AgentPublic/cnil huggingface dataset:
80. La formation restreinte estime que les éléments précités rendent également nécessaire qu’une injonction soit prononcée. Elle relève sur ce point que X a annoncé de nombreuses modifications du YYY, en cours de réalisation ou déjà achevées, mais que ces affirmations sont insuffisamment étayées, faute de pièces justificatives. La formation restreinte relève également que, pour certains des manquements relevés, la mise en conformité avait déjà été annoncée depuis plusieurs années par X. Or, les contrôles effectués dans le cadre de la présente procédure ont permis de constater que les modifications annoncées n’avaient pas été réalisées.
81. Enfin, et pour les mêmes raisons, la formation restreinte estime nécessaire que sa décision soit rendue publique.
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre du X un rappel à l’ordre pour les manquements aux articles 4, 89, 97, 99 et 104 de la loi Informatique et Libertés ;
• prononcer à l’encontre du X une injonction de mettre en conformité les traitements visés avec les obligations résultant de l’article 4, 89, 97, 99 et 104 de la loi Informatique et Libertés, et en particulier :
o s’agissant du manquement relatif à la licéité du traitement :
 ne traiter que les informations visées par l’article 4 du décret no 87-249 et uniquement dans le cadre prévu par ce texte, et notamment veiller à l’effacement des données à caractère personnel contenues dans la rubrique informations spéciales et à la destruction du fichier manuel , à l’exception des fiches pouvant être conservées à des fins archivistiques dans l'intérêt public ou à des fins de recherche scientifique ou historique ;
o s’agissant du manquement relatif à la durée de conservation des données, ne conserver des données sous une forme permettant l'identification des personnes concernées que pendant la durée nécessaire au regard des finalités pour lesquelles elles sont traitées, par exemple en mettant en œuvre un système automatisé permettant l’effacement des données à l’expiration des durées prévues par l’article 5 du décret no 87-249, en veillant en particulier à ce que ces durées de conservations courent à compter de l’établissement de chaque fiche signalétique et effacer les données dont la durée de conservation est atteinte ;
o s’agissant du manquement relatif à l’exactitude des données, prendre toutes les mesures raisonnables pour garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour soient effacées ou rectifiées sans tarder ou ne soient pas transmises ou mises à disposition, par exemple en mettant en place une procédure normalisée et généralisée à l’ensemble des juridictions visant à ce que toutes les décisions juridictionnelles définitives soient répercutées dans le YYY, et notamment :
 s’agissant de l’effacement de plein droit, s’assurer que l’ensemble des décisions de relaxe, d’acquittement et de correctionnalisation, même partielles, soient répercutées dans le YYY ;
 s’agissant de l’effacement de principe, s’assurer que l’ensemble des décisions de non-lieu et de classement sans suite pour absence d'infraction ou insuffisance de charges ou pour auteur inconnu soient répercutées dans le YYY, sans décision expresse contraire du procureur de la République compétent ;
o s’agissant du manquement relatif à la sécurité des données, mettre en œuvre les mesures appropriées afin de garantir un niveau de sécurité adapté au risque :
 en imposant par exemple que l’accès au YYY nécessite une connexion à l’aide de la carte-agent et d’un code PIN ;
 en veillant à ne traiter de données à caractère personnel que dans les conditions sécurisées définies pour la mise en œuvre du fichier central du YYY à l’issue des opérations de signalisation, notamment dans les locaux de signalisation, par exemple en donnant des instructions en ce sens aux services en charge de la collecte des données.
o s’agissant du manquement relatif à l’information des personnes, s’assurer qu’une information conforme aux exigences de l’article 104 de la loi no 78-17 du 6 janvier 1978 est fournie aux personnes concernées ;
• assortir les injonctions d’un délai de mise en conformité expirant le 31 octobre 2021 ; par dérogation, le délai de mise en conformité visant le manquement relatif à la durée de conservation des données du seul fichier manuel expirera le 31 décembre 2022 ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément X à l’expiration d’un délai de deux ans à compter de sa publication.
 Le président
 Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission a été saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel. Ce traitement, dont la finalité présente un caractère d’intérêt public, relève de la procédure prévue aux articles 66, 72 et suivants de la loi du 6 janvier 1978 modifiée.
Responsable de traitement
L’Assistance publique – Hôpitaux de Paris
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 17 septembre 2020.
Finalité
Étude portant sur l’évaluation en vie réelle de COAGUCLIC, un outil d’aide à la décision thérapeutique et à la surveillance des antithrombotiques en ville, intitulée "COAGUCLIC".
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM et PMSI.
Années concernées : 2019 à 2023.
Modalités de consultation : portail de la CNAM.
Les données du SNIIRAM et du du PMSI étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique et le respect du référentiel de sécurité applicable au SNDS prévu par l'arrêté du 22 mars 2017.
Information et droits des personnes
S'agissant de données provenant exclusivement du SNDS, les personnes concernées sont informées de la réutilisation possible de leurs données de santé à caractère personnel selon des modalités définies par l'article R.1461-9 du code de la santé publique.
Durée d’accès aux données du SNDS
Cinq ans à compter de la mise à disposition des données.
Transparence du traitement
Conformément aux dispositions de l’article 110 du décret n°2019-536 du 29 mai 2019 modifié, ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
AUTORISE
l’ASSISTANCE PUBLIQUE - HÔPITAUX DE PARIS à mettre en œuvre le traitement, en application de l'article 13 de la loi précitée et de la délibération n° 2019-021 du 28 février 2019 portant délégation d'attributions de la Commission nationale de l’informatique et des libertés à son président et à son vice-président délégué.
 
La présidente,
 
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis relative au projet de décret modifiant le décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2021-689 du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire, et notamment son article 1.II.E ;
Vu le décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés (ci-après la Commission ) a été saisie en urgence, le 25 août 2021, par le ministre des solidarités et de la santé, puis le 30 août 2021 par saisine rectificative, d’une demande d’avis relative à un projet de décret modifiant le décret n° 2021-699 du 1er juin 2021 prescrivant les mesures générales nécessaires à la gestion de la sortie de crise sanitaire.
 
L’élargissement du passe sanitaire, le 9 août dernier, à de nombreuses activités dont certaines ont trait à la vie quotidienne (restaurants, débits de boissons, transports publics interrégionaux de longue distance, etc.) a entraîné une multiplication des fraudes. Le ministère, en qualité de responsabilité du traitement, entend mettre en œuvre un traitement de données permettant la révocation des certificats identifiés comme frauduleux afin que ces derniers ne puissent plus être utilisés dans le cadre des déplacements et de l’accès aux lieux, établissements et évènements soumis à la présentation du passe sanitaire.
 
Par ailleurs, afin de répondre aux recommandations formulées par la CNIL dans ses précédents avis du 7 juin et du 6 août 2021, le ministère a souhaité développer un dispositif permettant la génération d’un passe sanitaire activités temporaire, d’une validité maximale de 48 heures, et contenant un nombre plus limité de données.
Compte tenu de la gravité des conséquences sanitaires que l’usage de certificats frauduleux est susceptible d’entraîner et du nombre croissant de fraudes, ainsi que pour les motifs développés ci-après, la Commission considère que les évolutions proposées sont légitimes et proportionnées. Pour autant, s’agissant des dispositions relatives à la lutte contre la fraude, le projet de décret devra être modifié afin de limiter expressément les finalités du traitement de données à caractère personnel envisagé ainsi que les données inscrites dans la liste d’exclusion, et préciser les durées de conservation de ces dernières. Elle insiste également sur la nécessité d’assurer une information des détenteurs des certificats inscrits dans la liste au moment de l’inscription, au regard des impacts que le traitement est susceptible d’avoir sur ces derniers. Enfin, s’agissant de la génération temporaire d’un passe sanitaire activité , la Commission, qui accueille favorablement un tel dispositif, invite le ministère à préciser le projet de décret sur les données traitées dans ce cadre.
Sur la lutte contre la fraude au passe sanitaire
Le ministère entend compléter l’article 2-3 du décret n° 2021-699 du 1er juin 2021 susvisé afin de prévoir la création d’une base de référencement (ci-après la liste d’exclusion ) permettant le stockage d’une empreinte numérique de certaines informations des codes-QR et 2D-DOC identifiés comme frauduleux.
La Commission précise que le dispositif envisagé doit permettre l’inscription et la conservation, dans la liste d’exclusion, de l’empreinte numérique des certificats identifiés comme frauduleux, afin de s’assurer que ces derniers ne puissent plus être utilisés dans le cadre de l’obligation de présentation du passe sanitaire. Le ministère a précisé que le dispositif doit permettre de lutter ainsi contre deux types de fraudes : l’usage d’un certificat par un tiers, ainsi que l’utilisation d’un certificat délivré illégalement par une personne habilitée. En pratique, lorsqu’un certificat sera identifié comme frauduleux, les informations relatives à celui-ci seront extraites des systèmes d’information du ministère des solidarités et de la santé pour que l’empreinte numérique du certificat puisse être calculée avant l’intégration de celle-ci au sein de la liste d’exclusion. Afin de permettre l’identification des certificats considérés comme frauduleux, une copie de la liste d’exclusion sera conservée localement au sein des applications TousAntiCovid et TousAntiCovid Verif , ainsi que sur le convertisseur de certificats. Dès lors, lorsque les personnes ou les services habilités à contrôler un passe sanitaire scanneront un QR-Code, la liste d’exclusion sera interrogée afin de détecter une éventuelle concordance entre le certificat présenté et ceux déclarés comme frauduleux. A cette fin, le projet de décret pose le principe d’un traitement automatisé de données ayant pour finalité de
lutter contre la fraude, en révoquant les passes sanitaires faux ou détournés.
Sur les modalités d’inscription des certificats identifiés comme frauduleux dans la liste d’exclusion
 
La Commission prend acte des précisions du ministère selon lesquelles l’inscription, par le ministère, d’un certificat dans la liste d’exclusion peut être la conséquence des évènements suivants :
 
Le détenteur légitime du certificat adresse un signalement à la plateforme de support de TousAntiCovid et du passe sanitaire, ou dépose une plainte auprès des autorités compétentes, après avoir constaté un usage frauduleux ou une atteinte à la confidentialité de son passe sanitaire ;
Le certificat fait l’objet d’une procédure en cours, peu importe que cette dernière ait été initiée à la suite d’un dépôt de plainte du ministère dans le cadre d’une dénonciation (par exemple, une personne qui a signalé la vente de certificats sur les réseaux sociaux) ou directement par les autorités compétentes.
En premier lieu, s’agissant de l’intégration de l’empreinte numérique d’un certificat à la liste d’exclusion dans le cadre d’une procédure en cours, la Commission relève que l’inscription se fait à l’initiative des pouvoirs publics dans le cadre d’une suspicion de fraude et, par conséquent, sans attendre que celle-ci soit établie par les autorités compétentes en la matière. La Commission s’est interrogée sur la pertinence de l’inscription dans la liste d’exclusion d’empreintes numériques de certificats correspondants à des infractions suspectées mais non établies, eu égard aux conséquences pour les personnes concernées. En effet, il est possible que des certificats non frauduleux soient ainsi révoqués, bloquant pour la personne concernée l’accès à des lieux de la vie quotidienne, voire la conduisant à perdre l’usage de titres de transport, jusqu’à l’obtention d’un nouveau certificat.
La Commission relève qu’un tel choix est justifié au regard de l’objectif de protection de la santé publique poursuivi par le traitement, qui nécessite de limiter le risque de contamination en conditionnant certains déplacements ainsi que l’accès à certains lieux, établissements et évènements à la détention du passe sanitaire valable. Par ailleurs, elle prend acte de ce que le dispositif prévoit des garanties afin d’assurer un équilibre entre les divers intérêts en cause, telles que la possibilité de générer un nouveau certificat (avec un nouvel identifiant et une nouvelle signature numérique) et ce, de manière quasi-instantanée, suite à la demande de la personne, soit directement en ligne (via la plateforme sidep.gouv.fr ou via le téléservice attestation-vaccin.ameli.fr.), soit auprès de professionnels habilités (professionnels de santé, caisse primaire d’assurance maladie, centres de vaccination, etc.), ainsi que la mise à jour de la liste d’exclusion en fonction de l’issue des procédures judiciaires. Elle insiste cependant sur le fait que toute suspicion de fraude ne doit pas conduire à la révocation d’un passe sanitaire. A cet égard, elle invite le ministère à apporter des précisions sur la nature de ces suspicions dans l’analyse d’impact relative à la protection des données (AIPD) liée au passe sanitaire. La Commission souligne également que la bonne information des personnes concernées au moment de l’inscription de l’empreinte numérique de leur certificat dans la liste
d’exclusion est un élément central pour assurer l’effectivité de certaines de ces garanties.
Dans ces conditions, et sous réserve des observations formulées ultérieurement, la Commission considère que le dispositif envisagé permet d’assurer un équilibre entre les droits des personnes concernées et les objectifs de santé publique poursuivis.
En deuxième lieu, s’agissant de l’intégration d’une empreinte numérique de certificat à la liste d’exclusion à la suite d’un signalement effectué par le détenteur légitime du certificat auprès de la plateforme de support téléphonique de l’application TousAntiCovid et du passe sanitaire, la Commission insiste sur la nécessité de s’assurer de l’identité dudit détenteur avant de procéder à l’intégration effective du certificat dans la liste, afin d’éviter toute inscription malveillante.
En troisième et dernier lieu, la Commission prend acte des précisions selon lesquelles la liste d’exclusion sera mise à jour en fonction de l’issue des procédures judiciaires engagées, par le biais de communications ponctuelles avec les services compétents. Elle considère, sous réserve qu’une telle mise à jour soit susceptible de conduire tant à l’ajout de nouveaux certificats qu’à la suppression de ceux se trouvant déjà dans la liste d’exclusion et pour lesquels les infractions suspectées ne seraient finalement pas caractérisées à l’issue de la procédure, que le dispositif est de nature à permettre le respect du principe d’exactitude des données, consacré par l’article 5.1.d du règlement (UE) 2016/679 relatif à la protection des données à caractère personnel (RGPD).
 
Une finalité limitée à la révocation des passes sanitaires identifiés comme frauduleux
La Commission prend acte des précisions apportées par le ministère selon lesquelles la mise en œuvre du traitement de données à caractère personnel envisagé a pour seule finalité de permettre la révocation des certificats identifiés comme frauduleux, révocation qui aura pour conséquence d’interdire les déplacements ainsi que l’accès à certaines activités, soumis à l’obligation de présentation du passe sanitaire, aux personnes ne disposant pas d’un certificat valable. La Commission relève, à cet égard, que les personnes et les services habilités à contrôler le passe sanitaire devront se limiter à interdire l’accès à leur établissement et à informer les personnes concernées des mesures à prendre pour obtenir un nouveau certificat (notamment en contactant la plateforme de support téléphonique de l’application TousAntiCovid et du passe sanitaire).
Dès lors, la Commission considère qu’il convient d’écarter l’application de la directive n° 2016/680 du 27 avril 2016, dite police-justice , transposée au titre III de la loi n° 78-17 du 6 janvier 1978 modifiée, dès lors que le dispositif envisagé n’a pas en lui-même pour finalité de permettre la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution de condamnations pénales. Par conséquent, elle estime que le traitement de données à caractère personnel est soumis au RGPD et invite le ministère à s’assurer du respect de l’ensemble des obligations posées par le texte, notamment s’agissant du respect des principes prévus à l’article 5 du RGPD.
Par ailleurs, elle invite le ministère à compléter le projet de décret afin de limiter explicitement la finalité poursuivie par le traitement de données envisagé à la seule révocation des certificats signalés comme frauduleux, afin de permettre l’interdiction des déplacements et l’accès aux activités soumis à l’obligation de présentation du passe sanitaire aux personnes dépourvues d’un certificat valable.
 
Sur les données à caractère personnel incluses dans la liste d’exclusion des certificats
 
Le projet de décret prévoit l’intégration des codes associés aux justificatifs au sein d’une liste d’exclusion et précise que celle-ci sera mise à la disposition du public afin de faciliter le contrôle du passe sanitaire.
Le ministère a précisé que la liste d’exclusion ne contiendra que les empreintes numériques générées à partir de certaines informations des Codes-QR identifiés comme frauduleux, à l’exclusion de tout autre donnée à caractère personnel et notamment des données nominatives ainsi que celles concernant la santé des personnes concernées.
 
La Commission approuve ce procédé. Elle considère que celui-ci est de nature à assurer le respect du principe de minimisation des données consacré par l’article 5.1.c du RGPD et qu’une telle limitation est indispensable notamment au regard de la publicité de la liste. Toutefois, la Commission relève que la rédaction du V de l’article 2-3 tel que modifié par le projet de décret objet de la présente saisine, ne permet pas de restreindre le traitement des données aux seules empreintes numériques des certificats en cause : bien qu’en principe les mesures techniques et architecturales de mise en œuvre d’un traitement n’aient pas à figurer dans l’acte réglementaire qui le régit, elle considère en l’espèce indispensable que cette garantie, essentielle pour la protection des données à caractère personnel, figure dans le décret. La Commission prend acte de l’engagement du ministère à modifier le texte sur ce point.
Par ailleurs, la Commission relève que le projet de décret entend modifier l’alinéa 3 de l’article 2-3-III du décret n° 2021-699 du 1er juin 2021 susvisé, afin d’ajouter l’empreinte technique du certificat à la liste des données que les personnes et services habilités pour les contrôles des justificatifs requis en application du 2° du A du II de l'article 1er de la loi du 31 mai 2021 modifiée peuvent lire, dans la mesure où une telle lecture est indispensable pour identifier une éventuelle concordance avec les empreintes numériques présentes dans la liste d’exclusion. Elle attire l’attention du ministère sur le fait qu’en l’état de la rédaction du projet, la lecture de cette nouvelle donnée n’est pas prévue pour les contrôles des justificatifs liés au passe sanitaire voyages .
 
Enfin, si le projet de texte n’a pas vocation à modifier le décret encadrant l’application TousAntiCovid , qui prévoit la réalisation d’analyses statistiques, la Commission invite le ministère à ne pas collecter de données d’usage supplémentaires liées à ce nouveau traitement, c’est à dire concernant la fraude et la liste d’exclusion afférente. En tout état de cause et de manière générale, elle rappelle au ministère que le décret encadrant l’application TousAntiCovid ne permet que la réalisation d’analyses statistiques à partir de données anonymes.
 
Sur l’information des personnes concernées
La Commission relève que l’information des personnes concernées sera délivrée par l’intermédiaire de plusieurs canaux de communication mis à la disposition du public depuis le début de la crise sanitaire. Il s’agit, en l’espèce, des sites web institutionnels, de la politique de confidentialité de l’application TousAntiCovid , ainsi que de l’ajout d’une mention sur les justificatifs papier. Sur ce dernier point, la Commission considère que l’intégration d’une information relative a minima à la finalité du dispositif et aux modalités d’exercice des droits et voies de recours (notamment, le numéro de téléphone de la plateforme support) directement sur les justificatifs papier (avec un renvoi sur une information plus complète en ligne) est indispensable, dès lors qu’elle permet d’assurer la transparence du dispositif pour l’ensemble de la population, y compris pour les personnes dont la capacité d’accès et d’usage aux outils numériques demeure limitée.
Par ailleurs, le ministère a précisé que le détenteur légitime du certificat ne sera pas nécessairement informé de l’inscription de ce dernier sur la liste d’exclusion au moment de l’intégration effective de l’empreinte numérique dans la liste. Or, si la Commission accueille favorablement le fait que l’utilisateur du certificat en cause, qu’il s’agisse du détenteur légitime ou non du passe sanitaire, sera alerté postérieurement à l’inscription dans la liste d’exclusion (au moment de l’import du certificat dans la fonctionnalité Carnet de l’application TousAntiCovid ou lorsque l’utilisateur se rend au sein de cette fonctionnalité ainsi que lors d’un contrôle du certificat), elle considère que le ministère devrait prévoir la mise en œuvre d’une procédure permettant l’information du détenteur légitime au moment de l’intégration de son certificat dans la liste d’exclusion.