AgentPublic/cnil huggingface dataset:
La commission recommande ainsi aux administrations qui publient des documents non anonymisés de mettre en place des mesures empêchant l'indexation sur des moteurs de recherche externe des seules données identifiantes publiées. Ces mesures peuvent consister, par exemple, en l'utilisation de règles d'indexation à destination des moteurs de recherche correctement définies (fichier robots.txt ) ou de mécanismes visant à s'assurer que l'émetteur d'une requête concernant un document est bien un internaute et non un programme informatique (dispositif de captcha précité).
En troisième lieu, la commission rappelle que, en application de l'article 6 de la loi du 6 janvier 1978 modifiée, les administrations doivent s'assurer de l'exactitude des données qui feront l'objet d'une diffusion en ligne. Comme le prévoit d'ailleurs l'article
L. 312-1-1 du CRPA, les administrations devront porter une attention particulière à la mise à jour régulière des données publiées, laquelle peut notamment être satisfaite par
le recours à des moyens automatisés tels que les interfaces de programmation applicative (ou API, pour Application Programming Interface ), ou encore à des mécanismes d'horodatage de la publication. A cet égard, la commission rappelle également que, conformément aux dispositions de l'article L. 322-1 du CRPA, la réutilisation des informations publiques est soumise à la condition que leurs sources et la date de leur dernière mise à jour soient mentionnées.
En quatrième lieu, la commission souligne que si la réutilisation est au cœur du concept d'open data, elle en constitue également le risque principal pour les personnes physiques dès lors que sont en jeu des données à caractère personnel. Elle rappelle ainsi que la réutilisation des informations diffusées à titre gratuit par les administrations peut être encadrée par le biais des licences mentionnées dans le décret n° 2017-638 du 27 avril 2017 relatif aux licences de réutilisation à titre gratuit des informations publiques et aux modalités de leur homologation.
La commission relève à ce titre que les licences constituent des outils peu contraignants dans leur mise en œuvre et permettent de faciliter la compréhension de leurs droits et obligations par les réutilisateurs. Leur dimension pédagogique doit ainsi fortement inciter les administrations à en faire usage dans le cadre de leur démarche open data.
Enfin, la commission rappelle que toute réutilisation des données à caractère personnel, notamment à des fins commerciales, devra être conciliée avec le droit d'opposition des personnes concernées. La réutilisation des données devra ainsi respecter la volonté des personnes concernées telle qu'exprimée lors de la collecte. Elle recommande ainsi aux administrations de mettre en œuvre des dispositifs permettant aux réutilisateurs d'identifier précisément les documents pour lesquels des droits d'opposition à certaines réutilisations ont été enregistrés par le responsable du traitement initial.
La commission rappelle également, à titre général, que la publication de documents administratifs sans anonymisation préalable doit avoir lieu sans préjudice des obligations imposées aux ré-utilisateurs par le cadre juridique relatif à la protection des données personnelles.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier universitaire de Lille d’une demande d’autorisation concernant un registre de patients atteints de la maladie de Crohn ou de rectocolite hémorragique ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-8° et 54 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments, et notamment l’analyse d’impact relative à la vie privée produite en date du 02 octobre 2018 ;
Sur la proposition de M. Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le Centre hospitalier universitaire (CHU) de Lille.
Sur la finalité
Crée en 1988, Epimad a été le premier système français d'enregistrement des nouveaux cas de maladies inflammatoires chroniques de l’intestin ( MICI ) dans la région Nord-Ouest de la France.
 Epimad a fait l’objet d’un avis réputé favorable par la Commission le 08 décembre 1998.
 Epimad a reçu la qualification de Registre par la Commission nationale des registres en 1992.
Cette qualification a été renouvelée en 1996, 2000, 2004, 2008 et 2012.
L’objectif principal du registre Epimad est de connaître l’incidence, c'est-à-dire le nombre de nouveaux cas par an et pour 100 000 habitants, de la maladie de Crohn ( MC ) et de
			la rectocolite hémorragique ( RCH ) dans 4 départements du nord de la France : le Nord, le Pas-de-Calais, la Somme et
			la Seine-Maritime (soit au total une population de plus de 5,8 millions d'habitants). A ce jour, 950 cas incidents, en moyenne, sont enregistrés par an.
L’objectif secondaire est de réaliser, à partir de la base de données constituée dans le cadre du registre, des études analytiques à partir d'hypothèses étiopathogéniques de ces maladies.
Le registre Epimad a été renouvelé pour 5 ans par le comité d’évaluation des registres le 1er décembre 2016 avec comme objectif d’améliorer la méthodologie de recueil des données et de poursuivre le travail sur l’exhaustivité et la qualité des données.
Dans cette perspective, le CHU de Lille a souhaité présenter à la Commission le fonctionnement actualisé du registre Epimad, dans le cadre d’une demande d’autorisation.
Le traitement a pour base légale l’exercice d’une mission d’intérêt public, au sens de l’article 6-1-e du Règlement européen sur la protection des données (ci-après, le RGPD).
La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
Elle estime qu’il y a lieu de faire application des dispositions de l’article 8-II 8° et 54 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
La Commission rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre, à des fins de recherche dans le domaine de la santé, à partir des données contenues dans le registre sont des traitements distincts qui doivent faire l’objet de formalités propres au titre du chapitre IX de la loi Informatique et Libertés .
Sur les données traitées
La source principale des données est constituée par l'ensemble des gastro-entérologues adultes et pédiatriques des départements concernés, quel que soit leur mode d’exercice.
 
Les données suivantes sont recueillies :
nom de naissance ; nom d’usage ; prénom ; date de naissance ; commune de naissance ; adresse de résidence au moment du diagnostic ;
données relatives à l’ensemble des critères diagnostiques des MICI ; lésions du côlon ; présence d'un granulome avec cellules epithélioïdes et giganto-cellulaires sur des
				biopsies ou des spécimens chirurgicaux ; histoire clinique de diarrhée et/ou de douleurs abdominales ; existence de fistule et/ou d'abcès en relation avec la maladie inflammatoire digestive ; lésions de l'intestin grêle avec ou sans atteinte colique ; histoire clinique de diarrhée et/ou de rectorragies ; spécimens chirurgicaux ou nécroptiques macroscopiquement typiques de RCH etc.
Les nom, prénoms, sexe et date de naissance des patients inclus, sont recueillis sur un cahier, associés à un numéro de dossier.
 
Les dossiers servant à recueillir les informations socio -démographiques et médicales sont identifiées par ce numéro de dossier.
 
Deux sources secondaires de données sont utilisées :
			les données du PMSI et celles des laboratoires d’anatomo-pathologie (pour le département de la Somme).
Les fichiers PMSI, fournis par les DIM sous forme chiffrée, comportent uniquement une liste de noms, prénoms, sexes et dates de naissance des personnes atteintes d’une MICI. Aucune information médicale ne leur est associée. L’utilité de ces listes est de permettre de contrôler l’exhaustivité du registre et de le compléter si nécessaire avec les cas incidents non détectés par les sources principales de données (les gastro-entérologues), en retournant consulter les dossiers médicaux des patients.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
les équipes de chercheurs du registre Epimad du centre hospitalier universitaire de Lille ;
les équipes de chercheurs du centre hospitalier d’Amiens ;
les équipes de chercheurs du centre hospitalier de Rouen.
La Commission considère que les catégories de destinataire n’appellent pas d’observation.
Sur l’information et les droits des personnes
Chez les gastro-entérologues exerçant en libéral, l’information est délivrée, en salle d’attente, par voie d’affichage.
Chez les gastro-entérologues exerçant dans des centres hospitaliers publics ou privés, un encart est inséré dans le livret d’accueil remis aux patients.
Les droits des personnes concernées s’exercent auprès des médecins responsables du registre.
La Commission demande que les supports d’information soient complétés afin de contenir l’ensemble des mentions prévues par les articles 13 et 14 du RGPD.
Sous réserve de la modification des documents d’information, la Commission considère que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission prend note du fait que le responsable de traitement impose une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) pour tout accès aux données de santé.
La Commission prend note du fait que les informations sont transmises de façon chiffrée en utilisant un algorithme à l’état de l’art et pour lesquels les secrets sont transmis par un canal dissocié.
L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé dans les conditions du décret n° 2006-6 du 4 janvier 2006.
Les accès au traitement se font via le protocole HTTPS, qui permet de garantir la confidentialité des données échangées ainsi que l'authentification du responsable de traitement. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible.
Enfin, un niveau de traçabilité suffisant est mis en œuvre.
La Commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
Un registre a pour vocation, entre autres, d’étudier les évolutions de l’incidence d’une maladie. Pour ce faire, toutes les données enregistrées depuis la création du registre sont nécessaires.
 
Le registre a besoin de disposer des données sur une longue période, à savoir 30 ans en base active et 30 ans en base archives.
La Commission considère que ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
 
Autorise, le centre hospitalier universitaire de Lille, conformément à la présente délibération, à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président délégué
 
 
 
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence Régionale de Santé Auvergne-Rhône-Alpes d’une demande d’autorisation concernant un suivi cartographique des cas de légionellose;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
 Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE 
Vu le code de la santé publique, notamment les articles R. 3113-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-8° et 54 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments, et notamment l’analyse d’impact relative à la vie privée produite en date du 12 juillet 2018 ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Eve JULLIEN, adjoint au commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
L’Agence Régionale de Santé (ARS) Auvergne-Rhône-Alpes.
Sur la finalité
Le projet de cartographie faisant l’objet de la présente demande d’autorisation s’inscrit dans le cadre des investigations réalisées lors du signalement des cas de légionellose.
Le traitement a pour base légale l’article 6-1-e du Règlement Général sur la Protection des Données (RGPD), à savoir une mission d'intérêt public.
La légionellose est une maladie à déclaration obligatoire qui doit être signalée au médecin de l'ARS via une notification sur une fiche cerfa (n°12202*02). S’ensuit une enquête permettant à l'ARS d'identifier les expositions à risque, de rechercher d'autres cas liés à ces expositions et de prendre, le cas échéant, les mesures environnementales de contrôle appropriées.
Les objectifs du traitement poursuivi sont donc de :
détecter les cas de légionellose groupés et identifier la source de contamination afin d'éviter l'apparition de nouveaux cas;
repérer géographiquement la proximité de certaines sources de contamination comme les tours aéroréfrigérantes qui sont cartographiées en région Auvergne Rhône-Alpes ;
identifier des zones de surincidence qui peuvent correspondre à une source à bas bruit ou qui émet des légionnelles de façon sporadique ;
réaliser des analyses épidémiologiques spatiales sur une longue période (dix ans) pour améliorer la connaissance des facteurs de risque environnementaux et permettre la mise en place de mesures de prévention collectives ;
réaliser des analyses statistiques permettant de suivre la situation en particulier sur les sources potentielles mises en cause et permettant ainsi une sensibilisation des responsables de ces sources.
La Commission considère que la finalité du traitement présentée est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-a du RGPD.
Elle estime qu’il y a lieu de faire application des dispositions des articles 8-II 8° et 54 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
La Commission rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre ultérieurement, à des fins de recherche, d’étude et d’évaluation dans le domaine de la santé sont des traitements distincts qui doivent faire l’objet de formalités propres au titre de la section II du chapitre IX de la loi informatique et libertés .
Sur les données traitées
La personne concernée, diagnostiquée comme atteinte de légionellose, est géoréférencée au plus près de l’adresse de son domicile ainsi que de ses déplacements dans des lieux avec une source potentielle de contamination pendant les quatorze jours précédant la date de début des signes cliniques. 
Les données recueillies concernent également le type d’exposition potentielle au lieu du domicile de la personne concernée et lors de ses déplacements.
Les données traitées sont les suivantes : 
Champs à renseigner directement 
numéro de code de la déclaration obligatoire
numéro identifiant du cas dans la base maladie à déclaration obligatoire ;
date de début des signes cliniques ;
nom de lieu du déplacement ;
date de début de la fréquentation du lieu de déplacement pendant la période d’incubation.
Champs automatiques
code Insee de la commune du domicile de la personne concernée ;
commune du domicile du cas ;
numéro de département du domicile du cas ;
numéro de la région du domicile du cas ;
nom de la commune de déplacement du cas ;
numéro de département du déplacement ;
numéro de la région du déplacement ;
date de saisie du déplacement.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les destinataires
Seuls les agents de l’ARS auxquels des droits spécifiques ont été donnés et la cellule d’intervention en Région de santé publique France dans sa mission d’appui à l’ARS auront accès à la cartographie.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur les droits des personnes
L’information des personnes est réalisée au moyen d’un courrier type adressé de manière systématique aux personnes concernées.
Les personnes concernées peuvent exercer leurs droits auprès du délégué à la protection des données de l’ARS Auvergne-Rhône-Alpes.
La Commission demande que les supports d’information soient complétés afin qu'ils comportent l'ensemble des mentions prévues par l'article 14 du RGPD.
Sur les mesures de sécurité
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Une revue globale des habilitations est opérée régulièrement. Les utilisateurs s’authentifient par un identifiant et un mot de passe.
S’agissant de la complexité des mots de passe et des modalités de conservation, la Commission rappelle que la politique mise en place doit être conforme à la délibération n°2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
Les accès au traitement se font via le protocole HTTPS qui permet de garantir la confidentialité des données échangées ainsi que l’authentification de la source et du destinataire. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible.
Une journalisation des opérations de consultation, création et modification des données est mise en place. La Commission recommande que les interventions de maintenance fassent l’objet de mesures de traçabilité (enregistrement dans une main courante, par exemple).
Des sauvegardes régulières sont réalisées. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission rappelle que celles-ci doivent être testées régulièrement afin de vérifier leur intégrité.
L’accès aux locaux hébergeant le traitement est restreint au moyen de portes verrouillées contrôlées par un moyen d’authentification personnel.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
Les données seront conservées par l’ARS Auvergne-Rhône-Alpes pendant dix ans.
La commission considère que cette durée de conservation des données n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
 
Autorise l’ARS Auvergne-Rhône-Alpes, conformément à la présente délibération, à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la société APM International d’une demande d’autorisation des traitements automatisés à de fins de recherche, d’étude et d’évaluation nécessitant un accès aux données nationales du programme de médicalisation des systèmes d’information ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-8°, 54, 61 et suivants ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 193 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé Système national des données de santé 
Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ;
Vu les avis du Comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé du 25 juin 2018 et du 18 juillet 2018 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société APM International est une agence de presse spécialisée dans le secteur de la santé fondée en 1989. Dans le cadre de son activité d’information des professionnels de santé, elle traite des sujets en lien avec la politique de santé, les établissements publics et privés, l’actualité scientifique et la vie des industries de santé. Pour ce faire, elle analyse les politiques de santé au niveau régional et national ainsi que le paysage hospitalier au moyen d’indicateurs d’activité par établissement. Cette analyse, auparavant pratiquée en collaboration avec des bureaux d’études, a désormais vocation à être internalisée.
Sur l’opportunité du recours à la décision unique