AgentPublic/cnil huggingface dataset:
complexité minimale suffisante (au moins huit caractères parmi majuscules, minuscules, chiffres et caractères spéciaux), qui ne soient pas stockés en clair. En outre, elle rappelle que la circulation et le stockage des pièces justificatives (papier) devront faire l'objet de mesures organisationnelles visant à assurer leur sécurité. Concernant la protection des données fiscales de référence transmises par la DGFiP (identifiant fiscal, nom, prénom, date de naissance), la commission relève qu'elles seront stockées par l'ANFR en partie sous forme chiffrée et qu'elles seront interrogées par le téléservice à travers une connexion chiffrée authentifiée par certificat électronique client. La commission considère par ailleurs que la gestion des habilitations doit faire l'objet d'une procédure formalisée et communiquée à l'ensemble des acteurs. Les habilitations doivent être attribuées après validation hiérarchique, pour une durée déterminée et faire l'objet d'un réexamen périodique. Une fonctionnalité de journalisation a été définie pour les accès aux données et un contrôle automatique des traces est mis en œuvre afin de bloquer les comportements anormaux. La commission recommande néanmoins d'affiner la journalisation et la détection d'incidents et de mettre en œuvre des mesures pour assurer l'intégrité des traces. Sous ces réserves, la commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue à l'article
34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
(Demande d’autorisation n° 1874886)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Mondial Assistance France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un programme d’apprentissage dénommé « Copact » portant sur la spécialité pharmaceutique Copaxone® exploitée par le laboratoire Teva Pharma ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1161-1, L. 1161-5, L. 1161-6, R. 1161-8 à R. 1161-26 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Mondial Assistance France, société par actions simplifiée, enregistrée au registre du commerce et des sociétés de Paris sous le numéro 490 381 753.
Sur la finalité
Le traitement a pour finalité la mise en œuvre d’un programme d’apprentissage portant sur le médicament Copaxone® exploité par le laboratoire Teva Pharma. Ce programme, dans lequel la société Mondial Assistance France intervient comme opérateur de programmes d’apprentissage au sens de l’article L. 1161-5 du code de la santé publique, a pour objet l’amélioration de l’appropriation par les patients des gestes techniques permettant l’utilisation de ce médicament.La société Mondial Assistance France intervient à la suite de l’opérateur Acticall qui avait initié la mise en œuvre du programme, conformément à la délibération de la Commission n° 2012-027 du 26 janvier 2012.La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée (« loi Informatique et Libertés »).Ce traitement relève des dispositions combinées des articles 8-IV et 25-I-1° de la loi Informatique et Libertés qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public, tel que rappelé à l’article R. 1161-24 du code de la santé publique.
Sur les données traitées
Dans le cadre du programme d’apprentissage, les données faisant l’objet d’un traitement sont celles relatives aux patients qui s’inscrivent au programme d’apprentissage. Elles portent sur l’identité (nom, prénom), la date de naissance, les coordonnées (adresse, numéros de téléphone) ainsi que sur des informations relatives à la santé (pathologie, affection, antécédents et traitements médicaux).Les données relatives aux médecins traitants et aux médecins prescripteurs peuvent également faire l’objet d’un traitement (identité, coordonnées).La Commission estime que les données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément à l’article 6-3° de la loi Informatique et Libertés.
Sur les destinataires
En vertu de la réglementation relative aux programmes d’apprentissage, seule l’équipe en charge d’un programme doit pouvoir accéder aux données à caractère personnel relatives aux patients qui y sont inscrits. En effet, la loi prévoit l’interdiction d’accès des laboratoires aux données identifiantes et les dispositions réglementaires précisent que les données doivent être anonymisées par le médecin ou le pharmacien responsable du programme chez l’opérateur avant transmission à ce dernier et au laboratoire.Les mesures telles que décrites ci-dessous satisfont à cette obligation.
Sur l’information et le droit d’accès
La Commission prend acte de ce que l’ancien opérateur (Acticall) informera les patients inscrits du changement d’opérateur et recueillera leur consentement exprès à la poursuite du programme d’apprentissage et à la transmission de leurs données à caractère personnel au nouvel opérateur (Mondial Assistance France).Elle prend également acte de ce que les patients ayant accepté de poursuivre le programme sont informés des nouvelles modalités d’exercice de leurs droits d’accès, de rectification et d’opposition, prévus par les articles 38 à 40 de la loi Informatique et Libertés, auprès de Mondial Assistance France. Toutefois, la Commission demande que cette note d’information soit complétée afin de préciser le service auprès duquel s’exerce le droit d’accès, conformément aux dispositions de l’article 29-2° de la loi Informatique et Libertés. En outre, la possibilité de se désinscrire du programme à tout moment, conformément à la loi du 6 janvier 1978 modifiée et aux articles R. 1161-8 à R. 1161-26 du code de la santé publique, devrait être rappelée aux patients.La Commission demande également que les médecins prescripteurs et les médecins traitants des patients concernés soient informés du changement d’opérateur et des droits qui leur sont reconnus par la loi précitée.
Sur les mesures de sécurité
Sur le contrôle d’accès et des habilitations :L’opérateur mettant en œuvre le programme d’apprentissage doit mettre en place des moyens de vérification des habilitations accordées au personnel qu’il emploie.Il doit veiller, en particulier, à ce que l’accès aux données de santé à caractère personnel, couvertes par le secret professionnel, soit limité aux personnels en charge du programme d’apprentissage pour les patients qu’ils suivent effectivement. Les habilitations données au personnel doivent également être revues régulièrement, notamment afin de supprimer les autorisations d’accès dès le départ d’un collaborateur.En fonction du rôle des utilisateurs, différents profils d’habilitation sont définis. Lors de la création d’un compte, le personnel dispose d’un profil global. Chaque nouvelle habilitation doit être validée par le responsable d’habilitation. Les habilitations pour accéder aux logiciels utilisés pour la gestion du programme d’apprentissage sont réservées à l’équipe dédiée du programme d’apprentissage.La Commission rappelle que l’authentification des professionnels de santé doit s’opérer à l’aide de la carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé, conformément aux dispositions de l’article L. 1110-4 du code de la santé publique.Sur la traçabilité :La Commission relève que l’opérateur met en place une traçabilité des actions effectuées sur
les données, en consultation, création, modification et suppression. La Commission rappelle qu’il convient d’informer les personnels concernés de la mise en œuvre de cette mesure.Sur la conservation des données :Les données à caractère personnel sont conservées pendant la durée d’inscription du patient au programme. La Commission considère que cette durée est adéquate à la finalité du traitement. Toutefois, elle rappelle qu’à l’issue de la participation d’un patient à un programme, seules des données anonymisées peuvent être conservées par l’opérateur, en application de l’article R. 1161-24 du code de la santé publique.Ce même article prévoit que l’opérateur ne peut pas sous-traiter tout ou partie des opérations prévues par le programme d’apprentissage. La Commission estime cependant que ces dispositions ne font pas obstacle à l’hébergement des données dans des conditions conformes à l’article L. 1111-8 du code de la santé publique relatif à l’hébergement des données de santé.S’agissant de données de santé à caractère personnel recueillies ou produites à l’occasion des activités de prévention, de diagnostic ou de soins, celles-ci sont hébergées auprès d’un hébergeur agréé, conformément aux dispositions de l’article L.1111-8 du code de la santé publique. Ces données doivent  être sauvegardées et archivées de manière à assurer leur pérennité et leur confidentialité.La Commission rappelle qu’en application de ces dispositions, le consentement exprès des personnes doit être
obtenu.Sur l’anonymisation :L’article R. 1161-23 du code de la santé publique prévoit que le médecin ou le pharmacien responsable du programme employé à cette fin par l’opérateur doit procéder à l’anonymisation des informations avant de les transmettre à l’opérateur qui l’emploie et à l’entreprise exploitant le médicament faisant l’objet du programme.Les fiches d’apprentissage qui consignent l’ensemble des échanges intervenus entre les professionnels de santé chargés du programme et les patients inscrits doivent donc faire l’objet d’une anonymisation avant transmission à l’opérateur ou au laboratoire pharmaceutique.Les professionnels de santé en charge du programme d'apprentissage et de sa mise en œuvre n'assurent aucune mission à caractère commercial.Le médecin ou le pharmacien responsable du programme d’apprentissage employé par la société Mondial Assistance France n’exerce pas de fonctions qui seraient incompatibles avec les exigences du code de la santé publique relatives aux programmes d’apprentissage.L’opérateur met en place un système d’export statistique de données ne permettant pas de ré-identifier les patients.La Commission estime que ces mesures sont satisfaisantes.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de
sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission relève que les dispositions réglementaires relatives aux programmes d’apprentissage prévoient que l’entreprise exploitant le médicament ayant fait l’objet d’un programme d’apprentissage doit produire un bilan de suivi à la fin de chaque programme ou au plus tard au moment de son renouvellement. Dès lors, elle rappelle que ces bilans d’évaluation devront faire l’objet de formalités au titre du chapitre X de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, Mondial Assistance France à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1840457)
La Commission nationale de l’informatique et des libertés ; 
Saisie par la Province Sud de Nouvelle-Calédonie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des constats d’infractions à la réglementation de la Province Sud, en matière environnementale et le suivi des procédures mises en œuvre à la suite de ces constats ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi organique n° 99-209 du 19 mars 1999 modifiée, notamment ses articles 20 et 86 ;
Vu le code de l’environnement de la Province Sud de Nouvelle-Calédonie ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Philippe GOSSELIN, rapporteur, et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la Province Sud de Nouvelle Calédonie (ci-après la Province Sud).
Sur la finalité
Les finalités du présent traitement sont la gestion des constats d’infractions à la réglementation de la Province Sud en matière environnementale et le suivi des procédures mises en œuvre à la suite de ces constats.
Conformément à l’article 20 de la loi organique n° 99-209 du 19 mars 1999 modifiée, relative à la Nouvelle-Calédonie, qui prévoit que « chaque province est compétente dans toutes les matières qui ne sont pas dévolues à l'Etat ou à la Nouvelle-Calédonie par la présente loi, ou aux communes par la législation applicable en Nouvelle-Calédonie », la Province Sud dispose de compétences propres en matière de règlementation environnementale. 
L’article 86 de ladite loi précise en outre que « les agents assermentés de la Nouvelle-Calédonie, des provinces et des communes peuvent constater les infractions aux réglementations de la Nouvelle-Calédonie, des provinces et des communes dans les conditions fixées par la loi ».
Dès lors, afin de rechercher et constater les infractions à la réglementation locale en matière environnementale, des fonctionnaires et agents assermentés et commissionnés, conformément à l’article 216-1 du code de l’environnement de la Province Sud susvisé, sont en charge de rédiger et éditer des procès-verbaux avant de les transmettre à l’autorité judiciaire compétente.
Le présent traitement, dénommé traitement des procédures d'application de la réglementation (TRAPAR), permet ainsi de gérer les constats d’infraction en facilitant la rédaction et l’édition des procès-verbaux. Une fois ces documents transmis à l’autorité judiciaire, il permet en outre de suivre les procédures pénales qui seront mises en œuvre et d’enregistrer leur issue.
Plus précisément, afin de d’assurer le suivi de la procédure, le traitement permet de conserver la date de transmission de la procédure à l’autorité judiciaire et de centraliser :
les avis à victimes destinés à les informer de l'ouverture d'une procédure, de leur droit de se constituer partie civile et des modalités d'exercice de ce droit ; 
les délibérations habilitant le président de l’assemblée de la Province Sud à porter plainte et à se constituer partie civile ;
les décisions prononcées par les juridictions pénales.
Au regard de ces éléments, la Commission considère qu’il y a lieu de faire application des articles 9-1° et 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté. 
La Commission estime que la finalité poursuivie par le traitement est déterminée, légitime et explicite, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée. 
Sur les données traitées
Sont enregistrées dans le traitement TRAPAR des données relatives :
à l’identité de l’auteur de l’infraction (noms, prénom, date et lieu de naissance, noms des représentants légaux pour les mineurs, nationalité, profession et numéro de téléphone) ;
  aux infractions commises ;
  à la décision de justice.
Concernant la nationalité des auteurs d’infractions, le responsable de traitement a indiqué ne pas traiter systématiquement cette donnée. Celle-ci sera en effet enregistrée uniquement lorsqu’elle permet de prendre en considération le caractère temporaire de sa présence sur le territoire de la Province Sud ou, le cas échéant son besoin de bénéficier d’un interprète. 
La Commission considère que cette donnée ne doit pas être traitée car elle n’est pas pertinente pour répondre à ces besoins. En effet, la présence temporaire des personnes concernées ou le besoin d’un interprète ne sont pas nécessairement liés à la nationalité, un ressortissant étranger pouvant par exemple résider de manière permanente sur le territoire de la Province Sud. Elle estime dès lors que le responsable de traitement doit uniquement indiquer, si cela est nécessaire, que la présence de l’auteur de l’infraction est temporaire ou qu’il doit se voir attribuer un interprète.
Concernant la profession, celle-ci peut pour certaines infractions constituer une circonstance aggravante. Il en va notamment ainsi en matière d’usage de matériels irréguliers de pêche, qui constitue une contravention pour les pêcheurs plaisanciers et un délit pour les pêcheurs professionnels.
La Commission relève par ailleurs que le traitement permet la numérisation des décisions dans la base. A cet égard, elle rappelle au responsable de traitement qu’il peut, à l’issue de la durée de conservation des données, conserver une base jurisprudentielle active anonymisée dans l’application métier.
Sous réserve des précédentes observations, elle considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les accédants et destinataires
Accèdent au traitement TRAPAR les agents verbalisateurs de la Province Sud pour les seuls procès-verbaux qu’ils dressent, ainsi que l’agent en charge des relations avec le parquet du Tribunal de Nouméa (« référent parquet »).Les destinataires des procès-verbaux sont les agents de la brigade de gendarmerie territorialement compétente pour instruire l’enquête relative aux infractions constatées.A l’issue de l’enquête, le dossier est transmis au procureur de la République. Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Ces destinataires et accédants n’appellent pas d’observations particulières de la Commission.
Sur l’information et le droit d’accès
Concernant l’information des personnes concernées, le traitement ayant pour objet la constatation et la poursuite d’infractions pénales, le responsable de traitement n’est pas tenu de délivrer l’obligation l’information prévue à l’article 32-I de la loi du 6 janvier susvisée, conformément à l’article 32-VI de la même loi.La Commission prend néanmoins acte que le responsable de traitement s’est engagé à ce que lors de la constatation d’une infraction, l’agent assermenté informe oralement les personnes concernées des droits dont elles bénéficient au titre de la loi du 6 janvier 1978 modifiée.Les droits d’accès, de rectification et d’opposition pour motif légitime définis au chapitre V de la loi s’exercent par voie postale auprès de la direction de l’environnement de la Province Sud. Ils peuvent également s’exercer par voie électronique.La Commission estime que ces modalités d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
L’accès au service est sécurisé au moyen du protocole HTTPS. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible afin de remédier toutes les vulnérabilités connues. Les accès distants sont sécurisés via un VPN chiffré. Chaque utilisateur dispose d'un identifiant qui lui est propre. Le responsable de traitement a mis en place une politique de mot de passe conforme aux recommandations de la Commission.Les documents sont conservés dans un local sécurisé.Les postes de travail disposent d'un pare-feu et d'un logiciel antivirus. Les logiciels et systèmes d’exploitation sont régulièrement mis à jour. Des sauvegardes régulières hebdomadaires sont réalisées. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.Le matériel remisé est nettoyé de toute donnée à caractère personnel. L'accord de l'utilisateur est recueilli avant toute intervention sur son poste informatique. Les supports de stockage usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement. Au regard de ces éléments, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les durées de conservation
Les données traitées sont conservées trois ans si l’infraction constatée constitue un délit et un an si elle constitue une contravention. En cas de recours (appel/pourvoi en cassation) contre la décision de première instance, les données sont conservées jusqu’à l’issue de la procédure.Le responsable de traitement a prévu un système de purge automatique pour supprimer les données à l’issue de ces délais.Conformément aux recommandations de la Commission en la matière, les journaux d’accès à l’application sont conservés six mois.La Commission considère que ces durées de conservation sont conformes à l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la Province Sud de Nouvelle-Calédonie à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(demande d’autorisation n° 1898449)
La Commission nationale de l'informatique et des libertés,
Saisie par l’ALFA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel à titre expérimental ayant pour finalité la mutualisation des données des sinistres automobiles des assureurs pour lutter contre la fraude en assurance ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu la délibération n° 2014-312 du 17 juillet 2014 portant autorisation unique de traitements de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’assurance mis en œuvre par les organismes d’assurance, de capitalisation, de réassurance, d’assistance et par les intermédiaires d’assurance ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;