AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés a été saisie par la société LESOT, filiale du groupe VINCI, d’une demande d’autorisation d’un traitement de données à caractère personnel reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel sous le contrôle exclusif de son détenteur et ayant pour finalité le contrôle d’accès à des applications informatiques permettant d’exercer des délégations de pouvoir.
Il y a lieu de faire application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Sur la finalité et les caractéristiques du traitement :
Certaines opérations sensibles telles que des transactions financières ou des réponses à des appels d’offre nécessitent d’être exécutées par un responsable de l’entreprise nommément désigné et bénéficiant d’une délégation de pouvoir. 
Afin de garantir l’authentification de la personne responsable, la société LESOT souhaite utiliser une clé USB comportant un lecteur d’empreinte digitale. Ce dispositif vise à sécuriser l’accès à un certificat permettant de s’authentifier dans des applications informatiques et de signer électroniquement ces opérations. 
La clé USB est sous le contrôle exclusif de son détenteur. Son usage est strictement individuel et professionnel.
L’enrôlement s’effectue sur le poste informatique de l’utilisateur, en présence, si besoin, des personnes habilitées du service en charge de la sécurité informatique. 
Le contrôle d’accès au certificat s’effectue par comparaison entre le gabarit de l’empreinte digitale du doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré lors de l’enrôlement de l’utilisateur sur la clé USB. Dans l’hypothèse d’un incident informatique, l’entreprise aura recours à l’ancienne procédure « papier ». 
La Commission observe que seules les personnes bénéficiant d’une délégation de pouvoir seront concernées par ce traitement et que ce dispositif n’a pas pour finalité de contrôler le temps de travail de l’utilisateur.
Les catégories de données à caractère personnel enregistrées seront :
le gabarit chiffré de l’empreinte digitale de deux doigts, résultat du traitement des mesures par un algorithme sur l’empreinte digitale. Aucune image ou photographie de l'empreinte digitale ne peut être collectée ;
un ou plusieurs certificats. 
La durée de conservation des données correspond au temps pendant lequel la personne concernée bénéficie de la délégation de pouvoir.
La Commission prend acte que le gabarit de l’empreinte digitale n’est pas associé aux traces des opérations.
L’information et la consultation des instances représentatives du personnel avant la mise en œuvre de ce traitement sont réalisées conformément aux dispositions du code du travail.
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes sont informées de leurs droits par la remise d’un courrier personnalisé au moment de leur enrôlement et de la remise de la clé USB.
La sécurité et la confidentialité des données traitées est assurée par le responsable de traitement afin notamment d’empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance. 
La Commission prend acte qu’aucune conservation dans une ou plusieurs bases de données des gabarits biométriques des empreintes digitales n’est prévue. Les données biométriques ne sont conservées que sur la clé USB. Elles ne circuleront pas sur un réseau et ne seront ni stockées ni archivées. 
Les gabarits des empreintes digitales sont stockés sur la clé USB sous une forme chiffrée. En outre, la Commission recommande que les utilisateurs soient tenus de ne stocker aucune autre information sur ce support.
Les droits d’accès et de rectification s’exerceront auprès de la société LESOT, service UF, 19 rue René Cassin Zone artisanale, 62223 Saint-Laurent-Blangy. 
Dans ces conditions, la Commission autorise la société LESOT à mettre en œuvre le traitement de données à caractère personnel présenté.
La Présidente
Isabelle FALQUE-PIERROTIN
(demande d’autorisation n°1530961)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 1 et 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 modifiée en 2007;
Vu la demande d’autorisation du lycée LES IRIS d’un traitement de données reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle d’accès à la bagagerie des élèves et au portillon intérieur ;
Après avoir entendu M. Eric PERES, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par le lycée LES IRIS d’un traitement de données reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle d’accès à la bagagerie des élèves et au portillon intérieur.
Il y a lieu de faire application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Il convient de rappeler que la Commission a toujours accordé une attention particulière aux dispositifs biométriques qui pouvaient concerner des mineurs, notamment en ce qu’ils sont susceptibles de les habituer aux techniques de surveillance reposant sur des éléments corporels propres à leur identité, conformément à l’article 1er de la loi du 6 janvier 1978 modifiée qui pose le principe que : « L’informatique doit être au service de chaque citoyen. […] Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. »
La Commission réaffirme sa vigilance s’agissant de dispositifs concernant des élèves, mineurs de surcroit, et la nécessité d’examiner les traitements qui lui sont soumis au regard des évolutions technologiques et sociologiques qui sont portés à sa connaissance.
En l’espèce, le traitement proposé a pour objet de contrôler l’accès à la bagagerie des élèves et au portillon intérieur. Le recours à ces dispositifs est justifié par de nombreux vols. 
Le traitement du réseau veineux des doigts doit être examiné au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-2° de la loi du 6 janvier 1978 modifiée qui précise que les données sont collectées pour des finalités déterminées, explicites et légitimes et de l’article 6-3° qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission constate que même si le réseau veineux des doigts de la main ne présente pas, en l'état actuel de la technique, la caractéristique de pouvoir être capturée à l'insu des personnes concernées, toute possibilité de détournement ou de mauvais usage (faille de sécurité, détournement de finalité par le responsable de traitement ou par un tiers...) fait peser un risque sérieux sur l'intégrité et la protection des données biométriques personnelles des utilisateurs, qui de surcroît, s'agissant des élèves, sont des mineurs.
Par ailleurs, la Commission relève que la finalité poursuivie pourrait être atteinte par d’autres moyens comme un badge remis à chaque utilisateur.
Dès lors, elle considère que le recours à un élément propre à l’identité physique des élèves et aussi fiable que le réseau veineux des doigts de la main aux seules fins d’accéder à un service à la bagagerie des élèves et au portillon intérieur n’est pas pertinent, adéquat et non excessif au regard de la finalité poursuivie.
Par conséquent, la Commission n’autorise pas le lycée LES IRIS à mettre en œuvre un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle d’accès à la bagagerie des élèves et au portillon intérieur.
La Présidente
Isabelle FALQUE-PIERROTIN
(demande d’autorisation n°1498312)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée et notamment ses articles  8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu le code de la santé publique, et notamment ses articles L.1161-5 et R.1161-8 et suivants ;
Sur le rapport de Monsieur Jean MASSOT, commissaire et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes 
La Commission a été saisie d’une demande d’autorisation présentée par la société HSN relative à la mise en œuvre d’un programme d’apprentissage portant sur le médicament KOGENATE® exploité par laboratoire BAYER SCHERING PHARMA.
Sur la finalité du traitement
Le traitement a pour finalité la mise en œuvre d’un programme d’apprentissage portant sur le médicament KOGENATE®, exploité par le laboratoire BAYER SCHERING PHARMA. Ce programme est destiné aux patients présentant une hémophilie de type A et souffrant d’épisodes hémorragiques.
La Commission estime que la finalité du traitement est déterminée, explicite, et légitime au sens de l’article 6 de la loi du 6 janvier 1978 modifiée. 
Sur la procédure applicable
La demande d’autorisation s’inscrit dans le cadre de l’application combinée des articles 8-IV° et 25-I-1° de la loi du 6 janvier 1978 modifiée ainsi que des articles L.1161-1 et R.1161-24 du code de la santé publique.
Sur les catégories de données à caractère personnel traitées 
Dans le cadre du programme d’apprentissage les données faisant l’objet d’un traitement sont celles relatives aux patients qui s’inscrivent à un programme. Elles portent sur l’identité, la date de naissance, les coordonnées (téléphones, adresse) ainsi que sur des informations relatives à la santé (antécédents et traitements médicaux…).
Les données relatives aux médecins traitants et aux médecins prescripteurs peuvent également faire l’objet d’un traitement (identité, coordonnées).
La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur les mesures d’information mises en œuvre
La Commission relève que le décret relatif aux programmes d’apprentissage prévoit que l’entreprise exploitant le médicament ayant fait l’objet d’un programme d’apprentissage doit produire un bilan de suivi à la fin de chaque programme ou au plus tard au moment de son renouvellement (qui intervient au bout de trois ans à compter de l’autorisation de l’AFSSAPS). Dès lors, elle rappelle que ces bilans d’évaluation devront faire l’objet de formalités au titre du chapitre X de la loi du 6 janvier 1978 modifiée.
(
En conclusion, la Commission autorise la société HSN à mettre en œuvre dans les conditions précitées conformément au dossier transmis à la Commission un programme d’apprentissage portant sur le médicament KOGENATE®, exploité par le laboratoire BAYER SCHERING PHARMA.
La Présidente,
Isabelle FALQUE-PIERROTIN
(Autorisation n°1527880)
La Commission nationale de l’informatique et des libertés,
Saisie par la Maison de l’emploi et de la formation (MDEF) de Sénart, le 23 août 2011, d’une demande d’autorisation relative aux applications informatiques qui seront nécessaires à la réalisation de l’enquête PRESAGE et à l’évaluation de ses résultats ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée, relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés;
Après avoir entendu, M. MASSOT, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Maison de l’emploi et de la formation (MDEF-Mission Locale) de Sénart a saisi la Commission nationale de l’informatique des libertés, le 23 août 2011, d’une demande d’autorisation relative à la mise en œuvre des traitements automatisés de données à caractère personnel nécessaires à la réalisation d’une enquête et à l’évaluation de ses résultats. Cette enquête, dénommée « Projet de REcherche sur la SAnté des JEunes » (PRESAJE), porte sur la santé et l’accès aux soins des jeunes pris en charge dans les Missions Locales. 
Les Missions Locales sont des associations ou des groupements d’intérêt public relevant du ministère de l’Emploi, du Travail et de la Santé et œuvrant dans le cadre du service public pour l’insertion sociale et professionnelle des jeunes de 16 à 25 ans. Elles sont chargées d'accueillir, d'informer, d'orienter et d'aider ces jeunes dans leur parcours d’accès à l’emploi, mais aussi à la formation, au logement et à la santé.
La Commission relève que l’enquête PRESAJE a été retenue au terme d’un appel à projets du « fonds d’expérimentation pour la jeunesse » administré par le ministère de l’Education nationale, de la Jeunesse et de la Vie associative, auquel la Maison de l’emploi et de la formation de Sénart a répondu, conjointement avec le Groupe de recherche en économie et statistiques du Centre national de la recherche scientifique (CNRS-Grecsca).
Sur la finalité de l’enquête
L’enquête PRESAJE a pour objet d’identifier les obstacles au recours aux soins chez les jeunes en difficultés d’insertion afin de définir la politique la plus adaptée à cette population. 
Les résultats de cette enquête tirés de son évaluation permettront d’orienter les stratégies à adopter pour garantir un plus large accès aux soins dans l’ensemble des Missions Locales du territoire. 
L’enquête PRESAJE a été précédée d’une phase pilote conduite au sein de la mission locale de Sénart en 2007 avec le soutien de l’INSERM, qui avait pour finalité principale de tester l’acceptabilité de l’étude, la faisabilité du recueil des données et la pertinence des questions posées. 
Cette enquête est mise en œuvre par un ensemble de partenaires, liés par une convention tripartite conclue entre la Direction de la jeunesse, de l’éducation populaire et de la vie associative (qui administre le « Fonds Jeunes » et finance l’étude), la MDEF de Sénart et le CNRS-Grecsa. La MDEF de Sénart est chargée de conduire l’expérimentation et le CNRS-Grecsa, chargé de l’évaluer. Toutefois, la MDEF de Sénart étant désignée comme « porteur du projet » dans la Convention a également été désignée comme responsable du traitement pour le compte des différents acteurs.
La Commission constate que l’enquête « PRESAJE » comporte le recueil de données sensibles relatives notamment à la santé et à la vie sexuelle de personnes identifiées ou susceptibles de l’être.
Elle constate également que les résultats de cette étude tirée de son évaluation permettront d’orienter les stratégies à adopter pour améliorer l’accès aux soins des jeunes reçus dans les Missions Locales et, par suite, de favoriser leur parcours vers l’emploi.
Elle considère, dès lors, qu’au regard des objectifs de l’étude et compte tenu des éléments de contexte rappelés, notamment du soutien dont bénéficie l’enquête dans le cadre de l’appel à projets lancé par le Fonds d’indemnisation pour la Jeunesse, les traitements automatisés nécessaires à sa réalisation et à l’exploitation de ses résultats sont justifiés par l’intérêt public au sens de l’article 8-IV de la loi du 6 janvier 1978 modifiée. 
La Commission estime, en conséquence, qu’il y a lieu de faire application des dispositions de l’article 25-I-1° de la loi modifiée, qui soumet à autorisation les traitements automatisés qui, bien que comportant des données sensibles, sont justifiés par un motif d’intérêt public. 
Sur les modalités de collecte des informations
L’enquête « PRESAJE » sera réalisée auprès d’un échantillon de 1800 jeunes, âgés de 16 à 25 ans, reçus dans cinq Missions Locales volontaires, dotées d’une consultation médicale (Sénart, Toulouse, Reims, Poitiers et Clichy).
Les obstacles au recours aux soins chez les jeunes en difficulté peuvent être de nature financière (liés au niveau de prise en charge des dépenses de santé) ou socioculturelle (liés au niveau d’information en matière de prévention et de recours aux soins).
Afin de définir la politique la plus adaptée pour améliorer l’accès aux soins de ces jeunes, l’expérimentation portera à la fois sur l’ouverture des droits plus ou moins large aux jeunes qui se présentent dans les Missions Locales et sur la mise en place de consultations de médecine sociale au sein de celles-ci.
Afin de permettre une étude comparée des différentes modalités de prise en charge et vérifier la pertinence des dispositifs pilote développés (gratuité des soins, accompagnement médical individualisé), les jeunes qui auront accepté de participer à l’étude seront répartis de façon aléatoire, au sein de chaque mission locale, en trois cohortes :
- Pour les jeunes inclus dans la « Cohorte 1 » (dénommée « Action Médecin »), le programme comportera des consultations de médecine sociale, la possibilité de bénéficier d’un suivi psychologique, une ouverture des droits sociaux et une information individualisée sur ces droits. Ce groupe permettra d’évaluer l’impact d’une incitation à un suivi médical sur le recours aux soins.
- Pour les jeunes inclus dans la « Cohorte 2 » (dénommée « Action Droits »), le programme comportera une ouverture de droits sociaux et une information individualisée sur ces droits, assurée par un assistant de service social. Ce groupe permettra d’évaluer spécifiquement l’impact d’une meilleure prise en charge des dépenses de santé sur le recours aux soins.
- La « Cohorte 3 » constituera le « groupe témoin » ou « groupe de contrôle ». Les jeunes y bénéficieront de l’accompagnement classique offert par les Missions Locales.
Les données seront collectées par voie de questionnaires auxquels seront soumis les jeunes à leur entrée dans le dispositif, puis un an après.
L’ensemble des jeunes ayant accepté de participer à l’expérimentation sera soumis à un questionnaire « généraliste » portant sur leurs conditions de vie (passées et actuelles), destiné à permettre d’identifier les « déterminants sociaux de la santé ». Il portera sur le parcours scolaire, le niveau d’usage du français, l’existence d’un projet professionnel, la situation familiale et sociale, les ressources et conditions de logement et de transport, le quartier d’habitation, les activités, la santé et les conditions de prise en charge médicale, les croyances et les pratiques vis-à-vis de la santé et des soins.
Les jeunes inclus dans la cohorte « Action Médecin » seront également soumis à un questionnaire médical portant sur les problèmes de santé, la vie sexuelle, le recours aux moyens de contraception, les comportements à risque (consommation de tabac, alcool ou drogue), l’état psychologique des participants à l’étude.
La Commission prend acte que ces deux questionnaires ont été élaborés en concertation avec l’équipe de recherche sur les déterminants sociaux de la santé et du recours aux soins de l’INSERM. 
Le questionnaire « généraliste » sera administré sous forme informatisée par un assistant de recherche du CNRS-Grecsta au moyen d’un ordinateur portable accessible à l’aide d’un mot de passe. Il ne comportera aucune donnée nominative, les participants à l’étude étant identifiés par un identifiant non signifiant qui sera reporté sur le questionnaire.
Le questionnaire médical sera administré exclusivement par le médecin de la Mission Locale et comportera un identifiant spécifique connu de lui seul. La Commission en prend acte.
La Commission relève qu’il est envisagé de recueillir ultérieurement des données relatives à la santé et à l’accès aux soins auprès de l’assurance maladie et d’interroger, pour ce faire, le système national d’information inter-régime de l’assurance maladie (SNIIRAM) géré par la CNAMTS.
Il est également envisagé d’interroger la base des Déclarations annuelles des données sociales (DADS) tenue par l’institut national de la statistique et des études économiques (INSEE) afin de recueillir des données sur d’éventuels emplois occupés par les participants à l’étude pendant la durée de celle-ci.
La Commission prend acte que la présente demande d’autorisation ne concerne  pas ces futurs appariements qui donneront lieu à de nouvelles formalités préalables auprès de la CNIL. 
Elle prend acte que la poursuite du projet et la conservation des données d’identification nécessaire à cette poursuite seront subordonnées au dépôt d’une nouvelle demande d’autorisation auprès de la CNIL.
Elle précise que ces demandes d’autorisation devront indiquer les modalités de collecte, d’appariement et de transfert des données dans le respect du cadre juridique, des droits des personnes et des règles de sécurité. Elle prend acte que les coordonnées des personnes volontaires seront conservées, dans l’intervalle, dans des conditions de nature à garantir leur confidentialité.
Sur les modes de circulation des données
Au sein de chaque Mission Locale, un assistant de recherche (AR) du CNRS-Grecsca sera chargé de la mise en œuvre de l’enquête. 
Il répartira les jeunes pris en charge au sein de celle-ci qui ont consenti à participer à l’étude dans les trois cohortes de façon aléatoire et attribuera à chacun un numéro d’ordre non signifiant.
La table de correspondance entre l’identité du participant à l’étude et le numéro d’ordre, nécessaire au suivi du jeune et à l’appariement des questionnaires, sera conservée sur support papier dans une armoire fermée à clé et accessible au seul attaché de recherche. Les fichiers informatiques ne contenant pas de données identifiantes, il sera impossible de relier, par voie électronique, les données nominatives aux réponses aux questionnaires. 
La Commission prend acte que la prestation des attachés de recherche sera encadrée par une convention qui définira les opérations qu’ils sont autorisés à réaliser à partir des données confiées, ainsi que les engagements qu’ils prennent de garantir leur sécurité et leur confidentialité.
Au sein de chaque Mission Locale, les questionnaires seront copiés sur un ordinateur dédié, isolé du système d’information propre à la Mission, accessible à l’aide d’un mot de passe personnel dont les conditions de définition et de renouvellement répondent aux recommandations de la CNIL.
Les questionnaires seront transférés au CNRS-Gresta aux fins de traitement et d’analyse statistiques sur clé USB. 
La Commission estime que les mesures de sécurité mises en œuvre n’appellent pas d’observation particulière.
Sur la nature des données collectées