CNILTEXT000048924448
CNIL texte/cnil/CNIL/TEXT/00/00/48/92/44/CNILTEXT000048924448.xml DELIBERATION
Délibération 2019-137 du 12 novembre 2019 Délibération n° 2019-137 du 12 novembre 2019 portant avis sur un projet de traitement automatisé de données à caractère personnel nécessaire à la réalisation et à l’analyse des résultats d’une enquête statistique portant sur la diversité de la population en France dénommée « Trajectoires et origines 2019-2020 » (TeO2) (demande d’avis n° 2213231)
2019-137
Avis 2019-11-12
2024-01-12 VIGUEUR
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut national d’études démographiques (INED) d’une demande d’avis concernant un projet de traitement automatisé de données à caractère personnel nécessaire à la réalisation et à l’analyse des résultats d’une enquête statistique portant sur la diversité de la population en France dénommée " Trajectoires et origines 2019-2020 " (TEO2) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 51-711 du 7 juin 1951 modifiée relative à l’obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 44-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 23 janvier 2019 complétant l'arrêté du 15 octobre 2018 portant approbation du programme d'enquêtes statistiques d'initiative nationale ou régionale des services publics pour 2019 (enquêtes auprès des ménages et des collectivités territoriales) ;
Vu la délibération n° 2008-055 du 6 mars 2008 de la Commission nationale de l'informatique et des libertés autorisant l’Institut national de la statistique et des études économiques et l’Institut national d’études démographiques à mettre en œuvre les traitements automatisés de données à caractère personnel nécessaires à la réalisation et à l’analyse des résultats d’une enquête statistique portant sur la diversité de la population en France dénommée " Trajectoires et origines ";
Vu la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Émet l’avis suivant :
À titre liminaire, elle relève que ce projet d’enquête, qui s’inscrit dans la continuité de l’enquête " Trajectoires et origines " menée en 2008-2009 (TeO1) sur lequel elle s’est déjà prononcée, vise principalement à mettre à jour les résultats obtenus.
La Commission relève également que le traitement projeté poursuit des finalités de statistique et de recherche publiques. Elle estime à cet égard que le traitement relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après le " RGPD ") et prend acte que l’INED entend se prévaloir de la base légale de " l’exécution d’une mission d’intérêt public " mentionnée à l’article au e) du 1) de l’article 6 du RGPD.
Dans la mesure où il porte sur des données sensibles au sens de la réglementation, le traitement projeté doit faire l’objet d’un avis préalable de la Commission conformément aux dispositions de l’article 44-6° de la loi du 6 janvier 1978 modifiée, sans préjudice de l’obligation de formaliser le cas échéant la création du traitement par un acte réglementaire spécifique. Elle rappelle qu’elle devra être tenue informée et saisie de toute modification substantielle affectant les caractéristiques du traitement, l’analyse d’impact relative à la protection des données (AIPD) transmise devant quant à elle faire l’objet d’une mise à jour.
Sur le contexte général de réalisation de l’enquête (" TeO2 ")
La Commission prend acte que le projet d’enquête vise à collecter, à partir d’un échantillon de 48 600 personnes, des données relatives aux facteurs de différenciation entre individus (origines, genre, classe sociale, âge, quartier, niveau d’instruction, revenu etc.) auprès de personnes âgées de 18 à 59 ans résidant en métropole afin d’analyser les processus d’intégration, de discrimination et de construction identitaire concernant toute la population dans la société française.
Elle relève que cet échantillon sera tiré au sort dans une base de sondage constituée pour l’occasion par l’Institut national de la statistique et des études économiques (INSEE) à partir des données collectées lors du recensement de 2018 et répartie en six sous échantillons. Un appariement de ces données avec celles issues des bulletins de l’état civil sera effectué par l’INSEE pour identifier spécifiquement les personnes de la deuxième génération.
L’échantillon final sera ensuite constitué par tirage aléatoire au sein de chacun des six sous-échantillons de la base de sondage, de façon à obtenir le nombre de répondants visés pour chacun d’entre eux. Le nombre de répondants effectifs attendu est de 26 500 personnes.
La maîtrise d’ouvrage de ce projet d’enquête est assurée par l’INSEE et l’INED, les deux responsables de traitement déterminent ensemble les finalités du traitement ainsi que les modalités de sa mise en œuvre. À cet égard, la Commission rappelle qu’il appartiendra à chacun de ces responsables de traitement, conformément aux dispositions de l’article 26 du RGPD, de définir notamment de manière transparente par voie d’accord leurs obligations respectives notamment en ce qui concerne l’exercice des droits des personnes concernées, les modalités de la communication des informations visées aux articles 13 et 14 du RGPD et leurs obligations respectives vis-à-vis de la mise en œuvre de mesures de sécurité et des violations de données.
L’enquête sera réalisée en face à face par des enquêteurs de l’INED et de l’INSEE à partir d’un outil permettant la saisie des données informatiques en direct. A titre exceptionnel, il est prévu d’interroger les personnes par téléphone lorsque la distance entre enquêteur et enquêté est trop importante, la couverture du territoire par les enquêteurs en langue étrangère étant limitée.
La Commission prend acte que l’INED sera plus spécifiquement chargé de la mise en œuvre de la partie de l’enquête principale administrée aux personnes non francophones, la mise en œuvre des autres traitements étant à la charge de l’INSEE. Elle relève que le présent avis porte sur le traitement mis en œuvre par l’INED pour la seule finalité recherche dudit traitement et rappelle qu’il appartiendra aux co-responsables de traitement de s’assurer de la conformité à la réglementation relative à la protection des données à caractère personnel de l’ensemble du traitement envisagé. En particulier, la Commission rappelle qu’il conviendra de s’assurer, indépendamment de la répartition des responsabilités choisie, de l’effectivité des mesures mises en place pour assurer le respect des droits des personnes.
Elle observe que le projet d’enquête principale a reçu l’avis de conformité du Comité du Label de la statistique publique le 14 novembre 2018 permettant, par délégation du Conseil national de l’information statistique (CNIS), l’attribution du label d’intérêt général et de qualité statistique. Le projet d’enquête complémentaire auprès des petits-enfants d’immigré(s) (dits de " troisième génération ", 3G) a reçu un avis d’examen favorable du Comité du Label de la statistique publique le 20 décembre 2018.
Ces deux projets d’enquête sont inscrits au programme d'enquêtes statistiques des services publics et des autres services producteurs d'information statistique pour 2019 tel qu'approuvé par l'arrêté du 15 octobre 2018 et complété par l’arrêté 23 janvier 2019 du ministre de l’économie et des finances. Ils ont reçu le visa du ministre de l’économie et des finances conformément à l’article 2 de la loi n° 51-711 du 7 juin 1951 susvisée et se sont vu conférer à cette occasion le caractère d’enquête obligatoire.
Ce projet d’enquête est scindé en quatre volets distincts :
une enquête principale auprès de personnes vivant en ménage ordinaire en France métropolitaine avec une surreprésentation de certaines populations ;
une enquête complémentaire menée spécifiquement auprès des personnes dites de " 3è génération " (3G) ayant au moins un grand parent immigré ;
la constitution d’un fichier contextuel à partir de la base permanente des équipements ainsi que des données non publiques du recensement de 2016 et l’appariement de ce fichier avec les données issues des enquêtes susvisées ;
la réalisation de post-enquêtes qualitatives qui fera l’objet d’une saisine ultérieure de la Commission par l’INED.
Sur les finalités du traitement
La Commission relève que le projet d’enquête vise à permettre la production d’analyses et de publications statistiques par les coresponsables du traitement ainsi que la mise à disposition de données indirectement identifiantes à la communauté scientifique en vue de leur réutilisation à des fins de recherche scientifique.
Elle estime que ces finalités répondent aux besoins publics de connaissance sur les processus d’intégration, de discriminations et de construction identitaire de l’ensemble de la population dans la société française ainsi que sur les évolutions intergénérationnelles de ces processus.
La Commission considère que les finalités poursuivies par le traitement projeté sont déterminées, explicites et légitimes, conformément aux dispositions du b) du 1) de l’article 5 du RGPD.
Sur la nature des données traitées
En premier lieu , la Commission observe que les finalités poursuivies impliquent la collecte de nombreuses données à caractère personnel de nature très variée auprès des personnes enquêtées dont certaines relèvent de la catégorie des données dites " sensibles " au sens de l’article 9 du RGPD. Le questionnaire comprend ainsi seize modules relatifs à la description du ménage, les revenus, la nationalité et l’origine des parents, les langues, la trajectoire migratoire et le rapport au pays d’origine, les relations familiales et transmissions, la vie de couple, les enfants, l’image de soi et le regard des autres, l’éducation, la vie professionnelle, la religion, le logement et le cadre de vieillesse, la vie citoyenne, la santé, les discriminations et les relations et pratiques culturelles.
La Commission rappelle que, dans la décision n° 2007-557 DC du 15 novembre 2007, le Conseil constitutionnel a jugé que " si les traitements nécessaires à la conduite d'études sur la mesure de la diversité des origines des personnes, de la discrimination et de l'intégration peuvent porter sur des données objectives, ils ne sauraient, sans méconnaître le principe énoncé par l'article 1er de la Constitution, reposer sur l'origine ethnique ou la race ".
Elle observe que le projet d’enquête, qui vise principalement à collecter des données objectives, ne repose pas sur la prétendue origine raciale ou ethnique des personnes interrogées. Si certaines questions telles que celles figurant dans le module " image de soi et regard des autres " et celles relatives aux expériences de discrimination impliquent la collecte de données subjectives, la Commission estime que cette enquête n’a pas pour objet, même indirectement, de classifier les personnes interrogées en fonction soit de leur prétendue origine ethnique ou raciale déclarée, soit d’un référentiel ethno-racial. Dans ces conditions, elle estime que les questions posées ne sont pas contraires à la décision précitée du Conseil Constitutionnel.
En deuxième lieu , la Commission relève qu’il est prévu de collecter auprès des répondants de l’enquête principale les coordonnées de leurs enfants majeurs (adresses postales et électroniques, téléphone) lorsque ces derniers sont identifiés comme appartenant à la troisième génération d’immigrés. Ces coordonnées devront permettre de contacter ultérieurement ces enfants dans le cadre de l’enquête " 3G " précitée afin de leur administrer un questionnaire comprenant les mêmes modules que celui de l’enquête principale.
À cet égard, la Commission prend acte que le recours à cette collecte est justifié par l’absence d’une base de sondage nationale permettant de tirer aléatoirement les personnes appartenant à la 3è génération d’immigrés. Elle rappelle néanmoins que, compte tenu de son caractère expérimental et des interrogations méthodologiques soulevées par le comité du label dans son avis d’examen, ce mode d’échantillonnage indirect devra faire l’objet d’un bilan spécifique à l’issu de l’enquête permettant de vérifier son efficience et sa pertinence.
Sur les droits des personnes
En premier lieu , la Commission relève qu’une information conforme aux dispositions de l’article 13 du RGPD sera délivrée aux personnes concernées. En particulier, elle prend acte que cette information, qui sera délivrée de manière individuelle (par courrier au domicile de la personne interrogée ou, le cas échéant, par voie électronique), sera également rendue publique sur un site internet spécifiquement dédié à l’enquête.
La Commission rappelle que les enfants contactés grâce aux données collectées auprès de leur parent devront faire l’objet d’une information spécifique dans les conditions prévues par l’article 14 du RGPD.
Elle prend acte, au regard de la spécificité liée à la réalisation de cette enquête, que cette information précisera notamment que les personnes disposent d’un droit d’accès, de rectification, d’effacement et de limitation pour les données les concernant qu’elles pourront exercer au choix auprès de l’INSEE ou de l’INED pendant la période de conservation des données permettant leur identification directe.
La Commission relève également qu’une version allégée de la lettre avis traduite en dix langues sera également envoyée à l’ensemble des personnes concernées afin que les personnes non francophones puissent bénéficier d’un premier niveau d’information. Ces dernières bénéficieront d’une traduction orale de la version française de la lettre avis par un enquêteur parlant leur langue au plus tard avant le début de la collecte des données.
En deuxième lieu , la Commission toutefois relève que " les fiches de contact non francophones " rédigées dans vingt-deux langues qui seront présentées par les enquêteurs de l’INSEE lors de leur premier passage au domicile des personnes, font état d’une enquête à caractère anonyme.
Au regard des caractéristiques de l’enquête, la Commission estime que ces fiches devraient être modifiées afin d’y préciser que l’anonymat ne sera garanti qu’au stade de la diffusion des résultats.
En troisième lieu , la Commission relève que, compte tenu du caractère obligatoire de l’enquête, les personnes seront tenues de répondre à l’enquête avec exactitude et dans les délais fixés conformément aux dispositions de l’article 3 de la loi n° 51-711 du 7 juin 1951.
Elle rappelle à cet égard que si, conformément à l’article 21-6 du RGPD, les personnes concernées ne peuvent s’opposer à la collecte de leurs données pour les traitements nécessaires à l’exécution d’une mission d’intérêt public et poursuivant notamment des finalités de recherche scientifique et statistiques, une telle dérogation au droit d’opposition doit cependant être assortie de garanties pour les droits et libertés des personnes conformément aux dispositions de l’article 89-2 du RGPD.
En l’espèce, la Commission relève qu’ à l’exception des questions dédiées au tronc commun des ménages, il est prévu de permettre aux personnes concernées de ne pas répondre ou de répondre qu’elles ne savent pas pour chacune des questions qui leur sera posée. En outre, il est également prévu que les enquêteurs rappellent expressément aux personnes le caractère facultatif des réponses aux questions contenues dans les modules " santé " , " image de soi et regard des autres " , " religion " , dans la section " intérêt pour la politique et opinions " ainsi que dans le module dédié à la collecte des coordonnées des enfants éligibles à l’enquête 3G.
Si la Commission estime que cet aménagement du caractère obligatoire de l’enquête constitue une garantie pour les droits et libertés des personnes qui seront a minima tenues d’y participer, elle demande cependant à ce que le protocole de l’enquête soit modifié afin que soit expressément rappelé aux personnes concernées le caractère facultatif des réponses aux questions des sections " association ", " intérêt pour la politique et opinions " , " attitudes et opinions " et du module " discriminations " dans la mesure où elles constituent des données sensibles.
Sur les destinataires des données
La Commission relève que l’INSEE et l’INED seront les dépositaires exclusifs de l’ensemble des fichiers de l’enquête qui seront accessibles à leurs équipes de recherche respectives habilitées à procéder à l’exploitation des résultats.
À l’issue d’un délai de dix-huit mois suivant la fin de la collecte des données, un " fichier d’étude " pseudonymisé comprenant, à l’exception des noms patronymiques et de l’adresse des enquêtés, les données issues de l’enquête enrichies de nouvelles variables d’études, de variables redressées et des poids finaux sera mis à disposition des chercheurs n’appartenant pas à la maîtrise d’ouvrage depuis le CASD. Ce fichier sera accompagné d’une version exhaustive du " fichier contextuel " précité comprenant les données du recensement agrégées au niveau de l’IRIS (Ilots Regroupés pour l'Information Statistique) de telle sorte qu’il ne sera pas possible de procéder à la ré-identification des personnes.
La Commission relève en outre qu’un " fichier de production et de recherche " pseudonymisé intégrant des données issues du " fichier contextuel " avec un très faible risque d’identification sera accessible aux chercheurs n’appartenant pas à la maîtrise d’ouvrage ayant signé un engagement individuel de confidentialité via le réseau Quetelet PROGEDO dans un délai de deux ans après la fin de la collecte des données.
Elle rappelle que les conditions d’accès à des données individuelles non anonymisées, figurant dans les questionnaires des enquêtes statistiques des services publics et ayant trait à la vie personnelle et familiale et, d'une manière générale, aux faits et comportements d'ordre privé sont prévues par l'article 6 de la loi n° 51-711 du 7 juin 1951 modifiée ainsi que par l'article 17 du décret n° 2009-318 du 20 mars 2009 susvisé. Ces données ne peuvent faire l'objet d'aucune communication de la part des services dépositaires avant l'expiration d'un délai de soixante-quinze ans suivant la date de réalisation de l'enquête ou d'un délai de vingt-cinq ans à compter de la date du décès de l'intéressé, si ce dernier délai est plus bref, " sauf décision de l'administration des archives, prise après avis du comité du secret statistique et relative à une demande effectuée à des fins de statistique publique ou de recherche scientifique ou historique ".
Elle prend acte que les procédures d’accès aux dites données via le CASD et le réseau Quételet PROGEDO est conforme aux dispositions légales applicables en matière de statistique publique.
La Commission observe que différents niveaux de pseudonymisation existent selon les destinataires. Elle rappelle, à toutes fins utiles, que la réutilisation éventuelle de données à caractère personnel devra s’effectuer dans le respect de la réglementation applicable en matière de protection des données.
La Commission relève par ailleurs que les différents supports d’information utilisés dans le cadre de l’enquête font référence à " l’anonymisation des données mises à disposition des chercheurs ". À cet égard, elle rappelle que conformément à l’avis 05/2014 du groupe de travail " article 29 " sur la protection des données sur les techniques d’anonymisation, l’anonymisation est un processus technique irréversible garantissant que les données ne puissent plus permettre l’identification des personnes que ce soit par individualisation, corrélation ou inférence.
Dans la mesure où les fichiers précités ne réuniront pas les conditions rappelées ci-dessus pour présenter les garanties de l’anonymat et qu’ils seront à ce titre pseudonymisés, la Commission demande que les supports précités soient modifiés.
Sur les durées de conservation
En premier lieu , la Commission relève que les données directement identifiantes des personnes ayant donné leur accord lors de l’enquête TeO2 pour être recontactées dans le cadre de la réalisation des post-enquêtes qualitatives seront conservées par l’INED au plus tard jusqu’à la fin de l’année 2023, date butoir programmée pour leur réalisation. Ces données seront, en tout état de cause, supprimées à l’expiration de ce délai.
La Commission rappelle à cet égard que les données directement identifiantes des personnes n’ayant pas donné leur accord pour être recontactées devront être supprimées à l’issue de la passation du questionnaire dans le cadre de l’enquête principale ou de l’enquête 3G.
En deuxième lieu , la Commission relève que, compte tenu de la durée nécessaire à leur exploitation statistique par les responsables de traitement, le " fichier de production intermédiaire " comprenant les données brutes de la collecte desquelles sont soustraites les noms patronymiques et l’adresse des enquêtés sera conservé pendant cinq ans à compter de la collecte avant d’être versé aux archives nationales.
Le " fichier d’étude ", le " fichier de production et de recherche " ainsi que le " fichier contextuel " précités seront également versés aux archives nationales au terme d’un délai de cinq ans à compter de la collecte des données. Une copie de ces fichiers sera conservée sans limite de durée par l’INED.
La Commission rappelle à titre général que, conformément au e) du 1) de l’article 5 du RGPD, les données collectées dans le cadre d’un traitement doivent être " conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées " . Elle rappelle en outre que si " les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins de recherche scientifique ou à des fins statistiques " , une telle conservation doit être accompagnée de la mise en œuvre de " mesures techniques et organisationnelles appropriées afin de garantir les droits et libertés des personnes " .
En l’espèce, la Commission prend acte que les données ainsi conservées seront pseudonymisées, que leur stockage sera effectué sur des serveurs sécurisés et qu’une politique d’habilitation sera mise en place pour y accéder. Elle considère néanmoins que l’INED ne devrait conserver les données de l’enquête sans limitation de durée que dans la mesure où elles seraient par ailleurs anonymisées. Dans le cas contraire, l’INED devra déterminer une durée de conservation des données en base active au terme de laquelle il procèderait au versement de ces données aux archives de France conformément aux dispositions du code du patrimoine. Cette durée de conservation qui ne serait pas nécessairement chiffrée pourrait correspondre à la survenance d’un évènement spécifique tel que le renouvellement des données de l’enquête.
Sur la sécurité des données et la traçabilité des actions
Concernant le contrôle des accès logiques, la Commission prend acte que des profils d'habilitation sont prévus afin de gérer les accès aux données stockées dans les serveurs de l’INED en tant que besoin. Les habilitations sont gérées et distribuées uniquement par les membres du service informatique de l’INED, en fonction des demandes du responsable de l’enquête. Elle rappelle que les permissions d'accès doivent être attribuées pour une durée déterminée et limitée, après validation hiérarchique, qu’elles doivent être supprimées dès qu'un utilisateur n'est plus habilité et qu’une revue globale des habilitations attribuées doit être opérée régulièrement tout au long de la collecte des données ainsi que de la production des études statistiques.
La Commission relève que les accès aux serveurs de l’INED sont contrôlés par un identifiant et un mot de passe. Elle rappelle à cet égard l’importance de s’assurer que les mots de passes utilisés répondent aux caractéristiques mentionnées dans le cadre de la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
Concernant le chiffrement, la Commission prend acte que les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Par ailleurs, les supports de stockage des postes nomades utilisés par les enquêteurs lors de la collecte auprès des personnes non-francophones sont chiffrés. Elle prend également acte de ce que le serveur de fichiers PETRUS et les plateformes de stockage et de calcul stockent les données de manière chiffrée. La Commission rappelle que les mécanismes de chiffrement employés doivent être conformes à l’état de l’art et au Référentiel général de sécurité (RGS). En ce qui concerne la gestion des clés cryptographiques utilisées dans les mécanismes de chiffrement, la Commission recommande d’adopter les règles listées dans l’annexe B2 du RGS.
Concernant la sauvegarde, la Commission prend acte de l’existence d’un dispositif permettant une sauvegarde quotidienne et automatisée sur les serveurs, impliquant la sauvegarde des données du traitement. Les sauvegardes sont conservées dans les locaux de l’INED pendant une durée variable n’excédant pas dix-huit mois. Elle considère à cet égard que, dans la mesure que les données sont chiffrées en base, les sauvegardes devraient être aussi chiffrées.
Concernant les documents papier, la Commission prend acte des mesures prévues pour assurer la sécurité des versions papier des fiches-adresses, à savoir l’existence d’un local fermé à clé pour imprimer et scanner les fiches-adresses ainsi qu’une procédure de destruction sécurisée après le scan des documents.
Concernant la traçabilité, la Commission prend acte qu’une procédure de journalisation des accès aux applications et aux données est mise en œuvre au sein des serveurs de l’INED. Eu égard de la nature des données à caractère personnel, elle considère nécessaire d’inclure dans les journaux la référence des données accédées. La Commission rappelle en outre que la procédure de journalisation doit garantir que les traces ne soient pas altérées.
Dans ces conditions, la Commission considère les mesures de sécurité décrites par le responsable de traitement conformes à l'exigence de sécurité prévue par l'article 32 du RGPD. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. A cet égard, la Commission rappelle qu'il conviendra d'apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour régulière de l'analyse d'impact.
La Présidente
Marie-Laure DENIS