Date de l’avis
14 septembre 2023

N° de la délibération



N° de demande d’avis
Organisme(s) à l’origine de la saisine :
: projet de recherche hors santé relatif à l’enquête longitudinale familles et employeurs
Texte concerné
Thématiques
: Institut national d’études démographiques, recherche hors santé, enquête familles et employeurs

Fondement de la saisine
article 44.6°
L’essentiel

La CNIL estime légitime le projet de traitement de données à caractère personnel relatif à la mise en œuvre de l’enquête longitudinale familles et employeurs (FamEmp).
Elle invite toutefois l’Ined à supprimer
immédiatement les données de santé après le recodage par catégories et à restreindre au maximum le nombre de personnes habilitées pouvant accéder aux données directement identifiantes.
Elle rappelle également la nécessité de fixer une durée de conservation pour les données pseudonymisées.
La CNIL invite l’Ined à prévoir un mécanisme d’opposition à l’appariement des données facile et accessible à toute personne, y compris celles ne disposant pas de matériel informatique et/ou ne maîtrisant pas les outils informatiques.
S’agissant des modalités d’exercice des droits, elle recommande la sensibilisation des opérateurs aux tentatives d’usurpation d’identité. Elle demande également à l’Ined d’envisager des solutions combinant des secrets transmis au participant pendant la prise de contact et des données collectées.
La CNIL rappelle que l’ensemble des mesures de sécurité devront être au moins équivalentes aux exigences du référentiel de la CNIL "entrepôt de données dans le domaine de la santé".
LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
(ci-après loi "informatique et libertés"), notamment son article 44.6°
Sur la proposition de M. Claude CASTELLUCCIA, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
ADOPTE LA DÉLIBÉRATION SUIVANTE :
La saisine
Le contexte
Le projet d’enquête longitudinale Familles et Employeurs (FamEmp) résulte du constat de changements économiques, sociaux, démographiques et politiques qui accroissent les tensions et effacent les frontières entre vie privée et professionnelle. Dans la sphère de l’emploi, il s’agit notamment de l’augmentation des postes précaires, des horaires atypiques, de la numérisation permettant de nouvelles formes d’emplois et de travail (ex. : nomade, télétravail). Dans la sphère familiale et personnelle, les configurations familiales et les représentations des rôles des femmes et hommes et de la parentalité évoluent (augmentation des ruptures d’union, des recompositions familiales, des familles monoparentales et situations d’aidance, etc.).
Aussi, l’enquête FamEmp vise à mettre à disposition de la communauté scientifique des données d’enquête statistique relatives aux équilibres entre vie professionnelle, familiale et personnelle afin d’analyser l’incidence de ces interrelations sur les parcours de vie et les facteurs de risques selon les caractéristiques professionnelles et familiales.
Les trois vagues de collecte (2023 - 2024, 2026 - 2027 et 2029 - 2030) seront couplées, en partie, avec l'enquête européenne
Generations and Gender Survey
Le 2 décembre 2021, l’enquête a reçu l’avis d’opportunité favorable du Conseil national de l’information statistique (CNIS),
attestant de son caractère statistique, d’intérêt public et de l’absence d’autres sources disponibles à ce sujet.
Le 5 octobre 2022, elle a
a obtenu le label d'intérêt général et de qualité statistique ainsi que le caractère obligatoire (visa n° 2023X042AU du ministre de l’économie, des finances et de la relance).
L’objet de la saisine
La CNIL a été saisie pour avis le 22 mai 2023 sur la première vague (2023 - 2024) de l’enquête

Dans la mesure où il porte sur des données sensibles au sens

La saisine porte sur trois composantes du projet de traitement :
une répétition générale

Employeurs
l’enquête réelle



Employeurs
des appariements avec des données administratives gérées par l’Insee



Employeurs
L’Institut national des études démographiques (Ined) est le responsable de ce traitement, qu’il met en œuvre sur la base de l’exécution d’une mission d’intérêt public (article 6.1.e du RGPD).
L’avis de la CNIL
Sur les catégories de données collectées
Certaines des questions du volet

La CNIL prend acte de la nécessité d’une question ouverte. En effet, une question fermée serait inadaptée tant au niveau technique (longueur d’une liste exhaustive) que sémantique (difficulté à lister à la fois des pathologies, maladies et déficiences en regroupant à la fois des termes médicaux et des termes du langage courant). Elle note que les réponses, facultatives, pseudonymisées et recodées par catégories, seront stockées sur des serveurs sécurisés et ne seront pas diffusées en clair dans les fichiers accessibles à la communauté scientifique.
La CNIL invite l’Ined à supprimer immédiatement les réponses après le recodage par catégories et appelle son attention sur la nécessité qu’un nombre strictement limité de personnes habilitées puissent accéder aux données directement identifiantes
Sur les durées de conservation
Le "fichier d’étude" et le "fichier de production et de recherche" - contenant tous deux des données à caractère personnel pseudonymisées et mis à disposition, respectivement, sur le Centre d’accès sécurisé aux données (CASD) et sur le réseau Quetelet Progedo Diffusion - seront archivés dix ans après la dernière demande d’accès au fichier par un chercheur.
La CNIL rappelle que la diffusion des données devra être réalisée conformément aux articles 78 de la loi "informatique et libertés" et 116 du décret n° 2019-536 du 29 mai 2019. En particulier, les données doivent être préalablement anonymisées pour être diffusées et non pseudonymisées, sauf si l’'intérêt des tiers à cette diffusion prévaut sur les intérêts ou libertés et droits fondamentaux de la personne concernée. Pour les résultats de la recherche, cette diffusion doit être absolument nécessaire à sa présentation. Les données diffusées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
La CNIL rappelle que, dans le cas de diffusion de données pseudonymisées, il est indispensable de fixer une durée de conservation, ces données ne pouvant rester disponibles pour une durée illimitée.
Par ailleurs, après l’expiration de la durée de conservation, une copie de tous ces fichiers non anonymisés sera archivée sur un serveur sécurisé de l’Ined et les fichiers d’origine seront versés aux Archives de France.
La CNIL s’interroge sur la nécessité de conserver une copie des fichiers alors qu’ils seront versés aux Archives de France. En tout état de cause, elle rappelle que l’Ined doit fixer une durée de conservation de ces archives non anonymisées.
Sur l’information des personnes
En amont du contact avec le répondant, une lettre-annonce accompagnée d’une plaquette d’information ainsi qu’un courriel ou un SMS (qui renverront vers le site de l’enquête comportant toutes les mentions d’information) si les coordonnées sont disponibles, seront envoyés individuellement à l’ensemble des individus sélectionnés. En début de questionnaire, un texte rappellera le sujet et les objectifs de l’enquête ainsi que les droits "informatique et libertés" dont disposent la personne.
L’article 13 du RGPD prévoit que, lorsque des données à caractère personnel relatives à une personne sont collectées auprès de celle-ci, le responsable du traitement lui fournit les mentions d’information au moment de la collecte.
La CNIL recommande que, dès le début de l’enquête, l’enquêteur vérifie que la personne a bien reçu les mentions informatives. L’ensemble des éléments prévus par l’article 13 devraient être à nouveau délivrés à l’enquêté verbalement ou dès le début du questionnaire web, le cas échéant, y compris concernant les modalités d’exercice des droits. À titre de bonne pratique et afin de se prémunir contre tout risque de fraude, elle recommande en outre de mettre en place un dispositif permettant à l’enquêté de vérifier qu’il s’agit bien d’une enquête de l’Ined.
Elle rappelle que le responsable de traitement doit prévoir une information relative aux destinataires du traitement, qui comprendront également la communauté scientifique via les réseaux Quetelet Progedo Diffusion et le CASD.
Des paradonnées - données recueillies en parallèle d’un dispositif de collecte et qui en décrivent le processus, là où les métadonnées décrivent les données collectées - seront enregistrées.
La CNIL invite l’Ined à publier sur son site web l’information selon laquelle ces paradonnées issues de la navigation dans le questionnaire, retraçant l’ensemble des actions effectuées par les enquêtés sur l’interface web ainsi que leur date et heure, seront collectées.
S’agissant de l’information des personnes tierces dont les données pourraient être collectées, l’Ined entend mobiliser la dérogation prévue à l’article 14.5.b du RGPD dès lors que, notamment, "
l’obtention de leurs identités et coordonnées et la fourniture des informations exigeraient des efforts disproportionnés, en particulier parce que les données relatives aux personnes tierces sont traitées pour caractériser les répondants et non pas en vue de collecter des informations précises sur des tiers"
Par ailleurs, le site web de l’enquête comportant les mentions informatives requises restera accessible en ligne au moins deux ans après l’étude.
La CNIL rappelle que tant que les données à caractère personnel ne sont pas détruites, même lorsqu’elles sont archivées, l’information doit demeurer accessible à toute personne souhaitant exercer ses droits.
Sur les droits des personnes
Les enquêtés pourront s’opposer à l’appariement de leurs réponses avec des données administratives via une adresse électronique indiquée dans les mentions informatives des lettres-avis.
La CNIL invite l’Ined à prévoir un mécanisme d’opposition facile et accessible à toute personne, y compris celles ne disposant pas de matériel informatique et/ou ne maîtrisant pas les outils informatiques.
S’agissant des modalités d’exercice des droits, une fois le "fichier contact" détruit, les personnes qui souhaitent exercer leurs droits, en particulier leur droit d’accès, seront retrouvées soit avec leur identifiant, soit, pour celles ayant accepté d’être recontactées, avec leur nom, numéro de téléphone ou leur adresse électronique. À défaut, l’Ined pourra leur poser quelques questions afin de retrouver le questionnaire qui les concerne.
La CNIL relève que ces modalités d’exercice des droits reposent sur des informations qui peuvent être publiques (par exemple, le numéro de téléphone).
Elle invite, au regard de la sensibilité des données traitées, à la plus grande précaution pour éviter toute usurpation d’identité visant à accéder aux données d’un tiers.
Elle demande également à l’Ined d’envisager des solutions combinant des secrets transmis au participant pendant sa démarche (par exemple, lors de l’information sur ses droits) avec des questions d’identification reposant sur les données collectées.
Sur les accédants et destinataires des données
L’Ined précise que seules les données issues du "fichier d’étude", du "fichier de production et de recherche", ainsi que des versions enrichies de ces fichiers avec des données administratives, seront mises à la disposition de la communauté scientifique via le réseau Quetelet Progedo Diffusion ou le CASD.
La CNIL appelle l’attention de l’Ined sur le fait que la consultation de son système de stockage par une personne se situant sur le territoire d’un État tiers à l’Union européenne constitue un transfert de données hors de l’Union européenne qui doit être réalisé conformément au Chapitre V du RGPD.
Sur les mesures de sécurité
L’Ined a réalisé et transmis à l’appui de la demande d’avis une analyse d’impact relative à la protection des données spécifique au traitement envisagé.
Compte tenu de la sensibilité des données collectées,
la CNIL recommande que l’ensemble des outils, en particulier les espaces de stockage et de travail utilisés pour mener l’étude, et mesures de sécurité soient conformes à l’état de l’art
À cet égard,
la CNIL recommande une surveillance, automatique ou manuelle, de tout export de données hors de ces espaces, afin d’en vérifier systématiquement le caractère anonyme.
Différents pseudonymes aléatoires sont attribués aux participants dans les fichiers produits à partir de la collecte des réponses aux deux volets de l’enquête. Ceux-ci devront être distincts pour les différents flux de données. Toute table de correspondance devra être supprimée dans les meilleurs délais après consolidation de la base et la génération de nouveaux pseudonymes pour celle-ci. Pour toute mise à disposition, des pseudonymes dédiés à chaque espace de travail devront être générés.
Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Afin de garantir la confidentialité des secrets et l'effectivité du chiffrement des données,
la CNIL rappelle que la transmission de tout secret doit se faire via des canaux de communication séparés de ceux des données chiffrées ou de leur lien de mise à disposition
La CNIL considère que la nature des données de l’étude exige que celles-ci fassent l'objet de mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité, tant au niveau des bases de données, des tables de correspondance que des sauvegardes.
L’Ined devra s’assurer du respect des exigences de sécurité à toutes les étapes du traitement opérées par les différents organismes participants.
Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5.1.f et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il lui appartiendra de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Les autres dispositions du projet de décision n’appellent pas d’observations de la part de la CNIL.
La Présidente
Marie-Laure DENIS