AgentPublic/cnil huggingface dataset:
la prise d’une prophylaxie pré-exposition (PrEP) dès lors que l’Agence nationale de sécurité du médicament (ANSM) aura publié une recommandation temporaire d’utilisation à ce sujet.
La nature de ces informations n’appelle pas d’observations particulières de la part de la Commission. Toutefois, la Commission considère que, dans la mesure où l’article R. 3113-2 du CSP prévoit qu’un arrêté fixe les données cliniques, biologiques et sociodémographiques devant figurer sur la fiche de notification, la collecte des données supplémentaires précitées ne pourra débuter qu’une fois ledit arrêté publié.
Sur la durée de conservation des données :
La durée de conservation des données est identique à celle fixée dans le cadre du traitement déjà existant.
La table de correspondance entre le « numéro d’anonymat » et les données d’identification de la personne est conservée par le médecin pendant douze mois en application de l’article R. 3113-3 du CSP.
La Commission prend acte de ce qu’au terme de ce délai de douze mois, la table de correspondance est détruite, l’InVS procédant de son côté à la suppression des coordonnées du prescripteur et à celles du responsable du service de biologie ou du laboratoire conformément aux dispositions de l’article R. 3113-3, dernier alinéa, du CSP.  
L’InVS envisage de conserver les données de la surveillance épidémiologique expurgées de toute donnée d’identification et du « numéro d’anonymat », pendant une durée de quatre-vingt-dix ans.
La Commission estime cette durée proportionnée aux finalités poursuivies dans la mesure où la surveillance épidémiologique du VIH/sida nécessite de pouvoir apprécier l’évolution de l’infection tant au niveau du cas individuel déclaré (de l’infection au sida jusqu’au décès, le cas échéant) qu’au niveau collectif sur l’ensemble des déclarations effectuées. Toutefois, la Commission considère qu’une réévaluation des risques d’identification devra être réalisée par l’InVS dès lors que de nouvelles variables seraient collectées.      
Sur les destinataires des données :
La Commission prend acte de ce que le projet de dématérialisation ne modifie pas les destinataires du traitement actuellement autorisé.
Ont accès aux données strictement nécessaires à l’exercice de leur fonction les acteurs de la déclaration obligatoire et de la surveillance virologique, c’est-à-dire des professionnels de santé déclarants (il s’agit des biologistes et des médecins prescripteurs de la sérologie ayant donné lieu à un diagnostic d’infection par le VIH ou prenant en charge une personne dont la séropositivité vient d’être découverte ou ayant diagnostiqué un sida), des agents habilités des Agences régionales de santé  (ARS) du lieu d’exercice du médecin, des agents habilités de l’InVS et du centre national de référence (CNR) dans le cadre de la surveillance virologique.
L’application « e-DO » permet aux biologistes et médecins de créer des comptes afin de permettre aux personnels nommément désignés, placés sous leur autorité et soumis au secret professionnel, de compléter et d’envoyer les déclarations. Lors de l’instruction, il a été précisé aux services de la CNIL que ce personnel n’aurait en aucun cas accès, dans l’application e-DO, aux données directement identifiantes des personnes ayant fait  l’objet de la déclaration.
Ainsi, seules les personnes habilitées, dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à l’accomplissement de leur mission, ont accès aux données de santé à caractère personnel. 
Sur l’information des personnes :
Une note d’information destinée aux personnes concernées par la déclaration obligatoire leur est remise par le médecin lors de l’annonce du diagnostic ou au moment qu’il jugera, en conscience, le plus opportun.
Une note d’information spécifique à la surveillance virologique de l’infection à VIH est également remise aux personnes concernées.
La Commission estime ces mesures d’information satisfaisantes au regard des dispositions prévues à l’article 32 de la loi Informatique et Libertés.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès et de rectification s’exercent auprès du département des maladies infectieuses de l’InVS par l’intermédiaire du médecin qui a procédé à la notification et uniquement pendant le délai de douze mois après que le médecin ait transmis la fiche de notification. Passé ce délai, la correspondance est supprimée ne permettant pas l’exercice des ces droits. 
La déclaration du VIH/sida étant obligatoire et découlant d’une obligation légale, le droit d’opposition prévu à l’article 38 de la loi Informatique et Libertés ne s’applique pas.
Sur la sécurité des données et la traçabilité des actions :
L’application web « e-DO » est hébergée au sein du système d’information de l’InVS. 
La Commission relève que différentes mesures de sécurité visant à assurer la confidentialité, l’intégrité et la disponibilité des données sont mises en œuvre au sein de ce réseau (cloisonnement bas niveau, filtrage applicatif, lutte contre les logiciels malveillants, hébergements physiques redondés, sauvegardes délocalisées, développement des applications à partir de jeux de données anonymisées, effacement sécurisé des données en cas de mise au rebut de matériel, architecture spécifique et dédiée d’enregistrement des traces fonctionnelles).
En particulier, la Commission prend acte de ce que les professionnels de santé accédant à l’application s’authentifient exclusivement de manière forte via leur carte de professionnel de santé (CPS). Les listes de révocation associées aux certificats déployés dans ces cartes sont régulièrement récupérées auprès de l’Agence des systèmes d’information partagés de santé (l’ASIP Santé). 
De plus, la Commission relève que des mesures techniques spécifiques de protection de l’identité des patients sont mises en œuvre (hache de l’identifiant transmis par le médecin,  cloisonné par maladie à déclaration obligatoire)..
Les mesures de sécurité décrites par le responsable de traitement sont donc conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise l’InVS à mettre en œuvre un traitement de surveillance des infections à VIH et au sida par le dispositif dématérialisé de déclaration obligatoire dénommé « e-DO ». 
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1797234)
La Commission nationale de l'informatique et des libertés,
Saisie par BNP PARIBAS SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la décision d’octroi de crédit et la prévention des impayés ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le code monétaire et financier, notamment ses articles L. 311-1, L. 313-1, L. 511-1 et L. 511-33 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
BNP PARIBAS SA, établissement de crédit.
Sur la finalité
BNP PARIBAS SA a saisi la Commission nationale de l’informatique et des libertés d’un dossier de formalités relatif à la mise en œuvre d’un traitement de données à caractère personnel dont les finalités sont l’aide à la décision d’octroi de crédit à la consommation et immobiliers et la prévention des impayés. Ce traitement doit permettre au responsable de traitement d’évaluer, sur la base de modèles de score, le risque statistique de défaut de remboursement attaché à chaque demande de crédit qui lui est présentée et de constituer des modèles de score à partir de l’analyse statistique des données personnelles en sa possession, d’en vérifier la pertinence et de les actualiser.Plus précisément, il s’agit d’évaluer, pour chaque personne présentant une demande de crédit, le risque statistique de défaillance qui lui est attaché et de sélectionner les demandes qui correspondent à un niveau de risque acceptable de défaillance. Il est, par voie de conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat en l'absence de toute  disposition législative ou réglementaire prévoyant une telle exclusion.Dès lors, ce traitement relève de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la Commission.Par sa délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique n° AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation
et à la sélection des risques en matière d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la Commission un engagement de conformité à ladite autorisation unique.Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique.L’analyse des caractéristiques du traitement, objet de la demande d’autorisation, fait apparaître des différences par rapport à l’AU-005 qui doivent dès lors être soumises à l’examen de la Commission.
Les catégories de données prises en compte pour le calcul du score attaché à chaque demande de crédit figurent parmi celles prévues par l’AU-005.La Commission observe qu’aucune décision automatisée n’est donc prise à l’égard des personnes concernées conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée.Outre les variables autorisées par l’AU 005 ; d’autres variables sont utilisées par le système de score. Il s’agit du solde du compte à vue le plus bas et de l’origine des revenus du demandeur de crédit (dirigeant de société ou à titre personnel).La Commission relève qu’aucune variable ne reçoit une pondération telle qu'elle puisse à elle seule avoir un effet d'exclusion absolue ou disqualifiant. Il en va de même pour tout ensemble de variables étroitement corrélées les unes aux autres.Elle considère que les données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.Elle rappelle que les modalités de levée du secret bancaire doivent être conformes aux dispositions de l’article L. 511-33 du code monétaire et financier telles qu’elles résultent de l’article 154 de la loi n° 2008-776 du 4 août 2008.En ce qui concerne les demandes de crédit satisfaites qui ont été présentées par de nouveaux clients, le déclarant prévoit d’utiliser le résultat du score pour évaluer le risque de crédit associé à l’emprunteur au titre de la
notation interne dite « Bâle II ». La note « Bâle II » sera, dans cette hypothèse, le résultat du score. En effet, la banque ne dispose pas d’autres éléments de référence jugés pertinents au regard des exigences de la maîtrise du risque. La Commission reconnaît la légitimité de l’utilisation du résultat de score en tant que « note Bâle II » d’un nouvel emprunteur dès lors que l’établissement de crédit n’est pas en possession d’informations plus pertinentes pour évaluer le risque de crédit qu’il représente. Elle estime que la durée de conservation de ce résultat, qui ne saurait dépasser 2 mois à compter de la dernière échéance du crédit, est adéquate au regard de la finalité du traitement.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de BNP PARIBAS SA sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention qui figure dans les documents contractuels.Les droits d’accès et de rectification s’exercent par courrier postal à l’adresse suivante : BNP Paribas, APAC TDC Val de Marne, TSA 30233, 94729 FONTENAY-SOUS-BOIS CEDEX.  La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre. Il existe des profils d'habilitation pour gérer les accès aux données.La Commission observe que la méthode d’authentification mise en place par le responsable de traitement est conforme aux recommandations de l’ANSSI.Des sauvegardes régulières sont effectuées et  stockées dans un endroit garantissant leur sécurité et leur disponibilité.Les postes de travail disposent d'un pare-feu logiciel et d'un logiciel antivirus régulièrement mis à jour. Les communications intervenant sur le réseau informatique interne sont filtrées.Les interventions de maintenance font l'objet d'une traçabilité et les opérations de consultation, de création et de modification du traitement font l’objet d’une journalisation.L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.Concernant le recours au protocole HTTPS, la Commission recommande de ne plus utiliser SSLv3, mais de préférer la version à jour de TLS. 
Autorise, conformément à la présente délibération, BNP PARIBAS SA à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1829174)
La Commission nationale de l'informatique et des libertés,
Saisie par le SAVS de l’ADAPEI de la Somme d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et l’administration des demandes d’hébergement temporaire des personnes en situation de handicap ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles notamment son article L312-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6°;
Vu la loi n°2002-2 du 2 janvier 2002 rénovant l’action sociale et médico-sociale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Laurence Dumont, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le SAVS, situé, rue de Montdidier à Roye (80700) est un établissement social et médico-social au sens de l’article L312-1 du code de l’action sociale et des familles.Cet établissement gère l’accueil et l’hébergement des personnes en situation de handicap. Il dépend de l’ADAPEI, association à but non lucratif  régie par la loi de 1901 et affiliée à l’Union Nationale des Associations des Parents de Personnes Handicapées Mentales et de leurs Amis (UNAPEI).
Sur la finalité
Le traitement mis en œuvre a pour finalités la gestion et l’administration des places médico-sociales d’accueil et d’hébergement pour personnes en situation de handicap.Il permet à l’association de faire  connaitre en temps réel, aux aidants familiaux et professionnels la disponibilité des places d’accueil temporaire au sein de son établissement.Le traitement mis en œuvre permet également aux personnes de demander un rendez-vous ou de réserver une place d’accueil par internet.La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
Sur les données traitées
Les catégories de données collectées relatives aux usagers sont relatives :
à l’identité  (nom, prénom,  adresse, date et  lieu de naissance ;
à la vie personnelle (habitudes de vie, situation familiale, mesure tutélaire éventuelle) ;
au numéro de sécurité sociale (aux seules fins de facturation et d’échange avec les organismes de sécurité sociale).
Il convient de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, portant sur le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR).
La Commission considère ces données pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Peuvent avoir accès aux données, les personnes et organismes qui, en raison de leurs fonctions et des missions qui leur sont confiées, participent au suivi ou à l’accompagnement des personnes concernées, dans la limite des seuls cas les concernant et des seules informations nécessaires à l'accomplissement de leurs missions. 
Il s’agit :
du personnel de l’établissement ;
de la Maison départementale des personnes handicapées (MDPH) ;
des services de l’assurance maladie dont dépend la structure ;
du Conseil départemental.
Des données statistiques anonymisées sont par ailleurs adressées à l’Agence Régionale de Santé (ARS).
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales figurant sur le formulaire de collecte de données, sur le site internet ainsi que dans le contrat de séjour et dans le  règlement de fonctionnement de l’établissement.La Commission rappelle que cette information doit être adaptée à l’état des personnes suivies.Les droits d’accès, de rectification et d’opposition pour des motifs légitimes s’exercent auprès du SAVS de l’ADAPEI de la Somme.Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs.Les échanges de données effectuées sur internet  sont sécurisés  par des procédés  de chiffrement de transport des données.La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
 Sur les autres caractéristiques du  traitement
Les données sont conservées pendant la période d’accueil ou d’accompagnement de l’usager et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier.A l’issue de cette durée de conservation, les données seront détruites.La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, le SAVS de l’ADAPEI de la Somme à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1861610)
La Commission nationale de l'informatique et des libertés,
Saisie par l’IME de Poix de l’ADAPEI de la Somme d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et l’administration des demandes d’hébergement temporaire des personnes en situation de handicap ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles notamment son article L312-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6°;
Vu la loi n°2002-2 du 2 janvier 2002 rénovant l’action sociale et médico-sociale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Laurence Dumont, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’IME de Poix, situé rue Ferdinand Beaumont à Poix  (80290)  est un établissement social et médico-social au sens de l’article L312-1 du code de l’action sociale et des familles.Cet établissement gère l’accueil et l’hébergement des personnes en situation de handicap. Il dépend de l’ADAPEI, association à but non lucratif  régie par la loi de 1901 et affiliée à l’Union Nationale des Associations des Parents de Personnes Handicapées Mentales et de leurs Amis (UNAPEI).
Sur la finalité
Le traitement mis en œuvre a pour finalités la gestion et l’administration des places médico-sociales d’accueil et d’hébergement pour personnes en situation de handicap.Il permet à l’association de faire  connaitre en temps réel, aux aidants familiaux et professionnels la disponibilité des places d’accueil temporaire au sein de son établissement.Le traitement mis en œuvre permet également aux personnes de demander un rendez-vous ou de réserver une place d’accueil par internet.La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
Sur les données traitées