AgentPublic/cnil huggingface dataset:
(demande d’autorisation n°1458972)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée et notamment ses articles  8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié ;
Vu le code de la santé publique, et notamment ses articles L.1161-5 et R.1161-8 et suivants ;
Sur le rapport de Monsieur Jean MASSOT, commissaire et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes 
La Commission a été saisie d’une demande d’autorisation présentée par la société ACTICALL relative à la mise en œuvre d’un programme d’apprentissage portant sur le médicament COPAXONE exploité par laboratoire TEVA PHARMA ;
Sur la finalité du traitement
Le traitement a pour finalité la mise en œuvre d’un programme d’apprentissage portant sur le médicament COPAXONE exploité par le laboratoire TEVA PHARMA. Ce programme est destiné aux patients souffrant d’une sclérose en plaques.
La Commission estime que la finalité du traitement est déterminée, explicite, et légitime au sens de l’article 6 de la loi du 6 janvier 1978 modifiée. 
Elle considère que ce programme répond à l’intérêt public défini par les articles définis par les articles 1161-1 et suivants du CSP.
Sur la procédure applicable
La demande d’autorisation s’inscrit dans le cadre de l’application combinée des articles 8-IV° et 25-I-1° de la loi du 6 janvier 1978 modifiée ainsi que des articles L.1161-1 et R.1161-24 du code de la santé publique ;
Sur les catégories de données à caractère personnel traitées 
Dans le cadre du programme d’apprentissage les données faisant l’objet d’un traitement sont celles relatives aux patients qui s’inscrivent à un programme. Elles portent sur l’identité, la date de naissance, les coordonnées (téléphones, adresse) ainsi que sur des informations relatives à la santé (antécédents et traitements médicaux…).
Les données relatives aux médecins traitants et aux médecins prescripteurs peuvent également faire l’objet d’un traitement (identité, coordonnées).
La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur les mesures d’information mises en œuvre
La Commission prend acte de ce que le consentement du patient à participer au programme est recherché par le médecin prescripteur du médicament faisant l’objet du programme. Lorsque le patient manifeste son accord, le formulaire de consentement écrit, dont le patient conserve une copie, est adressé par le médecin prescripteur aux professionnels de santé employés par l’opérateur conformément à l’article R.1161-23 du code de la santé publique.
Ce même article dispose que « Lorsque le patient prend contact avec le professionnel de santé mentionné sur le formulaire de consentement, le médecin traitant est informé par ce dernier de l’inscription de son patient ». La Commission  relève que le programme mis en œuvre par la société ACTICALL prévoit qu’à réception du formulaire de consentement adressé par le médecin traitant, les professionnels de santé de l’opérateur prennent l’initiative de contacter le patient. La Commission observe que les formulaires de consentement à l’adhésion au programme prévoient que  l’acceptation du patient de participer au programme emporte également acceptation à être contacté par l’opérateur.
A cet égard, la Commission rappelle à l’opérateur qu’il doit se conformer aux dispositions de l’article R.1161-23 précité. A défaut, il conviendrait, a minima, de permettre au patient, notamment par le biais d’une case à cocher, d’exprimer son choix et ainsi d’accepter ou non d’être contacté par l’opérateur au moment où il consent à participer au programme.
En outre, la Commission invite l’opérateur à compléter les notes d’information et de consentement à destination des patients, des médecins prescripteurs et médecins traitants afin d’y faire figurer les mentions relatives aux droits d’accès, de rectification et d’opposition prévues par les articles 32 et suivants de la loi du 6 janvier 1978 modifiée.
Sur la sécurité des données
Le contrôle d’accès et les habilitations
L’opérateur mettant en œuvre le programme d’apprentissage doit mettre en place des moyens de vérifications des habilitations accordées au personnel qu’il emploie.
Il doit veiller, en particulier, à ce que l’accès aux données de santé à caractère personnel, couvertes par le secret professionnel, soit limité aux seuls personnels en charge du programme d’apprentissage pour les patients qu’ils suivent effectivement.
Les habilitations délivrées au personnel doivent également être revues régulièrement afin notamment de supprimer les autorisations d’accès dès le départ d’un collaborateur.
La Commission observe que les professionnels de santé employés par la société ACTICALL, en qualité d’opérateur, bénéficient d’habilitations d’accès aux données du programme d’apprentissage auquel ils se consacrent. La Commission prend acte de ce qu’à l’issue de son inscription au programme, le patient  est pris en charge par deux infirmiers. Ainsi, seuls ces infirmiers ainsi que le médecin ou pharmacien responsable du programme peuvent accéder aux données du patient. La Commission rappelle que les habilitations doivent être révoquées dès lors qu’un professionnel de santé ne prend plus en charge un patient.
La Commission relève que les accès à l’application se font par l’utilisation d’une combinaison de login / mot de passe individuels dont la complexité est conforme à ses recommandations : 2 types de caractères parmi majuscules, minuscules, chiffres et caractères spéciaux, d’une longueur de 8 caractères avec impossibilité d’utiliser le dernier mot de passe. En outre, il est prévu que les mots de passe par défaut doivent être modifiés dès la première connexion.
Toutefois, la Commission rappelle que l’authentification des professionnels de santé par login/mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret n°2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. La Commission rappelle que l’opérateur doit s’y conformer. 
La traçabilité
La Commission relève que la société ACTICALL met en place une traçabilité des accès aux données en consultation, création, modification et suppression auxquels sont associés la date et l’heure d’accès, l’identifiant du poste de travail et de l’utilisateur ainsi que la référence des données accédées. Elle estime cependant nécessaire la mise en œuvre systématique de l’analyse des traces enregistrées.
En outre,  la Commission rappelle que les personnels concernés doivent être informés de la mise en œuvre de cette procédure de traçabilité.
La conservation des données
La Commission relève que les données à caractère personnel sont conservées pendant 15 mois pour les données nominatives et cinq ans pour les autres données. Elle rappelle que la durée de conservation des données doit être adéquate avec la finalité du traitement et estime dès lors qu’elles ne devraient être conservées que pendant la durée d’inscription du patient au programme. 
La Commission rappelle qu’à l’issue de la participation d’un patient à un programme, seules des données anonymisées peuvent être conservées par l’opérateur, en application de l’article R.1161-24 du code de la santé publique.
La Commission observe, en outre, que ce même article prévoit que l’opérateur ne peut pas sous-traiter tout ou partie des opérations prévues par le programme d’apprentissage.
Elle estime cependant que ces dispositions ne font pas obstacle à l’hébergement, dans des conditions conformes à l’article L. 1111-8 du code de la santé publique relatif à l’hébergement des données de santé.
S’agissant de données de santé à caractère personnel recueillies ou produites à l’occasion des activités de prévention, de diagnostic ou de soins, celles-ci doivent être hébergées auprès d’un hébergeur agréé, conformément aux dispositions de l’article L.1111-8 du code de la santé publique. Ces données doivent  être sauvegardées et archivées de manière à assurer leur pérennité et leur confidentialité.
La Commission relève que les données sont hébergées auprès de la société Orange Business Services  hébergeur de données à caractère personnel agréé. 
La Commission juge donc ces mesures satisfaisantes. Elle estime cependant que conformément aux dispositions de l’article L.1111-8 précité, le consentement exprès des personnes doit être obtenu. Dès lors, les notes d’information et les formulaires de consentement doivent être complétés en ce sens.
S’agissant du chiffrement, la Commission observe que l’opérateur n’y a pas recours. Elle estime cependant nécessaire qu’un chiffrement conforme aux règles de l’art soit mis en œuvre. En outre, l’administrateur de la base ne devra pas pouvoir accéder aux données en clair.
L’anonymisation
L’article R.1161-23 du code de la santé publique issu du décret n°2010-1031 du 31 août 2010 relatif aux programmes d’apprentissage, prévoit que le médecin ou le pharmacien responsable du programme, employé à cette fin par l’opérateur, doit procéder à l’anonymisation des informations avant de les transmettre à l’opérateur qui l’emploie et à l’entreprise exploitant le médicament faisant l’objet du programme.
Les fiches d’apprentissage qui consignent l’ensemble des échanges intervenus entre les professionnels de santé chargés du programme et les patients inscrits doivent donc faire l’objet d’une anonymisation avant transmission à l’opérateur ou au laboratoire pharmaceutique.
Les dispositions règlementaires du code de la santé publique prévoient également que les professionnels de santé en charge du programme et de sa mise en œuvre n’assurent aucune mission à caractère commercial.
La Commission prend acte de ce que le médecin responsable du programme d’apprentissage employé par la société ACTICALL, n’exerce pas de fonctions qui seraient incompatibles avec les exigences des dispositions règlementaire relatives aux programmes d’apprentissage.  
Du point de vue technique, la Commission prend acte de ce que l’opérateur dispose d’un outil de reporting permettant de générer des rapports personnalisés sous forme de tableur et de définir précisément ce qui est communiqué à l’opérateur et au laboratoire. Cet outil est paramétré préalablement de sorte que le médecin ou le pharmacien responsable du programme ne puisse modifier les rapports ainsi extrait. Dès lors, seules des données agrégées seront transmises à l’opérateur et au laboratoire.
La Commission estime que cette mesure d’anonymisation est satisfaisante.
Les destinataires
La Commission observe qu’aux termes de la règlementation relative aux programmes d’apprentissage, seule l’équipe en charge d’un programme doit pouvoir accéder aux données à caractère personnel relatives aux patients qui y sont inscrits. En effet, la loi prévoit expressément l’interdiction d’accès des laboratoires aux données identifiantes et les dispositions règlementaires précisent que les données doivent être anonymisées par le médecin ou le pharmacien responsable du programme chez l’opérateur avant transmission à ce dernier et au laboratoire.
Les mesures telles que décrites ci-dessus satisfont à cette obligation. 
Les transferts de données 
Les transferts de données entre la société ACTICALL et le site d’hébergement s’opèrent de manière sécurisée par le biais d’un protocole SSL.
La Commission juge ces solutions satisfaisantes.
Autres observations relatives aux traitements
La Commission relève que les dispositions règlementaires relatives aux programmes d’apprentissage prévoient que l’entreprise exploitant le médicament ayant fait l’objet d’un programme d’apprentissage doit produire un bilan de suivi à la fin de chaque programme ou au plus tard au moment de son renouvellement (qui intervient au bout de trois ans à compter de l’autorisation de l’AFSSAPS). Dès lors, elle rappelle que ces bilans d’évaluation devront faire l’objet de formalités au titre du chapitre X de la loi du 6 janvier 1978 modifiée.
(
En conclusion, la Commission autorise la société ACTICALL à mettre en œuvre conformément au dossier transmis à la Commission et sous les conditions figurant dans la présente délibération un programme d’apprentissage portant sur le médicament COPAXONE exploité par le laboratoire TEVA PHARMA.
La Présidente,
Isabelle FALQUE-PIERROTIN
(demande d’autorisation n°1552919)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978  modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés;
Vu la demande d’autorisation présentée par la société SCAN-R d’un traitement de données à caractère personnel reposant sur la reconnaissance combinée du réseau veineux des doigts de la main et de l’empreinte digitale et ayant pour finalité le contrôle d’accès à des locaux professionnels par un dispositif biométrique ;
Après avoir entendu M. Emmanuel de GIVRY, Vice-Président, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par la société SCAN-R d’un traitement de données à caractère personnel reposant sur la reconnaissance combinée du réseau veineux des doigts de la main et de l’empreinte digitale et ayant pour finalité le contrôle d’accès à des locaux professionnels par un dispositif biométrique.
Il y a lieu de faire application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
La Commission rappelle que le réseau veineux des doigts ainsi que les empreintes digitales constituent des données biométriques qui sont produites par le corps et le désignent ou le représentent, lui et nul autre, de façon immuable. Toute possibilité de détournement ou de mauvais usage de ces données fait peser un risque majeur sur l’identité de la personne concernée.  A l’inverse de l’empreinte digitale, le réseau veineux du doigt, dans l’état actuel de la technique, ne présente pas la caractéristique de pouvoir être capturé et utilisé à l’insu des personnes concernées.
Le dispositif a pour objet de contrôler l’accès aux locaux de la société SCAN-R dont l’activité consiste en la distribution de solutions biométriques. Il est composé d’un seul et même lecteur qui permet de lire le réseau veineux d’un doigt d’une personne ainsi que l’empreinte digitale de ce même doigt de manière quasi simultanée. La reconnaissance biométrique utilisée est fondée sur la comparaison des informations d’empreinte digitale d’une part, et des informations de réseau veineux d’autre part. 
L’ensemble des opérations d’enrôlement est effectué sur le terminal lui-même et aucune donnée biométrique n’est transférée en dehors du terminal. Un ordinateur peut toutefois y être connecté via un logiciel spécifique pour gérer le terminal. Toutefois, aucune donnée biométrique n’est transférée à l’ordinateur.  
Le mécanisme d’enrôlement prévoit une vérification des gabarits enregistrés : si le gabarit enregistré ne comprend pas de données du réseau veineux ou d’empreinte digitale utilisables, le processus d’enrôlement doit être recommencé. Il n’est donc pas possible d’enregistrer un gabarit ne comprenant que l’empreinte digitale ou que le réseau veineux. 
Lors du contrôle d’accès, l’utilisateur appose son doigt sur le lecteur biométrique du boîtier. Une comparaison s’effectue alors entre l’empreinte digitale, le réseau veineux du doigt correspondant et les gabarits enregistrés dans la base de données située dans le boîtier.
La Commission constate que le dispositif souhaité par la société SCAN-R combinant deux biométries éprouvées – l’empreinte digitale et le réseau veineux – permet une identification efficace et rapide des personnes. Le recours au réseau veineux permet de s’assurer que l’empreinte digitale présentée est bien celle de la personne. Par conséquent, ce dispositif multimodal répond précisément à la finalité du contrôle d’accès qui est de vérifier que la personne qui se présente est bien la personne autorisée à accéder aux locaux. 
La Commission rappelle qu’elle est particulièrement vigilante sur le risque de dispersion des données biométriques, que son origine en soit accidentelle ou malveillante.  
En outre, la Commission constate que la société SCAN-R s’engage à suivre les préconisations du fabricant et relève ainsi que les mesures de sécurité suivantes apportent des garanties satisfaisantes quant à la protection des données personnelles : 
seuls les gabarits du réseau veineux du doigt et de l’empreinte digitale sont enregistrés et non une image ou une photographie du réseau veineux, et  ne permettent pas de recalculer l'image correspondante du réseau veineux du doigt ou de l’empreinte digitale ; 
afin d'en garantir la confidentialité, les gabarits enregistrés dans le dispositif sont stockés sous un format propriétaire et chiffrés en utilisant des algorithmes cryptographiques réputés forts et les clés de chiffrement sont spécifiques à chaque terminal ;
L’historique des accès aux locaux est conservé pendant trois mois maximum. 
Le destinataire des informations sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, les personnes habilitées de la société SCAN-R.
Les droits d’accès et de rectification s’exerceront auprès de la société SCAN-R, 4 du Monseigneur Thouvenin, 54000 NANCY. 
Dans ces conditions, la Commission autorise la société SCAN-R à mettre en œuvre le traitement de données à caractère personnel présenté.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, 
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement de données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu le code des postes et des communications électroniques, notamment ses articles L34 et L35-1 ; 
Vu le code électoral, notamment ses articles L28 et L330-4 ;
Vu le code général des collectivités territoriales ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Les partis et groupements à caractère politique, les élus et candidats à des fonctions électives recourent à des traitements de données à caractère personnel dans le cadre de leurs activités. Des fichiers sont ainsi mis en œuvre aux fins de gestion interne de ces organismes, de communication en direction de leurs membres ou de leurs contacts réguliers, de prospection (recherche de nouveaux adhérents, de soutiens, de financements, etc.) ainsi que de propagande (en vue d’une élection particulière). Pour des raisons de commodité, ces activités sont regroupées, dans la présente recommandation, sous l’appellation générique de « communication politique ».
Ces traitements de données personnelles comportent deux spécificités. Ils peuvent tout d’abord porter sur des données faisant apparaître, directement ou indirectement, les opinions politiques des personnes concernées, informations qui bénéficient d’un statut particulier au regard de la loi « Informatique et Libertés ». En effet, en application de l’article 8 de cette loi, le traitement de telles données est par principe interdit. Des exceptions sont toutefois expressément prévues, notamment en ce qui concerne certains fichiers mis en œuvre par des organismes politiques.
En outre, les citoyens se montrent très sensibles sur ces questions, qui relèvent de leur vie privée. La prospection politique, tout particulièrement, est souvent vécue de manière très intrusive par les personnes concernées, comme en témoignent les nombreuses plaintes instruites par la Commission en ce domaine. 
Dans ces conditions, il est de la responsabilité de la Commission Nationale de l’Informatique et des Libertés, conformément à ses missions définies à l’article 11 de la loi du 6 janvier 1978 modifiée, de préciser les modalités selon lesquelles les principes de protection des données à caractère personnel doivent s'appliquer à ces traitements afin de garantir pleinement le respect des droits et libertés des personnes.
Au regard des échéances électorales à venir, la Commission souhaite, par la présente recommandation, rappeler ses positions en matière d’utilisation de traitements de données à des fins de communication politique, afin que les responsables de traitement, les prestataires auxquels ils peuvent faire appel ainsi que les personnes concernées soient plus clairement informés des obligations et des droits qu’ils tiennent de la loi « Informatique et Libertés ».
Cette nouvelle recommandation, adoptée à la suite d’une consultation des principales formations politiques, actualise la recommandation du 5 octobre 2006 relative à la mise en œuvre de fichiers dans le cadre d’activités politiques. Par ailleurs, elle abroge la délibération n° 2011-343 du 10 novembre 2011 portant recommandation relative à la mise en œuvre par les partis ou groupements à caractère politique, élus ou candidats à des fonctions électives de fichiers dans le cadre de leurs activités politiques. 
Sa première partie rappelle les principes généraux auxquels doivent se conformer tous les fichiers utilisés aux fins de communication politique et fournit des illustrations pratiques de la portée des obligations qui pèsent sur les responsables de traitement. 
La deuxième partie recense les catégories de fichiers qui peuvent être utilisés dans le cadre d’opérations de communication politique et précise les recommandations spécifiques qui s’attachent à chacun de ces traitements.
La dernière partie aborde les garanties particulières qui doivent entourer l’utilisation des nouveaux outils de communication utilisés par les partis et groupements politiques, élus et candidats dans le cadre de leurs activités.