AgentPublic/cnil huggingface dataset:
La Commission tient à rappeler que les utilisations futures des données contenues dans cet entrepôt s’inscrivent dans le cadre des dispositions du chapitre IX de la loi qui, lui aussi, impose que chaque demande de recherche, étude ou évaluation réponde à une exigence d’intérêt public. Ainsi, la Commission estime que l’utilisation des données contenues dans le traitement qui sera mis en œuvre par IQVIA ne saurait, par analogie aux finalités « interdites » d’utilisation du système national des données de santé (SNDS), être exploitées à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d'un individu ou d'un groupe d'individus présentant un même risque. De même, la Commission rappelle l’interdiction de constituer et d’utiliser, à des fins de prospection ou de promotion commerciales, des fichiers composés à partir des données issues directement ou indirectement des prescriptions médicales, dès lors que ces fichiers permettent d’identifier directement ou indirectement le prescripteur (article L. 4113-7 du code de la santé publique).
Afin de garantir le caractère d’intérêt public des utilisations à venir des données, IQVIA a décidé de mettre en place des comités scientifiques et éthiques, tant au niveau européen que national, chargés de définir un ensemble de règles auquel IQVIA devra se référer pour décider de la validité des projets de recherche ou d’étude demandés par les clients de la société au regard de l’intérêt public. 
Un groupe de conseil est créé au niveau national, le « Country Advisory Group » (CAG) composé de personnes qualifiées, externes à la société, parmi lesquelles des membres d’associations de patients, qui dispose de la possibilité d’alerter le comité mis en place à l’échelon européen, le « Clinical and Analytical Steering Committee » (CASC), lorsqu’un projet de recherche ou d’étude ne lui parait pas conforme.
Le circuit de validation du projet de recherche, étude ou évaluation est le suivant : chaque projet est examiné par IQVIA au regard des règles qui auront été définies par le CASC puis transmis au représentant de la société IQVIA, siégeant au sein du CASC. Ce représentant, décisionnaire sur le projet, a notamment la possibilité de saisir le CASC avant de se prononcer. Dans tous les cas, le projet et la décision prise sur le projet par IQVIA est communiqué au CASC et au CAG compétent avec la possibilité pour le CASC de revenir sur une décision d’IQVIA qui ne lui paraitrait pas conforme. La Commission prend acte de ce mécanisme d’examen des projets mis en place et de ce que le représentant d’IQVIA au sein du CASC et du CAG est désigné pour assurer une mission de liaison entre ces comités et IQVIA et qu’il ne prendra pas part à leurs décisions.   
Enfin, la Commission prend acte :
de ce que la publication des résultats des projets de recherche, d’étude ou d’évaluation sera examinée au cas par cas selon des modalités identiques à celles décrites ci-dessus ;
de l’engagement d’IQVIA de publier chaque année une synthèse des types d’analyses produites depuis les données de l’entrepôt ;
de l’engagement d’IQVIA de communiquer à la CNIL un rapport annuel sur le fonctionnement de l’entrepôt de données et les requêtes réalisées depuis celui-ci.  
Sur les données traitées
Les données suivantes seront collectées :
concernant le patient de l’établissement partenaire : un identifiant unique autre que le numéro d’inscription au registre (NIR) permettant de suivre un même patient pris en charge au sein d’un ou plusieurs établissements, composé à partir des nom, prénom, date de naissance, code postal de résidence et sexe de la personne, des informations relatives au diagnostic, au plan de traitement, à la dispensation et administration du traitement, à la fin du traitement et des informations concernant l’établissement de santé (le numéro FINESS et l’adresse) ;
concernant le prescripteur de l’établissement partenaire :
le numéro d’identification dans le répertoire partagé des professionnels de santé (RPPS), le mode et type d’exercice, la spécialité médicale, l’identifiant de l’établissement de santé et localisation géographique, date de prescription et de modification de prescription le cas échéant ;
concernant l’utilisateur de la plateforme désigné par  l’établissement partenaire : l’adresse de courrier électronique.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi.
Sur les destinataires
Les clients visés par la société IQVIA sont principalement les établissements et services de santé partenaires, les industriels du secteur de la santé et, le cas échéant, les pouvoirs publics.
La Commission relève que les clients d’IQVIA ne seront pas destinataires de données individuelles relatives aux patients des établissements de santé ou des services de santé. Les études fournies par le responsable de traitement à des tiers ne contiendront que des données rendues parfaitement anonymes au sens de l’avis n°05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G 29) le 10 avril 2014.
La Commission considère que les catégories de destinataires et les modalités de communication des résultats n’appellent pas d’observation. 
Elle attire toutefois l’attention du responsable de traitement sur les obligations qui lui incombent en matière de confidentialité des données et rappelle qu’il doit :
respecter et faire respecter le secret des informations par toutes les personnes susceptibles de travailler sur ces données ;
ne pas rétrocéder ou divulguer à des tiers les informations individuelles fournies sous quelque forme que ce soit ;
ne pas procéder à des rapprochements, interconnexions, mises en relation, appariements avec tout fichier de données directement ou indirectement nominatives ou toute information susceptible de révéler l’identité d’une personne et/ou son état de santé ;
ne pas utiliser de façon détournée les informations collectées, notamment à des fins de recherche ou d’identification des personnes ;
garantir la confidentialité de toutes les données transmises à des tiers, ce qui nécessite la mise en place de mesures de chiffrement à l’état de l’art.
Sur l’information et les droits des personnes 
Les établissements de santé et services de santé seront chargés, contractuellement, d’informer leurs patients du traitement des données les concernant, ainsi que de permettre l’exercice des droits d’accès, de rectification et d’opposition qui leur sont reconnus.
La Commission rappelle que le responsable de traitement doit prendre les mesures nécessaires, notamment en s’assurant de leur effectivité, auprès de ses partenaires afin que les personnes concernées puissent exercer leur droit d’opposition directement dans chaque établissement et service de santé avant toute transmission des données. 
Il est prévu que les personnes soient informées individuellement par la remise à chacun des patients concernés d’une note d’information et par l’affichage d’un document dans la salle d’accueil, d’attente ou sur le site internet de l’établissement de l’identité du responsable de traitement, de sa finalité, des destinataires des informations et des modalités d’exercice de leurs droits. Cette information interviendra lors de l’admission du patient et préalablement à la mise en œuvre du traitement.
La Commission prend acte que l’exercice des droits d’accès, de rectification et d’opposition du patient s’exercera auprès du professionnel de santé, de l’établissement de santé ou du service de santé en charge de leur suivi thérapeutique ou du médecin hébergeur.
Les établissements de santé et services de santé seront également chargés d’informer les prescripteurs du traitement des données les concernant via le document d’inscription à la plateforme et la remise d’une notice d’information par l’établissement au sein duquel ils exercent. 
L’exercice de leur droit d’accès, de rectification et d’opposition se fera auprès de leur chef de services ou chef de pôle.
Enfin, les utilisateurs sont informés du traitement de leur donnée via le formulaire de collecte en ligne lorsqu’ils se connectent à la plateforme et les conditions générales d’utilisation de la plateforme. Ils exercent leur droit d’accès, de rectification et d’opposition auprès de la direction juridique de la société IQVIA.
Sur les mesures de sécurité
Les données de santé transmises par les établissements de soin feront l’objet d’un mécanisme de pseudonymisation réalisé en deux étapes : les données d’identification (noms, prénoms, date de naissance, sexe, code postal, identifiant du patient au sein de l’établissement) feront l’objet d’un hachage avec clé secrète avant leur transmission au responsable de traitement. 
Cette clé secrète sera maitrisée et gérée par l’établissement de soin ou par un tiers de confiance.
Dès leur réception par le responsable de traitement, les données feront l’objet d’une deuxième étape de pseudonymisation visant à dégrader les données reçues afin de limiter les risques de ré-identification des personnes. Ce séquencement permet de garantir que le responsable de traitement n’aura jamais accès aux données brutes.
Les données pseudonymisées résultant de ce mécanisme seront conservées dans une base de données chiffrées qui servira à réaliser les études. 
L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé dans les conditions du décret n°2006-6 du 4 janvier 2006.
Le responsable de traitement a mis en œuvre une politique de mot de passe conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe : les personnes en charge de la gestion, de la maintenance et de l’exploitation des données utiliseront un mécanisme d’authentification forte. Par ailleurs, les accès aux bases de données contenant des données à caractère personnel seront soumis à une gestion des habilitations fine permettant de déterminer les données et les actions accessibles aux personnes habilitées.
Une journalisation des opérations de consultation, création et modification des données est mise en place. La durée de conservation des journaux de 6 mois est conforme aux préconisations de la Commission.
Les données provenant des établissements de soin seront échangées via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. 
Concernant l’usage du protocole HTTPS, celui-ci sera utilisé dans des conditions de sécurité conforme à l’état de l’art permettant de garantir la confidentialité des données transmises.
Les autres mesures de sécurité apparaissent conformes à l’état de l’art et n’appellent pas de remarques particulières de la Commission ; elles devront toutefois faire l’objet d’une mise à jour régulière afin de tenir compte de l’évolution des risques.
Enfin, la Commission recommande très fortement au responsable de traitement de réaliser une étude d’impact sur la vie privée des personnes concernées, afin de maitriser les risques présentés par le traitement pour la vie privée de ces personnes, et rappelle que ces études d’impacts devront obligatoirement être réalisées pour tous les traitements susceptibles de présenter des risques pour les droits et libertés des personnes concernées à compter de l’application du règlement général sur la protection des données.
Sur les autres caractéristiques du traitement
Le responsable de traitement souhaite conserver les données ayant fait l’objet du processus de pseudonymisation en deux étapes pour une durée de dix ans afin de pouvoir réaliser des analyses sur de longues périodes, dont l’utilité est avérée en matière de traitements anti-cancéreux.
Il souhaite par ailleurs conserver les données ayant subi la première étape du processus de pseudonymisation pour une durée maximale de 3 mois afin de pouvoir détecter d’éventuels dysfonctionnement du processus de pseudonymisation lors de l’intégration initiale d’un établissement de santé, puis à l’issue de l’intégration de l’établissement, ces données seront conservées pour une durée maximale de 30 jours.
La Commission considère que ces durées de conservation des données n’excèdent pas les durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 6-5° de la loi.
Autorise, conformément à la présente délibération, la société IQVIA Opérations France à mettre en œuvre le traitement décrit ci-dessus, et rappelle que les traitements de données à caractère personnel qui seront mis en œuvre ultérieurement à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé sont des traitements distincts qui doivent faire l’objet, par la société IQVIA Opérations France, de formalités propres prévues au chapitre IX de la loi.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’intérieur d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi de l’activité disciplinaire au sein de la police nationale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu la loi n° 83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 84-961 du 25 octobre 1984 modifié relatif à la procédure disciplinaire concernant les fonctionnaires de l’Etat ;
Vu le décret n° 2013-784 du 28 août 2013 relatif aux missions et à l'organisation de l'inspection générale de la police nationale ;
Vu l’arrêté du 28 août 2013 relatif à l'organisation de l'inspection générale de la police nationale ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France Mazars, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le traitement est mis en œuvre par le directeur général de la police nationale (inspection générale de la police nationale ou IGPN) qui est chargé du contrôle des directions et des services de la direction générale de la police nationale (DGPN) et de la préfecture de police. 
Sur la finalité
Le traitement dénommé « Outil de suivi de l’activité disciplinaire » (OSADIS) vise à permettre à l’IGPN de réaliser la gestion et le suivi des enquêtes administratives et des procédures disciplinaires diligentées au sein de la police nationale, ainsi que des mesures de suspension, de détachement et d’affectations provisoires prononcées en application de l’article 30 de la loi du 13 juillet 1983.
Ce traitement est mis en place en vue de permettre d’une part, à l’IGPN, d’assurer  sa mission de « contrôle [du] suivi de la mise en œuvre des sanctions prononcées par l’autorité ayant pouvoir disciplinaire », en application de l’article 3 du décret du 28 août 2013, et d’autre part, au ministère de l’intérieur, de renforcer le pilotage de la politique en matière de déontologie et de discipline, relativement aux forces de police, en réponse aux observations soulevées par la Cour des Comptes en 2010.
Cet outil permet également la mise à disposition de fonds documentaires et de statistiques relatifs à l’activité disciplinaire dans lesquels ne figure aucune donnée à caractère personnel.
Le traitement OSADIS est interconnecté avec le traitement « DIALOGUE », traitement de ressources humaines concernant les agents relevant du ministère de l’intérieur qui a été  autorisé par le décret n° 2011-373 du 5 avril 2011. Cette opération permet d’alimenter le traitement OSADIS avec les données d’état civil et les données relatives à la situation professionnelle qui concernent les agents poursuivis disciplinairement et qui sont strictement nécessaires au suivi de l’activité disciplinaire.
La Commission considère que ces finalités sont déterminées, explicites et légitimes.
Sur les données traitées
Dans le cadre de ce traitement, les catégories suivantes de données à caractère personnel sont collectées et traitées :
les données relatives à l’identification des agents ;
les données relatives à la vie professionnelle ;
les données relatives aux conclusions de l’enquête administrative ;
les données relatives aux procédures et aux sanctions disciplinaires ;  
les données relatives au suivi des mesures de suspension ;
les données relatives au suivi des détachements et affectations provisoires des agents faisant l’objet ou non d’une mesure de contrôle judiciaire.
La liste détaillée des données collectées et traitées sera fixée par arrêté.
La Commission rappelle que seules les données pertinentes, adéquates et non excessives au regard de la finalité poursuivie pourront être collectées et traitées.
Sur les destinataires
Les personnes ayant accès à tout ou partie des données du traitement, en raison de leurs attributions et dans la limite du besoin d’en connaître, sont :
les agents individuellement désignés et habilités par leur supérieur hiérarchique, chargés de la réalisation des enquêtes administratives pré-disciplinaires relevant de la DGPN ou de la préfecture de police de Paris, chargés de la gestion des ressources humaines relevant de la DGPN ou de la préfecture de police de Paris, ou chargés de la gestion des ressources humaines des secrétariats généraux pour l’administration du ministère de l’intérieur et des services administratifs et techniques de la police nationale ;
le supérieur hiérarchique des agents précédemment cités ;
les agents de l’IGPN, individuellement désignés et habilités par leur supérieur hiérarchique dans le cadre des missions définies par le décret du 28 août 2013 et par l’arrêté de la même date ;
les supérieurs hiérarchiques de l’agent visé par la procédure disciplinaire.
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement, dans la limite de leurs attributions et sous réserve que les données effectivement accessibles présentent un lien direct et nécessaire avec leurs fonctions.
Sur l’information et le droit d’accès
Les agents sont informés des mentions de l’article 32 de la loi du 6 janvier 1978 modifiée via le site intranet de la DGPN.
Les droits d’accès, de rectification et d’opposition pour motif légitime, prévus aux articles 38 à 40 de la loi du 6 janvier 1978 modifiée, s’exercent auprès de :
la direction des ressources et des compétences de la police nationale, s’agissant des agents relevant de la DGPN ;
la direction des ressources humaines de la préfecture de police de Paris, s’agissant des agents relevant de la préfecture de police de Paris.
La Commission estime que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Le responsable du traitement, en application de l’article 34 de la loi du 6 janvier 1978 modifiée, doit prendre toutes les précautions utiles pour préserver la sécurité des données collectées et traitées, au regard de la nature des données, des risques présentés par le traitement, et notamment empêcher que des tiers non autorisés y aient accès par l’intermédiaire de mesures de sécurité physiques, logiques et organisationnelles.
En l’espèce, la Commission relève l’existence de mesures de sécurité prises par le responsable de traitement.
Un mécanisme de gestion des habilitations permet de garantir que seules les personnes habilitées peuvent accéder aux données nécessaires à la réalisation de leurs missions. Les personnes s’authentifient au moyen de leur carte agent combinée à un mot de passe respectant les recommandations de la Commission. Il est rappelé que la gestion des habilitations doit faire l’objet de procédures formalisées, validées par le responsable de traitement, portées à la connaissance des utilisateurs et être régulièrement mise à jour.
Les échanges de données interviennent via un réseau VPN chiffré, garantissant ainsi la sécurité et la confidentialité des données échangées.
Un mécanisme de journalisation des accès à l’application et des opérations effectuées permet de détecter d’éventuels accès ou opérations non souhaitées ou interdites.
Enfin, des mesures nécessaires permettent d’assurer la maintenance du matériel et sa mise au rebut dans des conditions de sécurité satisfaisantes, en particulier s’agissant de l’absence de données à caractère personnel stockées dans les matériels remisés.
La Commission précise que l'usage d'outils ou de logiciels développés par des tiers dans le cadre de la mise en œuvre d'un traitement de données à caractère personnel reste sous la responsabilité du responsable de traitement qui doit notamment vérifier que ces outils ou logiciels respectent l'ensemble des obligations que la loi du 6 janvier 1978 modifiée met à sa charge.
Elle rappelle également qu’un responsable de traitement conserve la responsabilité des données à caractère personnel communiquées ou gérées par ses sous-traitants et, le cas échéant, que le contrat établi entre les parties doit mentionner les objectifs de sécurité qu'un sous-traitant doit respecter.
La Commission rappelle enfin que l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
 
Sur les autres caractéristiques du traitement
Les données traitées dans le cadre de ce dispositif sont :
conservées  deux mois à compter de la clôture de l’enquête administrative lorsqu’aucune procédure disciplinaire n’est engagée, ou à compter de la clôture de la procédure disciplinaire lorsqu’aucune sanction disciplinaire n’est prononcée. Les données sont ensuite anonymisées ;
conservées  jusqu’à l’expiration du délai de recours contentieux dirigé contre un avertissement ou une sanction entraînant l’exclusion définitive du service, et en cas de recours administratif ou contentieux, pendant six mois à compter de la date d’introduction de ce recours ;
conservées  deux mois à compter de la fin d’une mesure de suspension, de détachement ou d’affectation provisoire consécutive ou non à un contrôle judiciaire. Les informations relatives à la date, à la nature et aux modalités du contrôle judiciaire sont effacées dans un délai de deux mois au terme de celui-ci ;
conservées  trois ans à compter de la notification d’un blâme ;
conservées  dix ans à compter de la notification d’une sanction autre que celles précédemment citées.
En tout état de cause, les données sont supprimées lorsque l’agent cesse ses fonctions ou lorsque la sanction est annulée ou retirée.
La Commission considère que les données enregistrées dans le traitement sont conservées pour une durée qui n’excède pas la durée nécessaire à la finalité pour laquelle elles sont collectées et traitées.
Autorise, conformément à la présente délibération, l’IGPN à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS