AgentPublic/cnil huggingface dataset:
La Commission relève que les données de connexion des agents sont utilisées afin de retracer l’historique de dysfonctionnements informatiques et n’ont pas pour objet de contrôler l’activité des agents.
Elle prend acte du fait que l’exercice des missions légales de l’inspection du travail nécessite le recueil de données liées à l’état de santé, à l’appartenance syndicale des salariés, aux infractions à la législation du travail et aux condamnations des personnes mises en cause en vue de la constitution de dossiers d’établissement contenus au sein de l’application de WIKI’T.
Elle relève également que seuls les médecins-inspecteurs du travail ont accès aux données concernant la santé des salariés.
Cependant, les inspecteurs du travail sont amenés à prendre connaissance des données portant sur l’état de santé des salariés et leurs conditions de travail.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires :
Les destinataires ou les catégories de destinataires de ces informations sont, dans la limite de leurs attributions et dans la mesure où ils sont concernés : 
les services de l’inspection du travail ;
les sections centrales « travail » ;
les directeurs départementaux et leurs adjoints ; 
les directeurs régionaux et leurs adjoints ainsi que les personnes dûment habilitées en administration centrale ;
les inspecteurs du travail de l’Autorité de Sûreté Nucléaire ;
les agents du bureau de la santé et de la sécurité au travail du ministère de l’Agriculture ;
les ingénieurs de prévention des DIRRECTE ;
les médecins inspecteurs du travail.
La Commission considère que ces destinataires ont un intérêt légitime à connaître de ces données.
Sur la durée de conservation des données :
Les durées de conservation prévues pour le présent traitement sont les suivantes :
pour les données liées à l’identité des contacts dans l’entreprise : cinq ans en l’absence de procédure pénale, administrative contentieuse ou de recours hiérarchique, dix ans en cas de procès-verbal d’infraction dressé par l’inspecteur du travail, de transaction pénale et jusqu’à extinction des voies et délais de recours en cas de procédure administrative contentieuse ou de recours hiérarchique ;
pour les données d’identification des salariés : cinq ans en l’absence de procédure pénale, administrative contentieuse ou de recours hiérarchique, dix ans en cas de procès-verbal d’infraction dressé par l’inspecteur du travail, de transaction pénale, et jusqu’à extinction des voies et délais de recours en cas de procédure administrative contentieuse ou de recours hiérarchique ;
pour les données liées à la situation professionnelle des salariés : cinq ans en l’absence de procédure pénale, administrative contentieuse ou de recours hiérarchique, dix ans en cas de procès-verbal d’infraction dressé par l’inspecteur du travail, de transaction pénale, et jusqu’à extinction des voies et délais de recours en cas de procédure administrative contentieuse ou de recours hiérarchique ;
pour les données liées aux accidents du travail : cinq ans en l’absence de procès-verbal d’infraction,  dix ans en cas de procès-verbal d’infraction dressé par l’inspecteur du travail ou de transaction pénale ;
pour les données liées aux maladies professionnelles : cinq ans en l’absence de procès-verbal d’infraction, trente ans en cas de procédure pénale ou de transaction pénale ;
cinq ans pour les données liées à l’appartenance syndicale, 10 ans si la personne concernée fait l’objet d’un procès-verbal d’infraction, en cas de transaction pénale et jusqu’à extinction des voies et délais de recours en cas de procédure administrative contentieuse ou de recours hiérarchique ;
pour les données portant sur l’identité des personnes habilitées accompagnant l’agent de contrôle lors d’une intervention : 5 ans ;
la durée de service de l’agent, pour les données portant sur l’identité des agents, le compte rendu mensuel d’activité et pour les données relatives aux activités hors section ;
une année pour les données de connexion.
La Commission considère, au vu des justifications apportées par la DGT, que ces durées de conservation n’excèdent pas la durée nécessaire aux finalités pour lesquelles les données sont collectées et traitées.
Sur l'information des personnes :
Les personnes concernées par le présent traitement sont informées du traitement, conformément à l’article 32 de la loi du 6 janvier modifiée.
La DGT s’engage à publier des mentions relatives au droit d’accès, de rectification et d’opposition pour motifs légitimes sur le portail web de chaque Direction régionale des entreprises de la consommation de la concurrence, du travail et de l'emploi (DIRECCTE).
Une mention d’information sera également apposée sur les convocations adressées aux salariés ou employeurs concernés.
Les droits d’accès, de rectification et d’opposition pour motifs légitimes s’exercent auprès du service d’inspection dont relève l’établissement concerné.
S’agissant des agents de la DGT et des DIRECCTE, ils sont informés du traitement à l’occasion de leur formation à l’utilisation de WIKI’ T et au sein de la charte d’utilisation de l’application.
Ils peuvent exercer leurs droits d’accès, de rectification et d’opposition pour motifs légitimes auprès de l’administrateur local du ministère du Travail.
La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
La Commission observe que le contrôle d’accès logique à l’application WIKI’T est effectué au moyen d’un compte utilisateur et par mot de passe (huit caractères minimum dont un caractère spécial et un chiffre).
Concernant l’authentification des personnes habilitées à l’accès au traitement, la Commission rappelle qu’elle recommande des mots de passe de huit caractères minimum avec des caractères de types différents (majuscules, minuscules, chiffres, caractères spéciaux) et un renouvellement régulier, tel que par exemple tous les six mois.
Concernant l’authentification des administrateurs, la Commission recommande des mots de passe de dix caractères minimum.
Les logiciels ou équipements informatiques font l’objet d’une télémaintenance (connexion distante sécurisée par VPN-IPSEC). La maintenance des matériels par un sous-traitant est faite en présence d’un informaticien de l’organisme.
La Commission prend acte du fait qu’une journalisation des accès à l’application est effectuée (horodatage de connexion, identifiants de l’utilisateur et du poste de travail) et que les journaux d’accès sont conservés durant une année glissante.
Sous réserve des observations de la Commission, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission autorise, conformément à la présente délibération, la Direction générale du travail à mettre en œuvre le traitement et abroge la délibération n° 2015-355 du 6 octobre 2015.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(Demande d’autorisation n° 2172356)
La Commission nationale de l'informatique et des libertés,
Saisie par la société « Tmm Software » d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’utilisation d’un dispositif de télésurveillance médicale dénommé « apTeleCare » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L. 1110-4, L. 1111-8 et                        L. 6316-1 et R.6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu la loi n° 2017-1836 du 30 décembre 2017 de financement de la sécurité sociale pour 2018, notamment son article 54 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 6 décembre 2016 portant cahiers des charges des expérimentations relatives à la prise en charge par télésurveillance mises en œuvre sur le fondement de l’article 36 de la loi n° 2013-1203 de financement de la sécurité sociale pour 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Tmm Software est une société par actions simplifiée, spécialisée dans le développement de solutions logicielles en e-santé. 
Sur la finalité
Le traitement de données à caractère personnel généré par l’utilisation d’« apTeleCare » a pour objectif la réalisation d’actes de télésurveillance médicale à domicile des patients atteints de tout type de pathologies (maladies rénales, diabète, insuffisance cardiaque, etc.), à travers la mise en place d’une solution intégrant les fonctionnalités suivantes :
un moteur de création et de personnalisation des protocoles médicaux appliqués aux patients ;
un portail web, auquel accèdent par le biais d’un espace personnel dédié les professionnels de santé et les patients, et intégrant les protocoles médicaux, les questionnaires adressés aux patients et les réponses apportées, les actions d’information et d’éducation thérapeutique menées auprès du patients, un accès au dossier électronique du patient, un tableau de bord de suivi du patient, les alertes générées et leur suivi, les échanges entre le professionnels et les patients via une messagerie sécurisée ;
une application mobile, à utiliser sur ordiphone ou sur tablette, à destination des patients, et permettant de renseigner et d’accéder à tous les éléments de suivi du patient.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la Commission les traitements de données de santé qui contiennent, comme en l’espèce, le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR) à des fins de remboursement. 
Sur les données traitées
Concernant les patients, sont traités des données d’identification, de connexion, de santé et le NIR.
Concernant les professionnels de santé participant à l’acte de télésurveillance et les autres professionnels accompagnant les professionnels de santé, sont traitées des données d’identification et de connexion.
Concernant l’acte de télésurveillance, sont  traités le compte-rendu de réalisation de l’acte de télésurveillance, l’identification des professionnels participant à l’acte, les questionnaires et protocoles médicaux, la date et l’heure de l’acte, la gestion d’une alerte et son suivi.
Sur les destinataires
Les destinataires des données sont les professionnels de santé intervenant dans le dispositif de télésurveillance médicale, les administrateurs de « Tmm Software », l’hébergeur. Ils accèdent aux données dans la limite de leurs attributions respectives.
La Commission demande à ce que la prescription nécessaire à la facturation à la caisse primaire d’assurance maladie d’« apTeleCare » soit envoyée par le patient à la société « Tmm Software ».
Sur l’information et le droit d’accès 
Le patient dispose d’une information écrite, délivrée sous la forme d’une note d’information et de recueil du consentement. Cette note s’affiche à l’occasion de la première connexion du patient à l’application et à l’occasion de chaque mise à jour. Elle est rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
La Commission demande à ce que ce document soit modifié pour intégrer l’hébergeur comme destinataire des données traitées au titre de l’acte de télésurveillance médicale.
Le consentement du patient est enregistré par écrit, lors de la  validation du formulaire d’information et de recueil du consentement. 
Les droits d’accès, de rectification et d’opposition tels que reconnus par la loi du 6 janvier 1978 modifiée sont précisés dans la notice d’information et de recueil du consentement. Ils s’exercent :
pour les patients : soit auprès du médecin ayant prescrit le dispositif de télésurveillance médicale soit, à l’exception des données de santé et du NIR, directement sur l’espace dédié à la gestion de son compte ;
pour les professionnels de santé : auprès des services de « Tmm Software ».
Sur les mesures de sécurité
L'ensemble des données de santé à caractère personnel traitées est hébergé auprès d’un hébergeur agréé conformément à la réglementation en vigueur.
Les données stockées sont chiffrées avec des algorithmes et des procédures de gestion de clés conformes à l'annexe B1 du référentiel général de sécurité.
Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire.
La Commission rappelle que les échanges de courriels avec les médecins doivent se faire exclusivement à travers des messageries sécurisées de santé, dans des conditions conformes à la délibération n° 2014-239 du 12 juin 2014 portant autorisation unique de mise en œuvre, par les professionnels et établissements de santé ainsi que par les professionnels du secteur médico-social habilités par une loi, de traitements de données à caractère personnel ayant pour finalité l'échange par voie électronique de données de santé à travers un système de messagerie sécurisée (AU 037).
La Commission recommande que la création de comptes utilisateur, le paramétrage du canal utilisé pour la transmission des codes à usage unique et le renouvellement du mot de passe soient sécurisés par une authentification forte avec la carte de professionnel de santé de l’utilisateur ou celle de son responsable s’il n’en dispose pas lui-même.
La Commission relève qu’un module d’analyse de données permet une exploitation statistique. Elle rappelle qu'un tel outil ne doit permettre que des restitutions parfaitement anonymes. A défaut, des mesures complémentaires doivent être mises en œuvre afin de limiter les risques de réidentification des personnes, notamment en limitant les interrogations ciblées et le niveau de détail des données fournies.
Sur les autres caractéristiques du traitement
Les données à caractère personnel correspondant à des coordonnées sont conservées pendant tout la durée de la télésurveillance, puis détruites six mois après la désactivation du compte.
Les autres données à caractère personnel traitées par le dispositif « apTeleCare » sont conservées pendant dix ans après la fin du suivi des patients en télésurveillance.
A l’issue de la période d’archivage, toutes les données à caractère personnel sont détruites.
Autorise, conformément à la présente délibération, la société « Tmm Software » à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(Demande d’autorisation n° 2168326)
La Commission nationale de l'informatique et des libertés,
Saisie par le laboratoire Sanofi Aventis France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’utilisation d’un dispositif de télésurveillance médicale dénommé Insulia® ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, L. 6316-1 et R. 6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu la loi n° 2017-1836 du 30 décembre 2017 de financement de la sécurité sociale pour 2018, notamment son article 54 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 25 avril 2017 portant cahier des charges des expérimentations relatives à la prise en charge par télésurveillance du diabète mises en œuvre sur le fondement de l’article 36 de la loi n° 2013-303 de financement de la sécurité sociale pour 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le laboratoire Sanofi Aventis France est une société anonyme ayant pour activité la fabrication de dispositifs médicaux logiciels. Il distribue le dispositif médical Insulia® fabriqué par la société Voluntis.
Sur la finalité
Le traitement de données à caractère personnel généré par  l’utilisation d’Insulia a pour objectif la réalisation d’actes de télésurveillance médicale des personnes atteintes de diabète, à travers la mise en place d’une solution digitale intégrant les fonctionnalités suivantes :
une application mobile à destination des patients permettant de noter et de conserver tous les éléments utiles à la détermination de la prise en charge médicale de ceux-ci ;
un portail web, auquel accèdent par le biais d’un espace personnel qui leur est propre les patients, les médecins prescripteurs, des téléopérateurs, et générant un carnet de suivi électronique du patient (notamment prescription, information du patient, recueil du consentement, profil de traitement du patient) et intégrant les éléments de l’application mobile ;
un centre d’appels, géré par un téléopérateur, accessible à partir d’un numéro vert, pour répondre aux sollicitations des patients, des professionnels de santé sur les questions techniques et administratives.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la Commission les traitements de données de santé qui contiennent, comme en l’espèce, le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR) à des fins de remboursement.
Sur les données traitées
Concernant les patients, sont traités  les données d’identification, de connexion, de santé et le NIR.
Concernant les professionnels de santé participant à l’acte de télésurveillance et les autres professionnels accompagnant les professionnels de santé, sont traités  les données d’identification, le lieu d’exercice professionnel et les données de connexion.
Concernant l’acte de télésurveillance, sont traités le compte-rendu de la réalisation de l’acte, les actes et les prescriptions médicamenteuses effectués, l’identification des professionnels de santé participant à l’acte, la date et l’heure de l’acte et, le cas échéant, les incidents techniques survenus.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les médecins prescripteurs et les professionnels de santé assurant la télésurveillance médicale, les téléopérateurs, les personnels de Voluntis et l’hébergeur. 
Ils accèdent aux données dans la limite de leurs attributions respectives. 
Sur l’information et le droit d’accès 
Le patient se voit remettre une notice d’information et de recueil du consentement par le médecin prescripteur à l’occasion de son inscription dans le dispositif. Cette notice s’affiche également à l’occasion de la première connexion du patient à son compte et de chaque mise à jour du document. Elle est rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée. 
La Commission demande que la notice d’information soit modifiée sur les points suivants :
la possibilité pour les personnels de Voluntis de facturer à l’assurance maladie le dispositif doit être supprimée ;
les personnels de l’opérateur doivent apparaître comme destinataires des données.
Le consentement du patient sera enregistré sur son compte lors de sa création par le médecin. Il est réitéré à l’occasion de la première connexion et à chaque mise à jour de la notice.
Les droits d’accès, de rectification et d’opposition tels que reconnus par la loi du 6 janvier 1978 modifiée sont précisés dans la notice d’information et de recueil du consentement. Ils s’exercent par le patient, directement et à certaines conditions, par le biais d’Insulia®, auprès du médecin prescripteur d’Insulia ou du service des données personnelles de Voluntis.
Sur les mesures de sécurité
Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire. Les données sont stockées chiffrées.
Chaque utilisateur dispose d’un identifiant qui lui est propre, protégé par un mot de passe conforme aux délibérations                     n° 2017-012 du 19 janvier 2017 et n° 2017-190 du 22 juin 2017 portant recommandations relatives aux mots de passe.
La Commission rappelle qu'elle recommande, s'agissant des données de santé, que les traces soient conservées dans les dossiers des patients et pour une durée égale à la durée de conservation de ces dossiers mais que s’agissant des journaux consignant les actions des administrateurs, elle préconise une durée de conservation de six mois.
La mise au point des logiciels s’effectue sur des données fictives.
Le réseau de l’entreprise fait l’objet de mesure de filtrage ayant pour but de restreindre l’émission et la réception des flux réseau aux machines identifiées et autorisées. Les accès distants sont sécurisés via un VPN chiffré.
La Commission recommande que les permissions d'accès soient attribuées pour une durée déterminée et limitée, après validation hiérarchique, qu’elles soient supprimées dès qu'un utilisateur n'est plus habilité et qu’une revue globale des habilitations attribuées soit opérée régulièrement.
L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé ou certifié selon la réglementation en vigueur.  
Sur les autres caractéristiques du traitement
Les données traitées par Insulia sont conservées :
trois mois en base active à l’issue de la durée de la relation contractuelle entre les professionnels mettant en œuvre la télésurveillance, pour les données nécessaires à la gestion et à la mise en œuvre du dispositif ;
six mois en base active, pour les données concernant les patients.
Les données sont ensuite conservées en archive intermédiaire pendant dix ans.
A l’expiration du délai d’archivage de dix ans, les données sont détruites ou anonymisées.
Autorise, conformément à la présente délibération, Sanofi Aventis France à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS