La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut national d’études démographiques (INED) d’une demande d’avis relative à la réalisation et à l’analyse des résultats d’une enquête statistique portant sur les mutations sociodémographiques dans les départements et régions d’Outre-mer dénommée Migrations, Famille, Vieillissement (MFV-2) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 51-711 du 7 juin 1951 modifiée relative à l’obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 44-6° ;
Vu le décret n° 2009-318 du 20 mars 2009 relatif au Conseil national de l'information statistique, au comité du secret statistique et au comité du label de la statistique publique ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2009-497 du 17 septembre 2009 autorisant l’Institut national d’études démographiques (INED) à mettre en œuvre les traitements automatisés de données à caractère personnel nécessaires à la réalisation et à l’analyse des résultats d’une enquête statistique portant sur les mutations sociodémographiques dans les départements d’Outre-mer dénommée Migration, Famille, Vieillissement (MFV) ;
Vu la délibération n° 2015-309 du 10 septembre 2015 autorisant l’Institut national d’études démographiques (INED) à mettre en œuvre des traitements automatisés de données à caractère personnel ayant pour finalités la réalisation et l’analyse des résultats d’enquête statistique portant sur les mutations sociodémographiques dans le département d’Outre-mer de Mayotte dénommée Migration, Famille, Vieillissement (MFV Mayotte) ;
Vu la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission relève que le projet d’enquête dont elle est saisie, qui s’inscrit dans la continuité de l’enquête Migration, Famille et Vieillissement menée en 2009 (MFV) sur lequel elle s’est déjà prononcée, vise principalement à mettre en lumière les évolutions survenues depuis, évaluer les incidences en termes de politiques publiques et mesurer leurs effets sur la vie économique et sociale en dégageant les spécificités de chacun des territoires étudiés.
Dans ce contexte, le traitement projeté poursuit des finalités de
. Elle estime à cet égard que le traitement relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après le RGPD ) et prend acte que l’INED entend se prévaloir de la base légale de
l’exécution d’une mission d’intérêt public
Dans la mesure où il porte sur des données sensibles au sens de la réglementation, le traitement projeté doit faire l’objet d’un avis préalable de la Commission conformément aux dispositions de l’article 44-6° de la loi du 6 janvier 1978 modifiée, sans préjudice de l’obligation de formaliser, le cas échéant, la création du traitement par un acte réglementaire spécifique. Elle rappelle qu’elle devra être tenue informée et saisie de toute modification substantielle affectant les caractéristiques du traitement, l’analyse d’impact relative à la protection des données (AIPD) transmise devant quant à elle faire l’objet d’une mise à jour.
Sur le contexte général de réalisation de l’enquête MFV2
La Commission prend acte que le projet d’enquête porte sur un échantillon constitué pour obtenir un total d’environ 13 000 répondants (3 000 respectivement en Guadeloupe, à La Réunion et en Martinique ainsi que 4 000 en Guyane) afin de collecter des données à partir du 8 janvier 2020 et jusqu’en décembre 2021.
La collecte de données ainsi réalisée doit permettre l’analyse et la mesure des mutations sociodémographiques dans chacune des collectivités précitées et, plus particulièrement, l’importance et les caractéristiques des migrations, l’évolution des structures familiales, les changements dans les comportements de fécondité, la place et les perspectives d’avenir de la jeunesse, l’importance de la précarité sociale ou encore l’évolution des formes traditionnelles de solidarité en lien avec le vieillissement de la population.
Elle relève que la base de sondage constituée pour l’occasion par l’Institut national de la statistique et des études économiques (INSEE) à partir des données collectées lors des enquêtes annuelles de recensement (EAR) est décomposée en trois vagues pour les Antilles et la Réunion et quatre pour la Guyane. Le tirage de la première vague sera réalisé dans le cycle d’EAR 2014-2018, celui des deuxième et troisième vagues dans le cycle 2015-2019 et la quatrième vague dans le cycle 2016-2020 (sous réserve de la production des images du recensement associées à l’EAR 2020).
Dans chaque logement retenu à l’issue du tirage, la personne devant répondre au questionnaire sera sélectionnée parmi les individus entrant dans le champ de l’enquête, et dont c’est la résidence principale, par la méthode de la date d’anniversaire la plus proche.
La Commission relève que la maîtrise d’ouvrage de ce projet d’enquête est assurée par l’INED, tandis que l’INSEE assure la maitrise d’œuvre en qualité de sous-traitant en prenant notamment en charge la sélection de l’échantillon et la collecte des données. A cet égard, elle relève qu’une convention a été conclue entre l’INED et l’INSEE le 6 décembre 2019, définissant les responsabilités et obligations respectives de ces acteurs, conformément aux dispositions de l’article 28 du RGPD.
La Commission prend également acte des précisions apportées par l’INED selon lesquelles l’INSEE, intervenant dans la réalisation de cette enquête en qualité de sous-traitant, a renoncé à tout droit sur les données et ne les traitera pas à des fins statistiques.
Elle relève en outre que l’enquête sera réalisée en face à face par des enquêteurs de l’INSEE à partir d’un outil informatique permettant la saisie des données en temps réel.
La Commission observe enfin que le projet d’enquête a reçu l’avis de conformité du Comité du label de la statistique publique le 27 septembre 2019 permettant, par délégation du Conseil national de l’information statistique (CNIS), l’attribution du label d’intérêt général et de qualité statistique.
Ce projet d’enquête est par ailleurs inscrit au programme d’enquêtes statistiques des services publics et des autres services producteurs d’informations statistiques pour 2020, tel qu’approuvé par l’arrêté du 24 octobre 2019 du ministre de l’économie et des finances. Il a reçu le visa du ministre de l’économie et des finances conformément à l’article 2 de la loi n° 51-711 du 7 juin 1951 susvisée et s’est vu conférer à cette occasion le caractère d’enquête obligatoire.
Outre le projet d’enquête principal auprès des personnes de 18 à 79 ans vivant en ménage ordinaire dans les quatre DROM (La Réunion, Guadeloupe, Martinique et Guyane) distinguant les personnes natives des DROM, dont les natifs de retour (personnes natives du département ayant vécu en dehors avant de s’y réinstaller), et immigrants (personnes nées en dehors du département qui s’y sont installées), il est prévu que des post-enquêtes qualitatives, exclues de la présente demande d’avis, puissent être effectuées. Celles-ci seront réalisées auprès des personnes enquêtées ayant donné leur accord et, si elles y consentent, auprès d’
enfants-adultes
Sur les finalités du traitement
La Commission relève que le projet d’enquête vise à permettre la production d’analyses et de publications statistiques par le responsable du traitement, ainsi que la mise à disposition de données indirectement identifiantes à la communauté scientifique en vue de leur réutilisation à des fins de recherche scientifique.
Elle prend acte des précisions selon lesquelles
ces finalités doivent permettre de répondre
aux besoins publics d’un renouvellement des connaissances sur l’importance et la rapidité des mutations sociodémographiques en cours dans les lieux visés.
La Commission considère que les finalités poursuivies par le traitement projeté sont déterminées, explicites et légitimes, conformément aux dispositions du b) du 1) de l’article 5 du RGPD.
Sur la nature des données traitées
La Commission observe que les finalités poursuivies impliquent la collecte de nombreuses données à caractère personnel de natures très variées auprès des personnes enquêtées, dont certaines relèvent de la catégorie des données dites sensibles au sens de l’article 9 du RGPD. Le questionnaire comprend ainsi dix modules sur les enfants de la personne enquêtée et de son conjoint, son union actuelle et les unions passées, la maîtrise et l’avenir de la fécondité, la trajectoire sociale et professionnelle, un module distinct selon que la personne enquêtée est native du département ou immigrante, les expériences de rejet ou de discrimination dans le département, la famille élargie, les solidarités et aides, l’état de santé et l’accès aux soins et les langues et la religion.
La Commission rappelle que, dans la décision n° 2007-557 DC du 15 novembre 2007, le Conseil constitutionnel a jugé que
si les traitements nécessaires à la conduite d'études sur la mesure de la diversité des origines des personnes, de la discrimination et de l'intégration peuvent porter sur des données objectives, ils ne sauraient, sans méconnaître le principe énoncé par l'article 1er de la Constitution, reposer sur l'origine ethnique ou la race .
Elle observe que le projet d’enquête, qui vise principalement à collecter des données objectives, ne repose pas sur l’origine ethnique ou prétendument raciale des personnes interrogées. Si certaines questions, telles que celles relatives aux expériences de discrimination, impliquent la collecte de données subjectives, la Commission estime que cette enquête n’a pas pour objet, même indirectement, de classifier les personnes interrogées en fonction soit de leur origine ethnique ou prétendument raciale déclarée, soit d’un référentiel ethno-racial. Dans ces conditions, elle estime que les questions posées ne sont pas contraires à la décision précitée du Conseil Constitutionnel.
En outre, la Commission rappelle que, dans la mesure où l’INED n’est pas un service statistique ministériel, il ne peut pas mobiliser l’exception prévue à l’article
44-2° de la loi du 6 janvier 1978 modifiée pour traiter des données sensibles à des fins statistiques dans le cadre de MFV2. Elle rappelle ainsi que l’INED s’inscrit dans le cadre des dispositions de l’article 44-6° de cette même loi lui permettant le traitement de données sensibles pour des traitements nécessaires à la recherche publique sous réserve que des motifs d’intérêt public important les rendent nécessaires.
Sur les droits des personnes
En premier lieu
, la Commission rappelle que conformément aux dispositions de l’article 12 du RGPD, le responsable du traitement est tenu de prendre des mesures appropriées pour fournir aux personnes concernées des informations sur le traitement et leurs droits
d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples. .
Elle prend acte qu’une lettre-avis rédigée en français doit être adressée par courrier au domicile de la personne devant être interrogée, que les enquêteurs sont tenus de s’assurer de la bonne réception de la lettre-avis et qu’ils sont en capacité d’en fournir une copie avant de débuter la collecte des données si nécessaire.
La Commission demande cependant que les lettres-avis soient complétées afin d’y faire figurer l’ensemble des mentions listées à l’article 13 du RGPD. En particulier, elle invite l’INED à mentionner explicitement la base légale du traitement et indiquer que les réponses pseudonymisées seront mises à disposition de chercheurs extérieurs à l’INED. La Commission invite également à préciser l’information sur les délais de conservation des données à caractère personnel afin d’indiquer, d’une part, que les données nominatives nécessaires à la réalisation de post-enquêtes qualitatives seront conservées jusqu’à la fin de l’année 2023 et, d’autre part, pour indiquer que les réponses seront conservées sous forme pseudonymisée pour une durée de cinq ans à compter de la dernière valorisation, elle-même prévue dans un délai de quatre ans à l’issue de la collecte. L’adresse postale permettant de contacter par courrier le délégué à la protection des données de l’INED devra également être modifiée afin de tenir compte du changement d’adresse de l’INED.
Ces éléments rappelés, elle prend acte, que la lettre-avis informera les personnes de leurs droits d’accès, de rectification, d’effacement et de limitation pour les données les concernant, qu’elles pourront exercer auprès de l’INED pendant la période de conservation des données permettant leur identification directe. A l’issue du processus de pseudonymisation des données, les mêmes procédures seront appliquées pour répondre aux demandes d’exercice de ces droits uniquement s’il est possible de retrouver la personne concernée dans le fichier à partir des informations qu’elle aura fournies.
Par ailleurs, elle invite l’INED à prendre des mesures appropriées pour s’assurer que les personnes enquêtées non-francophones ont effectivement reçu ces informations au plus tard au moment de la collecte
En deuxième lieu
, la Commission relève que le projet d’enquête prévoit de demander aux répondants s’ils acceptent de fournir les coordonnées de leurs enfants majeurs (numéro de téléphone et adresse électronique) lorsque ces derniers vivent en dehors du département. Ces coordonnées devront permettre de contacter ultérieurement ces enfants afin de leur proposer de participer à une enquête complémentaire facultative sur leur vision de leur avenir et de celui de leur département d’origine et, plus particulièrement, sur leur éventuel retour au pays ainsi que les conditions de celui-ci et l’accompagnement, voire la prise en charge, de leurs parents vieillissants et les modes d’organisation afférents.
Elle rappelle dès lors qu’une information spécifique doit être communiquée, dans les conditions prévues par l’article 14 du RGPD, aux enfants majeurs dont les données ont été collectées. A cet égard, si la Commission prend acte des précisions apportées par l’INED selon lesquelles la fourniture de cette information dans le délai d’un mois prévu par le RGPD engendre des difficultés d’ordre technique, elle rappelle qu’à défaut de pouvoir justifier de l’impossibilité de procéder à cette information ou des efforts disproportionnés que cela impliquerait, l’INED demeure dans l’obligation de contacter les enfants majeurs concernés afin de leur communiquer les informations requises et recueillir leur consentement pour participer à une enquête complémentaire facultative.
En troisième lieu
, la Commission relève que, compte tenu du caractère obligatoire de l’enquête, les personnes seront tenues d’y répondre avec exactitude et dans les délais fixés conformément aux dispositions de l’article 3 de la loi n° 51-711 du 7 juin 1951 susvisée.
Elle rappelle à cet égard que si, conformément à l’article 21-6 du RGPD, les personnes concernées ne peuvent s’opposer à la collecte de leurs données pour les traitements nécessaires à l’exécution d’une mission d’intérêt public et poursuivant notamment des finalités de recherche scientifique et statistiques, une telle dérogation au droit d’opposition doit cependant être assortie de garanties pour les droits et libertés des personnes conformément aux dispositions de l’article 89-2 du RGPD.
En l’espèce, la Commission prend acte des précisions apportées par l’INED selon lesquelles il est expressément rappelé aux enquêtés qu’ils peuvent choisir de ne pas répondre aux questions sensibles ou susceptibles de susciter une gêne, notamment pour le module portant sur la pratique religieuse.
Elle estime néanmoins que le questionnaire pourrait être modifié afin d’indiquer également la possibilité de non réponse dans la formulation de toute question susceptible de révéler l’état de santé, l’existence d’une demande d’asile ou la qualité de réfugié ou de membre de la famille d’une personne reconnue réfugiée, dans la mesure où il résulte des éléments transmis que le refus de réponse ou une valeur fictive pourront être renseignés, y compris dans les cas où les modalités non concerné , ne sait pas , ne souhaite pas répondre ou refus ne sont pas proposées.
Sur les destinataires des données
La Commission relève que l’INED est le dépositaire exclusif de l’ensemble des fichiers de l’enquête qui seront accessibles à ses équipes de recherche habilitées à procéder à l’exploitation des résultats.
A l’issue d’un délai de trois mois suivant la fin de la collecte des données, un
fichier brut
fichier d’étude
La Commission relève en outre qu’un
fichier de production et de recherche
fichier d’étude

Elle rappelle que les conditions d’accès à des données individuelles non anonymisées, figurant dans les questionnaires des enquêtes statistiques des services publics et ayant trait à la vie personnelle et familiale et, d'une manière générale, aux faits et comportements d'ordre privé sont prévues par l’article 6 de la loi n° 51-711 du 7 juin 1951 modifiée ainsi que par l'article 17 du décret n° 2009-318 du 20 mars 2009 susvisé. Ces données ne peuvent faire l'objet d'aucune communication de la part des services dépositaires avant l'expiration d'un délai de soixante-quinze ans suivant la date de réalisation de l'enquête ou d'un délai de vingt-cinq ans à compter de la date du décès de l'intéressé, si ce dernier délai est plus bref,
sauf décision de l'administration des archives, prise après avis du comité du secret statistique et relative à une demande effectuée à des fins de statistique publique ou de recherche scientifique ou
historique .
Elle prend acte que les procédures d’accès aux dites données

Sur les durées de conservation des données
En premier lieu
, la Commission relève que les données directement identifiantes des personnes ayant donné leur accord lors de l’enquête MFV2 pour être recontactées dans le cadre de la réalisation des post-enquêtes qualitatives, seront conservées par l’INSEE au plus tard jusqu’à la fin de l’année 2023. Ces données seront, en tout état de cause, supprimées à l’expiration de ce délai. Elle prend acte des précisions apportées par l’INED selon lesquelles les données nominatives des personnes ayant refusé de participer aux post-enquêtes qualitatives seront supprimées dans un délai de quatre mois après la fin de la collecte.
En deuxième lieu
, la Commission relève que, compte tenu de la durée nécessaire à leur exploitation par le responsable de traitement, le
fichier brut
fichier d’étude
Au terme de ce délai, les fichiers originaux seront versés aux Archives nationales tandis qu’une copie de ces fichiers sera conservée par l’INED sur un serveur sécurisé dont l’accès est restreint au responsable du service de enquêtes et au responsable scientifique de l’enquête.
La Commission rappelle, à titre général que, conformément au e) du 1) de l’article 5 du RGPD, les données collectées dans le cadre d’un traitement doivent être
conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées
les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins de recherche scientifique ou à des fins statistiques
mesures techniques et organisationnelles appropriées afin de garantir les droits et libertés des personnes
En l’espèce, la Commission prend acte que les données ainsi conservées seront pseudonymisées, que leur stockage sera effectué sur des serveurs sécurisés et qu’une politique d’habilitation sera mise en place pour y accéder. Elle considère néanmoins que l’INED ne devrait conserver les données de l’enquête sans limitation de durée que dans la mesure où elles seraient par ailleurs anonymisées. Dans le cas contraire, l’INED devra déterminer une durée de conservation des données en base active au terme de laquelle il procèderait au versement de ces données aux Archives nationales, conformément aux dispositions du code du patrimoine. Cette durée de conservation, qui ne serait pas nécessairement chiffrée, pourrait correspondre à la survenance d’un évènement spécifique tel que le renouvellement des données de l’enquête.
Sur la sécurité des données et la traçabilité des actions
Concernant le contrôle des accès logiques, la Commission prend acte que des profils d'habilitation sont prévus afin de gérer les accès aux données stockées dans les serveurs de l’INED en tant que besoin. Les habilitations sont gérées et distribuées uniquement par les membres du service informatique de l’INED, en fonction des demandes du responsable de l’enquête. Elle rappelle que les permissions d'accès doivent être attribuées pour une durée déterminée et limitée, après validation hiérarchique, qu’elles doivent être supprimées dès qu'un utilisateur n'est plus habilité et qu’une revue globale des habilitations attribuées doit être opérée régulièrement tout au long de la collecte des données ainsi que de la production des études statistiques.
La Commission relève que les accès aux serveurs de l’INED sont contrôlés par un identifiant et un mot de passe. Elle rappelle à cet égard l’importance de s’assurer que les mots de passes utilisés répondent aux caractéristiques mentionnées dans le cadre de la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
Concernant le chiffrement, la Commission prend acte que les échanges de données sont réalisés

Concernant la sauvegarde, la Commission prend acte de l’existence d’un dispositif permettant une sauvegarde quotidienne et automatisée sur les serveurs, impliquant la sauvegarde des données du traitement.
Concernant la traçabilité, la Commission prend acte qu’une procédure de journalisation des accès aux applications est mise en œuvre au sein des serveurs de l’INED. Eu égard à la nature des données à caractère personnel, elle considère nécessaire d’inclure dans les journaux la référence des données accédées. La Commission rappelle en outre que la procédure de journalisation doit garantir que les traces ne soient pas altérées.
Dans ces conditions, la Commission considère les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 32 du RGPD. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. A cet égard, la Commission rappelle qu'il conviendra d'apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour régulière de l'analyse d'impact.
Pour la Présidente
La Vice-Présidente déléguée
Sophie LAMBREMON