AgentPublic/cnil huggingface dataset:
En outre, des données relatives aux agents du siège et aux délégués du Défenseur des droits (identité, fonction, dossiers attribués, actions sur les dossiers, statistiques d’activité) en charge de l’instruction des réclamations pourront être collectées, de même que des données relatives à la personne mise en cause et, le cas échéant, aux témoins et aux autres tiers impliqués dans le traitement de la réclamation (médiateur, avocat, etc.). Les données concernant ces personnes ne seront pas systématiquement collectées et seront enregistrées dans la seule hypothèse où elles sont nécessaires à l’instruction du dossier.
En application de l’article 38 de la loi organique n° 2011-333 du 29 mars 2011 relative au Défenseur des droits, le Défenseur des droits, ses adjoints, les autres membres des collèges, les délégués et l'ensemble des agents placés sous son autorité sont astreints au secret professionnel pour les faits, actes ou renseignements dont ils ont connaissance en raison de leurs fonctions, sous réserve des éléments nécessaires à l'établissement des avis, recommandations, injonctions et rapports prévus par la présente loi organique.
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie, dès lors qu’elles s’avèrent nécessaires au traitement du dossier de réclamation concerné.
Sur la durée de conservation des données :
Les données seront conservées dans une base active pendant une période de six ans à compter de la clôture du dossier, notamment aux fins de consultation des précédents.
A l’expiration de ce délai de six ans, les données seront basculées dans une base inactive, au sein de laquelle elles seront conservées six ans, en lecture seule avec accès tracés et limités. L’accès à cette base inactive sera réservé au directeur des systèmes d’information, aux directeurs des départements d’instruction, au chef du pôle informatique, au responsable de la recevabilité et aux administrateurs de la base, aux seules fins d’avoir accès aux précédents des dossiers, et pour des besoins statistiques. 
Préalablement à la mise en œuvre effective de la base inactive, la Commission souhaite être tenue informée des conditions exactes de son fonctionnement, ainsi que du devenir des données à l’expiration de la durée de conservation de six ans au sein de cette base (suppression, anonymisation, archivage, etc.).
Sur les destinataires des données :
Les personnes ayant directement accès aux données enregistrées dans le traitement sont les seuls agents et délégués du Défenseur des droits, lesquels sont astreints au secret professionnel en application de l’article 38 de la loi organique du 29 mars 2011 susvisée. 
Les personnels auxquels des informations peuvent être communiquées sont les suivants :
-les collèges du Défenseur des Droits (le collège Déontologie de la sécurité, le collège Défense et promotion des droits de l’enfant, et le collège Lutte contre les discriminations et promotion de l’égalité) ;
-l’autorité investie du pouvoir disciplinaire, concernant des faits dont elle a connaissance et qui lui paraissent de nature à justifier une sanction, conformément à l’article 29 de la loi organique n° 2011-333 du 29 mars 2011 relative au Défenseur des droits ;
-le parquet, en application de l’article 33 de la même loi organique ;
-les juridictions (si le Défenseur des droits présente des observations devant elles, en application de l’article 33 de la loi du 29 mars 2011 précitée).
La Commission rappelle que le Défenseur des droits doit veiller, en application de l’article 34 de la loi du 6 janvier 1978 modifiée, à ne communiquer aux destinataires que les informations qui leur sont strictement nécessaires et dans le cadre défini par la loi organique. Par ailleurs, elle recommande que les modalités de transmission des données permettent de garantir leur confidentialité (envoi par porteur ou envoi chiffré par exemple).
Ces destinataires sont légitimes à recevoir communication des données enregistrées dans le traitement.
Sur les droits des personnes : 
L’information des personnes concernées par le traitement est réalisée par des mentions légales figurant sur le formulaire en ligne de saisine de l’institution.
Dans la mesure où il est également possible de saisir le Défenseur des droits par courrier postal, le droit d’information devra aussi être réalisé dans le premier courrier de réponse.
Sous cette réserve, la Commission estime que les modalités sont conformes à l’article 32 de la loi du 6 janvier 1978 modifiée.
Les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent de manière directe auprès du Défenseur des droits, lequel a mis en place une procédure centralisant le traitement de ces demandes auprès d’un seul service (protection-donnees@defenseurdesdroits.fr).
Sur la sécurité des données et la traçabilité des actions :
Des profils d’habilitation ont été définis et les agents sont soumis au secret professionnel dans le cadre du traitement des dossiers dont ils sont attributaires, notamment lorsque ceux-ci traitent de données fiscales ou de santé.
Les délégués du Défenseur des droits disposent d’un accès plus restreint que les agents du Défenseur des droits. En effet, ils accèdent en écriture à leurs propres dossiers et en consultation aux dossiers transmis au siège. En revanche, pour les autres dossiers, les délégués ne disposent que d’un outil de recherche des doublons et n’accèdent qu’au résumé de ces dossiers.
Le contrôle d’accès à l’application et aux données s’effectue par l’utilisation d’un identifiant et d’un mot de passe. A cet égard, la Commission rappelle qu’elle recommande d’utiliser des mots de passe d’une longueur minimale de huit caractères, comportant trois types de caractères parmi les minuscules, majuscules, chiffres et caractères spéciaux. Le mot de passe doit être modifié par l’utilisateur dès la première connexion, puis renouvelé régulièrement avec une fréquence ne dépassant pas une année. Enfin, les mots de passe ne doivent pas être conservés en clair dans un fichier ou une base de données. La Commission recommande ainsi de conserver le résultat de la fonction de hachage HMAC à clé secrète sur le mot de passe.
La Commission rappelle également que lorsqu’il y a une erreur pendant le processus d’authentification, la provenance de l’erreur d’authentification (identifiant inconnu ou mot de passe erroné) ne doit pas être affichée à l’utilisateur, seul le fait qu’une erreur d’authentification s’est produite devant être signalé.
L’ensemble des actions sont tracées (connexion, consultation, création, mise à jour et suppression). La Commission rappelle que le responsable de traitement doit définir une durée de conservation des traces et recommande un effacement automatisé au-delà de la durée de conservation.
Concernant la sécurité des échanges de données, la Commission relève que les échanges s’effectuent par un réseau privé virtuel.
Les données sont sauvegardées toutes les semaines sur bandes magnétiques placées dans un coffre ignifugé et ne sont pas externalisées. Les sauvegardes ne sont pas chiffrées. La Commission recommande que les sauvegardes de données soient chiffrées.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise le Défenseur des droits à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion et le traitement des courriers et des dossiers de réclamations, l’élaboration de statistiques sur l'activité des services et les types de dossiers traités, le pilotage et le suivi individuel de l'activité des agents du Défenseur des droits.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1635662)
La Commission nationale de l'informatique et des libertés,
Saisie par le Groupe Francophone d’Hématologie Cellulaire d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif de téléexpertise en cytologie hématologie ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6316-1, L. 1110-4, L. 1111-8 et R. 6316-1 ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, notamment ses articles 8-IV et 25-I-1° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Groupe Francophone d’Hématologie cellulaire (GHFC) est une association à but non lucratif qui a pour but d'assurer la promotion de l'hématologie cellulaire.Elle propose la création d’un large réseau de veille cytologique, par le regroupement d’hématologistes, de médecins et de biologistes.
Sur la finalité
Le programme de télémédecine projeté, dénommé « Andral », a pour objectif d’organiser la réalisation d’actes de téléexpertise entre professionnels de santé spécialisés dans la biologie hématologique. Ce programme, conformément aux dispositions de l’article R. 6316-1 du code de la santé publique, a vocation à faciliter l’établissement de diagnostics par confrontation de cas. En effet, la numérisation d’éléments biologiques humains (lames comprenant notamment des échantillons sanguins ou de moelle osseuse) et leur analyse par deux experts biologistes permettent l’établissement d’un diagnostic par le professionnel de santé suivant le patient en moins d’une journée. La réalisation de l’acte de téléexpertise emporte création d’un dossier médical partagé temporaire du patient, dénommé « télédossier ».La Commission considère que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes. Elle estime qu’il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la Commission les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique. 
Sur les données traitées
Concernant les patients, les données traitées et échangées sont : - des données d’identification (nom, prénom, date de naissance, sexe) ;- des données cliniques et biologiques nécessaires à l’acte de téléexpertise (telles que le type d’échantillon, les antécédents médicaux, les valeurs de la numération de la formule sanguine et autres actes de biologie réalisés).Concernant les professionnels de santé, les données traitées et échangées sont : - des données d’identification (nom, prénom, adresse postale et électronique des professionnels de santé concernés, identification du laboratoire, téléphone, téléphone mobile, numéro de carte CPS, numéro de RPPS, numéro du Conseil de l’ordre auprès duquel est enregistré le professionnel de santé et spécialité) ;- les actions effectuées sur les dossiers.La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les professionnels de santé et les biologistes experts authentifiés et habilités dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la prise en charge de leurs patients. L’utilisation de l’outil « Andral » est subordonnée à la signature d’une convention par laquelle les professionnels de santé s’engagent à respecter les modalités de mise en œuvre du dispositif, et notamment l’information et le recueil du consentement du patient ou de son représentant légal le cas échéant. Les professionnels de santé sont informés que l’utilisation de l’outil « Andral » ne dégage pas le professionnel de santé qui procède à l’acte de télémédecine de sa responsabilité en matière de diagnostic ou de traitement. L’outil étant hébergé chez un tiers prestataire agréé, le professionnel de santé a accès aux données de santé, notamment afin d’exercer ses missions ou de répondre aux demandes de droit d’accès des patients.Le responsable de traitement doit s’assurer que le traitement est opéré dans des conditions conformes aux dispositions législatives et réglementaires applicables, notamment celles des articles L. 1111-8 et R. 6316-10 du code de la santé publique relatifs à l’hébergement des données de santé.
Sur l’information et le droit d’accès
Pour chaque acte de télémédecine proposé, le patient sera informé par le professionnel de santé qui le suit, par la remise, sous format papier, d’une note d’information.Cette note d’information, rédigée pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée,  sera accompagnée du formulaire de recueil de consentement. Ce formulaire permettra également de recueillir le consentement relatif à l’hébergement des données de santé.Ces consentements pourront également être recueillis par le professionnel de santé, sous forme « dématérialisée », par une case à cocher et permettront l’ouverture du « télédossier ».En cas d’urgence vitale ne permettant pas le recueil du consentement, le professionnel de santé donne les soins qui s’imposent compte tenu de l’état du patient, conformément aux dispositions de l’article 16-3 du code civil. Le motif justifiant l’impossibilité de recueillir son consentement à l’acte de télémédecine rendu nécessaire par son état de santé sera précisé au sein d’un champ spécifiquement prévu (champ intitulé « non recueilli avec motifs »). Les droits d’accès, de rectification et de suppression, tels que reconnus par la loi du 6 janvier 1978 modifiée, sont explicités sur la note d’information précitée et s’exerceront auprès du Président du GHFC par courrier adressé au Groupe Francophone d’Hématologie Cellulaire – Réseau ANDRAL, Assistance Publique Hôpitaux de Marseille, Laboratoire d’Hématologie, Hôpital Nord, Chemin des
Bourrelys – F-13 915 MARSEILLE Cedex 20, ou par courriel (contact@gfhc-reseau-andral.fr). En cas d’archivage des données, ces droits s’exercent auprès du médecin de l’établissement utilisateur de l’outil « ANDRAL ».
Les professionnels de santé doivent s’inscrire sur l’application « Andral ». Cette inscription est validée par un administrateur, qui contacte les professionnels de santé concernés par courriel ou par téléphone.Les professionnels de santé s’authentifient à l’application par l’utilisation de leur carte de professionnel de santé (CPS) ou par l’utilisation d’un identifiant et d’un mot de passe dont la complexité est conforme aux recommandations de la Commission. Ils sont ainsi d’une longueur minimale de huit caractères de trois types différents (minuscules, majuscules, chiffres ou caractères spéciaux). Les mots de passe temporaires de première connexion sont transmis par SMS.Toutefois, la Commission rappelle que l’authentification des professionnels de santé doit s’effectuer par l’utilisation de leur carte CPS conformément aux dispositions du décret du 15 mai 2007 relatif à la confidentialité des informations médicales. Elle demande à ce que ceux-ci s’y conforment.L’authentification des administrateurs de la base de données se fait au moyen d’un mot de passe d’une taille de dix caractères, composé de trois caractères différents (minuscules, majuscules, chiffres ou caractères spéciaux), changé tous les six mois.Les transferts de données sont sécurisés par l’utilisation du protocole SSL.Les données sont conservées chez un hébergeur de données de santé disposant d’un agrément en cours de validité.  Les données ne sont pas chiffrées en base de données et les administrateurs ont
accès en lecture aux données. A cet égard, la Commission rappelle que les administrateurs, non soumis au secret médical, ne peuvent accéder aux données de santé à caractère personnel en clair. Le responsable de traitement est donc tenu de mettre en œuvre les mesures de sécurité nécessaires afin de respecter cette interdiction. La Commission demande dès lors que les données soient chiffrées en base de données.Sous réserve des précédentes observations, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Elle rappelle néanmoins la nécessité de mettre à jour les mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur la durée de conservation des données
Les données collectées et traitées dans le cadre de l’outil « Andral », comprenant les données du « télédossier » ainsi que les données de connexion, seront conservées pendant une durée de dix huit mois maximum. La Commission relève que cette durée correspond aux besoins des professionnels de santé et qu’elle est donc conforme aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée. Passé ce délai, les données seront archivées pendant dix ans directement au sein de l’établissement utilisateur de l’outil « Andral ».
Autorise, conformément à la présente délibération, le Groupe Francophone d’Hématologie Cellulaire à mettre en œuvre le traitement susmentionné
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1686457)
La Commission nationale de l'informatique et des libertés,
Saisie par la société MERCEDES-BENZ CHARTERWAY d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5°, 25-I-4° et 35 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la Cnil n°2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (AU-004), telle que modifiée le 14 octobre 2010 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société par actions simplifiée MERCEDES-BENZ CHARTERWAY est une filiale de la société Mercedes Benz France, elle-même détenue par le groupe automobile Daimler AG dont le siège social est situé en Allemagne, et est spécialisée dans la location longue et courte durées d’utilitaires légers et de camions Mercedes-Benz.
Sur la finalité
La société MERCEDES-BENZ CHARTERWAY a déposé un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle pour l’ensemble des salariés. La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. La Commission rappelle qu’elle a adopté le 8 décembre 2005 une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique.L’analyse des caractéristiques du traitement, objet de la demande d’autorisation, fait apparaître une différence par rapport à l’AU-004 qui doivent dès lors être soumises à l’examen de la Commission. En effet, la société MERCEDES-BENZ CHARTERWAY n’est soumise à aucune disposition législative ou
réglementaire de droit français ou étranger (lois « SOX » américaine et japonaise) imposant la mise en place d’un dispositif d’alerte professionnelle. La Commission observe que la société MERCEDES-BENZ CHARTERWAY est soumise au code de bonne gouvernance d’entreprise allemand qui incite les entreprises à renforcer le contrôle interne et la gestion des risques. En outre, de par ses activités à l’international, le groupe est tenu de renforcer son contrôle interne et de fournir des données financières fiables à ses partenaires.La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. En outre, elle estime qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.A cet égard, elle relève que le champ du dispositif d’alerte professionnelle présenté par la société MERCEDES-BENZ CHARTERWAY est strictement limité aux manquements graves qui s’appliquent aux domaines comptables, financier, bancaire et de lutte contre la corruption. La Commission estime qu’en l’espèce le dispositif d’alerte qui lui est présenté est limité dans son champ et répond à l’intérêt légitime du responsable du traitement.
Sur les données traitées
Les données seront identiques à celles mentionnées dans l’autorisation unique n°4, à savoir :
identité, fonctions et coordonnées de l'émetteur de l'alerte professionnelle ; 
identité, fonctions et coordonnées des personnes faisant l'objet d'une alerte ; 
identité, fonctions et coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ; 
faits signalés ; 
éléments recueillis dans le cadre de la vérification des faits signalés ; 
compte rendu des opérations de vérification ; 
suites données à l'alerte.
Sur le traitement de l’identité de l’émetteur de l’alerte, la Commission considère que l’obligation de s’identifier pour la personne à l’origine de l’alerte est de nature à limiter le risque de mise en cause abusive ou disproportionnée de l'intégrité professionnelle, voire personnelle des personnes concernées.
L’émetteur de l’alerte professionnelle est invité à s’identifier. Son identité est traitée de façon confidentielle par les personnes chargées de la gestion des alertes. 
Enfin, la Commission observe qu’il est clairement rappelé que l’utilisation abusive de ce dispositif peut exposer son auteur à des sanctions disciplinaires, ainsi qu’à des poursuites judiciaires. 
Sur les destinataires
Seront destinataires de tout ou partie des données, dans la limite de leurs attributions et pour la poursuite de la finalité précitée :