Le Conseil d’État valide le traitement de données sensibles des fichiers de renseignements

Le 4 janvier 2021, le Conseil d’Etat a rejeté des recours en annulation contre des décrets autorisant le traitement de données sensibles dans le cadre des fichiers de renseignements, aux motifs que seules les données issues d'"activités susceptibles de porter atteinte à la sécurité publique ou à la sûreté de l’État" sont traitées et que la sélection dans le traitement d’une catégorie particulière de personnes est prohibée. Dès lors, cette collecte n'entraînait pas une "atteinte grave et manifestement illégale au droit au respect de la vie privée ou à la liberté d’opinion".

Pour lire les ordonnances du Conseil d’État

Le gouvernement publie un décret autorisant le système d’information « Vaccin Covid »

Le décret n°2020-1690 du 25 décembre 2020 autorise un traitement de données personnelles relatif aux vaccinations contre la Covid-19. Ce traitement a pour finalité d’assurer l’organisation et le suivi de la campagne vaccinale, motif d’intérêt public justifiant le traitement de données de santé au sens de l’article 9 du RGPD. Le décret assure notamment le droit à l’information des personnes concernées et l’exercice, sous conditions, de leur droit d’opposition. Le droit à l’effacement des données est néanmoins inapplicable à ce traitement.

Pour lire le décret sur Légifrance

La CNIL sanctionne deux médecins libéraux

Le 7 décembre 2020, la formation restreinte de la CNIL a infligé des amendes respectives de 3 000 et 6 000 euros à deux médecins, à la suite de la découverte de milliers d’images médicales de leurs patients accessibles en ligne. La CNIL leur a notamment reproché de ne pas lui avoir notifié cette violation de données dès qu’ils en ont eu connaissance avant de souligner que la sensibilité des données concernées appelait "une vigilance toute particulière".

Pour lire la première et la seconde délibérations de la CNIL

Le Conseil d’État valide le décret sur l’Authentification en ligne certifiée sur mobile (Alicem)

Le 4 novembre 2020, le Conseil d’État a indiqué que le décret sur la solution d’identité numérique Alicem recourant à la reconnaissance faciale était conforme au RGPD et à la Loi Informatique et Libertés. En effet, le consentement des utilisateurs au traitement de données biométriques était libre car ceux "qui ne consentiraient pas au[dit] traitement peuvent accéder en ligne" aux téléservices, grâce à un identifiant unique généré par un dispositif n’utilisant pas la reconnaissance faciale. Ainsi, "le préjudice au sens du [RGPD]" n’est pas caractérisé.

Pour lire la décision du Conseil d’État

La CNIL publie sa position sur l’application « TousAntiCovid »

Le 23 octobre 2020, la CNIL a indiqué que le déploiement de l’application de traçage des cas contacts, remplaçant "StopCovid", "ne nécessitait pas de saisine obligatoire de la CNIL dès lors qu’aucune modification substantielle touchant au traitement de données personnelles n’a été mise en œuvre dans le cadre de l’utilisation [de la nouvelle application]". Celle-ci reprend en effet le protocole antérieur "conçu dans une logique de minimisation des données et de protection dès la conception".

Pour lire le communiqué de la CNIL

   

Une commune enjointe de cesser d’utiliser des caméras thermiques

Par ordonnance du 26 juin 2020, le Conseil d’État a considéré que les données recueillies par caméras thermiques, dès lors qu’elles concernent des personnes identifiables et qu’elles permettent d’apprécier leur état de santé, constituent des données personnelles. Il a donc ordonné à une commune, qui ne démontrait pas l’existence d’un intérêt public important et n’avait pas recueilli le consentement libre, spécifique et éclairé de ses administrés, de mettre fin à leur utilisation.

Pour lire la décision du Conseil d’État

Autorisation d’un traitement de données personnelles pour faciliter la dématérialisation de la procédure pénale

Le décret n°2020-767 du 23 juin 2020 porte création d'un traitement automatisé de données personnelles dénommé "Dossier Pénal Numérique" auquel auront accès les magistrats, agents de greffe, assistants spécialisés et avocats. Il vise à rassembler les données et informations collectées au cours des procédures pénales et doit permettre la numérisation des procédures initialement créées au format papier ainsi que leur dématérialisation native.

Pour lire le décret sur Légifrance

Le fonctionnement du Health Data Hub validé par le Conseil d’État

Le 19 juin 2020, le Conseil d’État, saisi en référé, a jugé que l’arrêté autorisant la Plateforme des données de Santé à recevoir des données relatives à la santé des personnes concernées pour faire face à l’épidémie de Covid-19 dans le cadre de l’état d’urgence sanitaire ne porte pas d’atteinte grave et manifestement illégale au droit au respect de la vie privée et au droit à la protection des données personnelles. Néanmoins, le Health Data Hub devra fournir à la CNIL tous éléments relatifs aux procédés de pseudonymisation utilisés.

Pour lire la décision du Conseil d’État

L’application StopCovid peut être mise en œuvre

Le 25 mai 2020, la CNIL a indiqué que ses recommandations du 24 avril avaient été prises en compte dans le projet de décret relatif à l’application, notamment la pseudonymisation des données, l’absence de recours à la géolocalisation et la mise en œuvre de mesures de sécurité. Elle estime "que ce dispositif temporaire, basé sur le volontariat, peut légalement être mis en œuvre", mais relève toutefois que l’intégralité des mentions légales d’information doit être mise à disposition de l’utilisateur au sein même de l’application.

Pour lire la délibération de la CNIL

Deux traitements de données personnelles autorisés pour identifier et suivre les personnes infectées

Le décret n°2020-551 du 12 mai 2020 relatif aux systèmes d'information mentionnés à l'article 11 de la loi n°2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire a été publié. Il autorise les traitements "Contact Covid" et "SI-DEP" permettant d’identifier les chaînes de contamination au Covid-19 et d’assurer le suivi des personnes infectées. Saisie pour avis, la CNIL avait jugé le projet de décret conforme au RGPD sous réserve du respect de certaines garanties de protection de la vie privée et d’une réévaluation régulière du dispositif.

Pour lire le décret sur Légifrance et l’avis de la CNIL