COVID-19 : les traitements de données associés aux opérations de distribution de masques

28 avril 2020

Dans le contexte actuel de crise sanitaire, les collectivités sont appelées à procéder à des distributions massives de masques auprès de leurs administrés. La CNIL livre ses recommandations quant à la mobilisation de fichiers existants et la constitution de nouveaux traitements de données.

Cette fiche a été mise à jour le 1^er mai 2020 sur la question de l’utilisation du fichier de la taxe d’habitation dans le cadre de l’envoi postal des masques.

Les traitements de données personnelles susceptibles d’être mis en œuvre, par les communes en particulier, vont avoir principalement pour finalités :

d’informer les administrés sur la procédure à suivre pour récupérer les masques ;
d’organiser la prise de rendez-vous, ou d’établir le fichier nécessaire à un envoi postal de ces derniers ;
de contrôler les opérations de distribution des masques, en s’assurant du respect des conditions définies par la collectivité, et d’en assurer le suivi.

L’information des administrés sur le dispositif : quels fichiers mobilisables ?

Les collectivités peuvent vouloir s’engager dans une démarche d’information individuelle des administrés quant à la procédure à suivre pour obtenir des masques de protection.

La CNIL rappelle que le législateur n’a pas créé, au bénéfice des communes, un « fichier de population » recensant de façon exhaustive et permanente les coordonnées de leurs administrés, et les autorisant à communiquer auprès de ces derniers, de façon proactive et individuelle, sur tout sujet intéressant la vie de la municipalité.

Néanmoins, les collectivités peuvent utilement recourir à certains fichiers préexistants. Leur utilisation, complétée par la fourniture d’une information générale – par voie de presse, radio, télévision locales, affichage dans la rue, les commerces et services publics de proximité, publication sur le site internet et comptes de réseaux sociaux, etc. – devrait permettre de garantir la bonne connaissance, par l’ensemble des foyers de la commune, de la procédure mise en place pour obtenir les masques.

Peuvent ainsi être utilisés :

Le fichier de la taxe d'habitation

Le fichier de la taxe d’habitation ne peut, en principe, être utilisé pour la réalisation d’actions de communication institutionnelle sans lien direct avec la gestion de la fiscalité locale. Dans le contexte actuel de crise sanitaire, la CNIL a cependant admis la possibilité pour les collectivités de recourir à ce fichier pour la communication institutionnelle sur le sujet de la distribution des masques, ainsi que pour l’envoi de ces derniers aux différents foyers.

Pour en savoir plus sur les conditions d’utilisation de ce fichier dans ce cadre particulier, consultez la fiche dédiée à ce sujet.

Le fichier de communication municipale

De nombreuses collectivités disposent d’un fichier de communication institutionnelle, destiné à informer les administrés des événements de la vie municipale et des services offerts, à les consulter sur des projets, à réaliser des enquêtes, à accueillir les nouveaux arrivants, etc. Ce fichier a naturellement vocation à être mobilisé pour fournir toute indication utile sur les actions menées par la collectivité pour protéger sa population dans le cadre de la gestion de la crise.

Pour en savoir plus sur les conditions d’utilisation de ce fichier, consultez la fiche sur la communication municipale.

Les registres communaux d’information et d’alerte des populations

Les données contenues dans les dispositifs d’alerte et d’information des populations, que sont les registres nominatifs constitués dans le cadre du plan départemental d’alerte et d’urgence (données relatives aux personnes âgées et handicapées) ou du plan communal de sauvegarde, peuvent être utilisées par les personnes habilitées à en connaître pour renseigner personnellement les intéressés sur les modalités d’obtention d’un masque de protection (par ex. : possibilité d’une livraison à domicile).

Pour en savoir plus sur les conditions d’utilisation de ces données, consultez la fiche sur les registres communaux d'alerte et d’information des populations.

La liste électorale

Le code électoral (art. L37) permettant à tout électeur, candidat, parti ou groupement politique de prendre communication et copie de la liste électorale, à condition de s'engager à ne pas en faire un usage commercial, rien ne s’oppose à ce qu’un maire exploite les données contenues dans ce fichier pour adresser aux administrés des courriers d’information sur les modalités de mise en œuvre des opérations de distribution de masques.

Pour en savoir plus sur les conditions d’utilisation de ces données, consultez la fiche sur les listes électorales.

Enfin, les communes peuvent utiliser les autres fichiers qu’elles mettent en œuvre pour donner des informations liées à la gestion de crise sanitaire en lien avec la finalité de ceux-ci (par exemple : utilisation du fichier des inscriptions scolaires pour informer sur les horaires de la cantine scolaire, etc.).

Les communes peuvent également s’appuyer sur les fichiers de tiers, en particulier les fichiers de partenaires institutionnels

Les communes peuvent également demander à leurs partenaires institutionnels, intervenant dans le secteur sanitaire, social et médico-social (ex. : centre communal d’action sociale, maison départementale des personnes handicapées, caisses de sécurité sociale), de relayer auprès de leurs usagers l’information utile quant aux modalités qu’elles ont prévues pour la délivrance de masques.

Pour autant, sauf consentement des personnes concernées ou texte particulier le prévoyant expressément, aucune donnée d’usagers (identité, adresse, composition du foyer) ne peut être transmise directement aux communes par ces partenaires pour enrichir ou établir une « liste de diffusion ».

L’organisation, le contrôle et le suivi de la distribution

La prise de rendez-vous pour la délivrance de masques en main propre, ou l’inscription dans un fichier pour une transmission par voie postale

Lorsque les masques ne sont pas déposés, de façon anonyme, dans les boîtes aux lettres des habitants de la commune, leur distribution va souvent intervenir, conformément à l’impératif de distanciation sociale, dans le cadre :

d’un envoi par voie postale ;
ou d’une récupération en main propre, à des endroits et sur des temps prédéfinis.

S’agissant de l’envoi par voie postale, la CNIL admet qu’on puisse recourir à une extraction de certaines données du rôle de la taxe d’habitation, à condition de respecter certaines précautions. Une fiche dédiée à cette question est disponible ici.

Toutes les personnes ne sont pas redevables de la taxe d’habitation : les collectivités peuvent donc également mettre en place des dispositifs d’inscription dans un fichier de diffusion, ou de prise de rendez-vous par téléphone ou en ligne. Ces traitements de données personnelles devront tenir compte des principes « informatique et libertés » garantissant la protection des informations enregistrées : finalité, minimisation, sécurité, durée limitée, droits des personnes.

Ainsi, les fichiers constitués ne devraient pas contenir d’autres données que celles strictement nécessaires à l’organisation et à la préparation de la remise des masques :

l’identité des personnes qui viendront les récupérer, ou les recevront dans leur boîte aux lettres ;
le point de distribution concerné au regard du lieu de résidence, ou, en cas d’envoi postal, l’adresse du domicile ;
le nombre de masques devant être délivrés ;
des informations relatives au respect des conditions posées par la collectivité (par exemple : être résident dans la collectivité à titre principal, avoir un âge minimum ou exercer telle ou telle profession, pas plus d’un masque par personne pour un même foyer).

Enfin, les données devront être conservées dans des conditions garantissant leur intégrité, leur confidentialité et leur disponibilité, traitées uniquement dans le cadre de la procédure d’’attribution de masques, et conservées pour une durée n’excédant pas celle nécessaire à la satisfaction de cette finalité.

Le contrôle de la qualité des demandeurs et du nombre de masques délivrés

Compte tenu de l’impératif d’une gestion rigoureuse de la distribution des masques, il est possible que les collectivités décident de :

subordonner leur délivrance à certaines conditions, comme résider au sein de la commune, avoir un âge minimum ou exercer une profession spécifique ;
limiter la quantité de masques fournie à chacun des intéressés, sur la base de critères objectifs et prédéfinis.

Au stade de la demande de transmission de masques, ou de la récupération des masques dans un point de distribution, des contrôles peuvent être réalisés par les collectivités, en particulier :

à partir des pièces justificatives que les administrés auront été invités à produire : pièce d’identité, document attestant de l’adresse du domicile et/ou de la composition du foyer (ex. : facture d’eau, avis de la taxe d’habitation, quittance de loyer, livret de famille, attestation CAF, etc.), de l’exercice d’une profession ou de toute autre situation particulière.
Dans l’hypothèse d’une transmission de ces pièces par voie électronique, aux fins d’inscription dans un fichier de diffusion, la sécurité des données devra être garantie (par exemple : connexion des administrés à une plateforme sécurisée) et les pièces ne devront pas être conservées par la collectivité une fois la vérification effectuée. En cas de retrait des masques dans un point de distribution, ces pièces ne devront faire l’objet que d’un contrôle visuel.
de façon alternative, pour les personnes assujetties à la taxe d’habitation et après information de celles-ci, à partir des données de cette taxe (art. L. 135 B du Livre des procédures fiscales) qui pourront être ponctuellement consultées : vérification, au moyen d’une interrogation nominative du fichier, de la qualité d’administré des demandeurs et de leur légitimité à recevoir le nombre de masques demandés au regard de la composition familiale.

La tenue d’un fichier de suivi

Les collectivités peuvent enfin tenir un fichier pour assurer le suivi des opérations de distribution des masques. Un tel suivi leur permettra, en particulier, de ne pas apporter une suite favorable à d’éventuelles demandes abusives.

Ce fichier devra être constitué dans le respect des droits des personnes (information conforme à l’article 13 du RGPD) et ne contenir que des données strictement nécessaires à un suivi effectif. A cet égard, si des données relatives à l’identité des réceptionnaires des masques, et au nombre de masques délivrés, pourront naturellement être renseignées, aucune pièce justificative ne devrait être enregistrée. De même, si le nom des personnes ayant donné procuration à une autre pourra utilement être mentionné, il n’apparaît pas nécessaire de renseigner l’identité de toutes les personnes occupant un même foyer et pour le compte desquelles les masques sont récupérés.

Les données devront être traitées de façon sécurisée et pourront être conservées, sous une forme permettant l’identification des personnes concernées, uniquement pour la satisfaction des besoins de contrôle.