AgentPublic/cnil huggingface dataset:
Le reporting par   tranches d’âges consiste à recenser le nombre de patients, des types de   pathologies ou des photos téléchargées. Aucune donnée nominative ne sera   accessible à travers le reporting.
Les équipes d’URGO ont accès aux données des utilisateurs   professionnels, aux données chiffrées des patients, excepté aux nom, prénom   et date de naissance des patients.
Le médecin de l’hébergeur a accès à toutes les données   stockées.
Les équipes de l’hébergeur ont accès aux données des   patients sauf le nom, le prénom et la date de naissance.
L’authentification à   l’application
La Commission relève que l’authentification forte des professionnels   utilisateurs demeure assurée par le dépôt d’un certificat électronique sur   son terminal. 
Elle relève également que le nouvel article L.1110-4 du CSP   issu de la loi du 26 janvier 2016 de modernisation de notre système de santé   ne prévoit plus l’authentification par carte de professionnel de santé (CPS)   ou dispositif équivalent agréé par l’ASIP santé, et le nouvel article   L.1110-4-1 du même code renvoie ces modalités d’authentification à la   conformité à des référentiels d'interopérabilité et de sécurité approuvés par   le ministre en charge de la santé après avis de la Commission.
Dans l’attente de la publication des textes réglementaires   permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission   demande que l’authentification des professionnels de santé intervienne au   moyen d’une CPS, ou d’un dispositif équivalent agréé par l’ASIP santé, pour   les cas où cela est techniquement réalisable et notamment pour l’utilisation   de l’application via un   micro-ordinateur.
Concernant la conservation des mots de passe sous forme   hachée, la Commission recommande d’appliquer la fonction de hachage HMAC à   clé secrète ou d’ajouter un  sel  avant de hacher les mots de passe.
Le partage de données via   l’application
La nouvelle version de l’application organise le partage des   fiches de la façon suivante :
-       l’utilisateur professionnel se connecte à   son compte en renseignant son adresse mail et son mot de passe afin d’accéder   à la liste des fiches des patients qu’il prend en charge personnellement, 
-       s’il l’estime utile pour un meilleur   suivi de son patient, l’utilisateur professionnel peut partager une de ses fiches   patients avec un autre utilisateur professionnel, en demandant à   l’application de générer un code de partage à usage unique, de type One Time Password (OTP), qui sera   transmis par mail ou par SMS au professionnel destinataire du partage,
-       avant la génération d’un code de partage,   l’utilisateur professionnel doit confirmer qu’il a informé et obtenu le   consentement de son patient pour activer le partage de sa fiche,
-       le professionnel destinataire du partage   doit saisir dans l’application le code qu’il a reçu. Une demande de   confirmation sera alors présentée au professionnel émetteur qui devra la   valider pour activer effectivement le partage et permettre au second   utilisateur professionnel d’accéder à la fiche patient, avec les   photographies des plaies le cas échéant, partagée et de la compléter.
Un utilisateur professionnel peut consulter et révoquer les   partages qu’il a générés. A ce titre, la Commission recommande que les   codes de partage ne soient pas listés en clair, et que seuls le nom des   protagonistes et la date du partage soient indiqués dans l’application.
L’utilisateur propriétaire d’une fiche patient, à savoir   celui qui l’a créée, peut consulter et gérer l’ensemble des partages   concernant cette fiche. Le patient pourra s’adresser à lui pour connaître la   liste de tous les professionnels ayant accès à sa fiche et, le cas échéant,   faire révoquer un partage.
Les révocations d’accès s’effectueront unitairement, sans   effet domino sur les accès consécutifs à celui révoqué.
La confidentialité des   données
En cas de perte du terminal ou de plusieurs tentatives   erronées d’accès, URGO peut supprimer à distance le compte utilisateur.
Toutes les données renseignées via les terminaux sont   chiffrées, de sorte que seul le médecin de l’hébergeur a accès à l’ensemble   des données, notamment celles relatives au nom, prénom et date de naissance   des patients.
Un verrouillage automatique est activé par l’hébergeur de   données de santé qui déconnecte toutes les sessions inactives pendant plus de   15 minutes.
Les données de localisation, intégrées automatiquement sur   les photographies par les Smartphones disposant d’un GPS activé, sont   supprimées lors du téléchargement des photographies sur le serveur.
Concernant l’hébergement   des données
L’application est hébergée auprès d’un hébergeur agréé   conformément aux dispositions des articles L. 1111-8 et R. 1111-9 du code de   la santé publique.
L’accès physique aux serveurs est sécurisé et limité par   badge RFID, système d’alarme et vidéosurveillance.
L’exploitation des serveurs se fait à distance via une   interface d’administration sécurisée et soumise à authentification porte par   carte à puce.
La sauvegarde et la restauration des données est réalisée   quotidiennement sur des disques cryptés serveurs. La rétention des   sauvegardes est réalisée selon un cycle de 30 jours. 
Un processus de gestion des incidents est mis à disposition   du laboratoire. Il comprend une évaluation immédiate de l’impact de   l’incident et des mesures palliatives d’urgence puis émet un ticket   d’incident pour le résoudre définitivement.
La traçabilité des   authentifications et des accès aux données des patients
Les traces ne comprennent pas les données en elles-mêmes.
La Commission recommande de réaliser un contrôle des traces   de manière automatique, afin de détecter les comportements anormaux et lever   des alertes.
Sous réserve des observations précédentes, les mesures de   sécurité décrites par le responsable de traitement sont de nature à garantir   un risque limité d’atteinte aux données et conformes à l’exigence de sécurité   prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation   nécessite la mise à jour des mesures de sécurité au regard de la réévaluation   régulière des risques.
Sur les autres caractéristiques du   traitement
La Commission prend acte de ce que les durées de   conservation des données sont inchangées :
Les données des utilisateurs sont conservées :
- au maximum un mois après la cessation de l’utilisation de   l’application manifestée par la clôture de son compte par un utilisateur ;
- si la cessation de l’utilisation de l’application n’est   pas manifestée par la clôture du compte de l’utilisateur, pendant une durée   de six mois à compter de la dernière connexion à son compte de l’utilisateur.
Les   données des patients sont conservées au maximum 24 mois à compter de la   dernière action de l’utilisateur sur la fiche patient ou la fiche plaie d’un   patient.
Les   données sont automatiquement supprimées six mois à compter de la dernière   connexion de l’utilisateur à l’origine d’une fiche patient. Passé ce délai,   elles seront supprimées.
La Commission estime que ces durées n’appellent pas   d’observation au regard de la finalité poursuivie par le traitement.
A l’issue de cette période, les données devront être   archivées conformément à la réglementation en vigueur et pourront être   conservées, sous une forme anonymisée, à des fins statistiques.
Abroge la délibération n° 2013-227 du 18 juillet 2013 et autorise, conformément à la présente délibération, la société LABORATOIRES URGO à mettre en œuvre le traitement susmentionné.
Pour  la Présidente 
Le  Vice-Président Délégué
Marie-France  MAZARS
La Commission nationale de l’informatique et des libertés, 
   
Saisie par la   société DIGITEMIS, le 16 août 2016, d’une demande de délivrance de label   concernant sa formation intitulée  Gestion des données   personnelles ;
   
Vu la Convention n°   108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère   personnel ;
   
Vu la directive   95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la   protection des personnes physiques à l’égard du traitement de données à   caractère personnel et à la libre circulation de ces données ;
   
Vu la loi n° 78-17   du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux   libertés, notamment son article 11-3° c) ;
   
Vu le décret n° 2005-1309   du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6   janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
   
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du   règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
   
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un   référentiel pour la délivrance de labels en matière de formation tendant à la   protection des personnes à l’égard du traitement des données à caractère   personnel ;
   
Vu le dossier et ses   compléments ;
Sur la proposition   de M. Maurice RONAI,   commissaire,             président du Comité de labellisation et après avoir entendu les   observations de Mme Nacima    BELKACEM, commissaire du Gouvernement,
   
    
 Formule les observations suivantes :
  
  
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel.
 
  
  
La formation, objet de la demande, se compose comme suit : 
  
  
-       Historique, de Safari à la jungle numérique ;
-       La donnée personnelle, de l’identifiable à l’identifiée ;
-       La loi, les évolutions à venir ;
-       Les acteurs de la donnée ;
-       Les grands principes & droits ;
-       La mondialisation de la donnée ;
-       La sécurité des données personnelles ;
-       Les données personnelles pour les Ressources Humaines ;
-       Les données personnelles pour les collectivités locales ;
-       Les données personnelles dans le secteur de la santé.
 
  
La demande de label présentée par la société DIGITEMIS inclut les modules complémentaires suivants : 
  
-       Présentation de la CNIL et de ses missions ;
-       Présentation des formalités préalables à la mise en œuvre des traitements ;
-       Présentation de l’encadrement des transferts de données hors de l’Union européenne ;
-       Présentation de l’encadrement des traitements dans le domaine de la santé ;
-       Présentation du pouvoir de contrôle a posteriori de la CNIL ;
-       Présentation du pouvoir de sanction de la CNIL ;
-       Présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
 
  
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
 
  
 
  
Décide 
  
  
De la délivrance du label CNIL  formation  pour la formation intitulée  Gestion des données personnelles  de la société DIGITEMIS. 
  
  
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
  
  
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
  
  
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
 
  
  
  
  
  
Pour la Présidente
  
 
  
 
  
Le Vice-Président Délégué
  
 
  
Marie-France MAZARS
La Commission   nationale de l'informatique et des libertés, 
   
Saisie par la société DIGITEMIS, le 27 octobre 2016, d'une demande de   délivrance de label concernant sa formation intitulée  Devenir délégué   à la protection des donnée personnelles  ;
   
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des   personnes à l'égard du traitement automatisé des données à   caractère personnel ;
   
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24   octobre 1995 relative à la protection des personnes physiques à l'égard du   traitement de données à caractère personnel et à la libre circulation de ces   données ;
   
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à   l'informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
   
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour   l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique,   aux fichiers et aux libertés ;
   
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du   règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
   
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d'un   référentiel pour la délivrance de labels en matière de formation tendant à la   protection des personnes à l'égard du traitement des données à caractère   personnel ;
   
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire,             membre du Comité de labellisation et après avoir entendu les   observations de Mme Nacima    BELKACEM, commissaire du Gouvernement,
   
    
 Formule les observations suivantes :
  
  
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
  
  
La formation, objet de la demande, se compose comme suit : 
  
-       Historique, de Safari à la jungle numérique ;
-       La donnée personnelle, de l'identifiable à l'identifiée ;
-       La loi, les évolutions à venir ;
-       Les acteurs de la donnée ;
-       Les grands principes & droits ;
-       La mondialisation de la donnée ;
-       La sécurité des données personnelles ;
-       Les données personnelles pour les Ressources Humaines ;
-       Les données personnelles pour les collectivités locales ;
-       Les données personnelles dans le secteur de la santé.
  
La demande de label présentée par la société DIGITEMIS inclut les modules complémentaires suivants : 
  
-       Présentation de la CNIL et de ses missions ;
-       Présentation des formalités préalables à la mise en œuvre des traitements ;
-       Présentation de l'encadrement des transferts de données hors de l'Union européenne ;
-       Présentation du rôle du correspondant à la protection des données à caractère personnel ;
-       Présentation de l'encadrement des traitements dans le domaine de la santé ;
-       Présentation du pouvoir de contrôle a posteriori de la CNIL ;
-       Présentation du pouvoir de sanction de la CNIL ;
-       Présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
  
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l'article 37 de son règlement intérieur.
  
 
  
Décide 
  
  
De la délivrance du label CNIL  formation  pour la formation intitulée  Devenir délégué à la protection des donnée personnelles  de la société DIGITEMIS. 
  
  
Ce label est délivré pour une durée de trois ans conformément à l'article 39 du règlement intérieur de la Commission.
  
  
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
  
  
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
  
  
  
  
  
Pour la Présidente
  
 
  
 
  
Le Vice-Président Délégué
  
 
  
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés, 
  
Saisie par la société AGERIS GROUP, le 19 septembre 2016,  d'une demande de délivrance de label concernant sa formation intitulée   La loi Informatique et Libertés dans le domaine de la santé  ;
  
Vu la Convention n°  108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère  personnel ;
  
Vu la directive  95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la  protection des personnes physiques à l'égard du traitement de données à  caractère personnel et à la libre circulation de ces données ;
  
Vu la loi n° 78-17 du  6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux  libertés, notamment son article 11-3° c) ;
  
Vu le décret n°  2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n°  78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux  libertés ;
  
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du  règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
  
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d'un  référentiel pour la délivrance de labels en matière de formation tendant à la  protection des personnes à l'égard du traitement des données à caractère  personnel ;
  
Vu le dossier et ses  compléments ;
Sur la proposition  de M. Alexandre LINDEN, commissaire,          membre du Comité de labellisation et après avoir entendu les  observations de Mme Nacima BELKACEM, commissaire  du Gouvernement,
  
   
Formule les observations suivantes :
  
  
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
  
  
La formation, objet de la demande, se compose comme suit : 
  
-       Définitions et champ d'application ;
-       Les principes fondamentaux relatifs aux traitements de données à caractère personnel ;
-       L'encadrement des traitements dans le domaine de la santé.
 
  
  
La demande de label présentée par la société AGERIS GROUP inclut les modules complémentaires suivants : 
  
  
-       présentation de l'encadrement des traitements dans le domaine de la santé.
  
  
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l'article 37 de son règlement intérieur.
  
 
  
Décide 
  
  
De la délivrance du label CNIL  formation  pour la formation intitulée  La loi Informatique et Libertés dans le domaine de la santé  de la société AGERIS GROUP. 
  
  
Ce label est délivré pour une durée de trois ans conformément à l'article 39 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
  
  
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
  
  
  
  
    
Pour  la Présidente
   
 
  
Le Vice-Président Délégué
    
Marie-France  MAZARS
La Commission nationale de l'informatique et des libertés, 
  
Saisie par Mme Mole  et le cabinet COMUNDI, le 30 novembre 2016, d'une modification de leur  formation intitulée  Loi Informatique et Libertés - le régime  juridique des traitements et des fichiers  ;
  
Vu la Convention n°  108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère  personnel ;
  
Vu la directive 95/46/CE  du Parlement européen et du Conseil du 24 octobre 1995 relative à la  protection des personnes physiques à l'égard du traitement de données à  caractère personnel et à la libre circulation de ces données ;
  
Vu la loi n° 78-17 du  6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux  libertés, notamment son article 11-3° c) ;
  
Vu le décret n°  2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n°  78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
  
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du  règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
  
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d'un  référentiel pour la délivrance de labels en matière de formation tendant à la  protection des personnes à l'égard du traitement des données à caractère  personnel ;
  
Vu le dossier et ses  compléments ;
Sur la proposition  de M. Maurice RONAI, commissaire,          président du Comité de labellisation et après avoir entendu les  observations de Mme Nacima BELKACEM, commissaire  du Gouvernement,
  
   
Formule les observations suivantes :
  
  
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
  
  
La formation intitulée  Loi Informatique et Libertés - le régime juridique des traitements et des fichiers  a été labellisée par la délibération n° 2012-199 du  14 juin 2012 puis renouvelée par la délibération n° 2015-102 du 19 mars 2015.
  
  
Cette formation labellisée a fait l'objet d'une modification substantielle de nature à nécessiter une nouvelle évaluation. Le 30 novembre 2016, Mme Mole et le cabinet COMUNDI ont donc transmis à la Commission une demande de modification du titre de leur formation. Les demandeurs souhaitent substituer au titre de la formation initiale  Loi Informatique et Libertés - le régime juridique des traitements et des fichiers  l'intitulé  Protection  des données personnelles : objectif conformité .
  
  
La formation, objet de la demande, se compose comme suit : 
  
-       Enjeux/ champ d'application / nouveau pouvoir de la CNIL ;
-       Les déclarations et demandes d'autorisations auprès de la CNIL ;
-       Le correspondant Informatique et Libertés : choisir de nommer ou non un CIL ;
-       La collecte des données : information et droit d'opposition au consentement (données sensibles) ;
-       Le droit d'accès et de rectification ;
-       Sécurité et mise à disposition ;
-       La durée de conservation ;
-       Prospection, recouvrement, information du consommateur : quelles sont les obligations à respecter en matière de gestion des clients et des prospects ?
-       Quelle démarche de prévention des risques Informatiques et Libertés ?
-       Gestion du personnel et cybersurveillance ;
-       Le cas particulier du courrier électronique du salarié ;
-       Les contrôles de la CNIL ;
-       La question des flux internationaux des données.
  
La demande de label présentée par Mme Mole et le cabinet COMUNDI inclut les modules complémentaires suivants : 
  
-       Présentation de la CNIL et de ses missions ;
-       Présentation des formalités préalables à la mise en œuvre des traitements ;
-       Présentation de l'encadrement des transferts de données hors de l'Union européenne ;
-       Présentation du rôle du correspondant à la protection des données à caractère personnel ;
-       Présentation de l'encadrement des traitements dans le domaine de la santé ;
-       Présentation du pouvoir de contrôle a posteriori de la CNIL ;
-       Présentation du pouvoir de sanction de la CNIL ;
-       Présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
  
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l'article 37 de son règlement intérieur.
 
  
Décide 
  
  
De l'abrogation de la délibération n°2015-102 du 19 mars 2015 portant renouvellement de la labellisation de la formation intitulé  Loi Informatique et Libertés - le régime juridique des traitements et des fichiers  présentée conjointement par Mme Mole et le cabinet COMUNDI.
  
  
De la délivrance du label CNIL  formation  pour la formation modifiée intitulée   Protection des données personnelles : objectif conformité  de Mme Mole et le cabinet COMUNDI. 
  
  
Ce label est délivré pour une durée de trois ans conformément à l'article 39 du règlement intérieur de la Commission.
  
  
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
  
  
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
  
  
  
  
Pour la Présidente
  
 
  
Le Vice-Président Délégué
  
 
    
Marie-France  MAZARS