Délibération n° 2020-110 du 29 octobre 2020 portant avis sur un projet de traitement automatisé de données à caractère personnel nécessaire à la réalisation d’une enquête de recherche publique intitulée "AMP sans frontières"
Type : Avis
Date : 2020-10-29
État juridique : VIGUEUR

La Commission nationale de l'informatique et des libertés, Saisie par l’Institut national d’études démographiques (INED) d’une demande d’avis concernant un projet de traitement automatisé de données à caractère personnel nécessaire à la réalisation d’une enquête de recherche publique intitulée " AMP sans frontières " ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment le 6° de son article 44 ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 116 ; Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement, Émet l’avis suivant : A titre liminaire, la Commission relève que l’enquête de recherche publique intitulée " AMP-sans-frontières " vise à mesurer et décrire la population de personnes majeures résidentes en France et ayant recours à une aide à la procréation, explorer ses parcours et expériences, ses motivations et attentes, en particulier par rapport au cadre légal et médical de l’assistance médicale à la procréation (AMP) en France. Dans ce contexte, elle relève que le traitement projeté poursuit des finalités de recherche scientifique. Elle estime à cet égard que le traitement relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après le RGPD) et prend acte que l’Institut national des études démographiques (INED) entend se prévaloir de la base légale mentionnée au e) du 1. de l’article 6 du RGPD, à savoir de l’exécution d’une mission d’intérêt public Dans la mesure où il porte sur des données " sensibles " au sens de la réglementation, le traitement projeté doit faire l’objet d’un avis préalable de la Commission conformément aux dispositions du 6° de l’article 44 de la loi du 6 janvier 1978 modifiée, sans préjudice de l’obligation de formaliser le cas échéant la création du traitement par un acte réglementaire spécifique. La Commission relève que le dossier transmis ne contient pas d’analyse d’impact relative à la protection des données (AIPD) car l’INED considère que seul le critère des données " sensibles " ou à caractère hautement personnel est rempli. La Commission estime que le traitement peut présenter un risque élevé pour les personnes concernées dans la mesure où il est susceptible de révéler des pratiques illégales et pénalement répréhensibles par rapport au cadre légal français relatif à l’AMP. Elle considère également que le traitement pourrait conduire l’INED à collecter des données à caractère personnel relatives aux enfants conçus au moyen d’une aide médicale à la procréation, notamment des données hautement personnelles relatives à leur filiation, et rappelle que les enfants sont des personnes vulnérables. Au regard de ces éléments, elle estime que le traitement pourrait remplir deux critères nécessitant la réalisation d’une AIPD et recommande, en tout état de cause, à l’INED de réaliser une AIPD. La Commission rappelle qu’elle devra être tenue informée et saisie de toute modification substantielle affectant les caractéristiques du traitement. Dans ces conditions, le traitement projeté appelle les observations suivantes. Sur le contexte général de réalisation de l’enquête Ce projet d’enquête est scindé en plusieurs volets : une pré-enquête, dénommée " Cap AMP " a eu lieu entre juin et septembre 2018, 544 personnes dont 422 personnes remplissant les critères d’inclusion ont répondu au questionnaire diffusé ; un questionnaire en ligne sera diffusé via des réseaux identifiés, auquel les personnes concernées pourront répondre de façon volontaire ; des entretiens semi-directifs seront réalisés a posteriori, à la suite de cette enquête, auprès des personnes qui auront accepté d’être recontactées après avoir rempli le questionnaire en ligne. A titre liminaire, la Commission regrette ne pas s’être vu communiquer davantage d’informations concernant la pré-enquête " Cap AMP ". Si l’INED considère que le questionnaire ne permettait de collecter aucune donnée identifiante de la personne concernée car étaient seulement demandés l’âge, la région de résidence et la période à laquelle avait eu lieu la dernière méthode utilisée, elle rappelle que l’identification d’une personne n’est pas uniquement nominative et qu’elle peut aussi être réalisée par recoupement de données. Elle souligne qu’en fonction des données collectées, notamment si des données " sensibles " sont présentes, des formalités préalables peuvent être à réaliser avant la mise en œuvre du traitement. En premier lieu, la Commission relève que l’INED envisage de diffuser l’annonce du questionnaire via son site web et les réseaux sociaux. A cet égard, elle rappelle, de manière générale, que l’utilisation d’outils de diffusions publicitaires est susceptible de relever de l’article 82 de la loi du 6 janvier 1978 modifiée dès lors que des opérations de lecture ou écriture sont mises en œuvre sur le terminal de l’utilisateur. Dans cette hypothèse, elle souligne que le consentement libre, spécifique, éclairé et univoque préalable des personnes concernées devra être recueilli dans les conditions prévues par la réglementation. Le responsable de traitement qui se prévaut d’un tel consentement devra être indiqué. La Commission précise également qu’il reviendra, le cas échéant, à l’INED de s’assurer qu’aucune donnée sensible n’est traitée par les intermédiaires auxquels il est fait appel pour diffuser le questionnaire et que le statut ainsi que les obligations de ces intermédiaires devront être clarifiés. En deuxième lieu, la Commission observe que seront aussi mobilisés des registres de pays et de centres médicaux qui recensent le nombre de personnes résidant en France reçues pour une AMP. Elle prend acte que ces données seront recueillies auprès des représentants nationaux de la Société européenne de reproduction humaine et d’embryologie qui collecte annuellement les activités de l’AMP en Europe ainsi qu’auprès des responsables des centres médicaux. En troisième lieu, elle observe, en outre, que pour la réalisation de l’enquête projetée, l’INED va produire plusieurs fichiers, à savoir : un " fichier brut de la collecte " qui contiendra les données recueillies au moyen du questionnaire en ligne ; un " fichier de production intermédiaire " qui sera issu du fichier brut et qui sera apuré de toute référence à des coordonnées et de données nominatives. Il s’agit alors d’un fichier pseudonymisé ; un " fichier d’étude ", qui sera utilisé par les concepteurs et le groupe d’exploitation pour produire les statistiques et les premières publications. Il sera soumis à la signature par l’utilisateur d’un engagement de confidentialité ; un " fichier de production et de recherche " : fichier pseudonymisé qui sera mis à disposition des chercheurs via le réseau Quetelet ; un " fichier des contacts pour les entretiens qualitatifs " ; un " fichier des historiques de connexion " qui sera fourni à l’INED par le prestataire en charge du développement du questionnaire en ligne ; les enregistrements des entretiens qualitatifs réalisés avec les personnes ayant accepté d’être recontactées. En quatrième lieu, la Commission rappelle que la diffusion des données devra être réalisée conformément aux articles 78 de la loi du 6 janvier 1978 modifiée et 116 du décret n° 2019-536 précité. En particulier, il ressort de ces dispositions que les données doivent être préalablement anonymisées pour être diffusées et non pseudonymisées, sauf si l'intérêt des tiers à cette diffusion prévaut sur les intérêts ou les libertés et droits fondamentaux de la personne concernée. Pour les résultats de la recherche, cette diffusion doit être absolument nécessaire à sa présentation. Les données diffusées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Sur les données collectées La Commission observe que la finalité poursuivie implique la collecte de nombreuses données à caractère personnel de natures très variées auprès des personnes enquêtées, dont certaines relèvent de la catégorie des données dites " sensibles " au sens de l’article 9 du RGPD, notamment des données relatives à la santé (données révélant des problèmes d’infertilité par exemple), à la vie sexuelle ou à l’orientation sexuelle (données révélant l’homo-conjugalité par exemple). Elle rappelle que les données " sensibles " sont définies largement par l’article 9 du RGPD comme étant celles " qui révèle[nt] l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique ". La Commission relève que le questionnaire qui sera diffusé en ligne contient plusieurs zones de texte libre, afin notamment d’inviter les personnes à préciser les critères de choix (dont les caractéristiques physiques et/ou physiologiques ou encore la religion) de la gestatrice ou du donneur, le contexte de la rencontre avec la gestatrice ou le donneur, les difficultés rencontrées, à indiquer ce qu’elles feraient si elles avaient la possibilité de changer la prise en charge médicale ou la loi en France, ou encore à donner d’autres informations librement quant à la méthode utilisée. Elle rappelle que des entretiens postérieurs sont également envisagés pour " mettre des mots sur les recours et parcours " selon les précisions de l’INED. Elle considère, par conséquent, que sont ainsi susceptibles d’être collectées des données relatives à l’opinion politique et/ou aux convictions religieuses ou des données susceptibles de révéler la prétendue origine raciale ou ethnique. Les mentions d’information ainsi que le registre de traitement devront être mis à jour sur ce point. Au regard de ces précisions, la Commission rappelle que les données " sensibles " font l’objet d’une protection particulière et estime qu’il conviendrait de pré-renseigner ces champs libres avec une information relative à la manière dont il convient de les renseigner afin de limiter au strict nécessaire la collecte de telles données. Une vigilance particulière devra également être apportée s’agissant des données qui pourront être collectées dans le cadre des entretiens semi-directifs qui auront lieu a posteriori auprès des personnes qui auront accepté d’être recontactées. Les autres catégories de données collectées n’appellent pas d’observations particulières de la part de la Commission. Sur les durées de conservation Il résulte des précisions apportées par l’INED que le " fichier brut ", le " fichier de production intermédiaire " et le " fichier d’étude " seront conservés jusqu’à cinq ans après la date de la dernière valorisation scientifique. Le " fichier de production et de recherche " sera mis à disposition sur le réseau Quetelet Progedo Diffusion et suivra les règles de conservation prévue dans ce cadre. Le " fichier des contacts pour les entretiens qualitatifs " sera détruit dès que les entretiens auront été réalisés. Les fichiers d’enregistrements audio seront conservés le temps de la vérification de leur retranscription puis seront supprimés. Les retranscriptions seront conservées jusqu’à cinq ans après la date de la dernière valorisation scientifique. La Commission prend acte qu’après l’expiration des dates de conservation des fichiers concernés, une copie sera archivée sur un serveur sécurisé de l’INED et les fichiers d’origine seront versés aux Archives de France. En premier lieu, la Commission relève que le " fichier de production et de recherche ", mis à disposition de la communauté scientifique via le réseau Quetelet-Progedo-Diffusion, est présenté comme subissant un traitement d’anonymisation. Cependant, le responsable de traitement ne le présente pas comme anonyme, ces mesures permettant uniquement de faire diminuer la possibilité de réidentification. Ces données restant donc des données à caractère personnel, la Commission rappelle qu’il est indispensable de fixer une durée de conservation, ces données ne pouvant en tout état de cause rester disponibles pour une durée illimitée. A cet égard, la Commission rappelle que l’anonymisation des données devrait être conforme à l’avis n°05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G 29) le 10 avril 2014. En deuxième lieu, concernant les autres fichiers (en dehors du " fichier des contacts pour les entretiens qualitatifs " qui sera détruit dès que les entretiens auront été réalisés), la Commission estime que la durée de conservation ne saurait être supérieure à cinq ans à compter de la dernière publication scientifique. Sous réserve de ce qui précède, la Commission considère que les données collectées sont conservées pendant une durée qui n’excède pas la durée nécessaire compte tenu des finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD. En troisième lieu, les données dédiées à l’archivage ont été clairement identifiées. Celles-ci font l'objet d'une procédure spécifique, à l'issue de leur durée de conservation, qui permet leur extraction et leur stockage dans des conditions adéquates. Cependant, la Commission rappelle que ces archives conservées par l’INED ne peuvent l’être de manière indéfinie, et il est indispensable que le responsable de traitement leur fixe une durée de conservation. En quatrième lieu, la Commission rappelle qu'une durée de conservation des journaux de 18 mois n'est pas conforme aux six mois préconisés par la Commission pour ce type de traitement, et qu’aucune finalité compatible n’a été mise en avant par le responsable de traitement justifiant l'application d'une durée différente de celle habituellement préconisée par la Commission. Elle rappelle que la mise en œuvre d’un mécanisme proactif de contrôle automatique des traces contribue à la détection des comportements anormaux par la génération automatique d’alertes. Sur les destinataires des données En premier lieu, la Commission prend acte que pourront avoir accès aux données les membres de l’équipe scientifique ainsi que le comité scientifique du consortium sur le " cloud " de l’INED. Elle observe que certains membres du comité scientifique pourraient se trouver hors du territoire de l’Union européenne, notamment au Royaume-Uni qui ne fait désormais plus partie de l’Union européenne mais bénéficie d’une période transitoire. Elle relève que la consultation du " cloud " de l’INED par une personne se situant sur le territoire d’un Etat tiers constitue un transfert de données hors de l’Union européenne. La Commission rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD. Elle relève que le Royaume-Uni bénéficie d’une période transitoire jusqu’au 31 décembre 2020. Elle considère que, après cette date, il reviendra à l’INED de s’assurer de la licéité d’un tel transfert et de mettre en œuvre les mesures de sécurité nécessaires au traitement des données par des chercheurs situés en dehors du territoire de l’Union européenne. En particulier, elle rappelle que les transferts de données vers des Etats n’appartenant pas à l’Union européenne ne pourront être opérés que sous réserve du respect des conditions énoncées aux articles 45 et suivants du RGPD. En l’absence de décision d’adéquation adoptée par la Commission européenne, de tels transferts ne pourront être réalisés que sous réserve que des garanties appropriées soient mises en œuvre conformément à l’article 46 du RGPD. Sous réserve de ce qui précède, la Commission considère que la consultation des données par les personnes mentionnées dans les nouveaux articles apparaît justifiée et proportionnée. En second lieu, la Commission demande, conformément à l’article 13 du RGPD, que l’ensemble des catégories de destinataires, notamment la communauté scientifique via des réseaux de diffusion, apparaisse dans les informations délivrées aux personnes concernées. Elle prend acte de l’engagement de l’INED sur ce point. Sur les droits des personnes En premier lieu, s’agissant du droit à l’information des personnes concernées, la Commission prend acte que l’INED n’entend pas se prévaloir de dérogations prévues par le RGPD et la loi du 6 janvier 1978 modifiée. En second lieu, s’agissant des autres droits (droits d’accès, à la rectification, à l’effacement, d’opposition, à la limitation du traitement), la Commission prend acte qu’ils pourront être exercés par la personne concernée auprès de la déléguée à la protection des données de l’INED. Elle prend également acte que la personne concernée qui souhaite exercer ses droits n’aura qu’à fournir le numéro unique au questionnaire, sans besoin de communiquer des informations nominatives. Sur les mesures de sécurité La Commission rappelle au responsable de traitement que la loi lui impose d'encadrer ses relations avec ses sous-traitants amenés à traiter des données à caractère personnel pour son compte, par un contrat précisant les objectifs de sécurité qu'il a fixé aux sous-traitants, et de vérifier que ces mêmes sous-traitants présentent les garanties appropriées afin d'assurer la sécurité des données. La Commission rappelle la nécessité de mettre en œuvre des conditions de sécurité effectives, de haut niveau et de nature à garantir la confidentialité des données pour la réception et la mise à disposition de fichiers depuis et vers des destinataires extérieurs. Ces conditions doivent reposer sur des moyens permettant d'assurer l’authentification des destinataires, la confidentialité et l’intégrité des transmissions. De plus, elle considère que la nature des données exige que celles-ci fassent l'objet de mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité tant au niveau des bases de données que des sauvegardes. En l’absence de précision sur les règles applicables aux mots de passe, la Commission ne peut que rappeler qu’il est nécessaire que le responsable de traitement mette en place une politique de mots de passe conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. La Commission attire l’attention du responsable de traitement sur le fait que les sites web doivent faire l'objet de mesure à l'état de l'art afin de garantir leur sécurité. A ce titre, la Commission insiste sur la nécessité de mettre en place des mesures spécifiques, telles que celles recommandées par l'ANSSI dans les " recommandations pour la sécurisation des sites web ". La Commission rappelle que les équipements mobiles accueillant les données (et ce quel que soit la typologie d’accédant) doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. Elle rappelle également que les postes de travail doivent disposer d'un pare-feu, que les logiciels et systèmes d'exploitations installés doivent faire l'objet de mises à jour et que les équipements mobiles doivent de plus faire l'objet de mesures de verrouillage ou d'effacement à distance, activées en cas de perte ou de vol de l'équipement. La Présidente Marie-Laure DENIS