AgentPublic/cnil huggingface dataset:
La Commission prend note que les modalités d’accès par les utilisateurs aux données préparées par les administrateurs seront définies ultérieurement. A ce sujet, elle rappelle la nécessité de mettre en œuvre des conditions de sécurité effectives, de haut niveau et de nature à garantir la confidentialité des données pour la mise à disposition de fichiers.
Ces conditions doivent reposer sur des moyens permettant d'assurer l’authentification des destinataires, la confidentialité et l’intégrité des transmissions ainsi qu’une gestion des habilitations permettant d’attribuer aux destinataires le droit d'accéder aux seules données qui leur sont nécessaires.
La Commission prend note que différents profils d’habilitation sont prévus pour permettre de préparer et d’effectuer l’extraction des données de l’entrepôt, cela afin de gérer les accès aux données en tant que besoin, avec la combinaison de quatre droits indépendants :
accès aux données structurées dé-identifiées ;
accès à l’outil de recherche textuelle ;
accès direct aux données non structurées ;
accès aux données structurées directement identifiantes.
Les droits d’accès à l’entrepôt sont ouverts aux personnes mandatées par un projet de recherche, pour un temps limité et en fonction des données strictement nécessaires au regard du protocole et du principe de minimisation des données.
Les permissions d'accès sont supprimées pour tout utilisateur n'étant plus habilité et clôturées automatiquement à l’expiration de la période d’habilitation. En outre, le Comité d’orientation effectue un contrôle périodique de l’ensemble des habilitations. 
La Commission observe qu’une politique d’authentification forte est mise en œuvre, reposant sur un identifiant individuel et un mot de passe conforme à la délibération de la Commission n°2017-012 du 19 janvier 2017, ainsi que sur l’utilisation d’une carte de professionnel de santé (CPS).
La Commission note qu’en fonction des demandes de mise à disposition qui seront effectuées, les données pourront faire l’objet de différents types de pré-traitements. Conformément au protocole de chaque projet de recherche, elles pourront ainsi être agrégées, pseudonymisées ou anonymisées.
A cet égard, la Commission prend acte qu’un comité d’export, composé d’un médecin et de deux ingénieurs, assistés de deux opérationnels sans lien avec les projets concernés, aura la charge de contrôler préalablement les données destinées à être exportées, en vérifiant notamment, conformément à l’état de l’art en la matière :
le nombre minimal de patients acceptables dans un jeu de données ;
l'attribution d’un identifiant patient différent pour chaque export (sauf dans le cas particulier d’un suivi de cohorte, où une table de correspondance sera conservée pour assurer le chaînage entre les exports) ;
le maintien du secret concernant le pseudonyme interne au CHUGA-EDS et sa clé de génération, qui ne seront jamais exportés ni exposés ;
l’utilisation d’outils adaptés et à l’état de l’art pour la pseudonymisation de données non structurées.
Le comité d’export assurera également, par une veille scientifique et des échanges avec les autres EDS, le développement de règles d’export et de bonnes pratiques, ainsi que la qualification et l’implémentation d’outils spécifiques qui seront mis à disposition par l’EDS.
Sur ces sujets, la Commission rappelle que :
dans le cas de l’anonymisation : il conviendra de démontrer la conformité de la solution et des techniques d'anonymisation mises en œuvre, aux trois critères définis par l'avis du G29 n° 05/2014, et de la transmettre à la Commission ;
À défaut, si ces trois critères ne pouvaient être réunis, une étude des risques de ré-identification devra être menée. 
Cette étude consiste à démontrer que les risques, liés à la publication du jeu de données, n'ont pas d'impact sur la vie privée et les libertés des personnes concernées ;
dans le cas de la pseudonymisation : les données manipulées ne doivent plus être attribuées à une personne précise sans avoir recours à des informations supplémentaires, ces informations supplémentaires devant être conservées séparément et soumises à des mesures techniques et organisationnelles adéquates. En particulier, la Commission rappelle la nécessité d’écarter toute donnée identifiante comme les prénom, nom, nom de jeune fille, adresse postale, adresse électronique, numéro de téléphone, date de naissance/décès, lieu de naissance/décès, numéro de visite, identifiant technique, etc ;
dans le cas de la pseudonymisation de documents non structurés (comme des comptes rendus médicaux par exemple) : une telle opération doit être effectuée avec vigilance, notamment si elle met en œuvre des outils automatisés et pour lesquels des erreurs sont susceptibles d’advenir.
Les actions des utilisateurs accédant à l’entrepôt font l’objet de mesures de traçabilité. En particulier, sont tracées les connexions à l’entrepôt (identifiants, date et heure) et les requêtes et opérations réalisées. Un contrôle des traces est réalisé à la fin de chaque période d’habilitation liée à un projet de recherche. La Commission recommande en outre de mettre en place un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et de lever des alertes le cas échéant.
La Commission observe que l’entrepôt est accessible uniquement sur le réseau interne du CHUGA à partir d’une interface prévue à cet effet. L’accès est sécurisé au moyen du protocole HTTPS. 
Celui-ci utilise des canaux de communication chiffrés et assure l’authentification de la source et du destinataire. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible. De plus, des mesures sont prévues pour assurer le cloisonnement du traitement. Le réseau fait l’objet de mesures de filtrage ayant pour but de restreindre l’émission et la réception des flux réseau aux machines identifiées et autorisées.
La Commission note que les mises à jour des logiciels sont installées de manière régulière. Des mesures spécifiques sont prévues pour garantir la disponibilité des données et services. Une politique de lutte contre les maliciels est définie et des logiciels antivirus sont installés et régulièrement mis à jour sur tous les matériels prenant part au traitement. Enfin, une politique de maintenance des environnements informatiques est définie, assurant que des mesures appropriées relatives à la sécurité des données sont mises en œuvre. Les interventions de maintenance font ainsi l'objet d'une traçabilité.
Une politique de sauvegarde est mise en œuvre. Les sauvegardes sont testées régulièrement afin de vérifier leur intégrité.
Le transfert des sauvegardes est sécurisé. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.
De plus, lors de la mise au rebut, le matériel remisé est nettoyé de toute donnée à caractère personnel. Les supports de stockage usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement.
L'accès aux locaux hébergeant les équipements prenant part au traitement est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel. Des mesures de détection et de protection contre les risques d'incendie, de dégâts des eaux et de perte d'alimentation électrique sont proposées.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5-1-f et 32 du RGPD. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
Les données sont conservées dans l’entrepôt pendant vingt ans puis supprimées.
La Commission considère que cette durée de conservation des données n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise, le Centre hospitalier universitaire Grenoble Alpes, conformément à la présente délibération, à mettre en œuvre le traitement mentionné.
Pour la PrésidenteLa Vice-Présidente déléguée
Sophie LAMBREMON
La Commission nationale de l'informatique et des libertés,
 
Saisie par la ministre du travail d’une demande d’avis sur un projet de décret modifiant le décret n° 2014-1717 du 30 décembre 2014 portant création du compte personnel de formation ainsi que d’un projet d’arrêté listant les données à caractère personnel collectées et les destinataires des informations enregistrées dans le SI-CPF ;
 
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD ) ;
Vu le Code du travail, notamment ses articles L. 6323-8 II, R. 6323-1 à R.6323-40 ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-e) ;
Vu la loi n° 2018-771 du 5 septembre 2018 pour la liberté de choisir son avenir professionnel ;
Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10, et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2014-434 du 23 octobre 2014 portant avis sur un projet de décret relatif à la mise en œuvre d’un traitement de données à caractère personnel dénommé système d’information du compte personnel de formation (SI-CPF) ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
Le compte personnel de formation (CPF), instauré par la loi n° 2014-288 du 5 mars 2014 relative à la formation professionnelle, à l’emploi et à la démocratie sociale, constitue un outil d’accès individuel à la formation professionnelle, ouvert à tout actif de plus de seize ans, quel que soit son statut ainsi qu’aux apprentis dès l’âge de quinze ans.
 
Le CPF recense les droits acquis par les salariés, les travailleurs handicapés en établissement ou service d’aide par le travail (ESAT) et les travailleurs indépendants, tout au long de leur vie active et jusqu’à leur départ à la retraite, ainsi que les formations dont ils peuvent bénéficier personnellement.
La loi n° 2018-771 du 5 septembre 2018 pour la liberté de choisir son avenir professionnel modifie en profondeur la gouvernance et le financement du système de formation professionnelle.
Cette réforme prévoit notamment que la Caisse des dépôts et consignations est désignée, à compter du 1er janvier 2020, comme l’organisme gestionnaire du CPF sur les plans financier et technique pour l’ensemble des actifs hors fonction publique.
Elle prévoit, par ailleurs, l’affichage des droits CPF en euros, de nouvelles formations, des nouvelles possibilités d’abondements et la création d’une application mobile.
L’article 1er de la loi susvisée vient donc modifier les dispositions du code du travail relatives au CPF.
L’article 6323-8 II du code du travail, ainsi modifié par la loi, précise que les modalités de mise en œuvre du système d’information du compte personnel de formation (SI-CPF) sont fixées par décret en Conseil d’Etat pris après avis de la Commission nationale de l’informatique et des libertés.
C’est dans ce contexte que la Commission a été saisie pour avis par la Délégation générale à l’emploi et à la formation professionnelle d’un projet de décret modifiant le décret n° 2014-1717 du 30 décembre 2014 portant création du CPF ainsi que d’un projet d’arrêté listant les données à caractère personnel collectées et les destinataires des informations enregistrées dans le SI-CPF sur le fondement de l’article 8-I-2°-e) de la loi Informatique et Libertés .
Aussi, les présents projets de décret et d’arrêté soumis à la Commission procèdent à la mise à jour du cadre juridique du dispositif SI-CPF s’agissant des finalités du traitement, des données traitées et des destinataires de ces données.
Sur la finalité
L’article 1er du projet de décret vient compléter l’article R. 6323-33 du code du travail afin de prendre en compte les modifications apportées au SI-CPF par la loi n° 2018-771 et plus particulièrement :
la gestion et le contrôle des abondements en droits complémentaires associés aux ressources mentionnées à l’article L. 6333-2 du code du travail ;
la prise en charge des actions de formation, à partir des informations sur les formations éligibles, de l’inscription jusqu’au paiement des prestataires mentionnés à l’article L. 6351-1 du code du travail, après vérification du service fait ;
la mise en relation du titulaire du CPF et des prestataires mentionnés à l’article L. 6351-1 du code du travail, conformément aux modalités prévues par les conditions générales d’utilisation du service dématérialisé mentionnées à l’article L. 6323-9 du code du travail ;
l’alimentation et la mobilisation des droits inscrits sur le compte d’engagement citoyen conformément aux dispositions de l’article L. 5151-8 du code du travail ;
la mise à disposition de services permettant d’accompagner le titulaire du CPF dans la construction de son parcours professionnel et de lui formuler des propositions en lien avec ses préférences, ses attentes et son parcours ;
la mise à disposition de services permettant au titulaire du compte de formation de recenser les connaissances et compétences acquises, tout au long de sa formation initiale et continue, ainsi que pendant sa carrière, notamment le passeport d’orientation, de formation et de compétences au II de l’article L. 6323-8 du code du travail.
 
La Commission considère que les nouvelles finalités poursuivies par le traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 5-1-b) du RGPD.
Sur les données traitées
L’article 1er du projet d’arrêté vient compléter l’article R. 6323-34 du code du travail concernant la liste des données susceptibles d’être enregistrées dans le SI-CPF afin de prendre en compte les modifications apportées par la loi.
La Commission relève que, pour améliorer la lisibilité de l’arrêté, les données susceptibles d’être enregistrées et traitées dans le SI-CPF sont listées à l’annexe 1.
S’agissant des nouvelles données à caractère personnel, celles-ci sont relatives :
au titulaire du CPF : statut de bénéficiaire de l’obligation d’emploi ; date de liquidation des droits à la retraite selon les conditions prévues au dernier alinéa de l’article L. 5151-2 du code du travail ;
au parcours professionnel du titulaire du CPF : type de contrat de travail (contrat à durée indéterminée, contrat à durée déterminée) ; profession et catégorie socioprofessionnelle du dernier emploi occupé pour les personnes à la recherche d’un emploi ;
aux données d’ordre économique et financier relatives au titulaire du CPF : données bancaires inscrites sur la carte bancaire du titulaire du compte (nom, numéro de carte bancaire, date d’expiration, cryptogramme visuel) ; celles présentes sur le relevé d’identité bancaire du titulaire du compte (nom et adresse du titulaire du compte bancaire, RIB, IBAN, adresse de domiciliation bancaire) ;
aux droits et parcours de formation du titulaire du CPF : nombre de points présents sur le compte professionnel de prévention ; montant correspondant aux points acquis au titre du compte professionnel de prévention ; informations relatives à l’acquittement effectif de la contribution à la formation professionnelle et à la durée de l’exercice de l’activité au cours de l’année pour les travailleurs indépendants, les membres des professions libérales et des professions non salariées, leurs conjoints collaborateurs et les artistes auteurs ; montant du reste à charge prévisionnel et effectif ; montant et type de frais annexes ; modalités de réalisation et organisation pédagogique de la formation ; informations complémentaires concernant l’organisme de formation ; dimension certifiante ou non de la formation éligible au compte personnel de formation ; données relatives aux motifs d’annulation de l’inscription à une formation, notamment en cas de force majeure ; évaluations de la formation et commentaires des stagiaires ; validation par le titulaire du compte du service fait ; données relatives aux échanges entre les titulaires de compte et les organismes de formation, de l’inscription à la clôture du dossier de formation.
La Commission estime que les nouvelles données collectées dans le cadre de ce traitement sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le responsable de traitement, conformément aux dispositions de l’article 5.1.c) du RGPD.
Sur les destinataires 
La Commission relève également que, pour améliorer la lisibilité de l’arrêté, les personnes habilitées à accéder et à recevoir communication des informations enregistrées dans le traitement sont listées aux annexes 2 et 3 du projet.
Aussi, les personnels de l’Association de gestion du fonds pour l’insertion professionnelle des personnes handicapées, des organismes de formation et de France Compétences viennent compléter la liste des destinataires des informations enregistrées dans le SI-CPF mentionnés à l’article R. 6323-36 du code du travail afin de prendre en compte les modifications apportées par la loi.
Les nouvelles personnes habilitées à accéder au traitement sont les agents des commissions paritaires interprofessionnelles et ceux des employeurs publics.
La Commission rappelle que ces personnes ne peuvent accéder ou recevoir communication des informations susvisées que dans les limites de leurs attributions légales, et chacune pour ce qui la concerne.
 
Elle prend acte, par ailleurs, de ce que les organismes paritaires collecteurs agréés ont été remplacés par les opérateurs de compétences.
 
Sur l’information et les droits des personnes
Les personnes concernées sont informées, conformément aux dispositions de l’article 13 du RGPD, par une mention insérée au portail d’accès au site internet moncompteformation.gouv.fr .
 
La Commission prend acte de ce que la mention d’information sera mise à jour afin de prendre en compte l’évolution du cadre juridique du CPF.
Les droits de rectification et d’accès s’exercent auprès de la Caisse des dépôts et consignations.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur la durée de conservation 
Le projet de décret soumis pour avis à la Commission ne modifie pas les durées de conservation des données.
 
Aussi, celles-ci seront conservées jusqu’à l’expiration d’un délai de trois ans à compter du décès des titulaires de CPF.
Ce délai sera prorogé, en cas de contentieux, jusqu’au prononcé d’une décision juridictionnelle définitive.
Toutefois, l’article 1er du projet de décret prévoit l’ajout d’une disposition concernant la conservation, de manière anonyme, des données présentant un intérêt statistique pour une durée de cinq ans.
A cet égard, la Commission rappelle que pour se prévaloir de l’anonymisation d’un jeu de données, le responsable de traitement doit être en mesure de démontrer que ses processus d’anonymisation respectent les conditions de l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le Comité européen de la protection des données. A défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit être menée. 
La Commission rappelle, enfin, que le RGPD ne s’applique pas aux données anonymes : ces dernières peuvent, par conséquent, être conservées sans limitation de durée.
Sur les mesures de sécurité 
La Commission souligne qu’elle a déjà rendu plusieurs avis sur le SI-CPF et précise que les modalités techniques de mise en œuvre du traitement ne sont que modérément impactées par les modifications énoncées précédemment.
La Commission rappelle tout d’abord que le traitement étant un téléservice au sens de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, il doit être conforme au Référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010 susvisé. Elle rappelle également qu’il revient au responsable de traitement d’attester formellement de l'acceptation du niveau de sécurité du téléservice au travers d’une homologation RGS et d'en publier l'attestation d'homologation sur son site. A cet égard, la Commission prend acte des précisions du ministère selon lesquelles une présentation en commission d’homologation prévisionnelle aura lieu durant le deuxième semestre 2019 pour l’application mobile et le nouveau site internet.
Concernant l’application mobile, la Commission prend acte de ce que les services web utilisés par cette application seront les mêmes que ceux existants pour le site internet et seront ainsi sécurisés de la même manière. La Commission recommande l’utilisation du protocole TLS dans sa version la plus à jour et avec des suites cryptographiques fortes.
Concernant le traitement du numéro d’inscription au Répertoire national d’identification des personnes physiques ( NIR ), la Commission relève que les NIR sont stockés sous forme hachée dans l’annuaire informatique des titulaires de droits grâce à une fonction de hachage cryptographique à l’état de l’art. Afin de mieux protéger les NIR contre une attaque par force brute, la Commission recommande l’utilisation d'un sel secret qui ne soit pas conservé dans le même espace de stockage.
De plus, la Commission relève que les NIR ainsi que d’autres données issues de la déclaration sociale nominative peuvent être stockés en clair avant d’être traités pour la consommation des droits au CPF. Les NIR peuvent également être stockés sous forme tronquée dans certaines applications métier du SI-CPF. Compte tenu de la nature de ces données, la Commission recommande que les bases de données et leurs sauvegardes soient chiffrées.
Concernant le traitement des données d’ordre économique et financier, la Commission prend acte de ce que les données relative à la carte bancaire utilisées lors du paiement en ligne du reste à charge ne sont pas véhiculées ni stockées dans le SI-CPF.
La Commission relève que l'authentification au portail du SI-CPF est conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe. La Commission recommande toutefois le déploiement d’une authentification forte utilisant un facteur d’authentification supplémentaire.
La Commission relève que la gestion des habilitations aux applications est gérée par une solution centralisée, fait l'objet d'une procédure documentée et que des revues d'habilitation sont mises en œuvre deux fois par an.
Concernant la traçabilité des actions, la Commission relève que les traces relatives aux actions des usagers du portail SI-CPF sont conservées pendant un an glissant, conformément à ses préconisations.
La Commission relève également que les accès aux traces de production sont sécurisés via une plateforme d’habilitation et limités à certaines équipes de production et de sécurité de la Caisse des dépôts et consignations. Elle recommande la mise en place d’un accès en lecture seule à ces traces techniques et une vérification de leur intégrité par un calcul d'empreinte avec une fonction de hachage cryptographique.
La Commission relève de plus qu’un contrôle automatique de certains événements de sécurité a été mis en place, afin de détecter les comportements anormaux et de générer des alertes le cas échéant.