AgentPublic/cnil huggingface dataset:
Les informations issues des dossiers médicaux des anciens salariés seront collectées par une investigatrice auprès du service de médecine de l’Association Santé Travail 62 59, à travers une demande d’accès adressée au directeur de l’association comportant l’autorisation de la Commission pour la mise en œuvre de la présente étude.
S’agissant du statut vital, le responsable de traitement chargera l’INSERM d’interroger le RNIPP en lui transmettant un fichier informatique contenant : le numéro d’identification individuel de chaque participant à l’étude, le nom patronymique, les prénoms, le sexe, la date et le lieu de naissance. L’INSEE transmettra à l’Université les date et lieu de décès, ainsi que le numéro de l’acte de décès.
S’agissant des causes de décès, l’INSERM supprimera les informations en sa possession concernant le nom patronymique et les prénoms, et fera inscrire les causes médicales individuelles de décès par le service chargé d'établir la statistique nationale des causes de décès. Le fichier ainsi complété sera alors restitué à l’Université, avec le numéro d’identification individuel propre à l’étude pour toute identification.
Les informations concernant la population externe de référence porteront sur les effectifs de population masculine par tranche d’âge dans l’ancienne région Nord Pas-de-Calais pour les années 1968 à 2013 ainsi que sur le nombre de décès survenus chaque année pour cette population.
La Commission relève que les données seront saisies sur trois postes de travail distincts : un ordinateur dédié à la saisie des données nominatives issues des ANMT pour transmission à l'INSERM qui fournit le statut vital et des causes médicales individuelles de décès, un deuxième ordinateur dédié à la saisie des données issues du dossier de médecine du travail, Un troisième ordinateur qui fusionnera les données administratives, d'exposition, le statut vital et les causes de décès.
Chaque ancien salarié de la cohorte sera identifié au moyen d’un numéro d’ordre à quatre chiffres dans l’ordre d’inclusion. 
Une table de correspondance entre l’identité des participants et leur identité codée sera conservée par l’une des investigatrices, maître de conférences à l’Université, qui ne dispose d’aucun accès aux données de santé ni aux causes de décès, de sorte que, conformément à l’article 55 de la loi Informatique et Libertés, la présentation des résultats du traitement de données ne permet en aucun cas l’identification directe ou indirecte des personnes concernées.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés.
Sur la durée de conservation des données :
Les données collectées dans le cadre de l’étude seront conservées pendant quinze ans, afin de permettre à l’Université de mener les exploitations statistiques sur un nombre conséquent de sujets. 
Sur les destinataires des données :
La Commission prend acte de ce que les données collectées dans le cadre de l’étude ne seront transmises à aucun destinataire.
Les trois intervenantes dans l’étude sont rattachées à l’Université Lille 2 et au Centre hospitalier régional universitaire de Lille, en tant que praticiennes hospitalières et maître de conférences santé et sécurité au travail.
Sur l'information des personnes :
Dans le cadre du projet, l’inclusion des anciens salariés de l’entreprise dans la cohorte s’effectuera à partir des 6 000 dossiers détenus par les ANMT que l’Université informatisera. 
Une information préalable sera effectuée par le biais de l’association « Chœurs de fondeurs » qui enverra une note d’information par courrier aux adhérents et ayants droit et la publiera sur son site internet. Cette note explique les objectifs de l’étude, son déroulement ainsi que les droits dont disposent les participants et leurs modalités d’exercice.
La Commission prend acte de ce que la note d’information sera modifiée de manière à permettre aux ayants droit d’anciens salariés décédés de faire connaître au responsable de traitement les éventuels refus exprimés par écrit par les intéressés à ce que leurs données fassent l’objet d’un traitement, conformément à l’article 56 de la loi Informatique et Libertés.
S’agissant d’une enquête épidémiologique de mortalité, réalisée plus de dix ans après la fermeture de l’entreprise, le responsable de traitement demande à la Commission une dérogation à l’obligation d’information préalable fondé sur  la difficulté de retrouver les personnes concernées.
La Commission rappelle que, selon les dispositions de l’article 57, alinéa 2, de la loi précitée, lorsque les données à caractère personnel ont été initialement recueillies pour un autre objet que la recherche, l’étude ou l’évaluation, il peut être dérogé à l’obligation d’information individuelle lorsque cette information se heurte à la difficulté de retrouver les personnes concernées. 
La Commission estime cette condition remplie et accorde en conséquence la dérogation sollicitée.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès, de rectification et d’opposition des personnes s’exercent auprès de la personne responsable de l’étude dont les coordonnées sont indiquées dans le formulaire.
Sur la sécurité des données et la traçabilité des actions :
L’experte toxicologue chargée de reconstruire l’historique des expositions n’aura accès qu’aux données concernant les expositions professionnelles. Seule la responsable de l’étude aura accès aux données des dossiers de médecine du travail et aux causes médicales de décès.
Les données sont sauvegardées de manière hebdomadaire sur disque dur. La Commission recommande que les sauvegardes soient régulièrement testées afin de vérifier leur intégrité et que le transfert des sauvegardes soit sécurisé. En outre, elles doivent être stockées dans un endroit garantissant leur sécurité et leur disponibilité.
La Commission relève que le nouvel article L.1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par carte de professionnel de santé ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une carte de professionnel de santé ou d’un dispositif équivalent agréé par l’ASIP santé.
Pour les non-professionnels de santé, la Commission rappelle qu'un accès par identifiant et mot de passe n'est autorisé que si les données en accès ne sont pas directement identifiantes. A cet égard, la Commission recommande l’utilisation de mots de passe disposant au minimum de dix caractères, composés de trois types de caractères distincts. En outre, le mot de passe doit être modifié par l’utilisateur dès sa première connexion, puis régulièrement.
La Commission rappelle que ses préconisations sur les durées de conservation des journaux sont de six mois. Par ailleurs, les traces d'accès aux données de santé doivent être enregistrées directement dans les dossiers de patients et conservées avec la même durée que ceux-ci. La Commission recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et lever des alertes.
Elle rappelle également que l'article 34 alinéa 1 de la loi du 6 janvier 1978 modifiée prévoit que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.
Dans ces conditions, la Commission autorise l’Université de Lille 2  à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en œuvre d’une étude épidémiologique portant sur la mortalité des anciens salariés de Métaleurop Nord.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1756652)
La Commission nationale de l'informatique et des libertés,
Saisie par la société DEFI SOCIAL d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’une application « URGENCEFLASH » permettant la mise à disposition d’informations assurant la protection de la personne et consultables par le biais d’un QR Code sur un porte-clefs ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de santé publique, notamment ses articles L. 1110-4, L. 1111-8 et R. 1111-9 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission a été saisie par la société DEFI SOCIAL d’une demande d’autorisation concernant une application, intitulée « URGENCEFLASH », mettant à disposition des services d’urgence des informations indispensables à la prise en charge d’une personne dans le cadre d’un protocole d’accueil d’urgence.
Le service s’adresse à un utilisateur, personne physique ou structure médico-sociale, qui souscrit à un abonnement pour un, deux ou trois ans et crée son compte URGENCEFLASH en se connectant au site internet. Une structure médico-sociale peut créer un compte regroupant les abonnements de ses résidents.
Responsable du traitement
DEFI SOCIAL est une société à responsabilité limitée, créée en mars 2002, qui propose une assistance aux établissements pour la gestion des données sociales, administratives et médicales des personnes qu’ils accueillent. 
Sur la finalité
Le traitement a pour finalité la mise en œuvre d’une application « URGENCEFLASH » permettant aux services d’urgence et de soin (SAMU, sapeurs-pompiers, hôpitaux, autres structures médicales) de flasher le QR-Code d’un utilisateur, d’accéder à ses antécédents médicaux et de lui délivrer les premiers soins dans les meilleures conditions, en cas d’errance ou d’accident sur la voie publique ou à domicile.La Commission considère la finalité poursuivie comme déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée (« loi Informatique et Libertés »).Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi Informatique et Libertés qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données relatives aux utilisateurs du service portent sur :
leur identité : civilité, nom, prénom, adresse pour l’envoi de la carte avec le QR Code, e-mail pour l’envoi de l’identifiant utilisateur, numéro de téléphone, photographie, date et lieu de naissance, identifiant de connexion ;
leur santé : pathologie, antécédents familiaux, soins, situations ou comportements à risque afin de renseigner le personnel d’urgence sur la meilleure prise en charge de la personne au regard de son état de santé.
Sont également traitées des données relatives à la personne de confiance (nom, prénom et numéro de téléphone) librement choisie par l’utilisateur. La personne de confiance est chargée d’informer, d’alerter ou d’orienter l’utilisateur. En cas de perte de connaissance de ce dernier, la personne de confiance révèle le mot de passe aux secouristes leur permettant d’accéder aux informations médicales de l’utilisateur. 
Si l’utilisateur ne désigne aucune personne de confiance, il sera le seul à pouvoir transmettre aux services d’urgence le mot de passe d’accès à sa fiche médicale.
La Commission prend acte de ce que le Numéro d'inscription au répertoire (NIR) et la situation familiale de l’utilisateur ne seront pas traités. 
Les modalités de collecte :
Ces données sont renseignées directement par l’utilisateur qui se connecte au site internet, ou indirectement par le représentant légal ou l’organisation ayant reçu un mandat exprès de la personne concernée.
La Commission relève qu’aucune mesure ne permet de limiter les données pouvant être saisies, et prend acte de l’engagement du responsable de traitement de modifier la fiche d’information de manière à enjoindre aux structures médico-sociales de ne pas collecter des données dépassant le cadre de l’urgence.
Sous réserve de sa précédente observation, la Commission estime que les données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément à l’article 6-3° de la loi Informatique et Libertés.
Sur les destinataires
Les destinataires des données saisies sont les services d’urgence et de soins auxquels l’utilisateur a communiqué son mot de passe, à savoir le SAMU, les sapeurs-pompiers, les hôpitaux, les professionnels de santé ainsi que les autres structures médicales, dans le respect du secret médical.La Commission en prend acte.
Sur l’information des personnes et l’exercice des droits
L’utilisateur est informé des modalités de mise en œuvre du traitement, des droits dont il dispose sur ses données à caractère personnel ainsi que des modalités d’exercice de ses droits, avant de finaliser son inscription, à partir d’une fiche d’information consultable sur le site internet. Cette fiche contient les mentions d’information prévues par l’article 32 de la loi Informatique et Libertés.Le consentement de l’utilisateur au traitement et au partage de ses données de santé est recueilli préalablement à la conclusion  de son abonnement, au moyen d’une case à cocher sur la fiche d’information. Les utilisateurs résidents d’une structure médico-sociale titulaire de l’abonnement sont informés du traitement mis en œuvre et de leurs droits par cette dernière via une note informative dans le livret d’accueil. La Commission demande que le consentement de chaque utilisateur résident de la structure soit recueilli de la même manière qu’un abonné personne physique, à savoir individuellement et préalablement à la conclusion de l’abonnement.La Commission prend acte de l’engagement du responsable de traitement de modifier la fiche d’information de manière à indiquer aux utilisateurs qu’ils peuvent exercer leurs droits d’accès, de rectification et d’opposition auprès du fondateur de DEFI SOCIAL.La Commission rappelle que la personne de confiance éventuellement désignée doit également être  informée de ce que ses données seront accessibles publiquement ainsi que des droits dont elle
dispose pour s’y opposer, pour les consulter et les modifier. Sous réserve des précédentes observations, la Commission estime que ces modalités d’information sont satisfaisantes.
Hébergement :La Commission prend acte de l’engagement du responsable de traitement de faire héberger les données auprès d’un hébergeur de données de santé agréé,  conformément aux dispositions de l’article L. 1111-8 du code de la santé publique (CSP).Authentification :La complexité du mot de passe utilisé par l’utilisateur pour accéder ou modifier sa fiche est conforme aux recommandations de la Commission. La Commission relève en revanche que le « mot de passe Urgence », composé de quatre caractères, ne présente pas une complexité conforme à ses recommandations. Elle précise qu’il est nécessaire également de disposer d’un identifiant de huit caractères alpha numériques pour accéder aux données médicales relatives à un individu (identifiant de la personne concernée).D’autres mesures sont mises en place afin de limiter les accès non autorisés aux données médicales.Accès :Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. La Commission relève que le personnel de DEFI SOCIAL ne dispose d’aucun accès aux données de santé des utilisateurs.Une revue globale des habilitations est opérée annuellement.L’accès à la fiche d’urgence en lecture seule s’effectue selon les modalités suivantes : les secouristes devront « flasher » le QR-code du porte-clefs afin d’accéder directement à l’URL puis renseigner le « mot de passe Urgence », transmis par l’utilisateur ou sa personne de confiance si ce dernier est inconscient. Afin d’éviter
l’impossibilité pour les secours d’accéder aux informations d’un utilisateur inconscient qui n’aurait pas désigné de personne de confiance, l’utilisateur peut choisir de rendre sa fiche d’urgence accessible sans mot de passe. La Commission demande que ce paramétrage résulte d'une action volontaire de la personne et ne soit pas par défaut.A cet égard, la Commission relève que l’article L. 1110-4 du CSP issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par carte de professionnel de santé (CPS) ou dispositif équivalent agréé par l’ASIP Santé et que le nouvel article L. 1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission suggère que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé. Les informations relatives à la personne de confiance sont accessibles avec la connaissance de l’identifiant placé dans le QR-code, afin de permettre aux services d’urgence et de soin de lui demander le « mot de passe Urgence ».L’utilisateur accède à sa fiche en entrant son mot de passe qu’il a lui-même défini, lui permettant notamment de modifier ou de supprimer de façon
définitive les informations le concernant.Sauvegarde :Ces informations sont sauvegardées quotidiennement, les sauvegardes de données étant chiffrées.Confidentialité :L’accès au téléservice est sécurisé au moyen du protocole HTTPS. Le responsable de traitement utilise la version de TLS la plus à jour possible. Afin d’empêcher les moteurs de recherche d’indexer les informations relatives aux personnes de confiance, rendues accessibles par la connaissance de l’identifiant alpha numérique (nom et numéro de téléphone du contact d’urgence), un fichier robot.txt sera mis en place.Traçabilité :Pour chaque modification de données, effectuées par la personne concernée, sont enregistrés : la date et heure, l’utilisateur connecté et les informations envoyées par l’utilisateur.Le serveur enregistre également l’ensemble des appels effectués, avec l’adresse IP de l’internaute. Ces traces sont conservées durant une durée limitée à six mois.Des mesures sont prises pour analyser les traces, notamment afin de bloquer les tentatives d’accès suspicieux aux informations relatives aux personnes de confiance et aux informations médicales. Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi Informatique et Libertés.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées le temps de l’abonnement (un, deux ou trois ans), ou jusqu’à leur suppression par la personne concernée.En cas de non-renouvellement de l’abonnement, après envoi d’un mail ou d’un courrier simple à l’utilisateur, toutes ses données seront intégralement et définitivement supprimées à l’expiration d’un délai d’un mois à compter du dit envoi.La Commission considère cette durée de conservation satisfaisante.
Autorise, conformément à la présente délibération, la société DEFI SOCIAL à mettre en œuvre le traitement susmentionné.
Pour la Présidente 
Le Vice-Président délégué
Marie-France MAZARS
(demande d’autorisation n° 1910855
La Commission nationale de l'informatique et des libertés,
Saisie par le groupement de coopération sanitaire TESIS E-SANTE REUNION MAYOTTE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre du programme Territoire de soins numérique à la Réunion et à Mayotte, intitulé « Océan Indien Innovation Santé » (OIIS) 
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observatio
Formule les observations suivantes :
En décembre 2013, le Commissariat général aux investissements d’avenir a lancé un appel à projet « Territoires de Soins Numériques » auprès des 26 Agences régionales de santé (ARS) afin de moderniser le système de soins en expérimentant, dans certaines zones pilotes, des services et des technologies innovants en matière d’e-santé.
Le programme OIIS, porté par l’ARS Océan Indien et le GCS TESIS, responsable du traitement de données à caractère personnel, a obtenu un financement afin de faire émerger un territoire de soins numérique à la Réunion et à Mayotte pour les parcours de prise en charge de quatre pathologies chroniques : le diabète, les accidents vasculaires cérébraux, les insuffisances rénales chroniques et les insuffisances cardiaques chroniques. 
Sur la finalité du traitement :
Le traitement envisagé a pour finalité la mise en œuvre du programme OIIS grâce à une plateforme de services, comprenant deux portails : l’un pour les professionnels et l’autre pour le public.
Le portail « professionnel » constitue un espace de travail collaboratif sécurisé pour les acteurs du système de santé et médico-social, comprenant :
un espace numérique d’échange et de partage sécurisé ;
une messagerie sécurisée ;
un agenda ;
un annuaire en ligne ;
un espace de coordination.
Ce portail constituerait un complément des outils déjà existants, permettant de regrouper sur un bureau virtuel de nouveaux outils et les outils métiers déjà utilisés par les professionnels.