AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1688232)
La Commission nationale de l'informatique et des libertés,
Saisie par l’association ADAPEI 35 « Les papillons blancs  d’Ille-et-Vilaine » d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de l’accompagnement des  personnes suivies ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 312-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1° et 25-I-7°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Il s’agit de l’Association Départementale des Amis et Parents d’Enfants Inadaptés d’Ille-et-Vilaine dénommée ADAPEI  35 « Les papillons blancs d’Ille-et-Vilaine » située au 17, rue Kerautret Botmel à Rennes cedex (35044),  régie par la loi de 1901 et affiliée à l’Union nationale des associations de parents et amis de personnes handicapées mentales (UNAPEI). Cette association gère des établissements sociaux et médico-sociaux au sens de l’article L. 312-1 du Code de l’action sociale et des familles.
Sur la finalité
La gestion de l’accompagnement des personnes présentant un  handicap mental permet de poursuivre les finalités suivantes : 
Recenser les besoins des personnes ; 
Améliorer l’évaluation des besoins, la prise en charge sanitaire et médico-sociale, ainsi que le suivi des personnes présentant un handicap, en permettant le partage sécurisé entre les acteurs médicaux, para-médicaux et sociaux de l’association, des informations nécessaires à une prise en charge coordonnée et adaptée aux besoins des personnes ;
Améliorer la qualité, la coordination et la continuité de la prise en charge entre tous ces intervenants, en fonction des besoins des personnes handicapées, identifiés comme prioritaires ;
Favoriser l’autonomie des personnes, par un accompagnement médico-social adapté ;
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales prévues sur le formulaire de prise en charge ainsi que dans les courriers personnalisés.La Commission considère que ces modalités d’information des personnes sont satisfaisantes. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état. Les droits d’accès et de rectification s’exercent auprès de l’Association ADAPEI « Les Papillons Blancs d’Ille-et-Vilaine » par courrier, fax ou courriel. La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes
Sur les mesures de sécurité
Les données à caractère personnel enregistrées dans le présent traitement sont conservées pendant la période d’accueil ou d’accompagnement de l’usager et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier. Au terme de cette durée, les données sont supprimées, sauf dispositions législatives ou réglementaires  contraires.La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’Association ADAPEI 35 « Les Papillons Blancs d’Ille-et-Vilaine », à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1793646)
La Commission nationale de l'informatique et des libertés,
Saisie par le laboratoire CELGENE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des patients atteints d’aphtoses sévères, de lupus érythémateux, d’érythème noueux lépreux ou de la maladie de Crohn et traités avec un médicament sous recommandation temporaire d’utilisation (RTU) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 5121-12-1 et R. 5121-76-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le laboratoire CELGENE est une société spécialisée dans le commerce de produits pharmaceutiques.
CELGENE est titulaire de l'autorisation de mise sur le marché (AMM) de la spécialité pharmaceutique THALIDOMIDE CELGENE qui fait l’objet d’une recommandation temporaire d’utilisation (RTU) accordée par l’Agence nationale de sécurité du médicament et des produits de santé (ANSM).
Une RTU est un dispositif qui permet la prescription d’un médicament pour des indications non prévues dans son AMM. Une telle utilisation est soumise à une procédure de surveillance étroite par l’ANSM portant, notamment, sur l’efficacité et la sécurité du produit.
En l’espèce, le THALIDOMIDE CELGENE est indiqué dans le traitement des :
- aphtoses sévères ;
- formes cutanées du lupus érythémateux ;
- formes aiguës sévères de l’érythème noueux lépreux ;
- maladie de Crohn réfractaire chez l’enfant.
Sur la finalité
La finalité du traitement est d’assurer le suivi des patients traités avec la spécialité pharmaceutique faisant l’objet de la RTU et le recueil d’informations relatives à l’efficacité, à la sécurité et aux conditions réelles d’utilisation du produit.Cette surveillance particulière, prévue par l’article L. 5121-12-1 du code de la santé publique, est distincte du dispositif de pharmacovigilance que les laboratoires tiennent par ailleurs. Elle s’effectue conformément à un protocole de suivi validé par l’ANSM.La Commission considère que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.La RTU THALIDOMIDE CELGENE répond à un besoin thérapeutique en permettant la délivrance et la prise en charge d’un médicament utile aux patients tout en fournissant un cadre qui apporte des garanties de sécurité d’emploi.La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données traitées concernent les patients auxquels le médicament sous RTU a été prescrit. Ces données sont collectées par l’intermédiaire des médecins prescripteurs, à l’occasion du suivi médical des patients. Il s’agit de :
données d’identification : initiales associées à un numéro de patient, date de naissance, sexe ;
données de santé : histoire de la maladie, traitement suivi, résultats d’analyses, effets indésirables du médicament.
Les données suivantes relatives aux médecins prescripteurs et aux pharmaciens dispensateurs peuvent également faire l’objet d’un traitement : identité, coordonnées professionnelles, spécialité, numéro d’inscription au Répertoire Partagé des Professionnels de Santé (n° RPPS).
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les données collectées par les médecins seront transmises aux personnels dûment habilités du laboratoire CELGENE, par l’intermédiaire d’une plateforme électronique sécurisée dédiée à cet effet.L’habilitation à consulter des données de santé à caractère personnel ne peut être attribuée qu’à des personnes soumises au secret médical et dans la stricte limite de leurs missions.Le laboratoire CELGENE fait appel à des prestataires pour mettre en œuvre la RTU THALIDOMIDE CELGENE. Ces prestations feront l’objet d’un accord contractuel définissant les opérations susceptibles d’être réalisées à partir des données transmises, ainsi que les engagements que le prestataire prend de garantir leur sécurité et leur confidentialité, de s’interdire de les utiliser à ses propres fins et de ne pas les conserver à l'issue de la prestation.L’ANSM sera destinataire des données, sous forme agrégée uniquement, par l’intermédiaire des rapports périodiques de synthèse qui seront envoyés par les laboratoires.Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les médecins prescripteurs ont l’obligation d’informer les patients que la prescription n’est pas conforme à l’AMM du produit, des risques et contraintes encourus et des bénéfices escomptés. Enfin, ils doivent motiver leurs prescriptions dans le dossier médical des patients concernés.Une note d’information, accompagnée du formulaire de signalement d’effets indésirables susceptibles d’être liés au médicament, sera remise au patient par son médecin. Cette note d’information précisera les objectifs de la RTU, les données recueillies et les droits reconnus aux patients, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée.Il est rappelé que les patients sont libres d’accepter ou de refuser leur traitement par un médicament prescrit sous RTU. En cas d’acceptation des soins, les articles L. 5121-12-1 et R. 5121-76-2 du code de la santé publique imposent le recueil d’informations de suivi relatives au patient.Les médecins seront informés du traitement des données les concernant lors de leur connexion à la plateforme électronique de recueil des informations ou par une mention dans un courrier qui leur est adressé par le laboratoire CELGENE.Les médecins peuvent exercer leurs droits d'accès et de rectification auprès du laboratoire CELGENE. S’agissant des patients, ces droits s’exercent auprès du médecin qui leur prescrit le médicament.La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Un code alphanumérique est attribué à chaque patient suivi dans le cadre de la RTU dont est titulaire le laboratoire CELGENE. L’accès aux données nominatives des patients est strictement limité au médecin les prenant en charge.Les informations relatives aux patients seront saisies par le médecin prescripteur dans un cahier de recueil d’informations informatisé accessible sur internet. Les professionnels de santé devront créer un compte afin de compléter les formulaires.La création du compte personnel est opérée directement sur le site. Pour cela, le professionnel de santé doit renseigner une adresse électronique sur laquelle sera transmis un courriel contenant un lien permettant d’activer le compte et de vérifier que l’adresse électronique saisie est valide.Le contrôle d’accès au compte des professionnels de santé est opéré par l’usage d’un identifiant et d’un mot de passe. La Commission recommande des mots de passe d’une longueur minimale de huit caractères, composés de trois types de caractères distincts parmi les minuscules, majuscules, chiffres et caractères spéciaux. Le mot de passe doit être choisi par l’utilisateur, ou modifié dès sa première connexion, puis modifié régulièrement. Enfin, les mots de passe ne doivent pas être stockés en clair dans un fichier ou une base de données.Elle rappelle, toutefois, que ce moyen d’authentification n’est pas conforme aux dispositions de l’article L. 1110-4 du code de la santé publique qui impose une authentification forte des
professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. Elle demande que le responsable de traitement se conforme à ces obligations.Les transferts de données sont sécurisés, notamment pour l’accès au site internet accessible par les professionnels de santé, par l’usage du protocole HTTPS. La Commission rappelle que le responsable de traitement doit vérifier que l’implémentation du protocole est conforme aux règles de l’art.Concernant les mesures de traçabilité, l’ensemble des accès aux données par les professionnels de santé, en consultation, modification et création, est tracé. Les professionnels de santé devront en être informés.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont de nature à assurer la confidentialité des données traitées et conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données seront conservées dans la limite de cinq années après l’expiration de la recommandation temporaire d’utilisation.La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.A l’expiration de ce délai, les données doivent être supprimées ou archivées sous une forme anonyme.
Autorise, conformément à la présente délibération, le laboratoire CELGENE à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1675496)
La Commission nationale de l'informatique et des libertés,
Saisie par la Communauté d’agglomération de Versailles Grand Parc d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès physique aux locaux techniques de vidéoprotection par reconnaissance du réseau veineux du doigt ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code général des collectivités territoriales, notamment ses articles L. 5211-6 et suivants ; 
Vu le code de la sécurité intérieure, notamment ses articles L. 251-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté préfectoral n° 2013294-0009 du 21 octobre 2013 portant autorisation d’installation d’un système de vidéoprotection à Monsieur le président de la communauté d’agglomération de Versailles Grand Parc ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Communauté d’Agglomération de Versailles Grand Parc (« ci-après CAVGP »). Versailles Grand Parc est un établissement public de coopération intercommunale qui regroupe dix-huit communes autour de Versailles. La CAVGP a été créée en 2003 sous la forme d’une communauté de communes, avant de devenir une communauté d’agglomération en 2010, dont le statut relève des dispositions susvisées du code général des collectivités territoriales.  La CAVGP agit en lieu et place des villes, dans différents domaines tels que le développement économique, l’aménagement, les transports ou l’environnement. 
Sur la finalité et les caractéristiques du traitement
La CAVGP s’est équipée de caméras de vidéoprotection, lesquelles ont fait l’objet d’une déclaration en préfecture conformément aux dispositions susvisées du code de la sécurité intérieure. 
Le traitement projeté vise à permettre l’accès aux locaux techniques de vidéoprotection (centre de supervision urbain) situés au sein de l’hôtel de ville de Versailles, où se situent les écrans de visionnage des dispositifs vidéo installés par la CAVGP.
Les locaux concernés sont au nombre de deux, le premier permettant l’accès au matériel de visionnage et d’enregistrement des dispositifs vidéo, le second l’accès aux serveurs de stockage des images. Chaque local sera équipé d’un lecteur biométrique par reconnaissance du réseau veineux du doigt. 
La Commission observe que ce traitement poursuit principalement deux finalités : 
assurer la protection des biens et installations des locaux de vidéoprotection (serveur de vidéoprotection et réseau de fibre optique) ; 
protéger l’accès aux images et informations des dispositifs de vidéoprotection mis en œuvre au sein de la Communauté d’Agglomération.
des sept agents de la Direction des Systèmes d’Information (DSI) mutualisée entre la ville de Versailles et la communauté d’agglomération, pour procéder à l’enregistrement des images réquisitionnées ;
des officiers de police judiciaire, du directeur général des services, des responsables de la sécurité de la ville de Versailles. 
À cet égard, elle prend acte que ne sont autorisées à pénétrer dans les locaux concernés par le traitement que les personnes ayant été déclarées dans le cadre de l’autorisation préfectorale susvisée. Il s’agit :  
assurer la protection des biens et installations des locaux de vidéoprotection (serveur de vidéoprotection et réseau de fibre optique) ; 
protéger l’accès aux images et informations des dispositifs de vidéoprotection mis en œuvre au sein de la Communauté d’Agglomération.
des sept agents de la Direction des Systèmes d’Information (DSI) mutualisée entre la ville de Versailles et la communauté d’agglomération, pour procéder à l’enregistrement des images réquisitionnées ;
des officiers de police judiciaire, du directeur général des services, des responsables de la sécurité de la ville de Versailles. 
S’agissant de cette dernière catégorie, la Commission prend acte que leur accès aux locaux s’effectuera en présence de l’un des sept agents précités. 
Sur la base de l’identification des risques et en complément d’autres mesures de gestion des risques, la CAVGP a établi la stricte nécessité de recourir à un dispositif de reconnaissance du réseau veineux du doigt. 
Compte tenu de ces éléments, la Commission considère que la finalité ainsi définie est déterminée, explicite et légitime, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée. 
Sur les données traitées
Les données traitées concernent les agents de la CAVGP amenés à exercer leurs fonctions au sein des locaux de vidéoprotection  ainsi que les prestataires sous-traitants chargés de la maintenance des systèmes de vidéoprotection. 
Les catégories de données concernées sont : 
les données d’identification (nom et prénom) ; 
les données biométriques (gabarit du réseau veineux du doigt) ; 
l’historique d’accès aux locaux (horodatage des accès et identifiant du lecteur).
La collecte de ces données s’effectue directement auprès de la personne concernée.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.  
Sur la durée de conservation des données
Les données d’identification et biométriques ne sont conservées en base active que le temps de la durée de l’habilitation d’accès de la personne concernée. Dès lors que cette habilitation n’est plus effective, les données collectées sont effacées dans un délai maximum d’un mois.Les données relatives à l’historique d’accès sont conservées sur une période de six mois à compter de leur enregistrement dans le traitement, afin de pouvoir, en cas de litige ultérieur concernant l’utilisation des images de vidéoprotection, vérifier les entrées dans les locaux concernés. 
Sur les destinataires
Seules les personnes habilitées du service de la Direction des systèmes d’information auront accès aux données collectées en fonction de leurs missions, ce qui n’appelle pas d’observation particulière de la part de la Commission. 
Sur l’information et le droit d’accès
La CAVGP informe les agents autorisés par l’arrêté préfectoral susvisé à accéder aux locaux et son prestataire de la mise en œuvre du dispositif de reconnaissance biométrique, à charge pour ce dernier d’en informer ses salariés. Elle leur remet, de manière individuelle, une note d’information spécifique et détaillée qui comprend toutes les mentions prévues à l’article 32 de la loi du 6 janvier 198 modifiée.Les droits d’accès, de rectification et de suppression s’exercent par voie postale auprès du Service « Correspondant CNIL » de la CAVGP.La Commission estime que ces modalités d’information et d’exercice des droits dont satisfaisantes. 
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès. Lors de l’enrôlement, les données biométriques des personnes habilitées sont stockées sous forme chiffrée en base de données.En cas de rejet par le dispositif biométrique et pour les personnes ne pouvant pas s’enrôler, une prise en charge est prévue afin d’assurer l’authentification manuelle de la personne.Le contrôle d’accès logique à l'application d’administration est effectué par mot de passe respectant les recommandations de la Commission. Les mesures de sécurité mises en place sont donc conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, la Communauté d’agglomération de Versailles Grand Parc à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN