AgentPublic/cnil huggingface dataset:
L'expérimentation envisagée sur le parvis de La Défense durerait un mois et les données traitées par JCDecaux durant cette période seraient supprimées 15 jours après cette expérimentation, dès les statistiques de fréquentation élaborées. Cette durée n'appelle pas d'observation de la Commission.
Sur les destinataires des données :
Les personnes habilitées à accéder aux données brutes seraient le personnel des services chargés des études et de la recherche et développement (R&D) de la société JCDecaux et son prestataire, ce qui n'appelle aucune observation de la Commission. Sur la sécurité des données : La société JCDecaux a indiqué mettre en œuvre ce traitement en ayant recours à une technique d'anonymisation des données quasiment immédiate. Dans le projet tel qu'exposé ci-dessus, les données collectées par les boîtiers seraient transmises toutes les deux minutes, tronquées du dernier demi-octet de l'adresse MAC avant d'être hachées en utilisant un sel propre à JCDecaux. A la fin des quatre semaines d'expérimentation, les données brutes seraient agrégées à des fins d'analyse, puis supprimées.
La société JCDecaux fait valoir que ce procédé  d'anonymisation  constitue une garantie suffisante propre à assurer le respect des droits et libertés fondamentaux des personnes et, notamment, à permettre la délivrance de l'information limitée prévue à l'article 32-IV de la loi du 6 janvier 1978 modifiée.
Après avoir analysé le dispositif présenté par la société JCDecaux, en l'état actuel de la technique, la Commission considère que le procédé présenté ne saurait être qualifié de technique d'anonymisation, notamment du fait que la société JCDecaux est en mesure de rejouer le procédé de chiffrement, cette société utilisant un sel qui lui est propre et connu, et en raison du faible taux de collision proposé. 
La Commission rappelle que l'enjeu de la qualification de données anonymisées est central dans la mesure où les données ainsi produites ne relèvent plus de la catégorie des données personnelles et ne bénéficient pas de la protection attachée à cette qualification au-delà du traitement nécessaire à l'anonymisation.
La société JCDecaux a élaboré son projet à partir du postulat que la technique employée permettrait d'anonymiser les données. En l'espèce, le procédé présenté par la société JCDecaux ne présente pas de garanties suffisantes.
La finalité du traitement telle qu'exposée viserait non seulement à compter le nombre de terminaux mobiles détectés, mais aussi à mesurer la répétition - c'est-à-dire la récurrence de passage à proximité d'un mobilier publicitaire JCDecaux - et à déterminer les parcours susceptibles d'être réalisés d'un mobilier publicitaire à un autre équipés d'un dispositif de mesure d'audience. Dès lors, l'objectif du projet que la société JCDecaux souhaite mettre en œuvre ne viserait pas seulement à évaluer le nombre de personnes qui passent sur l'esplanade de La Défense sur une durée d'un mois, mais à estimer le nombre de passants, leur parcours et le nombre de fois où un même passant repasse sur l'esplanade sur une période donnée.
Or, pour qu'une solution d'anonymisation soit efficace, elle doit empêcher toutes les parties d'isoler un individu dans un ensemble de données, de relier entre eux deux enregistrements dans un ensemble de données (ou dans deux ensembles de données séparés) et de déduire des informations de cet ensemble de données. Ces critères n'étant pas compatibles avec la finalité du projet que la société JCDecaux souhaite mettre en œuvre, ils ne sont pas satisfaits par le procédé présenté, ce dernier étant une technique de pseudonymisation, permettant toujours la corrélation et l'inférence. Les mesures de pseudonymisation mises en place pour assurer la sécurité de la collecte des données  sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée - et sont complétées par l'engagement de JCDecaux de n'identifier en aucune manière un terminal mobile ni son propriétaire - mais elles ne permettent pas d'assurer une anonymisation des données.
Dès lors, les données n'étant pas anonymisées, le traitement de données à caractère personnel qui serait mis en œuvre par la société JCDecaux doit respecter les droits des personnes concernées.Sur l'information et le respect des droits des personnes :
La collecte des données se fait de façon automatique dès lors que les personnes concernées entrent dans le périmètre des panneaux publicitaires équipés de boîtiers et disposent d'un terminal dont l'interface Wi-Fi est activée.
Cette fonctionnalité commune sur nombre d'appareils permet notamment aux terminaux équipés d'être reliés à un réseau de communication électronique. La mesure d'audience envisagée serait réalisée par l'exploitation des propriétés de cette fonctionnalité Wi-Fi sans que celle-ci soit conçue pour cela.
Dès lors, la Commission constate que les données collectées par les boîtiers Wi-Fi prévus pour l'expérimentation ne seraient pas fournies par les personnes en vue de participer à la mesure d'audience mais en vue d'une connexion potentielle à un réseau de communication électronique. 
La collecte et le traitement des données seraient donc pour une large mesure opérés à l'insu des personnes qui ne disposeraient pas de la possibilité d'exercer leurs droits, et notamment de s'opposer à ce traitement, sauf à renoncer à la possibilité de se connecter à un réseau de communication électronique. Les personnes concernées ne seraient pas non plus informées de manière satisfaisante de la mise en œuvre de ce traitement.
En effet, la société JCDecaux propose que l'information des personnes figure sur le mât des six mobiliers contenant un boîtier, et soit matérialisée sur un panonceau de format A4 (les panneaux ayant une dimension de 2,5 x 1,7 mètres), qui mentionnerait l'identité du responsable de traitement et la finalité poursuivie par le traitement.
Etant donné que la portée maximale des capteurs installés sur les six dispositifs publicitaires serait de 25 mètres, et que l'information serait affichée uniquement sur des panonceaux de formats A4 - sur une esplanade ouverte à laquelle les piétons accèdent sans emprunter une entrée ou une sortie pouvant servir de support de diffusion de l'information - il ne peut être assuré que l'ensemble des personnes concernées ait effectivement connaissance de cette information. 
La Commission rappelle que l'article 90 du décret du 20 octobre 2005 modifié prévoit que :  Le responsable du traitement porte directement à la connaissance des personnes auprès desquelles sont recueillies des données à caractère personnel les informations énumérées au I de l'article 32 de la loi du 6 janvier 1978 susvisée sur le support de collecte ou, à défaut, sur un document préalablement porté à leur connaissance en caractères lisibles. En application du 6° du I du même article, il les informe également, dans les mêmes conditions, des coordonnées du service compétent auprès duquel elles peuvent exercer leurs droits d'opposition, d'accès et de rectification .
Dès lors, la Commission constate que les modalités d'information proposées ne sont pas conformes aux dispositions du décret précité puisqu'elles ne permettent pas de porter directement à la connaissance des personnes concernées les informations mentionnées à l'article 32-I de la loi, et ceci indépendamment du contenu de l'information.
De plus, il n'est pas envisagé que les droits d'opposition, d'accès et de rectification trouvent à s'appliquer, compte tenu de la finalité du traitement et de ses modalités de mise en œuvre.
La Commission estime donc que la collecte ainsi réalisée sans connaissance et sans information suffisante des personnes ne pourrait être qualifiée de loyale au sens de l'article 6 de la loi du 6 janvier 1978 modifiée et que les droits des personnes ne sont pas respectés. 
En l'absence d'information suffisante des personnes, le contrôle de proportionnalité opéré par la Commission sur le fondement de la loi du 6 janvier 1978, entre les risques présentés par le traitement et les garanties apportées pour le respect des droits des personnes, conduit à refuser d'autoriser le traitement de données à caractère personnel ayant pour finalité de tester une méthodologie d'estimation quantitative des flux piétons sur la dalle de La Défense.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code de la santé publique, notamment ses articles L. 1121-1 (1er), L. 1211-2, L. 1241-1, L. 5221-1 et suivants, R. 5211-26 et R. 5221-1 et suivants ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 54, alinéa 5 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Formule les observations suivantes :En application de l'article 54 de la loi du 6 janvier 1978 modifiée (ci-après loi Informatique et libertés), la commission peut homologuer et publier des méthodologies de référence, établies en concertation avec le comité consultatif sur le traitement de l'information en matière de recherche dans le domaine de la santé (ci-après, le CCTIRS) ainsi qu'avec les organismes publics et privés représentatifs.Ces méthodologies, destinées à simplifier la procédure de demande d'autorisation recherche du chapitre IX, portent sur les catégories les plus usuelles de traitements automatisés ayant pour finalité la recherche dans le domaine de la santé et qui portent sur des données ne permettant pas une identification directe des personnes concernées.Dans la mesure où les études de performances effectuées en matière de dispositifs médicaux de diagnostic in vitro sont conduites selon des méthodologies standardisées, la commission estime nécessaire de simplifier la procédure ainsi prévue en adoptant une méthodologie de référence dédiée à ces études non interventionnelles après qu'une concertation ait été engagée avec le CCTIRS, le Syndicat de l'industrie du diagnostic in vitro (le SIDIV) et l'Agence nationale de sécurité du médicament et des produits de santé (l'ANSM).Ainsi, les responsables de traitement qui
adresseront un engagement de conformité à cette méthodologie de référence seront autorisés à mettre en œuvre les traitements dès lors que ceux-ci répondraient aux conditions fixées par celle-ci.Décide :
Définitions et champ d'application.1. DéfinitionsLe responsable de traitement correspond à toute personne physique ou morale qui détermine les finalités et les moyens de l'étude et ainsi assume la responsabilité de sa mise en œuvre, en application de l'article 3 de la loi du 6 janvier 1978 modifiée dite  Informatique et libertés .Le chargé de mise en œuvre correspond à l'organisme désigné par le responsable de traitement pour mettre en œuvre l'étude concernée.L'investigateur correspond à la personne physique qui dirige et surveille la réalisation de l'étude non interventionnelle de performances.2. Traitements concernésSeuls peuvent faire l'objet d'un engagement de conformité par référence à la présente méthodologie de référence les traitements ayant pour finalités la réalisation d'études non interventionnelles de performances soumises aux dispositions des articles L. 1121-1 (1er), L. 1211-2 et L. 1241-1 du code de la santé publique relatives aux dispositifs de diagnostic in vitro et produits visés au livre II, titre II, de la cinquième partie du code de la santé publique, mis en œuvre par les entreprises ou organismes.Ces traitements de données à caractère personnel sont ceux mis en œuvre dans le cadre des études non interventionnelles de performances portant sur les dispositifs médicaux de diagnostic in vitro (ci-après, DM DIV) réalisées dans des conditions conformes aux articles L. 5221-1 et suivants du code de la santé publique.Sont exclus du champ d'application de la
présente méthodologie de référence, les traitements de données à caractère personnel ne répondant pas à la finalité précitée, notamment, les traitements réalisés dans le cadre des études suivantes :
- les recherches mentionnées aux articles R. 1121-1 et R. 1121-3 du code de la santé publique qui entrent dans le champ d'application des dispositions des articles L. 1121-1 et suivants dudit code relatifs aux recherches biomédicales ;- les études qui mettent en œuvre un traitement de données à caractère personnel faisant apparaître l'identité complète des personnes se prêtant à l'étude ;- les études épidémiologiques, les études médico-économiques et notamment celles relevant des dispositions du chapitre X de la loi Informatique et libertés ;- les études dont l'objet principal est l'étude des comportements ;- les études en génétique qui ont pour objet d'identifier les personnes par leurs caractéristiques génétiques ou les investigations génétiques portant sur des données sensibles pour lesquelles une rupture de confidentialité pourrait porter atteinte au statut ou à l'état psychologique, familial, social, économique de la personne qui s'est prêtée à la recherche.
Article 2
Finalités des traitements.Les traitements de données à caractère personnel ont pour seule finalité la réalisation des études non interventionnelles de performances énumérées dans le champ d'application ci-dessus.Ces traitements incluent la gestion des données relatives aux personnes se prêtant à des études non interventionnelles de performances, en vue de permettre le recueil, la saisie des cahiers d'observation, le contrôle de validité et de cohérence et l'analyse statistique des données recueillies au cours de l'étude.
Article 3
Nature des données traitées.S'agissant des données relatives aux personnes faisant l'objet de l'étude :Les seules catégories de données à caractère personnel relatives aux personnes participant à une étude non interventionnelle de performances des DM DIV pouvant faire l'objet du traitement sont les suivantes :
- identification : code alphanumérique à l'exclusion des nom(s), prénom(s) et du numéro d'inscription au répertoire national d'identification des personnes physiques. Le code alphanumérique peut correspondre aux deux premières lettres du nom et à la première du prénom. Il est toutefois recommandé de se limiter aux seules initiales, c'est-à-dire à la première lettre du nom et à la première lettre du prénom dès lors qu'un numéro est également attribué à l'inclusion de la personne ;- santé : thérapie suivie, résultats d'examens, événements indésirables, antécédents personnels ou familiaux, maladies ou événements associés ;- informations signalétiques : âge ou date de naissance (mois/année), sexe, poids, taille ;- date d'inclusion dans l'étude ;- origine ethnique, dès lors que sa collecte est scientifiquement justifiée dans le protocole de l'étude ;- variations génétiques incluant les polymorphismes génétiques et/ou variations de l'expression des gènes, en relation à la réponse à un médicament ou à un produit ou avec la thérapeutique ;- consommation de tabac, alcool, drogues ;- habitudes de vie et comportements : exercice physique (intensité, fréquence, durée), régime et comportement alimentaire ;- vie sexuelle.
En application de l'article 6 (3°) de la loi Informatique et libertés, les données traitées doivent être pertinentes, adéquates et non excessives au regard des finalités du traitement. Dès lors, chacune des catégories de données précitées ne peut être collectée que si elle est justifiée scientifiquement et strictement nécessaire à la réalisation de l'étude menée en application de la présente méthodologie.Seul l'investigateur conserve le lien entre l'identité codée des personnes faisant l'objet de l'étude et leur nom(s) et prénom(s).Les données relatives aux personnes participant à l'étude proviennent des intéressés eux-mêmes et des investigateurs.S'agissant des données relatives aux investigateurs et autres professionnels intervenant pour la mise en œuvre de l'étude :Les seules catégories de données à caractère personnel pouvant faire l'objet d'un traitement sont les suivantes :
- identité : nom(s) prénom(s), sexe, adresse, adresse électronique, téléphone ;- formation - diplôme(s) ;- montant des indemnités et rémunérations perçues ;- participation à d'autres études ;- vie professionnelle : cursus professionnel.
Les données relatives aux investigateurs et aux autres professionnels intervenant dans la mise en œuvre de l'étude non interventionnelle de performances des DM DIV proviennent des intéressés eux-mêmes, des autres intervenants ou de listes publiques.
Article 4
Sur les destinataires.Ont accès aux données traitées, dans les limites de leurs habilitations au regard de leur fonction et dans des conditions conformes à la réglementation, les catégories de personnes suivantes :
- les personnes, désignées par le responsable de traitement chargées de contrôler et d'évaluer la qualité et l'authenticité des données contenues dans les études réalisées, et notamment par la comparaison des données enregistrées avec le contenu des documents sources ;
S'agissant des contrôles menés pour s'assurer de la qualité de l'étude et notamment de l'accès des attachés de recherche clinique (ARC) et techniciens d'étude clinique (TEC) aux dossiers médicaux des patients, ils doivent répondre aux règles suivantes en matière de confidentialité :
- ils doivent être réalisés sous la direction et la surveillance d'un médecin ;- les personnes doivent être mandatées par le promoteur et être soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal ;- les personnes concernées doivent en être informées et donner leur accord ;- la personne chargée du contrôle qualité ne peut avoir accès qu'aux données individuelles nécessaires à ce contrôle, préalablement identifiées par l'investigateur ;- les données collectées servent à vérifier l'authenticité et la cohérence des informations recueillies dans le cahier d'observation et si nécessaire à les corriger, compléter, pour autant que les règles de confidentialité soient respectées ;
- les personnes chargées des analyses statistiques ;- les membres des services en charge des affaires réglementaires et de l'enregistrement auprès des autorités compétentes des DM DIV ;- les inspecteurs d'autorités sanitaires et d'autorités publiques de contrôle légalement habilités, dans le cadre d'une mission particulière ou de l'exercice d'un droit de communication.
Article 5
Les droits des personnes.Sur l'information des personnes faisant l'objet de l'étudeOutre une information générale sur l'éventualité que leurs données puissent être utilisées à des fins de recherche, en application de l'article 37 du décret n° 2005-1309 du 20 octobre 2005 modifié, les participants à l'étude sont, en application de l'article 57 de la loi Informatique et libertés, préalablement et individuellement informés du traitement de leurs données à caractère personnel, notamment de :
- la nature des données transmises ;- la finalité du traitement des données ;- les personnes physiques ou morales destinataires des données ;- l'existence de droits d'accès de rectification, d'opposition et de retrait discrétionnaire ainsi que des modalités d'exercice de ces droits.
Cette information individuelle doit s'opérer dans des conditions conformes à l'article 36 du décret précité.Dès lors que l'étude relèverait des dispositions prévues aux L. 1211-2, alinéa 2, et L. 1241-1 du code de la santé publique, ainsi que par l'article 56 de la loi Informatique et libertés, le consentement des personnes est requis. Les modalités d'expression du consentement précité doivent s'opérer dans des conditions conformes à celles requises par ces dispositions.Dans l'hypothèse où la règlementation n'impose pas le recueil du consentement des personnes concernées, celles-ci doivent être informées de leur droit de pouvoir s'opposer préalablement ou pendant leur participation à l'étude.Le droit d'accès peut être exercé à tout moment, soit directement auprès de l'investigateur, soit auprès de l'investigateur par l'intermédiaire d'un médecin désigné à cet effet par l'intéressé.Le droit de rectification prévu par l'article 40 de la loi Informatique et libertés vise la correction de données inexactes, incomplètes ou équivoques au moment de leur collecte. La rectification de ces données pourra être effectuée à tout moment pendant la durée de l'étude auprès de l'investigateur qui doit y donner suite dans un délai maximum de deux mois.Sur l'information des investigateurs et des professionnels intervenant dans la mise en œuvre de l'étudeL'information est délivrée par une mention figurant sur des documents remis aux personnes concernées ou sur les conventions signées par les
intervenants. Cette information reprend les mentions prévues à l'article 32-I de la loi Informatique et libertés, notamment les modalités d'exercice des droits d'accès et de rectification.Le droit d'accès s'exerce à tout moment auprès du responsable de traitement.
Sur les durées de conservation.Les données à caractère personnel des participants à l'étude non interventionnelle de performances ne peuvent être conservées dans les systèmes d'information de l'organisme que jusqu'au rapport final de l'étude ou jusqu'à l'enregistrement du DM DIV auprès des autorités compétentes.Elles font ensuite l'objet d'un archivage sur support papier ou informatique.Les personnes énumérées à l'article 4 peuvent en tant que de besoin accéder à ces données afin d'effectuer des analyses complémentaires ou dans le cadre de nouvelles demandes d'enregistrement auprès des autorités compétentes des dispositifs visés dès lors que les traitements ainsi mis en œuvre le seraient pour une finalité compatible avec la finalité initiale conformément à l'article 6 de la loi Informatique et libertés.Les données à caractère personnel des investigateurs et professionnels intervenant dans la mise en œuvre de l'étude non interventionnelle de performances ne peuvent être conservées au-delà d'un délai de cinq ans après la fin de la dernière étude à laquelle a participé la personne en application de l'article R. 5211-26 du code de la santé publique.Elles font ensuite l'objet d'un archivage sur support papier ou informatique.Les personnes énumérées à l'article 4 peuvent en tant que de besoin accéder à ces données afin d'effectuer des analyses complémentaires ou dans le cadre de nouvelles demandes d'enregistrement auprès des autorités compétentes des dispositifs ou pour solliciter
la personne pour participer à de nouveaux travaux d'étude.
Article 7
Sur les transferts des données.Seules des données anonymes ou codées des participants à l'étude non interventionnelle de performances des DM DIV peuvent être transmises hors de l'Union européenne.Les données à caractère personnel des investigateurs et professionnels intervenant dans la mise en œuvre de l'étude non interventionnelle de performances peuvent être transférées hors de l'Union européenne, lorsque ce transfert est strictement nécessaire à la mise en œuvre de l'étude non interventionnelle de performances ou à l'enregistrement du DM DIV dans un pays qui le requiert, dans les conditions d'encadrement rappelées ci-après.Tout transfert des données vers un pays non membre de l'Union européenne doit s'opérer conformément aux dispositions spécifiques de la loi précitée relatives aux transferts internationaux de données, notamment en son article 69.Il est satisfait à ces dispositions lorsque l'une des conditions suivantes est réunie :