AgentPublic/cnil huggingface dataset:
Les alertes anonymes seront admises à titre exceptionnel si, après une incitation à s’identifier et le rappel des précautions prises pour la protection de son identité, l’auteur d’une alerte maintient sa volonté de rester anonyme.
La Commission prend ainsi acte que les alertes anonymes ne sont traitées qu’aux conditions prévues par l’article 8 de l’AU-004, à savoir :
identité, fonction et coordonnées de l'émetteur de l'alerte ;
identité, fonction et coordonnées des personnes faisant l'objet d'une alerte ;
identité, fonction et coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
faits signalés ;
éléments recueillis dans le cadre de la vérification des faits signalés ;
compte rendu des opérations de vérification ;
suites données à l'alerte.
le traitement de l’alerte s’entoure de précautions particulières telles qu’un examen préalable, par le premier destinataire, de l’opportunité de sa diffusion dans le cadre du dispositif ;
le dispositif prévoit par défaut une identification et les personnes ne sont pas incitées à l’utiliser anonymement.
identité, fonction et coordonnées de l'émetteur de l'alerte ;
identité, fonction et coordonnées des personnes faisant l'objet d'une alerte ;
identité, fonction et coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
faits signalés ;
éléments recueillis dans le cadre de la vérification des faits signalés ;
compte rendu des opérations de vérification ;
suites données à l'alerte.
le traitement de l’alerte s’entoure de précautions particulières telles qu’un examen préalable, par le premier destinataire, de l’opportunité de sa diffusion dans le cadre du dispositif ;
le dispositif prévoit par défaut une identification et les personnes ne sont pas incitées à l’utiliser anonymement.
Sur les destinataires
Le destinataire de tout ou partie des données à caractère personnel du présent traitement est, dans la limite de ses attributions le déontologue.La Commission considère que ce destinataire présente un intérêt légitime à accéder aux données du présent traitement.Elle relève, par ailleurs, que l’intégralité des personnes impliquées dans le traitement d’une alerte est astreinte à une obligation de confidentialité.Les données font l'objet d'un transfert hors de l'Union Européenne vers General Electric Company, qui en tant que maison-mère a souscrit et est liée aux règles contraignantes d'entreprise (binding corporate rules) conclues entre les sociétés du Groupe GENERAL ELECTRIC.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par un courriel adressé par le déontologue à l’ensemble des collaborateurs de  GENERAL ELECTRIC.Les personnes mises en cause par une alerte en sont informées dès l’enregistrement de données les concernant. Cette information peut toutefois être retardée le temps nécessaire à l’adoption de mesures conservatoires visant à préserver des preuves.Les droits d’accès et de rectification s’exercent directement auprès du déontologue du groupe.La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Des mesures de sécurité sont prises par le responsable de traitement afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.L’adresse électronique dédiée utilisée pour émettre une alerte ne sera accessible que par les personnes habilitées à traiter des signalements, lesquelles devront s’identifier avec des codes d’accès individuels. Conformément aux recommandations de la Commission, l’authentification des utilisateurs du traitement sera assurée par l’utilisation de mots de passe, renouvelés à intervalles réguliers, constitués d’au moins huit caractères et contenant une combinaison d’au moins trois types de caractères différents.Le traitement comporte, par ailleurs, une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier  l’utilisateur à l’origine d’une opération.Enfin, les échanges de données et connexions à distance seront assurés par l’intermédiaire d’un réseau privé virtuel.Ces mesures de sécurité n’appellent pas d’observation de la Commission au regard de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
La Commission relève que les durées de conservation prévues par le responsable de traitement sont identiques à celles mentionnées à l’article 6 de l’AU-004, à savoir :
les données relatives à une alerte considérée, dès son recueil par le responsable du traitement, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai ;
lorsque l'alerte n'est pas suivie d'une procédure disciplinaire ou judiciaire, les données sont détruites ou archivées dans un délai de deux mois à compter de la clôture des opérations de vérification ;
lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu'au terme de la procédure.
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le responsable de traitement.
Autorise, conformément à la présente délibération, GENERAL ELECTRIC à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1649225)
La Commission nationale de l'informatique et des libertés,
Saisie par la Compagnie Nationale du Rhône d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5°, 25-I-4° et 35 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 ; 
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004). 
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du fondement juridique et du champ d’application du dispositif. 
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Responsable du traitement
La Commission est saisie par la Compagnie Nationale du Rhône.
Sur la finalité
Le traitement dont est saisie la Commission a pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle dédié au traitement des alertes des collaborateurs de la Compagnie Nationale du Rhône portant sur des manquements graves dans les domaines comptable et financier, droit de la concurrence, lutte contre la corruption, discrimination et harcèlement au travail, non-respect des règles en matière d’achat (clauses abusives, abus de faiblesse, tromperie sur la qualité des produits et services).La Commission considère que cette finalité est déterminée, explicite et légitime.Elle relève que la mise en œuvre de ce traitement vise à assurer le respect des chartes éthique du groupe.La Commission rappelle qu’un dispositif d’alerte professionnelle doit être limité dans son champ d’application et que son utilisation doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations.La Commission estime qu’en l’espèce le dispositif d’alerte qui lui est présenté est limité dans son champ d’application et répond à l’intérêt légitime du responsable du traitement, conformément aux dispositions de l’article 7-5° de la loi du 6 janvier 1978 modifiée.S’agissant des modalités de signalement des alertes, la Commission prend acte que les collaborateurs de la Compagnie Nationale du Rhône disposeront d’une adresse électronique dédiée. 
Sur les données traitées
Les données collectées par l’intermédiaire du dispositif examiné par la Commission sont les suivantes :
identité, fonction et coordonnées de l'émetteur de l'alerte ;
identité, fonction et coordonnées des personnes faisant l'objet d'une alerte ;
identité, fonction et coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
faits signalés ;
éléments recueillis dans le cadre de la vérification des faits signalés ;
compte rendu des opérations de vérification ;
suites données à l'alerte.
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
La Commission rappelle que l’obligation de s’identifier à l’occasion de l’émission d’une alerte professionnelle permet de limiter les risques de mises en cause abusives ou disproportionnées.
Elle relève, à ce titre, que le dispositif conçu par la Compagnie Nationale du Rhône impose aux utilisateurs de s’identifier, étant précisé que l’identité de ces derniers est traitée de manière confidentielle.
Sur les destinataires
Les destinataires de tout ou partie des données à caractère personnel du présent traitement est, dans la limite de ses attributions le déontologue.La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.Elle relève, par ailleurs, que l’intégralité des personnes impliquées dans le traitement d’une alerte est astreinte à une obligation de confidentialité.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par un courriel adressé par le déontologue à l’ensemble des collaborateurs de la Compagnie Nationale du Rhône.Les personnes mises en cause par une alerte en sont informées dès l’enregistrement de données les concernant. Cette information peut toutefois être retardée le temps nécessaire à l’adoption de mesures conservatoires visant à préserver des preuves.Les droits d’accès et de rectification s’exercent directement auprès du déontologue du groupe.La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
les données relatives à une alerte considérée, dès son recueil par le responsable du traitement, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai ;
lorsque l'alerte n'est pas suivie d'une procédure disciplinaire ou judiciaire, les données sont détruites ou archivées dans un délai de deux mois à compter de la clôture des opérations de vérification ;
lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu'au terme de la procédure.
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le responsable de traitement.
Autorise, conformément à la présente délibération, la Compagnie Nationale du Rhône à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1599796)
La Commission nationale de l'informatique et des libertés,
Saisie par les Hospices Civils de Lyon d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dossier médical informatisé E-Nadis permettant la prise en charge des patients atteints de VIH, d’hépatites (B et C) ou victimes d’un accident d’exposition sanguine ou sexuelle (AES);
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6321-1, L. 1110-4, L. 1111-8, R. 1110-1 à R.1110-4 et R. 1111-15;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M.  Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Les Hospices Civils de Lyon (69)
Sur la finalité
- Permettre, par la mise en place d’un dossier médical partagé, une mise en commun sécurisée d’informations médicales entre acteurs chargés de la prise en charge de patients atteints de VIH ou d’hépatites (B et C) ou victimes d’un accident d’exposition sanguine ou sexuelle (AES).- Améliorer la qualité de la prise en charge globale de ces patients en assurant la coordination et la continuité des soins entre tous les intervenants auprès de ces derniers. - Etablir des statistiques à partir de données préalablement anonymisées afin de produire des indicateurs d’activité et épidémiologiques. La Commission rappelle qu’il conviendra, le cas échéant, de se conformer aux dispositions des chapitres IX ou X de la loi du 6 janvier 1978 modifiée.La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
- Concernant les patients : données d’identification (nom, prénom, sexe, date et lieu de naissance) ; numéro hospitalier d’identification du patient ; coordonnées (adresse, numéro de téléphone) ; situation familiale; situation socio-professionnelle ; données médicales : état général, antécédents médicaux, pathologies associées, examens cliniques, résultats biologiques, stade de l’infection, type d’exposition, traitement antérieurs et en cours, habitudes de vie et comportements en lien avec la pathologie et nécessaires à la prise en charge, participation aux protocoles de soins du service.- Concernant les professionnels de santé composant l’équipe chargée du suivi du patient : nom, prénom, numéros d’identification (au serveur, au logiciel e-nadis), coordonnées professionnelles et spécialité.La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
- Sont destinataires des données les professionnels de santé dûment habilités appelés à dispenser des soins aux patients dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge.- Le médecin référent de l’InVS est destinataire de la partie des informations nécessaires à la traçabilité des accidents avec exposition sanguine ou sexuelle (AES).- Des données anonymisées seront adressées au COREVIH concerné et à l’INSERM à des fins de suivi épidémiologique et d’évaluation des pratiques de soins au niveau régional et national dans les conditions des autorisations délivrées par la CNIL.La Commission considère que ces destinataires ont un intérêt légitime à connaître de ces données. 
Sur l’information et le droit d’accès
- Les patients sont informés des modalités de mise en œuvre du dossier médical partagé ainsi que des droits qui leur sont reconnus, par voie d’affichage dans les lieux de soin, ainsi que sur le site internet des Hospices Civils de Lyon.Le consentement du patient à sa prise en charge dans le cadre du réseau est recueilli à l’aide d’un formulaire, sous format papier.Le patient y est clairement informé qu’il a la possibilité de refuser d’être pris en charge dans le cadre du réseau et de revenir sur son accord à tout moment, sans conséquence sur la qualité des soins qui lui sont dispensés.Il y est également informé de l’existence d’un droit d’accès aux données qui le concerne.La Commission estime qu’afin de garantir le caractère effectif de ce droit, le formulaire devrait mentionner les modalités concrètes d’exercice du droit d’accès auprès de la direction de l’hôpital.
En outre,  l’hébergement des données relatives à un patient auprès d’un hébergeur de données de santé à caractère personnel agréé requiert son consentement éclairé et « exprès » ou celui de ses représentants légaux, le cas échéant, conformément aux dispositions de l’article L. 1111-8 du code de la santé publique. Par conséquent, la Commission estime que le formulaire de recueil du consentement doit être complété sur ce point.La Commission estime que, sous cette réserve, les modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
- Le serveur central qui héberge les données est localisé au sein des Hospices civils de Lyon, agréés pour cette prestation le 15 novembre 2011 dans les conditions définies en application de l’article L. 1111-8 du code de la santé publique. La Commission rappelle que, conformément aux dispositions de l’article R. 1111-15 dudit code, l’agrément est délivré pour une durée de trois ans et la demande de renouvellement doit être déposée au plus tard six mois avant le terme de la période d'agrément. - Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants. - Les accès aux données sont effectués via un canal de communication sécurisé par SSL.- L’authentification des professionnels de santé se fait par un identifiant/mot de passe et l’utilisation d’une carte de professionnel de santé.L’identifiant et le mot de passe sont remis aux professionnels de santé par le médecin référent. Le mot de passe doit être modifié par l’utilisateur lors de sa première connexion, puis régulièrement. Le mot de passe est constitué d’un minimum de huit caractères comportant au moins une majuscule, une majuscule et un chiffre ou un caractère spécial, conformément aux recommandations de la CNIL. La Commission rappelle que les mots de passe ne doivent pas être stockés en clair en base de données. Elle recommande ainsi d’appliquer la fonction de hachage HMAC à clé secrète avant de conserver les mots de passe.La Commission estime ces mesures de contrôle
d’accès conformes aux dispositions du Code de la santé publique issues du décret du 15 mai 2007 relatif à la confidentialité des informations médicales qui imposent désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. - Les accès à l’application font l’objet d’une journalisation répertoriant le dossier, l’action, l’auteur et l’horodatage.- Des mesures de chiffrement des données doivent être mises en place afin d’assurer leur confidentialité vis-à-vis du personnel de l’hébergeur lors de la maintenance des systèmes et afin d’éviter que les données puissent être lues en cas de vol du matériel.- La mise au point des logiciels s’effectue sur des données anonymisées ou fictives.- Des actions de sensibilisation du personnel concerné à leurs obligations en termes de sécurité et confidentialité sont mises en place lors des formations à l’utilisation du logiciel, puis lors de la remise par le médecin référent des identifiants et mots de passe.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
- La durée de conservation des données est fixée jusqu’au terme de la prise en charge du patient. A l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.
Autorise, conformément à la présente délibération, les Hospices Civils de Lyon à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1677588)
La Commission nationale de l'informatique et des libertés,
Saisie par la Régie autonome des transports parisiens d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la collecte et l’exploitation d’images de vidéos pour expérimenter des algorithmes de traçage des personnes et de détection de comportements suspects dans le cadre du projet européen Secur-ED ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité intérieure, notamment son article L. 251-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Emmanuel de GIVRY commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :