21ème rapport d'activité 2000 de la Commission nationale de l'informatique et des libertés - Rapports publics - La documentation Française

Présentation par la CNIL de son rapport d'activité pour 2000 (chiffres de saisines, de plaintes, avis sur des projets de loi bientôt en discussion comme celui sur la société de l'information). Vigilance au quotidien (sectes, logement social, maladie à déclaration obligatoire, enfance maltraitée, discriminations raciales), la cybersurveillance des salariés, la santé en ligne, la sécurisation des cartes de crédit, la mondialisation des données personnelles, le système de traitement des infractions constatées, les contrôles d'accès par biométrie.

Sommaire
21ème
rapport d'activité : 2000
Commission
nationale de l'informatique et des libertés
juin
2001
Avant-propos

Chapitre 1 LA CNIL EN 2000
I. LA CNIL EN CHIFFRES
A. Les saisines Bilan 1995 - 2000.
Les demandes de conseil Les plaintes Les avertissements et dénonciations au
parquet
B. Le droit d'accès indirect Les fichiers des renseignements généraux
Évolution des investigations aux renseignements généraux Les investigations
concernant le système d'information Schengen
C. Les formalités préalables à la mise en oeuvre des traitements
Bilan 1978 - 2000
2000
Demandes d'avis
Demandes d'autorisation
Déclarations des sites internet
D. Les visites, auditions et contrôles
II. LES CHANTIERS LÉGISLATIFS EN ATTENTE
A. La protection des données personnelles au coeur de la société de l'information

B. La réforme attendue de la loi du 6 janvier 1978
C. L'avis de la CNIL sur le projet de loi sur la société de l'information Délibération
n o 01-018 du 3 mai 2001 portant avis sur le projet de loi sur la société de
l'information

Chapitre 2 VIGILANCE AU QUOTIDIEN
I. SPIRITUALITÉ FORCÉE
Délibération n o 00-035 du 20 juin 2000 portant dénonciation au parquet de faits
imputés à l'association spirituelle de l'église de scientologie d'Ile-de-France

II. DÉFENSE DU LOGEMENT SOCIAL
A. Le contrôle d'une société HLM à la Rochelle
B. Le contrôle de la SOGINORPA à Douai C. Le contrôle de l'OPAC de Metz
III. MALADIES À DÉCLARATION OBLIGATOIRE SOUS SURVEILLANCE
Délibération n o 00-045 du 3 octobre 2000 portant avis sur un projet de décret
modifiant les articles R 11-1, R 11-2, R 11-3 et R 11-4 du code de la santé
publique issus du décret n o 99-362 du 6 mai 1999 fixant les modalités de transmission
à l'autorité sanitaire de données individuelles concernant les maladies à déclaration
obligatoire
IV. ENFANCE MALTRAITÉE
Délibération n o 00-063 du 30 novembre 2000 portant avis sur le projet de délibé-ration
du conseil d'administration du Service national d'accueil téléphonique pour
l'enfance maltraitée (SNATEM) concernant la mise en oeuvre du traitement « AGATE
» de gestion des appels reçus
V. DISCRIMINATIONS RACIALES
Délibération n o 00-033 du 8 juin 2000 relative à une demande de conseil présentée
par le ministère de l'Emploi et de la solidarité sur la mise en oeuvre du numéro
d'appel gratuit -le 114 -destiné à lutter contre les discriminations raciales


Chapitre 3 LE STIC SUITE
L'instruction de la nouvelle demande d'avi
I. LES CARACTÉRISTIQUES DU STIC
II. LES PRINCIPALES OBSERVATIONS FORMULÉES LORS DES AUDITIONS
III. LES GARANTIES APPORTÉES PAR LA COMMISSION
Un plus strict encadrement de la finalité de recherche criminelle du fichier
Une définition plus rigoureuse des personnes mises en cause
Une attention particulière aux victimes d'infractions Un renforcement du contrôle
exercé par les procureurs de la République sur l'alimentation du fichier
Une définition plus rigoureuse des données sensibles susceptibles d'être collectées

Une mise à jour des informations plus rigoureuse
La reconnaissance d'un droit d'initiative au bénéfice des personnes concernées
pour provoquer la mise à jour ou l'effacement des informations les concernant
Le raccourcissement de certaines durées de conservation des informations.
Une grande attention aux mesures de sécurité
Un droit d'accès aménagé pour plus de transparence Le cantonnement de l'utilisation
du STIC à des fins de police administrative
Une exigence de parfaite information des personnes sur leurs droits
Délibération n o 00-064 du 19 décembre 2000 relative a un projet de décret en
conseil d'État portant création du « système de traitement des infractions constatées
(STIC) » et application des dispositions du troisième alinéa de l'article 31
de la loi du 6 janvier 1978


Chapitre 4 LES CONTRÔLES D'ACCÈS PAR BIOMÉTRIE
I. QUELQUES OBSERVATIONS GÉNÉRALES SUR LA BIOMÉTRIE.
Les finalités des techniques biométriques sont très diverses
La diversité des données biométriques La diversité des technologies biométriques
II. LES PROBLÈMES SPÉCIFIQUES LIÉS À LA CONSTITUTION DE BASE DE DONNÉES D'EMPREINTES
DIGITALES L'empreinte digitale : une biométrie chargée d'histoire Les bases
de données d'empreintes digitales en France
La technique de reconnaissance par empreintes digitales
Le problème spécifique de l'empreinte digitale.
III. L'ACCÈS AUX CANTINES SCOLAIRES
Délibération n o 00-015 du 21 mars 2000 portant avis sur le traitement automatisé
d'informations nominatives, mis en oeuvre par le collège Jean Rostand de Nice,
destiné à gérer l'accès à la cantine scolaire par la reconnaissance des empreintes
digitales
IV. LA GESTION DES HORAIRES
Délibération n o 00-057 du 16 novembre 2000 portant avis sur un projet d'arrêté
présenté par le préfet de l'Hérault concernant un traitement automatisé d'informa-tions
nominatives ayant pour finalité la gestion du temps de travail des agents de
la préfecture
V. LA PROTECTION DE LOCAUX SENSIBLES
Délibération n o 00-056 du 16 novembre 2000 portant avis sur un projet d'arrêté
présenté par le ministre de l'éducation nationale concernant un traitement automatisé
d'informations nominatives ayant pour finalité le contrôle d'accès, par la reconnaissance
des empreintes digitales de certains personnels de l'Éducation nationale, pour
certains locaux de la cité académique de Lille

Chapitre 5 LA CYBERSURVEILLANCE DES SALARIÉS
I. LES CONSTATS TECHNIQUES
A. Les outils techniques de surveillance du réseau
Les pare-feu ou « firewall »
Les proxys
La messagerie
Le disque dur de l'utilisateur
B. La vie privée du salarié a émergé dans l'entreprise par les lois « Auroux
»
C. Des principes consacrés au plan européen et mondial
II. UN CONSTAT JURISPRUDENTIEL
Le contentieux de la preuve Le secret des correspondances
III. UNE CONCLUSION PROVISOIRE
Navigation sur le web à titre privé
Utilisation à titre personnel de la messagerie


Chapitre 6 SANTÉ EN LIGNE
I. MON E-DOCTEUR
A. Les contrôles sur place
1) Présentation des sites
2) Les traitements de données personnelles
3) L'information des internautes sur la protection des données personnelles

B. L'évaluation de 60 sites de santé : une situation contrastée mais très largement
insatisfaisante
1) Les enseignements
2) Les éléments plus positifs : l'émergence d'une spécificité des données de
santé
C. La recommandation de la CNIL du 8 mars 2001
1) Les initiatives déjà prises
2) Les recommandations pratiques de la CNIL Délibération n o 01-011 du 8 mars
2001 portant adoption d'une recommandation sur les sites de santé destinés au
public
II. MON E-DOSSIER
A. Présentation des projets
1) Les réseaux ville-hôpital de l'association pour la bonne coordination médico-chirurgicale
et de l'association intégrale santé de Lens
2) Le projet de la société USIS-URGENCE : la gestion d'un dossier d'urgence
médicale sur internet
3) Le projet de la société UNI-MÉDECINE : un service de gestion des dossiers
proposé aux usagers et aux professionnels de santé
B. Les conditions d'accès au dossier médical sur Internet : vers une maîtrise
des informations médicales par le patient ?.
1) La constitution du dossier par l'usager et les modalités d'accès aux informations

2) Les conditions d'accès et de validation des informations par les professionnels
de santé
C. L'intervention de sociétés commerciales dans le traitement du dossier de
santé sur Internet
1) L'interdiction de toute utilisation commerciale des données
2) Les sécurités
Délibération n o 01-012 du 8 mars 2001 portant avis sur un projet de décision
présenté par l'association pour la bonne coordination médico-chirurgicale concernant
la mise en place d'un réseau ville-hôpital destiné à permettre la gestion et
l'archivage sur internet des dossiers de patients bénéficiant d'une prise en
charge médico-chirurgicale Délibération n o 01-013 du 8 mars 2001 portant avis
sur un projet de décision présenté par l'association intégrale santé concernant
la mise en place d'un réseau de soins dans la région de Lens destiné à permettre
la gestion et l'archivage sur internet des dossiers de patients


Chapitre 7 CRÉDIT ET PAIEMENT : LA SÉCURITÉ À TOUT PRIX
I. LA SÉCURISATION DES CARTES BANCAIRES
II. L'EMBLÉMATIQUE SECTEUR DU CRÉDIT
A. Les précédents
B. Le constat des missions de vérification sur place
C. Les demandes de renseignements auprès de tiers
D. Le risque d'automatisation de profils de fraudeurs ou « l'ilôtypage négatif
»
E. Le problème posé par la pratique des appels aux voisins
F. La communication des informations collectées lors d'un crédit à d'autres
sociétés
G.L'application du secret bancaire
H. La réflexion des professionnels sur l'éventuelle constitution d'un fichier
commun de lutte contre la fraude
I. Où l'on reparle du fichier positif

Chapitre 8 LA MONDIALISATION DE LA PROTECTION DES DONNÉES
I. L'ESSOR DES LOIS DE PROTECTION DES DONNÉES PERSONNELLES HORS D'EUROPE
II. LES TRAVAUX AU SEIN DE L'UNION EUROPÉENNE
A. Le développement d'un système de protection
1) État de la transposition des directives sur la protection des données à caractère
personnel
2) L'adoption du règlement du Parlement européen et du Conseil relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère
personnel par les institutions et organes communautaires et à la libre circulation
de ces données
3) L'installation de l'autorité de contrôle commune prévue par la convention
« douane » et la poursuite des travaux en vue d'une approche « horizontale »
pour les aspects de protection des données dans les domaines relevant du titre
VI du Traité de l'Union, c'est-à-dire en matière notamment de coopération intergouvernementale
policière et douanière
4) La proclamation de la charte des droits fondamentaux de l'Union européenne

B. La coopération entre les autorités européennes de protection des données

1) Les travaux du groupe consultatif dit de l'article 29 Internet La révision
de la directive 97/66 du 15 décembre 1997 sur la protection de la vie privée
et la protection des données dans le secteur des télécommunications
2) La coopération au sein des autorités de contrôle communes
C. Les transferts de données personnelles vers les pays tiers

ANNEXES
Annexe 1
Composition de la Commission au 15 mai 2001
Composition de la Commission au 31 décembre 2000
Annexe 2
Répartition des secteurs d'activité
Annexe 3
Organigramme des services au 15 mai 2001
Annexe 4
Liste des délibérations adoptées en 2000 Annexe 5 Délibérations adoptées en
2000, non publiées dans les chapitres du rapport
Annexe 6
Décisions des juridictions
Annexe 7
Actualité parlementaire
Annexe 8
Listes d'opposition
Annexe 9
La protection des données personnelles en Europe et dans le Monde