AgentPublic/cnil huggingface dataset:
En ce qui concerne le volet IMPACTS 1 bis, l’Institut national de la santé et de la recherche médicale (INSERM) sera destinataire, aux fins d’analyse, des données issues de l’ensemble des entretiens (première et seconde vagues), sous une forme indirectement identifiante.
La Commission prend acte de ce qu’aucun des acteurs ne sera à la fois destinataire des réponses aux questionnaires et des données directement identifiantes relatives aux participants. Ainsi, la société d’enquête en charge de la coordination des rendez-vous ne connaîtra que les données de contact téléphonique des participants (nom, prénom et numéro de téléphone) et le prestataire en charge de la saisie informatique n’aura accès qu’aux réponses aux questionnaires associées au numéro de confidentialité. En outre, l’INSERM n’aura accès qu’aux données de la première et de la seconde vagues (IMPACTS 1 et 1 bis) associées au numéro de confidentialité des participants.
S’agissant du volet IMPACTS 2, seuls les chercheurs dûment habilités de l’agence pourront accéder aux données de l’enquête sous une forme indirectement identifiante. La table de correspondance entre l’identité des participants et leur numéro de confidentialité sera conservée de manière séparée des données de l’enquête, dans des conditions de sécurité conformes aux règles de l’art, de sorte que les personnes en charge de l’analyse des données n’auront jamais accès à l’identité des participants.
La Commission en prend acte.
Sur le respect des droits des personnes :
Concernant le volet IMPACTS 1 l’InVS avait recueilli le consentement des personnes qui acceptaient d’être recontactées dans le cadre d’un suivi à moyen terme.
L’agence enverra un courrier à ces personnes afin de les informer de la mise en œuvre d’une nouvelle vague (IMPACTS 1 bis) à laquelle participeront les nouveaux acteurs précités. Le caractère volontaire et facultatif de leur participation à cette nouvelle vague leur sera rappelé ainsi que la possibilité de s’opposer, pendant un délai de 15 jours ouvrables, à être contactés par la société d’enquête pour organiser un nouvel entretien avec un psychologue.
Les personnes seront informées, au moment de l’entretien en face-à-face, de la transmission à l’INSERM des données collectées pendant la première vague à des fins d’appariement et d’analyse avec les données issues de la seconde vague.
S’agissant du volet IMPACTS 2, une information générale sur l’existence de l’étude et la possibilité d’y participer sera réalisée dans un premier temps :
au moyen d’une campagne médiatique de l’agence, notamment sur Internet ;
en privilégiant les relais de confiance (acteurs de la prise en charge et associatifs) ;
au sein des structures qui emploient les professionnels intervenants sur le terrain.
Dans un second temps, les personnes intéressées recevront une information plus détaillée sur le site internet où elles sont invitées à renseigner le questionnaire.
La Commission prend acte de ce que le caractère volontaire et facultatif de la participation à l’enquête IMPACTS est rappelé à l’ensemble des participants ainsi que les modalités pratiques d’exercice de leurs droits d’opposition, d’accès et de rectification prévus aux articles 38, 39 et 40 de la loi Informatique et Libertés qui s’exercent par courrier ou par courriel auprès des responsables de l’enquête IMPACTS au sein de l’agence.
Sur la durée de conservation des données :
Le responsable de traitement envisage de renouveler le suivi à long terme des participants à l’enquête IMPACTS, pour lequel il saisira préalablement la Commission. Plusieurs durées de conservation des données sont donc prévues :
si la personne accepte de participer mais ne donne pas son consentement à la conservation des données à des fins de suivi à long terme, les données la concernant seront alors conservées le temps de l’analyse et supprimées après publication du rapport d’enquête ;
si la personne accepte de participer au suivi à long terme ultérieur, ses données seront alors conservées le temps nécessaire à la mise en œuvre du suivi.
Dans la mesure où la réalisation d’une phase de suivi à long terme n’est pas encore définie par le responsable de traitement, la Commission demande qu’une durée limitée soit définie pour la seconde hypothèse afin d’éviter une conservation illimitée des données en cas de non-réalisation dudit suivi. Elle considère qu’une durée de 2 ans est proportionnée en l’espèce.
Sur la sécurité des données :
Concernant le volet IMPACTS 1 bis, plusieurs mesures de sécurité sont prévues pour encadrer le circuit de circulation des données entre les différents acteurs impliqués :
S’agissant du transfert de la table de correspondance comprenant les données de contact (nom, prénom, numéro de téléphone) et le numéro de confidentialité, entre l’agence et la société d’enquête, une clé USB contenant un fichier chiffré par mot de passe lui sera directement remis. Elle conservera la clé dans ses locaux et la détruira à l’issue des entretiens. La Commission rappelle que le chiffrement doit être réalisé au moyen d’un algorithme cryptographique public réputé fort.
S’agissant du transfert des réponses aux questionnaires, le prestataire transmettra directement sur clé USB la base (numéro de confidentialité et données d’enquête) à l'INSERM lorsque l'enquête sera terminée. La base sera chiffrée au moyen de l’algorithme GnuPG et de la clé publique de l’INSERM.
Concernant le volet IMPACTS 2, le traitement consiste en :
une collecte de données via un questionnaire mis en œuvre sur un portail d’un hébergeur agréé s’agissant des données à caractère personnel de santé ;
l’analyse de ces données pseudonymisées au sein du système d’informations de l’agence.
La pseudonymisation, en l’espèce, consiste en la création d’une table de correspondance entre l’identité des personnes et un identifiant généré aléatoirement à partir d’un générateur utilisant l’algorithme SHA256 et une source d’entropie.
Les transmissions sont chiffrées et l’authentification des personnes est réalisée au moyen d’un mot de passe à usage unique transmis à leur téléphone.
Les données pseudonymisées sont quant à elles analysées au sein d’un réseau local et les chercheurs s’authentifient au moyen de mots de passe de 8 caractères.
La traçabilité est réduite aux seules connexions. Toutefois, cette traçabilité doit suffire, eu égard au faible nombre d’ordinateurs permettant d’accéder aux données pseudonymisées (trois).
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise l’Agence nationale de santé publique à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité une modification de l’enquête « IMPACTS » visant à estimer l’impact psycho-traumatique et décrire les trajectoires de soins et d’accompagnement à la suite des attentats perpétrés sur le sol français en janvier et novembre 2015.
(Demande d’autorisation n° 1941025)
La Commission nationale de l'informatique et des libertés,
Saisie par l’association Natural Security Alliance d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un système d’authentification par reconnaissance des empreintes digitales, reposant sur la détention d’un ordiphone ou d’un support individuel contenant une application, placé sous le contrôle exclusif des personnes concernées, aux fins d’accès à des services ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, notamment son article 87 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Natural Security Alliance est une association loi 1901 dont les membres sont issus du secteur de la distribution et du monde bancaire. L’objet social de l’association est notamment de « développer et d’adopter un standard et des spécifications, ainsi que des cas d’usage en relation avec l’authentification basée sur les données biométriques stockées sur un support personnel et utilisant une technologie de communication sans fil moyenne distance ». Natural Security Alliance a développé dans ce cadre un dispositif d’authentification biométrique par reconnaissance des empreintes digitales, supporté par une application à télécharger sur les appareils mobiles.
Cette méthode d’authentification peut être associée aux fournisseurs de service choisis par la personne concernée et ayant intégré cette possibilité dans leurs dispositifs d’authentification. 
L’authentification de la personne concernée est réalisée au moyen de lecteurs biométriques mis à disposition par Natural Security Alliance chez des opérateurs disposant de points d’accueil physique pour effectuer l’enrôlement et l’authentification. Ces lecteurs sont directement reliés aux serveurs dont Natural Security Alliance a la responsabilité en tant qu’opérateur d’authentification.
L’opération d’authentification est réalisée par une comparaison positive entre le doigt posé par la personne sur le lecteur biométrique et le gabarit contenu dans l’appareil mobile de la personne. Ce gabarit de référence n’est pas stocké dans les serveurs de Natural Security Alliance ou dans ceux des fournisseurs de service recourant à ce système d’authentification. Les fournisseurs de services concernés par l’authentification ne reçoivent qu’une confirmation de l’authentification positive ainsi qu’un fichier de preuve afférent.
L’association Natural Security Alliance a la qualité de responsable du traitement de données biométriques faisant l’objet de la présente autorisation, en ce qu’elle détermine les moyens et la finalité de sa mise en œuvre.
Les sociétés permettant aux utilisateurs d’accéder à leurs services au moyen du dispositif d’authentification fourni par le responsable de traitement, sur décision de la personne concernée, ont la qualité de tiers au traitement biométrique.
La Commission observe que le projet de traitement automatisé soumis par Natural Security Alliance prévoit le recours à des données biométriques nécessaires au contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé.
Sur la finalité du traitement :
La finalité du traitement biométrique de Natural Security Alliance est de fournir un service d’authentification utilisable pour plusieurs services, ne nécessitant pas de gestion de la donnée biométrique en base et préservant la maîtrise de la personne concernée sur son gabarit.
La Commission relève que le service d’authentification biométrique, objet de la présente autorisation, est une méthode d’authentification multi-facteurs basée sur la détention d’un appareil mobile ou d’un support individuel dédié fourni par le responsable du traitement, contenant l’application d’authentification biométrique.
Ces supports permettent de stocker un identifiant technique chiffré, ainsi qu’un gabarit biométrique créé à partir des empreintes digitales de la personne concernée. Ce dernier n'est pas stocké en clair sur le support : il est tout d'abord chiffré, puis lié, par une seconde opération cryptographique, à un jeton de certification (« token ») fourni par Natural Security Alliance.
Le jeton de certification peut et doit être renouvelé à intervalles réguliers, chaque nouveau jeton remplaçant le précédent de façon chaînée. Cette technique permet de renouveler régulièrement la validité du gabarit chiffré, en substituant le nouveau jeton au précédent, sans avoir à déchiffrer le gabarit. Le jeton peut aussi être révoqué par Natural Security Alliance en cas de déclaration de vol de l'appareil, afin qu'aucune utilisation ultérieure ne puisse être faite du gabarit chiffré.
L’application d’authentification biométrique est utilisée pour communiquer au moyen d’une technologie sans contact avec les terminaux biométriques de lecture-comparaison distribués par Natural Security Alliance aux opérateurs tiers sous-traitants, disposant de points d’accueil physiques. Les données techniques produites lors de l’authentification sont transférées au serveur du responsable de traitement, qui transmet aux fournisseurs de service et aux personnes concernées les preuves d’authentification pour chaque transaction.
L’utilisation du service d’authentification suppose l’enrôlement de deux empreintes digitales, puis l’association au dispositif d’authentification des services choisis par la personne concernée.
Pour s’enrôler, la personne télécharge l’application de Natural Security Alliance sur son appareil, crée un compte utilisateur et renseigne son adresse électronique. Elle se rend ensuite dans un point d’accueil physique, géré par l’un des opérateurs sous-traitants disposant de terminaux biométriques habilités par Natural Security Alliance.
Lors de cette phase, l’opérateur est authentifié et l’appareil mobile est apparié au terminal de lecture-comparaison. Les gabarits biométriques correspondant à deux empreintes digitales sont créés. Une fois validé, le gabarit ainsi collecté est chiffré, puis chaîné au premier jeton de certification révocable. Celui-ci sera par la suite renouvelé à intervalles réguliers, via un procédé sécurisé. L’information biométrique brute collectée par le lecteur est immédiatement supprimée. Le gabarit chiffré et chaîné (« tokenisé ») est ensuite envoyé, par communication sans contact, sur l’appareil de la personne concernée, pour y être conservé à sa main.
Une fois l’enrôlement effectué, la personne concernée peut associer à l’application Natural Security Alliance les services dont elle est cliente et auxquels elle souhaite accéder par authentification biométrique.
L’association peut être réalisée soit en face à face dans un point d’enrôlement, soit directement depuis l’application biométrique de Natural Security Alliance, soit depuis une interface proposée par le service concerné. L’association nécessite une authentification double de l’utilisateur, d’une part, pour se connecter au compte de son application d’authentification biométrique et, d’autre part, pour s’identifier auprès du fournisseur qu’elle souhaite voir associer.
Enfin, pour s’authentifier, la personne concernée place son appareil à proximité d’un lecteur biométrique fourni par Natural Security Alliance pour que les deux appareils s’authentifient mutuellement, puis pose son doigt sur le lecteur. Le gabarit chiffré et chaîné stocké dans l’appareil mobile est envoyé par canal sécurisé au terminal. Celui-ci annule le chiffrement lié au jeton, grâce au jeton d'identification fourni en ligne au terminal par Natural Security Alliance, puis déchiffre le gabarit, et réalise la comparaison. L’empreinte recueillie est alors aussitôt détruite, une fois la comparaison effectuée. En cas de comparaison positive, seul un jeton est envoyé au serveur central de Natural Security Alliance pour attester qu’il s’agit bien de la bonne version du gabarit transformé et confirmer la réussite de l’opération auprès du fournisseur de service associé.
La Commission constate que la finalité poursuivie par le responsable de traitement est légitime.
Sur le fondement juridique du traitement :
Le traitement d’authentification biométrique a pour base juridique, conformément à l’article 7 de la loi du 6 janvier 1978, le consentement de la personne concernée, qui choisit de recourir à ce mode d’authentification.
Le choix de recourir au dispositif biométrique de Natural Security Alliance et de l’associer à un ou des services appartient à la seule personne concernée.
La Commission rappelle que le consentement des personnes concernées ne sera toutefois pas reconnu comme libre si l’authentification biométrique est le seul dispositif d’authentification disponible pour accéder aux services de son choix. La personne concernée doit donc systématiquement disposer d’une alternative non contraignante à l’authentification biométrique.
Sur la nature des données traitées :
Les données collectées dans le cadre du service d’authentification biométrique sont : 
les gabarits d’empreintes digitales de référence transformés directement après leur collecte en gabarits chiffrés et chaînés par jeton, qui seront stockés exclusivement sur l’appareil mobile de la personne concernée ;
les identifiants techniques générés aléatoirement lors de la création d’un compte utilisateur depuis l’application de Natural Security Alliance ; ces identifiants techniques sont :
associés aux gabarits chiffrés et chaînés (« tokenisés ») de la personne dans son appareil mobile ;
associés à l’identifiant interne du fournisseur du service accédé, dans les serveurs de Natural Security Alliance.
l’adresse électronique de la personne concernée collectée, à des fins de gestion de l’assistance « après-vente » du service d’authentification ;
le pseudonyme et le mot de passe nécessaire à la gestion du compte d’authentification biométrique ;
les gabarits d’empreintes digitales présentés pour comparaison lors de l’authentification, lesquels sont immédiatement supprimés après la comparaison.
Le fichier de preuves adressé par Natural Security Alliance aux fournisseurs de service associés ne contient que l’identifiant unique du fournisseur de service, la date de l’authentification, le numéro d’identifiant de l’utilisateur généré par Natural Security Alliance, et celui généré par le fournisseur de service ainsi que les données fournies par le terminal de contrôle.
La Commission considère que ces données sont pertinentes, adéquates et non excessives au regard de la finalité poursuivie.
Sur la durée de conservation des données :
Les gabarits chiffrés et chaînés ne sont conservés que dans l’appareil de la personne concernée. Ils sont automatiquement supprimés lors de la suppression du compte utilisateur de l’application et peuvent être effacés à tout moment par la personne concernée.
Natural Security Alliance ne conserve que l’identifiant technique ainsi que l’adresse électronique de la personne concernée, pour la durée d’utilisation du service d’authentification.
Sur les destinataires des données :
Les identifiants techniques et adresses électroniques sont traitées par Natural Security Alliance.
Le gabarit biométrique chiffré et chaîné n’est conservé que par la personne concernée dans son appareil mobile. 
Aucun responsable de traitement tiers n’est rendu destinataire des données traitées dans le cadre du service d’authentification biométrique, à l’exception du fichier de preuve adressé aux fournisseurs de services associés.
Sur l'information et les droits des personnes :
Les personnes concernées disposent de plusieurs outils garantissant la maîtrise de leur gabarit et la possibilité d’exercer leurs droits.
Par l’intermédiaire de l’application ou depuis un point d’accueil tenu par opérateur habilité ou, encore dans certains cas, via une interface web, les personnes peuvent ainsi décider :
d’activer ou de désactiver l’utilisation de l’authentification biométrique pour un fournisseur de service donné ;
de bloquer temporairement les fonctions d’authentification et de lever ce blocage ;
de supprimer définitivement le service d’authentification et les données associées.
Sur la sécurité des données et la traçabilité des actions :
NSA a intégré lors de la conception du service une série de mesures de nature à limiter les risques pour la vie privée des utilisateurs, notamment en matière de détournement de la donnée biométrique et d’usurpation d’identité.
Ainsi, les données biométriques transformées sont uniquement stockées sur l’appareil placé sous le contrôle de la personne concernée et répondent au principe de minimisation des données.
Les images brutes des données biométriques sont supprimées immédiatement après l’enrôlement ou la collecte de la donnée lors de la comparaison pour authentification. De même, le gabarit n’est pas conservé sur le lecteur ou en base après enrôlement ou comparaison.
De plus, le gabarit conservé sur l’appareil mobile est non seulement chiffré mais également chaîné par un second moyen cryptographique dépendant du responsable de traitement, rendant possible la révocation du gabarit et difficile toute réutilisation ultérieure du gabarit en cas d’interception malveillante.
Par ailleurs, l’intégrité du gabarit stocké dans l’appareil mobile est vérifiée en s’assurant qu’il est bien associé à l’identifiant technique d’origine.
Enfin, lors de l’acte d’authentification, le transfert du gabarit vers le terminal de lecture-comparaison est assuré par un processus d’authentification entre appareils connectés et par la mise en place d’un canal sécurisé chiffré.
Dans ces conditions, la Commission autorise l’association Natural Security Alliance à mettre en œuvre un système d’authentification biométrique basé sur la détention d’un ordiphone ou d’un support individuel contenant une application, placé sous le contrôle des personnes concernées, aux fins d’accès à des services.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1919005)
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil départemental de la Charente Maritime d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des demandes et renouvellements des agréments des assistants maternels ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9, 25-I-3° et 25-I-7 ;
Vu la loi n° 2005-706 du 27 juin 2005 relative aux assistants maternels ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et  aux libertés ;
Vu le décret n° 2012-364 du 15 mars 2012 relatif au référentiel fixant les critères d’agrément des assistants maternels ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence Dumont  commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :