AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1783930)
La Commission nationale de l'informatique et des libertés,
Saisie par SPIE COMMUNICATIONS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’expérimentation d’un service de télémédecine pour des patients atteints de diabète de type 2 ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment les articles L. 6316-1, L. 1110-4, L.1111-8 et R. 6316-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I, 1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-1229 du 19 octobre 2010 relatif à la télémédecine ;
Après avoir entendu M. Loïc HERVE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le projet VHP INTER@CTIV est un des lauréats de l’appel à projets d’e-santé N°2 dans le cadre du programme Investissements d’Avenir réalisé sous l’égide du ministère des affaires sociales et de la santé et du ministère du redressement productif. Sous l’intitulé « Développement de services numériques pour la santé et l’autonomie », ce programme vise à soutenir le déploiement expérimental de technologies et de services numériques dans le champ de la santé. Les projets retenus reposent sur des collaborations entre des entreprises technologiques innovantes, des établissements de santé, des universités et leurs laboratoires de recherche, ainsi que des collectivités. 
Dans le cadre d’un contrat de groupement momentané d’entreprises conjoint, la société SPIE COMMUNICATIONS, chef de file du projet, a notamment été chargée de l’accomplissement des formalités préalables relatives au traitement des données à caractère personnel recueillies et de la responsabilité du traitement.  
La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique.
Sur la finalité du traitement :
Le projet porte sur le développement et la mise en service à titre expérimental d’une offre de télémédecine (télésurveillance et mise en place d’une plateforme mutualisée) spécifique aux patients atteints de diabète de type 2. Cette offre sera disponible en Picardie. A ce titre, un contrat de télémédecine a été conclu entre SPIE COMMUNICATIONS et l’ARS de Picardie le 25 novembre 2014. 
Plus précisément, le service de télésurveillance médicale projeté a pour objet de permettre à un professionnel de santé d'interpréter à distance les données nécessaires au suivi médical d'un patient atteint de diabète de type 2 et, le cas échéant, de prendre des décisions relatives à la prise en charge de ce patient. L'enregistrement et la transmission des données peuvent être automatisés ou réalisés par le patient lui-même ou par un professionnel de santé (infirmière à domicile, ou professionnels de santé dans les établissements pour personnes âgées dépendantes (EHPAD) par exemple). Les dispositifs de télésurveillance mis en œuvre sont : le Dossier médical personnalisé Diabète (DMPD), les dispositifs biomédicaux sur le lieu de vie (balance, tensiomètre et glucomètre connectés au DMPD) afin de collecter automatiquement des données métaboliques (le taux d’hémoglobine glyquée est saisi manuellement dans le DMPD).
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur la nature des données traitées :
Concernant les patients, les données traitées sont les données d’identification (nom, prénom, date de naissance, adresse, les données de santé (pathologies, antécédents familiaux, soins, comportements à risque, données visées à l’article R. 6316-4 du code de la santé publique) et les données de connexion (identifiants des terminaux, identifiants de connexions, information horodatage). Les données de connexion ne seront collectées qu’à des fins de traçabilité et de gestion des incidents. 
Concernant les professionnels de santé, les données traitées sont les données d’identification (Numéro RPPS - si connexion avec une carte de professionnel de santé (CPS), nom, prénom, adresse, profession, spécialité, téléphone fixe et/ou mobile, courriel professionnel).
La Commission considère que les données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement.
Sur la durée de conservation des données :
Les questionnaires « papier » d’éligibilité pour valider la candidature du patient sont détruits à l’issue de l’entretien d’éligibilité avec le patient, que celui-ci soit retenu ou non, et ce, dans un délai maximum de 3 semaines à compter de leur réception par le Centre de services.
La durée de conservation des données collectées et traitées dans le DMPD dans le cadre du projet VHP INTER@CTIVE, dont les données de connexion, est limitée à deux ans à compter de la création du DMPD. Au delà des deux ans, les données du DMPD sont archivées pendant huit ans.
A l’issue de l’archivage, seules les données statistiques non identifiantes sont conservées.
La Commission prend acte que les données sont conservées auprès d’un hébergeur de données de santé agréé.
La Commission relève que cette durée respecte les dispositions applicables en matière de conservation des données de santé et qu’elle correspond aux besoins des professionnels de santé dans le cadre de la réalisation du projet. La durée de conservation prévue  est donc conforme aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
Seront destinataires, pour les données qui les concernent, les médecins traitants et équipe de soins, les personnels du Centre de services (sous l’autorité d’infirmières et de diététiciens), les administrateurs techniques du Centre de services et de l’hébergeur agréé, le médecin de l’hébergeur agréé et les techniciens de téléassistance.
L’accès au DMPD et aux données de connexion archivés est autorisé uniquement en cas de recours gracieux ou contentieux, introduit par le patient ou ses ayants droit, tendant à mettre en cause la responsabilité médicale de l’établissement de santé ou médico-social, ou des professionnels de santé ayant participé à sa prise en charge dans le cadre du projet VHP INTER@CTIVE, et le cas échéant la responsabilité de SPIE COMMUNICATIONS en tant que responsable de traitement.
Seul le médecin de l’hébergeur agréé est habilité à accéder aux données archivées pour faire droit aux demandes précitées, ainsi que pour exercer les droits d’accès, de rectification et d’opposition, le cas échéant pour des motifs légitimes, des personnes concernées ou de leurs ayants-droit.
La Commission considère que cette liste des destinataires n’appelle pas d’observation.
Sur l'information et les droits d’accès des personnes :
Les personnes seront dans un premier temps contactées par voie électronique, dans le cadre d’un appel à candidature adressé par la Mutuelle Réunica à l’ensemble de ses adhérents résidant en Picardie et dans la tranche d’âge correspondant au projet. Un dossier leur sera transmis, comprenant une présentation des services du projet VHP INTER@CTIVE. Il intègre également un questionnaire d’éligibilité technique et une lettre de consentement. Le retour du dossier de candidature intervient uniquement par voie postale à renvoyer au Centre de services VHP sous enveloppe fermée avec  la mention : « à n’ouvrir que par le service Eligibilité ».
A réception du dossier de candidature, le centre de services du projet VHP INTER@CTIVE géré par la société COMEARTH contacte le patient par téléphone, lui réexplique le projet,  lui demande confirmation de son consentement à participer au projet en vérifiant son accord écrit sur la lettre de consentement. Le Centre de services procède alors au test d’éligibilité du patient pour sa participation au projet. Si le candidat est éligible, le centre de services informe le patient de cette éligibilité et qu’il recevra par voie postale deux exemplaires de convention (un pour le patient et un pour le médecin traitant), détaillant les conditions générales d’adhésion au projet et les informations nécessaires à l’information du patient. 
A réception des conventions dûment remplies et signées, le centre de services reprend attache avec le patient afin de finaliser son inscription et procéder à sa formation comprenant une sensibilisation « Informatique et Libertés » relative :
à l’information / consentement du patient ;
au respect des règles de sécurité et de confidentialité (dont une méthodologie pour la création de mots de passe garantissant une authentification forte) ;
à la procédure à respecter en cas de perte de ses identifiants au projet VHP INTER@CTIVE ;
aux journaux de connexion (contenu des données et finalité) ;
à l’exercice des droits d’accès, de rectification et d’opposition des patients et des utilisateurs. Il est rappelé aux patients qu’ils peuvent s’opposer à tout moment et sans motif à l’accès à leur dossier VHP INTER@CTIVE. 
Pour les télédossiers DMPD, l’exercice des droits d’accès, de rectification et d’opposition s’opère auprès du médecin référent du patient, le cas échéant du médecin coordinateur de l’établissement de santé ou médico-social, ou du médecin de l’hébergeur. Pour les télédossiers DMPD archivés, cette demande adressée directement par le patient, ou par l’intermédiaire du Centre de services, est de facto transférée au médecin de l’hébergeur qui a seul accès aux télédossiers DMPD archivés. 
La Commission considère que ces modalités d’information, de recueil du consentement et d’exercice des droits sont satisfaisantes, au regard notamment des dispositions de la loi du 6 janvier 1978 modifiée, et des articles L1111-2, L1111-4 et R6316-2 du Code de la santé publique.
Sur la sécurité des données et la traçabilité des actions :
Différents profils d’habilitations sont définis afin de ne permettre l’accès aux données qu’en fonction des besoins relatifs aux missions de l’intervenant.
Les accès aux données des patients peuvent être opérés :
-pour les professionnels de santé par CPS et code PIN de la carte ou par le recours à un identifiant et un mot de passe d’une longueur minimale de huit caractères, comportant quatre types de caractères distincts. Le mot de passe doit être modifié dès la première connexion, puis tous les six mois. De plus, doit être renseigné un mot de passe à usage unique, transmis par courriel.
-pour les patients, par un identifiant et un mot de passe d’une longueur minimale de huit caractères, comportant trois types de caractères distincts. Le mot de passe doit être modifié dès la première connexion, puis tous les six mois.
Les mots de passe ne sont pas conservés en clair dans un fichier ou une base de données.
La Commission considère, concernant les professionnels de santé, que le maintien d’un système d’authentification par identifiant et mot de passe (ne présentant pas un niveau de sécurité équivalent à la CPS) alors même qu’un système d’authentification par CPS est mis en place, apparaît de nature à affaiblir la sécurité du système d’information dans la mesure où les garanties qui s’attachent à l’utilisation d’une CPS s’en trouvent amoindries.
Elle rappelle, en outre, que l’authentification des professionnels de santé par identifiant et mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret du 15 mai 2007 relatif à la confidentialité des informations médicales.
Ce texte impose dorénavant une authentification forte des professionnels de santé par l’utilisation d’une CPS ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. Les professionnels de santé concernés par ce dispositif doivent donc s’y conformer.
Les traces des accès et actions réalisés sur les données de santé sont conservées, de même que les traces des activités de prise en main à distance.
Les traces sont analysées une fois par mois afin de détecter les comportements déviants ou anormaux. Lors de la détection d’un comportement déviant ou anormal, le compte de l’utilisateur est momentanément suspendu et une alerte est remontée à l’utilisateur concerné et au responsable de la structure.
Les données transmises par les appareils de mesure doivent transiter via une passerelle située au domicile du patient et sont transmises sans nom ou prénom du patient. Les appareils de mesure se connectant à la passerelle via une liaison Bluetooth doivent préalablement avoir été appariés à cette passerelle avec un code unique.
Le Bluetooth sur les appareils de mesure n’est activé qu’après que la personne a pris une mesure, uniquement pendant le temps de la transmission des données. Si l’appareil de mesure ne détecte pas de passerelle à proximité, le Bluetooth est désactivé après quelques secondes. Une minute après, le dispositif fait une seconde tentative de connexion qui, si elle échoue, éteint le Bluetooth et les données ne seront transmises qu’après la prochaine mesure par la personne.
Le responsable de traitement, dans sa documentation, fait référence à des données « anonymisées » ou « anonymes » concernant les données transmises par les appareils de mesure. La Commission précise que les données traitées sont des données indirectement identifiantes, un lien existant entre l’identité des personnes et le numéro permettant d’identifier l’outil de mesure. A cet égard, la Commission demande que la documentation soit modifiée en ce sens.
Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont donc conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise SPIE COMMUNICATIONS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité l’expérimentation d’un service de télémédecine pour des patients atteints de diabète de type 2.
Dans la mesure où le projet de télémédecine VHP INTER@CTIVE est une expérimentation d’une durée de deux ans, l’autorisation sera limitée à cette durée, avec remise à la Commission d’un bilan à l’issue de l’expérimentation. 
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1857334)
La Commission nationale de l'informatique et des libertés, 
Saisie par l’Autorité de régulation des jeux en ligne (ARJEL) d’une demande d’autorisation concernant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité une étude relative au jeu problématique et pathologique ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu la loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n°2010-509 du 18 mai 2010 relatif aux obligations imposées aux opérateurs agréés de jeux ou de paris en ligne en vue du contrôle des données de jeux par l’ARJEL ;
Vu la délibération n°2010-123 de la CNIL du 12 mai 2010 ;
Après avoir entendu  Monsieur Alexandre LINDEN, commissaire, en son rapport, et  Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par l’Autorité de régulation des jeux en ligne (ci-après, l’ARJEL), sur le fondement des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée (ci-après, la loi Informatique et Libertés) d’une demande d’autorisation préalablement à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité une étude relative au jeu problématique et pathologique.
Sur la licéité du traitement, sa finalité et les formalités applicables:
La loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne confie à l’ARJEL la mission de faire respecter la politique de l’Etat en matière de jeux d’argent et de hasard. L’article 3 de la loi prévoit que cet encadrement a notamment pour finalité de « Prévenir le jeu excessif ou pathologique et protéger les mineurs ».
Le contrôle permanent exercé par l’ARJEL, au titre des missions qui lui sont dévolues par la loi, porte sur l’activité des opérateurs agréés par cette autorité. Ce contrôle est exercé au regard du rapport que lui adresse annuellement chaque opérateur agréé. Ce rapport porte sur les actions menées et les moyens consacrés au jeu responsable et à la lutte contre le jeu excessif ou pathologique par chacun de ces opérateurs.
Par ailleurs, chaque opérateur met à la disposition permanente de l’ARJEL les données de jeu dont il dispose  dont les modalités sont fixées par le décret en Conseil d’Etat n°2010-509 du 18 mai 2010 relatif aux obligations imposées aux opérateurs agréés de jeux ou de paris en ligne en vue du contrôle des données de jeux par l’ARJEL.
Ceci permet à l’ARJEL de formuler des recommandations aux opérateurs afin d’améliorer les dispositifs existants.
La demande d’autorisation de l’ARJEL porte sur une étude réalisée à partir d’une analyse des pratiques de jeu notamment issues des données recueillies auprès des opérateurs de jeux ou de paris en ligne.
Dans un premier temps, un échantillon de joueurs en ligne sera constitué par l’ARJEL, à partir des données recueillies auprès des opérateurs, selon les deux critères objectifs cumulatifs suivants : d’une part, avoir été actif sur un compte joueur au cours des douze derniers mois (c’est-à-dire avoir eu au moins une activité de jeu en ligne pendant cette période) et d’autre part, disposer d’au moins un compte joueur depuis plus d’un mois.
Dans un deuxième temps, l’ARJEL adressera un questionnaire aux personnes sélectionnées à partir l’échantillon de joueurs ainsi constitué.
Dans un troisième temps, les données recueillies auprès des opérateurs  et celles issues des réponses apportées aux questionnaires seront rapprochées. Ce procédé vise à permettre l’évaluation par l’Observatoire des jeux (ci-après, l’ODJ), agissant en qualité de sous-traitant de l’ARJEL, du risque de jeu pathologique et l’élaboration de modèles de repérage du jeu problématique et pathologique.
Dès lors, la Commission estime que la finalité du traitement tendant à permettre la prévention du jeu pathologique est déterminée, explicite et légitime.
Elle relève que le traitement s’inscrit dans le cadre des missions dévolues à l’ARJEL par le législateur. Dès lors, la Commission considère la condition de licéité prévue à l’article 6 de la loi Informatique et Libertés est satisfaite.
Enfin, dans la mesure où ce traitement impliquera la collecte et l’analyse de données relatives à la santé des joueurs, dans un but de santé publique de lutte contre les addictions au jeu, la Commission estime qu’il y a lieu de faire application des dispositions combinées prévues aux articles 8-IV et 25-I-1°de la loi Informatique et Libertés qui soumettent à autorisation les traitements portant sur des données relatives à la santé des personnes justifiés par l’intérêt public.
Sur la nature des données collectées et traitées :
Les données recueillies auprès des opérateurs de jeux ou de paris en ligne traitées pour cette étude sont les suivantes :
les données d’identification des joueurs (nom, prénom, date et lieu de naissance, adresse de courrier électronique, identifiant unique permettant l’accès au compte joueur) ;
les données relatives à l’activité de jeu en termes de montant et de fréquence (mises, dépôts, pertes, gains) ;
les caractéristiques du jeu pratiqué (type de jeu, niveau de risque);
les informations relatives aux comptes des joueurs (auto-exclusions et auto-limitations de jeu) ;
les identifiants de connexion ;
les informations d’horodatage.
Font également l’objet d’un traitement les données issues du questionnaire complété par le joueur.
La Commission considère que le traitement des données précédemment listées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur les destinataires des données :
La Commission prend acte de ce que seules les personnes habilitées à traiter les données y auront accès, de sorte qu’aucun destinataire, au sens de l’article 3 de la loi Informatique et Libertés, n’est prévu.
Sur la durée de conservation des données :
Les données de l’étude sont conservées pendant la durée nécessaire à la création des modèles de repérage du jeu problématique et pathologique dont il est prévu qu’elle soit de 18 mois maximum.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement des finalités poursuivies par le responsable de traitement.
Sur l’information des personnes et les modalités d’exercice de leurs droits :
L’ARJEL adresse, par l’intermédiaire d’une société de publipostage agissant comme sous-traitant, un courriel aux personnes sélectionnées afin de présenter l’étude et leur proposer d’y participer. 
Ce courriel les informe de leurs droits selon des modalités conformes à l’article 32 de la loi Informatique et Libertés.
Les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès du service de la direction juridique de l’ARJEL.  
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
La collecte des données sera opérée par l’ARJEL et les postes utilisés pour cette collecte seront placés sur un réseau compartimenté.
Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.
L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel. Le réseau de l’entreprise fait l’objet de mesures de filtrage ayant pour but de restreindre l’émission et la réception des flux réseaux aux machines identifiées et autorisées.
Le responsable de traitement a mis en place une politique de mot de passe conforme aux recommandations de l’Agence nationale de sécurité des systèmes d’information. Par ailleurs, une journalisation des opérations de consultation du traitement est réalisée.
Les services web sont sécurisés au moyen du protocole TLS.
S’agissant des données adressées à l’ODJ :
une clause spécifique couvre les interventions des sous-traitants en matière d'accès aux données personnelles. La Commission prend acte de l’engagement du responsable de traitement de fixer contractuellement des objectifs de sécurité à ses sous-traitants ;
les données transmises à l’ODJ, sous traitant de l’ARJEL, en charge de l’analyse statistique sont des données pseudonymisées, expurgées de l’identité des personnes ;
-préalablement à leur transmission à l’ODJ, les données seront chiffrées au moyen d’un algorithme de chiffrement conforme au Référentiel Général de Sécurité. Les données chiffrées et le secret permettant de les déchiffrer seront transmis par des canaux de communication distincts.