AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,Saisie par la Caisse d’Epargne Aquitaine Poitou Charentes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Caisse d’Epargne Aquitaine Poitou Charentes, ci-dessous dénommée CEAPC.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) dans deux hypothèses : soit au moment de l’entrée en relation du client avec la banque, soit de manière plus occasionnelle au cours de la relation d’affaire en cas de découverte ultérieure d’une fraude du client (escroquerie).
La Commission estime que cette finalité est déterminée, explicite et légitime.
Lorsque l’analyse automatique de l’outil conclut à la non-conformité du document (résultat négatif), le conseiller clientèle réalise une vérification de premier niveau des données saisies par un contrôle de cohérence des données entre la version de la pièce d’identité et le code de contrôle de la ligne MRZ. Si, après ce premier contrôle, les services de conformité confirment le  résultat négatif, alors l’entrée en relation est refusée. 
Par ailleurs, si le contrôle a lieu après l’entrée en relation, et qu’il conclut à un résultat négatif de non-conformité du document, alors la fin de la relation commerciale peut être envisagée sur décision collégiale des directions Risques, Juridique et contentieux, et Conformité. Enfin et dans la situation inverse, si l’authenticité des documents est confirmée, il est fait droit à la demande du client.
Dès lors, ce traitement peut ainsi, du fait de sa portée et de sa finalité exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. 
Le présent traitement est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identité des clients concernés : le nom, le(s) prénom(s), le sexe, la date et le lieu de naissance, l’adresse, la photographie;
- aux documents d’identité : le numéro de document, le type de document (cartes nationales d’identité France et Européennes, passeports, titres de séjour Français et Visa Schengen), la date de validité,  les caractères de la bande MRZ de la pièce d’identité et du  passeport.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au sens de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes habilitées à accéder au traitement sont, dans la limite de leurs attributions :
- le réseau commercial (agences et centres d’affaires) ;
- le service sécurité financière qui appartient à la direction conformité et des contrôles permanents ;
- la direction juridique et contentieux.
Les collaborateurs des services commerciaux et recevant les personnes souhaitant entrer en relation avec la banque ainsi que les personnes habilitées par la direction conformité, ont accès au fichier des clients. 
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par voie d’affichage dans l’agence bancaire.
La mention d’information qui y figure rappelle notamment que les droits d’accès et de rectification s’exercent auprès de la Direction de la conformité de la Caisse d’Epargne Aquitaine Poitou Charentes à l’adresse suivante : 61, rue du château d’eau – CS 31271 BORDEAUX 33076 CEDEX.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Les collaborateurs sont régulièrement formés sur les risques soulevés par la manipulation des données clients et sur les consignes qu'ils doivent respecter pour les limiter. Les collaborateurs sont informés des éventuelles sanctions que pourrait prendre l'organisme en cas de non respect des consignes de manipulation des données à caractère personnel des clients.
Des profils d'habilitation sont mis en place afin de définir les droits nécessaires en fonction des besoins métiers. Ainsi, seules les personnes autorisées par la direction conformité sont habilitées à utiliser l’outil de vérification des pièces d'identité. Les collaborateurs des directions du siège qui sont amenés à passer des opérations sur les comptes des clients ont pour leur part accès au fichier des clients. Celui-ci contient le dossier réglementaire contenant les photocopies de pièces d'identité et le document indiquant la validité ou l'invalidité de la bande de contrôle du document. 
Un mécanisme d’authentification basé sur un identifiant unique par collaborateur et un mot de passe est utilisé. Les mots de passe sont composés d’au moins huit caractères, d’au moins trois types différents (majuscules, minuscules, chiffres, ponctuation) et doivent être modifiés tous les quarante-cinq jours. Les actions effectuées par les collaborateurs qui consultent le fichier client sont tracées afin de permettre de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisées.
Sur le processus de vérification, les informations permettant l’évaluation de la validité de la pièce d’identité sont directement sur le serveur du prestataire. Celui-ci s’est engagé à ce qu’aucune donnée ne soit conservée. En cas d’anomalie, les personnes habilitées ayant accès à la consultation du fichier clients pourront consulter le résultat du contrôle.
Ces mesures de sécurité n’appellent pas d’observation de la Commission au regard de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données collectées pour effectuer les contrôles ne sont utilisées que le temps de la vérification de l’authenticité des documents. 
Le résultat du contrôle identitaire est conservé dans le dossier client le temps de la durée de la relation d’affaire conformément aux règles et usages en matière bancaire. L’analyse de l’authenticité des pièces se fait en temps réel par l’outil, ce qui permet au commercial d’accepter ou de refuser l’ouverture du compte en fonction du résultat du contrôle. 
L’outil de contrôle réalise un premier contrôle de cohérence de la ligne MRZ des données figurant sur les documents officiels d’identité présentés. L’outil reconstitue la ligne MRZ et vérifie les clés de sécurité incluses. Le résultat du contrôle est archivé avec la numérisation du document original d’identité.
En cas de détection d’une anomalie et en fonction de la typologie de l’anomalie, un contrôle pourra être réalisé soit par des gestionnaires de la Direction Juridique et Contentieux, soit par les agents de la sécurité financière à partir des pièces conservées dans le dossier client. Ce contrôle se fait principalement par la saisie dans l’outil des données présentes sur la pièce d’identité.
Les agents de sécurité financière réalisent un contrôle manuel de l’ensemble des zones saisies pour vérifier qu’il ne s’agit pas d’une erreur de saisie. Si la ligne MRZ est considérée comme non valide, le résultat est transmis à la direction conformité qui décidera des mesures à mettre en œuvre (refus d’entrée en relation pour les nouveaux clients). 
Toutefois, il est également possible de traiter une copie numérisée de la pièce d’identité. Dans ce cas, il y aura une reconnaissance optique des caractères. 
Le traitement mis en œuvre n’est donc qu’un outil d’aide à l’analyse des documents d’identité présentés par le client lors de l’entrée en relation avec la banque.
La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée par les personnels habilités par la direction conformité afin, le cas échéant, de confirmer la tentative de fraude. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées sur le seul fondement d’un traitement automatisé de données destiné à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité.
Ce traitement ne permet pas d’établir une  liste noire  de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés. Toutefois, les anomalies seront recensées dans un fichier pour être traitées par les services en charge de la sécurité financière, elles ne sont conservées que le temps nécessaire au traitement.
Il existe un suivi statistique sur les résultats des contrôles portant sur le nombre de contrôle par entités et / ou le classement par typologie d’anomalies.  Aucun fichier nominatif ne sera constitué à cette occasion.
Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission
Autorise, conformément à la présente délibération, la Caisse d’Epargne Aquitaine Poitou Charentes à mettre en œuvre le traitement susmentionné.
Pour La Présidente
 
 
Le vice-Président Délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par l’Association SPILF  Société de pathologie infectieuse de langue française  d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’une action d’accompagnement dénommée  Programme ENVIES  ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1161-3 et L. 1161-4 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 2 août 2010 relatif aux compétences requises pour dispenser l'éducation thérapeutique du patient ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La SPILF  Société de pathologie infectieuse de langue française  (ci-après SPILF) est une association loi 1901 regroupant des professionnels de santé intéressés par les maladies infectieuses et ayant pour objet de faciliter, coordonner, encourager, stimuler ou mettre en œuvre toute action liée aux maladies infectieuses. 
Dans ce cadre, elle crée toute structure ayant pour objet l'étude, la prise en charge et la prévention de l'infection, elle élabore des projets d’évaluation des pratiques professionnelles et de formation médicale continue en infectiologie.
Sur la finalité
Le  Programme ENVIES  a pour finalité la mise en œuvre d’une action d’accompagnement autour des risques de mauvaise observance, adaptée à chaque patient atteint du VIH en fonction de ses caractéristiques.
Le programme consiste en la mise en place d’un service interactif conçu pour permettre aux patients de mieux comprendre les bénéfices de leur traitement, se sentir entourés, se préparer aux différentes consultations, aux examens et devenir acteur de leur parcours de soins et faciliter leur autonomie.   
A cet effet, un portail accessible sur Internet propose les fonctionnalités suivantes :
pour les internautes naviguant sur la partie grand public du site internet : des actualités sur le VIH, partage social des contenus (tels que les actualités et articles), des tests de connaissance sur le VIH sous forme de quiz,
pour le patient : questionnaire, des contenus personnalisés et scénarisés en fonction du profil patient, des mini-jeux de validation des acquis, des modules (dossier personnel, suivi d’observance, suivi des connaissances sur la pathologie), des agendas et carnet d’adresse des contacts médicaux,
pour le professionnel de santé : création de compte patient, accès au dossier biologique de ses patients.     
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé justifiés, comme en l’espèce, par l’intérêt public.
Pour la mise en œuvre de l’action d’accompagnement, la SPILF a confié le financement au laboratoire pharmaceutique JANSSEN-CILAG, impliqué dans la mise sur le marché de produits destinés aux patients atteints du VIH et de la prise en charge globale de ces patients, et la maîtrise d’ouvrage (développement du site internet et de sa déclinaison mobile) à la société INTERACTION, spécialisée dans la construction des stratégies digitales et la conception des outils pour la communication et la formation des patients, du grand-public et professionnels de santé.
L’association ACTIF SANTE, titulaire de l’agrément prévu à l’article L. 1114-1 du code de la santé publique, participe avec des professionnels de santé à la mise en œuvre de l’action, conformément à l’article L. 1161-4 du code de la santé publique.
Sur les données traitées
Les données faisant l’objet d’un traitement sont celles relatives aux patients atteints du VIH ayant consenti à la création d’un compte patient.
Elles portent sur leur identité (nom, prénom, sexe, date et lieu de naissance, code postal, adresse e-mail, numéro de téléphone, identifiant de connexion), leur vie personnelle (habitudes de vie, situation familiale) ainsi que sur des informations relatives à leur santé (pathologie, affection, charge virale, taux de CD4, antécédents, données relatives à l’état physiologique, date de diagnostic, période de mise sous traitement, ordonnances).
La saisie des données relatives à leur santé s’effectue sous la forme de tranches de valeur.
En outre, les données relatives aux professionnels de santé (médicaux et paramédicaux) participant à l’éducation thérapeutique du patient feront également l’objet d’un traitement (nom, prénom, centre ou établissement, code postal, ville, téléphone, email professionnel).
Aucune donnée concernant les internautes naviguant sur la partie grand public du site internet ne sera recueillie.
La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données sont, en fonction des habilitations qui leur sont délivrées, les personnes en charge du patient dans le cadre de son adhésion au programme.
Ces destinataires n’appellent pas d’observation de la Commission.
Sur l’information et le droit d’accès 
Afin de garantir le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les patients sont informés du but et des modalités de déroulement de l’action d’accompagnement, lors d’une consultation en établissement, par la remise par leur médecin référent d’un formulaire papier d’information et de consentement à la participation de l’action d’accompagnement, rédigé au format papier.
Le document adressé aux patients indique que leur consentement porte sur la collecte de données à caractère personnel relatives à leur santé, le partage de ces données avec leur médecin et les professionnels de santé de l’équipe de soins de l’établissement, l’anonymisation et/ou à l’agrégation de leurs données afin de réaliser des études médico-économiques ou scientifiques ainsi que sur l’hébergement de leurs données auprès d’un hébergeur agréé de données de santé.
La Commission demande que le formulaire d’information et de consentement soit modifié afin d’indiquer aux patients le caractère facultatif de leur participation à l’action d’accompagnement et leur droit discrétionnaire de retrait sans conséquence pour leur prise en charge ou le remboursement de leurs soins et prestations.
Les droits d’accès et de rectification s’exercent par courrier ou par email auprès du médecin hébergeur.
Les professionnels de santé sont informés par un formulaire de création de compte, un email de confirmation de compte et les mentions légales du site de la mise en œuvre d’un traitement de données les concernant ainsi que des droits d’accès, de rectification et d’opposition dont ils disposent.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Concernant les habilitations d’accès :
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. 
La Commission rappelle qu’elles doivent être attribuées après validation hiérarchique, pour une durée déterminée et faire l’objet d’un réexamen périodique. La Commission recommande que les permissions d'accès soient supprimées pour tout utilisateur n'étant plus habilité et qu’une revue globale des habilitations soit opérée régulièrement
Concernant le contrôle d’accès :
Le dossier produit à l’appui de la demande prévoit que l’inscription des professionnels de santé s’effectue par carte de professionnel de santé (CPS).
La Commission relève que le nouvel article L.1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par CPS ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé.
La Commission relève que du fait de la mobilité des médecins et de leurs configurations diverses d'accès à la plateforme, il n’est pas envisagé de les authentifier par CPS. Ainsi, l’authentification des professionnels de santé à la plateforme s’effectue en mode dégradé, fondé sur un mot de passe professionnel à huit caractères comportant au moins un chiffre, une majuscule, une minuscule, une lettre et un caractère spécial, ainsi qu’un OTP généré par la plateforme et envoyé par email.
La Commission recommande que le paramétrage du canal OTP et le renouvellement du mot de passe soient également sécurisés par une authentification forte avec la carte CPS de l’utilisateur ou celle de son responsable s’il n’en dispose pas lui-même.
Le patient s’authentifie par un mot de passe, composé de huit caractères minimum, comprenant chacun des quatre types de caractères parmi les majuscules, les minuscules, les chiffres et les caractères spéciaux. Le mot de passe doit être modifié dès la première utilisation. Il est renouvelé tous les trois mois.  
La Commission rappelle à ce titre que ce mot de passe ne doit pas être stocké en clair.
Ni le personnel technique de l’hébergeur, ni l’administrateur n’ont accès à la base de données  Patient .
En cas de télémaintenance permettant l’accès du prestataire à des données à caractère personnel, les opérations sont réalisées sous le contrôle du médecin de l’hébergeur et historisées dans une main courante indiquant la date et l’heure, l’identité du téléopérateur et du médecin hébergeur.
Les personnes ayant un accès physique aux serveurs hébergés sont exclusivement les membres nommés de l’équipe technique de l’hébergeur.
Les administrateurs s’identifient via le back-office avec un accès login / mot de passe composé de dix caractères alphanumériques, dont au moins 1 chiffre, 1 majuscule, 1 minuscule, 1 caractère spécial. Ce mot de passe est à renouveler tous les 3 mois.
Concernant la traçabilité :
Les accès à l’application ainsi qu’aux dossiers sont tracés. Les journaux conservent ces événements sur une période glissante  de six mois.
Les traces des accès utilisateurs à l’application et aux données sont analysées  par le médecin de l’hébergeur des données, sous forme de log anonyme, tous les mois.
Les utilisateurs sont informés de la mise en œuvre d’une telle mesure via les conditions générales d’utilisation.
Le patient pourra accéder aux traces d’accès à son dossier en faisant une demande au médecin de l’hébergeur de ses données.
La Commission rappelle que l’administrateur qui est en mesure de consulter les traces des accès ne doit pas être en mesure d’accéder à des données de santé.
Concernant les transferts de données :
Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et de la destination.
Concernant l’hébergement :
Les données sont hébergées auprès d’un hébergeur agréé conformément aux dispositions prévues aux articles L.1111-8 et suivants du code de la santé publique.
Concernant l’anonymisation :
La Commission relève qu’un module d’analyse de données permet une exploitation statistique. Elle demande que l’outil de requête ne permette que des restitutions anonymes et réduise également le risque de réidentification des personnes en limitant les interrogations ciblées et le niveau de détail des rapports. 
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données à caractère personnel relatives aux patients et aux professionnels de santé sont conservées pendant une durée de 10 ans (5 ans en base active puis 5 ans en base archive) à compter de la date de création de compte.
La Commission considère que cette durée est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Association Société de pathologie infectieuse de langue française à mettre en œuvre le traitement susmentionné.
Pour la Présidente
 
 
La Vice-Présidente déléguée,
Marie-France MAZARS