AgentPublic/cnil huggingface dataset:
Formule les observations suivantes :   La Commission nationale de l'informatique et des libertés est saisie pour avis par le ministre de la santé, conformément aux dispositions de l'article R. 1111-10 du code de la santé publique, de la demande d'agrément présentée par le groupement Santénergie, candidat à l'hébergement du dossier médical personnel dans le cadre de son expérimentation pour la région Pays de Loire, Midi-Pyrénées, Limousin et Basse-Normandie.   L'article L. 161-36-1 du code de la sécurité sociale dispose en effet que le dossier médical personnel est créé auprès d'un hébergeur de données à caractère personnel agréé dans les conditions prévues à l'article L. 1111-8 du code de la santé publique.   La groupement Santénergie a été retenu à l'issue d'un appel d'offres lancé en juillet 2005 par le Groupement d'intérêt public de préfiguration du dossier médical personnel (GIP-DMP) pour la phase de préfiguration du dossier médical personnel, qui a pour objet d'expérimenter les options techniques, l'adéquation fonctionnelle, les hypothèses d'organisation et d'accompagnement ainsi que les usages, de façon à contribuer au mieux à l'objectif de la loi qui est "de favoriser la coordination, la qualité et la continuité des soins" avec un regard particulièrement attentif sur les accidents iatrogènes et les redondances.   La Commission doit, conformément aux dispositions de l'article R. 1111-10 du code de la santé publique se prononcer sur "... les garanties présentées par
Emet dans ces conditions l'avis suivant :   1- Sur les garanties présentées par le candidat à l'agrément en matière de protection des personnes à l'égard des traitements de données de santé à caractère personnel 1-1 Les modalités de recueil du consentement du patient   Le groupement Santénergie propose aux patients suivis dans les établissements de santé et par les professionnels de santé volontaires des sites pilotes, dans le cadre d'un contrat, l'ouverture d'un dossier médical personnel composé d'un volet de données générales, d'un volet de soins, d'un volet prévention et d'un volet images.   Le patient, après avoir obtenu auprès du GIP-DMP un numéro identifiant santé (NIS) se voit attribuer une adresse qualité santé (AQS) composée de son NIS et d'une lettre identifiant le groupement Santénergie qui lui permettra de s'identifier auprès de celui-ci, en particulier lors des accès à son dossier médical personnel.   Lors de la formalisation de son adhésion au dispositif proposé par la signature d'un document décrivant notamment les conditions d'accès au dossier médical personnel, le patient devra indiquer l'identité des professionnels de santé à qui il souhaite donner des droits d'accès à son DMP.  L'étendue des droits ainsi reconnus aux professionnels de santé sera paramétrable par le patient seul tout au long de l'expérimentation.   La Commission estime que ces modalités sont satisfaisantes.   1-2 L'authentification du patient et les accès aux données contenues dans le
dossier médical personnel, le patient pourra accéder à son DMP par accès direct via Internet en utilisant son adresse qualité santé (AQS) et un login/mot de passe associé à des questions-défi.   Le patient pourra également formuler par téléphone auprès du centre de services de son hébergeur une demande d'accès à son DMP. Pour des raisons de confidentialité et de sécurité, aucune demande d'accès ou de rectification ne pourra être effectuée par courrier électronique.   La Commission considère que la solution de la société Santenergie, fondée sur un mot de passe, associé à des questions-défi constitue une solution, en l'état, acceptable. Toutefois, compte tenu du développement des dispositifs de sécurité fondés sur des certificats logiciels, la Commission estime que le recours à de tels dispositifs devra être effectif pour le déploiement du dossier médical personnel.
1-3 L'authentification du professionnel de santé   La procédure normale d'authentification passe par l'usage de la carte de professionnel de santé (CPS).  Les professionnels de santé devront également utiliser l'adresse AQS de leur patient.  Les conditions d'accès du professionnel de santé sont déterminées par les autorisations accordées par le patient, en particulier concernant l'accès possible à certaines données masquées par le patient.   La Commission constate que le groupement Santenergie prévoit également un mode d'authentification dégradé, basé sur un code identifiant et un mot de passe. La Commission estime, au regard de la sensibilité des données concernées et des conditions de sécurité qu'elle estime nécessaires dans le cadre de l'accès par voie électronique à des données de santé, que l'accès à de telles données par un simple identifiant et mot de passe ne constitue pas une mesure de sécurité suffisante.   La procédure d'authentification des professionnels de santé exerçant au sein d'un établissement de santé doit être appréciée au regard, notamment, des dispositions de l'alinéa 3 de l'article L. 1110-4 du code de la santé publique issues de la loi du 4 mars 2002 sur les droits des malades qui précisent que lorsque la personne est prise en charge par une équipe de soins dans un établissement de santé, les informations la concernant sont réputées confiées par le malade à l'ensemble de l'équipe de soins.   La prise en compte d'un établissement de santé est
évoquée à travers la notion de "référentiels utilisateurs" mais sans que les détails de l'architecture soient précisés.   La Commission estime sur ce point, qu'il est de la responsabilité des hébergeurs de garantir la confidentialité des données qu'ils seront amenés à conserver à la demande du patient ; qu'à cet égard, ils doivent mettre en oeuvre toutes les dispositions nécessaires pour s'assurer que les professionnels de santé qui consulteront le dossier médical personnel auront été préalablement identifiés et habilités à avoir accès au dossier médical ; que seuls les membres de l'équipe soignante participant de façon effective et régulière aux soins pourront avoir accès à tout ou partie du dossier médical personnel.
La Commission rappelle également qu'aux termes du e) du 2° de l'article R. 1111-14 du décret du 4 janvier 2006 précité, le candidat à l'hébergement doit décrire les procédés techniques retenus en matière d'identification et d'authentification ; qu'en ce qui concerne les professionnels de santé, ces procédés techniques doivent avoir été agréés par le groupement d'intérêt public mentionné à l'article R. 161-54 du code de la sécurité sociale.   La Commission considère que chaque professionnel de santé exerçant au sein d'un établissement de santé participant à l'expérimentation devra impérativement être doté avant le début de l'expérimentation d'une carte de professionnel de santé attribuée par le GIP-CPS, autorité de certification gérant un annuaire des professionnels de santé.  La mise en oeuvre du certificat électronique attachée à la CPS et permettant de garantir l'identification devra être effective dans un délai de deux mois à compter du début de l'expérimentation.   A cet effet, la charte d'information communiquée aux professionnels de santé devrait être complétée de conditions particulières sur ce point.   1-4 Le droit de masquage, les données sensibles et l'accès en urgence   Le patient a la possibilité de masquer certaines données de son DMP à certains professionnels de santé.  Il pourra le faire soit directement par internet, soit en s'adressant au centre de service du groupement Santenergie par courrier ou par téléphone sous la supervision du médecin hébergeur.
Ce droit de masquage ne s'appliquera pas à l'auteur du document.   Des informations considérées comme sensibles par le professionnel de santé peuvent toutefois n'être accessibles au titulaire du dossier qu'à partir de la date à laquelle le médecin les lui aura révélées.   La Commission prend acte que les accès seront tracés dans le journal d'accès du patient.
2- Sur les mesures de sécurité proposées par le groupement Santenergie   Au regard des dispositions du 2° de l'article R. 1111-9 du code de la santé publique issues du décret du 4 janvier 2006 précité, le candidat à l'hébergement doit définir et mettre en oeuvre une politique de confidentialité et de sécurité, destinée notamment à assurer le respect des exigences de confidentialité et de secret prévues par les articles L. 1110-4 et L. 1111-7, la protection contre les accès non autorisés ainsi que la pérennité des données, et dont la description doit être jointe au dossier d'agrément dans les conditions fixées par l'article R. 1111-14.   La Commission prend acte du fait que le personnel de l'hébergeur n'aura lui-même pas accès au dossier médical personnel, à l'exception dans certains cas bien définis du médecin hébergeur, et ne pourra consulter que le journal des traces des accès et des traitements et de la gestion des autorisations d'accès.   2-1 Le chiffrement des données   La Commission constate que le groupement Santenergie propose le chiffrement des canaux de communication assurant les échanges et non pas de la base de données elle-même, ce qui ce qui n'assure pas de façon satisfaisante la confidentialité des données à l'égard des accès extérieurs et crée une plus grande vulnérabilité en cas d'intrusion extérieure.   La Commission considère cette solution insatisfaisante et estime nécessaire que soit mis en place un chiffrement complet de la base de données de
l'hébergeur.   2-2 La sécurité des accès chez l'hébergeur   Les administrateurs techniques n'ont pas accès au contenu des dossiers patients et des procédés de contrôle par profils d'habilitation, gestion des mots de passe et traçabilité des actions sont mis en place.   La Commission prend acte du fait que le groupement Santenergie propose l'attribution d'une carte à puce avec un certificat et une clé privée à chaque membre du personnel du centre d'appel.   Elle considère qu'une carte à puce individuelle avec certificat et clé privée devrait également être attribuée à chacun des administrateurs techniques pour le contrôle d'accès.
2-3 L'accès du médecin hébergeur   L'article R. 1111-9,6° du code de la santé publique prévoit la présence d'un médecin chez l'hébergeur.   Il gère les vérifications de cohérence en cas de soupçon de collision, dans un même dossier médical personnel, entre les données de plusieurs patients.  Si ce soupçon existe, quelle qu'en soit l'origine, c'est le médecin de l'hébergeur qui retourne les documents en cause aux professionnels de santé qui en sont à l'origine, afin qu'ils en vérifient la cohérence.  En cas de collision avérée, le contenu du dossier devra être rectifié par le ou les auteurs des documents.   A cette occasion, le médecin de l'hébergeur a accès aux données du dossier médical.  Il s'agit d'un accès exceptionnel, motivé et tracé, justifié par les dangers qu'une collision peut faire courir au patient.  Ce cas est prévu dans le contrat entre le groupement Santenergie et les patients, afin de recueillir leur accord par avance.   Le présient, Alex TURK.   Guy ROSIER Vice-Président Délégué.
Formule les observations suivantes :   Le 31 octobre 2006, le casino Neris Loisirs SAS a adressé à la CNIL un dossier de formalités préalables relatif à la mise en oeuvre d'un dispositif permettant de contrôler l'accès aux salles de jeux.   Ce dossier s'inscrit dans le cadre du "protocole sur la promotion du jeu responsable" signé, le 5 janvier 2006, par le ministre de l'intérieur et de l'aménagement du territoire, le ministre délégué au budget et à la réforme de l'Etat, le président de la commission supérieure des jeux et les présidents de deux syndicats représentants le secteur des casinos.   Ce protocole a notamment pour objet de supprimer le droit de timbre à l'entrée des salles des jeux de table et ainsi de réunir au sein d'un même espace les machines à sous, jusqu'à présent en accès libre, et les jeux de table dont l'accès doit être contrôlé.  Il prévoit également, à compter du 1er novembre 2006, la mise en oeuvre d'un contrôle généralisé des personnes désirant accéder aux salles de jeux, et donc au casino dans son ensemble, afin de s'assurer qu'elles ne sont pas mineures ou qu'elles ne figurent pas dans le fichier national des interdits de jeux.  Ce fichier comprend les données relatives aux personnes ayant volontairement fait une demande auprès du ministère de l'intérieur pour être exclues des salles de jeux ainsi que celles ayant fait l'objet d'une exclusion administrative.   Le respect de cette obligation implique, pour chaque personne souhaitant entrer dans un
casino, un contrôle de la pièce d'identité suivi d'une vérification dans le fichier national des interdits de jeux. Le protocole précise qu'aucune collecte de données à caractère personnel n'est réalisée à cette occasion.   Estimant que la mise en oeuvre d'une telle procédure pourrait avoir pour conséquence de créer des files d'attente à l'entrée des casinos et accroîtrait le risque de laisser entrer par erreur une personne non autorisée, le casino Neris Loisirs SAS souhaite proposer à sa clientèle une carte sécurisée par la reconnaissance des empreintes digitales du porteur et qui permettrait à celui-ci d'accéder plus rapidement à l'enceinte du casino, tout en réduisant le flux des personnes faisant l'objet d'une procédure de contrôle "visuel" par ses employés.   La Commission constate que le recours à de tels dispositifs relève de l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
A ce stade, la Commission souligne que la gestion du fichier de clientèle et la consultation du fichier des personnes exclues, fichier sur lequel elle a émis un avis favorable dans sa délibération n° 93-042 susvisée, constituent des traitement de données à caractère personnel nécessitant d'accomplir les formalités préalables prévues par la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004.   A la suite de l'inscription dans le fichier de clientèle, une carte à puce sera éditée et il sera alors demandé à la personne concernée d'apposer son doigt sur un lecteur afin d'enregistrer le gabarit de l'empreinte digitale d'un seul de ses doigts au sein de la puce.  Ce procédé s'effectuera en temps réel.  L'ordinateur servant à l'enrôlement biométrique ne sera connecté à aucun réseau.   En outre, seul le gabarit de l'empreinte digitale, clé biométrique résultat du traitement des mesures par un algorithme, sera enregistré sur le support individuel et non une image ou une photographie de l'empreinte digitale.  Le gabarit fera également l'objet d'un chiffrement.   De même, tous les lecteurs biométriques et les lecteurs de cartes sans contact posséderont un "code site" unique propre au casino Neris Loisirs SAS.  Ce code sera généré par le prestataire technique et sera inscrit sur chacune des cartes créées.  Ainsi, les cartes ne pourront être lues que par des lecteurs ayant le même "code site", ce qui exclut toute lecture par un lecteur similaire mais étranger à l'application ou
d'un autre casino du groupe Tranchant auquel appartient celui de Neris Loisirs SAS.
traitement des données les concernant et d'utiliser une autre possibilité d'accès.  Les personnes concernées seront également informées que le responsable de traitement interroge, sur la base des informations qu'elles auront communiquées, le fichier national des personnes exclues des salles de jeux.   Compte tenu des éléments précités et dans la mesure où d'une part, seules les données à caractère personnel des personnes volontaires seront traitées, et d'autre part, le gabarit de l'empreinte digitale est uniquement stocké dans un support individuel exclusivement détenu par la personne concernée et dont elle décide librement de l'utilisation, la Commission considère que le dispositif soumis par le Casino Neris Loisirs SAS ne comporte pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d'accès et de rectification s'exerceront auprès du directeur responsable du casino ou des membres du comité de direction le Casino Neris Loisirs SAS.   S'agissant des personnes figurant dans le fichier national des personnes exclues des salles de jeux, le droit d'accès s'exerce auprès de la direction des libertés publiques et des affaires juridiques du ministère de l'intérieur.   Les catégories de données à caractère personnel enregistrées seront le gabarit de l'empreinte digitale d'un doigt, le nom, le prénom, la date et le lieu de naissance ainsi que le type et le numéro de la pièce d'identité de la personne faisant une demande de carte de fidélité.   Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le directeur responsable du casino, les membres du comité de direction du casino, les personnels en charge des contrôles à l'entrée du casino.   Dans ces conditions, la Commission autorise le casino Neris Loisirs SAS, parc du Casino, 03310 Neris les Bains, à mettre en oeuvre un traitement de données à caractère personnel présenté.   Le président Alex TURK.
des casinos et des exclus des salles de jeux ;   Vu le protocole "sur la promotion du jeu responsable" signé par le ministre de l'intérieur et de l'aménagement du territoire, le ministre délégué au budget et à la réforme de l'Etat, le président de la commission supérieure des jeux et les présidents des syndicats représentant le secteur des casinos ;   Après avoir entendu M. François GIQUEL, commissaire, en son rapport, et Mme Pozzo DI BORGO, commissaire du gouvernement adjoint, en ses observations.
Formule les observations suivantes :   Le 31 octobre 2006, le casino Roscoff Loisirs SAS a adressé à la CNIL un dossier de formalités préalables relatif à la mise en oeuvre d'un dispositif permettant de contrôler l'accès aux salles de jeux.   Ce dossier s'inscrit dans le cadre du "protocole sur la promotion du jeu responsable" signé, le 5 janvier 2006, par le ministre de l'intérieur et de l'aménagement du territoire, le ministre délégué au budget et à la réforme de l'Etat, le président de la commission supérieure des jeux et les présidents de deux syndicats représentants le secteur des casinos.   Ce protocole a notamment pour objet de supprimer le droit de timbre à l'entrée des salles des jeux de table et ainsi de réunir au sein d'un même espace les machines à sous, jusqu'à présent en accès libre, et les jeux de table dont l'accès doit être contrôlé.  Il prévoit également, à compter du lu novembre 2006, la mise en oeuvre d'un contrôle généralisé des personnes désirant accéder aux salles de jeux, et donc au casino dans son ensemble, afin de s'assurer qu'elles ne sont pas mineures ou qu'elles ne figurent pas dans le fichier national des interdits de jeux.  Ce fichier comprend les données relatives aux personnes ayant volontairement fait une demande auprès du ministère de l'intérieur pour être exclues des salles de jeux ainsi que celles ayant fait l'objet d'une exclusion administrative.   Le respect de cette obligation implique, pour chaque personne souhaitant entrer dans un
casino, un contrôle de la pièce d'identité suivi d'une vérification dans le fichier national des interdits de jeux. Le protocole précise qu'aucune collecte de données à caractère personnel n'est réalisée à cette occasion.   Estimant que la mise en oeuvre d'une telle procédure pourrait avoir pour conséquence de créer des files d'attente à l'entrée des casinos et accroîtrait le risque de laisser entrer par erreur une personne non autorisée, le casino Roscoff Loisirs SAS souhaite proposer à sa clientèle une carte sécurisée par la reconnaissance des empreintes digitales du porteur et qui permettrait à celui-ci d'accéder plus rapidement à l'enceinte du casino, tout en réduisant le flux des personnes faisant l'objet d'une procédure de contrôle "visuel" par ses employés.
par la loi du 6 août 2004.   A la suite de l'inscription dans le fichier de clientèle, une carte à puce sera éditée et il sera alors demandé à la personne concernée d'apposer son doigt sur un lecteur afin d'enregistrer le gabarit de l'empreinte digitale d'un seul de ses doigts au sein de la puce.  Ce procédé s'effectuera en temps réel.  L'ordinateur servant à l'enrôlement biométrique ne sera connecté à aucun réseau.   En outre, seul le gabarit de l'empreinte digitale, clé biométrique résultat du traitement des mesures par un algorithme, sera enregistré sur le support individuel et non une image ou une photographie de l'empreinte digitale.  Le gabarit fera également l'objet d'un chiffrement.   De même, tous les lecteurs biométriques et les lecteurs de cartes sans contact posséderont un "code site" unique propre au casino Roscoff Loisirs SAS.  Ce code sera généré par le prestataire technique et sera inscrit sur chacune des cartes créées.  Ainsi, les cartes ne pourront être lues que par des lecteurs ayant le même "code site", ce qui exclut toute lecture par un lecteur similaire mais étranger à l'application ou d'un autre casino du groupe Tranchant auquel appartient celui de Roscoff Loisirs SAS.
traitement des données les concernant et d'utiliser une autre possibilité d'accès.  Les personnes concernées seront également informées que le responsable de traitement interroge, sur la base des informations qu'elles auront communiquées, le fichier national des personnes exclues des salles de jeux.   Compte tenu des éléments précités et dans la mesure où d'une part, seules les données à caractère personnel des personnes volontaires seront traitées, et d'autre part, le gabarit de l'empreinte digitale est uniquement stocké dans un support individuel exclusivement détenu par la personne concernée et dont elle décide librement de l'utilisation, la Commission considère que le dispositif soumis par le Casino Roscoff Loisirs SAS ne comporte pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d'accès et de rectification s'exerceront auprès du directeur responsable du casino ou des membres du comité de direction le Casino Roscoff Loisirs SAS.   S'agissant des personnes figurant dans le fichier national des personnes exclues des salles de jeux, le droit d'accès s'exerce auprès de la direction des libertés publiques et des affaires juridiques du ministère de l'intérieur.   Les catégories de données à caractère personnel enregistrées seront le gabarit de l'empreinte digitale d'un doigt, le nom, le prénom, la date et le lieu de naissance ainsi que le type et le numéro de la pièce d'identité de la personne faisant une demande de carte de fidélité.   Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le directeur responsable du casino, les membres du comité de direction du casino, les personnels en charge des contrôles à l'entrée du casino.   Dans ces conditions, la Commission autorise le casino Roscoff Loisirs SAS, ZA du Bloscon - BP 81 - 29682 Roscoff Cedex, à mettre en oeuvre un traitement de données à caractère personnel présenté.   Le président Alex TURK.