AgentPublic/cnil huggingface dataset:
C'est dans ces conditions que le centre Oscar Lambret souhaite améliorer les performances de l'identification biométrique des patients en ayant recours à un dispositif bimodal permettant l'acquisition simultanée de l'empreinte digitale et du réseau veineux du doigt, stockés dans une base centralisée. Il souhaite conduire une nouvelle expérimentation de ce dispositif pendant un an pour en apprécier la fiabilité et le service rendu pour la sécurité des patients. Il souhaite, enfin, étendre le périmètre de l'expérimentation initiale aux patients hospitalisés et de moins de 15 ans qui en sont exclus. 
Appréciation du traitement au regard de la loi du 6 janvier 1978 modifiée 
En application de l'article 6-3° de la loi du 6 janvier 1978 modifiée, il appartient à la Commission de déterminer si le traitement projeté porte sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission estime que la légitimité du recours à la biométrie dépend avant tout de la fiabilité de l'identification biométrique de la personne malade et de sa capacité à limiter, voire à supprimer, les erreurs d'identification des patients.
Elle constate que la fiabilité de l'identification biométrique des personnes malades par le réseau veineux a été mise en doute par le Chef du Département Universitaire de Radiothérapie du Centre Oscar Lambret et Président de la Société française de radiothérapie, lors de son audition par la CNIL en janvier 2010. 
C'est d'ailleurs cet argument qui avait conduit la Commission à autoriser l'utilisation d'un dispositif à biométrie  avec traces  alors qu'il aurait pu être préférable d'utiliser un dispositif  sans trace  du type réseau veineux du doigt. On peut, dès lors, s'interroger sur l'amélioration susceptible d'être apportée par le dispositif examiné par la CNIL. 
Cependant, la Commission reconnaît qu'il n'est pas exclu, toutefois, que la combinaison des deux systèmes soit de nature à compenser les défaillances d'une biométrie par une autre. 
Dès lors, dans la mesure où le dispositif examiné pourrait être susceptible d'apporter des garanties supplémentaires dans le processus d'identification des patients, de nature à les rassurer et à faciliter le travail du personnel soignant, la Commission admet l'intérêt qui s'attache à l'expérimentation du dispositif examiné.
Elle estime toutefois que pour permettre une comparaison utile des dispositifs testés, l'expérimentation doit être menée à périmètre constant et ne pas être étendue à d'autres catégories de patients.
La Commission rappelle en outre que : - Le dispositif est subordonné au consentement éclairé et préalable du patient ou des personnes habilitées par la loi à le représenter. A cet égard, la CNIL demande que la note d'information, ainsi que le formulaire de recueil du consentement, soient remis au patient par le service d'accueil de l'hôpital à l'appui d'une information orale. Elle demande également que la note présente clairement le nouveau dispositif biométrique expérimental, précise qu'il existe un système alternatif d'identification des patients et qu'un refus de participer à l'expérimentation sera sans conséquence sur la prise en charge médicale ou le délai d'attente. Elle demande, enfin, qu'un délai de réflexion suffisant soit laissé au patient préalablement au recueil de son accord.- La durée de conservation des données biométriques doit être limitée à la durée de la prise en charge thérapeutique du patient. - Le système doit être paramétré de façon à garantir la sécurité des patients. La Commission estime donc nécessaire que le Centre Oscar Lambret paramètre le système de sorte que le taux de fausses acceptations soit strictement inférieur au taux d'erreurs constaté pour les procédures uniquement  manuelles . La CNIL recommande à cet égard d'utiliser un taux d'une fausse acceptation pour 100 000 identifications sur les terminaux.
D'autres pistes peuvent également être explorées comme le fait de comparer les données biométriques du patient à un sous-ensemble de la base de données (par exemple, les patients ayant rendez-vous dans le créneau horaire concerné) pour réduire le taux de mauvaises identifications. - Un contrôle automatique d'identité est effectué à l'aide du système bimodal, mais il faut que ce soit le manipulateur qui, in fine, prenne la décision de lancer le traitement après un contrôle humain de l'identité du patient.Il importe, en effet, de veiller à ce que la technique vienne à l'appui de l'organisation du service et de la vigilance du personnel sans s'y substituer. C'est pourquoi le Centre Oscar Lambret doit conférer aux personnels soignant un rôle premier pour garantir la sécurité de leur activité. Il lui appartient donc de former et de sensibiliser les manipulateurs sur ce point.- Enfin, la Commission rappelle sa demande précédemment formulée d'obtenir, à l'appui de toute demande de généralisation, un bilan précis et complet des résultats de l'expérimentation du dispositif portant, en particulier, sur la fiabilité de la reconnaissance biométrique des personnes malades et l'impact, positif ou négatif, du dispositif sur la sécurité des patients. Elle demande, en outre, au Centre Oscar Lambret, une étude sur les causes d'erreur d'identification des patients au sein du centre permettant, ainsi, une appréciation comparée des moyens d'  identitovigilance  traditionnels et biométriques
expérimentés.
Dans ces conditions, la Commission autorise le Centre Oscar Lambret à mettre en œuvre, à titre expérimental, le traitement de données à caractère personnel présenté pendant une durée de un an à compter de la présente délibération, dans les conditions définies par elle dans la présente délibération et dans sa délibération précitée du 11 février 2010.
La Présidente
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministre de la justice d'un projet de décret en Conseil d'Etat, modifiant le décret du 20 octobre 2005 pris pour l'application de la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu M. Alex Türk, président, en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie, le 16 juin 2006, par le ministre de la justice du décret pris pour l'application de la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. L'article 71 de ce dernier texte prévoit en effet la consultation de la CNIL préalablement à l'examen en Conseil d'Etat.En préambule, la commission observe que le projet de décret qui lui est soumis comporte, en particulier, un chapitre Ier qui modifie et complète le décret du 20 octobre 2005 par un ensemble de dispositions entrant dans le détail de son organisation, de son fonctionnement et de ses procédures.Or, comme elle l'a déjà souligné dans sa délibération du 24 mars 2005 portant sur le premier projet de décret d'application de la loi du 6 août 2004, l'article 13 de la loi du 6 janvier 1978 modifiée dispose que  La commission établit un règlement intérieur. Ce règlement fixe les règles relatives à l'organisation et au fonctionnement de la commission. Il précise notamment les règles relatives aux délibérations, à l'instruction des dossiers et à leur présentation devant la commission.  Il convient de rappeler que l'article 8 de la loi de 1978, dans sa version antérieure à la loi du 6 août 2004, se bornait à prévoir que la commission établit  son règlement intérieur .Certes
l'article 71 de la loi du 6 janvier 1978 modifiée prévoit que  des décrets en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, fixent les modalités d'application de la présente loi.  Il semble néanmoins à la commission que les termes de l'article 13 auraient pu conduire à limiter plus étroitement l'intervention du pouvoir réglementaire dans des matières que le législateur a expressément renvoyées au règlement intérieur de la CNIL, autorité administrative indépendante.Dès lors, la commission demande que les modifications suivantes, présentées sous forme d'amendements dans la présente délibération, soient apportées au texte qui lui a été soumis.
Chapitre Ier : Dispositions modifiant et complétant le décret n° 2005-1309 du 20 octobre 2005
Article 1er
Rédiger ainsi cet article :Il est ajouté à l'article 4 du décret du 20 octobre 2005 susvisé les alinéas suivants : Sauf lorsqu'elle statue en application des troisième et cinquième alinéas de l'article 16 de la loi du 6 janvier 1978 susvisée, et sauf urgence, les projets de délibération et, le cas échéant, les rapports y afférant relatifs aux dossiers inscrits à l'ordre du jour d'une séance doivent parvenir au commissaire du Gouvernement six jours au moins avant la date de la séance. Le commissaire du Gouvernement peut consulter dans le même délai, sur place et sur pièces, les dossiers de formalités inscrits à l'ordre du jour. 
Exposé des motifs
En 2005, la CNIL a adopté 317 délibérations (1) en séance plénière et bureau, soit une augmentation de plus de 200 % par rapport à 2004. Sur une période plus longue, cette croissance de l'activité de la commission est encore plus spectaculaire puisque le nombre de ses délibérations a crû de 570 % entre 2003 et 2006, passant de 52 à 350 délibérations en 2006 (estimation).Compte tenu de cet accroissement considérable résultant des nouveaux régimes de formalités préalables introduits par la loi du 6 août 2004 et d'une forte activité législative dans des domaines intéressant la CNIL, la légitime amélioration des délais de communication des dossiers au commissaire du Gouvernement que poursuit cet article ne doit pas, pour autant, porter atteinte à la maîtrise de son ordre du jour par la commission.Il est donc proposé que le délai de transmission au commissaire du Gouvernement des dossiers inscrits à l'ordre au jour soit de six jours avant la date de la séance (contre huit jours dans le projet de décret) tout en prévoyant une dérogation en cas d'urgence. En outre, l'examen d'un dossier, par la commission, voire l'adoption d'une délibération, ne sauraient être subordonnés à la transmission des dossiers au commissaire du Gouvernement qui constitue une règle de stricte procédure.Par ailleurs, il convient de définir plus précisément, au premier alinéa, la notion de  dossier  en se référant aux seuls  projets de délibération et le cas échéant rapport y afférant .Enfin, afin d'améliorer
l'information du commissaire du Gouvernement, il est proposé qu'il puisse consulter, sur place et sur pièces, les dossiers de formalités inscrits à l'ordre du jour.
Article 2
Rédiger ainsi cet article :Après l'article 6 du décret du 20 octobre 2005 susvisé, il est créé un article 6-1 ainsi rédigé : Art. 6-1. - I. - La Commission nationale de l'informatique et des libertés, saisie dans le cadre du a du 4° de l'article 11 de la loi du 6 janvier 1978 susvisée, se prononce dans le délai de deux mois à compter de la date du jour de réception de la demande d'avis du Gouvernement. Ce délai peut être prolongé d'un mois sur décision du président de la CNIL lorsque la complexité du projet de loi ou du décret le justifie.En cas d'urgence, ce délai peut être ramené à un mois à la demande du Gouvernement.II. - La commission, saisie dans le cadre du d du 2° de l'article 11 de la loi précitée, se prononce dans le délai de deux mois à compter de la date du jour de réception de la demande. Ce délai peut être prolongé d'un mois sur décision du président de la CNIL lorsque la complexité de la demande d'avis le justifie. 
Exposé des motifs
A la différence des procédures de demandes d'avis prévues au titre des articles 26 et 27 concernant les fichiers communément qualifiés de  souveraineté , la loi ne prévoit aucune règle précise déterminant les modalités selon lesquelles la CNIL doit rendre son avis sur les projets de lois ou de décrets relatifs à la protection des personnes.
Or, le projet de décret, nonobstant le silence de la loi, prévoit que la commission doit se prononcer dans un délai d'un mois à compter de la date du jour de réception de la demande. Ce délai est, à l'évidence, trop bref.C'est pourquoi, il est proposé de s'inspirer de la procédure d'instruction prévue pour les demandes d'avis relevant des articles 26 et 27 de la loi en proposant que la commission dispose d'un délai de 2 mois, sachant qu'en cas d'urgence ce délai pourrait être limité à un mois à la demande du Gouvernement, mais qu'en cas de complexité du texte, il pourrait être prolongé d'un mois sur décision du président de la CNIL et porté à 3 mois.Par ailleurs il convient de supprimer le régime d'avis favorable implicite prévu au deuxième alinéa de cet article. En effet, dans la mesure où il s'agit de matières concernant les libertés individuelles, un décret ne peut prévoir un tel régime de décision favorable implicite, qui relève de la seule compétence du législateur, conformément aux dispositions de l'article 22 de la loi du 12 avril 2000 relative aux droits des citoyens dans leurs relations avec l'administration.En ce qui concerne l'examen des demandes d'avis des pouvoirs publics et des demandes de conseil présentées en application de l'article 11 (2°, d) il est également proposé qu'en cas de complexité de la demande le délai de deux mois puisse être prolongé sur décision du président de la CNIL, comme le prévoit d'ores et déjà l'article 28-I.
Article 3
Rédiger ainsi cet article : I. - Aux troisième et sixième alinéas de l'article 8, aux premiers alinéas des articles 15, 28 et 30, aux articles 42 et 45, au premier alinéa de l'article 53, au deuxième alinéa de l'article 66, au dernier alinéa de l'article 73, au premier alinéa de l'article 75, à l'article 76 et au dernier alinéa de l'article 78 du décret du 20 octobre 2005 susvisé, ajouter après les mots : "lettre recommandée avec demande d'avis de réception les mots : "ou lettre remise contre signature.II. - A l'article 55 du même décret, ajouter après les mots : "lettre recommandée avec accusé de réception les mots : "ou lettre remise contre signature. III. - Au second alinéa de l'article 86 du même décret, ajouter après les mots : "sous pli recommandé sans avis de réception les mots : "ou par lettre remise contre signature. 
Exposé des motifs
Le projet de décret prévoit de remplacer systématiquement la procédure de la lettre recommandée avec accusé de réception par celle de  remise contre signature . Cette proposition relève exclusivement de l'organisation interne du travail de la commission et, partant, nullement du pouvoir réglementaire.Il est donc préférable, car plus souple et plus pragmatique, de laisser le choix entre plusieurs procédures d'envoi : RAR, remise au secrétariat contre signature, accusé de réception électronique. Tel est l'objet de la rédaction proposée,
Article 4
Rédiger ainsi le II de l'article 4 : II. - Les demandes d'avis portant sur les traitements mentionnés dans le décret en Conseil d'Etat pris en application du dernier alinéa du I de l'article 30 de la loi précitée comportent au minimum les mentions suivantes :1° L'identité et l'adresse du responsable du traitement ;2° La ou les finalités du traitement, s'il y a lieu, la dénomination du traitement, ainsi que la description générale de ses fonctions ;3° Le cas échéant, les interconnexions, les rapprochements ou toutes autres formes de mise en relation avec d'autres traitements ;4° Les catégories de personnes concernées par le traitement ;5° La durée de conservation des informations traitées ;6° Le ou les services chargés de mettre en oeuvre le traitement ;7° Les catégories de personnes qui, à raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées ;8° Les destinataires ou catégories de destinataires habilités à recevoir communication des données ;9° Le service auprès duquel s'exerce le droit d'accès visé à l'article 41 de la loi du 6 janvier 1978 susvisée, ainsi que les mesures prises pour faciliter l'exercice de ce droit. 
Exposé des motifs
L'article 13 de la loi du 23 janvier 2006 contre le terrorisme a complété l'article 30 de la loi du 6 janvier 1978 par un alinéa restreignant, pour certains traitements intéressant la sûreté de l'Etat, la défense ou la sécurité publique fixés par décret en CE pris après avis de la CNIL, les informations appelées à figurer dans les demandes d'avis soumises à la commission.Cependant, le décret pris en application de l'article 30 doit fixer la  liste  limitative des traitements intéressant la sûreté de l'Etat, la défense ou la sécurité publique soumis à cette restriction d'informations.Il convient donc de compléter le II de l'article 4 pour indiquer expressément qu'il ne s'agit que des traitements mentionnés dans le décret en Conseil d'Etat pris en application du dernier alinéa du I de l'article 30 de la loi précitée, et non l'ensemble des traitements de  souveraineté  prévus par cet alinéa. A cet égard, la commission prend acte que, selon les informations communiquées par le ministère de la justice, un projet de décret établissant cette  liste  serait en cours d'élaboration et devrait lui être prochainement soumis.Enfin, pour permettre à la commission d'exercer pleinement les missions que lui a confiées le législateur, il importe qu'elle soit suffisamment informée. C'est pourquoi, il est proposé que les caractéristiques essentielles du fichier, notamment les fonctions générales du traitement, la durée de conservation, les catégories de personnes concernées, figurent parmi les
informations devant, au minimum, être transmises à la commission.
Articles 7 et 8
Supprimer ces articles.
Exposé des motifs
Les articles 7, 8 et 9 modifient et précisent les dispositions actuelles du décret du 20 octobre 2005 concernant les modalités d'exercice du droit d'accès indirect aux fichiers intéressant la sécurité publique, la sûreté de l'Etat et la défense nationale.Ainsi l'article 7 permettrait au ministère de l'intérieur (ou au ministère de la défense), en cas de demande nécessitant  des investigations complexes , de proroger d'un mois le délai de trois mois qui lui est imparti pour traiter les demandes transmises par la CNIL dont le délai d'instruction, de quatre mois, serait alors porté à cinq mois.Pour sa part, l'article 8, consacré aux fichiers de police judiciaire prévus au titre de l'article 21 de la loi du 18 mars 2003 (STIC et JUDEX), allongerait encore les délais d'instruction qui seraient portés à 6 mois (voire 7 mois en cas d'investigations complexes) afin de permettre aux responsables de ces fichiers de saisir le procureur de la République pour que ce dernier vérifie la fiche, la mette éventuellement à jour et donne son accord pour sa communication (conformément aux décrets régissant ces fichiers [2] et au relevé de conclusions établi avec la CNIL).Or, il convient de souligner que les délais de réponse des services de police judiciaire sont actuellement de l'ordre de plusieurs mois, voire d'un an et plus.Au 1er septembre 2006, les services de la CNIL étaient ainsi en attente de la réponse des services de police judiciaire du ministère de l'intérieur pour 470 dossiers
datant de 2005 et pour 45 datant de 2004. À ces chiffres, il convient d'ajouter les 600 dossiers reçus par la CNIL depuis le 1er janvier 2006 et l'attente de la confirmation par les services de la police nationale, d'une mise à jour ou d'une suppression des informations pour 38 dossiers, de la suite judiciaire et de l'accord de communication pour 218 dossiers, et de l'accord de communication pour 218 autres dossiers.Or, les demandes de droit d'accès indirect concernent de nombreuses personnes en situation précaire qui se sont vu refuser une embauche, voire licencier, en raison de leur inscription dans ces fichiers. La vérification de leur éventuel signalement au STIC et du contenu de leur fiche doit donc être réalisée dans les plus brefs délais.Dès lors, l'allongement potentiel à 7 mois des délais prévus au titre des articles 7 et 8 ne paraît pas souhaitable, c'est pourquoi leur suppression est demandée.
Article 11TITRE II : DES OBLIGATIONS INCOMBANT AUX RESPONSABLES DE TRAITEMENTS ET DES DROITS DES PERSONNESChapitre Ier : L'obligation d'information incombant aux responsables de traitements
Article 90
Rédiger ainsi le premier alinéa de cet article : Le responsable du traitement avise les personnes auprès desquelles sont recueillies des données à caractère personnel des informations énumérées au I de l'article 32 de la loi du 6 janvier 1978 susvisée directement sur le support de collecte ou, à défaut, sur un document préalablement porté à leur connaissance en caractères lisibles. En application du 6° du I du même article, il les informe également, dans les mêmes conditions, des coordonnées du service compétent auprès duquel elles peuvent exercer leurs droits d'opposition, d'accès et de rectification. Lorsque la collecte des données est opérée oralement à distance, il doit porter oralement ces informations à la connaissance des intéressés, en leur indiquant qu'ils peuvent, sur simple demande, recevoir postérieurement ces informations par écrit. 
Exposé des motifs
Le projet de décret prévoit que le document portant les informations de l'article 32-I peut être  remis  à la personne concernée. Or, cette rédaction fait obstacle à ce que l'information soit assurée par voie d'affichage, à l'instar de celle pratiquée dans les cabinets médicaux ou les agences commerciales.En outre, la notion de collecte  à distance  est équivoque : vise-t-on les collectes par téléphone, par internet et par coupon-réponse ou seulement certaines de ces modalités ? S'agissant des collectes opérées par internet ou par coupon-réponse, la première partie de l'alinéa 1 de cet article semble pouvoir s'appliquer puisqu'il existe un support écrit de collecte. Cela ne concernerait donc que la collecte par téléphone, orale et à distance. La proposition de rédaction clarifie ces différents points.
Article 91
Rédiger ainsi cet article et supprimer son dernier alinéa : Les informations figurant au 7° du I de l'article 32 de la loi du 6 janvier 1978 susvisée que le responsable du traitement communique, dans les conditions prévues à l'article 90, à la personne auprès de laquelle des données à caractère personnel sont recueillies, sont les suivantes :1° Le ou les pays d'établissement du destinataire des données dans les cas où ce ou ces pays sont déterminés lors de la collecte des données ;2° La nature des données transférées ;3° La finalité du transfert envisagé ;4° La ou les catégories de destinataires des données :5° Le niveau de protection offert par le ou les pays tiers, dans les cas où les personnes concernées en auraient fait la demande. 
Exposé des motifs