AgentPublic/cnil huggingface dataset:
Pour ce faire, la société Retency se base sur une méthode d’agglomération des informations individuelles. Celle-ci est réalisée dans deux micro-contrôleurs embarqués dans les boîtiers et fonctionnant de façon disjointe et asynchrone. Des procédés cryptographiques successifs sont mis en œuvre et en particulier des techniques de hachage utilisant des sels renouvelés tous les quinze jours (soit pour chaque campagne de mesure).  
A l’issue de chaque journée, les données anonymisées au sein des boîtiers sont envoyées aux serveurs de la société Retency, hébergés par la société Ecritel (France). Les échanges de données sont réalisés via des canaux de communication chiffrés utilisant le protocole HTTPS et assurant l’authentification de la source et de la destination.
De plus, la Commission observe qu’afin d’empêcher que toute personne accède aux informations collectées par les boîtiers de détection, des mesures de protection sont mises en œuvre, tant au niveau logiciel que physique. Ainsi, les formats d’entrée et de sortie des données dans les micro-contrôleurs sont spécifiés et ne permettent aucun accès aux adresses MAC des personnes concernées. De plus, les données sont conservées dans la mémoire vive des micro-contrôleurs, cette précaution assurant que toutes les données stockées sont perdues si les boîtiers cessent d'être alimentés en électricité. Enfin, un procédé d’effacement des données en cas d’ouverture du boîtier est mis en place.
La société Retency fait valoir que le procédé d’anonymisation décrit ci-dessus  constitue une garantie suffisante propre à assurer le respect des droits et libertés fondamentaux des personnes et, notamment, à permettre la délivrance de l’information limitée prévue à l'article 32-IV de la loi du 6 janvier 1978 modifiée. 
Après avoir analysé le dispositif présenté par la société Retency, la Commission considère que le procédé envisagé ne saurait permettre, en l’état, à la société Retency ou à un tiers de rejouer les procédés de chiffrement et donc de ré-identifier les personnes ayant vu leur adresse MAC collectée et anonymisée. En effet, le dispositif mis en œuvre par la société Retency repose sur un processus d’anonymisation respectant les trois critères de l’avis n°05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G 29) le 10 avril 2014.  
Ainsi, la Commission relève que le processus d’anonymisation empêche pour toutes les parties, d'isoler un individu dans un ensemble de données, de relier entre eux deux enregistrements dans un ensemble de données (ou dans deux ensembles de données séparés) et de déduire des informations de cet ensemble de données.
En l'état actuel de la technique, la Commission considère donc que le procédé présenté est conforme aux règles de l’art. Elle rappelle toutefois que la conformité du processus d’anonymisation, et le cas échant la solution, nécessitent d’être revues régulièrement au vu des évolutions des techniques d’anonymisation et de réidentification.
Sur l'information des personnes :
L’article 32-IV de la loi prévoit que « si les données à caractère personnel recueillies sont appelées à faire l'objet à bref délai d'un procédé d'anonymisation préalablement reconnu conforme aux dispositions de la présente loi par la Commission nationale de l'informatique et des libertés, les informations délivrées par le responsable du traitement à la personne concernée peuvent se limiter à celles mentionnées au 1° et au 2° du I ». Dès lors, l’information ne porte que sur « l’identité du responsable du traitement et, le cas échéant, de celle de son représentant » ainsi que sur la « finalité poursuivie par le traitement auquel les données sont destinées ».
La formulation proposée par la société Retency pour informer les personnes, à savoir « ces mobiliers publicitaires sont équipés d'une solution de mesure anonyme de l'audience opérée par la société Retency pour le compte de Media Transports » n’appelle pas de remarque de la Commission.
La Commission précise sur ce point que dans la mesure où les données collectées ne permettent pas d’individualiser une personne, les dispositions des articles 38 à 40, à savoir l’exercice des droits d’accès, de modification et d’opposition, ne trouvent pas à s’appliquer.
La Commission rappelle toutefois que l'article 90 du décret du 20 octobre 2005 modifié prévoit que : « le responsable du traitement porte directement à la connaissance des personnes auprès desquelles sont recueillies des données à caractère personnel les informations énumérées au I de l'article 32 de la loi du 6 janvier 1978 susvisée sur le support de collecte ou, à défaut, sur un document préalablement porté à leur connaissance en caractères lisibles. En application du 6° du I du même article, il les informe également, dans les mêmes conditions, des coordonnées du service compétent auprès duquel elles peuvent exercer leurs droits d'opposition, d'accès et de rectification. »
La société Retency envisage d’apporter une information à plusieurs niveaux sur le traitement réalisé :
une publication dans le journal de la ville de Dijon ;
une publication sur le site internet de la société Retency ainsi que sur le site de la régie Media Transports ;
des affiches au format A4, sur lesquelles seront également présents des logos permettant d’attirer l’attention du public sur cette dernière,  qui seront disposées à proximité immédiate des dispositifs publicitaires au sein desquels les boîtiers sont déployés.
La Commission considère ces modalités d’information satisfaisantes au regard des dispositions susvisées.
Conclusion :
Dans ces conditions, la Commission autorise la société Retency à mettre en œuvre à titre expérimental le traitement susmentionné de données à caractère personnel ayant pour finalité la mesure d’audience et de fréquentation de dispositifs publicitaires au sein de la gare SNCF de Dijon.
Pour la Présidente
Le Vice-Président Délégué
Marie-France MAZARS
La Commission nationale de l’informatique et des libertés,
Saisie par la société CLARINS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la cosmétovigilance ;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement n° 1223 / 209 du Parlement européen et du Conseil  relatif aux produits cosmétiques ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5131-5, L. 5431-8 et R. 5131-6 à R. 5131-15 du code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement ;
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société CLARINS, spécialisée dans la fabrication et la commercialisation de produits cosmétiques.
Sur la finalité
Le traitement a pour finalité la cosmétovigilance qui a pour objet de permettre la surveillance des éventuels effets indésirables des produits cosmétiques sur la santé humaine.
La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6 de la loi du 6 janvier 1978 modifiée.
Ce traitement relève des dispositions combinées des articles 8-IV et 25-I-1° de la loi « informatique et libertés » qui soumettent à autorisation les traitements comportant des données relatives à la santé, et justifiés par l’intérêt public.
Sur les données traitées
Les données collectées sont les suivantes :
données d'identification du notificateur lorsque celui-ci n'est pas un professionnel de santé (consommateur ou membre d'une association de consommateurs) : nom, prénom, adresse, numéro de téléphone, courriel, profession et/ou qualité (consommateur, professionnel de santé etc.), date de naissance et sexe ;
données d’identification du produit : marque, nom, numéro de lot à six chiffres, date et lieu d’achat ;
données de santé et données relatives à l’effet indésirables : date de survenue de l’effet, description de la réaction, état de santé particulier et traitements en cours, conséquences (arrêt de travail, hospitalisation, prise en charge médicale urgente, etc.), type de peau, antécédents allergiques, intolérance à des produits cosmétiques ;
données relatives à l’utilisation du produit : durée d’utilisation, fréquence d’application, temps écoulé en les applications, expositions au soleil, prise de médicaments, durée de la réaction, etc.
Le responsable de traitement doit mettre en place les mesures techniques adéquates afin que les données codées relatives aux consommateurs soient séparées des autres données.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes habilitées à accéder aux données de cosmétovigilance sont :
le correspondant cosmétovigilance du groupe Clarins ;
le responsable cosmétovigilance du groupe Clarins ;
les professionnels de santé concernés ;
les autorités sanitaires compétentes
le prestataire de cosmétovigilance pour les dossiers nécessitant des compétences linguistiques particulières ou une investigation approfondie.
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et les droits des personnes
Les personnes concernées sont informées avec une mention lors de l’appel téléphonique et dans les échanges par courrier. Des consignes sont données aux professionnels de santé ou associations afin qu’ils puissent délivrer l’information aux consommateurs.
Les droits des personnes s’exercent auprès du service de cosmétovigilance de la société CLARINS.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre, toutefois, le responsable de traitement ne précise pas si des profils d’habilitation définissant les fonctions ou les types d’informations accessibles à un utilisateur sont mis en place. La commission recommande de mettre en place ces habilitations.
Le responsable de traitement doit mettre en place une politique de mot de passe conforme aux recommandations de la Commission (utilisation d’un mot de passe d’une longueur minimale de huit caractères et composé de trois types de caractères distincts avec mesures de blocage ou de ralentissement en cas d’essais infructueux ou douze caractères en cas d’absence de ces mesures). 
La confidentialité des données est assurée par la mise en œuvre d’un dispositif de chiffrement. La Commission recommande de chiffrer également les sauvegardes.
Les accès à l’application sont tracés.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées jusqu’à la clôture du cas de cosmétovigilance et pendant une durant maximale de dix ans à compter du retrait du produit concerné sur le marché. A l’expiration de ce délai, les données sont supprimées ou archivées sous une forme anonymisée.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société CLARINS à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente,
Le Vice-Président Délégué
Marie-France MAZARS
La Commission nationale de l’informatique et des libertés,
Saisie par la société TECHNATURE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la cosmétovigilance ;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement du Conseil de l’Europe du 30 novembre 2009 relatif aux produits cosmétiques ;
Vu le règlement n° 1223 / 209 du Parlement européen ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5131-5, L. 5431-8 et R. 5131-6 à R. 5131-15 du code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement ;
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société TECHNATURE, société spécialisée dans les cosmétiques à base de produits marins.
Sur la finalité
Le traitement a pour finalité la cosmétovigilance qui a pour objet la surveillance des éventuels effets indésirables des produits cosmétiques sur la santé humaine.
La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6 de la loi du 6 janvier 1978 modifiée.
Ce traitement relève des dispositions combinées des articles 8-IV et 25-I-1° de la loi « informatique et libertés » qui soumettent à autorisation les traitements comportant des données relatives à la santé, et justifiés par l’intérêt public.
Sur les données traitées
Les données à caractère personnel collectées sont :
les données d'identification du notificateur lorsque celui-ci n'est pas un professionnel de santé (consommateur ou membre d'une association de consommateurs) : nom, prénom, adresse, numéro de téléphone ;
les données d'identification du consommateur : numéro, code alphanumérique ou code alphabétique d'identification, informations signalétiques (âge, année ou date de naissance, sexe, poids, taille, grossesse en cours, profession) ;
les données de santé : description de la réaction, antécédents allergiques ou infections, traitements en cours ;
les données d’identification des professionnels de santé concernés par l’observation : nom, nom d’usage, prénom, numéros de téléphone et de télécopie, adresse électronique, adresse postale, spécialité du professionnel de santé.
Les données collectées lorsqu’elles sont strictement nécessaires à l’appréciation de l’effet indésirable sont les suivantes :
-données de santé : photographie présentant la pathologie;
-donnée ethnique : uniquement dans les cas où la fiche    
      technique du produit en fait état.
Le responsable de traitement doit mettre en place les mesures techniques adéquates afin que les données codées relatives aux patients soient séparées des autres données.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes habilitées à accéder aux données de cosmétovigilance sont :
le personnel habilité de la société TECHNATURE ;
les professionnels de santé concernés par le signalement ;
les organismes publics en charge de la cosmétovigilance dans le cadre de leurs attributions légales.
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et les droits des personnes
Les personnes concernées sont informées avec une mention lors de l’appel téléphonique et dans les échanges par courrier. Des consignes sont données aux professionnels de santé ou associations afin qu’ils puissent délivrer l’information aux patients.
Les droits prévus par la loi s’exercent auprès du service dédié de la société TECHNATURE.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur.
Le responsable de traitement doit mettre en place une politique de mot de passe conforme aux recommandations de la Commission (utilisation d’un mot de passe d’une longueur minimale de huit caractères et composé de trois types de caractères distincts avec mesures de blocage ou de ralentissement en cas d’essais infructueux ou douze caractère en l’absence de ces mesures). 
La confidentialité des données est assurée par la mise en œuvre d’un dispositif de chiffrement. La Commission recommande de chiffrer également les sauvegardes.
Le responsable de traitement doit également mettre en place une journalisation des accès à l’application.
Sous réserve de remplir les conditions précitées, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la durée de commercialisation du produit et pendant une durée supplémentaire de cinq ans.
Au-delà de cette durée, les données sont supprimées ou archivées sous une forme anonymisée.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société TECHNATURE à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente,
Le Vice-Président Délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la société IQVIA Opérations France d’une demande d’autorisation sur le fondement de l’intérêt public au sens de l’article 8 IV de la loi concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données à caractère personnel en oncologie, à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L. 1461- et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son chapitre IX et ses articles 8-IV et 25-I-1°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société IQVIA Opérations France (ci-après, « IQVIA »), société par actions simplifiée à associé unique, issue de la fusion des sociétés IMS Health dont le cœur de métier historique est la fourniture de données actualisées régulièrement sur les volumes de médicaments vendus en pharmacie et Quintiles, spécialisée dans les études et le conseil pour les industries du médicament et les acteurs de la santé. 
 
Sur la finalité
IQVIA est à l’initiative de la création d’un réseau de données en oncologie, dont l’objectif est de décrire les usages de médicaments anticancéreux en pratique clinique en Europe, en se dotant d’un entrepôt de données dédié à l’oncologie et d’une plateforme dénommée « Co-Track » dédiée à son exploitation.
Cet entrepôt est constitué à partir des données en oncologie des établissements et services de santé, répartis sur le territoire français et européen, membres du réseau. Il est alimenté par des données issues des systèmes d’information des établissements et services de santé ayant un lien contractuel avec IQVIA. Selon IQVIA, hormis le versement d’une indemnité exclusivement destinée à couvrir les investissements et les dépenses effectués par l’établissement pour le déploiement du dispositif, aucune rémunération n’est versée aux établissements et services de santé ; ceux-ci disposent gratuitement, en retour, des analyses produites.
La constitution de l’entrepôt de données de santé à caractère personnel a vocation à permettre de mener des études portant sur l’évaluation et l’analyse des pratiques et activités de soins actuelles en oncologie. 
Plus précisément, pourront être réalisées des études longitudinales sur la prise en charge thérapeutique d’un patient ou d’un groupe de patients en oncologie, sur l’utilisation effective en temps réel des produits d’oncologie et leur modalité de prescription, sur l’accès aux soins et aux traitements innovants, sur l’observance ou compliance aux bonnes pratiques et traitements de référence par les praticiens membres du réseau, sur des analyses comparatives de l’usage des traitements anti-cancéreux dans le cadre d’autorisations temporaires d’utilisation (ATU) ou après autorisation de mise sur le marché (AMM) des produits, des analyses de patients (« screening ») pour améliorer la conception et le recrutement des essais cliniques et accélérer l’identification des patients qui pourraient bénéficier d’essais cliniques, sur le pilotage médical visant à optimiser l’organisation des soins, sur des évaluations et analyses médico-économiques. 
La Commission considère que la finalité du traitement présentée est déterminée, explicite et légitime, conformément aux dispositions de l’article 6-2° de la loi.
Concernant l’exigence, posée par l’article 8-IV de la loi, de l’existence d’un intérêt public afin de traiter des données à caractère personnel de santé en dehors des activités de soins ou du consentement des personnes concernées, la Commission relève que la satisfaction de l’intérêt public n’est pas réservée aux seules personnes publiques.
Au cas présent, certaines des finalités, telles que présentées par la société IQVIA, visent à disposer d’une meilleure connaissance des traitements anti-cancéreux innovants. Selon la société, il s’agit, par une exploitation facilitée de données collectées en quasi temps réel, de permettre, tant au bénéfice des acteurs privés que des acteurs publics, des recherches dans le domaine médical (comme la veille et la réalisation d’études épidémiologiques, médico-économiques, d’observance, l’analyse de la pratique médicale actuelle en oncologie)  ou d’éclairer les pouvoirs publics dans leur prise de décision en matière de politique de santé (modifications de la consommation d’un traitement anti-cancéreux, fixation de prix et accès aux traitements par les patients, etc.). 
La Commission considère que la constitution de cet entrepôt de données issues des systèmes d’informations hospitaliers à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, présente un intérêt public.