AgentPublic/cnil huggingface dataset:
Il est prévu que le projet de décret soumis pour avis à la commission constitue un acte réglementaire unique, au sens du IV de l'article 26 de la loi du 6 janvier 1978 modifiée, permettant ainsi la déclaration de plusieurs traitements de recherche de contamination ADN d'échantillons prélevés et analysés par les laboratoires de l'INPS et de I'IRCGN. Compte tenu du traitement de données biométriques, les traitements ORCA sont également soumis aux dispositions relatives à l'acte réglementaire unique prévu par l'article 27-III de la loi du 6 janvier 1978 modifiée.En vertu de ces dispositions, les traitements, qui répondent à une même finalité portent sur des catégories de données identiques et ont les mêmes destinataires, peuvent être autorisés par un acte réglementaire unique. Chacun de ces traitements doit être mis en œuvre conformément à la description qui figure dans ce texte réglementaire et doit faire l'objet d'un engagement de conformité, préalablement adressé à la Commission nationale de l'informatique et des libertés.Dans la mesure où les conditions formelles prévues à l'article 26-IV de la loi du 6 janvier 1978 modifiée sont remplies en l'espèce, la commission prend acte du régime juridique projeté concernant les traitements  ORCA . La mise en œuvre de chaque traitement pour chaque laboratoire relevant de l'INPS et de l'IRCGN devra ainsi être précédée de l'envoi d'un engagement de conformité faisant référence au présent décret.Toutefois, la commission souhaite que le
projet de texte examiné soit modifié afin de rappeler cette obligation, par l'insertion d'un article spécifique dans le projet de décret.A cet égard, la commission constate que l'acte réglementaire unique projeté permettra de simplifier les démarches de déclaration des traitements ORCA, poursuivant les mêmes finalités et traitant des mêmes catégories de données et de destinataires.
Sur la finalité des traitements
L'article 1er du projet de décret prévoit la mise en œuvre de traitements de données à caractère personnel ayant pour finalité  d'identifier, lors des analyses génétiques effectuées par les laboratoires de police technique et scientifique, à la demande des autorités judiciaires et des services de police et des unités de gendarmerie, une éventuelle contamination des échantillons analysés , finalité prévue à l'article 706-56 du code de procédure pénale.Conformément à ces dispositions, les laboratoires de l'INPS et de l'IRCGN sont requis pour effectuer une identification par analyse d'empreinte génétique, sur demande d'un officier de police judiciaire, d'un procureur de la République ou d'un juge d'instruction.Cependant, lors des manipulations techniques d'un échantillon biologique en cours d'analyse réalisées par un personnel dûment habilité au sein d'un laboratoire relevant de l'INPS ou de l'IRCGN, un risque de contamination de cet échantillon est envisageable. Dans cette hypothèse, l'identification de la personne mise en cause ou dont l'échantillon biologique a été prélevé sur une scène d'infraction peut être perturbée ou entraîner un résultat erroné.Dès lors, la finalité du traitement consiste à réduire les risques d'erreur d'identification. Pour cela, les traitements  ORCA  conservent les profils génétiques de tous les personnels susceptibles d'être en contact avec les échantillons dans les laboratoires. Une fois l'identification de la personne par son empreinte génétique
effectuée, le résultat est comparé avec la base  ORCA  afin de vérifier que le résultat n'est pas erroné. Dans le cas contraire, l'échantillon est exclu afin de ne pas fausser les résultats des analyses et ainsi les résultats de l'enquête judiciaire en cours.Ainsi, chaque laboratoire de l'INPS et de l'IRCGN disposera d'un traitement  ORCA  interne et indépendant, contenant les profils génétiques de tous les employés ainsi que des visiteurs afin de s'assurer qu'aucune contamination n'a eu lieu.La commission prend acte de ce que les traitements  ORCA  seront mis en œuvre par chaque laboratoire relevant de l'INPS et de l'IRCGN de manière indépendante. Les traitements  ORCA  ne seront pas interconnectés entre eux, ni avec le fichier national des empreintes génétiques (FNAEG).La commission prend acte que les traitements  ORCA  ne seront pas utilisés à d'autres fins, tout particulièrement aux fins de contrôle de la qualité du travail des employés du laboratoire.
Sur la nature des données traitées
Les données à caractère personnel collectées portent sur les personnels scientifiques et administratifs amenés à être en contact avec les scellés et les échantillons analysés au sein des laboratoires de l'INPS et de l'IRCGN, ainsi que sur les visiteurs desdits laboratoires. Il s'agit en effet de collecter les données concernant toutes les personnes potentiellement en contact avec les échantillons biologiques.L'article 2 du projet de décret énumère les catégories de données collectées, à savoir les données d'identification des personnes concernées (nom, prénom, fonction et, le cas échéant, la date de présence ou de passage dans les locaux) ainsi que leur profil génétique.A l'instar des empreintes génétiques conservées au sein du FNAEG, les profils génétiques établis au sein des fichiers  ORCA  seront réalisés à partir de segments d'acide désoxyribonucléique non codants, à l'exception du segment correspondant au marqueur du sexe, et ce conformément aux dispositions de l'article 706-54 du code de procédure pénale.En outre, le numéro d'affaire lié à l'échantillon analysé est traité afin de permettre au laboratoire, dans le cadre d'une démarche qualité, de perfectionner son fonctionnement et d'éviter des contaminations ultérieures, en identifiant par exemple la manière dont a été contaminé l'échantillon.Par ailleurs, les profils génétiques des personnes et les numéros d'affaires issus des échantillons analysés dans le cadre d'une procédure antérieure à la mise en œuvre du
traitement et datant de moins de dix-huit mois sont également traités au sein des traitements  ORCA .Comme le précise le dossier technique présenté à l'appui du projet de décret, les traitements  ORCA  sont composés de deux bases de données distinctes qui ne sont pas interconnectées. Ainsi, les données relatives aux profils génétiques des personnels et des analyses antérieures enregistrées dans ORCA sont séparées des données d'identification de ces personnes.La commission considère que les données collectées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par les traitements  ORCA , conformément aux dispositions de l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.
Aux termes de l'article 3 du projet de décret, les données enregistrées dans les fichiers  ORCA  seront conservées dix-huit mois. Pour le ministère, ce délai correspond à l'estimation raisonnable de la persistance d'un acide désoxyribonucléique contaminant. Au-delà de celui-ci, le risque de contamination d'un échantillon serait en effet faible, tout autant que la possibilité de révéler une contamination à la suite d'un événement extérieur, tel qu'une pollution à l'intérieur d'un lot de consommables utilisés aux fins d'analyses par exemple.Au-delà de cette durée de conservation, il est prévu que l'effacement des données soit réalisé de manière automatique. Toutefois, pour certains laboratoires de l'INPS, le ministère a indiqué que l'effacement des données serait effectué manuellement. La commission invite donc le ministère à prendre toutes les mesures nécessaires pour automatiser, dans les meilleurs délais, l'effacement des données dans tous les laboratoires disposant d'un traitement  ORCA .Par ailleurs, la commission souligne que les échantillons d'ADN seront systématiquement incinérés selon des protocoles conformes aux dispositions applicables en matière de destruction de matériels biologiques humains, dès la réalisation du profil génétique de la personne prélevée.La commission considère que cette durée de conservation est nécessaire au regard de la finalité poursuivie par les traitements de données à caractère personnel  ORCA  conformément aux dispositions de l'article 6
(5°) de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données
L'article 4 du projet de décret précise que seuls les agents habilités à réaliser les analyses génétiques de chaque laboratoire auront accès aux données liées aux profils génétiques des personnes enregistrées au sein des traitements  ORCA . Les experts habilités à déterminer des profils génétiques et les personnels qualifiés les assistant n'auront accès au traitement  ORCA  interne de leur laboratoire qu'aux fins de vérifier si une empreinte génétique y est enregistrée. Cependant, ces personnels n'auront pas accès aux données nominatives enregistrées dans le traitement.Ces données d'identification des personnes et le numéro de l'affaire correspondant sont accessibles uniquement aux agents spécifiquement habilités à cet effet par le directeur du laboratoire dans lequel se trouve le traitement. Ces personnes auront ainsi accès manuellement aux données d'identification des personnes afin de leur permettre, uniquement en cas de contamination avérée, de relier un profil génétique à une identité réelle.La commission prend acte qu'aucune autre personne n'aura accès aux informations contenues dans les traitements  ORCA , pour quelle que soit la finalité.
Sur les droits des personnes
Conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées seront informées de leurs droits par une lettre d'information. Celle-ci précise que les traitements  ORCA  ne sont pas anonymes et informent les personnels et visiteurs des modalités d'exercice de leurs droits d'accès et de rectification, ainsi que de la nécessité de recueillir leur consentement préalable. L'information délivrée au sein de cette annexe répond ainsi aux exigences des dispositions de la loi informatique et libertés.Cependant, compte tenu de la relation de subordination qui prévaut entre le salarié et son employeur, le consentement des personnels des laboratoires ne peut pas être considéré comme un consentement libre et éclairé et ce même si le ministère précise que le refus de prélèvement et d'enregistrement de données n'entraînerait aucune sanction, à l'exception du fait que la personne n'aurait pas la possibilité de pénétrer dans les locaux des sections de biologie des laboratoires. La commission rappelle en outre que le recueil du consentement de ces personnes, au sens de l'article 7-3° de la loi du 6 janvier 1978 modifiée, n'est pas nécessaire dans la mesure où les laboratoires de la police et de la gendarmerie nationales sont investis d'une mission de service public. La commission prend néanmoins acte de la volonté du ministère de l'intérieur d'obtenir, dans une démarche positive, le plein accord des personnes concernées. Elle estime de même légitime, au vu de la
finalité assignée aux traitements  ORCA , que leur droit d'opposition soit écarté.L'exercice des droits d'accès et de rectifications aux données traitées dans ORCA s'effectue de manière directe auprès des directeurs des instituts de l'INPS et de l'IRCGN, en application des articles 39 et 40 de la  loi informatique et libertés .Enfin, la commission prend acte que, sur le fondement du dernier alinéa de l'article 38 de ladite loi, leur droit d'opposition est écarté par le projet de décret.
Sur la sécurité des données et la traçabilité des actions
L'article 5 du projet de décret prévoit que les consultations des traitements  ORCA  feront l'objet d'un enregistrement comprenant l'identification du consultant, la date et l'heure de la consultation ainsi que l'objet de la consultation. Ces informations seront conservées trois ans. La commission prend acte que cette traçabilité est mise en œuvre pour toutes les opérations affectant les données enregistrées dans les fichiers  ORCA .Aucune analyse automatisée des traces n'est cependant prévue. A cet égard, la commission rappelle que les traces doivent être régulièrement exploitées afin de détecter d'éventuelles consultations indues de ces traitements.Les traitements  ORCA  ne sont pas interconnectés entre eux. Cependant, les laboratoires relevant de I'INPS et de l'IRCGN disposent d'une infrastructure informatique globale sécurisée, à savoir le réseau général de transport du ministère de l'intérieur, assurant ainsi un niveau de protection suffisant et homogène avec les autres traitements mis en œuvre par le ministère.Les accès aux traitements  ORCA  se feront par l'utilisation d'un identifiant et d'un mot de passe personnel. A cet égard, la commission rappelle que, pour être conforme aux dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée, la gestion de ces accès doit respecter les principes suivants :- chaque utilisateur doit disposer d'un identifiant qui lui est propre ;- les mots de passe doivent être obligatoirement modifiés après leur réinitialisation ;-
ces mots de passe doivent comprendre a minima huit caractères de types différents (majuscules, minuscules, chiffres et caractères spéciaux) et être modifiés régulièrement (par exemple tous les trois mois).
La Commission nationale de l'informatique et des libertés, Saisie par l'Agence des Systèmes d'Information Partagés de Santé d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre du service national de  Messagerie Sécurisée de Santé  ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le code de la santé publique, notamment ses articles L. 1110-4 et L.1111-8;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1° ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'arrêté du 6 février 2009 portant création d'un traitement de données à caractère personnel dénommé  Répertoire partagé des professionnels de santé  (RPPS) ;Vu l'arrêté du 12 juillet 2012 relatif à la mise en place d'un traitement de données à caractère personnel dénommé ADELI de gestion de l'enregistrement et des listes départementales de certaines professions et usages de titres professionnels ;Après avoir
entendu M. Jean MASSOT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Formule les observations suivantes :
La Commission a été saisie d'une demande d'autorisation relative à la mise en œuvre par l'Agence des Systèmes d'Information Partagés de Santé (ASIP Santé) des traitements de données à caractère personnel qui seront nécessaires à la mise en œuvre du service national de  Messagerie Sécurisée de Santé  (MSS).
La Commission a également été saisie pour avis par le ministre de la santé, conformément aux dispositions de l'article R. 1111-10 du code de la santé publique, de la demande d'agrément présentée par la société BT Services, à laquelle l'ASIP Santé a fait appel pour l'hébergement de la MSS.
Sur la finalité, le périmètre et les principes de fonctionnement de la MSS
Sur la finalité du traitement
Le traitement a pour finalité le déploiement d'un service de messagerie permettant, entre professionnels de santé participant à la prise en charge d'un patient, l'échange sécurisé des données de santé le concernant nécessaire à la continuité des soins ou à la détermination de la meilleure prise en charge sanitaire possible.
Le déploiement d'une messagerie sécurisée de santé constitue une composante importante de la Politique Générale de Sécurité des Systèmes d'Information de Santé (PGSSI-S). Cette messagerie est une priorité pour les pouvoirs publics et les ordres professionnels qui souhaitent voir les professionnels de santé disposer d'un outil garantissant la sécurité et la confidentialité lors d'échanges de données de santé à caractère personnel.
Actuellement, ces échanges dématérialisés entre professionnels de santé s'opèrent de façon usuelle par le biais de messageries électroniques standard mises à la disposition du public par les fournisseurs d'accès internet, qui ne présentent pas de garanties de sécurité et de confidentialité suffisantes, au regard du caractère sensible des données de santé à caractère personnel échangées.
Le service MSS, qui s'appuie sur le cadre national d'interopérabilité des systèmes d'information, a vocation à créer un  espace de confiance  destiné à la communauté des professionnels de santé précisément identifiés. Le service est en effet réservé aux professionnels de santé enregistrés au sein du Répertoire Partagé des Professionnels de Santé (RPPS) ou du répertoire ADELI qui seront seuls en mesure de l'utiliser.
L'ASIP Santé a défini la finalité de cette messagerie et les moyens à mettre en œuvre pour y parvenir, en particulier par la définition des conditions imposées au candidat hébergeur. Elle est considérée comme responsable des traitements nécessaires à la mise en œuvre de la MSS. 
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur le périmètre du dispositif
La MSS devrait être mise en œuvre selon une trajectoire développée par étapes. L'ASIP Santé a identifié trois versions du service MSS correspondant à ces différentes étapes :- la première version du service correspond à la mise à disposition de la MSS via une interface de type Webmail qui rend possible l'émission, la consultation et la manipulation de courriers électroniques directement sur le Web (V1) ;- la deuxième version du service ouvre la MSS aux logiciels de gestion du courrier électronique proposant des fonctionnalités complexes et un traitement autonome du courrier (Lotus Note, Microsoft Outlook, Mail Apple, Mozilla Thunderbird...). Cette version de la MSS permet notamment l'interfaçage de la messagerie avec les logiciels de professionnels de santé. Elle permet également la prise en compte au sein de la MSS des domaines de messagerie des structures de soins qui décideraient d'héberger elles-mêmes leur serveur de messagerie (V2) ;- la troisième version du service permettra l'hébergement de domaines de messagerie des structures de soins ne disposant pas de leur propre infrastructure, la gestion des listes de diffusion et des alertes sanitaires, la gestion avancée des boîtes aux lettres (délégation, partage). Cette troisième version du service a également vocation à permettre l'alimentation du Dossier Médical Personnel (DMP) par messagerie (V3).
La Commission prend acte de ce que la présente demande d'autorisation porte sur la première et la deuxième version de la MSS (V1 et V2), à l'exclusion de toute alimentation du Dossier Médical Personnel par messagerie. De nouvelles demandes d'autorisation devront être déposées sur ce point auprès de la Commission et devront notamment préciser les moyens permettant d'assurer l'alimentation du DMP dans le respect du cadre juridique, des droits des personnes et des règles de sécurité. 
Sur les principes de fonctionnement de la Messagerie Sécurisée de Santé :
La MSS est un  espace de confiance  s'appuyant sur des protocoles et des outils standard et reconnus, qui permettent d'offrir un service de messagerie analogue aux messageries utilisées aujourd'hui quotidiennement. Toutefois, à la différence des messageries standard, la MSS fonctionne en vase clos. Les échanges de courriels en son sein ne peuvent s'effectuer qu'entre professionnels de santé authentifiés dans l'  espace de confiance , de sorte qu'il n'est possible d'envoyer des messages qu'à des destinataires disposant également d'un compte de messagerie au sein de la MSS.
La MSS, dans sa première version, sera hébergée auprès d'un organisme agréé, sur la candidature duquel la Commission doit également se prononcer, conformément aux dispositions de l'article L.1111-10 du Code de la santé publique.
A l'instar des messageries standard, la MSS met en œuvre des fonctionnalités d'authentification des utilisateurs et de chiffrement des données lors de leur transmission par des réseaux publics (internet).
L'ensemble des adresses de messagerie est enregistré dans un annuaire de publication qui permet d'associer une boîte aux lettres (BAL) à son propriétaire. Cet annuaire contient pour l'ensemble des professionnels de santé les données les concernant communicables au public au sens des deux arrêtés du 6 février 2009 et du 12 juillet 2012. Cela permettra de faciliter la recherche des professionnels de santé disposant d'une BAL au sein de la MSS.
L'accès à l'interface Webmail, ouvert aux propriétaires de BAL, s'effectue au moyen de la carte CPS ou d'un mode d'authentification forte alternatif.
Le service MSS est également mis à disposition des clients de messagerie et logiciels de professionnels de santé. Il est par ailleurs ouvert aux responsables de domaines de messageries externes hébergés au sein des structures de soins.
Les principales fonctions de messagerie sont :- la composition et l'envoi de messages texte ou html vers un ou plusieurs destinataires, avec ou sans pièces jointes ;- la gestion d'un carnet d'adresses ;- la consultation des messages reçus ;- la suppression des messages ;- la gestion de dossiers ;- le déplacement ou la copie d'un message d'un dossier à l'autre.
Sur la nature des données traitées :
Le traitement porte sur les données à caractère personnel relatives aux professionnels de santé utilisateurs finaux du service et sur les données à caractère personnel, notamment relatives à la santé, des patients qu'ils prennent en charge et à propos desquels un échange d'informations est nécessaire.
S'agissant des professionnels de santé, utilisateurs finaux de la MSS, seront traitées les catégories de données suivantes :- les données d'identification (état civil, identifiant national de la personne physique), numéro d'enregistrement au répertoire partagé des professionnels de santé (RPPS), ou numéro d'enregistrement au répertoire ADELI ;- les coordonnées professionnelles (adresse, téléphone, adresse mail non MSS, etc) ;- le titre professionnel ;- les adresses de messagerie MSS créées.
S'agissant des personnes concernées par les données échangées entre utilisateurs finaux, seront traitées les catégories de données suivantes :- les données d'identification (nom, prénom, date et lieu de naissance, sexe), éventuellement l'identifiant national de santé ;- les coordonnées (adresse, numéro de téléphone, adresse mail) ;- les données de santé nécessaires à la prise en charge de la personne.
Les données d'identification des utilisateurs administrateurs du service seront également traitées (nom, prénom, et identifiant de la carte CPS le cas échéant).
La Commission considère que les données précitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires des données :
Les destinataires des données sont les professionnels de santé destinataires des messages échangés au sein du service MSS.
Seuls les professionnels enregistrés au RPPS ou dans le système d'information qui gère les cartes de professionnels de santé et les certificats (SI CPS) peuvent être destinataires de messages.
L'habilitation à consulter des données de santé ne peut être attribuée qu'à des personnes soumises au secret professionnel, et dans la stricte limite de leurs missions.
Les conditions générales d'utilisation de la MSS, auxquelles doit adhérer chaque utilisateur, rappellent aux professionnels de santé que le responsable de traitement ne peut contrôler le contenu des messages échangés et que les utilisateurs doivent se conformer, notamment aux dispositions en matière de confidentialité figurant à l'article L. 1110-4 du code de la santé publique relatives aux conditions d'échange de données de santé entre deux ou plusieurs professionnels de santé.
Les accès dans les conditions précitées n'appellent pas d'observations de la Commission.
Sur l'information, le recueil du consentement et les droits des personnes :
Sur l'information des patients et le recueil de leur consentement :