AgentPublic/cnil huggingface dataset:
La commission prend acte de ce que si l'extraction des données du SNIIRAM est réalisée au maximum dans les 24 mois suivant la fin des visites, l'analyse des données du SNIIRAM et la rédaction de l'article nécessiteront environ 24 mois. Le responsable de traitement souhaite donc conserver le NIR pendant une période de 24 mois supplémentaires dans l'hypothèse où une nouvelle extraction serait nécessaire afin de compléter les données du SNIIRAM soit au moment de l'analyse, soit à la demande d'un comité de relecture de la publication.
Au regard de la sensibilité du NIR, la commission estime qu'une telle durée de conservation apparaît supérieure à la durée nécessaire à l'extraction des données du SNIIRAM. Elle s'interroge sur la possibilité de mise en œuvre d'une solution alternative telle que la conservation par la CNAMTS de la correspondance entre le code de confidentialité spécifique et l'identifiant du SNIIRAM. Une telle solution permettrait d'anticiper la nécessité de procéder à une nouvelle extraction sans allonger la durée de conservation du NIR. Le NIR serait ainsi supprimé à l'issue de l'extraction des données du SNIIRAM réalisée dans les 24 mois suivant la fin des visites.
Sur la durée de conservation des données de l'étude
Il ressort de l'article 6 du projet que les données collectées, à l'exception du NIR, seront conservées pendant la durée nécessaire à l'étude, soit vingt ans après l'arrêt définitif de la collecte .
La commission prend acte de l'engagement du ministère de compléter l'article 6 afin de préciser que la durée de conservation des données prévue par l'article ne s'applique pas au NIR qui, elle, est définie à l'article 3 du projet de décret.
Sur le sort des données à l'issue du délai de conservation
La commission observe que l'article 6 du projet dont elle a été saisie prévoyait que les données seraient anonymisées dans leur totalité à l'issue du délai de conservation. Elle relève que le ministère envisage de supprimer cette précision.
La commission propose que le projet soit complété afin que le sort des données soit précisé (anonymisation ou suppression des données).
Les autres dispositions du projet n'appellent pas, en l'état et au regard de la loi du 6 janvier 1978 modifiée, d'observation de la commission.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des affaires sociales et de la santé d'une demande d'avis concernant un projet de décret relatif au certificat de décès et aux opérations consécutives au décès ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code général des collectivités territoriales, notamment ses articles L. 2223-23 et L. 2223-42 ;
Vu le code de procédure pénale, notamment son article 230-28 ;
Vu le code de la santé publique, notamment ses articles L. 1211-2, L. 1110-4, L. 1110-4-1, L. 1461-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 (4°, a) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 82-103 du 22 janvier 1982 relatif au répertoire national d'identification des personnes physiques ;
Vu le décret n° 98-37 du 16 janvier 1998 autorisant l'accès aux données relatives au décès des personnes inscrites au répertoire national d'identification des personnes physiques dans le cadre des recherches dans le domaine de la santé ;
Vu l'avis du Conseil national des opérations funéraires ;
Sur la proposition de M. Alexandre LINDEN, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La direction générale de la santé du ministère des affaires sociales et de la santé a saisi la commission nationale de l'informatique et des libertés ( la commission ) d'un projet de décret en Conseil d'Etat relatif au certificat de décès, pris en application des dispositions de l'article L. 2223-42 du code général des collectivités territoriales.
La commission a émis, le 8 septembre 2011, un avis (délibération n° 2011-247) sur le projet de décret relatif au certificat de décès et aux opérations consécutives au décès, sur le fondement des dispositions de l'article L. 2223-42 précité. Ce projet de décret n'ayant finalement pas été publié, la direction générale de la santé du ministère des affaires sociales et de la santé a saisi la commission d'un nouveau projet de décret. Celui-ci reprend les dispositions du précédent projet en intégrant de nouvelles dispositions notamment relatives à la dématérialisation du volet administratif du certificat de décès.
Le projet de décret dont est saisie la commission modifie les articles R. 2213-1-1 à R. 2213-1-6 et R. 2213-2 du code général des collectivités territoriales. Il a pour principal objet d'affiner la connaissance des causes de décès en ajoutant au certificat de décès un volet médical complémentaire et de poursuivre la démarche de dématérialisation du certificat de décès qui porte désormais, sur le volet administratif.
L'article 1er du projet institue le volet médical complémentaire au sein du certificat de décès. Ce nouveau volet permettra de compléter les informations transmises au Centre épidémiologique (CépiDc) de l'Institut national de la santé et de la recherche médicale (INSERM) à des fins statistiques. Cet organisme établit la statistique nationale des causes de décès, à partir des circonstances décrites sur le volet médical du certificat de décès par le médecin ayant constaté le décès. Dans l'hypothèse où le médecin constatant le décès n'est pas en mesure d'en préciser les causes, une recherche médicale ou médico-légale peut être demandée. Le médecin qui procède ultérieurement au diagnostic des causes de décès disposera ainsi d'une procédure support pour informer l'INSERM des résultats de ses recherches.
Le projet de décret permet également la communication d'un extrait du volet administratif du certificat de décès aux opérateurs funéraires.
Sur les données à caractère personnel collectées dans les volets médical et médical complémentaire
L'article 1er du projet de décret modifie l' article R. 2213-1-1 du code général des collectivités territoriales en créant un troisième alinéa (3°) qui prévoit que le certificat de décès comporte désormais également :
 3° Un volet médical complémentaire lorsqu'une recherche médicale ou scientifique des causes du décès a été réalisée dans les conditions de l' article L. 1211-2 du code de la santé publique ou qu'une autopsie judiciaire a été ordonnée conformément à l' article 230-28 du code de procédure pénale. Les informations de ce volet médical complémentaire confirment, complètent ou se substituent à celles figurant sur le volet médical du certificat de décès mentionné au 2°.
Le cas échéant, le volet médical complémentaire est établi, dans les meilleurs délais, sur support électronique, et transmis au même destinataire que le volet médical, dans les conditions définies au III de l'article R. 2213-1-2 .
Sont également créés deux autres paragraphes, notamment un III , qui visent à rappeler le caractère anonyme des volets médical et médical complémentaire :
 Le volet médical et le volet médical complémentaire ne comportent ni le nom, ni le prénom de la personne décédée. 
La commission relève que, dans la version antérieure du projet de décret tel qu'il lui avait été soumis en 2011, le texte prévoyait que le volet médical ne devait comporter :
ni le prénom, ni le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques, ni l'identifiant de santé mentionné à l'article L. 111-8-1 du code de la santé publique .
La commission estime nécessaire de maintenir la rédaction initiale afin de garantir l'anonymat des volets médical et médical complémentaire.
Sur les modifications du volet médical électronique
Le médecin dispose d'un délai pour modifier les informations inscrites dans le volet médical. Dans le projet de décret antérieur, le délai était de quarante-huit heures. Dans son avis du 8 septembre 2011, la commission avait préconisé de porter le délai de modification à quatre-vingt-seize heures à compter de la validation du certificat de décès en raison des contraintes liées aux périodes de présence médicale restreinte.
La commission se félicite que cette observation ait été retenue dans le nouveau projet de décret qui lui est soumis.
Sur la transmission du volet administratif
Le projet de décret prévoit que :
 Le volet administratif du certificat de décès est établi sur support électronique ou à défaut sur papier en quatre exemplaires signés par le médecin. Il est transmis à la mairie du lieu de décès, à la régie, à l'entreprise ou à l'association, habilitée dans les conditions définies à l'article L. 2223-23, chargée de pourvoir aux funérailles et, en cas de transport du corps, à la mairie du lieu de dépôt du corps et au gestionnaire de la chambre funéraire.
La commission prend acte de ce que, comme le prévoyait déjà le projet de décret antérieur, le volet administratif sera désormais imprimé en quatre exemplaires en vue d'être communiqué aux acteurs des opérations funéraires.
Le nouveau projet de décret permet la communication du volet administratif par voie électronique. Cette disposition poursuit la démarche de dématérialisation du certificat de décès initiée par la loi relative à la politique de santé publique du 9 août 2004 et par le décret n° 2006-938 du 27 juillet 2006 relatif au certificat de décès.
Ces textes avaient prévu la possibilité d'établir le certificat de décès par voie électronique ainsi que le volet médical. En revanche le volet administratif était toujours établi sur papier. Désormais le projet de décret prévoit que ce volet tout comme le volet médical pourra être établi sur support électronique ou sur support papier (en quatre exemplaires).
La commission considère que les mesures de sécurité propres à garantir la confidentialité et l'intégrité des données figurant sur ce volet sont garanties.
Sur la gestion des volets médicaux des certificats de décès par l'INSERM et la transmission des informations médicales à l'Agence nationale de santé publique (ANSP), aux agences régionales de santé (ARS) et aux médecins responsables de registres de pathologies
La commission prend acte de ce que la base de données détenue par le CépiDc de l'INSERM, si elle ne comporte pas de données nominatives de personnes décédées, reste alimentée par les informations médicales issues des volets médicaux du certificat de décès.
Les informations du traitement géré par le CépiDc de l'INSERM collectant toutes les données transmises relatives aux causes de décès issues des volets médicaux et complémentaires seront accessibles dans des conditions préservant la protection des données :
 1° Aux agents de l'ANSP nommément désignés par le directeur de cet établissement ;
 2° Aux agents des ARS désignés à cet effet par le directeur général ;
 3° Après demande adressée à l'1nstitut national de la santé et de la recherche médicale, pour les pathologies qui les concernent, aux médecins responsables d'un registre de pathologie agréé. 
Ces mesures permettront aux ARS et à l'ANSP d'exercer de façon plus efficace leur mission de veille et d'alerte sanitaire.
En outre, les informations précitées, lorsqu'elles sont liées à une pathologie, seront communicables aux médecins responsables d'un registre de cette pathologie. En effet, il apparaît important que les médecins chargés de surveiller l'incidence et l'évolution de certaines maladies (cancers, cardiopathies, malformations, etc.) puissent accéder aux informations qui leur sont strictement nécessaires. Cet extrait des volets médicaux du certificat de décès permet notamment d'établir des statistiques de survie pour ces pathologies.
La commission reconnaît qu'un lien entre l'identité d'un défunt et ses causes de décès est indispensable, notamment dans le cadre des recherches médicales réalisées ultérieurement par les organismes autorisés ( décret n° 98-37 du 16 janvier 1998 autorisant l'accès aux données relatives au décès des personnes inscrites au répertoire national d'identification des personnes physiques dans le cadre des recherches dans le domaine de la santé).
La commission demande qu'à défaut d'anonymat irréversible la confidentialité des données de santé soit renforcée dans le cadre de la transmission de ces informations.
La commission rappelle que, conformément aux dispositions du décret n° 98-37 précité, tout organisme souhaitant accéder aux causes d'un décès enregistré dans l' Infocentre DC doit, préalablement à la mise en œuvre du traitement, saisir la commission sur le fondement du chapitre IX de la loi informatique et libertés .
Sur la mise à disposition des données relatives aux causes du décès au Système national des données de santé (SNDS)
Le projet de décret modifie l' article R. 2213-3 du code général des collectivités territoriales en ajoutant l'alinéa suivant :
 Les données relatives aux causes du décès sont mises à disposition du système national des données de santé mentionné à l' article L. 1461-1 du code de la santé publique dans les conditions définies à l'article L. 1461-7 du même code. 
Cet ajout n'appelle pas d'observations de la part de la commission.
Sur la sécurité de l'accès aux formulaires de certificat de décès
Le projet de décret remplace les dispositions de l'article R. 2213-1-2 du code général des collectivités territoriales en prévoyant que :
 I. - Le médecin ayant constaté le décès établit, dans les meilleurs délais, sur support électronique un certificat dans le respect des dispositions de l'article L. 1110-4-1 du code de la santé publique. Il transmet sans délais les volets de ce certificat dans les conditions fixées aux II, III et IV (…).
 III. - Les données du volet médical du certificat de décès sont transmises par le médecin, après chiffrement, à l'Institut national de la santé et de la recherche médicale ou à l'organisme chargé par cet institut de gérer le système de collecte et de transmission des certificats saisis, dans les conditions définies par cet institut et visant à garantir la sécurité, la confidentialité et l'intégrité de ces données.
La commission relève que le nouvel article L. 1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l'authentification par carte professionnelle de santé (CPS) ou dispositif équivalent agréé par l'Agence des systèmes d'information partagés de santé (ASIP Santé) et que le nouvel article L. 1110-4-1 du même code renvoie ces modalités d'authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l'attente de la publication des textes réglementaires permettant l'entrée en vigueur de ces nouvelles dispositions, la commission demande que l'authentification des professionnels de santé intervienne au moyen d'une CPS.
La commission propose donc de maintenir dans la rédaction du texte une référence à la CPS comme moyen d'authentification dans l'attente de l'adoption et de la publication des textes réglementaires.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, M. Philippe GOSSELIN, M. Maurice RONAI, Mme Dominique CASTERA et Mme MITJAVILLE, membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi
n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2015-076C en date du 19 février 2015 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tous traitements mis en œuvre dans le cadre de la gestion et de l’exploitation du site internet […] et des applications correspondantes ;
Vu la décision n° 2015-062 du 10 novembre 2015 de la Présidente de la Commission nationale de l’Informatique et des libertés mettant en demeure la société […] ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 3 janvier 2017 ;
Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, du 12 janvier 2017 ;
Vu les observations écrites versées par la société […] le 13 février 2017 ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Etaient présents, lors de la séance de la formation restreinte du 23 février 2017 :
Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;
En qualité de représentants de la société […] : […] ;
En qualité de conseil de la société […] : […].
Madame Nacima BELKACEM, commissaire du Gouvernement, n’ayant pas formulé d’observation ;
Les représentants de la société […] ayant eu la parole en dernier ;
Après en avoir délibéré, a adopté la décision suivante :
Faits et procédure
La société […] (ci-après la société ) est une société spécialisée dans le transport de particuliers. Fondée en 2011, elle emploie environ […] personnes et a réalisé un chiffre d’affaires […].
Le 16 janvier 2015, une plainte a été adressée à la CNIL par un client de la société s’agissant de la conservation de ses coordonnées bancaires au moment du paiement de ses réservations en ligne. Postérieurement, une mission de contrôle sur place a été diligentée au sein des locaux de la société […] en application de la décision n° 2015-076C du 19 février 2015 de la Présidente de la CNIL. À cette occasion, des manquements à la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après la loi Informatique et Libertés ) ont été constatés et le procès-verbal n° 2015-076 du 5 mars 2015 a été notifié à la société.
Par décision n° 2015-062 du 10 novembre 2015 de la Présidente de la CNIL, la société a fait l’objet d’une procédure de mise en demeure lui enjoignant, dans le délai de trois mois, d’adopter les mesures correctives suivantes :
- [...] ;
- définir une durée de conservation des données présentes en base, en fonction des finalités pour lesquelles ces données sont collectées et traitées ; en particulier, veiller à ce que les données relatives au cryptogramme ne soient pas conservées au-delà du temps nécessaire à la réalisation de la transaction et procéder à la purge des données des clients ayant demandé la suppression de leurs comptes ;
- […] ;
- prendre toute mesure nécessaire pour garantir la sécurité et la confidentialité des données à caractère personnel des utilisateurs, et notamment :
[…] ;
modifier la procédure de confirmation du mot de passe des utilisateurs afin que celui-ci ne soit plus communiqué en clair, par exemple, en leur proposant, d’une part, de recevoir par courrier électronique soit un mot de passe aléatoire, utilisable une seule fois afin de leur permettre de redéfinir leur mot de passe, soit un lien vers une page leur permettant d’enregistrer un nouveau mot de passe et en procédant, d’autre part, au stockage haché des mots de passe en base de données à l’aide, par exemple, de l’algorithme SHA 256 avec utilisation d’un sel qui devra faire l’objet d’un stockage sur un espace distinct de celui dans lequel sont stockés les mots de passe (en dehors de la base de données) ;
modifier la procédure de récupération du mot de passe des utilisateurs afin que celui-ci ne soit plus communiqué en clair ;
imposer, pour chaque mot de passe, une robustesse suffisante.
En l’absence de réponse dans le délai imparti, un courrier de relance a été adressé à la société le 31 mars 2016.
Par courrier en date du 28 avril 2016, la société a communiqué des premiers éléments en réponse à la mise en demeure qui lui a été adressée.
La Présidente de la CNIL ayant relevé que la conformité n’était pas pleinement acquise pour quatre des manquements constatés à savoir […], l’obligation de définir et de respecter une durée de conservation proportionnée à la finalité du traitement et l’obligation d’assurer la sécurité et la confidentialité des données, une demande de compléments a été adressée à la société le 12 juillet 2016.
La société n’ayant pas répondu à cette demande de compléments, un courrier de relance lui a été adressé le 9 septembre 2016.
Par courrier en date du 14 septembre 2016, la société a indiqué avoir entrepris diverses actions complémentaires afin de se conformer aux termes de la mise en demeure qui lui a été adressée. La société a ainsi précisé avoir modifié […], pris des mesures afin de modifier le processus de paiement pour ne plus conserver les cryptogrammes des cartes bancaires, mis en place une politique de durée de conservation des données des utilisateurs et prévu une mise à jour du service d’authentification afin d’uniformiser la politique des mots de passe.
La société a précisé que les évolutions relatives au processus de paiement (suppression des cryptogrammes stockés en base) ainsi qu’à l’uniformisation de la politique des mots de passe étaient prévues pour la fin du mois de septembre 2016. Elle a également indiqué qu’aucun mot de passe n’était stocké en clair dans sa base de données. S’agissant de la durée de conservation des données relatives à ses utilisateurs, la société a précisé que les modifications envisagées devraient être finalisées pour le 1er octobre 2016.
En application de la décision n° 2015-076C du 19 février 2015 précitée, un contrôle sur place a été diligenté au sein des locaux de la société […] le 12 décembre 2016 afin de vérifier les mesures prises par cette dernière. Des éléments complémentaires ont été demandés à la société sous huit jours, laquelle a répondu par courrier en date du 22 décembre 2016.
Il résulte de ce contrôle que plusieurs des mesures annoncées par la société dans son courrier du 14 septembre 2016 n’ont pas été mises en place. Au regard des manquements persistants au-delà du délai imparti par la mise en demeure, la Présidente de la CNIL a désigné
M. François PELLEGRINI en qualité de rapporteur, le 3 janvier 2017, sur le fondement de l’article 46 de la loi du 6 janvier 1978 modifiée.