AgentPublic/cnil huggingface dataset:
Cette nouvelle saisine a permis à la Commission, d’une part, de constater que les principales recommandations formulées dans son précédent avis avaient été prises en compte et, d’autre part, d’émettre plusieurs observations tant sur le projet de décret que sur les conditions opérationnelles de déploiement de l’application :
la Commission a estimé dans un deuxième avis en date du 25 mai 2020, que l’application pouvait être légalement déployée dès lors qu’elle apparaît être un instrument complémentaire du dispositif de suivi des contacts manuels et qu’elle permet des alertes plus rapides en cas de contact avec une personne contaminée, y compris pour des contacts avec des personnes inconnues. La Commission a cependant mis en avant la nécessité d'évaluer, de manière dynamique, l'impact effectif du dispositif sur la stratégie sanitaire globale afin de s’assurer de son utilité au cours du temps. La durée de mise en œuvre du dispositif devra ainsi être conditionnée aux résultats de cette évaluation régulière ;
compte tenu de la sensibilité de l’application, la Commission a formulé plusieurs recommandations parmi lesquelles :
	
l’amélioration de l’information fournie aux utilisateurs, en particulier s’agissant des conditions d’utilisation de l’application et des modalités d’effacement des données personnelles ;
la nécessité de délivrer une information spécifique pour les mineurs et les parents des mineurs ;
la consécration, dans le décret à venir, d’un droit d’opposition et d’un droit à l’effacement des données pseudonymisées enregistrées tant sur l’ordiphone de l'utilisateur que sur le serveur central ;
l'opportunité de développer une technologie alternative à celle utilisée pour vérifier que l'application est bien utilisée par une personne physique. En effet, le recours à un système de "captcha" fourni par un tiers était non seulement susceptible d'entraîner la collecte de données à caractère personnel non prévues dans le décret, mais également d'entraîner le transfert de données hors de l'Union européenne ainsi que des opérations de lecture/écriture qui nécessiterait un consentement de l'utilisateur ;
le libre accès à l’intégralité du code source de l’application mobile et du serveur.
 
La publication du décret n° 2020-650 du 29 mai 2020 a permis à la Commission de constater que de nombreuses observations ont été suivies par le gouvernement : la liste des données collectées a été complétée, le droit d’opposition et le droit à l’effacement ne sont plus écartés par le texte, les sous-traitants ont été mentionnés au titre des accédants ou destinataires des données à caractère personnel dont ils auront besoin de connaître, la notion de code informatique a été remplacée par la notion de code source .
II - SUR LE MAINTIEN DES DISPOSITIFS AU REGARD DES PRICNCIPES DE NECESSITE ET DE PROPROTIONNALITE
Comme souligné par la Commission dans ses différents avis, le caractère dérogatoire des différents traitements mis en œuvre ne peut être justifié que si leur utilité est suffisamment avérée au regard de l’évolution sanitaire du pays.
La gravité de la crise liée à la situation sanitaire créée par l’épidémie de COVID-19, d’une ampleur exceptionnelle, a conduit le Gouvernement à ne laisser de côté aucun outil permettant de lutter contre l’épidémie. Cette lutte, qui relève de l’objectif à valeur constitutionnelle de protection de la santé, constitue un impératif majeur de nature à justifier, dans certaines conditions, des atteintes au droit à la protection de la vie privée et des données à caractère personnel.
La Commission rappelle néanmoins que les protections constitutionnelle et conventionnelle du droit au respect de la vie privée et à la protection des données à caractère personnel, assises notamment sur la Charte des droits fondamentaux de l’Union européenne et la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, imposent que les atteintes portées à ces droits par les autorités publiques soient non seulement justifiées par un motif d’intérêt général, comme cela est le cas en l’espèce, mais soient également nécessaires et proportionnées à la réalisation de cet objectif.
En outre, elle rappelle le caractère sensible, par nature, de la mise en œuvre de tels dispositifs qui permettent notamment le traitement et le partage de données de santé, pouvant être consultées par un grand nombre d’acteurs et nécessitant une protection supplémentaire.
Le principe de proportionnalité implique également de ne porter atteinte aux droits à la vie privée et à la protection des données à caractère personnel que pendant la durée strictement nécessaire à l’atteinte de l’objectif poursuivi. À cet égard, la Commission a pris acte du caractère temporaire de ces dispositifs, dont le terme de mise en œuvre est fixé par les décrets encadrant leur création, à six mois à compter de la fin de l’état d’urgence sanitaire, soit au 11 janvier 2021.
Si l’évaluation de la nécessité de maintenir ces dispositifs n’appartient pas à la Commission au titre de ses missions, elle a conscience que l’appréciation de leur utilité est délicate et qu’elle doit pouvoir tenir compte, le cas échéant, de possibles périodes de recrudescence de l’épidémie. Elle estime pour autant cette évaluation essentielle dès lors que ces dispositifs ne sont admissibles que s’ils contribuent utilement à la politique sanitaire et demande au Gouvernement d’y veiller.
À cet égard, la Commission souscrit à la demande du Comité de contrôle et de liaison COVID-19 dans son rapport annexé au rapport du Gouvernement adressé au Parlement, de disposer d'indicateurs de performance des systèmes d’information déployés, afin de pouvoir mesurer leur efficacité au regard des objectifs poursuivis. Elle estime qu’une grille d’analyse devrait être établie au regard d’indicateurs d’efficacité sanitaire.
 
En outre, la Commission avait demandé, dans son avis du 25 mai 2020 relatif à l’application mobile STOPCOVID, que l’impact effectif du dispositif sur la stratégie sanitaire globale soit étudié et documenté par le Gouvernement de manière régulière pendant toute sa période d’utilisation.
Il a cependant été constaté, au jour des contrôles, que l’évaluation formelle de l’effectivité de l’application n’avait pas encore débuté et que le calendrier du travail d’évaluation n’avait pas encore été établi par le ministère.
À ce titre, et sans à ce stade remettre en cause l’utilité de ces dispositifs, la Commission regrette que le rapport du Gouvernement adressé au Parlement le 9 septembre 2020 ne fasse pas état d’éléments plus précis justifiant de la nécessité de maintenir ces traitements au regard du contexte sanitaire actuel. La Commission a conscience que le déploiement de ces dispositifs est récent et que le Gouvernement dispose de peu de recul sur leur fonctionnement. Elle a également conscience que ces dispositifs ont été mis en œuvre au moment où l’épidémie diminuait et qu’un regain est actuellement en cours. Toutefois, elle estime que cette évaluation est indispensable et urgente au regard notamment des risques inhérents à ces traitements pour les droits et libertés des personnes.
 
A titre d’exemple, si le rapport mentionne le nombre de téléchargements de l’application mobile STOPCOVID, il ne permet pas d’apprécier suffisamment l’impact effectif de ce dispositif dans la lutte contre l’épidémie (absence d’analyse relative aux statistiques d’usage, aux résultats d’éventuelles enquêtes menées auprès des utilisateurs, professionnels ou grand public, au nombre de cas identifiés grâce à l’application).
La Commission rappelle que ces fichiers sont mis en œuvre aux fins de lutter contre la propagation de l’épidémie de COVID-19 pour la durée strictement nécessaire à cet objectif ou, au plus, pour une durée de six mois à compter de la fin de l'état d'urgence sanitaire déclaré par l'article 4 de la loi n° 2020-290 du 23 mars 2020. Toute prorogation de ces systèmes d’information au-delà du 11 janvier 2021 ne pourra donc être autorisée que par la loi.
En outre, la Commission rappelle qu’elle devra être saisie de toute modification apportée au décret relatif aux systèmes d’information SI-DEP et CONTACT COVID. 
De même, les données à caractère personnel collectées par ces systèmes d'information ne peuvent être conservées à l'issue d'une durée de trois mois après leur collecte à l’exception des données collectées à des fins de surveillance épidémiologique aux niveaux national et local, pour la recherche sur le virus et les moyens de lutter contre sa propagation, pour lesquels une durée de conservation maximale de six mois à compter de la fin de l’état d’urgence sanitaire a été fixée par le décret n° 2020-1018 du 7 août 2020.
III- APPRÉCIATION DE LA COMMISSION SUR LES CONDITIONS OPÉRATIONNELLES DE MISE EN ŒUVRE DES TRAITEMENTS
En parallèle de sa mission de conseil et d’accompagnement à la conformité, la Commission peut contrôler les organismes afin de vérifier les conditions concrètes de mise en œuvre de tout traitement des données personnelles. Ces contrôles peuvent s’effectuer en ligne, par des auditions, sur pièces ou sur place.
Ainsi, conformément à ce qu’elle avait annoncé lors de son audition publique devant l’Assemblée nationale le 5 mai 2020, la présidente de la Commission a décidé de faire procéder à une série de contrôles des dispositifs SI-DEP et CONTACT COVID et de l’application STOPCOVID2.
 
La campagne de contrôles menée par la Commission a vocation à s’effectuer en plusieurs étapes, à différents moments de la mise en œuvre des trois dispositifs précités. Le présent avis comporte des éléments synthétiques issus des constatations opérées par la Commission lors de la première phase de vérifications ainsi que des échanges réguliers qui ont lieu avec le ministère des solidarités et de la santé et les autres acteurs impliqués, notamment la CNAM et les agences régionales de santé (ARS).
o Le contrôle des fichiers SI-DEP et CONTACT COVID :
Les investigations sont menées simultanément sur les traitements SI‑DEP et CONTACT COVID depuis le mois de juin 2020 et donnent lieu à des réunions, des auditions et des contrôles sur place et sur pièces auprès des différents acteurs.
Pour le traitement SI-DEP, des contrôles sur pièces et sur place ont eu lieu auprès du ministère des solidarités et de la santé, de l’Assistance Publique des Hôpitaux de Paris (AP-HP), qui gère la mise en œuvre opérationnelle du traitement SI-DEP et des laboratoires privés afin d’opérer des vérifications relatives à l’accueil des patients.
Pour le traitement CONTACT COVID, des contrôles sur pièces, sur audition et sur place ont eu lieu auprès d’un établissement de santé, d’une caisse primaire d‘assurance maladie (CPAM), d’une ARS, du Conseil national de l’ordre des médecins (CNOM) et du Conseil national de l’ordre des pharmaciens (CNOP).
Les points de vérification ont principalement porté sur :
les modalités de recueil de consentement et d’information des personnes ;
la sécurité des systèmes d’information ;
les flux de données et les destinataires ;
le respect des droits d’accès ou d’opposition des personnes.
Le Fichier SI-DEP 
À ce stade des vérifications opérées par la Commission, et sous réserve de la finalisation de l’instruction de la procédure, les missions de contrôle menées auprès de l’AP-HP et de laboratoires de biologie médicale ont permis de constater un niveau global de conformité satisfaisant.
Les services ont relevé le soin porté au respect de la règlementation relative à la protection des données en dépit du contexte de crise sanitaire mobilisant fortement les ressources hospitalières, ainsi que d’un calendrier de mise en œuvre très court au vu de l’ampleur du projet (plus de 4 500 laboratoires connectés, 4,2 millions de tests enregistrés à la fin juillet).
Les équipes de contrôle ont constaté la mise en œuvre des bonnes pratiques suivantes :
les catégories de données collectées sont limitées à ce que prévoit le décret portant création du traitement. L’AP-HP a défini les champs à renseigner obligatoirement afin d’assurer l’uniformité des fiches patient et le traitement de données fiables malgré la multiplicité d’intervenants dans le traitement ;
un effort très important a été fourni afin de sensibiliser l’ensemble des acteurs de la chaîne du traitement aux enjeux de protection des données concernant le traitement (diffusion de guides adaptés aux différents logiciels de gestion interconnectés avec SI‑DEP utilisés par les laboratoires, collaboration étroite avec les éditeurs des logiciels en vue de leur évolution) ;
les destinataires des données correspondent à ceux prévus par les textes. Chaque organisme accédant au fichier a désigné un administrateur local, en charge de délivrer les habilitations aux utilisateurs de la solution au sein de son organisation. Ce principe de délégation d’habilitations attribuées aux utilisateurs de l’outil permet d’assurer un cloisonnement et une granularité des accès aux données à caractère personnel garantissant leur confidentialité ;
la mise en œuvre de moyens importants permettant d’assurer l’information des personnes concernées du traitement de leurs données et ce pour les différents points de contact possibles avec les patients ;
enfin, la documentation des traitements exigée en vertu des dispositions du RGPD (registre des activités de traitement, analyse d’impact sur la protection des données, registre des violations de données, etc.) est mise à jour dès que nécessaire.
S’agissant de la sécurité des données, le niveau atteint dans le cadre du dispositif SI-DEP est globalement satisfaisant, notamment en raison de l’utilisation de solutions logicielles déjà éprouvées et maîtrisées par l’AP-HP. En particulier, la procédure permettant aux patients d’accéder au résultat de leur test repose sur une authentification forte, évitant la divulgation de leurs données de santé à travers des canaux non sécurisés. En outre, une veille est menée sur les incidents de sécurité, pouvant entraîner une violation de données à caractère personnel, et les anomalies détectées sont tracées avec attention. Toutefois, quelques améliorations restent à apporter concernant la gestion des comptes d’administration et de la traçabilité des accès.
En l’état actuel des vérifications, la Commission se rapprochera dans les tous prochains jours du ministère des solidarités et de la santé afin d’attirer son attention sur les pratiques à améliorer et les mesures à prendre en conséquence.
Le Fichier Contact covid
Lors des contrôles, les équipes de la Commission ont constaté que le téléservice CONTACT COVID, expressément conçu et développé par la CNAM pour assurer le suivi des cas contact , bénéficie d’évolutions régulières pour répondre aux demandes d’amélioration des différents utilisateurs (ARS, professionnels de santé exerçant en libéral, établissements de santé, etc.).
Le traitement CONTACT COVID permet aux médecins de ville/établissements de santé/centres de santé (niveau 1), au personnel habilité de l’assurance maladie (niveau 2) et aux ARS (niveau 3) de recueillir des informations sur les cas contact et les chaînes de contamination. Les équipes de contrôle ont constaté des niveaux de maturité en matière de protection des données à caractère personnel différents en fonction des organismes.
D’une manière générale, il ressort des contrôles que ces organismes ont mené des actions pour prendre en compte les exigences liées à la protection des données. Ils ont, pour la plupart, bien pris conscience que ce dispositif impliquait la collecte de données de santé, qui sont des données sensibles par nature et qui nécessitent dès lors une protection supplémentaire.
À cet égard, certaines bonnes pratiques, mises en œuvre dans un délai contraint et des conditions sanitaires exceptionnelles, doivent être soulignées :
l’élaboration par la CNAM, de guides méthodologiques à destination des acteurs intervenant à chaque niveau du dispositif (médecins pour le niveau 1, personnels habilités de l’assurance maladie pour le niveau 2, ARS pour le niveau 3 ainsi que les laboratoires et pharmaciens). Ces guides permettent aux acteurs impliqués dans le téléservice de comprendre le contexte de mise en œuvre du traitement et les fonctionnalités du service ;
la réalisation, par certains organismes contrôlés, d’analyses d’impact relatives à la protection des données et la mise à jour en conséquence du registre des activités de traitements relatifs à CONTACT COVID ;
l’accès sécurisé au téléservice par les acteurs engagés dans le dispositif de contact tracing au moyen d’un mécanisme
d’identification et d’authentification forte est satisfaisant (ex : accès par les agents de l’assurance maladie au moyen d’une carte à puce).
 
Des mauvaises pratiques ont également été relevées :
dans le cadre des vérifications effectuées auprès d’un établissement de santé, il est apparu que les informations délivrées aux patients 0 et aux cas contacts sur les traitements (finalité, durée de conservation des données, destinataires des informations, etc.) sont parfois parcellaires,
en l’absence de remise d’un support d’information délivré par la CNAM
. Or, une information incomplète ne permet pas aux patients 0 et aux cas contacts de prendre pleinement connaissance du traitement qui est opéré sur leurs données et des droits qu’ils détiennent à cet égard (droit d’accès ou d’opposition le cas échéant). Au 25 juin 2020, il a cependant été relevé que 42% des patients 0 qui ont déclaré des cas contacts ont exercé leur droit d’opposition à la communication de leur identité à au moins un contact et que 21% d’entre eux en ont refusé la diffusion à l’ensemble de leurs contacts ;
dans une ARS, les équipes de contrôle de la Commission ont constaté qu’
aucune procédure d’exercice des droits informatique et libertés  à destination des patients 0 et des cas contacts n’a été formalisée ; 
il a été constaté que des CPAM ont adressé des données de santé par courriels à destination d’une ARS sans avoir recours à une messagerie sécurisée ;
il a été constaté dans un établissement hospitalier que, sur instruction de la CNAM, il a été procédé à l’envoi occasionnel de données de santé inscrites dans des fichiers distincts du système d’information principal ce qui conduit à l’éparpillement de fichiers et ne permet pas une gestion satisfaisante de la durée de conservation des données.
Des premiers échanges ont eu lieu entre la CNAM et la Commission sur les différentes pratiques constatées lors de cette première phase de contrôle. La Commission est consciente de la difficulté, à ce stade, pour le responsable de traitement de s’assurer de la correcte application des règles de protection des données personnelles par l’ensemble des organismes appelés à participer au traitement dans un très grand nombre de lieux. Elle souligne également que les contrôles ont été effectués au tout début de la mise en œuvre des traitements encore en cours d’évolution. Il a été décidé d’adresser dans les prochains jours, une demande de mise en conformité dans les plus brefs délais à chaque organisme impliqué (CNAM, ARS, ministère de la santé). À défaut de se conformer aux exigences du RGPD, il appartiendra à la Présidente de la Commission de déterminer si l’adoption d’une mesure correctrice est nécessaire.
o Le contrôle de l’application STOPCOVID :
Le 2 juin 2020, l’application STOPCOVID a été déployée par le ministère des solidarités et de la santé dans les magasins d’applications accessibles au grand public.
Des vérifications sur cette application ont alors été diligentées auprès du ministère des solidarités et de la santé, responsable de ce traitement, mais également auprès d’autres organismes impliqués dans sa mise en œuvre dont notamment l’Institut national de recherche en sciences et technologies du numérique (INRIA), qui a conçu le protocole sur lequel repose l’application et qui agit en tant qu’assistant à maitrise d’œuvre.
 
Les points de vérification ont notamment porté sur :
les modalités de recueil de consentement et d’information des personnes ;
la sécurité des systèmes d’information ;
les flux de données et les destinataires ;
le respect des droits d’accès ou d’opposition des personnes et organismes impliqués dans la mise en œuvre des traitements.
Les contrôles réalisés ont permis de constater que le fonctionnement de l’application mobile STOPCOVID respecte pour l’essentiel les dispositions applicables relatives à la protection des données à caractère personnel et que la plupart des préconisations formulées par la Commission dans ses avis des 24 avril et 25 mai 2020 ont été pris en compte par le ministère des solidarités et de la santé.
Lors des contrôles, certains manquements aux dispositions du RGPD et de la loi informatique et libertés  ont été constatés dans la première version de l’application dite v1.0. Concomitamment au contrôle de la Commission, le ministère a rapidement déployé une deuxième version de l’application dite v1.1 afin d’apporter des changements sur la manière dont les données sont traitées.
Au regard des manquements constatés, le ministère des solidarités et de la santé a été mis en demeure le 15 juillet 2020, dans le délai d’un mois, de :
cesser de transmettre les données de toutes les personnes avec lesquelles l’utilisateur a été en contact au serveur central, par exemple en forçant la mise à jour de l’application STOPCOVID vers la nouvelle version v1.1 par le blocage de l’application dans sa version v1.0 ;
compléter l’information fournie aux utilisateurs de l’application STOPCOVID, en fournissant aux utilisateurs une information complète sur les destinataires ou catégories de destinataires des données à caractère personnel issues de l’application ;
veiller à ce que les contrats de sous-traitance conclus dans le cadre de l’exploitation de l’application STOPCOVID contiennent les mentions prévues à l’article 28 du RGPD ;
compléter l’AIPD issue de l’application STOPCOVID conformément à l’article 35 du RGPD :
en mentionnant la collecte de l’adresse IP de l’équipement mobile de l’utilisateur de l’application dans le cadre des mesures de sécurité du système reposant sur la solution DDOS de la société ORANGE ;
en mentionnant la collecte des informations présentes sur l’équipement mobile de l’utilisateur dans le cadre de la technologie reCaptcha de la société GOOGLE déployée dans le cadre de la version v1.0 de l’application, dans l’hypothèse où ces données seraient encore collectées ;
veiller, le cas échéant, à informer et recueillir le consentement des personnes concernées aux actions de lecture et d’écriture des informations présentes sur les terminaux de communication électronique par la société GOOGLE dans le cadre de la technologie reCaptcha (version v1.0 de l’application), conformément aux dispositions de l’article 82 de la loi informatique et libertés . Cette injonction vise le cas des utilisateurs ayant téléchargé la version v1.0 de l’application et ne l’ayant pas encore activée pour la première fois.
 
Compte tenu du nombre de personnes concernées (environ deux millions trois cent mille téléchargements au jour du présent avis) et du caractère sensible des données personnelles utilisées dans l’application STOPCOVID, qui portent sur l’état de santé de certains des utilisateurs, la Commission a décidé de rendre publique cette mise en demeure.