AgentPublic/cnil huggingface dataset:
Dans la mesure où les données de l’enquête ESPS contribuent à la mise en place et l’évaluation des politiques publiques en matière de santé et contribuent à de nombreux projets de recherche, la CNIL a autorisé les différentes phases d’enquête depuis 2006 sur le fondement des articles 8-IV et 25-I-1° relatifs aux traitements de données de santé à caractère personnel justifiés par l’intérêt public. En application des ces dispositions, la nouvelle phase d’enquête doit faire l’objet d’une nouvelle autorisation de la Commission.
Sur la finalité du traitement mis en œuvre en 2014 
L’enquête objet de la présente demande d’autorisation s’inscrit dans le processus des recueils d’informations à intervalles réguliers inhérents à l’étude. Le dispositif est, dans ses grandes lignes, identique aux précédentes vagues menées en 2010 et 2012.
La phase 2014 prévoit les modifications suivantes :
L’INSEE aura recours à un sous-traitant pour assurer le rôle de tiers de confiance : le Groupe des écoles nationales d’économie et statistique (GENES) et, plus précisément, sa plateforme sécurisée dite « centre d’accès sécurisé distant aux données » (CASD).
Les données de consommation de soins issues des bases PMSI SSR (soins de suite et réadaptation), HAD (hospitalisation à domicile) et RIM-PSY (établissement ayant une activité de psychiatrie) seront désormais étudiées.
L'adresse exacte des personnes interrogées et des professionnels de santé sera recueillie temporairement afin de permettre à l’IRDES de calculer précisément les distances d'accès aux soins, dans des conditions d’anonymat précisées ci-dessous.
Par souci de représentativité, le champ de l’enquête sera élargi aux régimes spéciaux d’assurance maladie et aux sections locales mutualistes. A titre expérimental, des bénéficiaires résidant hors métropole seront interrogés (département de la Réunion). 
L’enquête ESPS 2014 servira de support à l’enquête européenne de santé « European Health Interview Survey – EHIS », pilotée pour la France par la Direction de la recherche, des études, de l’évaluation et des statistiques (DREES) et au niveau européen par Eurostat, la direction générale de la Commission européenne chargée de l’information statistique. Cette enquête a pour objectif de collecter les informations nécessaires pour répondre au règlement européen n°1338/2008 du 16 décembre 2008 relatif aux statistiques communautaires de la santé publique et de la santé et de la sécurité au travail.
La société d’enquête conservera pendant 4 ans les courriels des individus ayant participé qui y ont consenti afin de leur rappeler leur participation et de les informer des résultats principaux de l’enquête. 
Les fichiers d’échantillonnage transmis par les régimes d'assurance maladie seront archivés par le tiers de confiance pendant toute la durée du panel, soit vingt ans.
La Commission prend acte que le recueil des informations par auto-questionnaires administrés sur internet, testé en 2012, n’est pas reconduit pour 2014. 
Elle relève également que l'appariement des réponses aux questionnaires avec les données de remboursement d'assurance maladie complémentaire, testé dans le cadre du  projet « MONACO » (Méthodes, Outils, Normes pour la mise en commun de données des Assurances Complémentaire et Obligatoire), au cours de la précédente vague ESPS, ne concernera pas la phase 2014.
Elle relève enfin que le questionnaire destiné aux moins de quinze ans est abandonné.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime au sens de l'article 6-2° de la loi du 6 janvier 1978 modifiée. 
Sur la nature des données traitées :
Les catégories de données à caractère personnel traitées sont l'identité des personnes, le NIR, l'adresse, le triplet SNIIRAM, le cas échéant le mois et l'année de décès, la situation familiale, la vie professionnelle, la situation économique et financière, les habitudes de vie, des données de santé, le numéro d'identification et l'adresse du médecin traitant, l'exonération éventuelle du ticket modérateur, la consommation de soins liquidés.
Le NIR sera utilisé pour sélectionner les bénéficiaires au sein des systèmes d’information de l’assurance maladie, les identifier et extraire leurs données de consommation du SNIIRAM après l’utilisation de l’algorithme d’anonymisation FOIN (Fonction d’Occultation des Informations Nominatives). Le NIR est traité exclusivement par les régimes d'assurance maladie et par l’INSEE qui sous-traite sa prestation de tiers de confiance au GENES.
Le nom, le prénom et l’adresse seront utilisés afin que la société d’enquête contacte les personnes, soit par téléphone, soit en se rendant à leur domicile. Le nom de famille ne sera pas retransmis à l’IRDES. S’agissant du traitement du prénom par l’IRDES, la Commission prend acte que seules les quatre premières lettres du prénom seront traitées. 
L’adresse exacte des personnes interrogées et des professionnels de santé sera collectée à des fins de géocodage, afin de permettre à l’IRDES de calculer précisément les distances d'accès aux soins. 
La Commission prend acte que :
- le géocodage des adresses sera réalisé au sein de l’IRDES ;
- les adresses seront accessibles à une personne spécialement habilitée de l’IRDES, qui ne fait pas partie de l’équipe dédiée à l’ESPS, et conservées dans des conditions de nature à garantir leur confidentialité le temps strictement nécessaire à l’opération de géocodage et à la validation des données, puis supprimées ;
- seules figureront dans la base de données les distances d’accès aux soins, à l’exclusion des adresses.
La Commission relève que les données de consommation de soins des bénéficiaires transmises dans le cadre des précédentes enquêtes ESPS seront toujours étudiées en 2014. Toutefois, l’IRDES souhaite y adjoindre de nouvelles données de consommation de soins, issues du SNIIRAM, à savoir les tables PMSI SSR (soins de suite et réadaptation), HAD (hospitalisation à domicile) et RIM-PSY (établissement ayant une activité de psychiatrie). Interrogé sur la pertinence de ces informations sensibles au regard de la finalité de l’étude, l’IRDES a indiqué qu’une bonne évaluation de l’impact des dispositifs de prise en charge individualisés nécessitait d’appréhender le parcours de soin dans sa globalité et qu’une approche limitée au champ MCO (Médecine, Chirurgie, Obstétrique) pouvait induire des biais substantiels.
La Commission en prend acte et demande que les personnes concernées soient clairement informées du recueil de leurs données de consommation de soins dans la note d’information qui leur est destinée.
En outre, les données individuelles relatives à la consommation de soins des bénéficiaires (extraction du SNIIRAM) reçues par l’IRDES seront agrégées par an et par grands postes de soins : médecins, praticiens (dont les médecins, les dentistes et les sages-femmes), auxiliaires, prestations sanitaires, biologie, hospitalisation et traitements et cures ambulatoires. Compte tenu, par ailleurs, des mesures mises en œuvre pour assurer leur sécurité et leur confidentialité, la collecte de ces données de consommation de soins peut être admise.
Enfin, la Commission prend acte que les personnes enquêtées seront sensibilisées à ne pas livrer d’informations personnelles dans le champ libre du questionnaire. 
Elle prend acte également de l’engagement de l’IRDES, lors de la diffusion des résultats agrégés, que les professions exercées soient regroupées par catégorie socioprofessionnelle, que le niveau le plus fin de précision géographique soit le département et que les pays de naissance soient regroupés par grande zone géographique.
Dans ces conditions, la Commission estime que ces données sont pertinentes, adéquates et non excessives au regard de la finalité du traitement.
Sur la durée de conservation des données :
Les fichiers d'échantillonnage de l'enquête ESPS 2014 seront conservés pendant toute la durée du panel, soit vingt années. L’archivage sera mis en œuvre par le tiers de confiance et le désarchivage n’aura lieu qu’à la demande expresse de l’IRDES, en cas de difficulté particulière ou de projet de recherche nécessitant le recours aux données sources d’échantillonnage.
En outre, la prestation de l’institut de sondage qui concourt à la réalisation de l’étude sera encadrée par une convention qui définira les opérations que ce prestataire est autorisé à réaliser à partir des données confiées, ainsi que les engagements qu’il prend de garantir leur sécurité et leur confidentialité, en particulier l’interdiction d’utiliser les données à d’autres fins et l'engagement de les détruire dans un délai de trois mois suivant la remise à l’IRDES des fichiers de réponses.
Les adresses e-mail des personnes qui ont souhaité recevoir régulièrement des informations sur l'ESPS seront conservées par la société d’enquête pendant quatre ans. Seule la société d'enquête pourra utiliser cette information exclusivement pour les fins précitées.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
Sont destinataires des informations les personnels de l’IRDES dédiés à l’enquête ESPS et spécialement habilités dans la mesure strictement nécessaire à la mise en œuvre de l’étude.
En outre, les données de l’étude sont mises à la disposition de chercheurs extérieurs à l’IRDES et institutions publiques selon les modalités suivantes.  
Les réponses aux questionnaires de l’enquête ESPS sont mises à disposition des chercheurs et des institutions publiques directement par l’IRDES ou via le réseau Quételet. La mise à disposition est gratuite et fait l’objet d’une convention avec l’IRDES précisant le projet scientifique et définissant les règles d’utilisation et de conservation des données.
Les données appariées aux consommations de soins sont, quant à elles, disponibles dans un format agrégé. 
L’accès à des informations plus détaillées est subordonné à l’accord des régimes d'assurance maladie ainsi qu’à l’autorisation de la CNIL.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur les droits des personnes :
Afin d’assurer l’information des bénéficiaires sélectionnés de l’enquête ESPS, une lettre annonce leur sera adressée avant le début de l’enquête qui comporte les mentions d’informations légales, conformément aux dispositions de l’article 32-I de la loi du 6 janvier 1978 modifiée.
La Commission relève qu’ils y seront clairement informés du caractère facultatif de leur participation à l’enquête, des modalités d’exercice de leur droit d’opposition auprès de l’enquêteur, ainsi que du recueil des données de consommation de soins les concernant.
Ce courrier les informe également  qu’un numéro vert sera mis à leur disposition pour toute  question concernant l’enquête et de l’existence d’une page internet dédiée à l’ESPS sur le site internet de l’IRDES.
L’IRDES enverra également aux mairies des communes de moins de 20 000 habitants et aux caisses primaires d’assurance maladie des courriers et des courriels pour les informer de la réalisation de l’enquête à venir. Celles-ci seront ainsi en mesure d’informer leurs administrés (sur le site internet ou le bulletin municipal pour les mairies) ou leurs bénéficiaires et répondre, le cas échéant, à leurs questions.
Pour le bon suivi du panel, l’IRDES adressera en 2016 aux participants à l’enquête ESPS 2014, ainsi qu’à ceux qui n'ont pas pu être joints, un courrier rappelant leur participation ou leur sollicitation en 2014 et une plaquette d’information sur les résultats principaux de l’enquête. Les personnes qui auront donné leur accord seront contactées par courriel.
Toute demande d’accès, de rectification ou de suppression des informations recueillies pourra être formulée par écrit auprès de la société d’enquête qui s’engage à y répondre dans les dix jours suivant réception d’une telle demande.
Cette possibilité d’accès est limitée à la date de remise des fichiers définitifs à l’IRDES.
Ces modalités d’information et d’exercice des droits sont suffisantes.
Sur la sécurité des données et la traçabilité des actions :
La Commission souhaite que compte tenu de la sensibilité des données traitées et de l’envergure et de la durée de l’étude, une attention particulière soit portée à la sécurité des données, afin d’en garantir la confidentialité.
La Commission prend acte que tous les échanges entre les intervenants (régimes d’assurance maladie, société d’enquête, IRDES) feront l’objet de mesures de chiffrement garanties par le tiers de confiance.
Elle relève que les numéros d'ordre attribués par le tiers de confiance reposent sur un processus d’anonymisation (à l'aide de l'algorithme « Secure Hash Algorithm 1 » ou SHA-1 combiné avec une clé secrète) qui offre des garanties suffisantes d’anonymisation. 
Au sein de chaque organisme participant à l'ESPS 2014, des profils d’habilitation sont définis pour chaque utilisateur en fonction du rôle de chacun.
Les échanges d’informations entre les différents organismes qui concourent à la mise en œuvre du projet (les régimes d’assurance maladie, la société d’enquête, l’IRDES) sont soumis à des procédures garanties par le tiers de confiance et le pôle « géographie en santé » de l’IRDES, afin que l’équipe de chercheurs de l’IRDES ne puisse à aucun moment connaître l’identité des bénéficiaires de l’assurance maladie.
Les échanges de fichiers impliquant un acteur autre que la CNAMTS seront réalisés avec le logiciel de chiffrement Gnupg, comme dans le cadre de l'enquête ESPS 2012. La CNAMTS, le RSI et la MSA qui avaient développé pour les enquêtes précédentes les outils nécessaires pour assurer l’envoi des informations via le logiciel CAMEL (Chiffrement Anonymisation Maladie Elargie), continueront à utiliser cet outil. 
Les intervenants du projet ESPS assurent l’installation du logiciel Gnupg et produisent un jeu de clés asymétriques spécifique à chaque partenaire du projet avec lequel il y a des échanges de données. Le jeu de clés est valide pour toute la durée de l'ESPS 2014. Les clés publiques sont échangées par messagerie électronique, tandis que les clés privées sont conservées par l’équipe projet ESPS. Chaque partenaire communiquera une adresse électronique dédiée au projet ESPS.
Les numéros d'ordre attribués par le tiers de confiance reposent sur le hachage du NIR ou du triplet SNIIRAM par l'algorithme SHA-1 combiné avec une clé secrète, ce qui offre des garanties suffisantes pour assurer que l’équipe de chercheurs de l’IRDES ne pourra retrouver le NIR des individus à partir de ces numéros d’ordre. 
L’équipe de l’IRDES accède aux données par l’utilisation d’un identifiant et d’un mot de passe dont la complexité est conforme aux recommandations précitées de la Commission.
La Commission relève, en revanche, que les mots de passe utilisés par la société d’enquête ne sont pas conformes aux recommandations de la Commission. En effet, la Commission a toujours recommandé l’utilisation de mots de passe d’une longueur minimale de huit caractères, composés de trois types de caractères distincts parmi les minuscules, majuscules, chiffres ou caractères spéciaux. Le mot de passe doit être modifié par l’utilisateur dès sa première connexion, puis régulièrement.
Les données d’identification des personnes incluses dans l’enquête sont uniquement conservées au sein du GENES, prestataire du tiers de confiance. Le personnel de l’IRDES ne peut accéder à ces informations.
Tous les accès aux données sont tracés.
La Commission prend acte que les courriels conservés par la société d’enquête seront séparés de toute donnée relative à l’enquête ESPS 2014 et que les données seront chiffrées (par Gnupg) et copiées sur un CD-Rom conservé dans le local à usage informatique de la société d’enquête, dont l’accès n’est possible qu’au moyen d’un badge nominatif à l’usage exclusif des salariés habilités du service informatique de la société d’enquête.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont de nature à assurer la confidentialité des données traitées et conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise l’Institut de recherche et documentation en économie de la santé (IRDES) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en œuvre de la phase 2014 de l’enquête sur la santé et la protection sociale (ESPS).
La Commission rappelle que la poursuite du projet sera subordonnée au dépôt d’une nouvelle demande d’autorisation auprès de la CNIL. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1632745)
La Commission nationale de l'informatique et des libertés,
Saisie par la française des jeux d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle dédié au traitement des cas de discrimination et de harcèlement ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5°, 25-I-4° et 35 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004). 
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du fondement juridique et du champ d’application du dispositif. 
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Sur le responsable du traitement
La Commission est saisie par la société anonyme d'économie mixte la française des jeux (FDJ), en parallèle de la candidature de cette dernière à l’obtention du « label diversité ».Ce label, créé par le décret n°2008-1344 du 17 décembre 2008, s’inscrit dans la politique gouvernementale de prévention des discriminations et de promotion de la diversité. Il a pour objectifs de promouvoir la diversité et la prévention des discriminations, ainsi que de valoriser des bonnes pratiques en matière de recrutement et d’évolution professionnelle. Son cahier des charges préconise, notamment, la mise en place d’outils permettant d’identifier les plaintes et réclamations internes ou externes et, de manière générale, d’assurer la traçabilité des signalements.
Sur la finalité
Le traitement dont est saisie la Commission a pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle, dans le cadre d’une adhésion au « label diversité », dédié au traitement des cas de discrimination et de harcèlement ressentis par les collaborateurs de la FDJ et les candidats à un emploi.La Commission considère que cette finalité est déterminée, explicite et légitime.Elle rappelle que l’utilisation d’un dispositif d’alerte professionnelle doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. En l’espèce, le dispositif présenté par la FDJ a vocation à concourir au traitement des situations individuelles liées à des faits de discrimination ou de harcèlement, sans se substituer aux dispositions légales existantes.La Commission relève que les réclamations pouvant être émises par l’intermédiaire de ce dispositif ne peuvent concerner que des faits présumés de discrimination ou de harcèlement.Elle estime, dès lors, que le dispositif est limité dans son champ et qu’il répond à l’intérêt légitime du responsable de traitement, conformément aux dispositions de l’article 7-5° de la loi du 6 janvier 1978 modifiée.S’agissant des modalités de signalement, la Commission prend acte que tout agent de la FDJ peut déclencher la procédure en sollicitant un entretien avec les membres de la cellule d’écoute par téléphone, par courrier interne ou par courrier électronique adressé nominativement à l’un de ses
membres ou à une adresse électronique dédiée. Les candidats à un emploi, quant à eux, peuvent déclencher la procédure en adressant un courrier électronique à l’adresse électronique dédiée indiquée dans la partie recrutement du site internet de la FDJ.
Sur les données traitées
Les données collectées et traitées par l’intermédiaire du dispositif examiné par la Commission sont les suivantes :
identité, fonction et coordonnées de l'émetteur de l'alerte ;
identité, fonction et coordonnées des personnes faisant l'objet d'une alerte ;
identité, fonction et coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
faits signalés, notamment le motif supposé et les circonstances d’une discrimination ou d’un harcèlement ;
éléments recueillis dans le cadre de la vérification des faits signalés ;
compte rendu des opérations de vérification ;
suites données à l'alerte.
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
La Commission rappelle que l’obligation de s’identifier à l’occasion de l’émission d’une alerte professionnelle permet de limiter les risques de mises en cause abusives.
Elle relève que le dispositif de la FDJ impose aux utilisateurs de s’identifier, étant précisé que l’identité de ces derniers est néanmoins traitée de manière confidentielle.
Sur les destinataires
Les destinataires de tout ou partie des données à caractère personnel du présent traitement sont, dans la limite de leurs attributions respectives :
les membres de la cellule d’écoute, composée de sept salariés de la FDJ, au nombre desquels figurent notamment le responsable diversité ;
le directeur des ressources humaines ;