AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 2142180)
La Commission nationale de l'informatique et des libertés,
Saisie par le GCS Normand’e-santé d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’utilisation d’un dispositif de télésurveillance médicale dénommé « SCAD IC » ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8 et  L. 6316-1 et R. 6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu la loi n° 2017-1836 du 30 décembre 2017 de financement de la sécurité sociale pour 2018, notamment son article 54 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 6 décembre 2016 portant cahiers des charges des expérimentations relatives à la prise en charge par télésurveillance mises en œuvre sur le fondement de l’article 36 de la loi n° 2013-1203 de financement de la sécurité sociale pour 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement ; 
Formule les observations suivantes :
Responsable du traitement
Normand’e-santé est un groupement de coopération sanitaire (GCS) reconnu comme l’opérateur préférentiel pour la mise en œuvre de la politique régionale d’e-santé. Il propose à ses membres une plateforme régionale de télésanté « Therap-e » pour le suivi des pathologies chroniques.
Sur la finalité
Le traitement de données à caractère personnel généré par  l’utilisation de « SCAD IC » a notamment pour objectif la réalisation d’actes de télésurveillance médicale à domicile des personnes atteintes d’insuffisance cardiaque chronique. Il intègre les fonctionnalités suivantes :
un système de recueil des mesures du patient grâce à une balance, à un tensiomètre et à une tablette connectés par Bluetooth ;
un algorithme pour traiter les mesures recueillies et les questions / réponses quotidiennes posées au patient sur son état de santé ;
une plateforme web, à laquelle accèdent les professionnels de santé et les patients, et intégrant un espace de suivi des patients et d’échange direct entre les professionnels de santé et les patients.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de                       l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la Commission les traitements de données de santé qui contiennent, comme en l’espèce, le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR) à des fins de remboursement.
Sur les données traitées
Concernant les patients, sont traités  des données d’identification, sur la vie personnelle, de connexion, de santé et le NIR. La Commission constate que l’identifiant national de santé calculé (INS-C) est collecté. Elle rappelle, à ce titre, qu’un responsable de traitement peut utiliser le NIR comme identifiant national de santé (INS) et qu’en toute hypothèse, l’utilisation de l’INS doit intervenir au plus tard dès la parution du référentiel. La Commission relève, en outre, que la photographie du patient est traitée mais qu’elle n’est pas nécessaire ; elle demande à ce que cette dernière ne soit pas collectée.
Concernant les professionnels de santé participant à l’acte de télésurveillance, sont traitées  des données d’identification, de connexion, la spécialité et les coordonnées du professionnel.
 
Concernant l’acte de télésurveillance, sont traités les actes réalisés dans le cadre de la télésurveillance, le compte-rendu de l’acte de télésurveillance, l’identité des professionnels de santé participant à l’acte, les prescriptions médicales, la date de début, la durée et la période d’interruption de l’acte, les questions / réponses sur l’état de santé du patient, les échanges écrits entre le patient et les professionnels de santé, le cas échéant les incidents techniques survenus au cours de l’acte.
Sous réserve de la photographie du patient, la Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires
Les destinataires des données sont les professionnels de santé  de l’équipe médicale et paramédicale intervenant dans le dispositif de télésurveillance médicale, les personnels du GCS Normand’e-santé, l’hébergeur, le prestataire de service en charge de l’installation du dispositif et de la hotline technique et, pour les établissements de santé, les gestionnaires des données de facturation et les médecins DIM. Tous accèdent aux données dans la limite de leurs attributions respectives.
La Commission demande à ce que la prescription nécessaire à la facturation à la caisse primaire d’assurance maladie de l’utilisation de « SCAD IC » soit envoyée par le patient au GCS Normand’e-santé.
Sur l’information et le droit d’accès 
Le patient dispose d’une information orale délivrée par le médecin prescripteur et par l’équipe médicale et paramédicale intervenant dans la mise en œuvre du dispositif de télésurveillance.
Une information écrite est également faite dans un document  intitulé « consentement éclairé ». Ce document porte sur le dispositif de télésurveillance et ses conséquences sur le traitement des données. Il est remis au patient par le médecin prescripteur.
La Commission demande à ce que ce document soit modifié pour intégrer les points suivants :
les dispositions sur l’information du patient doivent précéder celles sur le recueil du consentement ;
une dissociation doit être faite entre l’information sur le déroulement de la prise en charge en télésurveillance et le traitement de données de santé qui en découle ;
l’information sur le traitement doit reprendre les mentions de l’article 32 de la loi du 6 janvier 1978 modifiée ;
la destruction ou l’anonymisation irréversible des données archivées, à l’expiration du délai de conservation, doit être expressément prévue ;
le droit d’opposition du patient doit être expressément mentionné.
Le consentement du patient est recueilli oralement. Le recueil du consentement est tracé par écrit par le médecin prescripteur.
Les droits d’accès et de rectification tels que reconnus par la loi du 6 janvier 1978 sont précisés dans le document de recueil du « consentement éclairé ». Ils s’exercent directement par le patient auprès de l’équipe médicale et paramédicale intervenant dans la mise en œuvre du dispositif de télésurveillance. 
Sur les mesures de sécurité
Concernant les habilitations : des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Les permissions d'accès sont supprimées pour tout utilisateur n'étant plus habilité. La Commission rappelle qu’une revue globale des habilitations doit être est opérée annuellement. Des habilitations spécifiques sont prévues pour le personnel non professionnel de santé, afin qu'il ne puisse avoir accès aux données de santé des patients. Toutefois, la Commission prend acte de ce qu’en cas de télémaintenance, après accord du professionnel de santé, un accès temporaire peut être effectué sur des données de santé.
Concernant le contrôle des accès : chaque utilisateur dispose d'un identifiant qui lui est propre. En cas d’oubli du mot de passe principal, le processus de réinitialisation s’opère via la messagerie électronique. Conformément aux obligations découlant de l'article 34 de la loi du 6 janvier 1978, le responsable de traitement impose une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. Du fait de la mobilité des médecins et de la diversité des équipements à leur disposition pour l’accès à la plateforme, un dispositif alternatif à la CPS est mis en place par une authentification forte avec un identifiant, un mot de passe et un mot de passe à usage unique (code adressé par SMS ou messagerie électronique). En cas de difficulté liée à l’utilisation de la CPS, il est prévu une authentification alternative par un identifiant et un mot de passe, couplés à l’installation d’un certificat logiciel sur le poste de travail de l’utilisateur. Ces deux dernières modalités d’authentification, par identifiant et mot de passe couplés à un mot de passe à usage unique ou certificat logiciel, sont également mises en œuvre pour les administrateurs ne disposant pas de CPS. Les patients sont authentifiés sur l’application installée sur leur tablette par le recours à un identifiant et un mot de passe de
quatre caractères, couplés à un certificat installé sur l’appareil. Le responsable de traitement a mis en œuvre une politique de mots de passe conforme aux  délibérations n° 2017-012 du 19 janvier 2017 et n° 2017-190 du 22 juin 2017 portant recommandations relatives aux mots de passe.
Concernant les transferts de données : les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Le responsable de traitement a recours au protocole SSL, qui permet de garantir la confidentialité des données échangées ainsi que l'authentification du responsable de traitement. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible.
Des mesures sont prévues pour assurer le cloisonnement du traitement.
Concernant la traçabilité : une journalisation des opérations de consultation, création et modification des données est mise en place. La durée de conservation des journaux de six mois est conforme aux préconisations de la Commission.
Concernant le stockage des données : la Commission prend acte de ce que les données ne sont pas conservées sur le terminal mis à disposition du patient. L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé conformément aux dispositions des articles        R. 1111-10 et suivants du code de la santé publique.
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par le GCS Normand’e-santé est conservé pendant dix ans après la fin du suivi des patients en télésurveillance.
La Commission demande la destruction des données à l’expiration du délai d’archivage ou leur anonymisation de manière irréversible.
Autorise, conformément à la présente délibération, le GCS Normand’e-santé à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(Demande d’autorisation n° 2024925)
La Commission nationale de l'informatique et des libertés,
Saisie par le groupe ALSTOM d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment son article L. 634-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-3° et 25-I-4° ;
Vu la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique ;
Vu la loi n° 2017-399 du 27 mars 2017 relative au devoir de vigilance des sociétés mères et des entreprises donneuses d'ordre ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-191 du 22 juin 2017 portant modification de la délibération n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004) ;
Vu la délibération n° 2017-190 du 22 juin 2017 portant modification de la recommandation relative aux mots de passe ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté le 22 juin 2017 une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004). 
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du champ d’application du dispositif.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Responsable du traitement
ALSTOM est groupe spécialisé dans la conception de systèmes, équipements et services pour le secteur du transport.
Sur la finalité
Le groupe ALSTOM a déposé un dossier de demande d’autorisation préalablement à la mise en place d’un dispositif d’alerte.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-3° et 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant notamment sur des données relatives aux infractions, sauf ceux qui sont mis en œuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées, ainsi que les traitements  automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
La Commission rappelle qu’un dispositif d’alerte doit, de façon générale, être limité dans son champ d’application et que son utilisation doit demeurer facultative et complémentaire par rapport aux autres voies de remontée de réclamations des salariés.
En l’espèce, le dispositif d’alerte est mis en œuvre par le groupe ALSTOM afin de permettre à l’ensemble des membres du personnel ainsi qu’aux collaborateurs extérieurs et occasionnels de l’ensemble du groupe de signaler un manquement potentiel ou avéré, relatifs à :
un crime ou un délit ;
une violation grave et manifeste d'un engagement international régulièrement ratifié ou approuvé par la France ;
une violation grave et manifeste d'un acte unilatéral d'une organisation internationale pris sur le fondement d'un engagement international régulièrement ratifié ;
une violation grave et manifeste de la loi ou du       règlement ;
une menace ou un préjudice graves pour l'intérêt général, dont l’émetteur de l’alerte a eu personnellement connaissance ;
l'existence de conduites ou de situations contraires au code d’éthique du groupe, concernant des faits de corruption ou de trafic d’influence, le non-respect d’un pouvoir ou d’une délégation de pouvoir, les actes pouvant altérer les conditions de vie au travail, les problèmes relatifs à la qualité et aux malfaçons, à l’utilisation des réseaux sociaux (dénigrement de l’image de l’entreprise via les réseaux sociaux), les abus de biens sociaux, les dégradations physiques.
Ce dispositif pourra également être utilisé pour effectuer les signalements auprès de l’Autorité des marchés financiers et de l’Autorité de contrôle prudentiel et de résolution, visés à l’article L. 634-1 du code monétaire et financier.
Ce mode de signalement ne se substitue pas à la remontée hiérarchique classique, en ce qu’il constitue un canal de signalement alternatif pour les personnes ne souhaitant pas emprunter la voie habituelle de signalement. 
En application du devoir de vigilance, ce dispositif permet également à quiconque de signaler des risques d’atteintes graves envers les droits humains et les libertés fondamentales, la santé et la sécurité des personnes ainsi que l'environnement, résultant des activités de la société et de celles des sociétés qu'elle contrôle au sens du II de l'article L. 233-16, directement ou indirectement, ainsi que des activités des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie, lorsque ces activités sont rattachées à cette relation. Dans certaines situations, le dispositif est susceptible de permettre d’identifier les auteurs à l’origine des risques susvisés.
La Commission constate que le dispositif qui lui est présenté est limité dans son champ d’application, qu’il est facultatif et mis en œuvre en application de dispositions légales incombant à l’organisme. 
Elle considère, dès lors, que les finalités du traitement sont en l’espèce déterminées, explicites et légitimes.
Sur les données traitées
Les catégories de données collectées sont les suivantes :
- l’identité, les fonctions et les coordonnées de l'émetteur de l'alerte ;
- l’identité, les fonctions et les coordonnées des personnes faisant l'objet d'une alerte ;
- l’identité, les fonctions et les coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ;
- les faits signalés ;
- les éléments recueillis dans le cadre de la vérification des faits signalés ;
- le compte rendu des opérations de vérification ;
- les suites données à l'alerte.
La Commission estime que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le responsable de traitement.
S’agissant du traitement de l’identité de l’émetteur de l’alerte, la Commission considère que l’obligation de s’identifier pour l’émetteur de l’alerte est de nature à limiter les risques de mise en cause abusive ou disproportionnée de l’intégrité professionnelle, voire personnelle, des personnes concernées.
La Commission prend acte qu’en l’espèce, le responsable de traitement s’engage, en cas d’alerte anonyme, à traiter cette dernière de façon différenciée. Les alertes anonymes peuvent en effet être traitées lorsque la gravité des faits le justifie, en présence d’éléments factuels suffisamment détaillés et, enfin, à condition de prendre des précautions particulières, telles qu'un examen préalable par son premier destinataire de l'opportunité de sa diffusion dans le cadre du présent dispositif.
Sur les destinataires
S’agissant des modalités de signalement, la Commission prend acte du fait que tout collaborateur du groupe ALSTOM peut déclencher la procédure par voie téléphonique ou via une plateforme en ligne.
Si l’alerte est émise par téléphone, elle est recueillie par un prestataire externe qui se charge de l’enregistrer sur la plateforme en ligne. Si l’alerte est émise via l’outil en ligne, elle est directement enregistrée sur la plateforme.
L’accès à cette plateforme est restreint aux six personnes intervenant dans le traitement des alertes : le Directeur Juridique d’ALSTOM, le Directeur Ethique et Conformité, le Directeur Audit et Contrôle Interne, un Auditeur ALSTOM Audit et Conformité spécialisé dans le traitement des alertes et faisant partie de l’équipe du Directeur Audit et Contrôle Interne, ainsi que deux Responsables Ethique et Conformité.
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.
Elle rappelle que ces personnes doivent toutes être astreintes à une obligation renforcée de confidentialité, contractuellement définie.
Sur l’information et le droit d’accès 
La Commission rappelle que les institutions représentatives du personnel doivent avoir été informées et consultées, préalablement à la décision de mise en œuvre dans l'entreprise, sur le dispositif d’alerte et sur les modalités de sa mise en œuvre.
Les salariés sont informés du dispositif, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée :
par voie d’affichage au sein des établissements ;
via des actions de sensibilisation et de formation ;
via la communauté des «ambassadeurs éthiques et conformité» présents dans les établissements.
Ils sont également informés que l’utilisation de bonne foi du dispositif, même si les faits s’avèrent par la suite inexacts ou ne donnent lieu à aucune suite, n’expose son auteur à aucune sanction, mais que l’utilisation abusive du dispositif peut en revanche exposer son auteur à des sanctions disciplinaires et à des poursuites judiciaires.
Une personne mise en cause par un signalement est quant à elle informée de l’existence d’une alerte à son encontre et notamment des faits reprochés et des modalités d’exercice de ses droits d’accès et de rectification. Cette information intervient dès l’enregistrement de données à caractère personnel la concernant. Néanmoins, si des mesures conservatoires doivent être prises, notamment pour prévenir la destruction de preuves relatives à l’alerte, l’information de la personne intervient après l’adoption de ces mesures. 
Les droits d’accès, de rectification et d’opposition, prévus par les articles 38, 39 et 40 de la loi du 6 janvier 1978 modifiée, s’exercent quant à eux, auprès du département éthique et conformité par courriel.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes, décrites ci-dessus, sont satisfaisantes.
Sur les mesures de sécurité
Le responsable du traitement, en application de l’article 34 de la loi du 6 janvier 1978 modifiée, doit prendre toutes les précautions utiles pour préserver la sécurité des données collectées et traitées, au regard de la nature des données, des risques présentés par le traitement, et notamment empêcher que des tiers non autorisés y aient accès par l’intermédiaire de mesures de sécurité physiques, logiques et organisationnelles.
En l’espèce, la Commission relève l’existence de mesures de sécurité prises par le responsable de traitement.
Les utilisateurs s’authentifient ainsi avec un identifiant et un mot de passe de 8 caractères minimum renouvelé tous les 90 jours. La Commission recommande que la complexité des mots de passe soit renforcée conformément à ses recommandations.
Un mécanisme de gestion des habilitations permet, par ailleurs, de garantir que seules les personnes habilitées peuvent accéder aux données nécessaires à la réalisation de leurs missions. A cet égard, la Commission rappelle que la gestion des habilitations doit faire l’objet de procédures formalisées, validées par le responsable de traitement, portées à la connaissance des utilisateurs et être régulièrement mise à jour.
La Commission recommande qu’un mécanisme de journalisation des accès à l’application et des opérations effectuées soit mis en œuvre pour détecter d’éventuels accès ou opérations non souhaitées ou interdites.
Des mesures techniques adéquates garantissent la sécurité des données stockées ou échangées, en particulier lors des échanges opérés par l’intermédiaire d’un réseau non sécurisé tel qu’Internet.
Enfin, des mesures nécessaires permettent d’assurer la maintenance du matériel et sa mise au rebut dans des conditions de sécurité satisfaisantes, en particulier s’agissant de l’absence de données à caractère personnel stockées dans les matériels remisés.