CNIL, Délibération du 25 novembre 2021, n° 2021-141

La Commission nationale de l’informatique et des libertés,

Saisie par le ministre des solidarités et de la santé d’une demande d’avis portant sur un projet de décret en Conseil d’Etat relatif aux conditions de traitement et de conservation de données à caractère personnel permettant l’accès aux origines personnelles ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;

Vu le code de l’action sociale et des familles, notamment ses articles L. 147-1 et s. et R. 147-1 et s. ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;

Après avoir entendu M. Philippe GOSSELIN commissaire, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,

Étant rappelés les éléments de contexte suivants :

Le Conseil national pour l’accès aux origines personnelles (ci-après le « CNAOP ») a été créé par les articles L. 147-1 et suivants du code de l’action sociale et des familles (CASF), pour faciliter l’accès aux origines personnelles des enfants qui ne connaissent pas l’identité de leurs parents de naissance (enfants nés dans le secret de l’identité des parents de naissance et ayant été adoptés ou étant restés pupilles de l’Etat jusqu’à leur majorité). A cette fin, il mène un rôle actif dans la gestion des demandes et déclarations formulées par les enfants concernés, leurs parents de naissance, leurs ascendants, descendants et collatéraux privilégiés.

Le CNAOP est chargé de recevoir :

• les demandes d’accès à la connaissance des origines formulées par l’enfant, son représentant légal ou ses descendants majeurs en ligne directe (s’il est décédé) ;
• les autorisations de levée du secret de la mère ou du père de naissance ;
• les "déclarations d’identité" formulées par leurs ascendants, descendants et collatéraux privilégiés ;
• les demandes du père ou de la mère de naissance s’enquérant de leur recherche éventuelle par l’enfant.

Il est également chargé de recueillir copie des éléments relatifs à l’identité des parents de naissance ainsi que tout renseignement laissé par la mère concernant leur santé, les origines de l’enfant, les raisons et circonstances de la remise de l’enfant au service de l’aide sociale à l’enfance ou à un organisme autorisé ou habilité pour l’adoption.

La loi n° 2021-1017 du 2 août 2021 relative à la bioéthique a doté le CNAOP d’une compétence nouvelle, celle d’informer les enfant, père et mère de naissance via les professionnels de santé qu’une maladie génétique a été diagnostiquée sur l’un d’entre eux et peut les concerner. Le ministère a précisé que les modalités de collecte des informations personnelles nécessaires à l’exercice de cette nouvelle compétence seraient précisées dans un décret ultérieur.

En vertu de l’article R. 147-27 du CASF, le CNAOP est autorisé, depuis sa création, à utiliser un traitement automatisé de données à caractère personnel ayant pour finalité d’assurer la conservation et le suivi des demandes d’accès à la connaissance de ses origines effectuées par l’enfant ainsi que des déclarations notamment formulées par les parents de naissance, leurs ascendants, descendants et collatéraux privilégiés. Ce traitement a également pour finalité d’établir des statistiques anonymes sur son activité.

C’est dans ce contexte que la Commission nationale de l’informatique et des libertés a été saisie par le ministère des solidarités et de la santé (ci-après le ministère), sur le fondement de l’article L. 147-11 du CASF, d’une demande d’avis sur un projet de décret en Conseil d’Etat relatif aux conditions de traitement et de conservation de données à caractère personnel permettant l’accès aux origines personnelles.

Formule les observations suivantes concernant le projet de texte :

Concernant l’économie générale du projet de texte

Le projet d’article R. 147-25 du CASF autorise le CNAOP à mettre en œuvre un traitement de données à caractère personnel dénommé « Origines personnelles » (« ORPER »), dont il est responsable, pour exercer les missions qui lui sont dévolues en matière d’accès aux origines personnelles.

A cet égard, la Commission considère que le traitement « ORPER » est, suivant la rédaction actuelle du projet de décret et par application des dispositions de l’article 6-1-c) du RGPD, nécessaire au respect d’une obligation légale. Elle estime par ailleurs que ce traitement poursuit une finalité déterminée, explicite et légitime conforme aux exigences de l’article 5-1-b) du RGPD.

La Commission estime que la collecte par le CNAOP, dans le traitement « ORPER », de données à caractère personnel sur les parents de naissance – parfois hautement sensibles telles que les convictions religieuses, la prétendue origine raciale ou l’origine ethnique, la santé – , dès lors qu’elle s’effectue dans le strict respect des exigences du CASF et qu’elle se fonde sur les dispositions de l’article 9-2-g) du RGPD, est conforme au principe de minimisation visé par l’article 5-1-c) du RGPD dans la mesure où ces données répondent à la finalité d’offrir à l’enfant la possibilité de lever le secret de sa naissance ou du moins de se construire psychiquement dans une histoire familiale.

Concernant la durée de conservation du traitement « ORPER »

Le projet d’article R. 147-32 du CASF pose le principe suivant lequel les dossiers constitués par le CNAOP et clos pour un motif autre que son incompétence sont conservés dans le traitement « ORPER » en base active soit pour une durée de cinq ans si leur clôture est définitive (ex. : levée du secret), soit pour une durée de dix ans si leur clôture est provisoire (ex. : impossibilité d’identifier les parents de naissance). Les dossiers sont ensuite transférés au ministère chargé de la famille qui en assure la conservation en archivage intermédiaire conformément aux dispositions de l’article R. 212-11 du code du patrimoine, pendant une durée de cinquante ans à compter de leur clôture. A l’issue de cette période, ils sont détruits.

La Commission observe qu’une durée unique de conservation d’un an était jusqu’alors prévue par l’article R. 147-33 du CASF, pour les hypothèses de clôture définitive du dossier.

Le ministère a précisé s’être référé aux pratiques actuellement observées chez les personnes en quête de leurs origines personnelles pour justifier l’extension de la durée de conservation des dossiers. Il a indiqué que ces personnes, en particulier dans l’hypothèse où elles n’accèdent pas à leurs origines personnelles expriment alors le besoin de solliciter à intervalles réguliers le CNAOP soit pour demander une réouverture de leur dossier, soit pour demander des renseignements de diverses natures et disposer de réponses à leurs interrogations concernant leurs origines.

Dans ce contexte, la Commission estime que les données à caractère personnel collectées dans le traitement « ORPER » sont conservées pendant une durée n’excédant pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.

Formule les observations suivantes quant aux conditions de mise en œuvre du traitement « ORPER » :

Concernant la structuration du traitement « ORPER » :

Les projets d’article R. 147-26 et R. 147-27 du CASF structurent le traitement « ORPER », en distinguant deux catégories d’opérations :

• l’enregistrement numérique des informations personnelles générant l’ouverture d’un dossier auprès du CNAOP telles que la demande d’accès de l’enfant, la déclaration d’identité des parents de naissance, les informations nécessaires au suivi et à l’instruction du dossier dont le CNAOP est destinataire ;
• la saisine numérique des informations considérées comme nécessaires au suivi et à l’instruction d’un dossier ouvert auprès du CNAOP.

Pour chacune de ces opérations, des modalités différentes de conservation des données à caractère personnel collectées sont prévues. Ainsi, les données utilisées pour permettre l’ouverture d’un dossier peuvent être conservées en double, sur support numérique et sur support « papier ».

Pour justifier cette structuration et les modalités de conservation qui y sont associées, le ministère a précisé qu’il n’apparaît pas toujours opportun de formaliser dans un support numérique les premiers actes d’instruction menés et retranscrits exclusivement sur papier, au regard notamment de la pluralité des pistes explorées. Il a signalé, d’une part, que cette pratique permettait de retracer l’exhaustivité des recherches réalisées – quand bien même certaines pistes étaient au terme de l’instruction écartées – et, d’autre part, que les supports utilisés étaient complémentaires.

Sans remettre en cause, au plan opérationnel, le bien-fondé de cette structuration et la nécessité d’assurer la traçabilité de l’ensemble des recherches menées et des premiers actes d’instruction réalisés, la Commission attire l’attention du ministère sur l’intérêt de sensibiliser les personnels du CNAOP à la conservation des seules données à caractère personnel pertinentes, afin de garantir le respect du principe de minimisation énoncé à l’article 5-1-c) du RGPD.

A cet égard, la Commission demande à ce que les données à caractère personnel telles que les listes recensant les identités de plusieurs parents de naissance potentiels, qui deviendraient ultérieurement inutiles – parce qu’après instruction ils ne sont pas concernés par l’accouchement dans le secret à l’origine de la saisine du CNAOP -, soient automatiquement supprimées. Elle prend acte de l’engagement du ministère à ce que cette demande figure dans le projet de décret.

Par ailleurs, afin de respecter le principe d’exactitude des données visé à l’article 5-1-d) du RGPD, elle appelle à la plus grande vigilance pour que les données à caractère personnel, qui seraient enregistrées en double, sur des supports distincts, soient bien dans leur contenu conformes les unes aux autres.

Concernant l’information des personnes concernées par le traitement « ORPER »

Les modalités d’information des demandeurs, des déclarants et des parents de naissance identifiés par le CNAOP sont précisées par le projet d’article R. 147-33 du CASF. Outre le site web du CNAOP auquel le projet de décret fait référence comme support d’information, le ministère a transmis à la Commission les livrets d’accueil rédigés aux fins d’assurer l’information des demandeurs, déclarants et femmes ayant accouché sous X concernant le traitement de leurs données ainsi que les courriers adressés aux parents de naissance.

La Commission appelle l’attention du ministère sur la nécessité de mettre à jour les informations telles qu’elles existent actuellement dans les différents supports de communication utilisés pour qu’elles soient strictement conformes aux exigences des articles 12, 13 et 14 du RGPD. Elle prend acte de ce que le ministère est en train d’actualiser les supports, afin de satisfaire pleinement à ces dispositions.

De plus, le CNAOP déroge, par application des dispositions de l’article 14-5-b) du RGPD, à l’obligation d’informer les personnes concernées, notamment lorsqu’il collecte, au titre des premiers actes d’instruction, des données à caractère personnel concernant des personnes susceptibles d’être les parents de naissance sans que cela soit par la suite confirmé (ex. : liste recensant les identités de plusieurs parents de naissance potentiels s’avérant ultérieurement non concernés par l’accouchement dans le secret à l’origine de la saisine du CNAOP). Pour ces situations, la Commission recommande que le projet de décret précise la nature des garanties appropriées recensées par le ministère qui seront mises en place pour protéger les droits et libertés ainsi que les intérêts légitimes des personnes concernées.

Concernant la production de statistiques et l’anonymisation de documents

Le ministère a informé la Commission que les données à caractère personnel collectées dans le cadre du traitement « ORPER » pourraient être utilisées à des fins de production de résultats statistiques. Le ministère a indiqué, lors de ses échanges avec la Commission, que ces statistiques étaient produites sous forme anonyme.

Au vu du caractère exceptionnel que peut revêtir l’accouchement dans le secret, la Commission considère que les risques de réidentification des personnes doivent être évalués avec la plus grande attention et, le cas échéant, diminués en réduisant, par exemple, la granularité des ensembles utilisés.

Par ailleurs, le ministère a informé la Commission qu’une anonymisation de certains documents pouvait avoir lieu, notamment en occultant l’identité des personnes qui pourraient être visées.

En l’absence d’informations complémentaires concernant le type de documents faisant l’objet d’une telle anonymisation, des catégories de destinataires des documents anonymisés et des finalités de cette anonymisation, la Commission estime qu’elle ne dispose pas des éléments suffisants pour se prononcer sur le procédé d’anonymisation utilisé.

En tout état de cause, la Commission rappelle que l’occultation de l’identité des personnes ne saurait garantir le caractère anonyme d’un document si d’autres informations permettaient de réidentifier les personnes.

La Commission invite le ministère à s’assurer de la conformité des deux procédés évoqués précédemment, concernant la production de statistiques et l’anonymisation de documents, aux critères d’individualisation, de corrélation et d’inférence définis par le groupe de travail « article 29 » (G29), dans son avis 05/2014 du 10 avril 2014 sur les techniques d’anonymisation.

Concernant la sécurité et la confidentialité des données

Des données à caractère personnel, parfois sensibles, en lien avec la prétendue origine raciale ou l’origine ethnique, les convictions religieuses ou la santé, sont collectées et conservées par le CNAOP.

La Commission rappelle que ces données doivent faire l’objet de mesures adaptées afin d’en protéger la sécurité et la confidentialité conformément aux exigences de l’article 32 du RGPD. Elle invite ainsi le ministère à porter une attention particulière à la sécurité des communications, des sauvegardes et de toute utilisation de ces données.

Concernant la journalisation

Dans ses échanges avec le CNAOP, la Commission a été informée qu’une journalisation des actions portant sur les systèmes d’information était prévue.

A cet égard, la Commission recommande de mettre en œuvre un système de traitement et d’analyse des données collectées et de formaliser un processus permettant de générer des alertes et de les traiter en cas de suspicion de comportement anormal. Enfin, la Commission prend acte de ce que la mise en place d’une suppression automatique des traces après un an est prévue par le ministère et sera mise en place dès avril 2022.

Enfin, dans l’hypothèse où il serait procédé à une externalisation de l’hébergement des données de santé pour les informations de cette nature qui seraient librement laissées par la mère de naissance, la Commission demande de recourir à un prestataire agréé ou certifié à cette fin.

La Présidente

Marie-Laure DENIS