Délibération n° 2019-047 du 11 avril 2019 portant avis sur un projet de décret relatif aux conditions dans lesquelles la collecte de données épidémiologiques et leur traitement peuvent être confiés à des personnes agréées Lien permanent vers ce document 
(demande d’avis n° 19003802)

Type : Avis
Date : 2019-04-11
État juridique : VIGUEUR

La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l’agriculture et de l’alimentation d’un projet de décret relatif aux conditions dans lesquelles la collecte de données épidémiologiques et leur traitement peuvent être confiés à des personnes agréées ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu le code rural et de la pêche maritime notamment son article L. 201-3 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Vu la loi n° 2018-938 du 30 octobre 2018 pour l’équilibre des relations commerciales dans le secteur agricole et alimentaire et une alimentation saine, durable et accessible à tous (1) ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement, Emet l’avis suivant : La loi n° 2018-938 du 30 octobre 2018 pour l’équilibre des relations commerciales dans le secteur agricole et alimentaire et une alimentation saine, durable et accessible à tous a modifié les dispositions de l’article L. 201-3 du code rural et de la pêche maritime. L’article susvisé modifié prévoit désormais que l’Etat a la possibilité de confier la collecte des informations d’ordre épidémiologique relatives aux dangers sanitaires de première et deuxième catégorie à des personnes agréées par le ministère chargé de l’agriculture. Il prévoit qu’un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, " précise les conditions dans lesquelles la collecte des données et leur traitement peuvent être confiés à des personnes agréées par le ministère chargé de l'agriculture ". L’avis rendu par la Commission sera publié conformément à l’article 11-4 a) de la loi du 6 janvier 1978. A titre liminaire, la Commission relève que le projet qui lui a été soumis traite davantage des modalités de l’agrément délivré par le ministre chargé de l’agriculture que des conditions de collecte et de traitement des données qui peuvent être confiées à des personnes agréées. Elle estime dès lors que le projet devrait être complété sur certains points au vu des éléments communiqués par le ministère. Sur la finalité L’article L. 201-7 du code rural et de la pêche maritime prévoit que les vétérinaires et laboratoires communiquent immédiatement à l’autorité administrative tout résultat d’analyse conduisant à suspecter ou à constater la présence d’un danger sanitaire de première catégorie ou la première apparition sur le territoire national d’un danger sanitaire. La disposition susvisée précise également que tout propriétaire ou détenteur d’animaux ou de végétaux, ou tout professionnel exerçant ses activités en relation avec des animaux ou végétaux qui détecte ou suspecte l’apparition d’un danger sanitaire sur le territoire national en informe immédiatement l’autorité administrative désignée par décret. Aussi, afin de faciliter les démarches réglementaires des propriétaires ou détenteurs d’animaux concernant l’identification d’un danger sanitaire, la loi n° 2018-938 vient ajouter les personnes agréées par le ministre de l’agriculture comme nouvelle catégorie de personnes susceptibles de collecter et d’enregistrer dans une base de données nationale les informations susvisées. A cet égard, l’article 1er du projet de décret prévoit que l’agrément est délivré après avis du conseil national d’orientation de la politique sanitaire animale et végétale, à des personnes répondant aux conditions d’aptitude, d’expérience et de compétences techniques. La Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes conformément aux dispositions de l’article 5.1.b) du règlement général sur la protection des données. Elle estime toutefois que le projet de décret pourrait préciser la finalité de la collecte et du traitement des données confiées à des tiers agréés. Sur les données traitées La Commission prend acte que les informations concernant le candidat à l’obtention de l’agrément sont relatives : à l’identité de la personne physique : nom, prénom, adresse postale, numéro de téléphone, adresse électronique ; à l’identité de la personne morale : statut juridique, extrait de l’inscription au RCS, liste des mandats électifs du dirigeant, composition de l’actionnariat, informations relatives à la comptabilité. S’agissant des informations concernant la gestion du fichier nominatif tenu par la personne agréée, celles-ci sont relatives : aux propriétaires d’animaux : nom, prénom, adresse postale du lieu de détention, coordonnées géographiques des sites de détention, numéro de téléphone, adresse électronique ; aux informations d’ordre sanitaire concernant les animaux détenus. Ces catégories de données n’appellent pas d’observation de la part de la Commission, qui considère qu’elles sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément aux dispositions de l’article 5.1.c) du règlement général sur la protection des données. La Commission considère que le projet de décret dont l’objet est notamment de préciser les conditions de collecte des données devrait préciser ces catégories de données. Sur les destinataires La Commission prend note, que dans les limites de leurs attributions respectives et chacun pour ce qui le concerne, peuvent accéder aux informations concernant le candidat à l’obtention de l’agrément, le personnel du bureau de la commande publique et de la sous-direction santé et protection animale du ministère de l’agriculture et de l’alimentation. Selon les informations fournies par le ministère, peuvent être destinataires des informations enregistrées dans le fichier nominatif tenu par la personne agréée, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître : les organismes à vocation sanitaire et les organismes vétérinaires à vocation technique ; les réseaux sanitaires ; les associations sanitaires régionales ; la plateforme d’épidémiosurveillance animale ; les personnes, services ou organismes assurant la surveillance, la prévention et la lutte contre les dangers sanitaires ; les préfets ; les officiers et agents de police judiciaire ; les agents des services de secours contre l’incendie ; les maires ; les organismes à vocation statistique pour l’analyse et l’information ; les organismes payeurs des aides agricoles ; les organismes contribuant à l’amélioration génétique des animaux ou de la recherche ; les personnes en charge de l’équarrissage ; les agents habilités à procéder aux contrôles des dispositions relatives à la santé des animaux et à la salubrité des denrées alimentaires d’origine animale. La Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données et que le décret pourrait être complété sur ce point. Sur l’information et les droits des personnes La Commission prend note que les candidats à l’obtention de l’agrément sont informés conformément aux dispositions de l’article 13 du règlement général sur la protection des données, par une mention figurant dans le règlement relatif à l’appel aux candidatures et dans la convention signée entre le ministère et la personne agréée, une fois l’agrément obtenu. Les droits d’accès et de rectification s’exercent auprès du ministère de l’agriculture et de l’alimentation. Les propriétaires ou détenteurs d’animaux sont informés, conformément aux dispositions de l’article susvisé, par une mention figurant dans la charte précisant les conditions générales d’utilisation de la base de données. La Commission précise qu’il conviendra également d’informer les personnes concernées par un premier niveau d’information au moment de leur authentification sur la plateforme en priorisant les éléments d’information essentiels et notamment l’identité du responsable de traitement, la finalité poursuivie ainsi que les modalités d’exercice des droits des personnes. Les droits de rectification et d’accès s’exercent auprès de la personne agréée. La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes. Sur la durée de conservation La Commission prend acte que les informations relatives au candidat à l’obtention de l’agrément sont conservées en base active le temps de l’instruction et de la délivrance de l’agrément par le ministre de l’agriculture. En cas de refus de l’agrément par le ministre de l’agriculture, les données sont conservées jusqu’à l’extinction des différentes voies de recours puis archivées conformément aux dispositions du code du patrimoine relatives aux obligations d’archivage des informations dans le secteur public. Les informations relatives à l’agrément, une fois obtenu, sont conservées dix ans. A cet égard, la Commission relève que cette durée correspond au temps de validité de l’agrément. A l’expiration de cette période, les données sont archivées conformément aux dispositions du code du patrimoine susvisées. S’agissant des informations contenues dans le fichier nominatif tenu par la personne agréée, celles-ci sont conservées dix ans à compter de leur enregistrement. La Commission considère que cette durée de conservation est justifiée par le temps nécessaire aux études épidémiologiques qui nécessitent un historique des évènements sanitaires. Sur les mesures de sécurité La Commission prend acte que des mesures de protection physiques et logiques seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée et frauduleuse, notamment par des tiers non autorisés, préserver l’intégrité des données traitées, et en assurer la disponibilité. A ce titre, elle rappelle que des profils d’habilitation doivent définir les fonctions ou les types d’informations accessibles à un utilisateur. Ceux-ci ainsi que leurs droits respectifs doivent être spécifiés et documentés de manière détaillée, et prendre en compte les accès différentiés aux informations en fonction du besoin d’en connaître. La Commission rappelle qu’elle recommande que les permissions d’accès soient attribuées pour une durée déterminée, qu’elles soient supprimées pour tout utilisateur n’étant plus habilité, et qu’une revue globale des habilitations soit opérée régulièrement. L’authentification des utilisateurs du traitement doit être assurée par l’utilisation de mots de passe régulièrement renouvelés et, constitués d’au moins huit caractères contenant des majuscules, des minuscules, et des chiffres lorsque l’authentification prévoit une restriction de l’accès au compte, conformément à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe modifiée. Des sauvegardes régulières doivent être réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission tient à rappeler l’importance de tester régulièrement les sauvegardes. La Commission rappelle que ces obligations nécessitent la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. Pour la Présidente La Vice-Présidente Déléguée Mme Sophie LAMBREMON