AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1530906)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Carrefour Hypermarchés d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion du fichier des clients exclus du service Scan’Lib ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La société Carrefour Hypermarchés a mis à la disposition de ses clients des lecteurs mobiles de code-barres (Scan’Lib). Ce service gratuit est  réservé aux adhérents du programme de fidélité Carrefour.
Elle souhaite prévenir les anomalies pouvant survenir lors de l’utilisation de ce service notamment prévenir les éventuels cas de fraude. A cette fin, elle souhaite mettre en place un traitement ayant pour finalité d’enregistrer dans un traitement les clients ayant rencontré des anomalies en vue d’une éventuelle exclusion du bénéfice de ce service.
Le traitement projeté vise à classer les bénéficiaires du dispositif Scan’Lib selon le niveau de confiance qui leur est attribué et à constituer un traitement d’exclusion des clients privés de ce service. Dans la mesure où ce traitement est susceptible d’exclure les clients du bénéfice d’une prestation, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements susceptibles du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou règlementaire.
Sur la finalité du traitement :
La finalité du traitement est la gestion du fichier des clients exclus du service Scan’Lib. L’objectif poursuivi par la société est de lutter contre les vols en magasins, qui peuvent être facilités par ce nouveau service.
En cas d’utilisation anormale, en particulier en cas d’écarts répétés entre le contenu du panier et l’affichage du PDT (Portable Data Terminal), les clients sont susceptibles de faire l’objet d’une exclusion du service Scan’Lib pendant une durée maximale de deux ans. Cette exclusion n’a, en revanche, aucune incidence sur les avantages de leur programme de fidélité, en particulier sur les éventuels crédits accordés.
La Commission considère la finalité poursuivie comme légitime au sens des dispositions de l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les données traitées dans la base Scan’Lib  sont, d’une part,  les données collectées par le système, à savoir les données de connexion du client (login et mot de passe, date et heure), l’identifiant des magasins dans lesquels les anomalies ont été constatées, les données d’identification des clients et le numéro de la carte de fidélité du client ; d’autre, part les données agrégées par le système, à savoir l’historique (sur les 7 dernières semaines), des anomalies (montant en euros correspondant à l’écart constaté entre les produits scannés et les produits présents dans le panier, le nombre de produits concernés, le code-barres des produits et leur désignation), l’historique (sur les 24 derniers mois) des indices de confiance attribués aux clients ; et, enfin, les données contenues dans la liste d’exclusion, à savoir le nom et le prénom du client, son numéro de carte de fidélité et la date d’exclusion du service Scan’Lib
Sur la durée de conservation des données :
Les informations sur les achats enregistrés dans le PDT sont conservées pendant la durée des courses et jusqu’au paiement. Les données sont ensuite effacées au plus tard dans les 30 minutes suivant la transaction et, en tout état de cause, dès que le PDT est replacé sur son support technique.
Les informations relatives aux produits scannés sont conservées dans le système Scan’Lib (base ticket) pendant 6 mois. Les données sont ensuite effacées.
L’historique des contrôles n’ayant pas donné lieu à anomalie concernant un client est conservé pendant 24 mois en base archive.
Les données figurant dans le fichier d’exclusion sont conservées pendant 24 mois à compter de l’inscription du client et sont ensuite supprimées.
Sur les destinataires des données :
Les destinataires des données sont les personnes habilitées du pôle sûreté de la Direction de la prévention des risques (qui ont accès à l’ensemble des données traitées ainsi qu’à la liste d’exclusion), les personnes en charge de la maintenance et de l’administration du système Scan’Lib (qui ont accès à l’ensemble des données traitées par le système Scan’Lib), les directeurs de magasins (qui n’ont accès qu’à la liste des numéros de carte de fidélité exclue), les hôtesses de caisse (qui ont accès au numéro de la carte de fidélité, à la liste des produits achetés lors de la transaction Scan’Lib non-finalisée).
La Commission considère que cette liste de destinataires n’appelle pas d’observation.
Sur l'information des personnes :
Les personnes concernées sont informées conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée et aux recommandations de la Commission relatives aux traitements d’exclusion.
Préalablement à l’entrée en relation commerciale, les clients sont informés dans les Conditions générales d’utilisation du service Scan’Lib. Ces mentions seront également affichées dans l’espace où les PDT sont situés en magasin et dans l’espace d’encaissement dédié aux bénéficiaires de ce service. La Commission rappelle l’importance de cette information qui doit préciser les modalités de fonctionnement du dispositif Scan’Lib et détailler la procédure d’exclusion du service.
Les clients sont en outre informés, au moment de la procédure d’inscription au fichier d’exclusion, par l’envoi par tout moyen d’un premier message notifiant la suspension pendant les cinq jours qui suivent la dernière anomalie, puis d’un deuxième confirmant la suspension pendant la durée de deux ans.
Sous réserve des observations ci-dessus, la Commission considère que ces modalités d’informations sont satisfaisantes.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès s’exercent auprès du service Sûreté de la société Carrefour Hypermarchés.
Sur la sécurité des données et la traçabilité des actions :
Les serveurs centraux utilisés pour le traitement sont hébergés et exploités par un sous-traitant, lequel assure également la sauvegarde des données. La transmission des données entre les serveurs magasins et les serveurs centraux est assurée par ligne spécialisée sécurisée.
Les données sont transmises sous forme chiffrée dès la transmission du PDT au serveur magasin puis du serveur magasin au serveur central.
Les serveurs magasins et les serveurs centraux sont stockés dans des locaux sécurisés avec contrôle d’accès. 
Les interventions de maintenance, enregistrées dans une main courante, font l’objet d’une traçabilité. Les accès distants sont assurés par une passerelle sécurisée avec identification par compte.
Le contrôle d’accès logique s’effectue par mot de passe alphanumérique de 6 caractères.
La Commission recommande des mots de passe de 8 caractères minimum avec des caractères de types différents (majuscules, minuscules, chiffres, caractères spéciaux) et un renouvellement régulier (par exemple tous les 3 mois) pour les usagers ayant accès au traitement. Concernant les personnes habilitées à l’administration du traitement (les administrateurs réseau), la taille de mot de passe est alors recommandée à 10 caractères minimum.
La société Carrefour s’engage à adopter un nouvel outil pour répondre à ces préconisations.
Une journalisation des accès à l’application et aux données est effectuée.
Par conséquent, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée, sous réserve de respecter les recommandations de la Commission relatives à la gestion de l’authentification des utilisateurs.
La Commission rappelle par ailleurs la nécessité d’une mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société Carrefour Hypermarchés à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion du fichier des clients exclus du service Scan’Lib.
La Présidente
I. FALQUE-PIERROTIN
(demande d’autorisation n° 1735841)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de sécurité du médicament et des produits de santé (ANSM) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de la base nationale de pharmacovigilance ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2001/83/CE du Parlement européen et du Conseil du 6 novembre 2001 instituant un code communautaire relatif aux médicaments à usage humain modifiée par la directive 2010/84/UE en ce qui concerne la pharmacovigilance ;
Vu le règlement (UE) n° 1235/2010 du Parlement européen et du Conseil du 15 décembre 2010 modifiant, en ce qui concerne la pharmacovigilance des médicaments à usage humain, le règlement (CE) n° 726/2004 établissant des procédures communautaires pour l’autorisation et la surveillance en ce qui concerne les médicaments à usage humain et à usage vétérinaire, et instituant une Agence européenne des médicaments, et le règlement (CE) n° 1394/2007 concernant les médicaments de thérapie innovante ;
Vu le règlement (UE) n°520/2012 de la Commission du 19 juin 2012 sur l’exécution des activités de pharmacovigilance prévues par le règlement (CE) n°726/2004 du Parlement européen et du Conseil et par la directive 2001/83/CE du Parlement européen et du Conseil ;
Vu le code de la santé publique, notamment ses articles L. 5121-22 à L. 5121-26, R.5121-150 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Nicolas COLIN, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie par l’Agence nationale de sécurité du médicament et des produits de santé (ANSM) d’une demande d’autorisation relative à un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de la base nationale de pharmacovigilance.
Créée par la loi du 29 décembre 2011 relative au renforcement de la sécurité sanitaire des médicaments et des produits de santé, l’ANSM est un établissement public à caractère administratif placé sous la tutelle du ministère chargé de la santé. Elle a notamment pour missions d’évaluer les bénéfices et les risques liés à l’utilisation des produits à finalité sanitaire destinés à l’homme.
Les articles L. 5121-23 et R. 5121-154 à R. 5121-158 du code de la santé publique précisent les missions confiées à l’ANSM et prévoient, notamment, que l’ANSM est chargée d’assurer la mise en œuvre, au niveau national, du système de pharmacovigilance. En outre, elle définit les orientations de la pharmacovigilance, anime et coordonne les actions des différents intervenants et veille au respect des procédures de surveillance au niveau national et européen.
Afin d’assurer ses missions de recueil des données de pharmacovigilance, l’ANSM dispose d’une base de données dite base nationale de pharmacovigilance (BNPV).
Sur la finalité du traitement :
La finalité du traitement est d’assurer la gestion de la BNPV qui permet la collecte, la conservation, l’analyse, le suivi, la documentation et la transmission des données relatives aux risques d’effet indésirable résultant de l’utilisation de médicaments et produits à usage humain mentionnés à l’article R. 5121-150 du code de la santé publique.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé lorsqu’elles sont justifiés par un ’intérêt public, en l’espèce un intérêt de santé publique.
Sur la nature des données traitées :
Les données traitées sont celles correspondant aux champs prévus par les  formulaires Cerfa dédiés au signalement des effets indésirables. Elles concernent les personnes victimes d’effets indésirables et les personnes qui procèdent à la notification de ces effets (désignés ci-après « notificateurs »).
S’agissant des personnes victimes d’un effet indésirable, sont traitées les catégories de données suivantes :
les données d’identification du patient : code alphabétique d’identification tel que prévu par les formulaires Cerfa de déclaration d’un effet indésirable, informations signalétiques (date de naissance ou âge, sexe, poids, taille) ;
les données de santé contenues dans la déclaration d’effet indésirable : traitements administrés, résultats d’examens, nature du ou des effets indésirables, antécédents personnels ou familiaux, maladies ou événements associés, facteurs de risque (alcoolisme, tabagisme, toxicomanie) ; informations relatives au mode de prescription et d’utilisation des médicaments et à la conduite thérapeutique du prescripteur ou des professionnels de santé intervenant dans la prise en charge de la maladie ou de l’effet indésirable ; informations relatives à l’ascendance et à la descendance de la personne, s’il s’agit d’un nouveau-né ou en cas de grossesse ou d’allaitement ;
les données de vie professionnelle.
S’agissant des notificateurs d’effets indésirables, sont traitées les données d’identification (nom, prénom), les coordonnées (adresse, numéros de téléphone et de télécopie, adresse de courriel) et, s’agissant des professionnels de santé, la spécialité professionnelle.
Des données relatives aux membres des centres régionaux de pharmacovigilance (CRPV), qui renseignent les données dans la BNPV, peuvent également faire l’objet d’un traitement.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
La Commission prend acte de ce qu’à la suite d’échanges avec ses services, une durée de conservation de 70 ans a été substituée à la durée illimitée initialement prévue. Ce délai court à compter de l’enregistrement d’un cas de pharmacovigilance dans la base nationale de pharmacovigilance.
A l’expiration du délai précité, les données sont supprimées ou archivées sous une forme anonymisée. A cet égard, la Commission demande à l’ANSM de mener une analyse des risques de réidentification présentés par cette base, conformément à l’avis du G29 sur les techniques d’anonymisation du 14 avril 2014.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. Elle rappelle que la conservation et l’archivage des données doivent être réalisés dans des conditions de sécurité conformes aux dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
Les destinataires des données sont les personnels dûment habilités de l’ANSM.
Peuvent également être destinataires des données, dans le cadre de l’exercice de leurs missions telles que définies par les textes :
l'Agence européenne du médicament (European Medicines Agency, EMA)
l’Organisation mondiale de la santé (OMS) ;
les entreprises et organismes exploitants de médicaments ;
les CRPV.
La Commission prend acte de ce que toute personne travaillant dans une structure de pharmacovigilance est tenue au respect du secret médical, ainsi qu’au respect du secret professionnel pour toute information dont elle pourrait être amenée à avoir connaissance dans le cadre de ses missions.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l'information et les droits d’accès et de rectification des personnes :
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées du traitement de leurs données  par une mention sur les formulaires de déclaration d’effets indésirables et par une mention sur le site Internet de l’ANSM. Les modalités d’exercice des droits d’accès et de rectification y sont également précisées.
Les droits d’accès et de rectification s’exercent auprès du pôle plateforme de réception et d’orientation des signalements de l’ANSM ainsi que du centre régional de pharmacovigilance dont dépend géographiquement la personne concernée.
La Commission estime que ces modalités d’information et d’exercice des droits des personnes sont suffisantes.
Sur la sécurité des données et la traçabilité des actions :
Seuls les personnels de l’ASNM et des CRPV disposent de comptes permettant l’accès et le renseignement de données dans la BNPV.
Les personnels des CRPV doivent, pour accéder à la BNPV et y renseigner les données relatives aux cas de pharmacovigilance, s’authentifier une première fois sur le réseau de l’ANSM, puis sur le logiciel de cette dernière permettant de renseigner la base. Ces deux authentifications sont opérées par le recours à un identifiant et un mot de passe.
Les comptes d’accès sont mutualisés entre les différentes personnes du CRPV. La Commission estime nécessaire que les comptes soient individuels.
Les mots de passe de ces comptes génériques sont modifiés dès le départ d’un personnel du CRPV et, à défaut, tous les six mois.
Au sein de l’ANSM, l’authentification du personnel habilité est réalisée par le recours à un identifiant et un mot de passe. Les comptes d’accès du personnel de l’ANSM sont des comptes individuels.
Les mots de passe utilisés pour l’authentification des personnels habilités des CRPV et de l’ANSM sont d’une longueur minimale de huit caractères et sont composés de trois types de caractères distincts. La Commission rappelle qu’ils ne doivent pas être conservés en clair dans un fichier ou une base de données.
L’accès aux données et leurs modifications sont tracés.
Les transferts de données sont sécurisés par le recours au protocole HTTPS.
Les accès à la BNPV par le personnel des CRPV peuvent être réalisés sur Internet depuis les locaux des CRPV, mais également en dehors de ces derniers.
Les comptes d’accès génériques ne permettant pas d’identifier les personnes les utilisant, et les mots de passe n’étant pas de nature à assurer une authentification forte, la Commission estime que le dispositif n’est pas de nature à assurer la sécurité de la base de données, notamment son intégrité.
Elle demande que les comptes génériques utilisés pour l’accès à la base de données et le renseignement des informations ne puissent être utilisés qu’à partir des locaux des CRPV, et qu’une analyse des risques soit menée préalablement à l’ouverture des accès à la BNPV sur Internet.
En outre, elle demande que, conformément à l’article L. 1110-4 du code de la santé publique, les professionnels de santé soient authentifiés pour la transmission des données de santé par une carte de professionnel de santé ou un dispositif équivalent.
Les données sont sauvegardées quotidiennement.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise l’Agence nationale de sécurité du médicament et des produits de santé à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion de la base nationale de pharmacovigilance.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1754002)
La Commission nationale de l'informatique et des libertés,
Saisie par la Société SAGEM DEFENSE SECURITE d’une demande d’autorisation portant sur un traitement automatisé de données à caractère personnel portant sur un projet de recherche dont la finalité est le développement et l’amélioration des algorithmes d’un système de surveillance par reconnaissance faciale et comportementale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société SAGEM DEFENSE SECURITE, désignée commercialement sous la dénomination SAGEM. Spécialisée dans le secteur des hautes technologies, la société SAGEM propose des solutions et des services en optronique, avionique, électronique et logiciels critiques, pour les marchés civils et de défense. 
Sur la finalité
Le traitement vise à permettre le développement et l’amélioration des algorithmes d’un système de surveillance par reconnaissance faciale et comportementale.
Le dispositif projeté est composé de caméras installées dans un lieu non ouvert au public. Dés lors qu’il comporte un traitement d’images par reconnaissance faciale et comportementale, il y a lieu de faire application des dispositions de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la Commission les traitements comportant des données biométriques. 
Ce dispositif s’inscrit dans le cadre d’une expérimentation européenne, le projet de recherche européen ARENA lancé, en mai 2011 (pour une durée de trois ans), par la Commission européenne (programme FP7). Le programme FP7 ARENA a pour but de réduire les actes de piraterie, de prévenir les vols de biens des plates-formes mobiles telles que les camions ou les navires en développant un système de surveillance basé sur des capteurs multi-sensoriels.
Un « consortium » a été créé afin de mener à bien ce projet. Il se compose des sociétés privées, des laboratoires et des centres universitaires suivants :