Distribution des masques - traitement des données.

Distribution des masques aux administrés : quelles sont les recommandations de la CNIL quant aux traitements de données utilisés ?  

Dans le cadre de la crise sanitaire et du déconfinement annoncé, les communes sont appelées à procéder à la distribution de masques auprès de la population. Cette distribution et son suivi pourrait impliquer de mobiliser certains fichiers existants contenant des données à caractère personnel concernant les administrés. La CNIL formule les recommandations pour garantir la protection des données personnelles des administrés et rappelle ainsi le nécessaire respect du RGPD lors de la constitution de nouveaux fichiers pour mettre en œuvre la distribution de masques. 

 

La CNIL rappelle que les traitements de données qui vont être mis en œuvre devront avoir pour finalités : 

  • d’informer les administrés sur la procédure à suivre pour récupérer les masques ; 

  • d’organiser la prise de rendez-vous ou l’envoi par voie postale des masques ; 

  • de contrôler les opérations de distribution en fonction des conditions établies par la commune. 

  •  

Sur l’information des administrés  

 

Si la commune décide d’informer la population de manière individuelle, elle peut s’appuyer sur les données strictement nécessaires de fichiers existants limitativement énumérés par la CNIL : 

  • Le fichier de communication municipale : souvent créé pour informer sur les événements de la vie municipale comme les projets ou l’accueil des nouveaux arrivants. Ce fichier peut servir à communiquer dans le cadre de la gestion de la crise. 

  • Le registre communal d’information et d’alerte de la population : souvent mis en œuvre dans le cadre des plans communaux de sauvegarde par exemple.  

  • La liste électorale 

  • Les fichiers de partenaires institutionnels : concernent surtout les fichiers détenus par les établissements sociaux ou médico-sociaux (CCAS, MDPH, caisse de sécurité sociale). Si la commune ne peut en aucun cas récupérer les données de ces fichiers pour créer sa liste de diffusion, elle peut cependant demander à ces établissements de se faire le relai de l’information de la commune. 

  • Le fichier de la taxe d’habitation.  

     

Sur l’organisation, le contrôle et le suivi de la distribution  

 

La CNIL envisage deux hypothèses pour la distribution des masques par les communes : l’envoi postal et la prise de rendez-vous pour la délivrance en main propre. 

 

Cas 1 : L’envoi postal 

 

Afin de s’assurer que les masques seront envoyés aux propriétaires de résidences principales et qu’il y en ait assez pour le nombre de personnes vivant dans un même foyer, la CNIL permet d’utiliser une extraction du fichier du rôle de la taxe d’habitation à condition de respecter certaines conditions tenant notamment à la limitation des finalités du traitement opéré, à l’information des citoyens et l’encadrement des opérations sous-traitées, en cas de recours à un prestataire de services pour la mise sous pli des masques (Cf https://www.cnil.fr/fr/la-cnil-considere-possible-utilisation-fichier-taxe-dhabitation-pour-distribution-des-masques). 

 

Cas 2 : La prise de rendez-vous et la délivrance en main propre 

 

La délivrance peut se faire sur un lieu et à un temps pré déterminés.  

Afin d’organiser ce type de distribution, la commune peut mettre en place des dispositifs d’inscription dans un fichier de prise de rendez-vous et de diffusion. Ces rendez-vous peuvent être pris en ligne ou par téléphone.  

Ces traitements de données personnelles devront respecter les règles classiques de garantie des principes informatique et libertés

La commune peut organiser un contrôle de la délivrance des masques. En effet, elle a la possibilité de subordonner la délivrance des masques à certaines conditions telles que de disposer de sa résidence principale sur la commune, exercer une profession spécifique ou avoir un âge minimum. Dans ce cas, les citoyens devront se munir de justificatifs à présenter lors de la remise des masques. Elle peut aussi limiter le nombre de masques fournis. 

Ainsi, dans ces fichiers de diffusion, seules les données à caractère personnel suivantes pourront être collectées : 

  • Identité des personnes venant récupérer les masques (une seule suffit pour un foyer) 

  • Point de distribution concerné au regard du lieu de résidence 

  • Nombre de masques devant être délivrés au regard de la composition du foyer ou de la détention de procurations 

  • Le cas échéant, engagements sur l’honneur du respect des conditions fixées par la commune (par exemple : exercer certaines professions).  

    *** 

    Vous pouvez retrouver toutes les informations nécessaires à la distribution des masques à la population sur le site de la CNIL par le biais du lien suivant : https://www.cnil.fr/fr/covid-19-les-traitements-de-donnees-associes-aux-operations-de-distribution-de-masques