La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’économie et des finances d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’un module secondaire au dispositif « statistiques sur les ressources et les conditions de vie des ménages » (SRCV), effectué par l’Institut national de la statistique et des études économiques,  relatif à la santé des adultes et des enfants ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du patrimoine, notamment son article L. 212-4 ;
Vu la loi n° 51-711 du 7 juin 1951 modifiée sur l’obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-7° et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’avis de conformité du comité du label de qualité statistique du Conseil national de l’information statistique du 5 octobre 2016 attribuant au module secondaire 2017 le label d’intérêt général et de qualité statistique et proposant de lui conférer le caractère obligatoire ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Commission est saisie par le ministère de l’économie et des finances aux fins de réalisation d’une enquête statistique mise en œuvre par l’une de ses directions générales, à savoir l’Institut national de la statistique et des études économiques (INSEE) pris en qualité d’organisme public chargé de la production, de l'analyse et de la diffusion des statistiques officielles en France, conformément à la loi du 7 janvier 1951 modifiée sur l’obligation, la coordination et le secret en matière de statistiques.
Sur la finalité
L'enquête statistique sur les ressources et conditions de vie (dispositif SRCV) est la partie française de l’enquête européenne dénommée « European Union’s statistics on income and living conditions » (EU-SILC).
Ce dispositif est une enquête en face à face portant sur les revenus, la situation financière et les conditions de vie des ménages. Il sert de référence pour les comparaisons de taux de pauvreté et de distributions des revenus entre États membres de l'Union européenne et pour les actions européennes de lutte contre l'exclusion.
La base de sondage est issue des fichiers provenant du dispositif SRCV. Il prévoit pour chaque ménage enquêté neuf interrogations annuelles dont les quatre premières                                                     uniquement sont obligatoires avec un renouvellement annuel partiel de l’échantillon.
Le dispositif SRCV est constitué :
d’une partie principale, reconduite à l’identique chaque année ;
d’un module complémentaire dont le sujet peut varier d’une année à l’autre.
Le module complémentaire choisi en 2017 est destiné à recueillir des informations relatives à la santé des adultes et des enfants. Il a pour objectif de mieux connaître et analyser les déterminants des inégalités de santé.
Il a également pour objectif de tester et finaliser le module santé qui sera posé tous les trois ans dans le nouveau dispositif EU-SILC à compter de 2020.
Le comité du label du Conseil national de l’information statistique (CNIS) a attribué le label d’intérêt général et de qualité statistique le 5 octobre 2016 au module complémentaire 2017 relatif à la santé. Celui-ci a reçu le visa le rendant obligatoire.
Dans la mesure où ce module secondaire, mené par l’INSEE en qualité de service statistique ministériel, nécessite le traitement de données de santé, sa mise en œuvre doit être autorisée par la Commission en application de l’article 8-II-7° de la loi du 6 janvier 1978 modifiée, dans les conditions prévues à l’article 25-I-1° de la même loi.
Sur les données traitées
La collecte des informations relatives aux ménages interrogés s’effectuera sous Capi (collecte assistée par ordinateur), par visite d’un enquêteur auprès des ménages.
Les informations nominatives (nom, prénoms, adresse, date et lieu de naissance) sont conservées dans le cadre du dispositif de panel SRCV, séparément des réponses à l’enquête.
Outre les données d’identification de la personne sélectionnée pour répondre à l’enquête, les données à caractère personnel susceptibles d’être collectées et traitées dans le cadre de la réalisation de ce module seront relatives, notamment au sein du questionnaire individuel :
à la santé : fréquence de consultation de médecins, poids, taille, difficulté à voir, à entendre, à marcher, à se concentrer, nombre de nuits passées à l’hôpital ;
données relatives aux déterminants de la santé : l’activité physique, la consommation de fruits, de légumes, de médicaments, de tabac, d’alcool, le recours à des services de soins et d’aide à domicile (…).
Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données à caractère personnel sont :
le personnel habilité de l’INSEE chargé de l’étude au moment de la collecte des données ;
les archives de France, conformément aux dispositions de l’article L. 212-4 du code du patrimoine ;
les chercheurs et producteurs de statistique publique, en application de l’article 6 de la loi du 7 juin 1951 modifiée, sur décision de l’administration des archives publiques prise après avis du comité du secret statistique.
Des fichiers de diffusions seront composés de données anonymisées et répartis en trois catégories : les « fichiers de production et de recherche », les fichiers « grand public » et « Eurostat ».
Les fichiers de données individuelles anonymisées, dits « de production et de recherche » seront principalement destinés aux services statistiques ministériels et aux chercheurs. Ils pourront également être accessibles par d’autres organismes, après signature d’une convention. Ces fichiers sont composés, après traitement, de l’ensemble des réponses aux questionnaires des enquêtes dès lors qu’elles ne constituent pas des informations individuelles.
Les fichiers de données individuelles anonymisées, redressés et apurés, sont transmis à Eurostat.
Sur l’information et le droit d’accès
Le module secondaire est obligatoire dans les mêmes conditions que le questionnaire principal: il est obligatoire lorsqu’il constitue l’une des quatre premières interrogations annuelles d’un ménage et facultatif pour les interrogations suivantes.
Les personnes concernées sont informées de la réalisation de l’enquête et, en fonction de la situation dans laquelle elles se trouvent, de son caractère obligatoire ou non par une lettre-avis et un dépliant d'information, qui précise notamment la finalité et les thèmes de l’enquête, ainsi que la possibilité pour les personnes d’exercer leurs droits prévus aux articles 38 à 40 de la loi du 6 janvier 1978 modifiée.
Par ailleurs, dans le cadre des quatre premières interrogations où l’enquête présente un caractère obligatoire, le droit d’opposition ne s’applique pas au traitement, conformément à l’alinéa 3 de l’article 38 de la loi « Informatique et Libertés ».
Néanmoins, le caractère obligatoire concerne uniquement l’écoute des questions, la personne interrogée ayant la possibilité, pour chaque question, de refuser de répondre («REFUS») ou de ne pas se prononcer («NSP»).
Les enquêtés sont informés des modalités d’exercice de leurs droits d’accès, de rectification et, le cas échéant, d’opposition auprès de l’INSEE. Toutefois, la Commission demande que les lettres-avis soient complétées afin de préciser le service de l’INSEE auprès duquel s’exercent ces droits, conformément aux dispositions de l’article 29-2° de la loi « Informatique et Libertés ».
Sur les mesures de sécurité
La Commission rappelle que l'anonymisation des données partagées avec d’autres organismes doit être effective, non seulement au regard des législations des Etats dans lesquels ces données sont transférées, mais aussi au regard de la législation de l’Etat dans lequel elles ont été collectées. En ce sens, il s’agit notamment de respecter les trois critères définis par l’avis du G 29 n° 05/2014 sur les techniques d’anonymisation. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit être menée et, en fonction du droit national, être soumise à l’autorité de protection des données compétente pour valider, ou non, le processus d’anonymisation proposé. Cette étude consistera à démontrer que les risques, liés à la publication du jeu de données anonyme, n’ont pas d’impact sur la vie privée et les libertés des personnes concernées.
La Commission observe que seuls les accès réseaux sont journalisés. Elle recommande de prévoir la mise en place d'une architecture de journalisation permettant de conserver une trace des opérations de consultation, de modification et de création. La Commission recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et lever des alertes.
La Commission demande à ce que les supports de stockages qui sont utilisés pour transférer les données fassent l’objet d’un chiffrement avec un algorithme de chiffrement robuste et que les clés soient transmises par un canal distinct.
Elle rappelle que l'obligation résultant de l'article 34 de la loi Informatique et Libertés nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La confidentialité des réponses au questionnaire est garantie par le secret statistique qui s’impose au responsable de traitement, ainsi qu’aux personnes chargées de la mise en œuvre de l’enquête.
Concernant les durées de conservation :
les documents de collecte sont détruits par l’INSEE dans les trois mois suivant la validation des fichiers de collecte ;
la fiche « adresse » est conservée durant la période où l’individu fait partie du panel ;
les fichiers non anonymisés sont conservés pendant cinq ans après la fin de la période maximale de suivi en panel.
La Commission considère que ces durées de conservation ne sont pas excessives au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, le ministère de l’économie et des finances à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS