AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par la société Sanofi Aventis France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif de télésurveillance médicale dénommé DIABEO ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, L. 6316-1, R. 6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu la loi n° 2013-1203 du 23 décembre 2013 de financement de la sécurité sociale pour 2014, notamment son article 36; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 25 avril 2017 portant cahier des charges des expérimentations relatives à la prise en charge par télésurveillance du diabète mises en œuvre sur le fondement de l'article 36 de la loi n° 2013-1203 de financement de la sécurité sociale pour 2014  ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société Sanofi Aventis France est le responsable du traitement de données à caractère personnel mis en œuvre dans le cadre de l’utilisation de DIABEO.
Elle fait appel à des sous-traitants :
un opérateur de services pour le support administratif et technique nécessaire à la mise en œuvre de DIABEO ;
la société Voluntis pour le développement de la solution DIABEO en tant que dispositif médical logiciel ; 
la société Claranet pour l’hébergement agréé des données de santé.
Sur la finalité
Le traitement de données à caractère personnel a pour objectif la réalisation d’actes de télésurveillance médicale des personnes atteintes de diabète, à travers la mise en place d’un dispositif, nommé DIABEO, intégrant les fonctionnalités suivantes : 
une application mobile à destination des patients comprenant un dispositif médical logiciel ; 
un portail web permettant de faciliter les interactions entre le patient et les professionnels de santé ; 
un centre d’appel accessible à partir d’un numéro vert composé de téléopérateurs et d’infirmières permettant de répondre aux sollicitations des patients et professionnels de santé. 
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de l’article 25-1-6° de la loi du 6 janvier 1978 modifiée (ci-après la loi « Informatique et libertés »), qui soumet à autorisation de la Commission les traitements de données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR). 
Sur les données traitées
Concernant les patients, les données traitées sont : 
 
les données d’identification ; 
le NIR ; 
les données relatives à la vie personnelle ;  
les données relatives à la vie professionnelle ; 
les données de santé nécessaires à l’acte de télésurveillance ; 
les données techniques de connexion. 
La Commission prend acte de ce que le NIR des patients ne sera utilisé qu’à des fins de remboursement du dispositif médical et des prestations associées. 
Concernant les professionnels de santé participant à la prise en charge du patient et les autres professionnels accompagnant les professionnels de santé, les données traitées sont : 
les données d’identification ; 
les données relatives à la vie professionnelle ; 
les données techniques de connexion. 
Sont également collectées les données visées à l’article R. 6316-4 du code de la santé publique. 
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi « Informatique et Libertés ».
 
Sur les destinataires
Les destinataires des données sont les suivants : 
les professionnels de santé authentifiés et habilités membres de l’équipe de soins en charge du patient dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge du patient ; 
les membres du personnel strictement habilités de l’opérateur (infirmières de l’opérateur) pour les données des patients qu’ils suivent et de leurs professionnels de santé. Ils accèdent au NIR afin de procéder à la facturation de la solution technique ;
les téléopérateurs assurant le support. Ils accèdent uniquement aux données administratives des patients afin d’assurer un support de niveau 1 ; 
les membres du personnel de Voluntis, strictement habilités, dans le cadre de la mise en œuvre d’un traitement de données à des fins de maintenance corrective et évolutive ainsi que de matériovigilance, conformément aux dispositions règlementaires applicables. 
Sur l’information et les droits des personnes
 
Concernant les patients
Le patient est informé par le biais d’une note d’information qui sera, d’une part, remise par le professionnel de santé qui le prend en charge et, d’autre part, affichée au patient lors de sa première connexion à l’application et à chaque mise à jour du document. Cette note d’information est rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi « Informatique et libertés ».
La Commission demande cependant que la note d’information soit modifiée sur les points suivants : 
le terme de « pseudonymisées » doit être utilisé en lieu et place de la notion d’« anonymisées » ; 
la destruction ou l’anonymisation irréversible des données archivées à l’expiration du délai de dix ans doit être expressément prévue dans la notice ; 
seule la société Sanofi Aventis France doit être qualifiée de responsable de traitement. 
Le consentement du patient sera recueilli par écrit, par le professionnel de santé qui le prend en charge, après remise de la note d’information. Le patient devra à nouveau donner son consentement lors de sa première connexion et à chaque mise à jour du document. 
Les droits d’accès, de rectification et d’opposition s’exercent : 
directement, et sous certaines conditions, par le biais de l’application DIABEO qui offre au patient un accès direct à ses données à caractère personnel ; 
auprès du médecin prescripteur ; 
directement auprès du service des données personnelles de la société Voluntis. 
L’exercice des droits sur les données archivées s’exerce de la même manière. 
Concernant les professionnels
Les professionnels sont informés via : 
la convention de télémédecine conclue entre les acteurs en application de la règlementation applicable ;
les conditions générales d’utilisation de l’application DIABEO.
Les droits d’accès, de rectification et d’opposition s’exercent directement auprès du service des données personnelles de la société Voluntis. 
L’exercice des droits sur les données archivées s’exerce de la même manière. 
La Commission considère que ces modalités d’information, de recueil du consentement et d’exercice des droits sont satisfaisantes, au regard notamment des dispositions de la loi « Informatique et Libertés ». 
 
Sur les mesures de sécurité
L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé de données de santé. 
La commission relève les membres du personnel de Voluntis sont en mesure d’accéder aux données de santé des patients. Elle rappelle à cet égard que, pour tous les non-professionnels de santé, un accès par identifiant et mot de passe, et sans la supervision d'un professionnel de santé, n'est autorisé que si les données accessibles par ce moyen d'authentification ne sont pas directement identifiantes. 
La Commission prend acte de ce que les échanges de courriels se réalisent par une messagerie  portée  par  l’application, dans des conditions conformes à la délibération n° 2014-239 du 12 juin 2014.
La Commission prend acte de ce que des mesures sont prévues pour assurer le cloisonnement logique des données archivées au moyen d'une séparation logique. Elle demande néanmoins que ces archives soient chiffrées avec des algorithmes et des procédures de gestion de clés conformes à l'annexe B1 du référentiel général de sécurité.
La Commission relève que le traitement inclut le NIR à des fins de remboursement du dispositif médical et des prestations associées. Elle demande à cet égard que des mesures spécifiques et appropriées à sa sensibilité soient mises en place afin d’éviter que le NIR ne soit diffusé plus que nécessaire.
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par la société est conservé trois mois en base active à compter de la fin de la période de prise en charge du patient, puis en base archive pendant dix ans.
A l’issue de cette période, l’ensemble des données à caractère personnel traitées sera supprimé ou anonymisé de manière irréversible. 
  
Autorise, conformément à la présente délibération, la société Sanofi Aventis France à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l’informatique et des libertés,
Saisie par la société VOLUNTIS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la matériovigilance ;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 90/385/CE du 20 juin 1990 concernant le rapprochement des législations des Etats membres relatives aux dispositifs médicaux implantables actifs;
Vu la directive 93/42 CE du 14 juin 1993 relative aux dispositifs médicaux ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5212-2 à L. 5212-3 et R. 5212-1 à R. 5212-42 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement ;
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société VOLUNTIS, spécialisée dans les logiciels thérapeutiques.
Sur la finalité
Le traitement a pour finalité la matériovigilance qui a pour objet la surveillance des éventuels effets indésirables des dispositifs médicaux sur la santé humaine.
La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6 de la loi du 6 janvier 1978 modifiée.
Ce traitement relève des dispositions combinées des articles 8-IV et 25-I-1° de la loi Informatique et Libertés qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les données systématiquement collectées sont :
données d’identification du patient : numéro d’identification du patient ;
données de santé : nature du ou des effets indésirables, maladies ou événements associés, conduite thérapeutique du prescripteur ou des professionnels de santé intervenant dans la prise en charge de la maladie ou de l’effet indésirable ;
données d’identification des professionnels de santé concernés par l’observation : nom du médecin prescripteur du dispositif.
Les données collectées lorsqu’elles sont strictement nécessaires à l’appréciation de l’effet indésirable sont les suivantes :
données d’identification du patient : date de naissance
données de santé : traitements administrés, résultats d’examens ;
habitudes de vie et comportements : exercice physique (intensité, fréquence, durée), régime et comportement alimentaire.
Le responsable de traitement doit mettre en place les mesures techniques adéquates afin que les données codées relatives aux patients soient séparées des autres données.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes habilitées à accéder aux données de matériovigilance sont :
le responsable de la matériovigilance, ainsi que ses collaborateurs placés sous sa responsabilité ;
le directeur médical ou son représentant, ainsi que toute personne dûment habilitée et placée sous sa responsabilité, dans la limite de ses attributions et pour ce qui la concerne ;
les personnes habilitées du service des affaires juridiques et des affaires réglementaires, en fonction des dossiers qu’elles ont à traiter dans le cadre de la gestion des réclamations ;
les prestataires de services intervenant pour le compte et sous la responsabilité de Voluntis dans le cadre de son activité de matériovigilance, dans la limite de leurs fonctions et dans les conditions définies par le contrat les liant à l’exploitant ;
les professionnels de santé concernés par le signalement ;
les organismes publics nationaux, communautaires ou étrangers en charge de la matériovigilance dans le cadre de l’exercice de leurs missions telles que définies par les textes : l’Agence Nationale de Sécurité du Médicament et des produits de santé (ANSM),  les autorités ou agences sanitaires nationales étrangères et les autorités ou agences sanitaires internationales.
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et les droits des personnes 
Les personnes concernées sont informées avec une mention sur les courriels et courriers. Un message similaire est délivré lors des contacts téléphoniques. Le cas échéant, des consignes sont données aux professionnels de santé ou associations afin qu’ils puissent délivrer l’information au patient.
Les droits prévus par la loi s’exercent auprès de la société VOLUNTIS.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur.
Le responsable de traitement doit mettre en place une politique de mot de passe conforme aux recommandations de la Commission (utilisation d’un mot de passe d’une longueur minimale de huit caractères et composé de trois types de caractères distincts avec mesures de blocage ou de ralentissement en cas d’essais infructueux ou douze caractères en l’absence de ces mesures).
La confidentialité des données et des sauvegardes est assurée par la mise en œuvre d’un dispositif de chiffrement.
Le traitement dispose d’une journalisation des accès.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la durée de commercialisation du dispositif et pendant une durée supplémentaire de dix ans. Au-delà de cette durée, les données sont supprimées ou archivées sous une forme anonymisée.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société VOLUNTIS à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente,
Le Vice-Président Délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la société IDF Fitness d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales stockées sur support individuel et ayant pour finalité le contrôle de l'accès à un club de sport ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement,
La Commission nationale de l'informatique des libertés a été saisie par la SARL IDF Fitness d'une demande d’autorisation portant sur un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales stockées sur un support individuel et ayant pour finalité le contrôle de l'accès à un club de sport.
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l’article 25 de la loi du 6 janvier 1978 modifiée, et doit dès lors être autorisé par la CNIL.
Sur la finalité du traitement :
La SARL IDF Fitness gère un club de sport comptant environ 5000 adhérents. Le dispositif vise à garantir que seules les personnes ayant un abonnement en cours de validité puissent accéder à la salle de sport.
Il sera mis en place par le biais de deux bornes situées à l’entrée de l’établissement. Ces boîtiers seront reliés à un serveur dédié au contrôle d'accès et dans lequel seront uniquement enregistrées les données nécessaires à l'identification des personnes et la vérification de la validité de l’abonnement (nom, prénom, la date de début et de fin de validité de l'abonnement).
Le gabarit de l'empreinte digitale des personnes concernées sera exclusivement stocké sur une carte individuelle (de type badge). Le contrôle d'accès s'effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré sur le badge.
La finalité du traitement envisagé est double.
Le traitement biométrique de reconnaissance des empreintes digitales a pour objet de limiter les risques de fraudes en permettant de vérifier l’identité du titulaire de l’abonnement. Il vise à garantir que seules les personnes ayant un abonnement en cours de validité puissent accéder à la salle de sport de manière fluide et ergonomique. Celles qui ne souhaiteraient pas en bénéficier pourront continuer d’utiliser le contrôle d’accès classique qui consiste en l’utilisation d’un badge d’accès associée à un contrôle effectué par l’agent d’accueil présent pendant les horaires d’ouverture de l’établissement (7 jours sur 7 de 8h30 à 22 heures).
La Commission considère que la finalité du traitement est déterminée, explicite et légitime.
Sur le fondement juridique du traitement :
La Commission rappelle que conformément aux dispositions de l’article 7 de la loi du 6 janvier 1978 modifiée, le consentement ne peut servir de base légale valable au traitement que s’il est libre, spécifique et informé.
Dans le cas présent, deux modes d’authentification seront proposés aux adhérents :
soit de consentir à l’utilisation du dispositif de contrôle d’accès biométrique,
soit de ne pas y consentir ou de retirer leur consentement à tout moment en optant pour le contrôle d’accès classique (badge et contrôle par l’agent d’accueil de l’établissement).
La Commission rappelle que le dispositif alternatif à la biométrie doit être présenté aux personnes concernées avant qu’elles n’expriment leur choix et que l’utilisation de celui-ci doit être maintenue, sans contrainte additionnelle, en tant qu’option pour accéder à la salle de sport.
Sous ces réserves, le traitement soumis à la présente autorisation repose sur le consentement préalable des personnes concernées, conformément à l’article 7 de la loi du 6 janvier 1978.
Sur la nature des données traitées :
Le traitement envisagé prévoit la collecte des données suivantes :
données d’identité de l’adhérent ;
données relatives à l’abonnement de l’adhérent ;
Celles-ci seront enregistrées sur le serveur dédié au contrôle d’accès et conservées le temps de validité de l’abonnement de l’adhérent ;
gabarit biométrique chiffré qui est enregistré et conservé pendant la durée de l’abonnement du client, ou jusqu’à demande de suppression, sur le support individuel remis à l’adhérent ayant souhaité utiliser ce mode d’authentification.
La Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
Sur l’information et les droits des personnes :
Chaque nouvel inscrit ou toute personne concernée se verra remettre une note d’information relative au dispositif biométrique précisant notamment la finalité du traitement, les modalités de sa mise en œuvre, la durée de conservation du gabarit biométrique sur le support, ainsi que les modalités d’exercice des droits et particulièrement celles relatives au retrait du consentement. Ces mentions seront également portées sur un affichage dédié, ainsi que sur le formulaire d’inscription au club.
Les droits d'accès et de rectification s'exerceront auprès du directeur de l’établissement.
Sur la sécurité :
La Commission rappelle que le responsable du traitement est tenu de prendre toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.
Dans cet objectif, le responsable de traitement doit s’assurer a minima que les données biométriques soient chiffrées à l'aide d'un algorithme cryptographique et d'une gestion des clés conformes à l'état de l'art, ainsi qu’interdire tout accès externe à la donnée biométrique (match-on-card ou module de sécurité physique/logique type HSM).
La Commission considère que le projet de traitement laisse aux personnes concernées la maîtrise de leurs données personnelles dans la mesure où, d'une part, seules les données des personnes y ayant expressément consenties seront traitées et, d'autre part, l'empreinte digitale est uniquement stockée dans un support individuel exclusivement détenu par la personne concernée dont elle décide librement de l'utilisation. 
Le dispositif soumis par la société IDF Fitness apparaît donc ne pas comporter de risques importants pour la protection des libertés et des droits fondamentaux de la personne.
Dans ces conditions, la Commission autorise, conformément à la présente délibération, la société IDF Fitness à mettre en œuvre le traitement de données à caractère personnel présenté.
La Présidente
    Isabelle FALQUE-PIERROTIN