(Demande d'autorisation n° 1271600V3)
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'économie, des finances et de l'industrie d'une demande d'autorisation concernant la modification des traitements de données à caractère personnel ayant pour finalité la réalisation de l'enquête statistique dénommée « Trajectoires et origines » ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 51-711 du 7 juin 1951 modifiée sur l'obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 25-I (1°) et 30 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978, modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu le décret n° 2009-318 du 20 mars 2009 relatif au Conseil national de l'information statistique et au comité du secret statistique ;
Vu la délibération n° 2008-055 du 6 mars 2008 autorisant l'Institut national de la statistique et des études économiques (INSEE) et l'Institut national d'études démographiques (INED) à mettre en œuvre les traitements automatisés de données à caractère personnel nécessaires à la réalisation et à l'analyse des résultats d'une enquête statistique portant sur la diversité de la population en France dénommée « Trajectoires et origines » (Te0) ;
Vu la délibération n° 2009-364 du 25 juin 2009 autorisant l'Institut national de la statistique et des études économiques (INSEE) et l'Institut national d'études démographiques (INED) à mettre en œuvre les traitements de données à caractère personnel nécessaires à la réalisation de post-enquêtes qualitatives de l'enquête « Trajectoires et origines » ;
Après avoir entendu Mme Marie-Hélène MITJAVILE, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
La Commission a été saisie par le ministère de l'économie, des finances et de l'industrie d'une demande d'autorisation concernant la modification des traitements de données à caractère personnel ayant pour finalité la réalisation de l'enquête statistique dénommée « Trajectoires et origines » (TeO), conduite par l'Institut national de la statistique et des études économiques (INSEE) et l'Institut national d'études démographiques (INED).
Rappel sur l'enquête TeO :
Cette enquête, portant sur les trajectoires sociales et l'expérience des discriminations vécues par les immigrés, les personnes originaires des DOM et leurs descendants nés en France métropolitaine, ainsi que les post-enquêtes qualitatives destinées à en améliorer les résultats ont été réalisées en 2008 et 2009.
Les traitements de données à caractère personnel nécessaires à la réalisation et à l'exploitation des résultats de ces enquêtes ont été autorisés par la Commission dans ses délibérations du 6 mars 2008 et du 25 juin 2009 susvisées, sur le fondement des dispositions de l'article 25-I (1°) de la loi du 6 janvier 1978 modifiée.
Pour rappel, la Commission a considéré dans sa délibération du 6 mars 2008 que, si l'enquête TeO constituait une étude « sur la mesure de la diversité des origines des personnes, de la discrimination et de l'intégration », au sens de la décision du Conseil constitutionnel du 15 novembre 2007, aucune donnée objective collectée ne reposait sur l'origine raciale ou ethnique des personnes interrogées. S'agissant de la question invitant la personne interrogée à indiquer selon elle et selon son histoire familiale quelles seraient ses origines, la Commission a considéré qu'il s'agissait du traitement de données subjectives, relatives au « ressenti d'appartenances », et que cette question n'était donc pas contraire à la décision du Conseil. En outre, elle a rappelé que cette enquête n'avait pas pour objet, même indirectement, de classifier les personnes interrogées en fonction soit de leur origine ethnique ou raciale déclarée, soit d'un référentiel ethno-racial.
Sur l'élargissement des destinataires des données collectées :
La modification projetée des traitements de données mis en œuvre dans le cadre de cette enquête concerne les destinataires des données collectées. En effet, à l'instar de ce qui est décidé pour de nombreuses enquêtes, l'INSEE souhaite élargir l'utilisation de l'enquête TeO à des fins de recherche et de statistique publique. Plus précisément, il s'agit de permettre la diffusion de fichiers de données individuelles anonymisées, d'une part, l'accès des chercheurs et des services statistiques ministériels à des données individuelles non anonymisées, d'autre part.
S'agissant de la diffusion de données individuelles anonymisées, la Commission relève que la mise à disposition de fichiers dits de production et de recherche, comportant l'ensemble des réponses au questionnaire de l'enquête dès lors qu'elles ne constituent pas des informations relatives à une personne identifiée ou identifiable, aux services statistiques ministériels, aux chercheurs et aux organismes conventionnés était prévue dès 2008. Cette diffusion n'appelle donc pas d'observation particulière de la part de la Commission.
En ce qui concerne l'accès à des données individuelles non anonymisées, la Commission rappelle que la possibilité de communiquer des renseignements individuels figurant dans les questionnaires des enquêtes statistiques des services publics et ayant trait à la vie personnelle et familiale et, d'une manière générale, aux faits et comportements d'ordre privé, est prévue par l'article 6 de la loi n° 51-711 du 7 juin 1951 modifiée. En effet, ces informations ne peuvent faire l'objet d'aucune communication de la part du service dépositaire avant l'expiration d'un délai de soixante-quinze ans suivant la date de réalisation de l'enquête ou d'un délai de vingt-cinq ans à compter de la date du décès de l'intéressé, si ce dernier délai est plus bref, « sauf décision de l'administration des archives, prise après avis du comité du secret statistique et relative à une demande effectuée à des fins de statistique publique ou de recherche scientifique ou historique ».
Conformément aux dispositions de l'article 17 du décret n° 2009-318 du 20 mars 2009 susvisé, la section compétente du comité du secret statistique, saisie d'une demande de communication de tels renseignements individuels, émet son avis « en prenant en compte la nature des travaux pour l'exécution desquels la demande est formulée et la qualité de la personne ou de l'organisme présentant la demande et les garanties qu'il présente. Elle vérifie que le volume des informations demandées n'est pas excessif par rapport aux travaux qui justifient leur communication et que celle-ci ne conduit pas à porter une atteinte excessive aux intérêts que la loi du 7 juin 1951 susvisée a entendu protéger ». Elle doit également vérifier que cette demande est effectuée à des fins de statistique publique ou de recherche scientifique ou historique avant de déterminer les conditions dans lesquelles ces renseignements individuels pourront être portés à la connaissance du demandeur. Enfin, la décision de l'administration des archives ne peut intervenir qu'après que le comité du secret statistique a émis son avis et sous réserve de l'accord de l'autorité dont émanent les documents, en l'espèce de l'INSEE.
Tout en rappelant que les demandeurs, chercheurs ou services statistiques ministériels, doivent également effectuer auprès de la CNIL les formalités préalables nécessaires à la mise en œuvre de leur propre traitement de données à caractère personnel, la Commission prend acte que l'élargissement projeté des destinataires des données collectées dans le cadre de l'enquête Te0 est conforme aux dispositions législatives et réglementaires pertinentes en matière de statistique publique. Elle relève que toutes les données issues de l'enquête sont concernées par ces communications d'informations, à l'exception des noms des personnes concernées.
Sur les mesures de sécurité entourant la communication des informations :
La Commission observe que la mise à disposition de ces fichiers de données individuelles pourra prendre deux formes : la communication sur support mobile pour les seuls services statistiques ministériels et l'utilisation du centre d'accès sécurisé à distance (CASD) pour les chercheurs et les statisticiens publics extérieurs à l'INSEE.
Dans le cadre de la politique de sécurité des échanges mise en place par l'INSEE avec ses partenaires réguliers, des conventions sont en effet signées, avec les services statistiques ministériels par exemple, de façon à échanger des clés permettant de chiffrer et déchiffrer les données échangées. Lorsque seules des opérations ponctuelles sont réalisées, la communication des informations intervient sur support mobile (CD ou DVD principalement) chiffré, la clé de déchiffrement étant adressé au destinataire après son authentification. Ces conventions prévoient en outre l'interdiction, pour le destinataire, de communiquer à des tiers tout ou partie des informations fournies par l'INSEE, sauf aux organismes chargés de réaliser des travaux pour le service statistique ministériel. Dans ce cas, une convention particulière doit être signée avec ce prestataire, qui est soumis aux mêmes obligations, notamment de respect des dispositions légales en matière de secret statistique et de protection des données à caractère personnel, que le responsable de traitement. Ces mesures de sécurité n'appellent pas d'observation particulière de la part de la Commission.
L'utilisation du CASD par les chercheurs n'appelle pas davantage d'observation de sa part, dans la mesure où les mesures de sécurité entourant l'utilisation de ce centre, qui permet aux chercheurs autorisés d'accéder aux données de l'INSEE et de les traiter sans que ces données soient transférées sur d'autres ordinateurs que ceux gérés par l'Institut, ont déjà été jugées satisfaisantes au regard des obligations prévues par l'article 34 de la loi du 6 janvier 1978 modifiée.
Dans ces conditions, la Commission autorise le ministère de l'économie, des finances et de l'industrie à modifier les traitements de données à caractère personnel ayant pour finalité la réalisation de l'enquête statistique dénommée « Trajectoires et origines » afin de permettre l'accès des chercheurs et des services statistiques ministériels aux données à caractère personnel collectées dans ce cadre.