AgentPublic/cnil huggingface dataset:
dans les régions où les CIRE sont en lien avec les laboratoires virologiques hospitaliers, un contact régulier  entre les CIRE et les laboratoires hospitaliers virologiques afin de croiser les données, identifier des cas graves non signalés et mettre à jour les données virologiques des patients déjà signalés. 
La mesure d’exhaustivité sera réalisée si possible chaque année par la CIRE en fin de saison pour redresser le nombre de cas, le cas échéant. 
Elle se fait par la méthode capture-recapture en croisant les données des cas graves avec celles du SNIIRAM sur les variables suivantes : nom d’établissement et de service permettant de déduire son numéro dans le  fichier national des établissements sanitaires et sociaux (FINESS) et le type de service, date d’admission, âge et sexe du patient.
L’ANSP est autorisée à accéder aux données du SNIIRAM par l’arrêté du 19 juillet 2013 relatif à la mise en œuvre du système national d’information inter-régimes de l’assurance maladie. 
Sur les destinataires
Les CIRE, chargées de la déclination des missions de santé publique France en région, ont accès aux données concernant leur territoire de compétence.
L’ensemble des données est accessible à un nombre limité de personnes spécialement habilitées au sein de Santé publique France.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et les droits des patients
La plupart des patients concernés sont hospitalisés en réanimation et ne sont pas en mesure d’être informés individuellement. Le responsable de traitement a indiqué qu’une information individuelle se révèle impossible et qu’une information a posteriori se révèle incompatible avec l’activité d’un service de réanimation en période épidémique et exigerait des efforts disproportionnés par rapport à l’intérêt de la démarche.
Une information générale est mise en œuvre sur le site internet de Santé publique France, ainsi que dans les centres hospitaliers participant au dispositif de surveillance par voie d’affichage. 
Les droits s’exercent auprès du département des maladies infectieuses de l’ANSP.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Les données sont hébergées sur un serveur interne et sécurisé de l’ANSP. 
Les habilitations d’accès au système d’information sont définies en fonction des attributions et des besoins des destinataires dans les strictes limites de l’exercice de leurs missions respectives.
La Commission recommande que les permissions d'accès soient attribuées pour une durée déterminée, après validation hiérarchique, qu’elles soient supprimées pour tout utilisateur n'étant plus habilité et qu’une revue globale des habilitations soit opérée régulièrement. 
Chaque CIRE accède aux données concernant son territoire au moyen d’un login et d’un mot de passe.
La Commission rappelle que, conformément à sa délibération n°2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, elle demande que ces derniers fassent une longueur minimale de douze caractères et soient composés de lettres majuscules, minuscules, chiffres et symboles ou qu’ils fassent entre huit et onze caractères, soient composés de trois des quatre possibilités précitées et associés à une restriction d’accès en cas d’erreurs successives (blocage temporaire de compte, possibilité de nouvelles tentatives après une durée d’attente incrémentielle, etc.).
Ils doivent en outre être définis, ou modifiés dès la première connexion,  par l’utilisateur, puis régulièrement renouvelés et ne doivent pas être stockés en clair.
La Commission relève que seuls les accès à l’application sont journalisés et recommande que les opérations des utilisateurs touchant des données personnelles soient également tracées (consultation, création, modification et suppression). Elle rappelle en outre que la durée de conservation des traces des utilisateurs ne doit pas excéder six mois.
Les fiches de notification sont transmises par les services de réanimation aux CIRE par fax. Des mesures de sécurité propres aux documents papier sont mises en œuvre : le télécopieur est situé dans un local dédié et les fiches sont conservées dans une armoire sécurisée.
La Commission recommande que l’accès à ces emplacements physiques soit restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.
Les échanges entre la CIRE et les laboratoires hospitaliers sont effectués par téléphone ou par envoi de courriel avec en pièces jointes des tableaux chiffrés par GPG. 
La Commission rappelle que l’accès à une clé de chiffrement privée doit être protégé par une phrase secrète forte. Il est également nécessaire que l’authenticité d'une clé publique soit vérifiée : un contact téléphonique doit permettre de contrôler que l’empreinte de la clé publique récupérée correspond bien à l’empreinte de la clé publique du correspondant.
Concernant le croisement de données avec le SNIIRAM aux fins d’évaluation de l’exhaustivité des données recueillies, les extractions seront transmises aux CIRE de manière chiffrée par des entités habilitées à accéder au SNIIRAM au sein de l’ANSP. Les données de croisement seront conservées sur un espace sécurisé accessible uniquement aux personnes de la CIRE en charge du traitement.
Sur la durée de conservation des données
Les fiches de recueil papier sont conservées au sein de chaque CIRE puis détruites à la clôture du dossier c'est-à-dire 41 jours en moyenne et au plus tard jusqu’en septembre de l’année en cours.
Les courriers électroniques et les tableaux d’échanges avec les laboratoires sont également détruits dans ces délais.
Les données contenues dans le fichier informatique sont conservées cinq ans. Passé ce délai le nom de l’hôpital et le type de service seront supprimés. Le fichier « dégradé » sera conservé sur une longue période estimée à vingt ans afin d’effectuer un suivi des tendances et de permettre la constitution de séries chronologiques.
La Commission demande que l’outil de requête sur cette base d’historique intègre une limitation des risques de réidentification de personnes en limitant les interrogations ciblées et le niveau de détail des rapports.
Les résultats obtenus à l’issu du croisement avec les données du SNIIRAM seront conservés pendant une durée de cinq ans après la fin de la saison concernée et les fichiers de croisement seront détruits.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Agence nationale de santé publique à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la société Voluntis d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’utilisation d’un dispositif de télésurveillance médicale dénommé Insulia® ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L.1110-4, L. 1111-8, L. 6316-1, R.6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu la loi n° 2013-1203 du 23 décembre 2013 de financement de la sécurité sociale pour 2014, notamment son article 36 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 25 avril 2017 portant cahier des charges des expérimentations relatives à la prise en charge par télésurveillance du diabète mises en œuvre sur le fondement de l’article 36 de la loi n° 2013-303 de financement de la sécurité sociale pour 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Voluntis est une société anonyme, spécialisée dans la conception de dispositifs médicaux logiciels. Elle est le fabricant d’Insulia, dispositif médical, délivré uniquement sur prescription médicale. Elle fait appel à deux sous-traitants :
l’un pour le support administratif et technique nécessaire à la mise en œuvre d’Insulia ;
l’autre pour l’hébergement des données de santé.
Sur la finalité
Le traitement de données à caractère personnel généré par  l’utilisation d’Insulia a pour objectif la réalisation d’actes de télésurveillance médicale des personnes atteintes de diabète, à travers la mise en place d’une solution digitale intégrant les fonctionnalités suivantes :
une application mobile à destination des patients permettant de noter et de conserver tous les éléments utiles à la détermination de la prise en charge médicale de ceux-ci ;
un portail web, auquel accèdent par le biais d’un espace personnel qui leur est propre les patients, les médecins prescripteurs, des téléopérateurs, et générant un carnet de suivi électronique du patient (notamment prescription, information des patients, recueil des consentements, profil de traitement du patient) et intégrant les éléments de l’application mobile ;
un centre d’appels accessible à partir d’un numéro vert pour répondre aux sollicitations des patients, des professionnels de santé sur les questions techniques et administratives.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la Commission les traitements de données de santé qui contiennent, comme en l’espèce, le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR) à des fins de remboursement.
Sur les données traitées
Concernant les patients, sont traités  les données d’identification, de connexion, de santé et le NIR ;
concernant les professionnels de santé participant à l’acte de télésurveillance et les autres professionnels accompagnant les professionnels de santé, sont traités  les données d’identification, le lieu d’exercice professionnel et les données de connexion ;
concernant l’acte de télésurveillance, sont traités le compte-rendu de la réalisation de l’acte, les actes et les prescriptions médicamenteuses effectués, l’identification des professionnels de santé participant à l’acte, la date et l’heure de l’acte et, le cas échéant, les incidents techniques survenus.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les médecins prescripteurs et les professionnels de santé assurant la télésurveillance médicale, les téléopérateurs, les personnels de Voluntis et l’hébergeur. Tous sont authentifiés et habilités ; ils accèdent aux données dans la limite de leurs attributions respectives. 
La Commission demande que la prescription nécessaire à la facturation à la CPAM d’Insulia soit envoyée par le patient à Voluntis. 
Sur l’information et les droits des personnes 
Le patient se voit remettre une notice d’information et de recueil du consentement par le médecin prescripteur à l’occasion de son inscription dans le dispositif. Cette notice s’affiche également à l’occasion de la première connexion du patient à son compte et de chaque mise à jourdu document. Elle est rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée. 
La Commission demande que la notice d’information soit modifiée sur les points suivants :
le terme de « pseudonymisées » doit être utilisé en lieu et place de la notion d’« anonymisées » ; 
la destruction ou l’anonymisation irréversible des données archivées à l’expiration du délai de dix ans doit être expressément prévue dans la notice ;
seule Volontis doit être qualifiée de responsable de traitement. 
Le consentement du patient sera enregistré sur son compte lors de sa création par le médecin. Il est réitéré à l’occasion de la première connexion et à chaque mise à jour de la notice.
Les droits d’accès, de rectification et d’opposition tels que reconnus par la loi du 6 janvier 1978 modifiée sont précisés dans la notice d’information et de recueil du consentement. Ils s’exercent par le patient, directement et à certaines conditions, par le biais d’Insulia®, auprès du médecin prescripteur d’Insulia ou du service des données personnelles de Voluntis.
Sur les mesures de sécurité
Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Les données sont stockées chiffrées.
Chaque utilisateur dispose d’un identifiant qui lui est propre, protégé par un mot de passe conforme à la  délibération                     n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
La Commission rappelle qu'elle recommande, s'agissant des données de santé, que les traces soient conservées dans les dossiers des patients et pour une durée égale à la durée de conservation de ces dossiers mais que s’agissant des journaux consignant les actions des administrateurs, elle préconise une durée de conservation de six mois.
La mise au point des logiciels s’effectue sur des données fictives.
Le réseau de l’entreprise fait l’objet de mesure de filtrage ayant pour but de restreindre l’émission et la réception des flux réseau aux machines identifiées et autorisées. Les accès distants sont sécurisés via un VPN chiffré.
La Commission recommande que les permissions d'accès soient attribuées pour une durée déterminée et limitée, après validation hiérarchique, qu’elles soient supprimées dès qu'un utilisateur n'est plus habilité et qu’une revue globale des habilitations attribuées soit opérée régulièrement.
L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé dans les conditions du décret n°2006-6 du 4 janvier 2006.
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par Insulia est conservé trois mois en base active à compter de la fin de la période de prise en charge du patient, puis en base archive pendant dix ans.
La Commission demande la destruction des données à l’expiration du délai d’archivage de dix ans ou leur anonymisation de manière irréversible.
Autorise, conformément à la présente délibération, la société Voluntis à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente Le Vice-Président Délégué
Marie-France MAZARS
La Commission nationale de l’informatique et des libertés,
Saisie par la société ALCON d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la matériovigilance ;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 90/385/CE du 20 juin 1990 concernant le rapprochement des législations des Etats membres relatives aux dispositifs médicaux implantables actifs;
Vu la directive 93/42 CE du 14 juin 1993 relative aux dispositifs médicaux ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5212-2 à L. 5212-3 et R. 5212-1 à R. 5212-42 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement ;
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société ALCON (groupe NOVARTIS), spécialisée dans l’industrie pharmaceutique.
Sur la finalité
Le traitement a pour finalité la matériovigilance qui a pour objet la surveillance des éventuels effets indésirables des dispositifs médicaux sur la santé humaine.
La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6 de la loi du 6 janvier 1978 modifiée.
Ce traitement relève des dispositions combinées des articles 8-IV et 25-I-1° de la loi « informatique et libertés » qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les données systématiquement collectées sont :
les données d’identification du notificateur lorsque celui-ci n’est pas un professionnel de santé (patient ou membre d’une association agréée de patients) : nom, prénom, adresse, numéro de téléphone, numéro d’enregistrement unique généré par le logiciel Itrack ;
les données d’identification du patient : numéro, code alphanumérique ou code alphabétique d’identification tel que prévu par le formulaire Cerfa de déclaration d’un effet indésirable, informations signalétiques (âge, année ou date de naissance, sexe, poids, taille) ;
les données de santé : dispositifs médicaux utilisés, traitements administrés, résultats d’examens, nature du ou des effets indésirables, incidents, antécédents personnels ou familiaux, maladies ou événements associés, facteurs de risque, informations relatives au mode de prescription et d’utilisation des dispositifs médicaux et à la conduite thérapeutique du prescripteur ou des professionnels de santé intervenant dans la prise en charge de la pathologie ou de l’effet indésirable,  incident, « plainte qualité » ;
les données d’identification des professionnels de santé concernés par l’observation : nom, nom d’usage, prénom, numéros de téléphone et de télécopie, adresse électronique, adresse postale, spécialité du professionnel de santé.
Les données collectées lorsqu’elles sont strictement nécessaires à l’appréciation de l’effet indésirable sont les suivantes :
données de santé : photographie des yeux présentant la pathologie ;
données relatives à la vie professionnelle : profession(s) actuelle et antérieure(s) ;
habitudes de vie et comportements : dépendance (seul, en institution, autonome, grabataire), assistance (aide-ménagère, familiale), exercice physique (intensité, fréquence, durée), régime et comportement alimentaire ;
mode de vie (urbain, semi-urbain, nomade, sédentaire) et habitat (maison particulière ou immeuble, étage, ascenseur).
Le responsable de traitement doit mettre en place les mesures techniques adéquates afin que les données codées relatives aux patients soient séparées des autres données.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes habilitées à accéder aux données de matériovigilance sont :
le responsable de la matériovigilance, ainsi que ses collaborateurs placés sous sa responsabilité ;
le pharmacien responsable ou son représentant, ainsi que toute personne dûment habilitée et placée sous sa responsabilité, dans la limite de ses attributions et pour ce qui la concerne ;
les personnes habilitées du service des affaires juridiques et des affaires réglementaires, en fonction des dossiers qu’elles sont à traiter dans le cadre de la gestion des réclamations ;
le service chargé des audits peut, de façon ponctuelle et motivée, avoir accès à ces données pour vérifier le respect des exigences réglementaires et des procédures internes dans la limite de ses attributions et pour ce qui le concerne;
le prestataire de services Universal Medica (centre d’appels) et le prestataire du logiciel iTrack, Sparta Systems, intervenant pour le compte et sous la responsabilité du laboratoire Alcon, dans la limite de ses fonctions et dans les conditions définies par le contrat de service ;
certaines sociétés du groupe (sans information sur l’identité du notificateur) : Novartis International AG (Suisse), ALCON US (USA) ;
les laboratoires tiers dont un produit pourrait être mis en cause (sans information sur l’identité du notificateur) ; 
les professionnels de santé concernés par le signalement ; 
les organismes publics nationaux et la Food and Drug Administration aux Etats-Unis (sans information sur l’identité du notificateur). 
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées avec une mention lors de l’appel téléphonique et dans les échanges par courrier. Des consignes sont données aux professionnels de santé ou associations afin qu’ils puissent délivrer l’information aux patients.
Les droits prévus par la loi s’exercent auprès de la société ALCON.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur.
Le responsable de traitement doit mettre en place une politique de mot de passe conforme aux recommandations de la Commission (utilisation d’un mot de passe d’une longueur minimale de huit caractères et composé de trois types de caractères distincts avec mesures de blocage ou de ralentissement en cas d’essais infructueux ou douze caractères en l’absence de ces mesures). 
La confidentialité des données est assurée par la mise en œuvre d’un dispositif de chiffrement. La Commission recommande de chiffrer également les sauvegardes.
Le traitement dispose d’une journalisation des accès.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la durée de commercialisation du produit et pendant une durée supplémentaire de cinq ans. Pour les dispositifs médicaux implantables (par exemple les lentilles intra-oculaires, la durée de conservation des données est de trente ans à compter de la fin d’exploitation du dispositif. Au-delà de ces durées, les données sont supprimées ou archivées sous une forme anonymisée.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Les données sont transférées aux Etats-Unis. Ce transfert est encadré par des règles internes d’entreprise (binding corporate rules)  conclues au niveau du groupe NOVARTIS.
Autorise, conformément à la présente délibération, la société ALCON à mettre en œuvre le traitement susmentionné.
Pour la Présidente,
Le Vice-Président Délégué
Marie-France MAZARS