AgentPublic/cnil huggingface dataset:
Dans ces conditions, la commission considère que les mesures prévues par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que le respect de cette exigence nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par la société Astellas Pharma d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi de l’information médicale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5122-1 à L. 5122-16, R. 5122-2 et R.5124-36 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Astellas Pharma est une société pharmaceutique internationale basée au Japon et dont l’activité porte sur le développement et la commercialisation de médicaments.
Sur la finalité
La finalité du traitement est l’information médicale, c’est-à-dire le suivi des questions médicales (émanant des patients, associations de patients ou professionnels de santé). Ce traitement répond à une obligation légale découlant des articles L. 5122-1 à L. 5122-16, R. 5122-2 et R. 5124-36 du code de la santé publique. 
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
La Commission estime qu’il y a  lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les données à caractère personnel collectées sont :
les données d'identification du notificateur lorsque celui-ci n'est pas un professionnel de santé (patient ou membre d'une association agréée de patients) : nom, prénom, adresse postale, adresse électronique, numéro de téléphone ;
les données d'identification du patient : numéro, code alphanumérique ou code alphabétique d'identification, informations signalétiques (âge, année ou date de naissance, sexe, poids, taille) ;
les données de santé : traitements administrés, nature du ou des effets indésirables et toute information communiquée par le patient concernant le contexte de son événement indésirable ;
les données d'identification des professionnels de santé concernés par l'observation : nom, prénom, numéro de téléphone et de télécopie, adresse électronique, adresse postale, spécialité du professionnel de santé.
Le responsable de traitement doit mettre en place les mesures techniques adéquates afin que les données codées relatives aux patients soient séparées des autres données.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont : 
les personnels dûment habilités de la société Astellas Pharma, Astellas France ou Astellas Global (membres de l'équipe de gestion médicale, du service informatique, du département des affaires médicales) ; 
les organismes publics concernés ;
les prestataires tiers en charge de l’information médicale.
La Commission prend acte de ce que l’habilitation à consulter des données de santé n’est attribuée qu’à des personnes soumises au secret médical, et dans la stricte limite de leurs missions.
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et les droits des personnes
Les personnes concernées sont informées du traitement de leurs données, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par un message téléphonique, postal ou électronique selon les modalités de prise de contact. 
Les droits des personnes s’exercent auprès d’Astellas Pharma.
Ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur.
La Commission rappelle que le responsable de traitement doit mettre en œuvre une politique de mot de passe conforme à la  délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. 
La Commission rappelle également que les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement.
En outre, la Commission considère que la nature des données exige que celles-ci fassent l'objet de mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité tant au niveau des bases de données que des sauvegardes.
La Commission recommande que les échanges se fassent via le protocole https (version de TLS la plus à jour possible) qui permet de garantir la confidentialité des données échangées ainsi que l'authentification du responsable de traitement.
La Commission rappelle que l'anonymisation doit être effective. Le responsable de traitement doit donc réaliser une analyse permettant de démontrer que ses processus d'anonymisation respectent les trois critères définis par l'avis du groupe de l'article 29 n°05/2014. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit être menée.
Le traitement dispose d’une journalisation des accès. La commission recommande une durée de conservation des journaux de six mois. 
Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données d’identification des personnes sont conservées pendant six ans à compter de la réception de la notification afin de pouvoir les recontacter si nécessaire. Passé ce délai, ces données seront supprimées ou conservées sous un format anonymisé. 
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
S’agissant des transferts de données en dehors de l’Union européenne, Astellas Pharma met en œuvre des clauses contractuelles types pour encadrer ces transferts.
Autorise, conformément à la présente délibération, Astella Pharma à mettre en œuvre le traitement décrit ci-dessus. 
Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par l’Observatoire régional de la santé Auvergne-Rhône-Alpes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une enquête visant à déterminer l’état de santé des personnes entrant en établissement pénitentiaire en Auvergne-Rhône-Alpes ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article R. 6112-19 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I°1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’observatoire régional de santé (ORS) Auvergne-Rhône-Alpes, association créée en 1982 et membre du réseau français des ORS, réunis au sein de la Fédération nationale des observatoires régionaux de la santé (FNORS). 
Sur la finalité
Dans le cadre de cette enquête, le traitement a pour finalité :
d’améliorer les connaissances sur l’état de santé des détenus (d’un point de vue somatique, psychiatrique et de la situation sociale) ;
d’adapter au mieux la prise en charge sanitaire des détenus ;
de rédiger un rapport sur les résultats obtenus (globaux et par établissements).
L’enquête vise à disposer d’un recueil de données épidémiologiques sur l’état de santé des personnes arrivant en établissement pénitentiaire, du ressort de la direction interrégionale des services pénitentiaires de Lyon (maison d’arrêt, quartiers maison d’arrêt et établissements pénitentiaires pour mineurs).  L’enquête est réalisée par l’ORS sur une période de quatre à six semaines (hors vacances scolaires). Un questionnaire papier ou informatique est délivré à chaque unité sanitaire de niveau 1 (USN1) par l’ORS. Chaque USN1 devra renseigner un questionnaire pour chaque  détenu entrant, lors de la visite médicale d’entrée.
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les catégories de données à caractère personnel dont le traitement est envisagé sont :
des données administratives du détenu : sexe ; année de naissance ; nationalité ; communication possible en français (oui/non) ; couverture sociale avant incarcération (type de couverture sociale) ; nombre de jours entre la date d'incarcération et la date de la visite médicale (différence de date à date) ; 
des données relatives à la situation pénale du détenu : nom de l’établissement de détention ; première incarcération (oui/non) ;
des données relatives à l’état de santé du détenu :  traitement en cours (nom du traitement)/ aucun traitement en cours ; contact avec le système de soins l’année précédant l’incarcération (oui/non) / si oui le(s)quel(s) ; tentative de suicide (oui/non) / si oui année de la dernière tentative ; consommation de tabac (nombre moyen de cigarettes/jour / ne sait pas / a arrêté de fumer / n’a jamais fumé de tabac) ; consommation d’alcool (jamais/occasionnellement/consommation excessive) ; autres addictions dans les douze mois précédant l’incarcération (nom du produit addictif, fréquence de la consommation, forme de la consommation, addiction sans produit (oui/non) ; test de dépistage avant l’incarcération (oui/non ; si oui, le(s)quel(s) : HIV, hépatite B, hépatite C) ; vaccination contre l’hépatite B (oui/non/ne sait pas) et/ou DTP (à jour/incomplète/ne sait pas);  examen médical (poids, taille, état général (bon/moyen/mauvais) ; état bucco-dentaire (bon/soins à programmer/soins urgents nécessaires), indice carieux ; présence de tatouage (oui/non), présence de piercing (oui/non) ; nécessite un suivi par médecin généraliste (oui/non), nécessite un traitement de substitution (oui/non), personne à mobilité réduite (oui/non)) ; nécessite un aménagement des conditions de détention du fait d’un problème médical ou d’un handicap (oui/non ; si oui le(s)quel(s)) ; prescription d’une consultation spécialisée (oui/non ; si oui laquelle ou lesquelles) ; prescription d’un traitement pour une
pathologie aiguë (oui/non) ; prescription d’examens complémentaires (type d’examen) ; nécessite une extraction d’urgence (oui/non ; si oui pour quel motif).)
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont :
le personnel (médecin ou infirmièr(e)) habilité de l’unité sanitaire de l’établissement pénitentiaire prenant en charge la personne concernée ; 
la chargée d’études habilitée au sein de l’ORS Auvergne-Rhône-Alpes.
La Commission considère que les catégories de destinataires n’appellent pas d’observation.
Sur l’information et les modalités d’exercice des droits
Les personnes concernées sont informées de la manière suivante :
Lors de la visite médicale d’entrée dans l’établissement, le médecin en charge du patient l’informe du traitement des données le concernant. 
La note d’information est conforme aux exigences précisées à l’article 32 de la loi informatique et libertés.
La personne concernée peut exercer ses droits d’accès, de rectification ou d’opposition au traitement de ses données à caractère personnel auprès de la chargée d’étude habilitée de l’ORS Auvergne-Rhône-Alpes.
La Commission rappelle que l’information délivrée doit-être adaptée à la personne concernée. Si la personne concernée est mineure, l’information doit être délivrée au titulaire de l’exercice de l’autorité parentale.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
La Commission constate que la politique de mots de passe prévue par le responsable de traitement n'est pas conforme à sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, en ce qu'elle ne prévoit pas que le responsable de traitement permette à la personne concernée de procéder elle-même au changement de son mot de passe. La Commission invite donc le responsable de traitement à revoir sa politique afin d'être en conformité avec sa doctrine et d'authentifier de manière fiable les utilisateurs du traitement.
L’ORS Auvergne-Rhône-Alpes saisit les données de manière anonyme dans l’outil mis en place à cet effet.
La Commission rappelle que l'anonymisation de l’extraction des données sur fichiers Excel doit être effective. Il conviendra donc de démontrer la conformité de la solution et des techniques d'anonymisation mises en œuvre, aux trois critères définis par l'avis du groupe de l'article 29 n° 05/2014, et de transmettre cette étude à la Commission. 
À défaut, si ces trois critères ne peuvent être réunis, il conviendra de mettre en œuvre des conditions de sécurité effective, de haut niveau et de nature à garantir la confidentialité des données, et notamment des mesures complémentaires  afin de limiter les risques de ré-identification des personnes, les interrogations ciblées et le niveau de détail des données fournies.
La Commission rappelle en outre au responsable de traitement la nécessité de mettre en place un système de journalisation permettant de conserver, sur une durée de six mois (hors contraintes légales spécifiques), une trace des opérations de consultation, création et modification des données. 
La Commission considère également que la nature de ces données exige que celles-ci fassent l'objet de mesures de chiffrement à l'état de l'art tant au niveau des fichiers, des bases de données que des sauvegardes.
Sur les autres caractéristiques du traitement
Les données informatisées et les questionnaires papiers seront détruits dès la publication des résultats.
Autorise, conformément à la présente délibération, l’observatoire régional de la santé Auvergne-Rhône-Alpes à mettre en œuvre le traitement susmentionné.
Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés, 
Saisie par la société AVIVA ASSURANCES une demande d’autorisation concernant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif de détection de fuites d’information destiné à assurer la sécurité des systèmes d’information ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de Madame Marie-France MAZARS, commissaire, et après avoir entendu les observations de Madame Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur la finalité
La Commission nationale de l’informatique et des libertés a été saisie par la société AVIVA ASSURANCES, filiale du groupe AVIVA FRANCE, sur le fondement de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, d’une demande d’autorisation préalablement à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif de détection de fuites d’information destiné à assurer la sécurité des systèmes d’information.
Au titre de ses obligations, notamment au regard de l’article 34 de la loi du 6 janvier 1978 modifiée, la société AVIVA ASSURANCES est tenue de garantir la sécurité des données qui lui sont confiées.
Afin de détecter et de prévenir la perte de ces données, ainsi que leur diffusion accidentelle ou malveillante, un outil dit de « Data Loss Prévention (DLP) » analysera les réseaux internes de la société, les postes de travail professionnels ainsi que les points de sortie des réseaux internes (envoi de courriels, impression,  téléchargement, clefs USB, etc.)
Seules les données préalablement définies, qui exigent un haut niveau de sécurité, appelées données cibles, seront recherchées par cet outil. En l’espèce, les données cibles sont des numéros d’inscription des personnes au répertoire national d’identification des personnes physiques (numéros de sécurité sociale).
En cas de détection d’une transmission de données contenant des données cibles, la société AVIVA ASSURANCES s’engage à informer l’utilisateur par l’affichage d’une fenêtre d’avertissement, qu’il s’apprête à réaliser une opération soumise à restriction qui fera l’objet d’une analyse par les personnes habilitées en cas de persistance. 
Si l’utilisateur décide de ne pas poursuivre son action, l’outil DLP ne gardera aucune trace de cet événement.
En cas de persistance de l’action, l’outil DLP générera automatiquement un extrait des données concernées, contenant quinze caractères répondant aux caractéristiques du NIR qui précèdent et qui suivent les données cibles. Cet extrait sera par la suite adressé aux personnes chargées d’étudier la légitimité de l’opération effectuée, dans le respect des procédures internes et de la législation applicable.
En complément de l’analyse de la légitimité des opérations effectuées sur les données cibles, l’outil DLP permettra également, en cas de découverte de pratiques de gestion de données non sécurisées, d’apporter les mesures correctives nécessaires pour éviter leur réitération.
La Commission considère que les finalités poursuivies par la société AVIVA ASSURANCES sont déterminées, explicites et légitimes.
Elle estime qu’il y a lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR).
A ce titre, elle rappelle que les traitements dit de DLP relèvent, en principe, de la procédure de déclaration normale, sauf lorsqu’ils portent sur des données dont le traitement doit être autorisé par la Commission tel que prévu par l’article 25 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données à caractère personnel collectées par l’outil DLP sont relatives à :
des données d’identification (adresse courriel, numéro de téléphone) ;
aux numéros d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR).
L’outil DLP est configuré pour rechercher et sécuriser uniquement les données qui, en raison de leur nature, exigent un haut niveau de sécurité.
En l’espèce, les données cibles recherchées comprennent uniquement des numéros de sécurité sociale.
Par ailleurs, pour réduire le nombre de faux incidents, le responsable de traitement a décidé qu’une alerte sera émise dès qu’un flux contenant quinze caractères répondant aux caractéristiques du NIR est détecté.
Les données stockées dans les boîtes de réception ou les dossiers des employés ne sont pas analysées par l’outil DLP tant qu’elles ne font pas l’objet d’une transmission. 
En cas de transmission, les courriers électroniques et les fichiers identifiés par leurs émetteurs comme étant « privés » sont également exclus du champ d’application du présent traitement, ce qui apporte une garantie quant au respect du secret des correspondances privées.
La Commission considère que le traitement des données ci-dessus déterminées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur les destinataires
Les données du présent traitement seront transmises pour instruction :
aux personnels habilités du service chargé de la sécurité du contrôle (GIE) du groupe AVIVA FRANCE ;
aux personnels habilités de la Direction Sécurité et Risques du groupe AVIVA FRANCE.
En cas de détection d’une anomalie par ces personnes, les données pourront être transmises :
aux personnels habilités du service des ressources humaines de la société AVIVA ASSURANCES ;
aux responsables hiérarchiques ;
à la maison mère du groupe AVIVA FRANCE (PLC - GROUPE INVESTIGATION AND FORENSIC AUDIT).
La Commission considère que ces destinataires présentent un intérêt légitime à connaître des données collectées par l’intermédiaire de l’outil DLP.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions d’information sur le site intranet de la société AVIVA ASSURANCES.
La société AVIVA ASSURANCES s’engage également à mettre en place d’autres modalités d’information, notamment l’affichage d’une fenêtre d’avertissement de type « Pop-up », en cas de détection d’une opération soumise à restriction.
Les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de la Direction Sécurité du groupe AVIVA FRANCE - 80 avenue de l’Europe - 92270 Bois-Colombes.
Sous réserve des précédentes observations, la Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs.
Les échanges de données sont sécurisés par l’utilisation d’un procédé de chiffrement (AES 128 bits).
Une fonctionnalité de journalisation des opérations permet d’identifier l’utilisateur à l’origine d’une opération.
Les interventions de maintenance sont enregistrées dans une main courante.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.