AgentPublic/cnil huggingface dataset:
Sur les données traitées
Les données collectées dans le cadre du présent traitement sont, en fonction du type de la mesure de protection (sauvegarde de justice, curatelle ou tutelle), du contenu précis de la mesure prononcée par le juge et de la nature des actes à accomplir, relatives :
à  l’identification des personnes et, le cas échéant, à celle de leurs conjoints et enfants (nom, prénom, adresse, date et lieu de naissance) ;
à leur vie personnelle (situation familiale) ;
à leur vie professionnelle (situation professionnelle) ;
à des informations d’ordre économique et financier (revenus, situation financière) ;
aux données de connexion (identifiants de connexion) ;
aux opinions politiques,  philosophiques ou religieuses ou à l’appartenance syndicale ;
à la santé ; 
aux infractions, condamnations ou mesures de sûreté, dans les limites prévues par les dispositions législatives en vigueur ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), uniquement dans le cadre d’échanges avec des professionnels de santé, des organismes de sécurité sociale, de prévoyance ou de retraite, ainsi que des financeurs de prestations sociales ou médico-sociales ;
à des appréciations sur les difficultés sociales des personnes.
Les données à caractère personnel enregistrées dans le présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection, sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et le droit d’accès 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par remise d’une charte des droits et libertés de la personne protégée lors de l’ouverture de la mesure de protection.La Commission considère que cette modalité d’information des personnes est satisfaisante. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de Madame Hélène THOUVENOT par courrier, fax ou courriel.  La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes. 
Sur les mesures de sécurité
La Commission rappelle que des mesures de protection physique et logique doivent être mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs est assurée par des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les échanges de données effectués sur internet sont sécurisés par des procédés de chiffrement du transport des données.La Commission rappelle que les habilitations d’accès au système d’information doivent être définies en fonction des attributions des utilisateurs. Elle rappelle également que les accès à l’application doit faire l’objet d’une journalisation et que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.Sous réserve des précédentes observations, les mesures de sécurité mises en œuvre sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle qu’une mise à jour des mesures de sécurité doit être réalisée au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, Madame Hélène THOUVENOT, prise en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel,  à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le Centre hospitalier régional universitaire (CHRU) de Besançon d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d'une étude portant sur les demandes d'euthanasie ou de suicide assisté en Bourgogne et Franche-Comté, intitulée  EPIDESA  ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 53 à 61 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'avis du Comité consultatif sur le traitement de l'information en matière de recherche dans le domaine de la santé (CCTIRS) en date du 21 mai 2014 ;Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le cadre juridique de la fin de vie est principalement déterminé par la loi du 22 avril 2005 relative aux droits des malades et à la fin de vie, dite  loi Leonetti , et de ses trois décrets d'application du 6 février 2006.
Le débat public sur ces questions a été relancé récemment à la lumière d'une proposition de loi  créant de nouveaux droits en faveur des malades et des personnes en fin de vie , adoptée en première lecture par l'Assemblée nationale le 17 mars 2015.
C'est dans ce contexte que le Centre hospitalier régional universitaire (CHRU) de Besançon a saisi la Commission nationale de l'informatique et des libertés d'une demande d'autorisation relative à la mise en œuvre d'un traitement de données à caractère personnel ayant pour finalité la réalisation d'une étude sur les demandes d'aide à mourir,  d'euthanasie et de suicide assisté , en Bourgogne et Franche-Comté.
Cette étude multicentrique, intitulée  EPIDESA , a pour objectif d'évaluer le nombre et la fréquence annuelle de telles demandes en Bourgogne et Franche-Comté et de caractériser ces situations de fin de vie complexes, quel que soit le lieu de formulation de la demande.
L'étude EPIDESA est organisée en trois étapes :-	la première étape consiste en un signalement des demandes d'euthanasie ou de suicide assisté, par tout médecin ou personnel soignant exerçant dans les deux régions, auprès des équipes mobiles de soins palliatifs (EMSP) interrégionales ;-	la seconde étape, qui vise à rechercher les caractéristiques des situations et des demandes, consiste pour le médecin investigateur de l'EMSP concernée à remplir un questionnaire d'analyse de la demande avec l'aide du professionnel l'ayant signalée ;-	enfin, la troisième étape consiste à évaluer l'évolution de la demande au moyen d'un questionnaire de suivi renseigné par les mêmes acteurs, entre 7 et 15 jours après la formulation de la demande. 
Le président du Conseil national de l'ordre des médecins a par ailleurs attiré l'attention de la Commission sur les conditions de réalisation de l'étude EPIDESA.
La Commission considère qu'il y a lieu de faire application des dispositions du chapitre IX de la loi Informatique et Libertés qui soumettent à autorisation les traitements de données à caractère personnel ayant pour finalité la recherche dans le domaine de la santé.
En particulier, l'article 54 de la loi Informatique et Libertés prévoit que le Comité consultatif sur le traitement de l'information en matière de recherche dans le domaine de la santé (CCTIRS) doit rendre un avis préalable sur la méthodologie de la recherche au regard des dispositions de la loi, la nécessité du recours à des données à caractère personnel et la pertinence de celles-ci par rapport à l'objectif de la recherche.
En premier lieu, la Commission relève que le CCTIRS a été saisi d'un dossier sensiblement différent de celui soumis à la Commission, notamment en ce qui concerne les modalités d'information des personnes. En effet, contrairement à ce qui a été présenté au CCTIRS dans le dossier préalable à son avis favorable du 15 mai 2014, prévoyant des modalités d'informations des personnes concernées au travers, notamment, d'une note d'information prévue à cet effet, il ressort du dossier présenté à la CNIL que le protocole a été modifié de sorte que les personnes concernées ne seraient informées ni du traitement de leurs données à caractère personnel, ni des droits qui leur sont reconnus par la loi Informatique et Libertés. A cet effet, le responsable de traitement a sollicité une dérogation à l'obligation d'information dans le dossier soumis à la Commission.
Dans ces conditions, la Commission estime que le CCTIRS n'a pu analyser en pleine connaissance de cause le projet de recherche qui lui a été soumis.
En second lieu, la Commission rappelle, d'une part, que l'article 57 de la loi Informatique et Libertés pose le principe d'une obligation d'information préalable et individuelle et, d'autre part, que l'article 36 du décret n° 2005-1309 du 20 octobre 2005 en précise les modalités.
La Commission relève qu'en l'espèce, le responsable de traitement justifie sa demande de dérogation à l'obligation d'information en s'appuyant sur les éléments suivants :
-	l'information sur l'étude risquerait de modifier la demande du malade et donc d'altérer la validité des résultats ;
-	il n'y aurait pas de contact avec les malades car les données sont collectées par les médecins des EMSP au cours d'un échange avec le professionnel qui a signalé la demande d'euthanasie ou de suicide assisté ;
-	l'organisation de l'étude nécessiterait une rigueur temporelle et une réactivité importante au cours des trois étapes de l'étude (questionnaires remplis dans les sept jours après la formulation de la demande pour les deux premières phases puis questionnaire de suivi rempli entre sept et quinze jours après la demande). L'information des personnes risquerait de retarder la réalisation des formulaires et provoquer un biais de recrutement ;
-	les données recueillies ne sont pas directement nominatives et ne permettent pas l'identification directe des malades.
L'article 57 précité prévoit limitativement deux exceptions au principe d'information préalable et individuelle, dans les hypothèses suivantes :
-	 (...) si, pour des raisons légitimes que le médecin traitant apprécie en conscience, le malade est laissé dans l'ignorance d'un diagnostic ou d'un pronostic grave.  ;
-	 Dans le cas où les données ont été initialement recueillies pour un autre objet que le traitement, il peut être dérogé à l'obligation d'information individuelle lorsque celle-ci se heurte à la difficulté de retrouver les personnes concernées. 
Dans la mesure où, en l'espèce, les personnes concernées ne sont ni dans l'ignorance d'un pronostic grave, ni dans l'impossibilité d'être retrouvées puisque les données de l'étude sont fournies par les professionnels de santé qui les prennent en charge, la Commission estime qu'aucun des arguments avancés par le responsable de traitement ne permet de satisfaire aux conditions posées par l'article 57, alinéas 2 et 3, de la loi Informatique et Libertés.
Dès lors, aucune exception précitée n'est susceptible de trouver application au traitement envisagé en l'espèce.
Dans ces conditions, et sans méconnaître l'intérêt des recherches scientifiques sur la fin de vie, la Commission n'autorise pas le Centre hospitalier régional universitaire (CHRU) de Besançon à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la réalisation de l'étude portant sur les demandes d'euthanasie ou de suicide assisté en Bourgogne et Franche-Comté, intitulée  EPIDESA .
La Présidente
I. FALQUE-PIERROTIN
Décision n° 2015-063 du 26 juin 2015 mettant en demeure la société X
La Présidente de la Commission nationale de l’informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu les décisions n° 2015-044C du 4 février 2015 et n° 2015-193C du 22 avril 2015 de la Présidente de la Commission nationale de l’informatique et des libertés de procéder à des missions de vérification auprès de la société X et de tous les traitements de données à caractère personnel relatif au site internet […] ;
Vu le procès-verbal de contrôle sur place n° 2015-044 du 10 février 2015, ainsi que le procès-verbal de constatations en ligne n° 2015-193 du 23 avril 2015 ; 
Vu la plainte n° […] ;
I- Constate les faits suivants 
La société X (ci-après la société ), sise […], gère des magasins physiques, ainsi qu’un site internet, spécialisés dans le multimédia et l’électroménager. Elle emploie environ 8000 personnes. 
En application des décisions n° 2015-044C et n° 2015-193C des 4 février 2015 et 22 avril 2015 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ), une délégation de la CNIL a procédé, le 10 février 2015, à une mission de contrôle auprès du magasin X situé […], ainsi qu’à des constatations en ligne le 23 avril 2015 sur le site […] (ci-après le site internet ). La délégation s’est attachée à examiner la conformité des traitements de données à caractère personnel mis en œuvre par la société, ou pour son compte, aux dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée, et en particulier d’instruire la plainte n° […]. 
La société met à disposition de l’ensemble de ses magasins un outil leur permettant notamment de gérer les clients pour lesquels une facture est éditée. Cet outil permet aux salariés des magasins de mettre à jour les fiches clients et d’ajouter des commentaires. 
A cet égard, la délégation a constaté la présence de commentaires non pertinents concernant les clients de la société.
Elle a également constaté, sur le site internet de la société, le dépôt de cookies à finalité publicitaire dès l’arrivée sur la page d’accueil, ainsi que la conservation des données enregistrées dans certains de ces cookies pendant des durées pouvant aller jusqu’à 15 ans. 
(...) 
II- Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée 
Un manquement à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données 
La délégation a été informée que la société met à disposition de ses magasins un outil national de gestion des clients pour lesquels une facture a été éditée. Le service après-vente (ci-après le SAV ) utilise le menu intervention de cet outil pour gérer les réparations.
A cet égard, la délégation a constaté, dans le menu intervention la présence de 5 828 commentaires non pertinents, comme par exemple CLIENT TRES AGRESSIF , N’A PAS DE CERVEAU , LE CLIENT EST CHIANT , CLIENT TRES CON , LA CLIENTE EST UNE GROSSE CONNASSE QUI SE CROIT TOUT PERMIS , CLIENT CASSE COUILLE , FOLLE , FORT ACCENT AFRICAIN , CLIENTE DE CONFESSION JUIVE , CLIENTE AVEC PROBLEME CARDIAQUE , CLIENTE A UNE MALADIE NEUROLOGIQUE , CLIENT ALCOOLIQUE , ME PASSE SON MARI ATTEINT DE PARKINSON , CLIENT C’EST FAIT OPERE DUNE HERNIE DISCAL IL Y A 3 MOIS .
Ces faits constituent un manquement aux obligations prévues au 3° de l’article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, qui dispose que les données à caractère personnel collectées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs . 
Un manquement à l’obligation d’informer et d’obtenir l’accord préalable des personnes concernées avant d’inscrire des informations (cookies) sur leur équipement terminal de communications électroniques ou d’accéder à celles-ci (lecture des cookies) 
A titre liminaire, la Commission rappelle que l’article 32-II de la loi du 6 janvier 1978 modifiée dispose que Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :
- de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement;
- des moyens dont il dispose pour s’y opposer. 
Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :
- soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
- soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur . 
Afin de proposer aux professionnels du secteur des lignes directrices en la matière, la CNIL a adopté la délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux Cookies et aux autres traceurs. Cette recommandation, qui n’a pas de valeur impérative, vise à interpréter les dispositions législatives précitées et à éclairer les acteurs sur la mise en place de mesures concrètes permettant de garantir le respect de ces dispositions, afin, soit qu’ils mettent en œuvre ces mesures, soit qu’ils mettent en œuvre des mesures d’effet équivalent. 
Les cookies nécessitant une information et un consentement préalables de l’internaute sont notamment les cookies liés aux opérations relatives à la publicité ciblée et les cookies traceurs de réseaux sociaux générés par les boutons de partage de réseaux sociaux. 
La recommandation de la CNIL rappelle que la validité du consentement est liée à la qualité de l’information reçue. La Commission recommande donc que ce consentement soit recueilli en deux étapes :
- première étape : l’internaute qui se rend sur le site d’un éditeur (page d’accueil ou page secondaire du site) doit être informé, par l’apparition d’un bandeau : des finalités précises des Cookies utilisés ; de la possibilité de s’opposer à ces Cookies et de changer les paramètres en cliquant sur un lien présent dans le bandeau ; du fait que la poursuite de sa navigation vaut accord au dépôt de Cookies sur son terminal ;
- seconde étape : les personnes doivent être informées de manière simple et intelligible des solutions mises à leur disposition pour accepter ou refuser tout ou partie des Cookies nécessitant un recueil du consentement : pour l’ensemble des technologies visées par l’article 32-II précité ; par catégories de finalités : notamment la publicité, les boutons des réseaux sociaux et la mesure d’audience. 
En outre, la recommandation indique que l’information doit être visible, mise en évidence et complète .
En l’espèce, lorsque la délégation s’est connectée au site internet de la société, elle a constaté que 108 cookies ont été déposés sur son équipement terminal. Par courrier électronique reçu par la CNIL le 6 mai 2015, la société a indiqué que 90 de ces cookies ont une finalité publicitaire.
La délégation a constaté que les internautes sont informés du dépôt des cookies par un bandeau précisant ce qui suit : En poursuivant votre navigation, vous acceptez l’utilisation des cookies pour disposer de contenus adaptés à vos centres d’intérêt et améliorer votre expérience sur le site. Pour en savoir plus et gérer vos paramètres, cliquez ici .
En outre, la délégation a constaté que le lien hypertexte cliquez ici présent sur ce bandeau renvoie vers la rubrique Utilisation des cookies de la page intitulée Mentions légales , qui informe les internautes de la possibilité qui leur est offerte de refuser les cookies en paramétrant leur navigateur. Ce paramétrage est, en l’espèce, un moyen valable d’opposition dans la mesure où le site ne dépose pas de cookies techniques essentiels à son fonctionnement (qui seraient bloqués si l’internaute décidait de bloquer tous les cookies à partir de son navigateur, ce qui l’empêcherait d’utiliser le site).
Mais la délégation a constaté que le dépôt de cookies dans l’équipement terminal de communications électroniques de l’internaute s’opère dès la connexion au site internet, avant toute action de la part de l’internaute tendant à poursuivre sa navigation sur le site.
Au regard de ce qui précède, il apparaît que le site internet n’a pas recueilli le consentement des personnes concernées avant de procéder au dépôt des cookies.
L’ensemble de ces faits constitue un manquement au II de l’article 32 précité de la loi du 6 janvier 1978 modifiée, qui soumet notamment à information et à accord préalables de l’internaute le dépôt de tels cookies.
En outre, il est rappelé qu’en application des articles 131-41 et R. 625-10 du code pénal combinés, le fait pour la personne morale responsable d’un traitement de ne pas informer les personnes concernées et obtenir leur accord avant d’accéder à ou d’inscrire des informations dans leur équipement terminal de communications électroniques est puni d’une peine d’amende pouvant atteindre 7.500 €. 
Un manquement à l’obligation de définir et respecter une durée de conservation des données proportionnée à la finalité du traitement 
La délégation a constaté que les données enregistrées dans certains cookies déposés par le site internet de la société sont accessibles pendant une durée excessive par rapport aux finalités poursuivies. En effet, elle a constaté que certains cookies à finalité publicitaire ont une durée de vie pouvant aller jusqu’à 15 ans.
A cet égard, la délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux Cookies et aux autres traceurs précise que les Cookies doivent (...) avoir une durée de vie limitée à treize mois après leur premier dépôt dans l’équipement terminal de l’utilisateur (faisant suite à l’expression du consentement) et leur durée de vie ne doit pas être prolongée lors de nouvelles visites sur le site .