AgentPublic/cnil huggingface dataset:
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la direction de l’Institut des Neurosciences de Grenoble – Chemin Fortuné Ferrini, Université Joseph Fourier – 38700 La Tronche BP 170.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom) ;
le statut dans l’institut ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages des trois derniers mois.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités de la direction administrative de l’institut.
Dans ces conditions, la Commission autorise l’Institut des Neurosciences de Grenoble, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la loi n° 51-711 du 7 juin 1951 relative à l’obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment ses articles 8-II-7 et 25-I-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Après avoir entendu Mme Marie-Hélène MIJAVILE, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement en ses observations ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la direction de la recherche, des études, de l’évaluation et des statistiques (DREES) à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’une enquête statistique sur l’estimation du risque d’événements indésirables graves en établissement de santé (ENEIS 2).
Responsable du traitement
La direction de la recherche, des études, de l’évaluation et des statistiques (DREES) du ministère de la Santé, de la Jeunesse, des sports et de la vie associative
Finalités
Renouvellement d’une enquête nationale, conduite en 2004 (ENEIS), destinée à estimer la fréquence des événements indésirables graves (EIG) liés aux soins réalisés pendant l’hospitalisation ou avant celle-ci, observés chez les patients pris en charge dans les établissements de santé, à apprécier leur caractère évitable et à en analyser les causes.Le renouvellement de l’enquête doit permettre de mesurer l’atteinte des objectifs de réduction des EIG qui figure parmi les objectifs du rapport annexé à la loi du 9 août 2004 relative à la politique de santé publique et de disposer, cinq ans après, de nouvelles données épidémiologiques sur la fréquence des EIG liés aux soins.L’enquête a reçu un avis favorable du Conseil national de l’information statistique (CNIS), le 18 juin 2008 et le label d’intérêt général du Comité du label, le 2 octobre 2008.L’enquête aura lieu auprès d’un échantillon aléatoire et représentatif d’établissements de santé volontaires qui, informés par courrier de l’enquête, seront mis en mesure de refuser d’y participer.Elle sera réalisée par voie de questionnaires administrés par une cinquantaine d’enquêteurs, médecins et infirmiers, externes à l’établissement auprès du personnel soignant et médical des unités de soins.Le recueil des données se fera en deux temps. Dans un premier temps, un enquêteur-infirmier se rendra dans les unités de médecine et de chirurgie pour détecter les patients concernés par un événement indésirable grave et remplira une « fiche de
détection d’un EIG » à l’aide du cadre infirmier du service enquêté et à l’appui du dossier du patient.Dans un second temps, un enquêteur-médecin se rendra dans l’unité et confirmera l’EIG. Il en appréciera le caractère évitable à l’aide du médecin en charge du patient et après consultation du dossier du patient. Deux documents seront remplis à cette occasion : une « fiche de confirmation de l’EIG », ainsi qu’une « fiche d’analyse du caractère évitable de l’EIG ».L’exploitation et l’analyse des résultats seront effectuées par le Comité de Coordination de l’Evaluation Clinique et de la Qualité en Aquitaine (CCECQA), structure interhospitalière spécialisée dans des études relatives à l’évaluation clinique, la gestion du risque et la mise en œuvre de démarches qualité, prestataire de la DREES retenu par appel d’offres. Deux bases de données seront constituées à partir de la saisie des fiches ainsi transmises : un fichier d’étude des événements indésirables graves comportant des données indirectement nominatives et un fichier anonyme relatif à l’analyse du caractère évitable des risques et les facteurs de risques.Les données seront anonymisées avant transmission à la DREES.
Données traitées
- Pour les enquêteurs: numéro d’identification, service, dates du recueil des données.- Pour les patients : trois premières lettres du nom et du prénom, numéro de dossier dans l’établissement, numéro d’ordre (composé des codes « établissement » « service » et d’inclusion du patient par l’enquêteur), date de naissance, sexe, date et mode d’entrée et de sortie dans le service, événement indésirable (critères de détection, données cliniques pertinentes, niveau de gravité, existence d’un lien avec les soins, conditions et moment de survenue et conséquences).Les informations relatives à l’événement sont renseignées sur la base d’une liste de catégories d’incidents, accompagnée de champs libres. Une information est assurée auprès des enquêteurs au cours de journées de formation leur rappelant qu’aucune mention d’une personne directement ou indirectement identifiable ne doit apparaître dans le champ libre qui figure dans la « fiche d’analyse du caractère évitable d’un EIG ».
Destinataires
- Les enquêteurs, infirmiers et médecins, chargés de détecter et de confirmer les EIG.- Le Comité de Coordination de l’Evaluation Clinique et de la Qualité en Aquitaine (CCECQA), chargé d’effectuer l’exploitation des données et l’analyse des résultats.Les fiches numérotées remplies par le médecin enquêteur sont envoyées au CCECQA sous forme papier, via un transporteur spécialisé, indépendamment de la liste de correspondance, adressée par courrier avec accusé de réception.Des engagements contractuels de respecter la confidentialité des données ont été pris tant par les enquêteurs que par le CCECQA.- Le personnel habilité de la DREES à l’exclusion d’éléments d’identification du patient et du médecin.- Les chercheurs, de données anonymes.
Information et droit d’accès
- Une note individuelle est remise aux patients indiquant la finalité et les modalités de mise en œuvre de l’enquête et leur rappelant les droits qui leur sont reconnus par la loi (droit d’opposition discrétionnaire, droit d’accès).Une information est également assurée auprès des membres du personnel des unités de soins concernées.-Le droit d’accès s’exerce dans l’unité d’hospitalisation, puis auprès du directeur médical du CCECQA jusqu’à la destruction de la liste de correspondance qui rendra impossible l’identification d’un patient, soit dans un délai de 15 jours après la fin du recueil des données
Caractéristiques particulières du traitement
- Les données permettant l’identification des patients (trois premières lettres du nom et du prénom et numéro de dossier dans l’établissement), nécessaires pour permettre au médecin enquêteur de s’assurer que le patient dont il confirme l’événement est bien celui qui a fait l’objet d’une détection, seront collectées sur un feuillet détachable de la « fiche de détection ». Elles seront traitées séparément, conservés dans des conditions de nature à garantir leur confidentialité et détruites dans l’unité d’hospitalisation une fois la vérification de l’identité des patients effectuée par le médecin enquêteur.- La liste de correspondance entre les données indirectement nominatives figurant sur les « fiches de détection et de confirmation de l’EIG » et le numéro aléatoire figurant sur la « fiche d’appréciation du caractère évitable de l’événement », adressée au CCECQA vise à permettre d’interroger l’équipe de soins en cas de nécessité à l’aide des données indirectement nominatives (numéro patient, âge, sexe, dates d’entrée et de sortie).Cette liste sera détruite une fois ce contrôle effectué, dans un délai de quinze jours après la fin de recueil des données. - Les établissements seront destinataires des résultats globaux de l’étude et des résultats par unité les concernant, sous une forme ne permettant pas l’identification des patients ou la mise en cause d’un membre du personnel.- Les données seront mises à disposition des chercheurs sous forme de base anonyme.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par l’Association pour le développement de la chirurgie réparatrice et orthopédique d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
L’association pour le développement de la chirurgie réparatrice et orthopédique souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès du personnel aux locaux. 
Le dispositif reposera sur des boîtiers de lecture-comparaison situés sur la porte d’accès de l’entrée du personnel, des vestiaires femmes, des vestiaires hommes, du local d’archives médicales, de la pharmacie et à la caisse centrale. L’enrôlement des personnes s’effectuera à partir d’un boîtier qui est équipé d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom, fonction) seront également traitées.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ de l’employé de la société. Un historique des passages sera conservé pendant trois mois.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la direction de l’association Pour le développement de la chirurgie réparatrice et orthopédique, 2 rue du Parc, 94460 Valenton.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom, fonction) ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités de la direction.
Dans ces conditions, la Commission autorise l’Association pour le développement de la chirurgie réparatrice et orthopédique à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi organique n° 76-97 du 31 janvier 1976 modifiée relative aux listes électorales consulaires et au vote des français établis hors de France pour l’élection du Président de la république ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 27-II-4° ;
Vu la loi n°82-471 du 7 juin 1982 relative au Conseil supérieur des Français de l'étranger, modifiée par la loi n° 2003-277 du 28 mars 2003 tendant à autoriser le vote par correspondance électronique des Français établis hors de France pour les élections du Conseil supérieur des Français de l'étranger ;
Vu le décret n° 84-252 du 6 avril 1984 modifié portant statut de l’Assemblée des Français de l’étranger et fixant les modalités d’élection de ses membres ;
Vu le décret n° 2033-1377 du 31 décembre 2003 modifié relatif à l’inscription au registre des Français établis hors de France ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu l’arrêté du 30 mars 2005 relatif au système informatique de traitement des données relatives aux Français établis hors de France ;
Vu la délibération n° 03-036 du 1er juillet 2003 portant adoption d'une recommandation relative à la sécurité des systèmes de vote électronique ;
Vu la délibération n° 2006-042 du 23 février 2006 portant avis sur le traitement de données à caractère personnel mettant en œuvre un dispositif de vote électronique pour les élections à l’Assemblée des Français de l’étranger du 18 juin 2006 ;
Sur le rapport de Mme Isabelle FALQUE-PIERROTIN, Vice-présidente, et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Emet l’avis suivant :
Le ministère des affaires étrangères souhaite mettre en place un dispositif de vote électronique pour les élections à l’Assemblée des Français de l’étranger (AFE) du 20 mai 2009 relatives aux circonscriptions électorales d'Afrique et d'Amérique.
Pour ce faire, le ministère des affaires étrangères a adressé, le 27 février 2009, à la Commission un dossier de formalités préalables comportant un projet de décret et un projet d’arrêté destinés à encadrer réglementairement ce vote électronique ainsi que des éléments techniques relatifs au dispositif de vote électronique retenu.
Sur le régime de formalités préalables applicable
Aux termes de l’article 27-II, 4° de la loi du 6 janvier 1978 modifiée, sont autorisés par arrêté, ou en cas de traitement opéré pour le compte d’un établissement public ou d’une personne morale de droit privé gérant un service public, par décision de l’organe délibérant chargé de leur organisation, pris après avis motivé de la CNIL « les traitements mis en œuvre par l’Etat ou les personnes morales mentionnées au I aux fins de mettre à disposition des usagers de l’administration un ou plusieurs téléservices de l’administration électronique, si ces traitements portent sur des données parmi lesquelles figurent le numéro d’inscription des personnes au répertoire national d’identification ou tout autre identifiant des personnes physiques ». 
Le dispositif de vote électronique proposé par le ministère des affaires étrangères s’effectue par le biais d’un site internet mis à disposition de l’électeur. Ce dispositif constitue donc un téléservice de l’administration électronique.
Les électeurs inscrits sur les listes électorales consulaires sont des usagers de l’administration des affaires étrangères. 
Enfin, ce téléservice comporte un identifiant propre à chaque électeur (le numéro d'identification consulaire). 
Il remplit donc toutes les conditions fixées par l’article 27-II, 4° de la loi du 6 janvier 1978.
La Commission rappelle que par une délibération n° 03-036 du 1er juillet 2003 portant adoption d'une recommandation relative à la sécurité des systèmes de vote électronique, elle a précisé les garanties devant être mises en œuvre pour assurer le secret et l’anonymat du vote. Il convient d’apprécier si, en l’espèce, les caractéristiques du dispositif de vote retenu sont conformes à ces recommandations.
Sur l’expertise indépendante du dispositif de vote électronique
La Commission relève qu’en application des dispositions de l’article 8 du projet de décret relatif au vote par correspondance électronique des électeurs inscrits sur les listes électorales consulaires en Afrique et en Amérique pour les élections de 2009 à l’Assemblée des Français de l’étranger qui lui est soumis, le système de vote doit faire l’objet d’une expertise indépendante. Selon les indications fournies par le ministère, cette expertise sera réalisée avant, pendant et après le scrutin, et ses conclusions seront portées à la connaissance de la CNIL, sous forme de rapports détaillés portant notamment sur les garanties apportées à la confidentialité, la sécurité, la sincérité et le contrôle du scrutin. 
La Commission a reçu le premier rapport d’expertise, réalisé avant le scrutin, en date du 15 avril 2009. Bien que la Commission regrette la transmission tardive de ce rapport, elle confirme l’importance que revêt cette expertise dans son travail d’instruction.
Sur la séparation des données identifiantes des électeurs et des votes
Le secret du vote doit être garanti par la mise en œuvre de procédés rendant impossible l’établissement d’un lien entre le nom de l’électeur et l’expression de son vote. Il en résulte que la gestion du fichier des votes et celle de la liste d’émargement doivent être faites sur des systèmes informatiques distincts, dédiés et isolés. 
L’article 5 du projet de décret prévoit la séparation du fichier des électeurs et de l’urne électronique sur des systèmes informatiques distincts et isolés l’un de l’autre, ce qui est conforme aux recommandations de la CNIL. 
Sur le scellement du dispositif de vote
Pour permettre aux différents acteurs du scrutin de pouvoir s’assurer à tout moment que le logiciel de vote est bien conforme à celui qui a été préalablement expertisé, la recommandation de la CNIL préconise l’usage d’un « scellement », procédé technique consistant à « signer électroniquement » la version expertisée du logiciel.
L’article 8 du projet d’arrêté prévoit, qu’en plus d’un scellement physique des serveurs, l’ensemble du système de chaque serveur est scellé en intégrité par calcul d’empreintes numériques. 
En outre, le dispositif de chiffrement des bulletins de vote (applet) qui est téléchargé sur l’ordinateur de l’électeur fait l’objet d’une procédure de signature assurant son intégrité par calcul d’empreintes.
Cependant, la Commission remarque que, si aucune connexion aux serveurs pendant l’élection n’est possible de la part du prestataire de vote sans l’accord exprès du bureau de vote, l’hébergeur pourra, lui, y accéder dans certaines conditions. En conséquence, la Commission estime que ces connexions, qui ne concernent selon le dossier technique, que des cas limitativement encadrés, doivent être systématiquement tracées et le traçage, porté immédiatement à la connaissance du bureau de vote et non uniquement mis à disposition de celui-ci.
En tout état de cause, la Commission insiste sur le fait que ces connexions ne sauraient conduire à un descellement du système.
Sur la surveillance effective du scrutin 
La mise en œuvre du système de vote électronique doit être opérée sous le contrôle effectif, de représentants du ministère des affaires étrangères, responsable du traitement ou d’experts désignés par lui. 
En l’espèce, l’article 10 du projet de décret prévoit qu’un bureau central de vote électronique est chargé du contrôle de l’ensemble des opérations de vote électronique et du dépouillement du vote. Il en énumère la composition. Ce bureau, assisté d’un comité technique veille au bon déroulement technique des opérations électorales et vérifie l’effectivité des dispositifs de sécurité prévus. Ainsi les membres du bureau pourront notamment accéder à tout moment aux locaux hébergeant les traitements.
En outre, toutes les actions concernant le déroulement du vote (interventions sur le système de vote, accès aux locaux hébergeant les traitements) seront enregistrées dans un système de traces dont le bureau de vote pourra, à tout moment, consulter l’historique. 
La Commission considère ces mesures de contrôle comme satisfaisantes.
Sur la localisation des serveurs du système de vote électronique
L’article 7 du projet d’arrêté précise que ce système est localisé sur le territoire métropolitain. La Commission souligne l’adéquation de la solution retenue avec sa recommandation de 2003.
Sur l’authentification des électeurs 
L’article 6 du projet d’arrêté prévoit que l’authentification des électeurs souhaitant voter par internet sera assurée par le recours à leurs numéros d’identification consulaire et par des mots de passe personnels. Ces mots de passe ne seront pas envoyés par courrier postal, mais générés par les électeurs après connexion au site internet de l’AFE.
L'obtention du matériel nécessaire au vote par les électeurs se déroule en deux phases :
depuis le site AFE : après s'être authentifié sur le site portail de l'AFE par leur code d’accès et leur mot de passe d’adhérents au site, l'électeur crée le mot de passe qui va lui permettre d'accéder à la plateforme de vote ;
depuis le portail de vote : l'électeur se connecte sur la plateforme de vote via son numéro d’identification consulaire et le mot de passe qu’il a créé.