AgentPublic/cnil huggingface dataset:
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe, renouvelés tous les six mois, constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres ou des caractères spéciaux.Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs du présent traitement.Le traitement n’est accessible que sur un réseau interne privé, ce qui offre une garantie quant à la sécurité des données y transitant. Il comporte une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier  l’utilisateur à l’origine d’une opération, pour être en mesure de détecter a posteriori d’éventuelles opérations frauduleuses ou non souhaitées. Les données de traçabilité doivent être conservées six mois dans des conditions permettant de garantir leur intégrité et leur confidentialité et une procédure opérationnelle doit en définir les modalités d’accès.Ces mesures de sécurité sont conformesde l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée maximale de deux ans à compter de la dernière intervention sur le dossier.A l’issue de cette durée, les données sont supprimées, sauf disposition légale ou réglementaire contraire.Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Agence Nationale pour la Garantie des Droits des Mineurs à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1605718)
La Commission nationale de l’informatique et des libertés ; 
Saisie par l’Union départementale des associations familiales (UDAF) de l’Aude d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des dossiers des usagers pris en charge par les unités d’intervention ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L.211-1 à L.211-14, L. 312-1 et L. 313-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-1°, 25-I-3°, 25-I-6° et  25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Madame Laurence DUMONT, commissaire, et après avoir entendu les observations de  Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La Commission est saisie par l’Union Départementale des Associations Familiales (UDAF) de l’Aude. L’UDAF de l’Aude est l’une des 100 associations départementales composant l’Union Nationale des Associations Familiales (UNAF), au même titre que les fédérations, confédérations et associations familiales nationales regroupant au niveau national  les associations et sections adhérentes aux unions départementales.Aux termes de l’article L. 212-7 du code de l’action sociale et des familles (CASF), l’UNAF et les UDAF sont des associations à but non lucratif, régies par la loi du 1er juillet 1901, reconnues d’utilité publique et bénéficiant d’un financement public.L’UNAF et les UDAF sont chargées de promouvoir, défendre et représenter les intérêts des familles vivant sur le territoire français. L’UDAF de l’Aude est un établissement social et médico-social au sens de l’article L. 312-1 du CASF qui, par l’intermédiaire de ses unités d’intervention sociale (Unité Protection des Personnes et Unité d’Accompagnement Social et Budgétaire), prend en charge des usagers en fonction du mandat qui lui est confié par l’autorité judiciaire ou administrative  (mandataire judiciaire à la protection des majeurs, administrations ad hoc, etc.). Au regard de ce qui précède, la Commission considère que l’UDAF gère un service public au sens de l’article 9-1° de la loi du 6 janvier 1978 modifiée.
Sur la finalité
L’action de l’UDAF de l’Aude consiste à prendre en charge les usagers en fonction du mandat qui lui est confié par l’autorité judiciaire ou administrative. Cette action nécessite la collecte d’informations administratives, juridiques, sociales, patrimoniales et financières des usagers, en fonction de la spécificité et de la finalité du mandat.La Commission considère que la finalité poursuivie par l’UDAF de l’Aude est déterminée, explicite et légitime.Elle estime qu’il y a lieu de faire application de l’article 25-I-6°, qui soumet à autorisation préalable les traitements qui portent sur des données parmi lesquelles figure le numéro d’inscription des personnes physiques au répertoire national d’identification des personnes physiques (numéro de sécurité sociale ou NIR).Le recours à la formalité de l’autorisation se justifie également au regard de l’article 25-I-7° de la loi 6 janvier 1978 modifiée, pour ce qui concerne les traitements comportant des appréciations sur les difficultés sociales des personnes, et de l’article 25-I-3° relatif au traitement de données d’infractions.
Sur les données traitées
Les données à caractère personnel collectées concernent les usagers suivis par l’UDAF de l’Aude et sont relatives :-à l’identification des personnes (nom, prénom, date et lieu de naissance, nationalité, adresse, photographie) ;-à leur vie personnelle (situation familiale, habitude de vie) ;-à leur vie professionnelle (CV, situation professionnelle, scolarité, formation, distinction) ;-à des informations d’ordre économique et financier (revenus) ;-à leur numéro de sécurité sociale (NIR) ;-à leurs difficultés sociales ;-         à leurs procédures civiles ou pénales ;-à leur santé (pathologie, affection, antécédents familiaux, données relatives aux soins, comportements à risque).Les numéros de sécurité sociale ainsi que les données relatives à la santé sont collectés, après le recueil du consentement exprès des personnes concernées, uniquement à des fins  d’administration et de facturation de soins délivrés par des professionnels de santé soumis au respect du secret professionnel.La Commission considère que le traitement des données visées ci-dessus est adéquat, pertinent et non excessif au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Le personnel habilité de l’UDAF de l’Aude est destinataire des données du présent traitement nécessaires à l’exercice de ses missions.Par ailleurs, les données relatives à la santé peuvent être transmises aux professionnels de santé ou au personnel dûment habilité d’un établissement de santé ou médico-social intervenant dans le suivi des usagers.Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par la remise d’un livret d’accueil.Les droits d’accès et de rectification s’exercent auprès de l’UDAF de l’Aude (Unité de protection des personnes et unité d’accompagnement social et budgétaire) – Rue Jacques de Vaucanson – 11890 Carcassonne.La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement doit être assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules ainsi que des chiffres.Des profils d’habilitation doivent définir les données et les fonctionnalités accessibles en fonction des utilisateurs.Le traitement doit comporter une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier  l’utilisateur à l’origine d’une opération. Un procédé de chiffrement doit être appliqué aux données dites « sensibles » au regard de la loi du 6 janvier 1978 modifiée.Ces mesures de sécurité apparaissent conformes à l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la durée légale du mandat judiciaire ou administratifve. Au terme de cette durée, les données sont archivées.La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’UDAF de l’Aude à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1630447)
La Commission nationale de l’informatique et des libertés, 
Saisie par l’EHPAD Le Val de Seille d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités de permettre aux établissements de faciliter les démarches des usagers dans le cadre de leur demande d’admission en établissement pour personnes âgées, d’améliorer le suivi des demandes et de connaître le nombre de personnes en liste d’attente ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le Code de l’action sociale et des familles, notamment son article L. 312-1 ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Il s’agit de l’établissement d'Hébergement pour Personnes Agées Dépendantes (EHPAD) Le Val de Seille, sis 3 rue Eugène Jouin – 57155 Marly. Il s’agit d’un établissement social et médico-social au sens de l’article L. 312-1 du Code de l’action sociale et des familles.
Sur la finalité
La finalité du présent traitement est de permettre aux établissements de faciliter les démarches des usagers dans le cadre de leur demande d’admission en établissement pour personnes âgées, d’améliorer le suivi des demandes et de connaître le nombre de personnes en liste d’attente.La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes. La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les catégories de données collectées sont relatives : 
à l’identification des personnes (nom, prénom, adresse, date et lieu de naissance, personne référente) ;
à leur vie personnelle (situation familiale) ;
à leurs données de santé (pathologies, affection, données relatives aux soins, degré de dépendance).
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les personnels habilités de l’établissement et les EHPAD de la région dans la limite de leurs attributions.Les demandes d’admission sont enregistrées dans une base de données (logiciel Attentum) accessible à tous les EHPAD de la région dans le but de mieux gérer les demandes et notamment les listes d’attente et d’en assurer le suivi.Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par voie d’affichage dans les locaux de l’établissement et par une note d’information jointe au formulaire d’admission.Les droits d’accès et de rectification s’exercent auprès de l’EHPAD Le Val de Seille, 3 rue Eugène Jouin – 57155 Marly.  Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes pour la Commission. 
Sur les mesures de sécurité
La Commission estime que l’authentification des utilisateurs du traitement est satisfaisante, et notamment que les mots de passe utilisés sont d’un niveau de complexité suffisant (mots de passe d’au moins huit caractères, composés de minuscules, majuscules, chiffres et caractères spéciaux).La journalisation des accès (consultation, création, modification et suppression) est réalisée sur certaines informations sensibles (données médicales et informations sur l'instruction d'un dossier). Ces données ne sont consultables que par les administrateurs spécifiquement désignés pour cette tâche.Les données sont hébergées par un prestataire agréé « hébergement de données de santé » en conformité avec l'architecture technique préconisée par la Commission (https).La Commission considère que ces mesures de sécurité sont satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les demandes d'admissions sont réactualisées chaque année.Si la personne n'est plus en demande d'hébergement, les données sont supprimées.Lorsque que la personne est admise au sein de l’établissement, les données sont conservées pendant toute la durée de prise en charge et pendant une durée supplémentaire de deux ans à compter de la fin de la relation contractuelle.A l’issue de cette durée de conservation, les données sont supprimées sauf dispositions légales ou réglementaires contraires.Ces durées de conservation apparaîssent pertinentes au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, l’EHPAD Le Val de Seille à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1562025)
La Commission nationale de l’informatique et des libertés ; 
Saisie par la société AMGEN S.A.S. d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des questions médicales relatives à ses produits de santé ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5121-22 à L. 5121.26 et R. 5121-150 à R. 5121-201 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2009-711 du 17 décembre 2009 autorisant la mise en œuvre par la société AMGEN S.A.S. d’un traitement de données à caractère personnel ayant pour finalité le suivi des questions médicales relatives à ses produits de santé ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La société AMGEN est une société par action simplifiée spécialisée dans la fabrication de médicaments.
Sur la finalité
La finalité du traitement est d’assurer :
le suivi des questions médicales, émanant tant des patients que des professionnels de santé utilisant les produits commercialisés par le responsable de traitement,
la gestion des réclamations présentées par les mêmes personnes (ex : un défaut de qualité d’un produit de santé) et le recueil des effets indésirables liés aux produits commercialisés par le responsable de traitement.
En qualité d’établissement pharmaceutique, le responsable de traitement doit être en mesure de répondre aux questions et réclamations relatives à ses produits de santé.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur les données traitées
S’agissant de l’auteur des questions ou réclamations : les données d’identification (nom, prénom, sexe), les coordonnées (adresse, téléphone, fax, email) en cas de nécessité que la personne soit rappelée), la qualité (médecin généraliste, pharmacien hospitalier, patient).Les données de santé contenues dans les questions posées (pathologies, antécédents, données relatives aux soins et conditions d’utilisation du produit de santé en question).Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de la société AMGEN, à savoir les membres de la direction médicale, des services informatiques et de la direction des affaires réglementaires, assurance qualité.L’habilitation à consulter des données de santé ne peut être attribuée qu’à des personnes soumises au secret médical, et dans la stricte limite de leurs missions.Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées, dès lors qu’elles transmettront leurs questions ou réclamations au responsable de traitement, sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par un message téléphonique ou par courrier postal personnalisé du traitement de leurs données.Les droits d’accès et de rectification s’exercent auprès du département d’information médicale de la société AMGEN.Ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Concernant les modalités d’accès aux données, les utilisateurs ayant accès à l’application sont authentifiés au moyen d’un mot de passe d’une taille de huit caractères, composés de quatre types de caractères distincts (majuscules, minuscules, chiffres et caractères spéciaux), valides 180 jours, avec un blocage d’accès après trois tentatives.Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les utilisateurs.Concernant les mesures de traçabilité, l’ensemble des accès en consultation, modification et création sont tracés et conservés dans le dossier du patient.Concernant les réseaux au travers desquels sera accessible le traitement, ceux-ci seront reliés entre eux par un réseau MultiProtocol Label Switching (MPLS) présentant un niveau de sécurité suffisant (utilisation du protocole HTTPS).Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Sur les transferts de données hors de l’Union européenneLes données collectées seront transférées vers les Etats-Unis, afin d’alimenter la base IRPC (Intake, Response and Product Complaints) détenue par AMGEN Inc. Les garanties mises en œuvre pour le transfert de données sont, s’agissant des données des patients, un contrat établi sur le modèle des clauses contractuelles types de responsable de traitement à responsable de traitement, approuvées par la Commission européenne, et, s’agissant des données des professionnels de santé, la certification Safe Harbor.En présence d’un cas d’effet indésirable, les données recueillies dans la base IRPC relatives à ce cas seront intégrées à la base ARGUS, base détenue par la société AMGEN à des fins exclusives de pharmacovigilance. La base ARGUS a été déclarée à la Commission par un engagement de conformité à l’autorisation unique n° AU-013.L’intégration des données susmentionnées dans la base ARGUS est confiée par AMGEN à un sous-traitant, la société TATA CONSULTANCY SERVICES LIMITED, basée en Inde. Le transfert de données en résultant sera encadré par contrat établi sur le modèle des clauses contractuelles types de responsable de traitement à sous-traitant, approuvées par la Commission européenne.Sur la durée de conservation des donnéesLes données d’identification des patients sont conservées pendant trois mois à compter de la réception de la question et/ou de la réclamation, cette durée correspondant au temps nécessaire pour apporter
une réponse, puis elles seront supprimées. Seule sera conservée l’initiale du nom des patients.Les données d’identification des professionnels de santé et les réponses apportées par le responsable de traitement seront conservées pendant dix ans. Passé ce délai, les données seront archivées et pourront être conservées de façon anonymisée à des fins statistiques.La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société AMGEN S.A.S. à mettre en œuvre le traitement susmentionné.
La présente délibération abroge et remplace la délibération n° 2009-711.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1614844)
La Commission nationale de l’informatique et des libertés, 
Saisie par l’ESAT du Conte d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des dossiers des usagers accompagnés par l’établissement ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le Code de l’action sociale et des familles, notamment l’article L. 312-1 ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment les articles 25-I-6° et 25-I-7°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement