AgentPublic/cnil huggingface dataset:
La constitution de l’entrepôt de données de santé à caractère personnel décrit ci-dessus a, selon le dossier du demandeur, vocation à permettre de mener des études non interventionnelles liées au bon usage des médicaments ou d’évaluer les politiques publiques dans le domaine (études sur l’efficacité, l’efficience et l’utilisation d’un produit pharmaceutique, études sur le respect des restrictions de prescriptions ou dispensations en fonction du patient ou de l’existence de maladies associées détectées par la prise concomitante d’autres médicaments, études sur le respect des séquences thérapeutiques entre produits de première et deuxième intention, ou encore études sur l’effet d’une restriction de prescription ou au contraire d’une recommandation temporaire d’utilisation d’un produit).
La Commission considère que la finalité du traitement présentée est déterminée, explicite et légitime, conformément aux dispositions de l’article 6-2° de la loi.
Concernant l’exigence, posée par la loi, de l’existence d’un intérêt public afin de traiter des données à caractère personnel de santé en dehors des activités de soins ou du consentement des personnes concernées, la Commission relève que la satisfaction de l’intérêt public n’est pas réservée aux seules personnes publiques.
Au cas présent, certaines des finalités telles que présentées par la société OHC s’inscrivent dans les actions liées à la pharmacovigilance – tant au bénéfice des acteurs privés que des acteurs publics – ou sont susceptibles de permettre, par une exploitation facilitée de données collectées à J-1, d’éclairer les pouvoirs publics dans leur prise de décision en matière de politique de santé (évolution d’une épidémie, modifications de la consommation d’un médicament, etc.).
Ainsi, la Commission considère que la constitution de cet entrepôt de données issues des pharmacies d’officines à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, présente un intérêt public.
La Commission tient à rappeler que les utilisations futures des données contenues dans cet entrepôt s’inscrivent dans le cadre des dispositions du chapitre IX de la loi qui, lui aussi, impose que chaque demande de recherche, étude ou évaluation réponde à une exigence d’intérêt public.
Ainsi, la Commission estime que l’utilisation des données contenues dans le traitement qui sera mis en œuvre par OHC ne saurait, par analogie aux finalités interdites d’utilisation du système national des données de santé (SNDS), être exploitées à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d'un individu ou d'un groupe d'individus présentant un même risque.
Afin de garantir le caractère d’intérêt public des utilisations à venir des données, OHC a décidé de mettre en place un comité ad hoc chargé d’examiner les projets de recherche ou d’étude des futurs clients de la société au regard de l’intérêt public. Ce comité, placé sous la responsabilité du futur délégué à la protection des données de la société, sera composé notamment de personnes qualifiées, externes à la société ; ses décisions seront contraignantes, consultables en cas de contrôle et feront l’objet d’un rapport annuel communicable à la Commission.
Sur la nature des données traitées
Les données suivantes seront collectées :
concernant le client de la pharmacie : un identifiant unique propre à chaque pharmacie, aléatoire et non signifiant, son âge, son sexe et les dispensations de produits de santé le concernant avec le contenu de ces dispensations ;
concernant les pharmacies : les données d’identification de la pharmacie (raison sociale et adresse, qui peuvent indirectement révéler des informations sur l’identité du titulaire de la pharmacie).
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi.
Sur le dispositif envisagé et le procédé de pseudonymisation des données
Dans une première étape, les données pertinentes seront envoyées par le pharmacien d’officine volontaire à OHC, soit directement par son LGO, soit indirectement par l’intermédiaire d’un organisme concentrateur technique (OCT).
Au sein de la pharmacie, le LGO génèrera, par des algorithmes qui lui sont propres, des identifiants client aléatoires et non signifiants qui ne permettent pas le suivi d’un même client dans différentes pharmacies (une même personne aura un identifiant différent dans deux pharmacies) mais qui est constant au sein d’une même pharmacie.
OHC effectuera, dès réception des flux, une seconde pseudonymisation des identifiants des patients par un procédé de hachage à clé secrète utilisant SHA512 et une clé secrète de 512 bits.
Les données accompagnées de l’identifiant final seront ensuite stockées par OHC sur un serveur au sein de leur environnement agréé hébergeur de données de santé (HDS).
La Commission recommande qu’en cas de compromission avérée des clés, et à défaut tous les cinq ans, celles-ci soient modifiées.
S’agissant de l’algorithme utilisé pour générer les clés, les audits réguliers prévus par OHC dans le cadre de son agrément HDS vérifieront sa robustesse. En cas de compromission de l’algorithme, celui-ci devra être modifié.
En l’état actuel de la technique, et au vu des mesures de sécurité mises en places par ailleurs, la Commission estime que le procédé de pseudonymisation prévu va dans le sens des recommandations poussées par le Règlement européen sur la protection des données personnelles (RGPD) en réduisant les possibilités de ré-identification des personnes dont les données sont traitées au strict nécessaire dans ce contexte.
Sur la durée de conservation des données
La Commission prend tout d’abord acte de ce qu’aucune donnée ne sera conservée et archivée chez les OCT participant au dispositif projeté.
Le responsable de traitement souhaite conserver les données pour une durée de dix ans afin de pouvoir réaliser des analyses sur de longues périodes, dont l’utilité est avérée en matière de consommation de médicaments.
La Commission considère que cette durée de conservation des données n’excède pas la durée nécessaire à la finalité pour laquelle elles sont collectées et traitées, conformément aux dispositions de l’article 6-5° de la loi.
Sur les destinataires des données
Les clients visés par la société OHC sont principalement les industriels du secteur de la santé ou les pouvoirs publics (par exemple, la Haute autorité de santé, l’Agence nationale de sécurité du médicament et des produits de santé, la Direction générale de la santé, etc.).
La Commission relève que les clients d’OHC ne seront pas destinataires de données individuelles relatives aux clients des pharmacies. Seule OHC sera en mesure d’analyser ces données et n’envisage une communication de résultats que sous deux formes :
la réponse scientifique à la question ou aux questions posées par le client ; ou
la transmission de données brutes relatives à des comptages statistiques, avec un agrégat minimum de 50 personnes.
La Commission considère que les catégories de destinataires et les modalités de communication des résultats n’appellent pas d’observation.
Elle attire toutefois l’attention du responsable de traitement sur les obligations qui lui incombent en matière de confidentialité des données et rappelle qu’il doit :
respecter et faire respecter le secret des informations par toutes les personnes susceptibles de travailler sur ces données ;
ne pas rétrocéder ou divulguer à des tiers les informations individuelles fournies sous quelque forme que ce soit ;
ne pas procéder à des rapprochements, interconnexions, mises en relation, appariements avec tout fichier de données directement ou indirectement nominatives ou toute information susceptible de révéler l’identité d’une personne et/ou son état de santé ;
ne pas utiliser de façon détournée les informations collectées, notamment à des fins de recherche ou d’identification des personnes.
Sur l'information et les droits des personnes
Les pharmaciens d’officines seront chargés, contractuellement, d’informer leurs clients du traitement des données les concernant, ainsi que de permettre l’exercice des droits d’accès, de rectification et d’opposition qui leur sont reconnus.
Il est prévu que les personnes soient informées par un document affiché dans la pharmacie d’officine de l’identité du responsable de traitement, de sa finalité, des destinataires des informations et des modalités d’exercice de leurs droits.
La Commission demande que ces mentions soient complétées afin de recouvrir l’ensemble des informations prévues à l’article 32 de la loi, notamment concernant la durée de conservation des données.
Le responsable de traitement doit prendre les mesures nécessaires, notamment en s'assurant de leur effectivité, auprès de ses partenaires afin que les personnes concernées puissent exercer leur droit d’opposition directement dans chaque pharmacie avant toute transmission de leurs données.
Sur la sécurité des données et la traçabilité des actions
La Commission relève que la société OHC s’appuie, entre autres, sur une architecture qui a obtenu un agrément HDS.
Dans ce cadre, un audit de sécurité régulier des systèmes est mis en place par OHC.
La Commission estime que cette mesure permet de s’assurer que la sécurité des plateformes utilisées est conforme à l’état de l’art et, le cas échéant, de définir un plan d’actions correctives à mettre en œuvre.
Les échanges de données seront réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et de la destination.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.
La Commission rappelle l’importance de supprimer les permissions d'accès pour tout utilisateur n'étant plus habilité et d’effectuer régulièrement une revue globale des habilitations.
Concernant l’authentification des utilisateurs, celle-ci sera effectuée via un identifiant et un mot de passe d’au moins huit caractères, exigeant une complexité minimale ainsi qu’un renouvellement tous les 42 jours au plus et en ne pouvant répéter les 24 derniers mots de passe.
À cet égard, la Commission a élaboré une délibération 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. Elle relève ainsi que la mise en place de la politique de mots de passe élaborée par le responsable de traitement nécessite une mise à jour afin de maintenir sa conformité aux recommandations de la CNIL.
Sans information sur ce point, la Commission rappelle que les mots de passe ne doivent pas être stockés en clair et qu’elle recommande d’utiliser une fonction de hachage à clé secrète ou d’ajouter un sel avant de hacher les mots de passe.
Une journalisation des opérations de consultation, création, modification et suppression du traitement sera réalisée. Une analyse des traces régulière devrait être effectuée. La Commission recommande, à cet égard, que ce contrôle des traces soit effectué de manière automatique, afin de détecter les comportements anormaux et lever des alertes.
La Commission rappelle que la durée de conservation des journaux ne devrait pas excéder six mois en l’absence de contrainte spécifique.
Des sauvegardes régulières seront réalisées et stockées, chiffrées, avec un algorithme à l’état de l’art.
Les interventions de maintenance feront l'objet d'une traçabilité et sont effectuées en présence d’un informaticien de l’entreprise. Aucun support de stockage ayant contenu des données confidentielles ne sortira de l’entreprise sans avoir été physiquement détruit.
Des mesures sont prévues pour assurer la sécurité du réseau notamment par la mise en œuvre d’une compartimentation de celui-ci et par des systèmes de détection d’intrusion.
Enfin, le traitement a fait l'objet d'une étude des risques sur la vie privée des personnes concernées et des mesures ont été déterminées pour les traiter de manière proportionnée.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société OpenHealth Company
 à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données à caractère personnel à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, issues des données des pharmacies d’officines.
Elle rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre ultérieurement à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé sont des traitements distincts qui doivent faire l’objet, par la société OHC, de formalités propres prévues au chapitre IX de la loi.
La Présidente
 
I. FALQUE-PIERROTIN
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2017-031C du 22 décembre 2016 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tous traitements relatifs à l’objet connecté […], aux domaines […] et […] ainsi qu’aux applications […] et […] (version française) ;
Vu la décision n° 2017-041C du 22 décembre 2016 de la Présidente de la Commission de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification sur place de tous traitements relatifs à l’objet connecté […], aux domaines […] et […], ainsi qu’aux applications […] et […] (version française) ;
Vu les procès-verbaux de contrôle en ligne n° 2017-031/1 et n° 2017-041/1 des 23 et 25 janvier 2017 ainsi que les procès-verbaux n°2017-031/2 et n° 2017-041/2 du 17 novembre 2017 ;
Vu la plainte n°16028097 reçue le 8 décembre 2016 ;
Vu les autres pièces du dossier ;
Constate les faits suivants :
La société X (ci-après la société ), sise […], a pour activité principale la fourniture de jouets innovants pour enfants.
La société fabrique les jouets […] et […] qui sont ensuite distribués par la société Y sous licence exclusive en France.
La société a vendu […] robots […] et […] poupées […] en France.
La Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission ) a été saisie, le 8 décembre 2016, d’une plainte de l’association […] attirant son attention sur la vente, en France, de ces deux jouets, fabriqués par la société X et fonctionnant avec deux applications mobiles éditées par la société Z. Elle dénonçait notamment le défaut de sécurité de l’appairage[1] d’un ordiphone avec les jouets, effectué via la technologie Bluetooth.
En application des décisions n° 2017-031C et n° 2017-041C du 22 décembre 2016 de la Présidente de la Commission, une délégation de la CNIL a effectué des contrôles en ligne les 23 et 25 janvier 2017 ainsi que le 17 novembre 2017 des jouets connectés […] et […] ainsi que des sites internet et applications associés.
Ces missions ont notamment eu pour objet de vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi Informatique et Libertés ou loi du 6 janvier 1978 modifiée ) des traitements de données à caractère personnel relatifs aux objets connectés […] et […] ainsi qu’aux applications associées.
La délégation a également effectué un contrôle sur pièce auprès des sociétés Z et X en leur adressant un questionnaire par lettres recommandées internationales avec accusés de réception du 13 avril 2017.
En réponse, la société X a adressé un courrier électronique (courriel) à la CNIL, le 26 avril 2017, par le biais d’une collaboratrice française de la société située à […]. Elle sollicitait une traduction anglaise du courrier de notification du questionnaire qui lui avait été envoyé. La délégation de la CNIL a donné suite à la requête de la société, par courriel du 3 mai 2017.
La société a cependant indiqué à la CNIL, par courriel du 16 mai 2017, qu’elle ne distribuait pas les produits en cause en France et que la Commission devait contacter la société W.
Lors d’un appel téléphonique de la CNIL, du 18 mai 2017, la collaboratrice française de la société a indiqué qu’elle répondrait au questionnaire sous quelques jours.
Après relance de la CNIL du 23 mai 2017, la société a répondu au questionnaire relatif au jouet […].
Par courriel du 7 juin 2017, la CNIL a accusé réception de cette réponse et informé la société que le courrier n’était pas signé et que plusieurs réponses étaient imprécises ou manquantes.
Par courriel du 16 juin 2017, la délégation de la CNIL a pris acte, à la suite d’un échange téléphonique avec la société X, de ce que celle-ci produit et développe les jouets et applications liées aux objets […] et […].
Par courriel du 23 juin 2017, la société a indiqué à la CNIL que certaines questions nécessitaient des précisions et qu’elle rencontrait des problèmes de traduction des documents qui lui avaient été transmis par la Commission.
Par courrier envoyé à la CNIL le 4 juillet 2017, la société X a répondu au questionnaire relatif au jouet […].
Puis, par courriel du 10 juillet 2017, la société a de nouveau demandé à la CNIL de lui indiquer parmi les réponses déjà fournies lesquelles nécessitaient d’être détaillées.
Dans le cadre des contrôles en ligne des 23 et 25 janvier 2017, la délégation a constaté que les jouets […] et […] sont des jouets destinés à entretenir une conversation avec les enfants d’au moins cinq ans et à répondre à des questions diverses telles que notamment des calculs mathématiques ou encore la météo. Afin de mettre en œuvre cette fonctionnalité, les jouets sont équipés d’un microphone et d’un haut-parleur et sont associés à une application téléchargeable sur ordiphone iOS et Android.
La délégation a constaté que l’appairage aux jouets […] et […] s’effectue à partir d’un ordiphone, grâce au standard de communication Bluetooth, sans mot de passe ou identification préalable de l’utilisateur. Elle a en outre constaté qu’il était possible grâce à deux ordiphones d’entrer en communication, par l’intermédiaire du jouet, avec l’enfant ou toute autre personne se trouvant à proximité du jouet. Il a également été constaté qu’il était possible, après appairage d’un seul ordiphone, d’entendre et d’enregistrer les entrées audio du jouet grâce à l’application Dictaphone de cet ordiphone.
Il a également été constaté qu’un formulaire contenant des questions relatives à l’enfant utilisant l’application […] est présent au sein de l’application mobile. Ce formulaire ne contient aucune information relative aux traitements des données à caractère personnel mis en œuvre.
En outre, il apparaît que les enfants peuvent être amenés à fournir aux jouets une multitude d’informations les concernant ou concernant des membres de leur entourage. La délégation a constaté qu’une technologie de reconnaissance vocale convertit chaque question ou phrase émise à destination des jouets en texte afin que les applications puissent extraire les réponses de plusieurs sources Internet telles que Google Search, Wikipedia et Weather Underground.
La délégation a constaté que la société XX située […] procède à ce traitement de conversion parole-texte. Pour ce faire, la délégation a relevé que les conversations échangées avec les jouets sont transférées vers un serveur de ce prestataire. La délégation a constaté qu’aucune information relative au transfert de données à destination d’un État non membre de l’Union Européenne n’est fournie au sein des conditions d’utilisation et de la politique de confidentialité des applications […] et […].
La délégation a enfin constaté que les conversations échangées entre les utilisateurs et les jouets sont transmises depuis le serveur de la société XX vers les applications […] et […] via le protocole HTTP. 
 
II- Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée
Sur la constitution d’un traitement de données à caractère personnel
Aux termes de l’article 2 de la loi du 6 janvier 1978 modifiée constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne.
Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction .
Au regard des constats effectués lors des contrôles, il apparaît que des données à caractère personnel sont traitées par la société dès lors que les propos échangés vocalement avec les jouets sont traités par la technologie de reconnaissance vocale développée par la société XX. À cet égard, le groupe de travail de l’article 29 ( G29 ), dans son avis 4/2007 du 20 juin 2007 sur le concept de données à caractère personnel, a indiqué que la voix d’une personne est considérée comme étant une donnée à caractère personnel. En outre, la délégation a constaté que le contenu des conversations échangées avec les jouets est associé aux adresses télématiques IP ( adresses IP ) des utilisateurs qui constituent une donnée à caractère personnel.
Au surplus, il apparaît que le contenu des conversations échangées avec les jouets peut révéler les données directement ou indirectement identifiantes des enfants mais aussi de membres de leur entourage, dès lors que les enfants pourraient être amenés dans le cadre du jeu, à confier une multitude d’informations dont par exemple leur nom, prénom, adresse etc.
Il en résulte que la société traite des données à caractère personnel en application de l’article 2 de la loi du 6 janvier 1978 modifiée.
Un manquement à l’obligation de respecter la vie privée et les libertés individuelles