AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n°1688415)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Partouche Technologies d’une demande d’autorisation relative à un traitement de données à caractère personnel ayant pour finalité l’expérimentation d’un dispositif de contrôle d’accès à des locaux et à des applications professionnels reposant sur un mot de passe à usage unique généré par une carte individuelle d’authentification par reconnaissance des empreintes digitales ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 59-1489 du 22 décembre 1959 portant réglementation des jeux dans les casinos des stations balnéaires, thermales et climatiques, notamment son article 14 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Emmanuel de GIVRY, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Conformément à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée, la filiale technique du Groupe Partouche, Partouche Technologies, a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une demande d’autorisation relative à un traitement de données à caractère personnel ayant pour finalité l’expérimentation d’un dispositif de contrôle d’accès à des locaux et à des applications professionnels reposant sur un mot de passe à usage unique généré par une carte individuelle d’authentification par reconnaissance des empreintes digitales. 
Partouche Technologies souhaite mettre en place, à titre expérimental, pendant une durée de 6 mois, un dispositif biométrique de reconnaissance des empreintes digitales sur une carte individuelle générant un mot de passe à usage unique permettant un contrôle d’accès sécurisé :
- d’une part, à certains locaux physiques de la société : dans un tel cas, l’identifiant de la carte et un mot de passe seront transmis par radiofréquence (dispositif RFID) ; 
- d’autre part, aux applications web internes de la société : dans ce cas, l’identifiant de la carte et un mot de passe acoustique seront transmis via un logiciel spécifique d’authentification.
La partie de l’expérimentation relative au contrôle d’accès physique sera menée sur la porte d’entrée principale de Partouche Technologies ainsi que sur deux portes à accès restreint au sein de la société.
La partie de l’expérimentation relative au contrôle d’accès logique sera effectuée sur des applications web de gestion interne de la société. 
Seuls les salariés volontaires participeront à l’expérimentation. 
Sur la finalité du traitement
La finalité de l’expérimentation est de tester la fiabilité d’une solution de contrôle d’accès authentifié par la reconnaissance des empreintes digitales, susceptible d’être tracé au moyen d’un mot de passe à usage unique et effectué potentiellement à distance. 
En effet, la Commission prend acte que : 
pour les accès physiques testés, le mot de passe généré par la reconnaissance de l’empreinte sur la carte sera transmis par radiofréquence (dispositif RFID) ;
pour les accès logiques testés, le mot de passe généré par la reconnaissance de l’empreinte sur la carte sera transmis par trame acoustique, à distance, ce qui constitue une mise en œuvre inédite du contrôle d’accès par authentification biométrique. 
Au regard de l’apport significatif de cette expérimentation, notamment concernant une procédure d’authentification biométrique à distance, la Commission considère que cette finalité est déterminée, légitime et explicite.      
Sur la nature des données traitées
Les données à caractère personnel collectées et traitées dans une base de données sur le serveur de test et dans un fichier de logs dédié seront :
l’identité du participant (nom et prénom) ;
des identifiants techniques (identifiants des cartes individuelles, clés secrètes, identifiants des terminaux et des connexions, information d’horodatage). 
Les données à caractère personnel collectées et traitées sur la carte individuelle de chaque participant seront :
l’identifiant de la carte individuelle ; 
les clés secrètes associées à cette carte ;
les gabarits non chiffrés des empreintes digitales.
La Commission souligne l’absence de chiffrement des données biométriques et recommande qu’une réflexion soit engagée sur ce point dans l’hypothèse d’une nouvelle demande d’autorisation visant à la pérennisation du dispositif. 
Elle considère néanmoins que ces données sont pertinentes et proportionnées au regard de la finalité poursuivie. 
Sur la durée de conservation des données
Les données seront conservées sur serveur et sur carte pendant une durée maximale de huit mois. 
La Commission considère que cette durée de conservation est conforme aux exigences de l’article 6-5° de la loi du 6 janvier 1978 modifiée compte tenu que l’expérimentation est mise en œuvre pour une durée de six mois et qu’un bilan complet sera établi à partir de l’ensemble des données collectées deux mois après la fin de l’expérimentation.
Sur les destinataires des données
Seul le service test de la société Partouche Technologies (le coordinateur et 5 agents du service exploitation) sera habilité à accéder aux données collectées, ce qui n’appelle pas d’observation de la Commission.
Sur l'information et les droits des personnes
Les instances représentatives du personnel ont été informées de la mise en œuvre du dispositif. 
L’expérimentation sera proposée aux quarante salariés de la société Partouche Technologies, sur la base du volontariat. Leur souhait de participer sera recueilli par écrit, via la signature d’une attestation spécifique les informant notamment de leurs droits, de leur engagement à tester la carte pour une période d’un mois renouvelable et de la procédure à suivre pour rendre compte de leur expérience individuelle.  
Les salariés refusant de participer au test continueront à utiliser le système actuel d’accès par digicode qui reste disponible sans aucune contrainte organisationnelle ou technique additionnelle. 
Aussi, conformément aux exigences de l’article 7 de la loi du 6 janvier 1978, les personnes ayant accepté de participer à l’expérimentation pourront à tout moment, et sans motif, mettre fin à leur participation. 
La Commission considère que ces modalités d’information et d’exercice des droits sont conformes aux dispositions des articles 39 et 40 de la loi du 6 janvier 1978 modifiée. 
Sur la sécurité des données et la traçabilité des actions
La Commission prend acte de l’absence de risque de fraude par rejeu, compte tenu du recours à un compteur d'utilisation (génération de mots de passes différents à chaque utilisation).
Concernant les modalités de paramétrage du dispositif, elle observe que le taux de fausses acceptations (FAR de 1/2500) et le taux de faux rejets (FRR de 5%) retenus privilégient un traitement des données rapide et ergonomique, plutôt qu’une probabilité forte d’authentification. Elle demande à ce que la société Partouche Technologies lui communique, à la fin de l’expérimentation, de premiers éléments de conclusions sur la pertinence de ce paramétrage. 
Par ailleurs, une procédure de destruction et d’effacement des données stockées sur la clé sera mise en œuvre dès la fin de l’expérimentation. 
Enfin, la société Partouche Technologies a retenu dans le cadre expérimental du dispositif biométrique des mesures techniques et organisationnelles garantissant la sécurité et la confidentialité des données traitées.
Au regard de ces éléments, la Commission considère que les mesures techniques mises en œuvre garantissent la confidentialité des données traitées.
Sur la présentation d’un bilan 
La Commission prend acte que, conformément à ses exigences, la société Partouche Technologies s’est engagée à adresser à la CNIL un bilan détaillé, dans les deux mois à compter de la fin de l’expérimentation, présentant notamment :
les conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (courte description et tableau statistique récapitulatif, précisant par exemple la population concernée en indiquant le taux de participation, l’acceptabilité, d’éventuels dysfonctionnements liés à certaines catégories de personnes et aux échecs à l’enrôlement) ;
les conclusions générales relatives aux connaissances et aux perspectives d’exploitation technique, économique ou sociétale de ces apports ; 
 les enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ; 
les suites envisagées par le Groupe Partouche sur la base du bilan effectué (abandon du projet, demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre à titre permanent). 
Dans ces conditions, la Commission autorise la société Partouche Technologies à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité l’expérimentation d’un dispositif de contrôle d’accès à des locaux et à des applications professionnels reposant sur un mot de passe à usage unique généré par une carte individuelle d’authentification par reconnaissance des empreintes digitales.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1690220)
La Commission nationale de l’informatique et des libertés, 
Saisie par le Groupement de coopération sanitaire (GCS) e-Santé Bourgogne d’une demande d’autorisation relative à la mise en place d’un outil permettant la réalisation d’actes de télémédecine entre professionnels de santé;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code civil, notamment son article 16-3 ; 
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8,          L. 6316-1et R. 6316-1 ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, notamment les articles 8-IV et 25-I-1° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le Groupement de coopération sanitaire (GCS) e-Santé Bourgogne
Sur les finalités
L’outil de télémédecine envisagé permet, en application de l’article R. 6316-1 du code de la santé publique, la mise en œuvre des actes de télémédecine suivants :
téléexpertise, qui a pour objet de permettre à un professionnel de santé de solliciter à distance l’avis d’un ou de plusieurs professionnels médicaux en raison de leurs formations ou de leurs compétences particulières, en se fondant sur les informations médicales liées à la prise en charge du patient, 
téléconsultation, permettant l’organisation d’une consultation médicale à distance, 
et téléassistance médicale, qui a pour objet de permettre à un professionnel médical d’assister un autre professionnel de santé au cours de la réalisation d’un acte. 
L’outil de télémédecine envisagé permet plus particulièrement de garantir la prise en charge des urgences « Accidents vasculaires cérébraux » et neurologiques grâce à la télétransmission d’examens d’imagerie médicale vers les unités neuro-vasculaires spécialisées. 
Dans le cadre de ces services de télémédecine, le patient est pris en charge au sein de l’établissement de santé l’accueillant. Un dossier médical partagé temporaire du patient, dénommé « télédossier», est alors créé. 
Les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure d’autorisation de la Commission les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique. 
Sur les données traitées
Concernant les patients, les données traitées et échangées sont :
les données d’identification (nom, prénom, sexe, date et lieu de naissance, adresse) et l’INS-C (l’identifiant national de santé calculé) si le « télédossier » est enregistré via la carte vitale, 
des données de vie personnelle (habitudes de vie, situation familiale), 
les données de santé nécessaires à l’acte de télémédecine effectué (histoire de la maladie et antécédents, données relatives aux soins, examens d’imagerie médicale et données associées à ceux-ci (notamment les données issues du système DICOM telles que la prescription de l’examen d’imagerie, les paramètres techniques de la machine et du protocole de l’examen, le numéro d’examen unique), 
le motif de la demande de télémédecine (prescriptions, et sa spécificité), 
le degré d’urgence de réalisation de l’acte de télémédecine, 
les données de facturation. 
les données d’identification (nom, prénom, adresse, spécialité, numéro de téléphone, adresse électronique). Si le professionnel de santé se connecte avec sa carte CPS, son numéro RPPS (répertoire partagé des professionnels de santé) sera enregistré ;
les données relatives à leurs agendas (identification des professionnels participant à l’acte de télémédecine envisagé, date, heure, motif de l’acte) ; 
le numéro de la carte professionnelle (CPx) des secrétaires médicales accompagnant les médecins experts, ainsi que leur nom, prénom, adresse postale et électronique et numéro de téléphone ;
les traces des actions effectuées sur les dossiers. 
Le cas échéant, concernant les personnes accompagnant les patients, les données traitées et échangées sont les données d’identification (nom, prénom, sexe) ainsi que leur qualité (titulaire(s) de l’autorité parentale, tuteur, personne de confiance au sens de l’article L. 1111-6 du code de la santé publique). 
Concernant les professionnels de santé, les données traitées et échangées sont les suivantes :
les données d’identification (nom, prénom, sexe, date et lieu de naissance, adresse) et l’INS-C (l’identifiant national de santé calculé) si le « télédossier » est enregistré via la carte vitale, 
des données de vie personnelle (habitudes de vie, situation familiale), 
les données de santé nécessaires à l’acte de télémédecine effectué (histoire de la maladie et antécédents, données relatives aux soins, examens d’imagerie médicale et données associées à ceux-ci (notamment les données issues du système DICOM telles que la prescription de l’examen d’imagerie, les paramètres techniques de la machine et du protocole de l’examen, le numéro d’examen unique),
le motif de la demande de télémédecine (prescriptions, et sa spécificité), 
le degré d’urgence de réalisation de l’acte de télémédecine, 
les données de facturation. 
les données d’identification (nom, prénom, adresse, spécialité, numéro de téléphone, adresse électronique). Si le professionnel de santé se connecte avec sa carte CPS, son numéro RPPS (répertoire partagé des professionnels de santé) sera enregistré ; 
les données relatives à leurs agendas (identification des professionnels participant à l’acte de télémédecine envisagé, date, heure, motif de l’acte) ; 
le numéro de la carte professionnelle (CPx) des secrétaires médicales accompagnant les médecins experts, ainsi que leur nom, prénom, adresse postale et électronique et numéro de téléphone ;
les traces des actions effectuées sur les dossiers. 
La Commission considère que les données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement.
Sur les destinataires
Les destinataires sont :
les professionnels de santé authentifiés et habilités, membres ou non du GCS dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la prise en charge de leurs patients ; 
et le personnel paramédical, placé sous la responsabilité du professionnel de santé, authentifié et habilité dans la limite de ses attributions et dans la stricte mesure nécessaire à la réalisation de l’acte de télémédecine.
L’utilisation de l’outil de télémédecine est subordonnée à la signature d’une convention par laquelle les professionnels de santé s’engagent à respecter les modalités de mise en œuvre du service précisées dans la charte du GCS, et notamment l’information et le recueil du consentement du patient ou de son représentant légal, le cas échéant. Les professionnels de santé sont informés que l’utilisation du service ne dégage pas le médecin qui procède à l’acte de télémédecine de sa responsabilité en matière de diagnostic ou de traitement. 
Le personnel administratif des établissements de santé utilisateurs de l’outil de télémédecine et du GCS a accès aux données nécessaires à l’exercice de ses missions à l’exception des données de santé. 
Le médecin de l’hébergeur, le cas échéant, a accès aux données de santé afin d’exercer ses missions, notamment afin de répondre aux demandes de droit d’accès des patients passé le délai de 12 mois (durée de conservation du télédossier avant son archivage). 
Sur l’information et le droit d’accès
Le médecin qui est en contact avec le patient lui transmet une note d’information. Dans le cas où celui-ci serait mineur, une note d’information spécifique lui sera transmise, au cours de la consultation. Le «  télédossier» ne sera créé qu’après vérification du recueil du consentement du patient par l’équipe de soin le prenant en charge. A chaque présentation d’un patient à un acte de télémédecine, son  consentement ou celui de la personne l’accompagnant (titulaire de l’autorité parentale, représentant légal ou personne de confiance), pour la réalisation de cet acte, sera recueilli par le professionnel de santé en contact avec lui après nouvelle remise de la note d’information sous format papier, rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée. Ce consentement sera recueilli, sous forme « dématérialisée », par une case à cocher, par le professionnel de santé en contact avec le patient, qui permet l’ouverture du « télédossier ». En cas d’urgence vitale ne permettant pas le recueil du consentement, le professionnel de santé donne les soins qui s’imposent compte tenu de l’état du patient, conformément aux dispositions de l’article 16-3 du code civil. Le motif justifiant l’impossibilité de recueillir  son consentement à l’acte de télémédecine rendu nécessaire par son état de santé sera précisé au sein d’un champ spécifiquement prévu (champ intitulé « non recueilli avec motifs »). Les droits d’accès, de rectification
et d’opposition s’exercent auprès du médecin en contact avec le patient ou auprès du médecin de l’hébergeur de données de santé agréé choisi par le GCS. En cas d’archivage des données, ces droits s’exercent auprès du médecin de l’hébergeur.
Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants. Le contrôle des accès aux dossiers des patients se fait par une carte CPS ou par identifiant et un mot de passe couplé à un certificat électronique. Le mot de passe est composé de huit caractères comprenant au moins une majuscule, une minuscule, un chiffre et un caractère spécial. Il doit être modifié par l’utilisateur dès sa première connexion, puis tous les six mois. La Commission rappelle que les mots de passe ne doivent pas être conservés en clair en base de données. Elle recommande ainsi de conserver uniquement le résultat de la fonction de hachage HMAC à clé secrète sur le mot de passe.La Commission considère que le maintien d’un système d’authentification par login et mot de passe (ne présentant pas un niveau de sécurité équivalent à la carte CPS) alors même qu’un système d’authentification par carte CPS est mis en place apparaît de nature à affaiblir la sécurité du système d’information dans la mesure où les garanties qui s’attachent à l’utilisation d’une carte CPS s’en trouvent amoindries.Elle rappelle, en outre, que l’authentification des professionnels de santé par login et mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose ensuite une authentification forte des professionnels de santé par
l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. La Commission souhaite que les professionnels de santé concernés par ce dispositif s’y conforment.Les administrateurs et le responsable de site s’authentifient par l’utilisation d’un mot de passe disposant au minimum de huit caractères, comportant au moins trois types de caractères. La Commission demande à ce que ces administrateurs utilisent des mots de passe disposant d’un minimum de dix  caractères.Les accès à l’application font l’objet d’une journalisation répertoriant l’identité du dossier, l’action, l’auteur et l’horodatage.Ces traces font l’objet d’une analyse mensuelle afin de détecter des comportements déviants ou anormaux. En cas de détection d’un tel comportement, le GCS est prévenu et le compte de l’utilisateur est provisoirement suspendu. En cas de problème, notamment technique, les professionnels de santé et utilisateurs de l’application ont la possibilité de faire appel à des techniciens. Ceux-ci ont la possibilité de prendre en main à distance l’ordinateur des professionnels de santé demandeurs. Pour cela, le professionnel de santé doit cliquer sur un bouton, puis le technicien communique oralement un code d’activation généré lors de la demande. A tout moment, la connexion peut être interrompue par le professionnel de santé.Les conversations téléphoniques ainsi que
l’activité des écrans du technicien et du demandeur sont enregistrées. Ces données sont conservées trois mois. Le transport des données est sécurisé par l’utilisation d’un réseau privé virtuel ainsi que par l’utilisation de liens dédiés sécurisés ou de protocoles réseau sécurisés (notamment HTTPS).Une formation des utilisateurs à la sécurité est mise en place.Les données sont sauvegardées deux fois par jour. Ces sauvegardes ne sont pas chiffrées. La Commission estime nécessaire de chiffrer les sauvegardes de données.Enfin, la Commission rappelle qu’une procédure doit être mise en œuvre afin de résoudre les incidents, tels qu’une violation de données à caractère personnel, dans les meilleurs délais.Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement 
Le responsable de traitement doit s’assurer que le traitement est opéré dans des conditions conformes aux dispositions législatives et règlementaires applicables, notamment celles des articles L. 1111-8 et R. 6316-10 du code de la santé publique relatifs à l’hébergement des données de santé. 
Autorise, conformément à la présente délibération, le Groupement de coopération sanitaire (GCS) e-Santé Bourgogne à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE PIERROTIN