La Commission nationale de l'informatique et des libertés,
Saisie par le centre universitaire de recherche sur l’action publique et le politique, épistémologie et sciences sociales (CURAPP-ESS) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’une étude sur la citoyenneté politique des personnes handicapées ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code électoral, notamment ses articles L. 28 et R. 16 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Philippe LEMOINE, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Responsable du traitement
Le centre universitaire de recherche sur l’action publique et le politique, épistémologie et sciences sociales (CURAPP-ESS), rattaché à l’université de Picardie Jules Verne (UPJV), est le responsable de traitement.
Sur la finalité
L’enquête a pour objet l’étude de la citoyenneté politique des personnes handicapées à l’occasion de la séquence électorale d’avril-juin 2017. Ce projet de recherche, d’une durée de 36 mois, fait l’objet d’un financement par la région Hauts-de-France.
Cette étude est la première analyse réalisée en France concernant le droit de vote des personnes handicapées, reconnu comme un droit fondamental par la Convention relative aux droits des personnes handicapées. Elle vise à mesurer l’accès effectif de ces personnes à la citoyenneté politique, objectif notamment poursuivi par la loi n° 2005-102 du 11 février 2005 modifiée pour l'égalité des droits et des chances, la participation et la citoyenneté des personnes handicapées.
Plus précisément, l’objet de la recherche est d’élaborer des indicateurs et d’analyser les modalités de participation, d’inscription sur les listes électorales et de formation des opinions politiques chez les personnes handicapées.
Dès lors, le traitement des données à caractère personnel nécessaires à cette enquête implique la collecte de données relatives aux opinions politiques, collectées avec le consentement exprès des personnes concernées conformément aux dispositions de l’article 8-II-1° de la loi du 6 janvier 1978 modifiée, ainsi que de données relatives à la santé de ces personnes. La Commission considère que la collecte de ces données sensibles est justifiée par l’intérêt public, au sens des dispositions de l’article 8-IV de la même loi, et que ce traitement doit dès lors faire l’objet d’une autorisation de la Commission, conformément à l’article 25-I-1° de la loi précitée.
Au regard de ces éléments, la Commission estime que les finalités du traitement sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
En pratique, la méthodologie employée articule approches qualitative et quantitative.
Ainsi, il est prévu de conduire des entretiens panélisés avec une vingtaine de personnes tout au long du processus électoral, afin d’étudier, par analyse de ces matériaux textuels, la formation des préférences politiques, et non pas, à titre principal, leur contenu ou leur orientation, qui sont néanmoins susceptibles d’être recueillis.
L’approche quantitative vise quant à elle à produire des données chiffrées sur les modalités de participation des personnes handicapées au processus électoral, en tenant compte de la diversité des situations de handicap. Pour cela, le CURAPP-ESS prévoit d’étudier la corrélation entre des informations relatives au handicap et à la participation au vote.
Ainsi, les Maisons départementales des personnes handicapées (MDPH) du Nord, de la Somme et des Yvelines seront impliquées dans l’étude : 1100 personnes atteintes de handicap seront tirées aléatoirement au sein de chaque MDPH, qui communiquera à l’équipe de recherche les données les concernant. Le CURAPP-ESS procèdera ensuite au rapprochement de ce fichier avec les données figurant sur les listes électorales et les listes d’émargement recueillies auprès des mairies ou des préfectures.
Dans le cadre de l’ensemble de ces travaux, les membres de l’équipe de recherche s’engagent à respecter la charte d’éthique de l’Association Française de Science Politique. En particulier, la restitution des résultats de l’étude sous la forme d’articles scientifiques, d’ouvrages ou de conférences sera réalisée de façon à préserver l’anonymat des personnes concernées, par exemple en retirant les éléments potentiellement identifiants (lieux, dates, ou tout autres détails susceptible de mené à une identification). Ces personnels seront en outre assistés dans leurs travaux par un comité d’éthique, composé de représentants d’associations, de statisticiens et de personnes qualifiées.
Sur les données traitées
Les catégories de données suivantes font l’objet d’un traitement dans le cadre de l’étude, dans son volet qualitatif ou quantitatif :
données d’état civil : nom, prénom, adresse, date et lieu de naissance, ainsi que, le cas échéant, les mesures de protection juridique dont les personnes bénéficient (curatelle et tutelle) ;
données relative à la vie personnelle : situation familiale ;
données professionnelles : situation professionnelle, scolarité ;
données d’ordre économique et financier : revenus ;
données de santé : type de handicap, données relatives aux soins le cas échéant ;
données relatives à la participation à la vie citoyenne et, le cas échéant, aux opinions politiques, pour le seul volet qualitatif de l’étude.
Ces données sont collectées par l’intermédiaire des MDPH pour les personnes faisant l’objet de l’étude et par le biais des listes électorales et des listes d’émargement.
En ce qui concerne les données de santé, la Commission relève que le dossier médical des personnes concernées ne sera en aucun cas communiqué au responsable de traitement et que les fichiers transmis par les MDPH seront regroupés en deux bases de données : la première contenant uniquement les informations relatives au handicap, afin d’élaborer une typologie exploitable, la seconde contenant les informations relatives à l’état civil et au domicile, permettant le rapprochement avec les listes électorales et les listes d’émargement. Un numéro non-signifiant sera en outre attribué aux personnes concernées et enregistré dans cette seconde base de données, afin de permettre le rapprochement des fichiers.
La Commission estime que les données enregistrées sont adéquates, pertinentes et non excessives au regard des finalités du traitement, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les accédants et les destinataires
L’équipe de recherche, composée de six personnes, chargée de la mise en œuvre de l’étude est seule destinataire des données du traitement.
Seule une personne de cette équipe aura accès à l’intégralité des données mises à disposition par les MDPH, afin de permettre la mise en relation entre l’identité des personnes et la nature de leur handicap. A l’exception de cette personne, soumise à des obligations particulières de confidentialité, aucun destinataire ne pourra accéder à des données permettant d’associer les noms et prénoms aux informations relevant du handicap des personnes.
Ces destinataires n'appellent pas d'observation particulière de la part de la Commission.
Sur l’information et les droits des personnes
Concernant le volet qualitatif de l’étude, les entretiens seront réalisés avec le consentement des personnes concernées. La Commission rappelle à cet égard que le consentement de leurs représentants légaux devra, le cas échéant, être recueilli et que le consentement exprès des personnes concernées et de leurs représentants devra également être recueilli pour permettre la collecte de données relatives aux opinions politiques.
Les personnes concernées seront informées des éléments mentionnés à l’article 32 de la loi du 6 janvier 1978 modifiée, par divers canaux : campagne d’affichage dans les MDPH, affichage d’un bandeau sur le site internet des MDPH et articles dans la presse locale et institutionnelle du conseil départemental. L’objet et le protocole de l’étude seront présentés, ainsi que les modalités d’exercice des droits d’opposition pour motifs légitimes, d’accès et de rectification dont bénéficient les personnes concernées en application des articles 38 à 40 de la loi du 6 janvier 1978 modifiée.
Ces droits s’exerceront directement auprès du CURAPP-ESS, ce qui n’appelle pas d’observation particulière de la part de la Commission.
La Commission relève en outre que les associations représentatives de personnes handicapées siégeant en Commission des droits et de l’autonomie des personnes handicapées (CDAPH), instituées par la loi n° 2005-102 du 11 février 2005 précitée, seront également informées de cette étude et de ses modalités de réalisation.
Sur les mesures de sécurité
Les données sont transmises au CURAPP-ESS par les MDPH du Nord et des Yvelines par le biais d’un outil de transmission de fichier assurant l’authentification des destinataires, la confidentialité et l’intégrité des transmissions, ainsi qu’une gestion des habilitations permettant d’attribuer les accès aux seules données nécessaires aux destinataires. Pour la MDPH de la Somme, un support chiffré conformément aux recommandations de la Commission est remis en main propre au coordinateur du projet.
Les données ainsi recueillies sont ensuite conservées sur un disque dur faisant l’objet de mesures de chiffrement et n’étant connecté à aucun réseau. Les listes électorales et d’émargement collectées sont également stockées sur ce support.
Les bases de données de travail sont conservées sur un espace de travail partagé, dénommé My Core et mis en œuvre par le CNRS, dont l’accès est sécurisé au moyen du protocole HTTPS. La Commission recommande à cet égard d’utiliser la version de TLS la plus à jour.
Chaque utilisateur dispose pour accéder à l’espace partagé d'un identifiant qui lui est propre. Une politique de mot de passe satisfaisant les exigences de la Commission est mise en œuvre, impliquant que ceux-ci soient composés de huit caractères minimum (comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux), qu’ils soient définis, ou modifiés dès la première connexion, par l’utilisateur, puis régulièrement renouvelés et ne soient pas stockés en clair.
Une journalisation des opérations effectuées sur l’espace de travail est réalisée pour la consultation, la création, la modification et la suppression des données.
Les postes informatiques prenant part au traitement sont protégés par mot de passe et font l’objet d’une protection antivirus régulièrement mise à jour.
En plus des mécanismes de sauvegarde proposés par la solution My Core, des sauvegardes régulières sont réalisées sur un disque dur faisant l’objet de mesures de chiffrement. Ce support est conservé dans un endroit garantissant sa sécurité et sa disponibilité.
La sécurité physique des locaux hébergeant les matériels prenant part au traitement est également assurée.
La Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données collectées et traitées pour les besoins de l’étude sont conservées pendant la durée de la recherche, c'est-à-dire pendant 36 mois à compter du début de l’étude.
Néanmoins, les données sont conservées sous une forme nominative pendant une durée maximale de 18 mois, soit le temps nécessaire à la codification des données en vue de la réalisation de traitements statistiques. Les données identifiantes fournies par les MDPH et par les mairies ou préfectures sont effacées dès que ce traitement aura été réalisé.
La Commission estime dès lors que la durée de conservation prévue n’excède pas la durée nécessaire aux finalités pour lesquelles les données sont traitées, conformément aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, le Centre universitaire de recherche sur l’action publique et le politique, épistémologie et sciences sociales (CURAPP-ESS), à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS