à CNIL   8 rue Vivienne 75083 PARIS Cedex 02

ref DECLARATIOON N° 1262944

réponse à GDP/JCS/NDS/DC081269  - demande de compléments
à Mr G. DESGENS-PASANAU

 vendredi 4 avril 2008

Monsieur,

   Je réponds ici à votre demande de complément du 7 mars 2008 qui porte sur 4 points ; mais en préalable je dois faire une réserve importante :

A) RESERVE :

   Vous avez identifié notre déclaration comme relative à un traitement automatisé de données à caractère personnel - et plus précisément portant sur des informations biométriques permettant l'identification des personnes (en l'espèce l' ADN). Ces deux appréciations nécessitent d'importants compléments :

   Premièrement le traitement ( généralement réduit à la mesure où l'informatique est en soi un traitement ) des données concernées n'est nullement automatisé. Il s'agit d'archivage de données brutes. Ces données ne sont :
   1) d'une part concernant l'ADN, pas traitées du tout puisque la législation interdirait une analyse sans autorisation des autorités. Il ne s'agit que d'ADN à l'état brut conservé (desséché ou dans un liquide conservateur ou par cryogénie etc..).
   2) D'autre part concernant les données numériques elles ne sont traitées que par la personne concernée elle-même - laquelle remet à la charge protectrice de l'association un ficher-archive - type zip et ultérieurement éventuellement crypté car en tout état de cause pouvant être tenu secret pour quiconque qui ne soit de ce qu'on appelle l'Instance de Veille dans l'association (c'est à dire une instance élue de quelques membres, elle-même tenue au secret - et qui peut rejeter l'archive si elle présente des éléments ou des risques délétères ou illégaux).
   Une fois physiquement rapprochés, ces deux types d'archives - ADN et fichier compilé selon un " kit de conservation " - sont entretenus de manière à ce qu'ils ne soient rigoureusement pas traités. Ils sont immobilisés dans des enceintes scellées. Nous ne pouvons donc pas dire qu'il s'agisse d'un traitement automatisé de données à caractère personnel (seul ce qui peut être automatisé dans ce contexte serait le fichier d'adhésion du membre, en base de données - comme dans n'importe quelle autre Association ou Entreprise - pour gérer ses cotisations, adresse etc..). De surcroît, il est stipulé par les statuts qu'aucun usage commercial de ces archives, ni aucune transmission à quiconque, de près ou de loin, ne sauraient être engagés par l'association.
   Il faut encore ajouter que le but essentiel de l'Association et du type de protection qui la motive est précisément celui de défense (de la mémoire) contre les traitements automatisés que l'industrie par ailleurs y applique. L'Association n'est pas opposée aux-dits traitements automatisés qui ont cours légalement, mais elle offre une protection contre les risques que ceux-là présentent ou peuvent présenter. On peut dire qu'elle se positionne à l'inverse des traitements automatiques ou massifs (outre un cas particulier cité ci-dessous).

   Deuxièmement la qualification d'informations biométriques permettant l'identification des personnes nécessite aussi un commentaire :
   Le kit de conservation qu'emploie l'Association n'inclut pas d'ADN en vue d'une identification des personnes. Mais ce qui motive l'Association part du constat que l'ADN est souvent utilisé en masse et sans identification des personnes ( de nombreux laboratoires prélèvent l'ADN pour des données statistiques ou manipulations utilitaires - un exemple classique et ancien de cette problématique se trouve dans les dons de sperme ; ce n'est qu'un exemple pour rappeler que dans des études de migration de la population, des ADN sont prélevés, traités et stockés en état d'anonymat ). Le kit au contraire que l'Association utilise a pour but - non pas de permettre - mais de préserver l'identité d'un ADN et d'une biographie. Ni cet ADN ni les éventuelles données biométriques numérisées inclus dans le kit, n'ont pour but l'identification d'une personne, puisque l'objet du kit est de préserver l'identité d'une personne d'ores et déjà déclarée (s'en servir comme un moyen d'identification serait un détournement de son objet). Cette apparente subtilité est néanmoins fondamentale ; elle est en quelque sorte semblable à ce qu'on appelle fond et forme - ici source (d'identité) et ailleurs : but (d'identification).

   Nous constatons donc que l'identification préalable de notre déclaration à la CNIL n'entre pas de plein pied dans les définitions qui basent votre demande de complément. Et par conséquent c'est avec ce réserves que je répondrai aux quatre points de votre demande, au seul motif d'améliorer l'appréciation de ces réserves.

B) COMPLEMENT :

   B.1 & 2) Ainsi l'ANNEXE SECURITES et la description des techniques

   Je l'ai rempli en partie car le formulaire n'est pas construit de manière tout à fait descriptive du produit. Particulièrement ce que l'Association conserve n'est pas géré par une application ni logiciel d'application (voir ci-dessus : il n'y a pas de ' traitement automatisé ' - voire pas de traitement du tout) ; mais c'est ce qui est conservé qu'elle considère comme une application (nous pensons que la combinaison, fut-elle statique entre biographie et ADN doit être considérée comme une application). Nous appelons cette ' application ' : Unité Cybernétique de Mémoire de Personne Physique (abréviation : UCMPP ; pour laquelle une demande de brevet est actuellement déposée et en cours d'examen à l'INPI ). En pratique, cette application n'est jamais activée - mais elle peut l'être de manière exceptionnelle et à la demande de la personne qui l'a remise à l'Association. Il existe par conséquent un état courant et un statut d'exception. C'est à propos de ces moments d'exception qu'il peut être nécessaire de considérer une sécurisation dynamique comme en traite l'imprimé " ANNEXE SECURITES ". Néanmoins j'ai rempli le formulaire pour ce qui concerne d'abord l'état courant - c'est à dire le stockage inerte et les procédures très restreintes quant à l'entretien de cette application.

   Pour ce qui concerne le statut d'exception en ses périodes d'activation, nous sommes dans une problématique qui peut être aussi variée que ce que peut imaginer et prescrire la personne propriétaire du kit - personne que nous appellerons le demandeur. Pour aider à l'explication présente je vais donner un exemple :
    Supposons qu'un demandeur souhaite que son UCMPP soit mis sur un réseau que l'on appelle Métavers (c'est à dire un univers virtuel actuellement accessible de manière dite massive) à fin d'animer (ce qu'il est convenu d'appeler un:) un avatar - caractérisé/chargé suivant les données dudit UCMPP et dynamisé par un programme d'intelligence artificielle (en l'état du développement contemporain de ces metavers, nous trouvons déjà cette situation lorsqu'un participant s'absente des commandes de son ordinateur et laisse un script inter-agir et gérer son avatar). Il s'agit du traitement automatique ' particulier' évoqué ci-avant - formant ce que j'appelle ce statut d'exception dont le mobile diverge largement de la cible visée par l'ANNEXE SECURITES. C'est pourquoi je me suis abstenu d'y référer en répondant au formulaire. Peut-être faudra-t-il considérer le fait que ces situations sont par essence 1) individuelles et 2) sans " traitement de l'information " qui morcelle cet individu et 3) toujours suivant la volonté du demandeur et n'engageant que celui-ci ; et suivant cette considération reconsidérer la pertinence de l'ANNEXE SECURITES à y correspondre.

   B.3) Votre question suivante mentionne le formulaire de transfert à l'étranger faisant état que " le traitement fait l'objet d'un transfert de données vers des pays n'appartenant pas à l'Union Européenne et ne présentant pas un niveau de protection adéquat ".
   Outre la réserve générale susdite ( à savoir que le terme de traitement est sujet à réserve ), la position de l'Association se trouve à l'inverse de la question - puisqu'elle vise la capacité à transférer les données pour éviter les pays ne présentant pas, ou ne présentant plus, un niveau de protection adéquat et, dans ce cas, pour rapatrier ou déplacer les données. En effet, puisque le motif de l'Association est la préservation, éventuellement à long terme, de données, son exercice consiste à transférer les données vers des pays émergents présentant un niveau de protection adéquat. En d'autres termes, le transfert des données a toujours pour but d'éviter les niveaux de protections inadéquats et ne saurait correspondre à la suggestion du formulaire.
   Cet aspect est si radicalement divergent de la définition de la clause de l'imprimé ANNEXE TRANSFERTS D'INFORMATION HORS DE L'UNION EUROPENNE que je me suis abstenu d'y répondre sans plus de précision de la part de la CNIL.
   Par ailleurs et concernant la nature du transfert, la même distinction que ci-dessus vaut : généralement le transfert des données a lieu sur support individuel, matériel/physique et scellé - relié à aucun réseau. Dans les seules circonstances d'exception (sus), suivant la volonté du demandeur les données peuvent être mises en contexte de Metavers internationaux.

   B.4) Enfin je prends acte de votre notification concernant la durée de conservation et ses contraintes. Et en temps que Président, j'engage que l''Association psyBakh inscrive à ses statuts que les préservations devront être fixées pour une durée n'excédant pas la durée nécessaire aux finalités pour lesquelles elles sont conservées (c'est à dire collectées - en la forme d'un enregistrement par l'Association - et 'traitées' selon les réserves susdites vis à vis de l'emploi de ce terme présentement).

PS : on trouve les statuts de l'Association psyBakh sur l'internet :
http://www.lasainteethique.org/psybakh/2007/htm/docum/20070225151700_psyBakh-status.htm