AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1692013)
La Commission nationale de l'informatique et des libertés,
Saisie par le Groupement de coopération sanitaire (GCS) pour le développement des systèmes d’informations partagés en santé en Ile de France (D-SISIF) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un outil dénommé « Télépathologie » permettant la réalisation d’actes de téléexpertise et de télédiagnostic ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8,  L. 6316-1et R. 6316-1;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Groupement de Coopération Sanitaire pour le Développement des Systèmes d'Information partagés en Santé en Ile-de-France (GCS D-SISIF)
Sur la finalité
L’outil de télémédecine envisagé, dénommé « Télépathologie », permet, en application de l’article R. 6316-1 du code de la santé publique, la mise en œuvre d’actes de téléexpertise et de téléconsultation en matière d’examen anatomopathologique. 
Cet outil permet :
pour la téléexpertise, à un professionnel de santé de solliciter à distance l’avis d’un ou de plusieurs professionnels médicaux en raison de leurs formations ou de leurs compétences particulières ; 
pour la téléconsultation médicale, à un professionnel médical de donner une consultation à distance à un patient. 
d’effectuer, à distance du site où est réalisé l’acte chirurgical, un examen anatomopathologique en interprétant une « lame virtuelle », c'est-à-dire la numérisation d’une lame de verre comportant la coupe d’un échantillon tissulaire issu d’un prélèvement opératoire d’un patient ; 
de délivrer le résultat au chirurgien au cours de l’intervention chirurgicale. 
L’outil « Télépathologie » a vocation à permettre à un médecin anamotopathologiste :
pour la téléexpertise, à un professionnel de santé de solliciter à distance l’avis d’un ou de plusieurs professionnels médicaux en raison de leurs formations ou de leurs compétences particulières ;
pour la téléconsultation médicale, à un professionnel médical de donner une consultation à distance à un patient. 
d’effectuer, à distance du site où est réalisé l’acte chirurgical, un examen anatomopathologique en interprétant une « lame virtuelle », c'est-à-dire la numérisation d’une lame de verre comportant la coupe d’un échantillon tissulaire issu d’un prélèvement opératoire d’un patient ; 
de délivrer le résultat au chirurgien au cours de l’intervention chirurgicale. 
Un dossier médical partagé temporaire du patient, dénommé « télédossier», est alors créé. 
Au vu de ces éléments, la Commission considère que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle estime qu’il y a lieu de faire application des dispositions des articles 8-IV, et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure d’autorisation de la Commission les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique. 
Sur les données traitées
Concernant les patients, les données traitées et échangées sont :
les données d’identification (nom, prénom, sexe, date et lieu de naissance, adresse) ;
le numéro IPP (Identifiant permanent du patient) ou le numéro NIP (numéro d’identifiant personnel) ;
les données de santé nécessaires à l’acte de télémédecine effectué (siège et nature des prélèvements, histoire de la maladie et antécédents) ;
l’indication de l’acte de téléexpertise et de téléconsultation médicale demandé. 
les données d’identification (nom, prénom, adresse, spécialité, numéro de téléphone, adresse électronique) et son numéro RPPS (répertoire partagé des professionnels de santé) ; 
les traces des actions effectuées sur les dossiers. 
Concernant les professionnels de santé, les données traitées et échangées sont les suivantes :
les données d’identification (nom, prénom, sexe, date et lieu de naissance, adresse) ;
le numéro IPP (Identifiant permanent du patient) ou le numéro NIP (numéro d’identifiant personnel) ;
les données de santé nécessaires à l’acte de télémédecine effectué (siège et nature des prélèvements, histoire de la maladie et antécédents) ;
l’indication de l’acte de téléexpertise et de téléconsultation médicale demandé. 
les données d’identification (nom, prénom, adresse, spécialité, numéro de téléphone, adresse électronique) et son numéro RPPS (répertoire partagé des professionnels de santé) ; 
les traces des actions effectuées sur les dossiers. 
La Commission considère que les données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement.
Sur les destinataires
Les destinataires sont :
les médecins authentifiés et habilités, dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la prise en charge de leurs patients ;
le personnel paramédical, placé sous la responsabilité du médecin, authentifié et habilité dans la limite de ses attributions et dans la stricte mesure nécessaire à la réalisation de l’acte de télémédecine. 
L’utilisation de l’outil de télémédecine est subordonnée à la signature d’une convention par laquelle les professionnels de santé s’engagent à respecter les modalités de mise en œuvre du service précisées dans la charte du GCS D-SISIF, et notamment l’information et le recueil du consentement du patient ou de son représentant légal, le cas échéant. Les professionnels de santé sont informés que l’utilisation du service ne les dégage pas de leur responsabilité en matière de diagnostic ou de traitement. 
Le personnel administratif des établissements de santé utilisateurs de l’outil de « Télépathologie » et du GCS D-SISIF a accès aux données nécessaires à l’exercice de ses missions, à l’exception des données de santé. 
Le médecin de l’hébergeur, le cas échéant, a accès aux données de santé afin d’exercer ses missions, notamment afin de répondre aux demandes de droit d’accès des patients. 
Sur l’information et le droit d’accès
Le médecin qui est en contact avec le patient lui transmet deux notes d’information portant respectivement sur la réalisation d’un acte de téléexpertise et d’un acte de téléconsultation. Le « télédossier» ne sera créé qu’après vérification du recueil du consentement du patient par l’équipe de soin le prenant en charge. A chaque présentation d’un patient à un acte de télémédecine, son consentement pour la réalisation de cet acte sera recueilli par le professionnel de santé en contact avec lui après nouvelle remise de la note d’information sous format papier, rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée. Ce consentement sera recueilli, par écrit ou sous forme « dématérialisée », par une case à cocher, par le professionnel de santé en contact avec le patient, qui permet l’ouverture du « télédossier ». Les droits d’accès, de rectification et d’opposition s’exercent auprès du service de l’établissement utilisateur prenant en charge le patient ou auprès du médecin de l’hébergeur de données de santé agréé choisi par le GCS. En cas d’archivage des données, ces droits s’exercent auprès de l’établissement ayant pris en charge le patient. La Commission relève que ces modalités d’information et d’exercice de  leurs droits par les patients sont satisfaisantes. 
Sur les mesures de sécurité
Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants. La Commission relève toutefois que dans le cadre de leur fonction de supervision ou de maintenance, les administrateurs peuvent être amenés à accéder aux données relatives aux patients, sans pouvoir les modifier. Elle rappelle que ces accès doivent être réalisés sous la responsabilité d’un professionnel de santé.Le contrôle des accès aux dossiers des patients se fait par un identifiant et un mot de passe, qui est composé de huit caractères comprenant au moins une majuscule, une minuscule, un chiffre et un caractère spécial. La Commission rappelle que le mot de passe doit être modifié par l’utilisateur dès sa première connexion, puis tous les six mois. Par ailleurs, les mots de passe ne doivent pas être conservés en clair en base de données. La Commission recommande ainsi de conserver uniquement le résultat de la fonction de hachage HMAC à clé secrète sur le mot de passe.Toutefois, elle considère que le maintien d’un système d’authentification par login et mot de passe (ne présentant pas un niveau de sécurité équivalent à la CPS), alors même qu’un système d’authentification par CPS est mis en place, apparaît de nature à affaiblir la sécurité du système d’information, dans la mesure où les garanties qui s’attachent à l’utilisation d’une carte CPS s’en trouvent amoindries.La Commission rappelle, en outre, que le décret du 15 mai 2007 relatif à la confidentialité des
informations médicales impose une authentification forte des professionnels de santé par l’utilisation d’une CPS ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. Les professionnels de santé concernés par ce dispositif doivent donc s’y conformer.Les accès à l’application font l’objet d’une journalisation répertoriant l’identité du dossier, l’action, l’auteur et l’horodatage.Le transport des données est sécurisé par l’utilisation d’un réseau privé virtuel ainsi que par l’utilisation de liens dédiés sécurisés ou de protocoles réseau sécurisés (notamment HTTPS).Les données sont sauvegardées quotidiennement. Ces sauvegardes ne sont pas chiffrées. La Commission estime nécessaire que les sauvegardes de données soient chiffrées.Enfin, la Commission rappelle qu’une procédure doit être mise en œuvre afin de résoudre les incidents, tels qu’une violation de données à caractère personnel.Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Le responsable de traitement doit s’assurer que le traitement est opéré dans des conditions conformes aux dispositions législatives et règlementaires applicables, notamment celles des articles L. 1111-8 et R. 6316-10 du code de la santé publique relatifs à l’hébergement des données de santé. Les données collectées et traitées dans le cadre du dispositif « Télépathologie », comprenant les données du « Télédossier » ainsi que les données de connexion, seront conservées pendant une durée de trente mois maximum. Cette durée correspond aux besoins des professionnels de santé. Passé ce délai, les données seront archivées pendant dix ans directement au sein de l’établissement utilisateur du dispositif de télépathologie. 
Autorise, conformément à la présente délibération, le Groupement de coopération sanitaire (GCS) pour le développement des systèmes d’informations partagés en santé en Ile de France (D-SISIF) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1680582)
La Commission nationale de l'informatique et des libertés,
Saisie par la direction de l’animation de la recherche, des études et des statistiques du ministère du travail, de l’emploi, de la formation professionnelle et du dialogue social d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’une étude statistique sur la multi-activité et les trajectoires professionnelles des intérimaires ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale, notamment son article D. 133-9-2 ;
Vu la loi n° 51-711 du 7 juin 1951 modifiée sur l’obligation, la coordination et le secret en matière de statistique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu le décret n° 98-527 du 24 juin 1998 autorisant l'utilisation du répertoire national d'identification des personnes physiques par l’institut national de la statistique et des études économiques pour le traitement des déclarations annuelles de données sociales ;
Vu le décret n° 99-711 du 3 août 1999 relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques contenu dans les relevés de missions de travail temporaire par la direction de l'animation de la recherche, des études et des statistiques du ministère de l'emploi et de la solidarité ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 98-005 de la Commission nationale de l’informatique et des libertés du 27 janvier 1998 portant avis favorable sur la mise en œuvre par l’institut national de la statistique et des études économiques d’un traitement automatisé des déclarations annuelles de données sociales, d’une part, et sur un projet de décret autorisant l’utilisation du répertoire national d'identification des personnes physiques par l’institut national de la statistique et des études économiques pour le traitement des déclarations annuelles de données sociales, d’autre part ;
Vu la délibération n° 99-009 de la Commission nationale de l’informatique et des libertés du 9 mars 1999 portant avis favorable sur l’utilisation des numéros d'inscription au répertoire national d'identification des personnes physiques contenus dans les relevés de missions de travail temporaire, par la direction de l'animation de la recherche, des études et des statistiques du ministère de l'emploi et de la solidarité pour la production de statistique annuelle sur la population des intérimaires et d’enquête sur leur devenir professionnel ; 
Vu le dossier et ses compléments ;
Sur la proposition de Madame Marie Hélène MITJAVILE, commissaire et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Commission est saisie par la direction de l’animation de la recherche, des études et des statistiques (DARES) du ministère du travail, de l’emploi, de la formation professionnelle et du dialogue social, en sa qualité de service statistique ministériel. 
Sur la finalité
Le traitement dont est saisie la Commission a pour finalité la réalisation d’une étude statistique sur la multi-activité et les trajectoires professionnelles des intérimaires, au moyen d’un appariement de deux fichiers réalisé sur la base du numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR).
Cette étude vise plus précisément à estimer l’ampleur du cumul entre des missions d’intérim et des emplois salariés non intérimaires, ainsi qu’à comprendre les sources de l’écart entre le nombre d’intérimaires mesuré dans le fichier « INTERIM » de la DARES et celui calculé à partir des déclarations annuelles de données sociales (DADS).
A cette fin, la DARES constituera un fichier d’intérimaires ayant effectué des missions d’intérim entre le 1er janvier 2002 et le 31 décembre 2011, en procédant à une extraction de son fichier « INTERIM » qui contient notamment les NIR des membres du panel et est enrichi à partir des données transmises par Pôle emploi.
Cette extraction sera transmise à l’Institut national de la statistique et des études économiques (INSEE), aux fins :
d’apparier les données du panel sélectionné avec des données issues du fichier « Panel DADS » de l’INSEE relatives aux  parcours professionnels des intérimaires, sur la base du NIR ;
d’y ajouter les personnes n’y figurant pas mais néanmoins présentes au fichier « Panel DADS » dans le secteur de l’intérim, dans les secteurs proches, ainsi que les personnes ayant un contrat de travail temporaire ou couvertes par la convention collective des personnels intérimaires et permanents du travail temporaire, également sur la base du NIR.
La Commission relève à ce titre que le Comité du secret statistique, par décision du 7 mars 2013, a autorisé l’INSEE à accéder aux données nominatives du fichier INTERIM de la DARES.
A l’issue des opérations d’appariement, l’INSEE obtiendra un fichier dénommé « DADS provisoire » ayant une variable commune avec l’extrait du fichier « INTERIM » adressé par la DARES, à savoir le NIR. 
L’INSEE procédera dans ces deux fichiers au remplacement des NIR par une variable aléatoire non signifiante, dénommée « BIS », qui servira aux opérations d’appariement des deux fichiers. Les deux fichiers obtenus s’intituleront « INTERIM-BIS » et « DADS-BIS ».   
A compter de cette opération, l’INSEE adressera les fichiers « INTERIM-BIS » et « DADS-BIS » à la DARES pour que cette dernière puisse les apparier et réaliser sur cette base une étude statistique sur la multi-activité et les trajectoires professionnelles des intérimaires, dans les conditions prévues par la loi n° 51-711 du 7 juin 1951 modifiée sur l’obligation, la coordination et le secret en matière de statistique. 
La Commission considère que la finalité poursuivie par la DARES en l’espèce est déterminée, explicite et légitime. 
Elle estime qu’il y a lieu de faire application des dispositions de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (RNIPP).
Sur les données traitées
L’extraction du fichier « INTERIM » réalisée par la DARES et transmise à l’INSEE comporte des données relatives :
à l’identification et à la vie professionnelle des intérimaires membres du panel, à savoir :
NIR, sexe, âge, et département du domicile ;
profession et catégorie socio professionnelle ; nombre de relevés de missions d’intérim ; dates des missions d’intérim (début, fin et date du relevé de mission ; le cas échéant, précision du fait qu’une mission a commencé au cours du mois ou est en cours d’exécution le dernier jour ouvré du mois ; année du relevé de la mission d’intérim) ; durée et département du lieu de la mission ; salaire et devise du salaire ; volume de travail pendant le mois du relevé de mission ;
aux établissements utilisateurs (SIRET ; qualité du SIRET ; secteur d’activité ; département ; région ; code pays ; effectif intérimaire moyen sur les cinq jours retenus en fin de mois) ;
aux agences d’intérim (SIREN ; NIC ; département ; région).
à l’identification des personnes concernées, leur vie personnelle et leur vie professionnelle, à savoir :
NIR ; commune, département et région de résidence ; date, département et année de naissance ; genre ; indicatrice de NIR fictifs ; indicatrice de NIR hors champ ; identifiant ;
dates de mariage et de maternité ;
période d’emploi (nombre, date de début et de fin de rémunération) ; nombre d’heures rémunérées ; salaire net et brut ; durée de la paie en jours ; conditions d’emploi (temps partiel ou complet) ; convention collective ; type de contrat de travail ; indicatrice de poste annexe ; date d’entrée dans l’entreprise ; date d’entrée dans le panel ; indicatrice fonction publique hospitalière ; domaine d’emploi ;   commune, département et région du lieu de travail ; catégorie socioprofessionnelle ; diplômes ;
aux entreprises et établissements utilisateurs (SIREN ; NIC ; activité économique ; secteur public ou privé ; taille ; catégorie juridique ; nombre de salariés).
L’extraction du fichier « Panel DADS » de l’INSEE comporte des données relatives :
à l’identification et à la vie professionnelle des intérimaires membres du panel, à savoir :
NIR, sexe, âge, et département du domicile ;
profession et catégorie socio professionnelle ; nombre de relevés de missions d’intérim ; dates des missions d’intérim (début, fin et date du relevé de mission ; le cas échéant, précision du fait qu’une mission a commencé au cours du mois ou est en cours d’exécution le dernier jour ouvré du mois ; année du relevé de la mission d’intérim) ; durée et département du lieu de la mission ; salaire et devise du salaire ; volume de travail pendant le mois du relevé de mission ;
aux établissements utilisateurs (SIRET ; qualité du SIRET ; secteur d’activité ; département ; région ; code pays ; effectif intérimaire moyen sur les cinq jours retenus en fin de mois) ;
aux agences d’intérim (SIREN ; NIC ; département ; région).
à l’identification des personnes concernées, leur vie personnelle et leur vie professionnelle, à savoir :
NIR ; commune, département et région de résidence ; date, département et année de naissance ; genre ; indicatrice de NIR fictifs ; indicatrice de NIR hors champ ; identifiant ;
dates de mariage et de maternité ; 
période d’emploi (nombre, date de début et de fin de rémunération) ; nombre d’heures rémunérées ; salaire net et brut ; durée de la paie en jours ; conditions d’emploi (temps partiel ou complet) ; convention collective ; type de contrat de travail ; indicatrice de poste annexe ; date d’entrée dans l’entreprise ; date d’entrée dans le panel ; indicatrice fonction publique hospitalière ; domaine d’emploi ;   commune, département et région du lieu de travail ; catégorie socioprofessionnelle ; diplômes ;
aux entreprises et établissements utilisateurs (SIREN ; NIC ; activité économique ; secteur public ou privé ; taille ; catégorie juridique ; nombre de salariés).
L’utilisation par la DARES des NIR contenus dans les relevés des missions de travail temporaire, pour produire des statistiques sur la population des intérimaires et leur devenir professionnel, est autorisée par le décret n° 99-711 du 3 août 1999, pris après l’avis favorable de la Commission en date du 9 mars 1999. 
L’article D. 133-9-2 du code de la sécurité sociale prévoit, quant à lui, que l’INSEE est destinataire des données des DADS, au nombre desquelles figurent le NIR. 
A ce titre, la Commission relève que le décret n° 98-527 du 24 juin 1998, pris après l’avis favorable de la Commission en date du 27 janvier 1998, autorise l’INSEE à utiliser le RNIPP pour le traitement des DADS, notamment aux fins de vérification des NIR et de réalisation d’études statistiques sur l’appareil productif, l’emploi salarié et les salaires. 
La Commission rappelle enfin que, par sa délibération n° 98-005 du 27 janvier 1998, elle a rendu un avis favorable quant à la mise en œuvre par l’INSEE d’un traitement automatisé des DADS, portant notamment sur le NIR, ayant pour finalité l’étude de l’appareil productif, de l’emploi salarié et des salaires.