AgentPublic/cnil huggingface dataset:
La Commission souligne la nécessité de s’assurer de l’effectivité des mesures techniques appropriées permettant, à l’issue de leur collecte, de procéder à la suppression immédiate et automatisée des données considérées comme non pertinentes pour la phase d’exploitation, à défaut de procédés techniques permettant d’opérer un tri suffisant en amont de la collecte. Les méthodes à disposition du PEReN afin d’identifier les données non pertinentes en aval de la collecte, telles que la sélection des contenus par catégorie (publications, commentaires, etc.) ne permettent pas un tri exhaustif. En conséquence la Commission interprète les dispositions du projet de décret comme impliquant que le PEReN devra veiller à supprimer toute donnée non pertinente dès qu’elle sera identifiée comme telle dans le cadre de l’exploitation.
Par ailleurs, s’agissant plus particulièrement des données sensibles et des données d’infraction, leur sensibilité rend nécessaire la mise en œuvre de garanties supplémentaires, en amont de l’opération de collecte.
A cet égard, la Commission prend acte de ce que le PEReN exclut la réalisation d’expérimentation qui conduirait par nature, en raison des finalités poursuivies, à la collecte de telles données. La Commission recommande également de limiter le risque de collecter de telles données en excluant les recherches pouvant mener à leur collecte (lors de la sélection de mots clés, par exemple). 
Sur les catégories de données et technologies utilisées
L’article 6 du projet de décret prévoit l’exclusion de tout recours à un système de reconnaissance faciale lors de la phase de sélection des contenus à collecter, conformément aux dispositions de l’article 36 de la loi n° 2021-1382 du 25 octobre 2021.
D’autres systèmes de reconnaissance biométrique peuvent toutefois présenter certaines des failles connues relatives aux systèmes de reconnaissance faciale, comme la présence de biais dus à un manque de représentativité des données d’entraînement qui peuvent entraîner des risques de discrimination pour les personnes. La Commission recommande ainsi qu’une vigilance particulière soit accordée aux expérimentations traitant des données biométriques comme le gabarit vocal ou tout autre gabarit biométrique de personnes. En tout état de cause aucun traitement de données biométriques aux fins d'identifier une personne physique de manière unique ne devra être mis en œuvre.
De plus, le PEReN a indiqué que des algorithmes d’identification des traits physiques dont la finalité n’est pas l’identification des personnes pourraient être utilisés par le dispositif. La Commission recommande que ces techniques soient soumises à une analyse spécifique portant sur la présence de biais et les risques de discrimination des personnes lors des expérimentations prévues, notamment pour celles qui ont vocation à proposer des outils aux autorités habilitées à recourir au PEReN.
Sur l’information des personnes concernées
L’article 10 du projet de décret prévoit que les personnes concernées sont informées au travers d’annonces écrites publiées sur le site web du PEReN.
Le ministère entend ainsi déroger, par application des dispositions de l’article 14.5.b du RGPD, à l’obligation d’informer les personnes concernées de manière individuelle ; une telle obligation exigerait, en effet, des efforts disproportionnés et conduirait à la collecte ou à la conservation des données d'identification alors que celles-ci ne seront pas toujours collectées et, lorsqu’elles le seront, feront l’objet d’une suppression rapide ou, a minima, d’une pseudonymisation.
Le projet de décret prévoit des mesures appropriées pour protéger les droits, les libertés et les intérêts légitimes des personnes concernées, conformément à l’article 14.5.b du RGPD : une information générale sera délivrée sur le site web du PEReN présentant notamment les différentes expérimentations, les sources de collecte et les droits des individus liés à la protection de données à caractère personnel les concernant. Sur ce point, la Commission insiste sur la nécessité de délivrer une information compréhensible par le plus grand nombre afin de permettre aux internautes de prendre conscience des conditions précises dans lesquelles les données à caractère personnel les concernant sont susceptibles d’être collectées à tout moment. D’autres mesures sont prévues par le projet de décret, telles que la réalisation d’une AIPD pour chaque expérimentation ou encore l’application, le cas échéant, de techniques de pseudonymisation.
Sur le périmètre de l’exercice du droit d’opposition
L’article 10 du projet de décret prévoit que le droit d’opposition s’exercera dans les conditions prévues à l’article 21 du RGPD.
La Commission considère que, pour assurer son effectivité, le droit d’opposition doit pouvoir concerner l’ensemble des expérimentations ayant vocation à être mises en œuvre sans qu’il soit nécessaire, pour les personnes concernées, de renouveler l’exercice de leur droit pour chaque traitement de données à caractère personnel réalisé dans le cadre des expérimentations. Dès lors, elle invite le ministère à compléter le projet de décret pour clarifier la portée du droit d’opposition.
Sur la conservation des journaux
Le 5° de l’article 7 du projet de décret prévoit les modalités de journalisation des traces et précise que ces informations seront conservées pendant trois ans.
La Commission considère que cette durée de conservation est excessive au vu de la durée de conservation prévue de neuf mois pour les données à caractère personnel collectées dans le cadre du traitement. En effet, la conservation des traces de journalisation après la suppression des données visées par cette journalisation ne paraît pas utile au-delà d’une durée transitoire permettant leur exploitation. La Commission recommande ainsi que les traces soient conservées pour une durée d’au maximum un an après leur journalisation pour tenir compte de cette durée transitoire.
Par ailleurs, le ministère a indiqué qu’aucun traitement automatisé des traces de journalisation n’était actuellement mis en place. La Commission recommande fortement de réaliser un contrôle des traces de manière automatique, afin de détecter d’éventuels comportements anormaux et de générer des alertes, le cas échéant.
Les autres dispositions du projet de décret, notamment celles sur les durées de conservation, n’appellent pas d’observation supplémentaire de la part de la Commission.
FORMULE LES OBSERVATIONS SUIVANTES QUANT AUX CONDITIONS DE MISE EN ŒUVRE :
Sur les données d’identification déclarées par les titulaires de comptes
L’article 6 du projet de décret prévoit que les données d’identification déclarées par les titulaires de comptes sont susceptibles d’être collectées.
Selon le PEReN, ces données peuvent représenter des informations utiles pour certaines expérimentations, à partir desquelles peuvent être dérivées des variables prédictives (à titre illustratif, la présence de caractères numériques dans l'identifiant d'un compte de réseau social est un indicateur du caractère automatique d'un compte).
Le ministère a toutefois précisé que, lorsque la finalité de l’expérimentation le permet, ces données doivent faire l’objet d’une pseudonymisation. Le cas échéant, la Commission recommande que la pseudonymisation soit effectuée juste après la collecte des données et que le recoupement, sur plusieurs plateformes en ligne, à partir des identifiants collectés, ne soit possible qu’après avoir conduit une analyse documentée dans l’AIPD afin de mettre en balance l’intérêt de ce recoupement et les risques pour les droits et libertés des personnes concernées.
Sur les modalités concrètes de mise en œuvre d’exercice des droits
L’article 10 du projet de décret prévoit que l’ensemble des droits consacrés par le RGPD s’exerceront auprès du chef du PEReN.
En premier lieu, la Commission relève que lorsque le PEReN ne sera pas en mesure d’identifier la personne concernée, l’article 11 du RGPD permettra d’écarter l’application de ces droits sans préjudice de la possibilité, pour les personnes concernées, d’apporter des informations complémentaires à des fins de réidentification aux fins d’exercice de leurs droits.
En deuxième lieu, s’agissant plus précisément du droit d’opposition, le PEReN prévoit de constituer une " liste repoussoir " qui permettrait aux personnes concernées de s’opposer à la collecte de leurs données sur les plateformes en ligne en fournissant leurs données d’identification sur les plateformes en amont des expérimentations.
La Commission considère que la mise en œuvre d’une telle liste contribue à assurer l’effectivité d’un droit d’opposition préalable sous réserve des observations suivantes.
Tout d’abord, elle recommande la mise en œuvre de mesures techniques et organisationnelles permettant d’assurer le respect des principes de minimisation des données et de protection des données dès la conception. Ainsi, afin de limiter l’impact que pourrait avoir la divulgation accidentelle ou la perte d’une telle liste au profit d’un attaquant, elle recommande au PEReN de ne conserver que les seules empreintes cryptographiques des identifiants des personnes concernées, en supprimant tout lien entre les identifiants d’une même personne afin d’empêcher le recoupement des identifiants utilisés par une même personne sur les plateformes, ainsi que la suppression immédiate des données brutes.
Ensuite, ces informations, qui restent des données à caractère personnel, devront être conservées dans le respect du principe de limitation de la conservation. Compte tenu du fait que les expérimentations menées par le PEReN ont vocation à être mises en œuvre de manière indéterminée dans le temps, elle recommande d’offrir aux personnes concernées la possibilité de s’opposer pour différentes durées plus ou moins longues. A titre d’exemple, la personne concernée pourra faire son choix parmi différentes durées de conservation prédéterminées par le PEReN (par exemple, de quelques mois à quelques années). En tout état de cause, les personnes concernées devront être informées de la durée de conservation afin d’assurer une transparence sur le traitement de données mis en œuvre dans le cadre de la " liste repoussoir ".
Enfin, la Commission rappelle que le droit d’opposition doit pouvoir s’exercer à tout moment et que le PEReN devra prévoir des modalités de suppression des données conservées en base.
Sur la sécurité du système
Le PEReN a indiqué que les données collectées pourraient être accessibles aux agents habilités en dehors du réseau de son ministère de tutelle. La Commission recommande la mise en place d’un mécanisme de double authentification.
Le PEReN a également indiqué que l’utilisation de traitements algorithmiques d’ " intelligence artificielle " était prévue. La Commission souligne qu’au vu des difficultés que ce type d’algorithmes peut poser en termes d’explicabilité, leur utilisation sur des données à caractère personnel doit faire l’objet d’une revue particulière afin d’en identifier les limites potentielles avant le déploiement de l’outil faisant l’objet d’une expérimentation. La Commission recommande ainsi, lorsque cela ne nuirait pas à l’expérimentation, que les algorithmes utilisés soient publiés et soumis à un procédé de revue par les pairs.
Par ailleurs, en application du principe de moindre privilège, la Commission recommande de séparer les habilitations d’accès aux données et celles relatives à la maîtrise technique des outils de collecte (ces dernières permettant notamment la sélection des catégories de données à collecter et de celles devant être supprimées immédiatement après la collecte).
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret portant modification du titre IV du livre II du code de la sécurité intérieure ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son titre III ;
Vu la décision du Conseil constitutionnel n° 2021-817 DC du 20 mai 2021 ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie, conformément à l’article 33-II de la loi du 6 janvier 1978 modifiée, par le ministère de l’intérieur d’une saisine rectificative relative à un projet de décret portant modification du titre IV du livre II du code de la sécurité intérieure (CSI) relatif aux caméras individuelles des agents de la police et de la gendarmerie nationales.
Dans sa délibération n° 2022-005 du 20 janvier 2022, la Commission a déjà eu à se prononcer sur ce projet de décret ; elle regrette que certaines de ses observations n’aient pas été prises en compte à ce stade, notamment celle visant à ce que la garantie selon laquelle il n’y aura pas de mises en relation automatisées ou d’interconnexions avec d’autres traitements de données à caractère personnel soit précisée dans le projet de décret, ainsi que celle visant à ce que des critères repris de la décision du Conseil constitutionnel n° 2021-817 du 20 mai 2021 soient mentionnés dans le projet de décret définissant les circonstances qui interdisent d’informer les personnes concernées avant le déclenchement de la caméra. Elle réitère donc lesdites observations.
L’article 14 de la loi n° 2022-052 du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure a modifié l’article L. 241-1 du CSI, d’une part, en précisant que l’intégrité des enregistrements est garantie jusqu’à leur effacement et, d’autre part, en réduisant la durée de conservation des enregistrements audiovisuels de six à un mois. Le projet de décret rectificatif a été complété sur les deux points précités afin de prendre en compte l’entrée en vigueur de cette loi.
Le ministère a également souhaité apporter des précisions afin de clarifier le fonctionnement du mode " sécurité " des caméras.
 
Sur la compatibilité du dispositif retenu avec l’article L. 241-1 du CSI
S’agissant des caméras en cause, la Commission comprend, à la lumière de l’ensemble des éléments transmis par le ministère dans le cadre de cette saisine et de la précédente, qu’il y aura trois modes de fonctionnement des caméras :
le mode " normal " qui filme, enregistre, et supprime en continu l’enregistrement datant de plus de trente secondes, pour ne conserver en mémoire que les trente dernières secondes de mémoire tampon. Un signal lumineux vert fixe caractérise ce mode ;
le mode " caméra activée " qui filme, enregistre en continu, et conserve les enregistrements, y compris les trente secondes de vidéo enregistrées avant le déclenchement de ce mode. Dans ce mode, un signal lumineux (deux voyants rouges qui clignotent) et sonore est activé. L’enregistrement porte donc sur toute la période pendant laquelle le signal lumineux est visible, ainsi que les trente secondes précédentes issues de la mémoire tampon ;
le mode " sécurité " qui filme, enregistre, et supprime en continu l’enregistrement datant de plus de trente secondes, et pour lequel le signal lumineux est éteint. Le ministère indique que ce mode est utilisé dans certaines circonstances particulières, notamment lorsqu’il s’agit de désactiver les éléments sonores ou lumineux pouvant alerter un adversaire et guider des tirs hostiles.
Il ressort de ces éléments que les caméras, quel que soit le mode utilisé, procède à un enregistrement temporaire dans une mémoire tampon de trente secondes. Il en ressort également que la caméra ne peut être désactivée, de sorte que ces trois modes sont les seules possibilités offertes aux agents (pas d’extinction possible de la caméra par exemple). En outre, dans le cas où, une fois les agents porteurs revenus dans leur unité, les enregistrements sont par la suite transférés sur la station de stockage dédiée, les données conservées comprendront bien l’enregistrement réalisé lorsque la caméra est activée ainsi que les trente secondes qui précèdent cette activation. En revanche, si la caméra n’a pas été activée durant l’intervention, aucun enregistrement de la mémoire tampon ne sera conservé ni transféré sur la station de stockage.
Ainsi que cela a été souligné par le gouvernement, ce mode de fonctionnement des caméras était déjà connu de la Commission. Il avait en effet été constaté lors de contrôles antérieurs opérés par les services de la CNIL. L’existence d’une mémoire tampon et le fait que les trente seconde précédant l’activation de la caméra sont conservées en cas d’enregistrement n’avaient à l’époque pas donné lieu à des observations ou à une mise en demeure de la CNIL. Consciente de ce que ces échanges antérieurs n’ont pas permis d’alerter le ministère sur une éventuelle difficulté à ce sujet, le collège de la Commission ne peut cependant, à l’examen du dossier qui lui est soumis, que souligner qu’il s’interroge sur la compatibilité de ce mode de fonctionnement avec l’article L. 241-1 du CSI.
Il résulte en effets des dispositions de cet article que l’enregistrement par les caméras ne doit pas être permanent, qu’un signal visuel spécifique doit indiquer que la caméra est en train d’enregistrer et que le déclenchement de l'enregistrement doit faire l'objet d'une information des personnes filmées, sauf si les circonstances l'interdisent.
Quoique le dispositif, tel que décrit ci-dessus, conduise techniquement la caméra à procéder en permanence à un enregistrement de trente secondes dans une mémoire tampon, la Commission admet, comme le soutient le gouvernement, que la disposition de l’article L. 241-1, qui interdit qu’une caméra individuelle portée par un policier ou gendarme enregistre en permanence, vise à empêcher qu’un enregistrement de toute la durée d’une intervention puisse être conservé et consulté. Dans la mesure où, en l’espèce, l’enregistrement datant de plus de trente secondes est supprimé de manière systématique de la mémoire tampon, de sorte que si un agent n’a pas activé la caméra durant son intervention aucun enregistrement ne sera consultable et que, s’il l’a activée, seul un enregistrement de la durée d’activation augmentée de trente seconde sera conservé, la Commission admet que l’utilisation de cette mémoire tampon ne constitue pas un enregistrement permanent au sens de l’article L. 241-1 du CSI.
Cependant, la Commission s’interroge sur la conformité à l’article L. 241-1 du CSI de l’information visuelle et vocale qui est fournie aux personnes filmées. En effet, d’une part, il est prévu par l’article L. 241-1 du CSI qu’" un signal visuel spécifique indique si la caméra enregistre ". Le signal lumineux utilisé étant différent entre les modes " caméra activée " et " normal ", et inexistant dans le mode " sécurité ", il en résulte que, lorsque la caméra est activée, l’enregistrement des trente secondes précédant son activation est conservé alors que, pendant cette période, le signal lumineux avait indiqué une absence d’enregistrement, ou qu’il n’y avait aucun signal lumineux (si on était en mode sécurité).
D’autre part, l’article L. 241-1 du CSI prévoit que le déclenchement de l'enregistrement fait l'objet d'une information des personnes filmées, sauf si les circonstances l'interdisent. La Commission s’interroge sur la compatibilité du dispositif projeté avec cette disposition, éclairée par la décision du 20 mai 2021 précitée, dans laquelle le Conseil constitutionnel a relevé, d’une part, que cette information se fait " lors du déclenchement " de l’enregistrement et, d’autre part, que, si l’article L. 241-1 du CSI permet que le déclenchement de l'enregistrement puisse, par exception, ne pas faire l'objet d’une information des personnes concernées lorsque "les circonstances l'interdisent ", ces circonstances recouvrent les seuls cas où cette information est "rendue impossible pour des raisons purement matérielles et indépendantes des motifs de l'intervention ". Or la Commission relève que l’enregistrement des trente secondes précédant le déclenchement de la caméra ne fait pas l’objet d’une information concomitante. Si le gouvernement souligne que l’information orale qui sera donnée pourra préciser qu’un enregistrement des trente secondes précédentes sera conservé, cette information, outre les difficultés pratiques que sa complexité pourrait entraîner pour les agents lors des opérations, intervient, par définition, après que l’enregistrement a été déclenché et réalisé.
Sur la modification de la durée de conservation des données et sur l’intégrité des enregistrements
Les modifications projetées, qui visent à prendre en compte l’article 14 de la loi n° 2022-052 du 24 janvier 2022 précitée, n’appellent pas d’observation de la part de la Commission. 
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la Direction de la recherche, des études, de l’évaluation et des statistiques d’une demande d’avis portant sur un projet de décret portant extension aux pensions d’invalidité et d’incapacité permanente du champ des échantillons inter-régimes de cotisants et de retraités ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code de la sécurité sociale, notamment ses articles R. 161-59 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Sur la proposition de M. Philippe GOSSELIN commissaire, et après avoir entendu les observations de Benjamin TOUZANNE, commissaire du Gouvernement,
Étant rappelés les éléments de contexte suivants :
La Direction de la recherche, des études, de l’évaluation et des statistiques (DREES) est en charge du traitement de l’échantillon inter-régimes de cotisants (EIC) et de l’échantillon inter-régimes de retraités (EIR), fondés sur la base légale de la mission d’intérêt public prévue à l’article 6-1-e) du RGPD.
La mise en œuvre de l’EIC et de l’EIR a été autorisée par le décret n° 2003-686 du 22 juillet 2003 relatif à l’échantillon inter-régimes de cotisants et à l’échantillon inter-régimes de retraités modifiant le code de la sécurité sociale, codifié aux articles R. 161-59 à R. 161-69 du code de la sécurité sociale.
L’EIC est un panel pseudonymisé permettant d’étudier les droits à la retraite acquis dans l’ensemble des régimes par un échantillon de personnes de différentes générations qui cotisent ou ont cotisé à un régime de retraite au cours de leur carrière.
L’EIR est un panel permettant d’observer l’évolution du nombre et de la composition du groupe des retraités, de décrire les conditions de départ à la retraite ainsi que de reconstituer le montant moyen global de pension par retraité. Plus précisément, ce traitement a pour objectifs la production de statistiques et le pilotage de la mise en œuvre des politiques s’assurance vieillesse à partir des données traitées.
Etudiés conjointement, les deux échantillons permettent d’analyser les passages de l’emploi à la retraite et de réaliser des projections.