N° de demande d’avis : 2239841	Thématiques : Recherche scientifique (hors santé), mineurs, étude des émotions, éthologie
Organisme(s) à l’origine de la saisine : Université de Caen Normandie	Fondement de la saisine : Article 44.6° de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés

L’essentiel :

1. L’Université de Caen Normandie a saisi la CNIL pour avis sur un traitement de données à caractère personnel nécessaire à la réalisation d’une recherche. L’étude porte sur l’impact de la présence des chiens d’assistance judiciaire durant des auditions de mineurs victimes sur les mineurs, les gendarmes dirigeant les auditions et les chiens eux-mêmes.

2. Afin de limiter l’atteinte à la vie privée des personnes concernées, la CNIL souligne l’importance d’établir, en amont de la mise en œuvre du traitement, une grille de données adéquates et pertinentes au regard de l’objet de la recherche.

3. Concernant les mesures de sécurité mises en place, elle recommande de ne conserver aucune donnée en local et de réaliser toutes les analyses sur les serveurs de l’université ou de la gendarmerie. Afin de protéger la confidentialité et l’intégrité des de ces données, il conviendra de définir des profils d’habilitation et de mettre en place un contrôle régulier des traces.

­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________

La Commission nationale de l’informatique et des libertés,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (« loi informatique et libertés »), notamment son article 44 ;

Sur la proposition de M^me Aminata Niakaté, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,

Adopte la délibération suivante :

I. La saisine

A. Le contexte

Le laboratoire EthoS de l’Université de Caen Normandie envisage de mener un projet de recherche scientifique en éthologie pour lequel un traitement d données à caractère personnel est nécessaire. Cette recherche s’inscrit dans le cadre d’une thèse « COFRA » (convention de formation par la recherche en administration) conclue entre l’université, la Région de Gendarmerie de Normandie et la chercheuse opérant la recherche.

Elle porte sur la médiation animale à travers la présence d’un chien d’assistance judiciaire, en tant que dispositif d’accompagnement émotionnel des victimes d’infractions pénales pouvant être mis en place à toutes les étapes de la procédure judiciaire. Si l’efficacité de ce dispositif pour les victimes est communément admise, ses effets sur les chiens eux-mêmes demeurent assez peu documentés. Ainsi, le projet de recherche vise à évaluer les conséquences de cette médiation pour les victimes, les gendarmes menant l’audition et les chiens eux-mêmes.

Le dispositif retenu permettra à la chercheuse d’assister à 60 auditions de mineurs victimes au sein des UAPED (unités d’accueil pédiatrique enfants en danger) de Saint Lô et Alençon, derrière un miroir sans tain et sans aucune interaction avec eux. Elle pourra par la suite revisionner ces auditions pour observer le comportement des mineurs, des gendarmes et des chiens grâce aux copies sur DVD de chaque audition. La participation des mineurs à la recherche est conditionnée au consentement de leur responsable légal et sous réserve de leur propre acceptation.

Une trentaine de gendarmes participeront à cette étude, à laquelle ils auront préalablement consenti. Ils rempliront tous un questionnaire socio-démographique au moment de leur recrutement puis répondront à un questionnaire sur leur niveau d’anxiété avant et après l’audition afin que la chercheuse puisse étudier l’impact de la médiation animale sur leur bien-être.

B. L’objet de la saisine

La CNIL a été saisie par l’Université de Caen Normandie pour avis sur un traitement de données à caractère personnel nécessaire pour réaliser cette recherche. Dans la mesure où le traitement porte sur des données sensibles au sens de l’article 9 du RGPD, il doit faire l’objet d’un avis préalable de la CNIL conformément aux dispositions du 6° de l’article 44 de la loi « informatique et libertés ».

S’agissant de ses finalités, le traitement projeté vise à permettre :

• d’évaluer l’effet de la présence des chiens d’assistance judiciaire sur l’état émotionnel du mineur et sa communication lors des auditions judiciaires ;
• d’évaluer l’effet de la présence des chiens d’assistance judiciaire sur le confort relationnel et psychologique des gendarmes lors des auditions judiciaires ;
• une analyse approfondie des interactions entre les mineurs et le chien.

Dans la mesure où il est mis en œuvre par l’Université de Caen Normandie en qualité d’acteur de la recherche publique, le traitement a pour base légale l’exercice d’une mission d’intérêt public à des fins de recherche scientifique.

II. L’avis de la CNIL

A. Sur les données traitées

Les analyses de la chercheuse reposeront sur des données collectées exclusivement durant les auditions auxquelles elle a été autorisée à assister. Il s’agira des données issues de questionnaires sur le niveau d’anxiété des gendarmes et des enregistrements des auditions sur DVD (auxquels la chercheuse a été autorisée à accéder), ainsi que des informations constitutives des observations écrites sur le comportement des participants.

En premier lieu, s’agissant du traitement de données d’infraction, la CNIL observe que l’université appartient à la catégorie des services publics de la recherche au sens de l’article L. 123-2 du code de l’éducation. En conséquence, il convient de qualifier l’université de personne morale gérant un service public, agissant dans le cadre de ses attributions légales, et fondée à traiter ces données en application du 1° de l’article 46 de la loi « informatique et libertés » (v. CNIL, SP, 16 mars 2023, avis sur traitement recherche, n° 2228343, publié).

En second lieu, les échanges captés au cours des auditions sont susceptibles de contenir un volume et une diversité importants de catégories de données et ainsi de porter une atteinte significative à la vie privée des personnes concernées.

Tout en relevant la difficulté d’anticiper avec précision les catégories de données susceptibles d’être collectées par ce moyen, la CNIL observe, en revanche, que le périmètre des données traitées peut être affiné s’agissant de l’analyse effectuée à partir des enregistrements et des outils mis en place à cette fin (questionnaires).

La CNIL accueille favorablement la mise en place, préalablement à la mise en œuvre du traitement, d’une grille de données pertinentes pour étudier les réactions des personnes à la présence des chiens d’assistance judiciaire ainsi que de critères d’inclusion et d’exclusion des participants. L’ensemble de ces éléments favorise le respect du principe de minimisation exposé à l’article 5(1)c du RGPD.

Elle invite l’université à inclure ces éléments dans l’analyse d’impact relative à la protection des données (AIPD) du traitement pour documenter sa conformité et se conformer à l’article 35 du RGPD.

Par ailleurs, la grille a été construite à partir d’études scientifiques relatives aux interactions humain-animal dans le domaine judiciaire, en vue de retenir les variables pouvant influencer l’impact de la présence des chiens sur les comportements des personnes présentes. Parmi les variables retenues figurent plusieurs catégories de données (âge, genre, présence d’animaux dans le foyer, situation professionnelle pour les gendarmes), dont des données sensibles au sens de l’article 9 du RGPD (issues notamment des tests d’anxiété auxquels se soumettent les gendarmes et éléments relatifs à l’intimité des mineurs, notamment leur vie sexuelle).

La CNIL estime ces catégories de données pertinentes et nécessaires au regard des finalités du traitement.

Enfin, la chercheuse aura inévitablement accès à des informations relatives à des tiers en visionnant les auditions, puisqu’il sera fait mention des personnes accusées des faits qui leur sont reprochés, des témoins ou leurs proches.

La CNIL prend acte de ce que ces personnes seront, dans tous les supports exploités, désignées par l’appellation « un tiers » – à l’exception des enregistrements des auditions pour lesquels une pseudonymisation est impossible.

B. Sur les durées de conservation

L’ensemble des données permettant une identification directe ou indirecte des personnes concernées par le traitement – y compris la table de pseudonymisation – seront conservées cinq ans à compter de la date de l’audition à laquelle elles se rapportent. A l’issue de ce délai, elles seront toutes détruites, de manière à ce qu’aucune réutilisation ne soit possible, ni même pour la communauté scientifique.

Il découle de l’accord des procureurs permettant à la chercheuse d’obtenir l’enregistrement des auditions que la durée de conservation de ces supports est limitée à cinq ans. Le responsable de traitement a généralisé cette durée de conservation à l’ensemble des données, en vue de fluidifier leur gestion.

Sans remettre en cause ce besoin, la CNIL rappelle que les durées de conservation doivent être définies au regard des finalités pour lesquelles les données sont traitées (v. article 5(1)e du RGPD). Elle invite ainsi le responsable de traitement à envisager des cas de suppression anticipée des données. A cet égard, elle prend acte de la possibilité de conserver les données moins de cinq ans si les articles scientifiques sont publiés avant cette échéance.

Par ailleurs, il ressort des précisions apportées que la date d’enregistrement et la date de limite de conservation seront inscrites sur les DVD afin de faciliter le suivi des durées de conservation et d’éviter une atteinte au principe de limitation de la conservation exposé à l’article 5(1)e du RGPD.

La CNIL accueille favorablement cette mesure, et ce d’autant plus qu’elle concerne les supports qui contiennent le plus de données.

C. Sur les droits des personnes concernées

a) Sur l’information des mineurs

Au moment de leur arrivée dans l’UAPED où ils sont auditionnés, les mineurs sont informés des modalités du traitement :

• par écrit, par le biais d’une notice rédigée en français facile à lire et à comprendre (FALC) ;
• oralement, par la psychologue qui sera présente durant l’audition.

La CNIL accueille favorablement la mise en place de mesures spécifiques aux mineurs qui permettent au responsable de traitement de délivrer une information "en des termes clairs et simples", comme le requiert l’article 12 du RGPD.

b) Sur l’exercice des droits

Les formulaires de consentement à la recherche – et la notice à destination des mineurs – indiquent que les personnes peuvent adresser leur demande d’exercice des droits auprès de la déléguée à la protection des données de l’université, la chercheuse ou sa directrice de thèse.

La CNIL recommande qu’un point de contact unique soit destinataire des demandes, afin de faciliter la procédure et d’assurer l’effectivité des droits.

D. Sur les mesures de sécurité

Le traitement envisagé a fait l’objet d’une AIPD.

Deux ordinateurs professionnels distincts seront utilisés : un sous la responsabilité de la gendarmerie, sans accès internet, et un second sous la responsabilité de l’université.

Les mesures de sécurité concernant ces ordinateurs devront être à l’état de l’art et comprendre un disque dur chiffré, un verrouillage automatique de session ou encore un antivirus et des logiciels régulièrement mis à jour. Si un accès internet s’avère indispensable, les éventuels contenus extérieurs (courriels, document reçu, lien de téléchargement, etc.) devront faire l’objet d’une vigilance accrue.

La CNIL recommande que les analyses soient réalisées exclusivement sur les serveurs de l’université ou de la gendarmerie et d’éviter toute conservation en local. Des profils d’habilitation devront être prévus afin de gérer les accès aux données en tant que de besoin. Un contrôle régulier des traces devra être mis en place afin de détecter les comportements anormaux et de générer des alertes le cas échéant.

Enfin, les données de l’étude, ses sauvegardes, tables de correspondance ainsi que tout équipement mobile devront être chiffrés avec des algorithmes et des procédures de gestion de clés conformes à l’annexe B1 du référentiel général de sécurité, tant au niveau des bases de données que des sauvegardes.

La présidente,

M.-L. Denis