AgentPublic/cnil huggingface dataset:
b) Les coordonnées de la personne ayant procédé à la notification de l'événement sanitaire indésirable ou de tout professionnel de santé susceptible d'apporter des précisions (nom, prénom, coordonnées postales, électroniques, téléphoniques, le cas échéant spécialité du professionnel de santé). Selon les situations, la personne ayant procédé à la notification peut être : le membre d'une autorité sanitaire, un professionnel de santé, la personne exposée à l'événement sanitaire indésirable ou son entourage, le(s) titulaire(s) de l'autorité parentale, l'ayant droit en cas de décès, une association de patients agréée, etc. La notification de l'événement sanitaire indésirable, qui serait réalisée directement par la personne exposée, a pour effet de lever le secret de son identité, et doit être limitée à ce que le responsable de traitement a besoin de connaître pour satisfaire à ses obligations en matière de vigilances sanitaires et pour une durée strictement limitée à ce qui est nécessaire pour répondre auxdites obligations.
	6. Destinataires des données
	Seuls les employés habilités du responsable de traitement doivent pouvoir, sous la responsabilité de ce dernier, accéder aux données à caractère personnel traitées, dans la limite de leurs attributions respectives et pour ce qui les concerne, notamment :
	- le responsable de la vigilance, ainsi que ses collaborateurs et agents intervenant dans le processus de gestion des vigilances sanitaires ;
- les personnels du service des audits, de manière ponctuelle et motivée, pour vérifier le respect des exigences réglementaires ;
	- les personnels habilités en charge de la gestion des réclamations, en fonction des dossiers qu'elles ont à traiter.
	Peuvent également être destinataires des données nécessaires à l'exercice de leurs missions, exclusivement dans le cadre de leur activité de vigilance :
	- les sous-traitants intervenant pour le compte et sous la responsabilité de l'organisme, dans la limite de leurs fonctions et dans les conditions définies par le contrat de sous-traitance. En cas de recours à un sous-traitant, le contrat qui lie le responsable de traitement au sous-traitant doit faire mention des obligations qui lui incombent en matière de protection des données (article 28 du RGPD). Le guide du sous-traitant édité par la CNIL précise ses obligations et les clauses à intégrer dans les contrats ;
	- les autres sociétés du groupe auquel l'organisme appartient qui participent à l'exploitation ou à la commercialisation du médicament, du dispositif ou du produit mis en cause ;
	- les tiers dont un médicament, un dispositif ou un produit pourrait être mis en cause, à l'exception des données directement identifiantes de la personne exposée à l'événement sanitaire indésirable qui aurait notifié l'événement ;
	- les professionnels de santé participant au suivi du patient et les professionnels de santé ou autres professionnels pouvant apporter un complément ;
- les organismes notifiés en charge de l'évaluation d'un médicament, d'un dispositif ou d'un produit, à l'exception des données directement identifiantes de la personne exposée à l'événement sanitaire indésirable qui aurait notifié l'événement ;
	- les organismes publics nationaux (p. ex. : agences régionales de santé, agences sanitaires, etc.) ou étrangers en charge des vigilances dans le cadre de l'exercice de leurs missions telles que définies par les textes, les autorités ou agences sanitaires nationales étrangères et les autorités ou agences sanitaires internationales (p. ex. : Agence européenne des médicaments), à l'exception des données directement identifiantes de la personne exposée à l'effet indésirable qui aurait notifié l'événement.
	7. Durées de conservation
	Les données collectées et traitées pour gérer les vigilances sanitaires ne peuvent être conservées de façon indéfinie. Une durée de conservation précise doit être préalablement fixée en fonction de la finalité du traitement.
	Au regard des finalités du traitement, les données sont conservées en base active pendant la durée d'utilisation courante des données. Elles sont ensuite conservées en archivage intermédiaire pendant la durée légale ou réglementaire applicable à chaque vigilance sanitaire. En l'absence de durée légale ou réglementaire, les données ne peuvent être conservées au-delà d'une période de soixante-dix ans à compter de la date du retrait du marché du médicament, du dispositif ou du produit.
A l'expiration de ces délais, les données sont supprimées ou archivées sous une forme anonymisée.
	La conservation et l'archivage des données doivent être réalisés dans des conditions de sécurité conformes aux dispositions de l'article 32 du RGPD.
	8. Information des personnes
	Un traitement de données à caractère personnel doit être mis en œuvre en toute transparence vis-à-vis des personnes concernées (personnes exposées à l'événement sanitaire indésirable, personne ayant notifié l'événement sanitaire indésirable et professionnel de santé ayant suivi la personne concernée par l'événement). Le responsable de traitement prend les mesures appropriées pour fournir à la personne concernée une information concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples.
	Dès le stade de la collecte, les personnes concernées par le traitement doivent être individuellement informées des modalités de traitement de leurs données dans les conditions prévues par les articles 13, le cas échéant, 14 du RGPD, 69 et 70 de la loi Informatique et libertés.
	En cas de notification de l'événement sanitaire indésirable par la personne qui y est exposée, une information particulière doit lui être fournie préalablement, afin de l'informer que le secret de son identité ne sera pas préservé.
	Le support d'information est libre (oral ou écrit).
	Si la personne concernée en fait la demande, elle peut obtenir la mise à disposition d'un support d'information écrit.
En cas de notification de l'événement sanitaire indésirable par une personne autre que celle qui y est exposée, l'information est réalisée par le notificateur sur la base des éléments d'information écrits remis par le responsable de traitement au notificateur.
	Le responsable de traitement doit à tout moment justifier que l'information des personnes concernées a été délivrée, à charge pour le responsable de traitement de recueillir auprès du notificateur la preuve de cette délivrance.
	Les personnes concernées doivent par ailleurs être informées de la manière d'exercer leurs droits.
	9. Droits des personnes
	Les personnes concernées par le traitement (personnes exposées à l'événement sanitaire indésirable, personne ayant notifié l'événement sanitaire indésirable et professionnel de santé ayant suivi la personne concernée par l'événement) disposent des droits suivants, qu'elles exercent dans les conditions prévues par le RGPD :
	- droit d'accès ;
	- droit de rectification ;
	- droit à la limitation du traitement (par exemple, lorsque la personne conteste l'exactitude de ses données, elle peut demander au responsable de traitement le gel temporaire de ses données le temps que celui-ci procède aux vérifications nécessaires).
Dans la mesure où le traitement est fondé sur le respect d'une obligation légale, les personnes concernées par la collecte des données ne disposent ni du droit d'opposition, ni du droit à l'effacement des données, ni du droit à la portabilité des données. Les personnes concernées en sont informées préalablement.
	10. Sécurité
	De manière générale, le responsable du traitement doit prendre toutes les précautions utiles au regard des risques présentés par son traitement pour préserver la sécurité des données à caractère personnel et, notamment au moment de leur collecte, durant leur transmission et leur conservation, empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.
	En particulier, dans le contexte spécifique du présent référentiel, soit le responsable de traitement adopte les mesures suivantes, soit il justifie de leur équivalence ou du fait de ne pas avoir besoin ou pouvoir y recourir :
				Catégories
				Mesures
				Former les utilisateurs
				Informer et sensibiliser les personnes manipulant les données
				Rédiger une charte informatique et lui donner une force contraignante
				Authentifier les utilisateurs
				Définir un identifiant (login) unique à chaque utilisateur
				Utiliser un moyen d'authentification forte, appuyé sur un annuaire vérifié
				Adopter une politique de mot de passe utilisateur conforme aux recommandations de la CNIL
				Obliger l'utilisateur à changer son mot de passe après réinitialisation
Limiter le nombre de tentatives d'accès à un compte
				Gérer les habilitations
				Définir des profils d'habilitation
				Supprimer les permissions d'accès obsolètes
				Réaliser une revue annuelle des habilitations
				Tracer les accès et gérer les incidents
				Prévoir un système de journalisation
				Informer les utilisateurs de la mise en place du système de journalisation
				Protéger les équipements de journalisation et les informations journalisées
				Prévoir les procédures pour les notifications de violation de données à caractère personnel
				Sécuriser les postes de travail
				Prévoir une procédure de verrouillage automatique de session
				Utiliser des antivirus régulièrement mis à jour
				Installer un pare-feu (firewall) logiciel
				Recueillir l'accord de l'utilisateur avant toute intervention à distance sur son poste
				Sécuriser l'informatique mobile
				Prévoir des moyens de chiffrement des équipements mobiles
				Faire des sauvegardes ou des synchronisations régulières des données
				Exiger un secret pour le déverrouillage des ordiphones
				Protéger le réseau informatique interne
				Limiter les flux réseau au strict nécessaire
				Sécuriser les accès distants des appareils informatiques nomades par VPN
				Mettre en œuvre le protocole WPA2 ou WPA2-PSK pour les réseaux Wi-Fi
				Sécuriser les serveurs
				Limiter l'accès aux outils et interfaces d'administration aux seules personnes habilitées
				Installer sans délai les mises à jour critiques
Assurer une disponibilité des données
				Sécuriser les sites web
				Utiliser le protocole TLS et vérifier sa mise en œuvre
				Vérifier qu'aucun mot de passe ou identifiant ne passe dans les URL
				Contrôler que les entrées des utilisateurs correspondent à ce qui est attendu
				Mettre un bandeau de consentement pour les traceurs (cookies) non nécessaires au service
				Sauvegarder et prévoir la continuité d'activité
				Effectuer des sauvegardes fréquentes des données, que celles-ci soient sous forme papier ou électronique.
				Stocker les supports de sauvegarde dans un endroit sûr
				Prévoir des moyens de sécurité pour le convoyage des sauvegardes
				Prévoir et tester régulièrement la continuité d'activité
				Archiver de manière sécurisée
				Mettre en œuvre des modalités d'accès spécifiques aux données archivées
				Détruire les archives obsolètes de manière sécurisée
				Encadrer la maintenance et la destruction des données
				Enregistrer les interventions de maintenance dans une main courante
				Encadrer par un responsable de l'organisme les interventions par des tiers
				Effacer les données de tout matériel avant sa mise au rebut
				Gérer la sous-traitance
				Prévoir une clause spécifique dans les contrats des sous-traitants
				Prévoir les conditions de restitution et de destruction des données
				S'assurer de l'effectivité des garanties prévues (audits de sécurité, visites, etc.)
				Sécuriser les échanges avec d'autres organismes
Envoyer les données de façon chiffrée (soit en chiffrant directement les données ou en utilisant un tunnel chiffré)
				S'assurer qu'il s'agit du bon destinataire
				Transmettre le secret lors d'un envoi distinct et via un canal différent
				Protéger les locaux
				Restreindre les accès aux locaux au moyen de portes verrouillées que ce soit aux fichiers papiers ou aux matériels informatiques, notamment aux serveurs.
				Installer des alarmes anti-intrusion et les vérifier périodiquement
				Encadrer les développements informatiques
				Proposer des paramètres respectueux de la vie privée aux utilisateurs finaux
				Éviter les zones de commentaires ou les encadrer strictement
				Tester sur des données fictives ou anonymisées
				Utiliser des fonctions cryptographiques
				Utiliser des algorithmes, des logiciels et des bibliothèques reconnues
				Conserver les secrets et les clés cryptographiques de manière sécurisée
	Pour ce faire, le responsable de traitement pourra utilement se référer au Guide de la sécurité des données personnelles publié par la CNIL.
	Toute violation de données devra être notifiée à la CNIL dans les conditions prévues à l'article 33 du RGPD.
Il est demandé, qu'en cas de recours à un prestataire extérieur pour le stockage et la conservation des données de santé à caractère personnel par le responsable de traitement, ce prestataire soit un hébergeur de données de santé agréé ou certifié. Par exception, lorsque le responsable de traitement n'est pas établi en France, le responsable de traitement doit démontrer que le prestataire auquel il recourt présente des garanties de sécurité équivalentes.
	Le recours aux services d'un sous-traitant devra s'effectuer dans les conditions prévues à l'article 28 du RGPD.
	11. Transfert de données hors de l'Union européenne
	Les données indirectement identifiantes des personnes exposées à un événement sanitaire indésirable et les données directement identifiantes des personnes ayant notifié l'événement sanitaire indésirable peuvent faire l'objet d'un transfert hors de l'Union européenne si les conditions suivantes sont réunies :
	- les dispositions de l'article 6 relatives aux destinataires des données sont respectées ;
	- le transfert de données est strictement nécessaire à la mise en œuvre du dispositif de vigilance.
	Le transfert peut être effectué dans le cadre de la déclaration de conformité au présent référentiel lorsque l'une des conditions suivantes est remplie :
- le transfert s'effectue à destination d'un pays ou d'une organisation internationale reconnu par la Commission européenne comme assurant un niveau de protection adéquat, conformément à l'article 45 du RGPD (décision d'adéquation) ;
	- le transfert s'effectue moyennant des garanties appropriées, listées à l'article 46, paragraphe 2, du RGPD (notamment : clauses contractuelles types approuvées par la Commission européenne, règles d'entreprise contraignantes, code de conduite, mécanisme de certification) ;
	- en l'absence d'une décision d'adéquation ou de garanties appropriées, le transfert peut être fondé sur l'une des exceptions prévues par l'article 49 du RGPD lorsqu'un tel transfert n'est pas répétitif, massif ou structuré.
	Le responsable de traitement doit avoir préalablement informé les personnes concernées du transfert de leurs données à caractère personnel vers des pays tiers à l'Union européenne, de l'existence ou de l'absence d'une décision d'adéquation ou de garantie appropriée et des moyens d'en obtenir une copie conformément à l'article 13, paragraphe 1, point f, du RGPD.
	12. Analyse d'impact sur la protection des données (AIPD)
	Conformément à l'article 35 du RGPD, le responsable de traitement doit réaliser une analyse d'impact sur la protection des données.
	Pour réaliser son analyse d'impact, le responsable de traitement pourra se reporter :
	- aux principes contenus dans ce référentiel ;
	- aux outils méthodologiques proposés par la CNIL sur son site web.
Le cas échéant, le délégué à la protection des données (DPO) devra être consulté.
	Conformément à l'article 36 du RGPD, le responsable de traitement doit consulter la CNIL préalablement à la mise en œuvre du traitement si, à l'issue de l'analyse d'impact, il ne parvient pas à identifier des mesures suffisantes pour réduire les risques à un niveau acceptable (risque résiduel restant trop élevé).
La présidente,
M.-L. Denis
La Présidente
Paris, le
PAR PORTEUR
Références à rappeler dans toute correspondance :
N/Réf. : […]/CTX-2018-043
Monsieur le Président,
Je fais suite à la décision n° 2018-041 prise le 8 octobre 2018 mettant en demeure X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2018-030C.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet https://www.legifrance.gouv.fr/ et sur celui de la CNIL.
J’attire toutefois votre attention sur le fait que le processus de conservation des données des candidats ayant échoué aux tests d’admissibilité sur internet ne peut, au regard des catégories de données conservées (en particulier le prénom et le nom qui sont directement identifiants), être qualifié de pseudonymisation.
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 20 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée.
Les services de la Commission [… ]se tiennent à votre disposition pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mme Anne DEBET, Mme Sylvie LEMMET, Mme Christine MAUGÜE, membres ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi
n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2018-136C du 26 juin 2018 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir du domaine […].fr ou portant sur des données à caractère personnel collectées à partir de ce dernier ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 8 mars 2019 ;
Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, du 4 avril 2019 ;
Vu les observations écrites versées par la société X le 6 mai 2019 ;
Vu les observations en réponse du commissaire rapporteur du 16 mai 2019 ;
Vu le courrier de la société X du 11 juin 2019 ;
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 13 juin 2019 :
M. François PELLEGRINI, commissaire, entendu en son rapport ;
En qualité de représentants de la société X :
M. X
Maître Y, avocate ;
Maître Z, avocate ;
Mme XX ;
La formation restreinte a entendu, en application de l’article 42 du décret n° 2019-536 du 29 mai 2019, M. XY, directeur technique au sein de la société […].
La société ayant eu la parole en dernier ;
Après en avoir délibéré, a adopté la décision suivante :
Faits et procédure
La société X (ci-après la société ) est une société par actions simplifiée ayant une activité d’intermédiaire en assurance, concepteur et distributeur de contrats d’assurance automobile à des particuliers, en vente directe ou en vente en ligne. La société emploie environ 160 salariés, dont 150 sont situés à Madagascar au sein d’une succursale de la société.
La société a réalisé en 2018 un chiffre d’affaires de […] euros et un résultat net de […] euros. Son siège social est situé […].
Pour les besoins de son activité, la société édite le site web […], sur lequel les personnes peuvent demander des devis ou souscrire des contrats d’assurance automobile. La société obtient des clients majoritairement via son site web et par le biais de comparateurs d’assurances automobiles disponibles sur d’autres sites web.
Le 1er juin 2018, la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été informée, par un client de la société X, qu’il avait accès aux données d’autres clients sans procédure d’authentification préalable. Le 27 juin suivant, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a également avisé la CNIL que l’accès aux données à caractère personnel des utilisateurs du site web de la société était possible sans contrôle préalable depuis le moteur de recherche Duckduckgo (https://duckduckgo.com).
En application de la décision n° 2018-136C de la présidente de la Commission du 26 juin 2018, une mission de contrôle en ligne a été réalisée par une délégation le 28 juin 2018.
Cette mission a eu pour objet de vérifier la conformité aux dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après loi du 6 janvier 1978 modifiée ou loi Informatique et Libertés ) et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après RGPD ou Règlement ), de tout traitement accessible à partir du domaine […] ou portant sur des données à caractère personnel collectées à partir de ce dernier.
Au cours de cette mission de contrôle, la délégation a constaté qu’une requête effectuée au sein du moteur de recherche Duckduckgo à partir des mots clés client.[…] site:client.[…].fr faisait apparaître des liens hypertextes permettant d’accéder librement à certains comptes de clients de la société, sans authentification préalable. En cliquant sur ces liens, la délégation a pu accéder à des comptes de clients - comportant notamment leur nom, prénom, adresse postale, adresse électronique, numéro de téléphone - et télécharger plusieurs documents PDF concernant des personnes, tels que des pièces d’identité, des devis, des attestations d’assurance automobile ou encore des contrats d’assurance. La délégation a également constaté que la modification du numéro identifiant apparaissant à la fin d’une des adresses URL affichées dans les résultats de recherche du moteur de recherche Duckduckgo permettait d’accéder aux comptes personnels d’autres clients de la société.
8.La société a été informée par téléphone le même jour, par la délégation, de l’existence d’un défaut de sécurité sur son site. Un courrier électronique contenant le type d’adresses URL concernées lui a également été adressé. Il était demandé à la société de prendre les mesures correctives nécessaires pour y remédier dans les plus brefs délais afin d’éviter tout accès aux données personnelles par des tiers non autorisés.
Par courrier du 2 juillet 2018, la société a indiqué à la Commission, par l’intermédiaire de son conseil, que plusieurs mesures avaient été prises afin de remédier au défaut de sécurité. Elle précisait que l’ensemble des liens indexés au sein des différents moteurs de recherche avaient été sécurisés. De plus, elle indiquait que l’adresse URL permettant de visualiser les documents stockés au sein de l’espace de stockage Microsoft Azure, était à présent chiffrée et avait une durée de vie limitée d’une heure. La société indiquait avoir ainsi pris les mesures nécessaires pour rendre les documents inaccessibles à un utilisateur qui aurait souhaité copier le lien et l’indexer dans un moteur de recherche ou sur une application.