AgentPublic/cnil huggingface dataset:
La continuité d’activité est assurée grâce à des sauvegardes effectuées quotidiennement. Une autre sauvegarde hebdomadaire est effectuée. Les étapes de développement et de maintenance font l’objet de mesures de sécurité visant à garantir la confidentialité des données. La sécurité physique des postes prenant part au traitement ainsi que du système d’archivage est correctement assurée.
Concernant l’authentification des utilisateurs du système, la Commission prend acte que le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial.
Les opérations de consultation font l’objet d’une journalisation afin d’en assurer la traçabilité. Par ailleurs, l’identifiant de l’opérateur ayant traité un dossier est associé à ce dernier pendant une durée de six mois.
S’agissant de l’enregistrement de la conversation téléphonique, la Banque Postale fait appel à un prestataire extérieur, qui garantit pour l’ensemble des conversations téléphoniques enregistrées en centre financier une confidentialité et une sécurité des données au niveau du stockage et de l’accès.
La Commission constate que la sécurité logique des postes prenant part au traitement est assurée au moyen d’antivirus et d’un système de détection d’intrusion. Néanmoins, ces postes utilisent pour accéder à l’application, ainsi qu’à Internet, un  navigateur qui n’est plus mis à jour et qui expose donc  les terminaux à des failles de sécurité. La Commission recommande dès lors que les terminaux qui prennent part au traitement utilisent un navigateur maintenu à jour.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la Banque Postale à mettre en œuvre, à titre expérimental, un traitement de données à caractère personnel ayant pour finalité l’accompagnement bancaire des personnes rencontrant des difficultés financières. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1667008)
La Commission nationale de l’informatique et des libertés ; 
Saisie par la société AXA FRANCE IARD d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle dédié à la lutte contre les discriminations ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5°, 25-I-4° et 35 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la Cnil n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (AU-04), telle que modifiée le 14 octobre 2010 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La société AXA France IARD a saisie la Commission un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle en matière de lutte contre les discriminations.
Sur la finalité
Le Groupe AXA s’est engagé dans une politique volontariste de promotion de la diversité et de l’égalité des chances, ainsi que de lutte contre les discriminations et le harcèlement discriminatoire.Soucieuse de disposer d’un environnement adapté à cette ambition, AXA France a décidé la mise en place d’une messagerie dédiée (service.discriminations@axa.fr), gérée par la Direction Egalité/Diversité, permettant aux personnes concernées (salariés, candidats, clients et tout public externe) de la saisir de toutes les questions ou alertes sur des faits dont elles auraient été victimes ou témoins de ces chefs.AXA France a adhéré au « Label Diversité » AFNOR et souhaite, dans ce cadre, mettre en place un dispositif d’alerte professionnelle dédié à la lutte contre les discriminations.Le cahier des charges de l’AFNOR préconise notamment la mise en place d’outils permettant d’ « identifier les plaintes et réclamations internes et externes » et, de manière générale, d’assurer la traçabilité des signalements.Le dispositif d’alerte peut couvrir les alertes en matière de discriminations ou de « harcèlement discriminatoire », au sens du § 1 de l’article 1° de la Loi n° 2008-496 du 27 mai 2008.Les signalements seront recueillis à partir d’une adresse mail dédiée (service.discriminations@axa.fr).Ce canal est facultatif et complémentaire avec les autres canaux existants pour formuler une réclamation pour discrimination ou harcèlement discriminatoire : responsable hiérarchique, conseiller
ressources humaines, délégués du personnel, Direction du développement social, Direction de la Sûreté, responsable Sûreté/déontologie local, le Service réclamation clients, etc.La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (délibération n°2005-305 du 8 décembre 2005).Elle observe que le traitement objet de la présente délibération n’est pas conforme à l’article 1er de l’autorisation unique notamment au regard de son champ d’application lequel est restreint aux seules alertes en matière comptable, bancaire, financière, de lutte contre la corruption et de pratiques anticoncurrentielles.La Commission doit, par conséquent, procéder à une analyse spécifique du traitement soumis à son appréciation, au regard des principes relatifs à la protection des données à caractère personnel. Elle rappelle que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.La Commission relève que le dispositif présenté s’inscrit dans le cadre des textes internationaux, européens et nationaux afférents à la prévention des discriminations, à l’égalité des chances
et à la promotion de la diversité dans le domaine de la gestion des ressources humaines.Elle relève que le dispositif est présenté aux agents comme étant facultatif et complémentaire aux autres voies (ressources humaines, managers, médecine du travail, cellule d’écoute psychologique, mission interne des risques psychosociaux, etc.).La Commission observe qu’en l’espèce le dispositif d’alerte qui lui est présenté est dédié aux alertes en matière de discrimination et répond à l’intérêt légitime du responsable du traitement.
Sur les données traitées
Les données collectées seront les suivantes :
Les données d’identification ;
Les données de connexion et précisément l’adresse mail.
Les messages d’alerte doivent donc comporter les nom, prénom, adresse mail, ainsi que les faits signalés. Les alertes anonymes sont proscrites, afin d’éviter la délation.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Les données relatives à chaque alerte sont archivées sur le serveur dans un délai de 2 mois à compter de la clôture de chaque alerte. Si l’alerte donne lieu à une procédure disciplinaire ou judiciaire, les données sont conservées jusqu’au terme de la procédure.
Les données faisant l’objet de mesures d’archivage sont conservées sur un support distinct, pour une durée n’excédant pas les délais de procédures contentieuses.
Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement conformément aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les alertes seront traitées par un nombre limité de membres de la Direction Egalité/Diversité, spécifiquement formées à ces sujets et habilitées individuellement.Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes faisant l’objet de signalements ou concernées par ceux-ci en seront informées dans les meilleurs délais (sous réserve de la mise en œuvre préalable des mesures de sauvegarde nécessaires) et jouiront des droits, informations et protections dûment spécifiées par les Lois applicables, notamment le droit de s’assurer de l’exactitude factuelle de toute information les concernant et incluses dans le signalement et qu’elles disposent de la possibilité d’examiner, d’étudier, de contester et de réagir à tout allégation à leur encontre.Les personnes concernées sont informées des finalités du dispositif, des personnes habilitées à traiter les alertes, ainsi que de leur droit d’accès et de rectification. Cette information s’effectue via intranet, messagerie électronique, note d’information et guides de sensibilisation, sessions de formation.L’information rappelle les voies « classiques » d’alerte (manager DRH, délégués du personnel…) et signale que l’utilisation abusive du dispositif peut exposer son auteur à des sanctions disciplinaires, ainsi qu’à des poursuites judiciaires.La Commission relève que ce dispositif d’alerte a fait l’objet de plusieurs séances de travail avec les partenaires sociaux qui ont été fortement impliqués dans sa mise en place. Une présentation a été faite aux membres de la Commission Egalité Diversité du CCE les 13 décembre 2012 et 28 janvier 2013. Une présentation du dispositif d’alerte a encore été faite aux membres du CCE les 5 et 6 février
2013. Un avis favorable a été rendu.Le droit d’accès et de rectification s’exercera auprès du Responsable de la Direction Egalité/Diversité, à la même adresse mail (service.discriminations@axa.fr) qui s’assurera du traitement de la demande par les personnes techniquement compétentes dans un délai raisonnable. Ce droit ne peut pas permettre à la personne mise en cause de prendre connaissance des coordonnées de la personne ayant réalisé le signalement.
Sur les mesures de sécurité
Des mesures sont prises pour garantir la sécurité et la confidentialité des données.L’adresse électronique dédiée ne sera accessible que par le responsable du traitement des signalements. Un badge est nécessaire pour accéder aux locaux. Un login et un mot de passe individuels et régulièrement renouvelés, sur procédure  d’habilitation, sont demandés pour accéder au poste de travail et au réseau.Un traçage est effectué et sauvegardé des accès aux données. En effet, le traitement comporte une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier  l’utilisateur à l’origine d’une opération.La gestion des mots de passe respecte les recommandations de la Commission (mots de passe individuels composés d’au moins huit caractères des catégories alphabétique, numérique et spéciaux lesquels sont régulièrement renouvelés).Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Le dispositif se compose d’une adresse électronique dédiée.Afin d’éviter tout usage abusif du dispositif, l’alerte ne pourra être valablement envoyée qu’en s’identifiant et notamment en indiquant son identité et ses coordonnées.La confidentialité de l’identité est garantie (Charte de confidentialité).Seul un nombre restreint de personnes pourront avoir connaissance de l’identité de l’émetteur de l’alerte et des personnes concernées.La Commission considère que l’obligation de s’identifier pour l’émetteur de l’alerte est de nature à limiter les risques de mise en cause abusive de l’intégrité professionnelle, voire personnelle des personnes concernées. En l’espèce, l’émetteur de l’alerte devra nécessairement s’identifier, les alertes anonymes ne seront pas acceptées. L’identité de l’émetteur de l’alerte sera par ailleurs traitée de façon confidentielle.
Autorise, conformément à la présente délibération, la société AXA FRANCE IARD à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1622578)
La Commission nationale de l’informatique et des libertés, 
Saisie par l’association Santé Service HAD d’un outil permettant la réalisation d’actes de télémédecine dans le champ de la rééducation orthopédique, outil utilisant un dispositif dénommé « e-HAD » ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8,          L. 6316-1et R. 6316-1 ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1°; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
« Santé Service HAD », association à but non lucratif participant au service public hospitalier, spécialisée en hospitalisation à domicile (HAD).  
Sur les finalités
L’outil de télémédecine « E-HAD » envisagé permet, dans le domaine de la rééducation orthopédique, en application de l’article R. 6316-1 du code de la santé publique, la mise en œuvre d’actes :
de télésurveillance médicale
de téléconsultation médicale
et de téléexpertise. 
Dans le cadre de la consultation pré-opératoire, le chirurgien prenant en charge le patient lui proposera le programme de télémédecine « e-HAD ». Après remise l du consentement écrit du patient  à ce chirurgien lors de l’admission en structure d’hospitalisation et sur présentation d’une  prescription médicale de prise en charge en HAD, un professionnel de santé de l’association Santé Service HAD installera le dispositif « MHbox » au domicile du patient. 
Dans les suites de l’opération chirurgicale, le retour au domicile sera organisé et un professionnel de santé de l’association Santé Service HAD recueillera le consentement exprès du patient quant à la mise en place du programme de télémédecine « e-HAD ». 
Le dispositif « MHbox » permet de réaliser les actes de télémédecine précités dans le cadre du suivi post-opératoire, favorisant ainsi le retour du patient à son domicile.
Les actes de télésurveillance médicale seront réalisés grâce au suivi des alertes en cas d’anomalie sur les constantes du patient, via l’utilisation des données collectées par le tensiomètre et le thermomètre communiquant en Bluetooth  avec la « MHbox », mis à la disposition du patient. 
La téléconsultation médicale permettra de réaliser une consultation médicale à distance à partir du domicile du patient qui sera accompagné d’un professionnel de santé de l’association Santé Service HAD (une infirmière diplômée d’Etat, un masseur kinésithérapeute ou un médecin). 
La téléexpertise médicale permettra de répondre aux demandes d’avis médical et ce à partir des données collectées et traitées au sein du dossier médical dématérialisé.  
Un dossier médical partagé du patient, dématérialisé, intégré dans le dispositif « MHbox », sera constitué et conservé pendant vingt ans. 
Au vu de ces éléments, la Commission considère que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle estime qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure d’autorisation de la Commission les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique. 
Sur les données traitées
Concernant les patients, les données traitées et échangées sont :
les données d’identification (nom, prénom, adresse),
les données de santé nécessaires à l’acte de télémédecine effectué, 
le motif de la demande de téléexpertise (prescriptions et spécificité). 
les données d’identification (nom, prénom) et, si le professionnel de santé se connecte avec sa carte CPS, son numéro RPPS (répertoire partagé des professionnels de santé) ; 
les traces des actions effectuées sur les dossiers. 
Concernant les professionnels de santé, les données traitées et échangées sont les suivantes :
les données d’identification (nom, prénom, adresse),  
les données de santé nécessaires à l’acte de télémédecine effectué, 
le motif de la demande de téléexpertise (prescriptions et spécificité). 
les données d’identification (nom, prénom) et, si le professionnel de santé se connecte avec sa carte CPS, son numéro RPPS (répertoire partagé des professionnels de santé) ; 
les traces des actions effectuées sur les dossiers. 
La Commission considère que les données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement.
Sur les destinataires
Les destinataires sont les professionnels de santé authentifiés et habilités, dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la prise en charge de leurs patients.L’utilisation de l’outil de télémédecine est subordonnée à la signature d’une convention par laquelle les professionnels de santé s’engagent à respecter les modalités de mise en œuvre du service, et notamment l’information et le recueil du consentement du patient ou de son représentant légal, le cas échéant. Les professionnels de santé sont informés que l’utilisation du service ne les dégage pas de leur responsabilité en matière de diagnostic ou de traitement. 
Sur l’information et le droit d’accès 
Le chirurgien qui est en contact avec le patient l’informe, dans le cadre de la consultation préopératoire, et un professionnel de santé de l’association Santé Service HAD, lors de la visite au domicile du patient, lui transmet la note d’information et le formulaire de recueil du consentement. Le formulaire contenant le  recueil du consentement sera remis lors de l’admission du patient en structure hospitalière et conservé dans son dossier médical. Les droits d’accès, de rectification et d’opposition s’exercent auprès du « correspondant informatique et libertés » de l’association Santé Service HAD. 
Sur les mesures de sécurité
Afin de permettre à un professionnel de santé d’accéder à la MHBox et au portail, un administrateur de l’association doit préalablement lui créer un compte personnel.
L’authentification sur la MHBox et sur le portail peut être opérée par l’utilisation au choix :
de la carte de professionnel de santé (CPS) ;
d’un identifiant et d’un mot de passe dans l’hypothèse où le professionnel de santé n’aurait pas sa CPS. Dans ce dernier cas, un mode de fonctionnement dit « dégradé » est prévu :  les données qui seront transmises par la MHBox seront marquées comme « en attente d’approbation » et ce jusqu’à leur validation par le professionnel de santé authentifié par l’utilisation de  sa CPS permettant ainsi la continuité des soins ; 
d’un identifiant et d’un mot de passe couplé à un certificat stocké sur une clé USB, pour les intervenants ne disposant pas de CPS. 
de la carte de professionnel de santé (CPS) ;
d’un identifiant et d’un mot de passe dans l’hypothèse où le professionnel de santé n’aurait pas sa CPS. Dans ce dernier cas, un mode de fonctionnement dit « dégradé » est prévu :  les données qui seront transmises par la MHBox seront marquées comme « en attente d’approbation » et ce jusqu’à leur validation par le professionnel de santé authentifié par l’utilisation de  sa CPS permettant ainsi la continuité des soins ; 
d’un identifiant et d’un mot de passe couplé à un certificat stocké sur une clé USB, pour les intervenants ne disposant pas de CPS.
de la carte de professionnel de santé (CPS) ;
d’un identifiant et d’un mot de passe dans l’hypothèse où le professionnel de santé n’aurait pas sa CPS. Dans ce dernier cas, un mode de fonctionnement dit « dégradé » est prévu :  les données qui seront transmises par la MHBox seront marquées comme « en attente d’approbation » et ce jusqu’à leur validation par le professionnel de santé authentifié par l’utilisation de  sa CPS permettant ainsi la continuité des soins ; 
d’un identifiant et d’un mot de passe couplé à un certificat stocké sur une clé USB, pour les intervenants ne disposant pas de CPS. 
Uniquement lors d’un accès au portail sur un intranet, réseau local protégé, l’authentification s’effectue par l’utilisation d’un identifiant et d’un mot de passe. Dans ce cas, la Commission rappelle que le poste de travail de l’utilisateur doit être authentifié sur le réseau local.
Les patients disposent également d’un identifiant et d’un mot de passe pour se connecter sur leurs MHBox.
La complexité des mots de passe utilisés est conforme aux recommandations de la Commission. Ceux-ci doivent être composés de huit caractères pour les professionnels de santé et de dix pour les administrateurs, de trois types de caractères distincts parmi les majuscules, minuscules, chiffres ou caractères spéciaux, et ne doivent pas être conservés en clair.
Toutes les communications entre la MHbox et le serveur sont sécurisées par une authentification mutuelle et par le protocole SSLv3.
Afin d’assurer la confidentialité des données sur la MHBox, le responsable de traitement a prévu de les chiffrer. La clé de chiffrement est initialement conservée sur le serveur. Lors de la première authentification, cette clé est transmise à la MHBox et conservée chiffrée grâce à la CPS ou au certificat électronique stocké sur clé USB. 
La clé de chiffrement chiffrée peut donc être déchiffrée par la CPS du professionnel de santé ou par son certificat électronique, permettant ainsi la consultation des données. 
Les accès à la MHbox et au portail sont tracés.
Sur les serveurs, les données sont conservées chiffrées par l’algorithme AES-256.
Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, l’association « Santé Service HAD »  à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE PIERROTIN