AgentPublic/cnil huggingface dataset:
Sur la proposition de M. Alexandre LINDEN, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit : 
Introduction au RGPD (évolutions, objectifs) ;
Définition des notions ;
Présentation des obligations en matière de protection des données ;
Présentation du rôle, du fonctionnement et des pouvoirs de la CNIL ;
Explication des sanctions administratives et pénales ;
Présentation du cas particulier du sous-traitant ;
Présentation du rôle et des missions du Délégué à la Protection des Données ;
Explication du processus type de mise en conformité avec le RGPD.
La demande de label présentée par le cabinet Marvell Avocats inclut les modules complémentaires suivants : 
présentation de la CNIL et de ses missions ;
présentation du rôle du délégué à la protection des données ;
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide
De la délivrance du label CNIL « formation RGPD » pour la formation intitulée « Initiation à la protection des données et aux démarches de mise en conformité avec le RGPD » du cabinet Marvell Avocats. 
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 2170192)
La Commission nationale de l'informatique et des libertés,
Saisie par la société DIATELIC d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif de télésurveillance médicale dénommé eNephro ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, L. 6316-1, R. 6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 6 décembre 2016 portant cahiers des charges des expérimentations relatives à la prise en charge par télésurveillance mises en œuvre sur le fondement de l’article 36 de la loi no 2013-1203 de financement de la sécurité sociale pour 2014 ; 
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société DIATELIC est le responsable du traitement de données à caractère personnel mis en œuvre dans le cadre de l’utilisation de eNephro.
Sur la finalité
Le traitement de données à caractère personnel a pour objectif la réalisation d’actes de télésurveillance médicale à travers la mise en place d’un dispositif, nommé eNephro.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes. 
Elle considère qu’il y a lieu de faire application de l’article 25-1-6° de la loi du 6 janvier 1978 modifiée (ci-après la loi « Informatique et libertés »), qui soumet à autorisation de la Commission les traitements de données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR). 
Sur les données traitées
Concernant les patients, les données traitées sont : 
 
les données d’identification ; 
le NIR ; 
les données relatives à la vie personnelle ;  
les données relatives à la vie professionnelle ; 
les données de santé nécessaires à l’acte de télésurveillance ; 
les données techniques de connexion. 
La Commission prend acte de ce que le NIR des patients ne sera utilisé qu’à des fins de remboursement du dispositif médical et des prestations associées.
Concernant les professionnels de santé participant à la prise en charge du patient et les autres professionnels accompagnant les professionnels de santé, les données traitées sont : 
les données d’identification ; 
les données relatives à la vie professionnelle. 
Sont également collectées les données visées à l’article R. 6316-4 du code de la santé publique (CSP). 
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi « Informatique et libertés ».
Sur les destinataires
Les destinataires des données sont les suivants : 
les professionnels de santé prenant en charge le patient ; 
les administrateurs techniques de la société DIATELIC. 
Les données à caractère personnel seront exclusivement destinées aux personnes authentifiées et habilitées dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la réalisation de leurs missions. 
Sur l’information et les droits des personnes
Concernant les patients
Le patient est informé à l’oral et par le biais d’une note d’information qui sera remise par le professionnel de santé incluant le patient dans le dispositif. 
Cette note d’information est rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi « Informatique et Libertés ».
La Commission demande cependant que la note d’information soit modifiée sur les points suivants :
le droit de définir des directives relatives au sort des données à caractère personnel après la mort doit être expressément mentionné ;
la durée de conservation doit-être indiquée, conformément à l’article 32-8° de la loi « Informatique et Libertés ». 
Le formulaire de consentement se divise en 3 exemplaires : un exemplaire pour le patient, un exemplaire pour le professionnel de santé et un exemplaire pour la société DIATELIC adressé par le professionnel de santé incluant le patient.
Les patients peuvent exercer leurs droits via différent canaux : 
par courrier ou par courriel à l’adresse indiquée dans la note d’information. Sur ce point, la Commission demande à ce que les personnes en charge de la gestion de la messagerie électronique et celles en charge de l’ouverture du courrier soient sensibilisées aux dispositions de la loi relatives aux droits des personnes afin d’en assurer un exercice effectif ; 
auprès du délégué à la protection des données de la société DIATELIC ; 
auprès du médecin de l’hébergeur agréé. 
L’exercice des droits sur les données archivées s’exerce de la même manière. 
Concernant les professionnels 
Les professionnels sont informés via une note d’information affichée lors de leur première connexion à l’application.  
Les droits d’accès, de rectification et d’opposition s’exercent auprès du délégué à la protection des données de la société DIATELIC à l’adresse indiquée dans la note d’information.
L’exercice des droits sur les données archivées s’exerce de la même manière. 
La Commission considère que ces modalités d’information, de recueil du consentement et d’exercice des droits sont satisfaisantes, au regard notamment des dispositions de la loi « Informatique et Libertés ». 
Sur les mesures de sécurité
L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé dans les conditions conformes à la règlementation. 
La Commission relève que le nouvel article L.1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par carte de professionnel de santé (CPS) ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé.
La commission demande en outre que des habilitations spécifiques soient prévues pour le personnel non professionnel de santé, afin qu'il ne puisse avoir accès qu'à des données non identifiantes sur les patients.
La Commission relève qu’un module d’analyse de données permet une exploitation statistique. Elle rappelle qu'un tel outil ne doit permettre que des restitutions parfaitement anonymes. A défaut des mesures complémentaires doivent être mises en œuvre afin de limiter les risques de ré identification des personnes, notamment en limitant les interrogations ciblées et le niveau de détail des données fournies.
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par la société DIATELIC est conservé six mois en base active à compter de la fin de la période de prise en charge du patient, puis en base archive pendant dix ans.
A l’issue de cette période, l’ensemble des données à caractère personnel traitées sera supprimé. 
Autorise, conformément à la présente délibération, la société DIATELIC à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(Demande d’autorisation n° 2175369)
La Commission nationale de l'informatique et des libertés,
Saisie par la société SOS Oxygène d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif de télésurveillance médicale ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, L. 6316-1, R. 6316-1 et suivants ;   
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 6 décembre 2016 portant cahiers des charges des expérimentations relatives à la prise en charge par télésurveillance mises en œuvre sur le fondement de l’article 36 de la loi n° 2013-1203 de financement de la sécurité sociale pour 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société SOS Oxygène, société à responsabilité limitée, prestataire de santé à domicile. 
Sur la finalité
Le traitement de données à caractère personnel a pour objectif la réalisation d’actes de télésurveillance médicale des personnes atteintes d’insuffisance respiratoire chronique. 
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes. 
Elle considère qu’il y a lieu de faire application de l’article 25-1-6° de la loi du 6 janvier 1978 modifiée (ci-après la loi « Informatique et Libertés »), qui soumet à autorisation de la Commission les traitements de données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR). 
Sur les données traitées
Concernant les patients, les données traitées sont : 
 
les données d’identification ; 
le NIR ; 
les données de santé nécessaires à l’acte de télésurveillance. 
La Commission prend acte de ce que le NIR des patients ne sera utilisé qu’à des fins de remboursement du dispositif médical et des prestations associées.
Concernant les professionnels de santé participant à la prise en charge du patient et les autres professionnels accompagnant les professionnels de santé, les données traitées sont : 
les données d’identification ; 
les données relatives à la vie professionnelle. 
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi « Informatique et Libertés ».
Sur les destinataires
Les destinataires des données sont les suivants : 
les professionnels de santé : le médecin télésurveillant, le médecin prescripteur et le médecin traitant sous réserve d’avoir été expressément et préalablement autorisés par le patient ainsi que les autres professionnels prenant en charge le patient ; 
les administrateurs techniques et les techniciens de la société SOS Oxygène responsables du fonctionnement opérationnel. 
Les données à caractère personnel seront exclusivement destinées aux personnes authentifiées et habilitées dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la réalisation de leurs missions. 
Sur l’information et le droit d’accès 
Concernant les patients
Le patient est informé par le biais d’une note d’information remise par le technicien qui installe le dispositif au domicile du patient. Cette note d’information, accompagnée d’un formulaire de consentement, est rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi « Informatique et Libertés ».
Les droits d’accès, de rectification et d’opposition s’exercent par courrier ou par courriel auprès : 
du responsable qualité de la société SOS Oxygène ; 
du médecin de l’hébergeur agréé de donnée de santé. 
L’exercice des droits sur les données archivées s’exerce de la même manière. 
Concernant les professionnels
Les professionnels sont informés via la convention tripartite conclue avec ces derniers. 
Les droits d’accès, de rectification et d’opposition s’exercent auprès de la responsable régionale Sud-Est ventilation à l’adresse indiquée dans la note d’information. 
L’exercice des droits sur les données archivées s’exerce de la même manière. 
La Commission considère que ces modalités d’information, de recueil du consentement et d’exercice des droits sont satisfaisantes, au regard notamment des dispositions de la loi « Informatique et Libertés ». 
Sur les mesures de sécurité
L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé dans les conditions conformes à la réglementation.
La Commission relève que le dispositif prévoit une télétransmission automatique et une transmission par carte SD. Elle considère que la nature des données stockées sur la carte SD exige que celles-ci fassent l'objet de mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité.
La commission rappelle en outre que  des habilitations spécifiques doivent être prévues pour le personnel non professionnel de santé, afin qu'il ne puisse avoir accès qu'à des données non identifiantes sur les patients.
La Commission relève que le nouvel article L.1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par carte de professionnel de santé (CPS) ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé.
Pour les non-professionnels de santé (par exemple administrateurs techniques), la Commission recommande de renforcer les préconisations de la  délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe en utilisant des mots de passe de 10 caractères et en les associant à un mécanisme de verrouillage de l'accès au compte en cas de saisie multiple de mots de passe.
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par la société SOS Oxygène est conservé en base active durant la période de prise en charge du patient, puis en base archive pendant dix ans.
A l’issue de cette période, l’ensemble des données à caractère personnel traitées sera supprimé. 
Autorise, conformément à la présente délibération, la société SOS Oxygène à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(Saisine n° 17008438)
La Commission nationale de l’informatique et des libertés, 
Saisie par la Caisse Régionale d’Assurances Mutuelles Agricoles Méditerranée, le 10 novembre 2017, d’une demande de délivrance de label concernant la conformité de sa procédure de gouvernance au Règlement européen Général sur la Protection des Données ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2017-219 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de procédure de gouvernance tendant à assurer la protection des données ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Maurice RONAI, commissaire, président du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que la procédure de gouvernance portant sur le Règlement Général sur la Protection des Données présentée est conforme au référentiel auquel il se rapporte, conformément à l’article 37 du règlement intérieur.
Décide 
De la délivrance du label CNIL « Gouvernance RGPD » pour la procédure de gouvernance tendant à assurer la protection des données au sein de la Caisse Régionale d’Assurances Mutuelles Agricoles Méditerranée.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
(Saisine n° 17009405)
La Commission nationale de l’informatique et des libertés, 
Saisie par la Société Française de Protection Juridique, le 10 novembre 2017, d’une demande de délivrance de label concernant la conformité de sa procédure de gouvernance au Règlement européen Général sur la Protection des Données ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2017-219 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de procédure de gouvernance tendant à assurer la protection des données ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que la procédure de gouvernance portant sur le Règlement Général sur la Protection des Données présentée est conforme au référentiel auquel il se rapporte, conformément à l’article 37 du règlement intérieur.
Décide 
De la délivrance du label CNIL « Gouvernance RGPD » pour la procédure de gouvernance tendant à assurer la protection des données au sein de la Société Française de Protection Juridique.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
(Saisine n° 17008756)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société COFINTEX 6, le 10 novembre 2017, d’une demande de délivrance de label concernant la conformité de sa procédure de gouvernance au Règlement européen Général sur la Protection des Données ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2017-219 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de procédure de gouvernance tendant à assurer la protection des données ;
Vu le dossier et ses compléments ;