AgentPublic/cnil huggingface dataset:
d’analyser les discours relatifs à la légitimité des professionnels de santé et aux tensions épistémiques sur le soin psychiatrique ;
de documenter les détournements discursifs pseudoscientifiques (fake-meds, désinformation, thérapeutiques non reconnues) impliquant des notions médicales ;
de mener une analyse comparative des dynamiques interactionnelles in situ (dans une unité hospitalière spécialisée) et en ligne.
 
B. L’objet de la saisine
La CNIL a été saisie, par l’université de Montpellier Paul-Valery, pour avis sur un traitement de données à caractère personnel nécessaire pour réaliser la recherche susmentionnée. Dans la mesure où il porte sur des données sensibles au sens de l’article 9 du RGPD, ce traitement doit faire l’objet d’un avis préalable de la CNIL (article 44-6 de la loi informatique et libertés ).
 
Il a pour base légale l’exercice d’une mission d’intérêt public (art. 6-1-e du RGPD) dès lors qu’il est mis en œuvre dans le cadre des missions du service public de l’enseignement supérieur public (art. L. 123-2 du code de l’éducation).
II. L’avis de la CNIL
 
A. Sur les catégories de données traitées
Les données à caractère personnel dont le traitement est nécessaire à la recherche sont collectées selon plusieurs modalités.
Le chercheur collecte les données in situ. Il suit le soignant dans le centre hospitalier universitaire (ci-après CHU ) et collecte les données :
de manière active. Le chercheur peut créer des situations (animations, ateliers, podcast, etc.) où soignants et patients interagissent. Les données sont alors collectées à partir d’une prise de notes, de captations vidéo, ou de captations d’audios ;
de manière passive. Le chercheur suit les équipes soignantes en restant dans l’écoute et la prise de notes sur les dynamiques entre les personnes concernées et les modalités relatives à l’organisation du personnel soignant.
Le chercheur collecte les données en ligne sur les plateformes (captures d’écran, de discours de toute formes – texte, gifs, etc.) :
de manière active. Le chercheur créé des micro-espaces virtuels dédiés à la recherche (par ex., serveurs ou canaux de discussion sur Discord) où il explique sa démarche, observe et participe aux échanges sur le sujet de la santé mentale. Il peut proposer de faire des visioconférences avec les participants ;
de manière passive. Le chercheur intègre des communautés sélectionnées sur la base de mots-dièse pour observer les discours sur les alternatives aux soins (par exemple, fake meds, conseils ésotériques, etc.).
Il en ressort que l’université traite des données collectées selon différentes modalités (captures d’écran, enregistrements audios, etc.) et de catégories variées. Cette configuration de collecte implique que de nombreuses données incidentes sont collectées.
La CNIL estime cette possibilité légitime, en raison notamment du caractère prospectif de la recherche. Elle prend acte du besoin d’accéder à l’ensemble de ces données qui sont nécessaires à la compréhension des discours étudiés. 
 
Elle relève toutefois qu’au regard du grand nombre de catégories de données traitées et du type de plateformes consultées, il existe un risque de réidentification des personnes concernées, notamment à partir du croisement avec d’autres conversations sur d’autres plateformes (par la réutilisation de patterns identiques dans la composition du message, par exemple).
 
Au regard de ces éléments et compte tenu de la sensibilité de la recherche (analyse de discours relatifs à la santé mentale), l’université devra mettre en œuvre des mesures d'atténuation des risques de réidentification et d'atteinte disproportionnée à la vie privée – par exemple en supprimant, après l'analyse des discours, toutes les données identifiées comme n’étant pas pertinentes pour la recherche. La CNIL recommande également que les données soient anonymisées le plus tôt possible ou, à défaut, fortement pseudonymisées. Cela implique que toute table de correspondance soit supprimée dans les meilleurs délais (c’est-à-dire une fois la recherche réalisée), dès lors qu’il n’est pas envisagé de recontacter les participants.
 
B. Sur les durées de conservation des données
Les données collectées seront conservées pendant une durée maximale de 15 ans. Cette durée correspondrait à un maximum de 5 cycles alternant actions de terrain et recherche de connaissances scientifiques.
 
La CNIL rappelle à titre général que, selon le e) du 1) de l’article 5 du RGPD, les données collectées dans le cadre d’un traitement doivent être  conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées . En outre, si  les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins de recherche scientifique ou à des fins statistiques , une telle conservation doit être accompagnée de la mise en œuvre de  mesures techniques et organisationnelles appropriées afin de garantir les droits et libertés des personnes .
 
S’agissant des mesures mises en place dans le cadre de la présente recherche, la CNIL prend acte de ce que :
 
C. Sur les droits des personnes concernées
 
a. S’agissant de l’information sur le traitement
Les modalités d’information des personnes dépendent du mode de collecte des données. In situ, les personnes auprès desquelles les données sont directement collectées ne sont informées individuellement que lorsque les données sont collectées en observation active. En ligne, des mentions d’information sont affichées sur les profils du chercheur.
Concernant en particulier la collecte en observation passive in situ, en l’absence d’information individuelle, différentes informations sont mises à disposition des personnes concernées (via des QR codes ) au sein de l’établissement. Dans ce contexte, il est également prévu que le chercheur se présente au moyen d'un badge et expose verbalement l'objet de sa démarche auprès du personnel soignant, des patients et de leur entourage familial – garantissant ainsi que ces personnes soient informées de toute collecte de données réalisée lors de sa présence.
 
Si la CNIL accueille favorablement la mise en place de ces différents niveaux d’information, elle rappelle toutefois que, en cas de collecte directe, les personnes concernées devront bénéficier d’une information individuelle avec l’ensemble des éléments mentionnés à l’article 13 du RGPD. Cette information peut, par exemple, prendre la forme d’une lettre d’information transmise à leur entrée dans l’établissement ou d’une information orale.
 
Concernant par ailleurs les personnes auprès desquelles les données sont collectées en ligne, la CNIL rappelle qu’une information générale est possible en cas de collecte indirecte sur le fondement de l’article 14.5.b du RGPD dès lors, notamment, qu’une information individuelle se révèle impossible ou exigerait des efforts disproportionnés ou serait susceptible de compromettre gravement la réalisation [de la recherche] .
 
b. S’agissant du droit d’accès
L’université entend limiter l’exercice des droits, et en premier lieu du droit d’accès, dès lors qu’il lui serait impossible de s’assurer de l’identité du demandeur qui souhaiterait accéder aux données. Il est également précisé qu’au regard de l’objet de recherche (analyse de discours), répondre à une demande d’accès risquerait de faire perdre la confidentialité des données de personnes tierces à celle qui exerce son droit.
 
La CNIL rappelle qu’une telle limitation n’est possible que dans la mesure où l’exercice des droits risquerait de rendre impossible ou d’entraver sérieusement la réalisation de la finalité de la recherche et sous réserve que soient mises en place des garanties pour les droits et libertés (v. art. 89 du RGPD – dont les principes sont précisés aux articles 78 de la loi informatique et libertés et 116 du décret du 29 mai 2019). En tout état de cause, et au regard du 4) de l’article 15 du RGPD, la CNIL rappelle que l’université ne pourra donner accès aux données que dans la mesure où l’exercice de ce droit ne porte pas atteinte aux droits et libertés d’autrui , y compris à la vie privée de ces personnes.
 
Par ailleurs, en cas d’exercice des droits, et afin de garantir la sécurité du traitement et de réduire au minimum le risque de divulgation non autorisée de données, l’université devra être en mesure de déterminer quelles données se rapportent à la personne concernée (identification) et de confirmer l’identité de cette personne (authentification).
En cas de doute raisonnable quant à l’identité de l’auteur de la demande, l’université pourra demander la fourniture d’informations complémentaires nécessaires pour confirmer l’identité de cette dernière (article 12.6 du RGPD). En cas d’impossibilité avérée d’identifier la personne concernée (article 11 du RGPD), l’université devra informer cette personne en conséquence, et indiquer les raisons pour lesquelles elle n’entend pas donner suite à ces demandes, conformément aux lignes directrices 01/2022 sur le droit d’accès du Comité européen de la protection des données.
D. Sur les mesures de sécurité
Les données de la recherche seront collectées à la fois in situ et en ligne via l’ordinateur professionnel du chercheur. Les données personnelles, y compris les vidéos ou images, feront l’objet des mesures de pseudonymisation mises en œuvre manuellement par celui-ci. Les informations susceptibles de permettre une identification indirecte, lorsqu’elles sont indispensables à l’analyse, feront l’objet d’un chiffrement additionnel. Bien qu’elles ne garantissent pas une pseudonymisation effective de l’intégralité des données personnelles utiles à la recherche, ces mesures apparaissent adaptées au regard de l’échelle et du contexte des traitements envisagés. La CNIL note cependant pour cette même raison que la destruction de la table de correspondance n’aura pas pour effet de rendre anonyme l’ensemble des données et recommande une analyse ad hoc en cas de publication ou de réutilisation ultérieure de celles-ci.
 
Il est par ailleurs prévu que tout ou partie de l’analyse des données soit réalisée sur l’ordinateur personnel du chercheur. Pour ce type de projet, compte tenu de la nature des données traitées et des risques s’y rapportant, la CNIL recommande en général la mise en place d’un environnement dédié au sein de l’infrastructure informatique du responsable de traitement, afin que les analyses soient effectuées dans un environnement maitrisé, distinct notamment de l’environnement servant à la collecte de données en ligne.
Les données de l’étude, ses sauvegardes et tables de correspondance devront être chiffrées avec des algorithmes et des procédures de gestion de clés conformes à l’annexe B1 du référentiel général de sécurité, tant au niveau des bases de données que des sauvegardes.
 
Il appartient au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
 
La présidente,
 
 
M.-L. Denis
N° de demande d’avis : 26001118
Thématiques : renseignement ; algorithme ; URL ; recensement ; journée de mobilisation ; questionnaire 
Organisme(s) à l’origine de la saisine : ministère des armées et des anciens combattants
Fondement de la saisine :
article 8, I, 4., a) de la loi "informatique et libertés" 
L’essentiel :
L’article 17 du projet de loi modifie l’article L. 851-3 du code de la sécurité intérieure (CSI) encadrant la technique dite "de l’algorithme", mise en œuvre pour le compte des services spécialisés de renseignement et permettant le criblage des données de connexion transitant sur le territoire national.
D’une part, le projet ajoute une nouvelle finalité liée à la lutte contre le narcotrafic et la criminalité organisée. Sans remettre en cause la légitimité d’une telle évolution, la CNIL souligne que cette technique porte une atteinte significative à la vie privée ; il serait dès lors préférable que l’extension de son périmètre soit, dans un premier temps, prévue à titre expérimental.
D’autre part, le projet redéfinit les conditions dans lesquelles les adresses complètes des ressources utilisées sur internet peuvent être collectées. Le projet n’explicite pas les conditions dans lesquelles ces données, lorsqu’elles sont chiffrées, pourraient le cas échéant être rendues exploitables. La CNIL estime que la possibilité d'accéder au contenu chiffré, dans l’hypothèse où elle serait effectivement mise en œuvre, serait susceptible de porter une atteinte grave aux libertés individuelles.
 
L’article 21 du projet de loi modifie par ailleurs les dispositions du code du service national, d’une part pour ajouter les "compétences attestées" aux données collectées lors de la déclaration de recensement et, d’autre part, pour prévoir que les participants à la "journée de mobilisation" nouvellement créée rempliront un questionnaire. Il est prévu qu’un décret précise les modalités d’application de cet article. La CNIL souligne que ce décret pourrait utilement préciser les caractéristiques des traitements mis en œuvre.
___________________
 
La Commission nationale de l'informatique et des libertés,
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son article 8 ;
Après avoir entendu le rapport de Mme Isabelle Latournarie-Willems, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
1. La saisine
 
La CNIL a été saisie en urgence, par le ministère des armées, d’une demande d’avis sur deux articles d’un projet de loi actualisant la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense.
D’une part, l’article 17 du projet modifie l’article L. 851-3 du code de la sécurité intérieure (CSI) relatif à la technique de renseignement dite "de l’algorithme".
D’autre part, l’article 21 modifie, en particulier, les dispositions relatives au recensement et à la journée de mobilisation au sein du code du service national.
 
A. Les dispositions relatives à la technique dite "de l’algorithme"
L’article L. 851-3 du CSI dans sa rédaction issue la loi n° 2015-912 du 24 juillet 2015 relative au renseignement, autorisait les services spécialisés de renseignement, à titre expérimental et pour la seule finalité de prévention du terrorisme (4° de l’art. L. 811-3 du CSI), à recourir à un système de surveillance algorithmique permettant d’analyser automatiquement les données de connexion transitant par les opérateurs de communications électroniques et les fournisseurs de services internet. Cette technique, pérennisée par la loi n° 2021-998 du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement, a également été autorisée pour la mise en œuvre d’un tel traitement sur les adresses complètes de ressources utilisées sur internet, dites "URL" (pour "uniform resource locator"). La CNIL s’est déjà prononcée sur les dispositions encadrant la mise en œuvre de cette technique (v. not. CNIL, SP, 5 mars 2015, avis sur un projet de loi relatif au renseignement, n° 2015-078, publié ; CNIL, SP, 8 avril 2021, avis sur un projet de loi relatif à la prévention d’actes de terrorisme et au renseignement, n° 2021-050, publié).
Initialement prévue pour détecter des menaces terroristes, la technique a été étendue, à titre expérimental jusqu’au 1er juillet 2028, à la détection des ingérences étrangères et des menaces pour la défense nationale (loi n° 2024-850 du 25 juillet 2024 visant à prévenir les ingérences étrangères en France). Le Parlement a ensuite envisagé de l’étendre à la lutte contre la criminalité et la délinquance organisées dans la loi n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic.
Par une décision n° 2025-885 DC du 12 juillet 2025, le Conseil constitutionnel a censuré l’extension du recours à des traitements automatisés pour la lutte contre la criminalité et la délinquance organisées, ainsi que l’intégration des URL à ces traitements pour l’ensemble des finalités, pour un motif tiré de l’encadrement insuffisant de ces techniques.
L’article 17 du projet de loi modifie l’article L. 851-3 du CSI en vue :
- d’étendre la possibilité de recourir aux dispositifs algorithmiques pour des menaces relatives à la criminalité et à la délinquance organisées ;
- d’encadrer le recours aux adresses complètes de ressources utilisées sur internet, dites "URL", afin de le rendre conforme aux exigences dégagées par la décision du Conseil constitutionnel.
 
Enfin, le projet de loi revoit l’architecture de l’article L. 851-3 afin de rendre la disposition plus intelligible et d’y ajouter certaines garanties.
B. Les dispositions relatives au recensement et à la journée de mobilisation au sein du code du service national
 
Le ministère fait état du besoin des forces armées de connaître les profils et compétences au sein de la société civile, dans le but de préparer la mise en œuvre éventuelle des lois permettant, en cas de crise ou de menace, de renforcer les moyens à disposition des armées par des ressources complémentaires issues de la population civile.
 
Lors de son allocution du 27 novembre 2025 à Varces, le Président de la République a annoncé la transformation de la journée de défense et citoyenneté en une journée de mobilisation (JDM) recentrée sur les fondamentaux de la défense. Cette journée sera l’occasion pour les jeunes Français d’indiquer, le cas échéant, s’ils sont volontaires pour un engagement au sein du "nouveau service national", dont le périmètre est défini dans le projet de loi.
 
Le projet d’article 21 soumis pour avis à la CNIL modifie plusieurs dispositions du code du service national et du code de la défense. Les principales modifications portent sur les modalités du recensement et sur l’instauration d’une journée de mobilisation, au cours de laquelle un questionnaire sera soumis aux participants.
 
 
2. L’avis de la CNIL
 
S’agissant de la modification de l’article L. 851-3 du CSI
 
A. Sur l’économie générale du dispositif
Au regard des évolutions projetées, la technique dite "de l’algorithme" permettra, pour de nouvelles finalités, le criblage algorithmique des données de téléphonie et des données issues des connexions sur internet. Les données traitées, qui concernent l’ensemble des appels et connexions réalisés sur le territoire national, correspondent :
- aux données de connexion et, plus précisément, aux données d’identification des abonnements, aux données recensant les lignes et abonnements d’une personne, aux données de localisation des équipements terminaux et aux données concernant le trafic des communications (numéros appelés et appelants, dates et durées) ;
- aux "adresses complètes de ressources sur internet" (désignées par ailleurs comme URL).
D’un point de vue procédural, la mise en œuvre de la technique se décompose en trois phases, que le projet de loi entoure de garanties supplémentaires :
La première phase consiste, sur demande des services spécialisés de renseignement dits du "premier cercle", à déterminer les paramètres de conception des traitements. Ces derniers sont précisés par une autorisation du Premier ministre, après avis préalable de la Commission nationale de contrôle des techniques de renseignement (CNCTR). Le projet intègre une nouvelle disposition prévoyant que, lorsque le traitement intègrera l’exploitation des URL, la première autorisation (qui peut être renouvelée, le cas échéant), est soumise pour avis à la formation plénière de la CNCTR. Dans l’hypothèse où l’avis de cette dernière est réputé rendu, faute d’avoir été transmis dans un délai de sept jours, le Conseil d’Etat est saisi pour avis ; l’autorisation ne peut être délivrée avant que celui-ci ait statué. Le traitement des URL est également davantage encadré (v. infra, C).
La deuxième phase consiste en la mise en œuvre de ces traitements par le groupement interministériel de contrôle (GIC), service rattaché au Premier ministre. Le projet de loi précise qu’aucun service spécialisé de renseignement ne pourra y accéder à ce stade de la procédure, ce qui constitue une nouvelle garantie prévue par le projet.
La troisième phase permet l’identification des personnes concernées lorsque les traitements mis en œuvre détectent des données susceptibles de révéler l’existence d’une ingérence ou d’une menace. Le cas échéant, cette phase est autorisée par le Premier ministre, après avis de la CNCTR. Les résultats sont alors transmis aux services spécialisés de renseignement concernés. Les autres données sont immédiatement détruites.
 
A titre liminaire, la CNIL rappelle que l’utilisation d’une telle technique porte une atteinte particulièrement forte à la vie privée des individus et au droit à la protection des données à caractère personnel, puisque, loin de procéder de façon ciblée, elle consiste à analyser l’ensemble des données de connexion transitant par les opérateurs de communications électroniques et les fournisseurs de services internet. La mise en œuvre d’une surveillance de l’intégralité des données de connexion est susceptible, à elle seule, d’entraîner des effets dissuasifs sur l’exercice de la liberté d’information et d’expression. En outre, les modalités particulières de mise en œuvre de la technique, reposant sur la duplication de l’ensemble des données au bénéfice d’un service du Premier ministre, accentuent l’atteinte portée au respect de la vie privée des personnes et à la protection de leurs données personnelles (v. à ce propos CNIL, SP, 8 avril 2021, précité).
En outre, la CNIL observe que le projet de loi encadre les modalités de collecte d’une technique de renseignement. Les données doivent ensuite être traitées, au sein de différents fichiers mis en œuvre par les services concernés, dans le respect du droit à la protection des données à caractère personnel et notamment du titre IV de la loi "informatique et libertés". Cependant, la CNIL rappelle que la plupart d’entre eux (énumérés au sein du décret n° 2007-914 du 15 mai 2007) bénéficient d’un régime dérogatoire, lequel permet de les exclure du champ de contrôle a posteriori de la Commission, conformément au IV de l’article 19 de la loi du 6 janvier 1978 modifiée.
 
Au regard de l’économie générale du dispositif, la CNIL rappelle, ainsi qu’elle l’a fait par le passé, qu’elle demande à pouvoir exercer ses pouvoirs de contrôle sur ces traitements. Si elle relève que tant la CNCTR que le GIC disposent de prérogatives visant notamment à assurer la légalité des pratiques mises en œuvre, la CNIL estime que son contrôle, qui porterait sur les conditions de mise en œuvre globales desdits fichiers et devrait être assorti de garanties adaptées à leur nature particulière, devrait compléter ceux déjà réalisés par ces deux entités et constituerait une garantie supplémentaire (v. CNIL, SP, 8 avril 2021, précité).
 
B. Sur l’extension des finalités de la technique