AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par l’association des assurés APRIL d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des conditions d’honorabilité relatives aux dirigeants de l’association ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l'accès aux activités de l'assurance et de la réassurance et leur exercice (solvabilité II), modifiée en dernier lieu par la directive 2014/51/UE du Parlement européen et du Conseil du 16 avril 2014 modifiant les directives 2003/71/CE et 2009/138/CE et les règlements (CE) n° 1060/2009, (UE) n° 1094/2010 et (UE) n° 1095/2010 en ce qui concerne les compétences de l'Autorité européenne de surveillance (Autorité européenne des assurances et des pensions professionnelles) et de l'Autorité européenne de surveillance (Autorité européenne des marchés financiers) ;
Vu le code des assurances et notamment son article L.322-2 ;
Vu le code monétaire et financier et notamment son article R.612-29-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25.I.3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2015-513 du 7 mai 2015 pris pour l'application de l'ordonnance n° 2015-378 du 2 avril 2015 transposant la directive 2009/138/CE du Parlement européen et du Conseil sur l’accès aux activités de l'assurance et de la réassurance et leur exercice (solvabilité II) ;
Vu l’ordonnance n° 2015-378 du 2 avril 2015 transposant la directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l'accès aux activités de l'assurance et de la réassurance et leur exercice (Solvabilité II) ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’association APRIL, association loi de 1901, souscripteur de contrats d’assurance au bénéfice de ses adhérents.
Sur la finalité
La finalité du traitement est d’assurer :
le suivi des conditions d’honorabilité relatives aux dirigeants de l’association ;
la transmission de ces données aux autorités de tutelle, à l’ORIAS et au greffe du tribunal de commerce conformément à la règlementation en vigueur.
Dans ce contexte, la Commission considère qu’il y a lieu de faire application des articles 25-I-3° et 9 de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur les données traitées
Les données faisant l’objet d’un traitement sont les suivantes :
- les données d’identification des mandataires sociaux : nom, prénom, adresse, date et lieu de naissance, copie de la carte d’identité ;
- les données relatives à la situation professionnelle : CV, scolarité, formation ; 
- les données relatives aux infractions et condamnations : déclaration de non condamnation, extrait du bulletin n°3 du casier judiciaire.
Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont :
l’autorité de tutelle (l’ACPR) ;
le greffe du tribunal de commerce est destinataires des données à l’exception de l’extrait du bulletin n°3 du casier judiciaire dans la mesure où la vérification est réalisée par le juge commis au registre du commerce et des sociétés sur la base de la déclaration sur l'honneur complétée pour chaque dirigeant.
l’ORIAS ;
le personnel habilité du service en charge de la gestion et du suivi des dossiers.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées du traitement de gestion et de suivi des mesures disciplinaires par une mention légale sur le formulaire ainsi que dans un courrier personnalisé.
 
Les droits d’accès et de rectification s’exercent auprès du Président de l’association à l’adresse suivante : 114 Boulevard Marius Vivier Merle 69003 Lyon. 
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.
Les permissions d'accès sont supprimées pour tout  utilisateur n'étant plus habilité.
Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial.
Les accès aux serveurs et aux bases de données sont eux aussi autorisés aux seules personnes habilitées.
Une journalisation des opérations de consultation, création et modification du traitement doit être réalisée. Les journaux sont conservés pendant un an.
Sur les autres caractéristiques du traitement
Les données traitées seront conservées pendant la durée du mandat et des obligations légales de conservation en vigueur.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’association des assurés APRIL à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la société CDM e-Health d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif de télésurveillance médicale dénommé NOMHAD ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, L. 6316-1, R. 6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 6 décembre 2016 portant cahiers des charges des expérimentations relatives à la prise en charge par télésurveillance mises en œuvre sur le fondement de l’article 36 de la loi no 2013-1203 de financement de la sécurité sociale pour 2014 ;
Vu l’arrêté du 25 avril 2017 portant cahier des charges des expérimentations relatives à la prise en charge par télésurveillance du diabète mises en œuvre sur le fondement de l'article 36 de la loi n° 2013-1203 de financement de la sécurité sociale pour 2014  ; 
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société CDM e-Health est le responsable du traitement de données à caractère personnel mis en œuvre dans le cadre de l’utilisation de NOMHAD.
Sur la finalité
Le traitement de données à caractère personnel a pour objectif la réalisation d’actes de télésurveillance médicale à travers la mise en place d’un dispositif, nommé NOMHAD, intégrant les fonctionnalités suivantes : 
une application web NOMHADChronic à destination des professionnels de santé ; 
une application mobile NOMHADMobile à destination des patients qui permet la remontée d’information et d’alerte auprès du médecin télésurveillant.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de l’article 25-1-6° de la loi du 6 janvier 1978 modifiée (ci-après la loi « Informatique et libertés »), qui soumet à autorisation de la Commission les traitements de données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR). 
Sur les données traitées
Concernant les patients, les données traitées sont : 
 
les données d’identification ; 
le NIR ; 
les données d’identification relatives au proche ou au représentant légal ; 
les données relatives à la vie personnelle ;  
les données relatives à la vie professionnelle ; 
les données de santé nécessaires à l’acte de télésurveillance ; 
les données de santé nécessaires à la réalisation de l’accompagnement thérapeutique du patient ; 
les données techniques de connexion ; 
les données relatives à la satisfaction des patients au sujet de l’utilisation NOMHAD. 
La Commission prend acte de ce que le NIR des patients ne sera utilisé qu’à des fins de remboursement du dispositif médical et des prestations associées. 
Concernant les professionnels de santé participant à la prise en charge du patient et les autres professionnels accompagnant les professionnels de santé, les données traitées sont : 
les données d’identification ; 
les données relatives à la vie professionnelle. 
Sont également collectées les données visées à l’article R. 6316-4 du code de la santé publique (CSP).
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi « Informatique et libertés ».
Sur les destinataires
Les destinataires des données sont les suivants : 
les professionnels de santé : le médecin télésurveillant et les autres professionnels de santé prenant en charge le patient et sous réserve d’avoir été expressément et préalablement autorisés par le patient ; 
l’équipe infirmière de CDM e-Health ; 
l’équipe administrative de CDM e-Health gérant le dossier administratif du patient et assurant la résolution de problèmes techniques dans le cadre du support technique de niveau 1 ; 
l’équipe technique de CDM e-Health en charge de gérer la logistique et les éventuelles problématiques liées aux matériels ; 
l’éditeur de la solution logicielle afin d’assurer les opérations de maintenance.
Un prestataire sélectionné par CDM e-Health pour la réalisation d’enquêtes de satisfaction aura accès aux seules données identifiantes nécessaires à la réalisation de ces enquêtes. 
Les données à caractère personnel seront exclusivement destinées aux personnes authentifiées et habilitées dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la réalisation de leurs missions. 
Sur l’information et les droits des personnes
Concernant les patients
Le patient est informé par le biais d’une note d’information qui sera remise par le professionnel de santé qui le prend en charge et qu’il devra transmettre, accompagné du formulaire de consentement, par courrier à la société CDM e-Health. Cette note d’information est rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi « Informatique et Libertés ».
Les patients peuvent exercer leurs droits via différent canaux : 
un numéro d’accueil client communiqué aux patients sur l’ensemble des correspondances ; 
auprès du service des données à caractère personnel de CDM e-Health ; 
auprès du médecin de l’hébergeur agréé. 
Lors de l'inclusion du patient, les équipes de CDM e-Health rappellent au patient ses droits. Cette procédure permettra de vérifier la bonne compréhension, par le patient, de l'exercice possible et du périmètre de ses droits. 
L’exercice des droits sur les données archivées s’exerce de la même manière. 
Concernant les professionnels
Les professionnels sont informés via les conditions générales d’utilisation de l’application. 
Les droits d’accès, de rectification et d’opposition s’exercent auprès du service des données à caractère personnel de CDM e- Health. 
L’exercice des droits sur les données archivées s’exerce de la même manière.
La Commission considère que ces modalités d’information, de recueil du consentement et d’exercice des droits sont satisfaisantes, au regard notamment des dispositions de la loi « Informatique et Libertés ». 
Sur les mesures de sécurité
La Commission recommande que tous les comptes à usage d’administration (comptes nominatifs et comptes génériques) soient utilisés au travers d’un bastion d’administration qui assure leur authentification, l’attribution dynamique des droits d’accès, le cloisonnement des flux réseau d’administration et la traçabilité de l’intégralité de leurs actions. 
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Des habilitations spécifiques sont prévues pour le personnel non professionnel de santé, afin qu'il ne puisse avoir accès qu'à des données pseudonymisées. 
La Commission recommande qu’une revue globale des habilitations soit opérée et que les permissions d'accès soient supprimées pour tout  utilisateur n'étant plus habilité. 
La Commission relève que l’appariement entre le terminal et les dispositifs médicaux est exclusif et réalisé, par le personnel de CDM e-Health, lors de la phase de préparation du matériel. Cette mesure est jugée satisfaisante.
En outre, elle relève que l’authentification est assurée par un mécanisme à deux facteurs pour les personnels et les patients.
L'ensemble des données de santé à caractère personnel traitées sont hébergées auprès d’un hébergeur agréé de données de santé.
Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire.
Les flux de données font également l’objet de mesures visant à chiffrer les canaux de transmissions.
La Commission recommande de chiffrer tout ou partie des données stockées, afin d’assurer qu’un administrateur accédant aux données ne pourra pas identifier directement un individu et d’assurer la confidentialité des données de santé en cas de perte ou de vol d’un support.
Elle recommande également de mettre en œuvre une politique de chiffrement comportant notamment les modalités de chiffrement des données et de gestion des clés de chiffrement.
La Commission relève que le traitement inclut le NIR à des fins de remboursement du dispositif médical et des prestations associées. Elle demande à cet égard que des mesures spécifiques et appropriées à sa sensibilité soient mises en place afin d’éviter que le NIR ne soit diffusé plus que nécessaire.
Par ailleurs, elle recommande d’ajouter aux contrats du personnel des clauses de confidentialité visant les dispositions relatives au secret professionnel évoquées à l’article L. 1111-8 du CSP. 
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par la société CDM e-Health est conservé six mois en base active à compter de la fin de la période de prise en charge du patient, puis en base archive pendant dix ans.
A l’issue de cette période, l’ensemble des données à caractère personnel traitées sera supprimé. 
Par ailleurs, les données à caractère personnel collectées dans le cadre d’opérations de facturation et la liquidation des droits (NIR) sont conservées pour une durée de deux ans à compter de la fin de la prestation. 
Autorise, conformément à la présente délibération, la société CDM e-Health à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
Délibération de la formation restreinte n° SAN-2018-001 du 08/01/2018 prononçant une sanction pécuniaire à l’encontre de la société X
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, de M. Alexandre LINDEN, Vice-président, Mme Dominique CASTERA, et M. Maurice RONAI, membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2017-068C du 1er mars 2017 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tous traitements accessibles à partir de l’URL […] ;
Vu la décision de la Présidente de la Commission portant désignation d’un rapporteur devant la formation restreinte, en date du 1er juin 2017 ;
Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société X le 17 juillet 2017 ;
Vu la demande de huis clos présentée par la société X le 7 septembre 2017 à laquelle il a été fait droit par courrier du 18 septembre 2017 ;
Vu les observations écrites de la société X reçues le 7 septembre 2017, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Etaient présents, lors de la séance de la formation restreinte du 21 septembre 2017 :
M. François PELLEGRINI, Commissaire, en son rapport ;
Maître X, […] ;
Mme Y, […] ;
M. Z, […] ;
M. XY, […] ;
M. YZ, […] ;
 
M. Michel TEIXEIRA, Commissaire du Gouvernement adjoint, n’ayant pas formulé d’observations ;
 
Le conseil de la société X ayant pris la parole en dernier ;
A adopté la décision suivante :
Faits et procédure
La société X (ci-après la société ) a pour activité le commerce de détail d’appareils électroménagers en magasin spécialisé. Son siège social est situé […].Elle emploie environ 4400 salariés et son chiffre d’affaires pour l’année 2016 s’élevait à environ 2,4 milliards d’euros. La société fait partie du groupe Y depuis juillet 2016.
 
Le 27 février 2017, l’éditeur d’un site internet spécialisé dans la sécurité des systèmes d’information a informé les services de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission) d’une violation de données à caractère personnel à partir de l’URL […]. L’éditeur indiquait que cette violation aurait permis d’accéder à plusieurs milliers de données de clients de la société.
 
En application de la décision n° 2017-068C de la Présidente de la Commission du 1er mars 2017 une délégation de la Commission a procédé à des missions de contrôle en ligne et sur place au sein des locaux de la société les 2 et 15 mars 2017. Les procès-verbaux de constats n° 2017-068 et n°2017-068/2, dressés à l’issue de ces missions, ont été notifiés à la société respectivement les 10 et 20 mars suivants.
Lors du contrôle en ligne du 2 mars 2017, la délégation a constaté que l’URL […] renvoyait vers un formulaire permettant aux clients de la société de déposer une demande de service après-vente. Une fois le formulaire obligatoirement renseigné d’une adresse électronique et d’un mot de passe, un lien hypertexte correspondant au numéro d’enregistrement de la demande permettait d’accéder à son suivi. La délégation a constaté que cet identifiant (un numéro de ticket ) est contenu dans l’adresse URL construite de la façon suivante : […] . Elle a relevé qu’en modifiant le numéro d’identifiant dans cette adresse URL, les fiches de demande de service après-vente remplies par d’autres clients de la société étaient accessibles.
 
La délégation a ainsi pu relever que 912 938 fiches étaient potentiellement accessibles et a procédé au téléchargement, par échantillonnage, de 7 417 d’entre elles. Il a été constaté que des données à caractère personnel de clients étaient accessibles sur des fiches, telles que leur nom, prénom, adresse postale, adresse de messagerie électronique ainsi que leurs commandes.
A l’issue du contrôle, la délégation a pris contact avec la société pour l’informer de l’existence de cette violation de données à caractère personnel.
Lors du contrôle sur place effectué au sein des locaux de la société le 15 mars 2017, ayant pour objet de vérifier les mesures correctrices prises à la suite de la révélation de la violation de données, la délégation a été informée du fait que la société utilise pour la gestion des demandes de service après-vente de ses clients un outil fourni par son sous-traitant, la société Z.
Cet outil est en principe alimenté par deux sources: le formulaire de demande de service après-vente accessible depuis le site de la société X et les demandes adressées par courrier électronique à une adresse dédiée. Le formulaire accessible depuis l’URL litigieuse […] constitue une troisième source d’alimentation. Ce dernier formulaire, dont la société indique n’avoir pas eu connaissance, correspond au formulaire natif développé et commercialisé par la société Z dans sa solution de gestion des demandes de service après-vente. La société a précisé qu’elle ne l’utilisait pas et qu’il n’aurait pas dû être accessible.
La délégation de la CNIL a, en outre, été informée de ce que l’URL de la forme […] permet d’accéder à l’intégralité des demandes contenues dans l’outil de gestion des demandes de service après-vente, y compris aux demandes formulées via le formulaire disponible sur le site […] et par courriers électroniques.
La société lui a également indiqué avoir contacté la société Z dès le 6 mars 2017 afin qu’elle prenne les mesures nécessaires, cette dernière lui ayant précisé que les modifications, non aisées à déployer, n’étaient pas mises en place.
La délégation a alors constaté qu’en modifiant l’identifiant numérique dans l’URL […], 918 721 fiches de demande de service après-vente de clients étaient toujours accessibles, dont 5 783 nouvelles fiches créées depuis le contrôle en ligne.
Par courrier électronique adressé à la CNIL le 16 mars 2017, la société a indiqué avoir mis en place les mesures de sécurisation nécessaires dans la soirée du 15 mars 2017, jour du contrôle sur place.
 
Aux fins d’instruction de ces éléments, la Présidente de la Commission a désigné M. PELLEGRINI en qualité de rapporteur, le 1er juin 2017, sur le fondement de l’article 46 de la loi du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après loi du 6 janvier 1978 modifiée ou loi Informatique et Libertés ).
A l’issue de son instruction, le rapporteur a notifié à la société, le 17 juillet 2017, un rapport détaillant les manquements à la loi Informatique et Libertés qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la CNIL de prononcer une sanction pécuniaire de 200 000 euros, qui serait rendue publique.