AgentPublic/cnil huggingface dataset:
Le séquestre des clés cryptographiques utilisées est confié en partage à la FNMF et à un tiers de confiance externe –en l’espèce, le GIE SESAM-VITALE- par le biais d’une clé spécifique dite « clé Babusiaux ».
Sur la conformité du traitement mis en œuvre à la loi du 6 janvier 1978 modifiée 
Il convient d’apprécier la conformité du traitement mis en œuvre par la FNMF à la loi du 6 janvier 1978 modifiée et aux préconisations du rapport de M. Christian Babusiaux.
L’association des mesures de sécurité auxquelles a recours la FNMF (boîte noire et tiers de confiance) destinées à garantir que les données identifiantes et les données de santé ne soient pas accessibles en clair au même moment, apparaît en conformité avec les préconisations du rapport de Monsieur Babusiaux et des exigences de la loi du 6 janvier 1978 modifiée.
Autorise, pour une durée de trente six mois, la Fédération nationale de la mutualité française à prolonger l’expérimentation autorisée dans sa délibération précitée du 9 novembre 2004.
La FNMF devra cependant adopter l’architecture commune proposée par le ministère de la santé relative à l’acheminement des feuilles de soins électroniques aux organismes d’assurance maladie complémentaires.
Par ailleurs, la Fédération nationale de la mutualité française devra, au terme de la période de 36 mois visée ci-dessus et avant toute extension, présenter à la Commission un cahier des charges précis relatif aux modalités de passage de la phase de simulation à une mise en situation réelle de liquidation des prestations.
Le Président
Alex TURK
(demande d’autorisation n°1031843-V5)
La Commission nationale de l'informatique et des libertés, 
Saisie par la société Axa France, d’une demande d’extension du traitement ayant pour finalité l’accès, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques en matière pharmaceutique ;
Vu la Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment ses articles 8-III et 25-I, 1°;
Vu le code de la sécurité sociale et notamment les articles L. 161-29 et R. 115-1 et suivants ;
Vu le code de la santé publique et notamment l’article L. 4113-7 ;
Vu le code pénal et notamment les articles 226-13 et 226-14 ;
Vu la délibération n°2005-018 du 3 février 2005 portant autorisation d’une expérimentation présentée par la société Axa France ayant pour finalité d’accéder, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques ;
Vu la délibération modificative n° 2005-314 du 20 décembre 2005 de la délibération du 3 février 2005 autorisant une expérimentation présentée par la société Axa France ayant pour finalité d’accéder, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques ;
Vu la délibération n°2008-343 du 18 septembre 2008 autorisant la prolongation de l’expérimentation présentée par la société Axa France ayant pour finalité d’accéder, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électronique ;
Vu la délibération n°2009-580 du 22 octobre 2009 autorisant la prolongation de l’expérimentation présentée par la société Axa France ayant pour finalité d’accéder, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques ;
Sur le rapport de Monsieur Jean MASSOT, commissaire et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ;
Formule des observations suivantes
La société Axa France a saisi la Commission d’une demande d’extension du traitement ayant pour finalité l’accès, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques.
L’expérimentation menée par la société Axa France « Inédit santé » tend à créer une base de données statistiques et à liquider les prestations sur le fondement de données médicalisées (code des médicaments et liste des produits et prestations) prévues dans des contrats d’assurance santé d’ores et déjà existants qui proposent des garanties spécifiques pour certains médicaments non remboursés par le régime obligatoire et des produits et prestations de santé pour lesquels les frais réels dépassent le tarif forfaitaire de responsabilité. 
Cette expérimentation s’inscrit dans le cadre du rapport de Monsieur Babusiaux relatif à l’accès des assureurs complémentaires aux données de santé des feuilles de soins électroniques qui recommande que les données sensibles « ne viennent pas, sous leur forme nominative, à la connaissance des assurances complémentaires » en précisant que l’architecture utilisée pour la transmission des données repose sur l’organisation du système d’information de l’assureur « en deux sous systèmes séparés communiquant entre eux par le truchement d’un tiers de confiance ». Le rapport envisage deux statuts possibles pour ce tiers de confiance qui est au cœur de la sécurité du système : soit une entité juridique distincte de l’assureur, n’ayant pas d’intérêts communs avec celui-ci, soit l’utilisation d’une boîte noire, c’est-à-dire un dispositif matériel inviolable même par l’assureur lui-même.
La Commission a estimé que la demande formulée par la société Axa France qui procède, à réception des données, à leur anonymisation, relève de la procédure d’autorisation prévue à l’article 8-III de la loi du 6 janvier 1978 modifiée, dans la mesure où le traitement des données de santé figurant sur les feuilles de soins électroniques fait l’objet d’une anonymisation à bref délai.
La Commission a, par sa délibération n°2005-018 en date du 3 février 2005, autorisé la société Axa France à mener une expérimentation d’un an sur l’accès, sous forme anonymisée, aux données de santé figurant sur les feuilles de soins électroniques. L’expérimentation a débuté en octobre 2007, elle a été prolongée jusqu’au 31 décembre 2009.
La société Axa France demande aujourd’hui à la CNIL une extension du traitement à périmètre constant à l’ensemble des assurés et des départements. Un bilan de l’expérimentation a été déposé à l’appui de sa demande, conformément à la délibération n°2008-343 de la CNIL du 18 septembre 2008.
Sur l’architecture du dispositif
L’expérimentation « Inédit Santé » se déroule dans 10 départements et concerne des pharmacies volontaires qui émettent par le biais du logiciel SESAM Vitale installé sur leurs postes des demandes de remboursement électroniques « médicalisées » vers le système informatique de la société Axa France dédié à l’expérimentation « Inédit Santé ». Ces demandes de remboursements détaillés qui contiennent le code des médicaments et la liste des produits et prestations sont chiffrées à l’aide d’une clé de chiffrement prêtée par le GIE SESAM Vitale.
Un chiffrement du transport est également prévu entre les organismes concentrateurs techniques (OCT) et le frontal de la société Axa France pour renforcer le niveau de sécurité des flux.
A réception des demandes de remboursements électroniques médicalisées chiffrées sur le système informatique de la société Axa France, celles-ci sont déchiffrées avec la clé implantée dans le système par le GIE SESAM Vitale puis à nouveau chiffrées par une clé propre à cet organisme complémentaire. La demande de remboursements électroniques ainsi cryptée alimente respectivement une base « statistique » et une base « sinistres » permettant d’assurer la liquidation des produits et prestations relevant de contrats particuliers.
Lors de la réception de la demande de remboursements électroniques, un traitement de purge élimine les codes détaillés de la facture en cas de refus de l’assuré de participer au dispositif ou si l’assuré ne fait pas partie de la cible de l’expérimentation.
La base « sinistres » comporte les numéros de sécurité sociale des assurés et les codes détaillés chiffrés. Elle permet de rechercher, sur la base du numéro de sécurité sociale de l’assuré, s’il dispose d’un contrat nécessitant le traitement de codes détaillés. Si tel n’est pas le cas, les données médicalisées sont supprimées et la demandes de remboursements électroniques est traitée de manière classique.
Dans le cas contraire, les codes des médicaments et la liste des produits et prestations sont déchiffrés uniquement le temps nécessaire pour permettre le calcul automatique du remboursement. Au terme de cette opération le traitement remplace les codes détaillés par des codes généraux. L’ensemble du traitement est réalisé quelques secondes. Parallèlement, un décompte expurgé des données sensibles est envoyé à l’assuré.
La base statistique permet d’effectuer des simulations pour mieux gérer le risque maladie et proposer de nouvelles garanties. Elle ne comporterait que des données anonymisées.
Sur l’appréciation du dispositif au regard de la loi du 6 janvier 1978 modifiée
Il convient d’apprécier la conformité du traitement présenté à la loi du 6 janvier 1978 modifiée et aux préconisations du rapport de M. Christian Babusiaux.
Le procédé d’anonymisation retenu par la société Axa France repose sur un chiffrement des données sensibles chez le professionnel de santé, une transmission sécurisée avec un déchiffrement en bout de chaîne au sein d’une machine appartenant au même assureur.
Lorsque les données sensibles sont déchiffrées au sein du système d’information, propre à la société Axa France, elles sont pendant une très courte période, quelques secondes, non chiffrées pour être associées aux données nominatives du patient afin de calculer le remboursement de l’assuré.
Le processus retenu par la société Axa France s’éloigne du processus d’anonymisation préconisé dans le rapport de M. Babusiaux dans la mesure où il ne fait pas intervenir de tiers de confiance ni sous la forme d’une entité juridique distincte de l’assureur, ni sous la forme d’une « boîte noire ». 
En l’absence de tiers de confiance, cette association temporaire paraît être le point de vulnérabilité central du processus retenu par la société Axa France. 
Suite à l’évaluation des documents remis par la société Axa France à l’Agence nationale de la sécurité des systèmes d’information, un audit a été réalisé à la demande de la Commission.
La Commission considère que l’audit interne mené sur l’entreprise ne saurait constituer un audit indépendant réalisé par un organisme externe et de nature à analyser le code source informatique exécuté (déchiffrement et l’éclatement de l’information). 
La sécurisation des flux entre le pharmacien et le frontal SESAM Vitale de la société Axa France repose sur l’autorisation du Comité directeur du GIE SESAM Vitale d’utiliser la clé de chiffrement de l’assurance maladie pour la durée de l’expérimentation. La diffusion de cette clé n’apparaît pas envisageable en cas d’extension du dispositif.
La Commission donne un délai de 36 mois à la société Axa France pour adopter une des deux solutions suivantes :
Soit faire évoluer son architecture technique afin de se conformer au processus d’anonymisation préconisé dans le rapport de M. Babusiaux (tiers de confiance, entité juridique distincte de l’assureur, ou boîte noire). 
Soit conserver son architecture actuelle, à condition de mettre en œuvre un processus d’audit complet et régulier du système « Inédit-santé » par une société externe indépendante, en conformité avec les recommandations figurant dans les conclusions de l’analyse du système réalisée par l’Agence nationale de la sécurité des systèmes d’information (notamment un audit technique et organisationnel ainsi qu’un audit du code source).
Quelle que soit la solution retenue, la société Axa France devra, dans ce même délai de 36 mois, la rendre compatible avec l’architecture commune d’acheminement des données détaillées des feuilles de soins électroniques vers l’assurance maladie complémentaire proposée par le ministère et examinée par la Commission ce jour laquelle prévoit l’utilisation d’une clé de chiffrement spécifique.
Dans l’intervalle, la Commission autorise la société Axa France à poursuivre le traitement, à périmètre constant, dans dix départements. Une extension de l’autorisation à l’ensemble des départements et des assurés ne sera envisageable qu’une fois que la société Axa France aura effectivement mis en œuvre une des deux solutions ci-dessus exposées. Dans cette hypothèse, il conviendra de saisir la Commission d’une nouvelle demande.
Le Président
Alex TURK
(demande d’autorisation n°1087829-V1)
La Commission nationale de l'informatique et des libertés, 
Saisie par la société GROUPAMA d’une demande tendant à la mise en œuvre du traitement ayant pour finalité l’accès aux données de santé figurant sur les feuilles de soins électroniques en matière d’optique ;
Vu la Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment ses articles 8-III et 25-I, 1°;
Vu le code de la sécurité sociale et notamment les articles L. 161-29 et R. 115-1 et suivants ;
Vu le code de la santé publique et notamment l’article L. 4113-7 ;
Vu le code pénal et notamment les articles 226-13 et 226-14 ;
Vu la délibération n°2006-010 du 19 janvier 2006 portant autorisation d’une expérimentation pendant la durée d’un an du traitement mis en œuvre par la société GROUPAMA et ayant pour finalité de permettre l’accès, sous forme anonymisée, à l’information sur les défauts visuels des assurés figurant sur les demandes de prise en charge ;
Sur le rapport de Monsieur Jean MASSOT, commissaire et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes 
En 2005, la société GROUPAMA a saisi la Commission d’une demande d’autorisation relative à un traitement automatisé permettant d’accéder, à titre expérimental, de manière anonymisée, à l’information sur les défauts visuels de ses assurés figurant sur les demandes de prises en charge.
La branche assurance maladie complémentaire de la société GROUPAMA qui assure la prise en charge d’une partie des dépenses de soins et de biens médicaux en complément du régime obligatoire reçoit des professionnels de santé des données relatives à l’identité du patient dont le numéro de sécurité sociale, la lettre-clé de l’acte pratiqué ou de la prestation servie ainsi que des demandes de prise en charge papier.
En matière d’optique, les régimes obligatoires ne remboursent qu’une petite partie des équipements. Les contrats complémentaires santé classiques remboursent les assurés en fonction de forfaits, exprimés soit en pourcentage de la prise en charge du régime obligatoire, soit sur la base d’un montant fixe prévu dans le contrat. Ces contrats ne tiennent donc pas compte du défaut visuel de l’assuré. Dès lors, si le défaut de vision est facile à corriger, le coût des équipements est en dessous du forfait mais la prestation optique est fréquemment facturée au niveau du forfait. Lorsque le défaut visuel est important, le forfait est souvent largement dépassé et le reste à charge est substantiel pour l’assuré.
Pour mieux adapter la prise en charge aux besoins de ses assurés, la société GROUPAMA, dans le cadre de l’expérimentation, a proposé de moduler les remboursements des verres en fonction de la complexité du défaut visuel du patient et par conséquent en fonction de l’équipement optique nécessaire.
Cette expérimentation s’inscrit dans le cadre du rapport de Monsieur Babusiaux relatif à l’accès des assureurs complémentaires aux données de santé des feuilles de soins électroniques qui recommande que les données sensibles « ne viennent pas, sous leur forme nominative, à la connaissance des assurances complémentaires » en précisant que l’architecture utilisée pour la transmission des données repose sur l’organisation du système d’information de l’assureur « en deux sous systèmes séparés communiquant entre eux par le truchement d’un tiers de confiance ». Le rapport envisage deux statuts possibles pour ce tiers de confiance qui est au cœur de la sécurité du système : soit une entité juridique distincte de l’assureur, n’ayant pas d’intérêts communs avec celui-ci, soit l’utilisation d’une boîte noire, c’est-à-dire un dispositif matériel inviolable même par l’assureur lui-même. 
La Commission a estimé que la demande formulée par la société GROUPAMA qui procède, à réception des données, à leur anonymisation, relève de la procédure d’autorisation prévue à l’article 8-III de la loi du 6 janvier 1978 modifiée, dans la mesure où le traitement des données de santé figurant sur les demandes de prises en charge électroniques fait l’objet d’une anonymisation à bref délai.
La Commission a, par sa délibération n°2006-010 en date du 19 janvier 2006, autorisé la société GROUPAMA à mener une expérimentation d’un an sur l’accès, sous forme anonymisée, à l’information sur les défauts visuels des assurés figurant sur les demandes de prises en charges en vue d’améliorer leur remboursement. L’expérimentation a débuté le 17 septembre 2007 et s’est achevée le 17 septembre 2008.
La société GROUPAMA demande aujourd’hui à la CNIL l’autorisation de déployer le traitement expérimenté à l’ensemble de ses assurés.
Sur l’architecture du dispositif
Le dispositif expérimental a concerné des opticiens partenaires volontaires qui ont émis en accédant à un extranet, les demandes de devis électroniques. 
A réception de ces données chiffrées sur la plate forme d’échange, dénommée « front office » gérée par un prestataire, la demande est décryptée puis les données relatives à l’identification de l’assuré et au défaut visuel sont immédiatement chiffrées avec deux clés différentes. Une fois ce chiffrement réalisé, la demande de devis électronique est transmise au système dédié à la gestion des remboursements (prestations optiques) dénommé « middle office ». Ce dispositif est hébergé chez un second prestataire de service.
Le « middle office » traite les demandes de prise en charge. Il déchiffre uniquement les données relatives au défaut visuel de l’assuré. Ces données sont utilisées pour le contrôle du respect des grilles tarifaires. Ces données sensibles sont ensuite remplacées par des « codes prestations » généraux et conservées pendant une durée de trois ans. Une requête est ensuite adressée au  « back office » de la société GROUPAMA pour le calcul du reste à charge en fonction des garanties souscrites.
Le remboursement aux assurés par la société GROUPAMA se fait sur la base de factures présentées.
Les factures sont examinées par la société GROUPAMA pour vérifier leur adéquation avec la « demande de devis » qui a été précédemment transmise. La facture fait référence au devis permettant ainsi d’opérer cette vérification. 
Transmises sous forme papier, les factures sont ensuite saisies manuellement dans un logiciel au niveau du « middle office » après avoir bénéficié d’un chiffrement dans la mesure où elles contiennent des informations sensibles (défaut visuel de l’assuré).
La référence du devis qui est portée sur la facture est également chiffrée pour éviter des croisements avec le fichier de devis qui contient des informations sensibles.
Le bilan communiqué par la société GROUPAMA indique que d’autres pistes sont étudiées pour la transmission de la facture afin d’assurer une meilleure protection des données sensibles qu’un simple envoi papier.
Sur les mesures de sécurité mises en œuvre
Les fonctions cryptographiques essentielles du processus d’anonymisation et de chiffrement/déchiffrement sont réalisées par des « boîtes noires ».
La sécurité du processus a été évaluée par un cabinet de consultants indépendant, qui a suggéré un certain nombre de modifications pour améliorer la sécurité du dispositif lors de son extension éventuelle. La Commission considère que ces propositions d’améliorations sont à prendre en compte.
Sur la conformité du traitement mis en œuvre à la loi du 6 janvier 1978 modifiée 
Il convient d’apprécier la conformité du traitement mis en œuvre par la société GROUPAMA à la loi du 6 janvier 1978 modifiée et aux préconisations du rapport de M. Christian Babusiaux.
La Commission relève que le processus de demande de devis s’appuie sur des mécanismes de tiers de confiance reposant sur des boîtes noires. En ce sens, les préconisations du rapport de Monsieur Christian BABUSIAUX sont respectées.
Cependant, les données sensibles se retrouvent malgré tout associées à des informations nominatives dans certaines situations. 
C’est le cas notamment sur le « front office » qui déchiffre brièvement toutes les informations sensibles et ainsi que les données d’identification de l’assuré. C’est également le cas lors du processus de vérification des factures, qui implique la transmission papier des éléments décrivant le défaut visuel du patient. 
Par ailleurs la Commission relève que l’ensemble des opérations de chiffrement et de déchiffrement est tracé.
Sur les mesures d’information des personnes concernées
Outre l’information sur le dispositif diffusée par la société GROUPAMA dans les conditions générales du contrat d’assurance santé et la note d’information qui sera envoyée aux assurés avant le lancement de la mise en œuvre généralisée, il convient que la société GROUPAMA propose à ses partenaires des affichettes d’information qu’ils pourront apposer dans leurs centres d’optique. 
Les assurés seront informés qu’ils peuvent refuser la transmission électronique de leurs données anonymisées et envoyer leur demande de prise en charge par courrier postal.
Autorise dans ces conditions la société GROUPAMA  à mettre en œuvre pour une durée de trente six mois, un traitement ayant pour finalité l’accès sous forme anonymisée à l’information sur les défauts visuels du patient figurant sur les demandes de prises en charge sur le fondement de l’article 8-III relatif à l’anonymisation à bref délai.
La société GROUPAMA devra cependant, dans le même délai de trente six mois, adopter l’architecture commune proposée par le ministère de la santé relative à l’acheminement des feuilles de soins électroniques aux organismes d’assurance maladie complémentaires.
Le Président
Alex Türk
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération n°2009- 475 du 23 juillet 2009 ;
Sur le rapport de M. Didier Gasse, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la Société Générale à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Société responsable du transfert
SOCIETE GENERALE
Finalités du transfert