AgentPublic/cnil huggingface dataset:
Elle rappelle, toutefois, que ce moyen d’authentification n’est pas conforme aux dispositions de l’article L.1110-4 du code de la santé publique qui impose une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. Elle demande à ce que le responsable de traitement se conforme à ces obligations.
Les transferts de données sont sécurisés, notamment pour l’accès au site internet accessible par les professionnels de santé, par l’usage du protocole SSL 128 bits. La Commission rappelle que le responsable de traitement doit vérifier que l’implémentation du protocole est conforme aux règles de l’art.
Concernant les mesures de traçabilité, l’ensemble des accès aux données par les professionnels de santé, en consultation, modification et création, est tracé. Les professionnels de santé devront en être informés.
Les informations relatives aux patients pourront également être renseignées par le médecin prescripteur dans des formulaires de recueil d’informations transmis par fax.
La Commission rappelle, s’agissant des transmissions par fax, que les mesures de sécurité suivantes doivent être mises en place :
le fax doit être situé dans un local physiquement contrôlé et accessible uniquement au personnel habilité ;
l’impression des messages doit être subordonnée à l’introduction d’un code d’accès personnel ;
lors de l’émission des messages, le fax doit afficher l’identité du fax destinataire afin d’être assuré de l’identité du destinataire ;
le carnet d’adresse des fax doit préenregistrer, dans la mesure du possible, les destinataires potentiels.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données seront conservées pour une durée de quinze ans après la fin d’autorisation temporaire d’utilisation de la spécialité MYLOTARG.La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le laboratoire Pfizer à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1786490)
La Commission nationale de l'informatique et des libertés,
Saisie par la laboratoire Bristol-Myers Squibb d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des personnes atteintes de mélanome métastatique ou non resécable et traitées avec un médicament sous autorisation temporaire d’utilisation (ATU) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5121-12, R. 5121-68 à R. 5121-76 et R. 5121-152 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Nicolas COLIN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le laboratoire Bristol-Myers Squibb est une société spécialisée dans la fabrication de médicaments.
Sa spécialité NIVOLUMAB est disponible dans le cadre de deux autorisations temporaires d’utilisation (ATU) accordées par l’Agence nationale de sécurité du médicament et des produits de santé (ANSM) :
une ATU dite de cohorte,
une ATU dite nominative protocolisée.
Pour rappel, une ATU permet, en l’absence d’alternative thérapeutique appropriée, la mise à disposition précoce d’un médicament ne disposant pas encore d’une autorisation de mise sur le marché (AMM). Ce produit est par conséquent soumis à une procédure de surveillance étroite par l’ANSM portant notamment sur les effets indésirables qu’il peut provoquer.
Dans le cadre d’une ATU nominative, l’avis favorable de l’ANSM est requis.
En l’espèce, NIVOLUMAB est indiqué pour le traitement des personnes atteintes de mélanome métastatique ou non resécable. 
Sur la finalité
La finalité du traitement est de permettre le recueil d’informations relatives aux caractéristiques des patients traités par NIVOLUMAB, à l’utilisation effective du médicament et aux effets indésirables graves ou inattendus résultant de cette utilisation. Cette surveillance particulière, prévue par l’article L. 5121-12 du code de la santé publique, s’effectue conformément à un protocole d’utilisation thérapeutique pour chaque ATU, visé par l’ANSM.La Commission considère que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.Les ATUs NIVOLUMAB répondent à un besoin thérapeutique en permettant la délivrance et la prise en charge d’un médicament utile aux patients tout en fournissant un cadre qui apporte des garanties de sécurité d’emploi.La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données traitées concernent les patients auxquels le médicament sous ATU a été prescrit. Ces données sont collectées, par l’intermédiaire des professionnels de santé dispensateurs du médicament, à l’occasion du suivi médical des patients. Il s’agit de :
Les destinataires des données sont les personnels dûment habilités du laboratoire Bristol-Myers Squibb, à savoir des membres des départements en charge de la pharmacovigilance et des affaires médicales.L’habilitation à consulter des données de santé à caractère personnel ne peut être attribuée qu’à des personnes soumises au secret médical et dans la stricte limite de leurs missions.Le laboratoire Bristol-Myers Squibb fait appel à un prestataire pour mettre en œuvre les ATUs NIVOLUMAB. Cette prestation fera l’objet d’un accord contractuel définissant les opérations susceptibles d’être réalisées à partir des données transmises, ainsi que les engagements que le prestataire prend concernant la garantie de leur sécurité et de leur confidentialité, l’interdiction de les utiliser à ses propres fins et leur absence de conservation à l'issue de la prestation.Peuvent également être destinataires de données, sous une forme agrégée (rapports périodiques), les organismes publics nationaux ou locaux en charge de la surveillance des médicaments sous ATU dans le cadre de l'exercice de leurs missions telles que définies par les textes : l’ANSM, les centres régionaux de pharmacovigilance, les centres anti poison.Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les professionnels de santé prescripteurs ont l’obligation d’informer les patients des modalités de mise à disposition exceptionnelle du médicament, des caractéristiques du médicament (notamment des bénéfices, risques et contraintes) et des modalités de surveillance auxquelles la prescription est soumise.Une note d’information sera remise au patient par son médecin prescripteur. Cette note d’information précisera les objectifs de l’ATU, les données recueillies et les droits reconnus aux patients, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée.S’agissant des professionnels de santé, une mention, reprenant les différentes informations devant être communiquées aux personnes dont les données à caractère personnel sont traitées, est insérée dans un courrier qui leur est adressé par le laboratoire Bristol-Myers Squibb.Les professionnels de santé peuvent exercer leurs droits d'accès et de rectification auprès de Bristol-Myers Squibb.S’agissant des patients, ces droits s’exercent auprès du professionnel de santé qui leur prescrit la spécialité NIVOLUMAB.Les patients sont libres d’accepter ou de refuser leur traitement par un médicament prescrit sous ATU. En cas d’acceptation des soins, les dispositions légales susvisées imposent le recueil de données de santé à caractère personnel. Les patients ne peuvent donc pas s’y opposer en application de l’article 38 de la loi du 6 janvier 1978 modifiée.La Commission estime que ces modalités d’information et d’exercice des
Sur les mesures de sécurité
Un code alphanumérique est attribué à chaque patient suivi dans le cadre de la mise en œuvre des ATUs dont est titulaire le laboratoire Bristol-Myers Squibb. L’accès aux données nominatives des patients est strictement limité au médecin les prenant en charge.
Les informations relatives aux patients sont renseignées par le médecin prescripteur dans des formulaires de recueil d’informations transmis par fax ou par courriel.
La Commission rappelle, s’agissant des transmissions par fax, que les mesures de sécurité suivantes doivent être mises en place :
le fax doit être situé dans un local physiquement contrôlé et accessible uniquement au personnel habilité ;
l’impression des messages doit être subordonnée à l’introduction d’un code d’accès personnel ;
lors de l’émission des messages, le fax doit afficher l’identité du fax destinataire afin d’être assuré de l’identité du destinataire ;
le carnet d’adresse des fax doit préenregistrer, dans la mesure du possible, les destinataires potentiels.
S’agissant des transmissions par courriel, la Commission demande que ces transferts soient sécurisés, par exemple en chiffrant les données à caractère personnel transmises par un algorithme de chiffrement asymétrique avec une clé privée détenue uniquement par le destinataire des données.
Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les personnels dûment habilités du laboratoire Bristol-Myers Squibb.
Le contrôle d’accès aux données est opéré par l’usage d’un identifiant et d’un mot de passe. La Commission recommande des mots de passe d’une longueur minimale de huit caractères, composés de trois types de caractères distincts parmi les minuscules, majuscules, chiffres et caractères spéciaux. Le mot de passe doit être choisi par l’utilisateur, ou modifié dès sa première connexion, puis modifié régulièrement. Le mot de passe ne doit pas être conservé en clair dans un fichier ou une base de données.
Le laboratoire Bristol-Myers Squibb prévoit des mesures de sécurisation physique des matériels et des locaux où sont conservées les données, ainsi que des dispositifs de sauvegarde des fichiers. 
Concernant les mesures de traçabilité, l’ensemble des accès en consultation, modification et création est tracé.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données seront conservées jusque deux ans après la fin d’autorisation de mise sur le marché de la spécialité NIVOLUMAB, conformément aux recommandations de la conférence internationale sur l'harmonisation des exigences techniques pour l'enregistrement des médicaments à usage humain (ICH E6).La Commission estime que cette durée n’excède pas la durée nécessaire à la finalité poursuivie par le traitement.Les données relatives aux médecins prescripteurs seront transférées vers la maison mère du laboratoire Bristol-Myers Squibb qui est située aux Etats-Unis. Ce transfert fera l’objet d’un contrat établi sur le modèle des clauses contractuelles types de responsable de traitement à responsable de traitement, adoptées par la Commission européenne.La Commission estime que ces garanties sont suffisantes pour répondre aux obligations prévues par l’article 69 de la loi du 6 janvier 1978 modifiée. 
Autorise, conformément à la présente délibération, le laboratoire Bristol-Myers Squibb à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1762642)
La Commission nationale de l'informatique et des libertés,
Saisie par la société BNP Paribas d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un système d’authentification par reconnaissance vocale;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société BNP Paribas a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative aux traitements automatisés nécessaires à l’expérimentation d’un service basé sur un moyen d'authentification par reconnaissance vocale.La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit  être autorisé par la CNIL.
Sur la finalité
La société BNP Paribas souhaite mettre en œuvre l’expérimentation d’une solution d’authentification vocale, notamment afin de tester la fiabilité et l’acceptabilité de ce nouvel outil, dans l’objectif de sécuriser davantage les transactions réalisées à distance par ses clients et de réduire ainsi les tentatives de fraude. 
Il s’agit d’analyser les performances de l’outil en termes de faisabilité, de qualité de la reconnaissance vocale par la mesure des faux positifs et faux négatifs, de fiabilité et enfin de facilité d’utilisation. 
Les tests annoncés concernent :
la gestion des inscriptions et du déroulement de l’expérimentation
l’enregistrement des gabarits des voix
l’étude d’impact et le calcul de retour sur investissement en vue d’un déploiement futur.
L’expérimentation sera réalisée pendant une durée de 1 année, comprenant 6 mois de test et 6 mois supplémentaires pour analyse des données.
Au stade de l’expérimentation, seuls les collaborateurs volontaires de la société BNP Paribas (environ 300 personnes) sont concernés par les traitements de données biométriques et aucun cas d’usage n’est mis en œuvre.
Dans l’hypothèse d’un bilan d’expérimentation probant, et sous réserve d’une nouvelle autorisation de la CNIL en ce sens, ce dispositif n’aurait pas vocation à remplacer les mécanismes d’authentification existants mais à les renforcer pour permettre aux clients de réaliser à distance, des opérations nécessitant un niveau d’authentification fort. 
Suite à l’expérimentation, une étude générale interne  permettra d’évaluer  l’intérêt de la mise en place d’un outil d’authentification vocale et les éventuels cas d’usage dont il pourrait faire l’objet  ainsi que l’impact de la mise en œuvre de l’outil sur les systèmes informatiques et  l’organisation de la BNP Paribas. 
La Commission considère que ces finalités sont déterminées, explicites et légitimes.
Sur les données traitées
Les données collectées auprès des participants sont les suivantes :
Identité : nom, prénoms, identifiants internes, numéro de téléphone personnel ; 
Vie professionnelle : entité de rattachement, fonction, courriel professionnel, numéros de téléphone professionnels ; 
Données de connexion : identifiants uniques du serveur vocal interactif, identifiants d’horlogerie ; 
Biométrie : gabarit vocal de chaque utilisateur (ne permettant pas de reconstituer l’échantillon vocal initial).
Ces données sont collectées directement auprès de la personne concernée. Les données sont conservées pendant la durée de l’expérimentation, 1an maximum, soit 6 mois après la fin de l’expérimentation afin de pouvoir exploiter les données collectées. 
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs
Sur les destinataires
Les destinataires des données sont le personnel habilité des prestataires ATOS Worldline et Agnitio, ainsi que le personnel du déclarant dûment habilité (personnel du service en charge de la mise en œuvre du projet). Cela n’appelle aucune observation de la Commission.
Sur l’information et le droit d’accès 
Les personnes seront informées de la finalité poursuivie et des modalités de mise en œuvre de l’expérimentation par un formulaire d’information renforcée. Ce formulaire donnera lieu à la signature des salariés volontaires.La Commission prend acte que les personnes ayant accepté de participer à l’expérimentation ont expressément été informées, d’une part, de l’ensemble des modalités de mise en œuvre de celle-ci, et, d’autre part, des conditions d’exercice de leurs droits (notamment au regard des articles 39 et 40 de la loi du 6 janvier 1978 modifiée). L’ensemble de ces éléments n’appelle donc aucune observation de la Commission. 
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès. Le système de reconnaissance vocale utilisé pour cette expérimentation est fourni par la société AGNITIO.La Commission relève que l'enregistrement de la phrase d'enrôlement n'est pas stocké.Elle note également la mise en œuvre d'un dispositif "anti-fraude" permettant d'éviter qu'un enregistrement de la voix de l'utilisateur puisse permettre l'authentification d'un tiers.La mise en œuvre de la solution dans un environnement dédié au périmètre de l'expérimentation, dissocié des solutions utilisées par les clients de la banque et sans lien avec les environnements de production permettant de réaliser une opération bancaire, permettra d'éviter tout dysfonctionnement de l'environnement existant.La Commission rappelle que les gabarits biométriques étant des données identifiantes, celles-ci devront faire l'objet d'un chiffrement ou de tout moyen permettant d'assurer leur confidentialité.La Commission rappelle enfin qu'une procédure de suppression des gabarits devra être prévue pour assurer la confidentialité de ces informations au terme de l'expérimentation.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle
Sur les autres caractéristiques du traitement
La Commission demande qu'au terme de l’expérimentation, lui soit adressé un bilan des modalités de fonctionnement et d’utilisation du dispositif. Le bilan devra notamment comporter les éléments suivants :
une description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (taux de participation, temps moyen d’authentification, éventuels dysfonctionnements, causes des dysfonctionnements, taux de fausses acceptations, taux de faux rejets) ;
une présentation de la perception des utilisateurs (en phase d’enrôlement, ergonomie du service, acceptabilité de la biométrie vocale, taux d’utilisation et de non utilisation) ;
une présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ; 
suites envisagées par le responsable de traitement sur la base du bilan effectué (axe d’amélioration, abandon du projet, demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre à titre permanent). 
La Commission rappelle que la présente autorisation ne présuppose en aucune manière la délivrance d’une autorisation pérenne ; elle se prononcera, le cas échéant, sur la généralisation de ce dispositif en fonction des résultats du bilan précité.
Dans ces conditions, la Commission autorise la société BNP Paribas à mettre en œuvre, à titre expérimental, selon les modalités décrites ci-dessus, et pour une durée de 1 an, les traitements automatisés relatifs à l’utilisation du système d’authentification par reconnaissance vocale. 
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministre de l'intérieur d'une demande d'avis sur un projet d'arrêté relatif à la mise en œuvre de traitements automatisés de données à caractère personnel dénommés  logiciel d'uniformisation des procédures d'identification  (LUPIN) ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code pénal, notamment ses articles 311-1 à 311-13 et 322-5 à 322-22-1 ;Vu le code de procédure pénale ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-I-2° et 26-IV;Vu la loi n° 2011-267 du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Émet l'avis suivant :La Commission a été saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet d'arrêté relatif à la mise en œuvre de traitements automatisés de données à caractère personnel dénommés  logiciel d'uniformisation des procédures d'identification  (LUPIN). Ces traitements ont pour finalité l'identification des auteurs de certaines infractions, principalement les cambriolages, par l'enregistrement d'informations collectées par les enquêteurs et la police technique et scientifique sur les lieux de commission de ces infractions. Le ministère a dès lors fait application de l'article 26-I-2° de la loi du 6 janvier 1978 modifiée.Il est en outre prévu que cet arrêté constitue un acte réglementaire unique au sens de l'article 26-IV de la loi du 6 janvier 1978 modifiée, permettant ainsi la déclaration de plusieurs traitements.