteur, la date et l'heure de l'extraction. Elle prend acte de ce que le ministère s'est engagé à mettre en place un message de sensibilisation lors de chaque extraction et rappelle le besoin de suivi et de remontée d'alertes liées à cette fonctionnalité présentant un risque résiduel important.
Les données pseudonymisées peuvent être exportées dans le cadre de la gestion d'événements de nature épidémique ou biologique conformément aux missions d'alerte et de veille sanitaire à des services du ministère de la santé ainsi qu'à l'ANSP. La Commission prend acte de ce qu'aucune donnée d'identité ne sera présente dans ces exportations et que des travaux sont en cours pour hacher le numéro SINUS grâce à une fonction de hachage cryptographique à l'état de l'art et à un sel de hachage généré grâce à une clé stockée dans un boîtier chiffrant. Les exportations seront ensuite chiffrées et transmises aux destinataires via des protocoles sécurisés.
Concernant la disponibilité des données, un plan de reprise d'activité sera mis en œuvre et les sauvegardes seront répliquées sur un site secondaire distant géographiquement.
La durée de conservation des traces fonctionnelles est fixée à deux ans après la clôture de l'évènement. Le ministère justifie cette durée par la nécessité de veiller et d'assurer les accès aux personnes habilitées dans le cadre de leurs missions, ainsi que de pouvoir utiliser ces traces dans le cadre de réquisitions judiciaires. La Commission précise cependant que le point de départ de la durée de conservation, qui peut être très éloigné de la date de génération de la trace, et la durée de conservation elle-même ne sont pas conformes à ses recommandations habituelles, qui st de conserver les traces fonctionnelles pendant une durée maximum d'un an à partir de la génération de la trace fonctionnelle. Elle rappelle que des procédures de contrôle doivent être mises en œuvre de manière régulière afin d'identifier des accès non autorisés et doivent donner lieu, le cas échéant, à l'établissement d'un rapport de violation des données dans un délai raisonnable. Elle note que les traces techniques, comprenant les données d'usage du service par ses utilisateurs, seront conservées pendant une durée d'un an à partir de la clôture de l'événement. Elle demande en conséquence de réduire au strict nécessaire la durée de conservation des traces fonctionnelles et de choisir une durée fixée, à échéance glissante pour les durées de conservation des traces fonctionnelles et techniques, ou d'apporter une justification particulière démontrant un risque élevé pour les personnes concernées
nécessitant de conserver ces traces au-delà de la durée recommandée, notamment en cas de possibilité de détournement de finalité du traitement.
La Commission rappelle que, dans l'hypothèse où SIVIC serait interfacé avec d'autres traitements, aucune base de données ne devrait rassembler l'ensemble des informations recueilli dans chacun des traitements interconnectés et que les transmissions de données devraient être sécurisées par des algorithmes et protocoles à l'état de l'art. Elle rappelle que des mesures de sécurité et de minimisation adéquates devraient être mises en place afin de réduire les risques liés à ce type de transmission.
Enfin, la Commission relève qu'un centre opérationnel de sécurité collectera et analysera les traces et événements produits par les logiciels, serveurs et équipements réseau de SIVIC ainsi que les différents services de sécurité. Elle recommande ici encore que les traces applicatives et événements collectés et analysés soient conservés pendant une durée conforme à ses préconisations. Concernant les données collectées par ce centre opérationnel, le ministère a précisé que ces traces ne comporteront pas de données de santé ou de données directement nominatives des patients et des utilisateurs. La Commission en prend acte.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant un projet de décret rectifié relatif au système d'information d'identification unique des victimes (SIVIC) ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire adjoint du Gouvernement ;
Emet l'avis suivant :
Sur l'objet de la saisine :
La Commission a été saisie d'un projet de décret rectifié relatif au système d'information d'identification unique des victimes (SIVIC), qui prévoit de modifier les dispositions de l'article R. 3131-10-2 du code de la santé publique (CSP) et du décret n° 2019-341 du 19 avril 2019 portant sur la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire (décret NIR) afin de permettre l'utilisation du NIR dans le cadre du traitement SIVIC.
Le traitement SIVIC, dont le ministre en charge de la santé est responsable, est prévu par l'article L. 3131-9-1 du CSP et vise, en cas d'évènement constituant une situation sanitaire exceptionnelle ou étant de nature à impliquer de nombreuses victimes, à assurer la gestion de ces évènements et le suivi des victimes. L'article L. 3131-9-1 du CSP renvoie à un décret en Conseil d'Etat, pris après avis de la Commission, le soin de préciser la nature des données recueillies et de fixer les modalités de leur transmission dans le respect des règles garantissant la protection de la vie privée.
Cette saisine rectificative fait suite à la délibération de la Commission n° 2021-081 du 8 juillet 2021 portant sur un premier projet de décret. Dans cet avis, la Commission s'était notamment interrogée sur le fondement juridique et les modalités de traitement du NIR en tant qu'identifiant national de santé (INS).
Les rectifications apportées au projet de décret initial portent sur :
le fondement juridique et les modalités de traitement du NIR, notamment en tant qu'INS ;
les modalités d'exercice des droits des personnes concernées.
Sur le fondement juridique et les modalités de traitement du NIR, notamment en tant qu'INS
Le projet de décret prévoit le remplacement de la mention de l'INS par celle du numéro d'inscription au répertoire national d'identification des personnes physiques, utilisé le cas échéant comme identifiant national de santé .
Le projet de décret distingue donc désormais le traitement du NIR et le traitement du NIR INS le cas échéant . La Commission rappelle que le traitement du NIR est encadré par les dispositions du décret cadre NIR et que le traitement du NIR INS ne pourra être mis en œuvre que dans les hypothèses prévues par les dispositions du CSP.
Ainsi, le projet de décret prévoit que les personnels des ministères de l'intérieur, de la justice et des affaires étrangères et ceux intervenant dans le cadre d'une structure chargée de l'information des familles, pourront accéder à certaines données, à l'exclusion du numéro d'inscription au répertoire national d'identification des personnes physiques utilisé comme identifiant national de santé . Le ministère a précisé que ces personnels n'auraient pas accès au NIR mais seraient informés du fait que les traits d'identité ont été validés par le téléservice INSi. La Commission en prend acte et invite le ministère à clarifier le décret afin de mentionner que ces personnels n'auront pas accès au NIR, qu'il soit ou non traité comme INS.
Par ailleurs, le ministère a précisé que, contrairement à ce que prévoit le projet d'article R. 3131-10-2 du CSP, le NIR ne sera pas enregistré dans le traitement SIVIC. A cet égard, le ministère a indiqué que seuls les traits d'identités seront enregistrés afin de permettre l'interrogation du téléservice INSi qui, en retour, validera les traits d'identité et renverra le NIR, ce qui semble cependant en contradiction avec l'affirmation selon laquelle il ne sera pas enregistré dans le traitement. La Commission l'invite dès lors à clarifier le projet, afin qu'il établisse clairement les cas dans lesquels le NIR sera traité en tant que tel dans le cadre de la mise en œuvre du traitement SIVIC, ainsi que les modalités selon lesquelles le traitement de cette donnée interviendra. Le ministère a en outre précisé que cette validation du NIR ne sera demandée qu'en cas d'ouverture d'une enquête judiciaire ou d'une cellule téléphonique pour réponse aux familles. La Commission en prend acte.
Enfin, l'article 2 du projet est modifié afin de compléter les dispositions du décret NIR pour permettre au ministère de traiter le NIR pour assurer la gestion et le suivi des victimes dans le cadre du traitement mentionné à l'article R. 3131-10-1 du CSP. En l'absence de précision, la Commission estime que le ministère chargé de la santé pourra traiter le NIR, mais pas en tant qu'INS.
La Commission renouvelle son inquiétude sur les risques engendrés en matière de vie privée par l'élargissement substantiel du nombre d'organismes et de personnes amenés à traiter le NIR dans ce cadre.
Sur les modalités d'exercice des droits des personnes concernées
La Commission accueille favorablement la modification apportée au projet, permettant aux personnes d'exercer également leurs droits auprès de l'établissement de santé et de la cellule d'urgence médico-psychologique de prise en charge.
La Commission relève que le projet mentionne désormais expressément que le droit d'opposition est écarté en application des dispositions de l'article 23 du RGPD.
Ce projet de décret n'appelle pas d'autres observations de la Commission au regard de la protection des données à caractère personnel.
La présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'économie, des finances et de la relance d'une demande d'avis concernant un projet de décret relatif au Registre national des entreprises et portant adaptation des autres registres d'entreprises ;
Vu le règlement le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu l'ordonnance n° 2021-1189 du 15 septembre 2021 portant création du Registre national des entreprises ;
Sur la proposition de M. Philippe-Pierre CABOURDIN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie pour avis, sur le fondement du a du 4° du I de l'article 8 de la loi du 6 janvier 1978 modifiée, d'un projet de décret en Conseil d'Etat relatif au Registre national des entreprises et portant adaptation des autres registres d'entreprises.
Prise pour l'application de l'article 2 de la loi n° 2019-486 du 22 mai 2019 relative à la croissance et la transformation des entreprises (ci-après la loi PACTE), l'ordonnance n° 2021-1189 du 15 septembre 2021 a créé un Registre national des entreprises (ci-après le RNE) ayant pour objet le recueil, la conservation et la diffusion des informations concernant les entreprises.
Le RNE, auquel s'immatriculeront les entreprises exerçant sur le territoire français une activité de nature commerciale, artisanale, agricole ou indépendante, sera tenu par l'Institut national de la propriété industrielle (ci-après l'INPI). L'inscription au registre sera réalisée par l'intermédiaire de l'organisme unique mentionné à l'article L. 123-33 du code de commerce créé par l'article premier de la loi PACTE.
L'ordonnance portant création du RNE prévoit qu'un décret en Conseil d'Etat détermine les modalités d'application des dispositions de la section 5 qu'elle insère au du chapitre III du titre II du livre 1er de la partie législative du code du commerce.
Sur ce fondement, le présent projet de décret a notamment pour objet de :
décrire les informations et pièces composant le RNE déclarées par les entreprises soumises à immatriculation ou inscrites d'office par des autorités habilitées ;
décrire le rôle des autorités en charge de la validation des données déclarées par les entreprises soumises à immatriculation au RNE, en précisant les informations et pièces qui font l'objet d'une validation ;
définir les modalités de tenue du RNE, en fixant notamment, dans ce cadre, la liste des entités ayant accès à l'intégralité des informations du registre pour l'exercice de leurs missions.
De surcroît, le projet de décret dont la Commission est saisie entend modifier :
les dispositions relatives à d'autres registres et répertoires existants - et notamment du répertoire national d'identification des entreprises et de leurs établissements, tenu par l'INSEE (ci-après le répertoire SIRENE) ;
les dispositions relatives à l'organisme unique prévu à l'article L. 123-33 du code de commerce ; et
l'article 2 du décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques (ci-après le NIR) ou nécessitant la consultation de ce répertoire.
Dans ce contexte, le projet de décret appelle les observations suivantes.
Sur les catégories de données traitées
Les articles R. 123-243 et R. 123-253 du code de commerce créés par le projet de décret énumèrent les données à caractère personnel qui sont inscrites, sur déclaration de la personne physique ou de la société à l'occasion de son immatriculation, au sein du RNE.
En premier lieu, la Commission prend acte de ce que la liste des données à caractère personnel communiquées par le déclarant et visées par les articles précités est exhaustive, de telle sorte qu'aucune autre catégorie de données ne pourra être inscrite au registre.
En second lieu, le projet de décret prévoit l'inscription au RNE du NIR sur déclaration de la personne physique ou de la société à l'occasion de son immatriculation.
Dans ce contexte, il ajoute un 18° au D de l'article 2 du décret du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire (ci-après le RNIPP) pour permettre l'utilisation du NIR ou la consultation du RNIPP par le teneur du RNE (l'INPI) en vue d' assurer, s'agissant des chefs d'entreprise, de leurs conjoints et de l'ensemble des personnes physiques composant la gérance de l'entreprise, les échanges d'informations prévus par les articles R. 123-239 et suivants du code de commerce entre le teneur du Registre national des entreprises et les organismes en charge de la sécurité sociale .
La Commission prend note des précisions apportées par le ministère selon lesquelles cette modification autorise le Registre national des entreprises à inscrire en son sein le NIR, et que cette dernière donnée permet d'identifier, dans le cadre des échanges nécessaires aux inscriptions d'office, l'individu concerné parmi ceux inscrits sous le numéro SIREN de l'entreprise.
Elle souligne néanmoins que, conformément au principe de minimisation des données consacré à l'article 5-1-c du règlement général sur la protection des données (ci-après le RGPD), les données à caractère personnel inscrites au registre doivent être limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Elle considère ainsi que, dans la mesure où le traitement d'autres données, dont les données d'état civil, inscrites au registre, permettent d'identifier les personnes concernées, l'inscription du NIR au RNE ainsi que l'accès du teneur du registre à cette donnée ne sont pas justifiés.
Sur l'accès aux données contenues dans le RNE
En premier lieu, le projet de décret précise d'une part les informations et pièces dont l'inscription et le dépôt au RNE sont soumis à validation, et d'autre part les modalités de contrôle du respect, par les entreprises, des conditions nécessaires à l'accès à leur activité ou à l'exercice de celle-ci. Dans ce cadre, le projet d'article R. 123-267 prévoit, en son troisième alinéa, que les informations relatives au numéro d'inscription au répertoire national d'identification des personnes physiques ainsi que les coordonnées téléphoniques et électroniques ne sont pas soumises à validation .
Sans préjudice des observations précédemment formulées sur le traitement du NIR, la Commission prend acte des précisions apportées selon lesquelles cette donnée ne sera pas communiquée dans le cadre de la validation et les coordonnées téléphoniques et électroniques ne seront transmises aux autorités chargées de la validation que pour permettre un échange entre ces dernières et les entreprises.
En deuxième lieu, le projet de décret ajoute au code du commerce un article R. 123-311 qui énumère les autorités, administrations, personnes morales et professions ayant accès, pour l'exercice de leurs missions , à l'intégralité des informations inscrites au RNE, y compris les données à caractère personnel relatives à l'identité et au domicile des personnes physiques mentionnées dans le registre qui ne sont pas mises à la disposition du public.
A cet égard, la Commission prend acte de ce que cet accès ne sera accordé que dans l'exercice de certaines missions propres à chacune de ces entités, et de ce que les données accessibles à ces dernières ne seront utilisées qu'aux seules fins d'identification et de contact des responsables des entreprises, sauf en ce qui concerne l'INSEE et l'organisme unique. Elle invite les responsables des entités accédantes à prendre les mesures nécessaires pour garantir que les données protégées du traitement seront accessibles aux seuls agents investis de ces missions et utilisées aux seules fins précitées.
De manière générale, la Commission rappelle que l'accès de chaque entité aux données du RNE ne faisant pas l'objet d'une mise à disposition du public doit être limité au besoin d'en connaître, et souligne que chacune de ces entités devra s'assurer de la conformité de ses traitements à la règlementation relative à la protection des données personnelles, et en particulier au principe de minimisation des données.
S'agissant des modalités d'accès à ces données, la Commission prend acte de ce qu'une habilitation sera nécessaire au sein de chaque entité pour désigner les personnes disposant d'un accès, et de ce que celle-ci sera transmise à l'INPI lors de l'ouverture du compte dédié à la consultation étendue avec un contrôle de l'adresse de serveur pour l'adresse électronique renseignée.
Enfin, le projet de décret précise que l'information relative au NIR n'est diffusée qu'aux seules autorités, administrations, personnes morales et professions habilitées à en connaître conformément aux dispositions de l'article 2 du décret du 19 avril 2019 précité. S'agissant des mesures mises en place pour garantir que ces seules entités pourront, en pratique, accéder au NIR, et sans préjudice des observations précédemment formulées sur le traitement de cette donnée, la Commission prend acte de ce que le NIR ne sera diffusé que sur justification, apportée par l'autorité concernée, de l'habilitation pertinente.
En troisième lieu, il ressort des précisions apportées par le ministère que des prestataires de l'INPI auront accès aux données contenues dans le RNE. La Commission souligne que les prestations devront s'effectuer dans les conditions prévues à l'article 28 du RGPD et que des conventions devront être conclues avant toute mise en œuvre des traitements.
Sur les droits des personnes concernées
Le projet de décret prévoit que l'opposition du déclarant à la mise à disposition de ses données à des fins de prospection en application de l'article 21-2 du RGPD est portée à la connaissance des administrations et du public.