AgentPublic/cnil huggingface dataset:
L'hébergement auprès de la société BT Services des données de santé échangées dans le cadre du service MSS est subordonné au recueil préalable du consentement exprès des patients, en application des dispositions de l'article L. 1111-8 du code de la santé publique.
La Commission relève que l'hébergeur reporte sur l'ASIP Santé, par une clause spécifique du contrat d'hébergement, l'obligation d'informer les personnes et de recueillir leur consentement à l'hébergement des données de santé qui les concernent.
Toutefois, l'ASIP Santé ne souhaite pas être contrainte de recueillir le consentement des patients à chaque échange ou pour chaque nouveau destinataire, au motif, d'une part que  le recueil systématique et tracé du consentement préalablement à chaque envoi de message est impossible sauf à remettre en question l'utilité et donc l'usage même de cette messagerie par les professionnels de santé qui y verront une contrainte insurmontable  et, d'autre part, que la tenue d'un registre des refus et des révocations de consentement nécessiterait la constitution d'une base de données d'identité des patients, dont la tenue n'est pas justifiée au regard des fonctionnalités attendues de la MSS. Elle a également souligné que les réflexions sur les évolutions du cadre juridique propre à l'hébergement au sein du Comité d'agrément des hébergeurs (CAH) et dans le cadre de la PGSSI-S conduisaient à proposer une modification de l'article L.1111-8 sur ce point. La Commission relève en outre que le Conseil d'éthique et de déontologie de l'ASIP Santé a estimé dans son avis que le législateur devrait substituer un droit d'opposition à la procédure de recueil du consentement.
La Commission reconnaît qu'il n'est pas réaliste d'exiger un recueil du consentement à chaque échange ou pour chaque nouveau destinataire. Elle relève à cet égard que l'article L.1110-4 du Code de la santé publique subordonne les échanges entre deux ou plusieurs professionnels de santé des informations relatives à une même personne prise en charge à l'absence d'opposition de la personne dûment avertie.
Elle estime toutefois que le recueil d'un consentement initial, matérialisé par la remise d'un document papier ou électronique et assorti d'une faculté de révocation à tout moment, aurait été de nature à permettre l'exercice des droits des personnes sans paralyser la mise en œuvre ultérieure de la MSS. Elle relève d'ailleurs que l'avis du Conseil d'éthique et de déontologie, sur les messageries contenant des données personnelles de santé, va dans ce sens.
La Commission reconnaît cependant l'apport majeur de la MSS, en l'absence de messageries permettant l'échange dématérialisé de données de santé entre professionnels dans des conditions de sécurité et de confidentialité satisfaisantes et la nécessité de mettre fin aux pratiques en cours, contraires aux dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée. Elle admet également que les règles de fonctionnement de la MSS ne doivent pas paralyser son utilisation, ni dissuader les professionnels de santé de l'utiliser, ce qui pourrait être le cas s'il fallait vérifier à chaque échange que le consentement n'a pas été révoqué. La lettre de l'article L. 1111-8 du code de la santé publique ne l'impose d'ailleurs pas.
Néanmoins, la Commission estime que les patients doivent être clairement informés des conditions de mise en œuvre de la messagerie et des modalités d'exercice de leurs droits.
Il ressort du dossier soumis à la Commission que l'ASIP Santé, qui n'est pas en relation directe avec les patients, met en place les modalités d'information suivantes à l'égard des patients :- une information consultable sur le portail de la MSS ;- une information assurée par les utilisateurs finaux de la MSS. L'ASIP Santé reporte en effet contractuellement sur les professionnels de santé, au moyen des conditions générales d'utilisation, l'obligation d'informer les patients conformément à l'article 32 de la loi du 6 janvier 1978 modifiée.Afin d'accompagner le professionnel de santé dans la délivrance de cette information, l'ASIP Santé met à sa disposition un modèle de note d'information, à remettre au patient, à afficher dans son cabinet ou encore à insérer dans le livret d'accueil des établissements de santé.
La Commission relève, en outre, qu'aux termes de l'article L. 1110-4 du code de la santé publique, le patient doit être  dûment averti  de l'échange d'informations le concernant dans le cadre de sa prise en charge par plusieurs professionnels de santé. Elle estime nécessaire, dans ces conditions, que les spécificités de la MSS (modalités de conservation des données échangées, modalités particulières d'exercice des droits des personnes) lui soient clairement précisées, afin de lui permettre d'exercer pleinement ses droits.
Or, la Commission relève que la remise d'une brochure d'information au patient n'est pas envisagée de manière systématique et qu'il n'est pas envisagé d'accompagner le déploiement de la MSS d'une campagne nationale de communication et de sensibilisation du public. Elle estime qu'il appartient à l'ASIP Santé d'assurer une sensibilisation particulière des professionnels de santé afin qu'une information soit assurée de façon systématique auprès des patients sur la portée de la messagerie et sur les droits des patients.
Sur les droits d'accès, de rectification et d'opposition des patients :
L'exercice des droits d'accès, de rectification et d'opposition des patients s'opère par deux moyens, soit directement auprès du professionnel qui prend en charge le patient, soit auprès de l'ASIP Santé.
La Commission considère que les échanges de courriels devraient pouvoir être édités pour le patient qui en ferait la demande auprès de l'émetteur ou du destinataire. La Commission relève en outre que l'avis du Conseil d'éthique et de déontologie va dans ce sens.
En cas d'opposition du patient à l'échange de données le concernant par le service MSS, les professionnels de santé devront cesser tout échange concernant ce patient par le biais de la messagerie et recourir à un moyen d'échange alternatif (courrier postal par exemple).
Néanmoins, la Commission relève que l'ASIP Santé n'a prévu aucune mesure technique permettant de garantir aux patients l'effectivité de l'exercice de leur droit d'accès et de suppression, l'exercice de ces droits étant géré manuellement par le professionnel de santé. Ainsi, celui-ci devra notamment, en cas d'exercice du droit d'opposition par l'un de ses patients, supprimer tous les courriels de sa BAL se rapportant à ce patient, et contacter tous les destinataires de ces courriels en leur demandant de réaliser la même opération.
Dans ces conditions, la Commission admet que les modalités d'exercice des droits des patients puissent être expérimentées pendant une période de deux ans, à l'issue de laquelle la Commission devra être destinataire d'un bilan portant notamment sur l'acceptabilité des personnes à la mise en œuvre de la MSS dans les conditions de l'expérimentation.
Sur l'information et les droits des professionnels de santé
L'information des professionnels de santé utilisateurs de la messagerie, sera effectuée : - par le portail d'accès à la MSS qui publiera notamment les conditions générales d'utilisation du service,- par des actions de communication à destination des professionnels de santé,- par le relais des ordres professionnels.
Ces modalités d'information, conformes aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, n'appellent pas d'observation.
La Commission relève par ailleurs que l'exercice des droits d'accès, de rectification et d'opposition des professionnels de santé s'opère auprès de l'ASIP Santé.
Sur la durée de conservation des données :
Les données concernant les utilisateurs finaux seront conservées pendant une période correspondant à la durée de vie de leur BAL, puis quatre mois à compter de la fermeture de la BAL, afin de pouvoir faire droit à une demande de restauration de sa BAL par un professionnel de santé qui aurait supprimé son compte MSS par erreur.
S'agissant des données des personnes concernées par les données échangées, les BAL des utilisateurs finaux peuvent être configurées de telle sorte que :- soit les messages consultés sont immédiatement déplacés vers le poste local du professionnel de santé et ne sont plus conservées sur les serveurs de l'hébergeur de la MSS. Seuls les messages non déplacés sur le poste de travail sont conservés sur les serveurs ;- soit les messages consultés ne sont pas déplacés vers le poste local du professionnel de santé (qu'ils soient ou non déplacés vers un espace de stockage de la BAL autre que la boîte de réception).
La capacité de stockage des BAL a été limitée à 2 Go, afin de limiter le risque de conservation prolongée des données traitées dans les BAL.
La Commission demande toutefois, d'une part, qu'une limite de durée de conservation des données de santé soit définie par le responsable de traitement, et, d'autre part, qu'un mécanisme d'effacement automatique soit mis en œuvre.
Sur la sécurité des données et la traçabilité des actions :
La Commission prend acte de ce que les professionnels de santé, utilisateurs finaux, accéderont à la MSS à l'aide de leur carte de professionnel de santé (CPS) ou par un identifiant et un mot de passe personnel, couplé à un mot de passe à usage unique (OTP) dont les caractéristiques devront être conformes aux recommandations de la CNIL en la matière. La Commission estime que ces mesures, qui apparaissent conformes aux dispositions de l'article L. 1110-4 du code de la santé publique, sont de nature à garantir une authentification fiable des émetteurs et destinataires des messages.
Les transmissions de données entre les serveurs de l'hébergeur et le poste de travail du professionnel de santé seront chiffrées au moyen du protocole HTTPS, qui permet de garantir la confidentialité des données échangées. 
Par ailleurs, les données seront stockées sous forme chiffrée, et les sauvegardes seront également chiffrées.
Concernant la disponibilité du traitement, la Commission constate que l'hébergeur du traitement ne dispose pas de site de secours pouvant garantir la pérennité des données en cas de sinistre majeur. Le responsable de traitement considère en effet que ce traitement est une simple messagerie, et ne saurait se substituer aux dossiers médicaux des patients, et qu'à ce titre une indisponibilité temporaire ne serait pas de nature à nuire aux personnes concernées.
La Commission s'interroge toutefois sur le risque lié à la centralisation de la messagerie se substituant à des systèmes essentiellement décentralisés qui certes ne garantissent pas la confidentialité des échanges, mais rendent peu probable, en tout cas certainement moins lucrative, une attaque d'ampleur en matière d'intégrité, de disponibilité ou de confidentialité.
Concernant les mesures de traçabilité, le responsable de traitement indique avoir mis en place des mesures permettant de tracer les connexions réussies ou échouées à la BAL de messagerie, ainsi que les opérations effectuées dans un dossier de messagerie. En revanche, les données de traçabilité ne contenant pas d'information quant aux patients concernés par les messages, celles-ci ne permettent pas, à elles seules, de déterminer les accès à des données à caractère personnel réalisés par un professionnel de santé pour un patient déterminé.
Les données de traçabilité sont conservées et gérés par l'hébergeur, par des personnels spécialement habilités. Ces traces pourront être transmises au responsable de traitement à sa demande. 
La Commission prend acte de ce que l'ASIP Santé a réalisé une analyse de risques EBIOS sur le périmètre de la première version du service MSS. Cette analyse de risques a permis notamment de s'assurer que les risques résiduels étaient acceptables. Si la Commission se félicite que l'ASIP Santé ait mis en œuvre une telle démarche, elle souhaite que l'analyse de risques qui sera réalisée sur le périmètre de la deuxième version de la MSS lui soit transmise préalablement à la mise en œuvre de cette version de la messagerie.
Dans ces conditions, la Commission autorise la mise en œuvre à titre expérimental de la première et de la deuxième version du service MSS par l'ASIP Santé pendant une durée de deux ans (mise à disposition du service MSS via l'interface de Webmail, ouverture du service MSS aux logiciels de gestion de courrier électronique, interfaçage avec les logiciels de professionnels de santé, prise en compte au sein de la MSS des domaines de messagerie des structures de soins qui décideraient d'héberger elles-mêmes leur serveur de messagerie). Les versions ultérieures de la MSS (alimentation du DMP par messagerie, ouverture de la MSS aux domaines de messagerie des structures de soins ne disposant pas de leur propre infrastructure, gestion des listes de diffusion et des alertes sanitaires, gestion avancée des BAL, etc) devront faire l'objet d'une demande de modification de traitement, dont l'examen par la Commission sera conditionné à une évolution du cadre législatif applicable à l'hébergement de données de santé à caractère personnel, et tout particulièrement à l'obligation de recueil du consentement des personnes.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés ;Saisie par la société FamilySearch International d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités le transfert vers les États-Unis de documents d'archives publiques numérisées et la diffusion de l'image de ces documents sur son site internet à visée généalogique ainsi que dans ses centres de consultation ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le code du patrimoine ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 36 et 69 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la délibération n° 2010-460 du 9 décembre 2010 portant recommandation relative aux conditions de réutilisation des données à caractère personnel contenues dans des documents d'archives publiques ;Vu la délibération n° 2012-113 du 12 avril 2012 portant autorisation unique de traitements de données à caractère personnel contenues dans des
informations publiques aux fins de communication et de publication par les services d'archives publiques ;Vu le dossier et ses compléments ;Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
La société  FamilySearch International  souhaite réutiliser des documents d'archives publiques librement communicables (registres d'état civil, tables décennales et cahiers de recensement) afin de les numériser , de les transférer vers les États-Unis, puis de les indexer avant de les publier sur son site internet. Il est prévu de réaliser certaines de ces opérations, et notamment le masquage de certaines données avant indexation, aux États-Unis.
La Commission considère dès lors qu'il y a lieu de faire application des dispositions prévues au troisième alinéa de l'article 36 de la loi du 6 janvier 1978 modifiée, qui permettent, avec l'autorisation de la Commission, de conserver des données au-delà de la durée nécessaire à la finalité pour laquelle elles ont été initialement collectées en vue de les traiter à des fins autres qu'historiques, statistiques ou scientifiques.
Le recours à la formalité de l'autorisation se justifie également au regard de l'article 69 de la même loi, dans la mesure où il est prévu un transfert de données vers un Etat non membre de l'Union européenne et n'assurant pas un niveau suffisant de protection des données, à savoir les États-Unis d'Amérique.
Le premier traitement a lieu en plusieurs étapes. Il consiste tout d'abord à numériser des archives publiques, qu'il s'agisse des microfilms déjà en la possession de FamilySearch aux termes d'une convention conclue avec les archives nationales depuis 1960, puis à indexer ces données, en respectant les obligations légales afférentes issues notamment du code du patrimoine et de la loi  Informatique et Libertés .
La société FamilySearch International possède en effet une collection d'images issues d'une activité de microfilmage des registres d'état civil et des registres paroissiaux de plus de cent ans, résultant d'opérations autorisées aux termes d'une convention conclue le 28 octobre 1960 entre la direction des Archives de France et Société Généalogique d'Utah (devenue FamilySearch), puis modifiée le 28 septembre 1987 (publié au journal officiel le 20 Novembre 1987). Saisie pour avis sur projet d'avenant à cet accord, la Commission a précisé le cadre  Informatique et Libertés afférent à la poursuite de ses traitements, par délibération n° 01-015 en date du 20 mars 2001.
FamilySearch détient ainsi des images microfilmées de registres d'état civil, datant de plus de cent vingt ans et issues des archives de France du département de l'Eure, de la Drome, ou encore de la Gironde. Aucune de ces images n'a été publiée sur Internet à ce jour. Il s'agit désormais de conserver par numérisation et de diffuser, sur Internet et dans ses centres de consultation, les données susceptibles de l'être.
Sur la publication des documents d'archives :
Sur la finalité du traitement
Le traitement visé par la demande d'autorisation a pour finalité la publication des documents d'archives à des fins généalogiques dans le but de permettre un accès à ces données aux utilisateurs du site de la société FamilySearch International, comme aux personnes souhaitant se rendre dans les centres de consultation.
La Commission prend acte de ces finalités et estime qu'elles sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les catégories de données traitées
Les données traitées, issues des documents d'archives publiques ou des tables décennales détenues par les administrations, seront les noms et prénoms, les dates et lieux de naissance, de décès et de mariage, ainsi que la situation familiale des personnes mentionnées dans ces archives.
Conformément aux préconisations de la Commission, formulées dans les délibérations n° 2010-460 du 9 décembre 2010 et n° 2012-113 du 12 avril 2012, les données sensibles au regard de la loi du 6 janvier 1978 modifiée, notamment celles relatives à la santé, à la religion ou aux infractions susceptibles d'être révélées en marge d'un acte d'état civil, seront masquées manuellement ou électroniquement avant toute publication sur le site, et ce jusqu'au délai de cent cinquante ans à compter de la date de clôture du document. A l'issue de cette phase de numérisation, les données feront l'objet d'une procédure d'indexation par le biais d'un logiciel contrôlé par un humain. L'indexation sur les données nominatives fait l'objet d'une procédure strictement encadrée et vérifiée. L'accès à l'index est limité aux contributeurs, son utilisation et sa publication sont réalisées conformément au régime juridique en vigueur et aux délais préconisés par la délibération n° 2012-113 de la CNIL.
La Commission souligne que, conformément à ses préconisations précitées, les données relatives à des personnes nées depuis moins de cent vingt ans qui figurent dans les documents d'archives seront masquées. Ces données ne seront pas accessibles par les moteurs de recherche avant l'expiration du délai de cent vingt ans. De même, l'indexation ne portera pas sur les données susceptibles de relever des articles 8 et 9 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des informations
Les destinataires des données traitées sont :- les utilisateurs du site FamilySearch disposant d'un compte d'accès, et se portant volontaire pour procéder aux opérations d'indexation ;- le grand public procédant à des consultations sur place ou sur site internet ;- ainsi que différentes organisations à but non lucratif, voire commercial, coopérant avec FamilySearch dans le but d'accélérer la publication ou l'indexation des collections.
Sur les droits des personnes concernées
La Commission prend acte de l'engagement de la société FamilySearch à respecter le droit des personnes concernées conformément aux dispositions de l'article 32 de la loi du 6 janvier modifiée telles que précisées par les délibérations n° 2010-460 et 2012-113 de la Commission.
Il s'agira notamment pour le responsable de traitement, d'informer, de façon claire et pédagogique, les personnes concernées par les archives traitées, les utilisateurs et tout visiteur du site internet ; ou encore d'afficher ces mentions d'information au sein des centres de consultations.
Sur la sécurité des données et la traçabilité des actions
La Commission constate que les mesures préconisées dans sa délibération n° 2010-460 du 9 décembre 2010 seront mises en œuvre dans le cadre de ces traitements.
Elle prend en effet acte du fait que les archives seront soit numérisées directement aux États-Unis dans les locaux de FamilySearch, qui font l'objet de mesures de sécurité physiques satisfaisantes ; soit numérisées dans les locaux des détenteurs des archives, puis transmises aux États-Unis sous pli remis contre signature.
Le responsable de traitement s'est engagé à se conformer à la doctrine de la Commission en matière d'authentification des utilisateurs, notamment concernant le niveau de complexité des mots de passe utilisés.
Concernant le masquage des données sensibles, le responsable de traitement réalisera cette opération soit lors de la numérisation elle-même, soit a posteriori en réalisant un masquage irréversible sur les images au format électronique. Dans ce dernier cas, une copie de l'image non masquée sera conservée et accessible uniquement au personnel autorisé de FamilySearch, afin de pouvoir publier les données non masquées à l'expiration du délai fixé par la Commission.
FamilySearch met en œuvre des mesures de traçabilité d'accès aux données satisfaisantes. Ainsi, l'identification des utilisateurs ayant travaillé sur un projet d'indexation est conservée pendant la durée d'application des contrôles qualité et les journaux des accès aux données par les membres sont conservés pendant un an.
FamilySearch met également en œuvre une série de mesures visant à éviter le téléchargement massif de données et la réutilisation des données téléchargées. Ainsi, chaque image accessible est identifiée par le biais d'un identifiant généré aléatoirement et ne permettant pas de déterminer le contenu de cette image. Chaque image possède également des droits d'accès spécifiques. FamilySearch est également en mesure d'utiliser des techniques de watermarking, ou de restriction du téléchargement de l'impression des images, sur demande des détenteurs des archives.
Des profils d'habilitation sont prévus afin de gérer les accès aux données. Les permissions d'accès sont supprimées pour tout utilisateur n'étant plus habilité.
Les conditions techniques et contractuelles contraignantes qui seront mises en œuvre entre  FamilySearch  et ses prestataires locaux garantissent la confidentialité, l'intégrité, la traçabilité et la sécurité des données.
Sur le transfert des données :
Sur la finalité du transfert
Le second traitement porte sur le transfert vers les États-Unis aux fins de procéder à l'indexation des documents d'archives et à leur publication sur le site internet de FamilySearch.
Sur les droits d'accès, de rectification et d'opposition des personnes
Les droits d'accès, de rectification et d'opposition au transfert des données s'exercent auprès de :FamilySearch International50, East North Temple Street, Suite 50084150 Salt Lake City, Utah, USA
Sur les catégories de données transférées