AgentPublic/cnil huggingface dataset:
Les données susceptibles d’être traitées dans le cadre des différentes expérimentations menées par Morpho sont les suivantes : nom et prénom, email ou  numéro mobile, images d’empreintes digitales, images de paumes, images d’iris, images de visages, images du réseau veineux, enregistrements de voix, tatouages, biométries comportementales (signature dynamique, démarche, frappe du clavier par exemple), silhouettes, géométrie de la main,  couleur de la peau, numéros d’identification de la personne (numéro de badge pour le personnel Morpho et référence unique aléatoire pour les autres participants)  et d’autres données d’identification (emails ou numéros de téléphone) en cas de nécessité dans le cadre expérimental. 
Une grande partie de ces données sont déjà traitées par Morpho dans le cadre de l’autorisation notifiée par la CNIL en 2010. 
Les données nouvellement traitées répondent, d’une part, aux besoins de nouveaux types de recherche (tatouages, biométries comportementales, silhouettes, géométrie de la main) et, d’autre part, à des données d’identification (emails ou numéros de téléphone) permettant une bonne gestion des protocoles de recherche et des droits des personnes dans le cadre de certains projets pilotes ou d’expérimentation.
Par ailleurs, une catégorie de données collectée en 2010 (la tranche d’âge) ne sera plus traitée.
La Commission relève que les travaux de recherche ne porteront pas sur des données nominatives. En lieu et place des noms et prénoms des personnes concernées, seuls des numéros d’identification de la personne seront traités (numéro de badge pour le personnel Morpho et référence unique aléatoire pour les autres participants). 
Concrètement, cela signifie que les données de chaque campagne d’acquisition seront regroupées et stockées sous forme de données structurées ou non et que le lien entre les données biométriques et les données identifiantes sera conservé par le Garant informatique et libertés de la société Morpho. 
La Commission considère que les données ainsi modifiées répondent à la fois à l’objectif d’approfondir certaines recherches et à celui de répondre au principe de minimisation des données d’identification. De fait, elle considère que celle-ci sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées. 
Sur la durée de conservation des données :
Depuis 2010, la société Morpho a transposé dans ses accords de consortium les règles de conservation, d’accès et de rectification des données acquises dans le cadre du projet ainsi qu’un engagement de destruction des données acquises douze mois après le terme de la durée de chaque projet de recherche (afin d’être compatible avec la finalisation des travaux de recherche -publication d’articles, thèses). Elle a également fourni à la Commission des bilans annuels de ses expérimentations. 
C’est pourquoi, au vu de ces éléments et dans ces conditions, la Commission considère  qu’une durée de conservation de 5 ans n'excède pas la durée nécessaire aux finalités pour lesquelles elles seront collectées et traitées.
Sur les destinataires des données :
Comme en 2010, les destinataires des données correspondent aux partenaires européens et internationaux de Morpho (c’est-à-dire des universités, des laboratoires de recherche, des PME et des industriels européens) liés par un partenariat avec la société Morpho (accord de consortium). 
S’agissant des partenaires ou de tout destinataire situé dans des Etats n’assurant pas un niveau de protection adéquate de la vie privée, le transfert de donnée fera l’objet d’un encadrement contractuel (Clauses contractuelles ou Binding Corporate Rules du groupe Safran) soumis pour autorisation à la Commission nationale de l’informatique et des libertés conformément aux dispositions de l’article 69 de la loi du 6 janvier 1978 modifiée.
Lors de la transmission des données biométriques, le nom et les coordonnées des volontaires seront maintenus strictement confidentiels et ne seront pas transmis.
Par conséquent, la Commission considère que les données collectées par Morpho ne sont pas traitées ultérieurement de manière incompatible avec les finalités pour lesquelles elles ont été collectées. 
Sur l'information des personnes :
Les personnes concernées par l’expérimentation sont : 
en Europe, chez Morpho : les personnels volontaires travaillant sur les sites Morpho ; 
dans l’Union européenne, chez des partenaires : les personnels volontaires des partenaires, dans le cadre de projets de recherche collaboratifs français ou européens ; 
en dehors de l’Union européenne mais au sein de Morpho : les personnes volontaires à l’étranger afin de constituer des jeux d’essais représentatifs de la diversité de la population mondiale.
Les personnes concernées seront informées, notamment des modalités d’exercice de leurs droits, au moyen d’un formulaire d’information portant mention du lieu et de la date de la campagne. Signé par chaque participant, ce formulaire permettra donc le recueil du consentement exprès de la personne concernée.
La Commission observe, pour chaque projet d’expérimentation, que le recueil du consentement des personnes pourra être demandé et recueilli dans un format électronique, dans le respect des conditions identifiées par la CNIL (opt-in).
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès, de rectification et de suppression s’exerceront auprès du Garant Informatique et Libertés de Morpho, relais de proximité du Correspondant Informatique et libertés du groupe Safran. Le droit d’accès s’effectuera par voie postale.
En cas de perte du numéro d’identification unique par la personne désirant exercer l’un de ses droits, une recherche du formulaire de consentement sera effectuée afin d’obtenir le numéro d’identification des données biométriques, ce qui n’appelle pas d’observation de la Commission. 
Sur la sécurité des données et la traçabilité des actions :
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
A cet effet, la transmission des données s’effectue au sein du réseau interne Morpho, dont l’accès est sécurisé par un pare-feu revu périodiquement et des mesures de chiffrement des données.
L’accès aux locaux est sécurisé par la présence d’un gardiennage et contrôlé par badge avec un journal de suivi des entrées-sorties.
Les formulaires de recueil de consentement remplis par les participants volontaires à la campagne d’acquisition sont conservés de manière sécurisée, sous le contrôle du responsable des campagnes d’acquisition.
Les transferts sur support externe sont sécurisés par des outils de protection certifiés par l’ANSSI. Des sauvegardes sur bande sont effectuées mensuellement et stockées dans une armoire dont les accès sont restreints.
Une procédure spécifique d’effacement des données est mise en œuvre par un effacement sécurisé. Dans ce cas, un procès-verbal de suppression est fourni au propriétaire de la base de données en tant que preuve.
Des profils d’habilitation avec droits d’accès nominatifs et approuvés par les propriétaires de la base de données sont mis en œuvre. Le contrôle d’accès logique se fait alors par mot de passe (8 caractères minimum, constitué de chiffres, lettres et caractères spéciaux) avec changement périodique.
Une journalisation est effectuée sur les accès à l’application et aux fichiers de données (horodatages de connexion/déconnexion/accès, identifiants du poste de travail et de l’utilisateur, référence des données accédées et opération effectuée en consultation/création/mise à jour/suppression).
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions et compte tenu que la société Morpho remettra à la CNIL un bilan annuel de ses expérimentations, la Commission autorise la société Morpho à mettre en œuvre, pour une durée de 5 ans, plusieurs traitements de données à caractère personnel ayant pour finalité principale la recherche sur des algorithmes d’acquisition et de reconnaissance biométrique.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 107841-V4)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque de France d’une demande de modification du dispositif de détection des chèques « présumés flambants » à l’occasion de la consultation du fichier national des chèques irréguliers (FNCI) concernant un traitement automatisé de données à caractère personnel ayant pour finalité ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L.141-4, L. 131-84 à L. 131-87, et R. 131-5 à R. 131-9 ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 24 juillet 1992 relatif au traitement automatisé des informations sur la régularité des chèques mis en œuvre par la Banque de France ;
Vu l’arrêté du Conseil Général de la Banque de France, en date du 4 février 1993, relatif à la création du traitement informatique du Fichier national des chèques irréguliers ;  
Vu la délibération n°2009-363 du 25 juin 2009 autorisant la mise en place par la Banque de France d’un dispositif de détection des chèques « présumés flambants » à l’occasion de la consultation du Fichier National des Chèques Irréguliers (FNCI) ;  
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
La Banque de France a saisi la Commission Nationale Informatique et Libertés d’une demande de modification du dispositif de détection des chèques « présumés flambants » à l’occasion de la consultation du Fichier National des Chèques Irréguliers (FNCI) afin d’enrichir le dispositif actuel en introduisant un troisième compteur complétant les deux premiers. 
On qualifie de « flambants » les chèques provenant d’un même chéquier qui sont émis auprès d’un ou plusieurs commerces dans un laps de temps très court et qui risquent, de ce fait, de se traduire par autant d’impayés, souvent irrécouvrables.
Sur le dispositif actuel :
Le dispositif actuel permet d’aider les commerçants à repérer les chèques « flambants » sur la base du nombre des consultations du FNCI qui ont été effectuées pour le même compte bancaire dans les dernières heures ou les derniers jours.
En effet, le nombre d’interrogations récentes du fichier pour un même compte bancaire correspond au nombre de chèques récemment émis sur ce compte, qui ont donné lieu à consultation du FNCI. Un nombre élevé de consultations constitue ainsi une présomption de chèques « flambants ». Il en résulte que l’information fournie par le FNCI devrait permettre aux commerçants de se prémunir contre le risque d’impayés, sans être obligés d’attendre l’inscription au FNCI du chèque ou du compte qui ne peut, par définition, intervenir qu’après constatation de l’impayé ou de la fraude.
La Commission a autorisé la Banque de France à mettre à la disposition des utilisateurs du service Vérifiance deux compteurs :
- un premier compteur indiquant le nombre d’interrogations Vérifiance sur le compte bancaire objet de la consultation depuis le début de la journée ;
- un second compteur indiquant le nombre d’interrogations durant les trois derniers jours y compris la journée en cours.
Ce dispositif utilisé depuis 2010 a prouvé son efficacité, le nombre d’impayés évités ayant doublé grâce à son utilisation. Toutefois, la Banque de France observe que les fraudeurs contournent le dispositif actuel et que les résultats d’une étude menée en 2013 sur la base d’un échantillon représentatif de transactions mettent en évidence une corrélation forte entre le nombre de consultations dans un court délai et les impayés. Dès lors, la Banque de France souhaite enrichir ce dispositif en allongeant le nombre de jours de la période de calcul.
Ces modifications n’appellent pas d’observations particulières.
Autorise la Banque de France à modifier le FNCI dans les conditions qui précèdent.
Demande à la Banque de France de mettre en place une surveillance particulière des demandes de droit d’accès et des réclamations des consommateurs et d’informer la CNIL dès les premiers signes de mauvaise utilisation du nouveau service.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1739167)
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre d’éducation thérapeutique de Bordeaux Aquitaine (CETBA) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un programme d’éducation thérapeutique pour les patients atteints de maladies cardiovasculaires et/ou facteurs de risques cardiovasculaires ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1161-1 à L. 1161-4 et D. 1161-1 à D. 1161-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 2 août 2010 relatif au cahier des charges des programmes d’éducation thérapeutique du patient et à la composition du dossier de demande de leur autorisation ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Centre d’éducation thérapeutique de Bordeaux Aquitaine (CETBA). Le CETBA est un centre référent en matière d’éducation thérapeutique en Aquitaine pour les maladies chroniques, son objectif est de former des professionnels de santé et plus particulièrement des médecins libéraux aux maladies chroniques, de réaliser la coordination de projets médicaux d’éducation thérapeutique, d’assurer l’interface entre les professionnels de santé autour de l’éducation thérapeutique avec les associations de patients usagers et le grand public ainsi que de mettre en place des relations avec les instances régionales de santé.
Sur la finalité
Ce programme d’éducation thérapeutique, intitulé « programme d’éducation thérapeutique pour les patients atteints de maladies cardiovasculaires et/ou facteurs de risques cardiovasculaires » a pour objectif d’aider les patients et leur entourage à améliorer leur qualité de vie par l’efficacité du suivi et l’efficience de leur prise en charge éducative, conformément aux dispositions des articles L.1161-2 à L.1161-4 et D.1161-1 à D.1161-2 du code de la santé publique.Sont également applicables les dispositions de l’arrêté du 2 août 2010 relatif au cahier des charges des programmes d’éducation thérapeutique du patient et à la composition du dossier de demande de leur autorisation. A ce titre, la Commission observe que l’Agence régionale de santé Aquitaine a délivré son autorisation pour la mise en œuvre du « programme d’éducation thérapeutique pour les patients atteints de maladies cardiovasculaires et/ou facteurs de risques cardiovasculaires».La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Afin de garantir le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les patients sont informés du but et des modalités de déroulement du programme, par la remise d’un document d’information et d’un formulaire de recueil du consentement à la participation au programme, rédigés au format papier.Les documents adressés aux participants mentionnent le caractère facultatif de leur participation au programme et leur droit discrétionnaire de retrait sans conséquence pour leur prise en charge ou le remboursement de leurs soins et prestations.Les participants au programme sont également informés de la possibilité qu’ils ont d’accéder à leur dossier à travers une plateforme web moyennant l’utilisation d’un identifiant et d’un mot de passe personnels. S’ils y consentent expressément, leur médecin pourra également accéder à ce dossier.Le formulaire de recueil du consentement comporte une mention spécifique relative à l’hébergement des données auprès d’un hébergeur agréé en qualité d’hébergeur de données de santé à caractère personnel.Les droits d’accès et de rectification s’exercent auprès des personnels du CETBA. La Commission rappelle qu’en application de l’article 30-I-8° de la loi du 6 janvier 1978 modifiée, doivent être précisés la fonction de la personne ou le service auprès duquel s’exerce le droit d’accès prévu à l’article 39 de la loi précitée. Les médecins sont informés, par la remise d’une notice d’information, de la mise en œuvre d’un traitement
de données les concernant ainsi que des droits d’accès, de rectification et d’opposition dont ils disposent. Sous réserve des observations précitées, la Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Concernant les habilitations d’accès :
L’application permet de créer différents profils, permettant de donner des accès aux données différents en fonction du rôle de chacun.
La Commission estime que cette solution est satisfaisante.
Concernant le contrôle d’accès :
Les patients adhérant au programme peuvent accéder à leur dossier par une plateforme web en utilisant un identifiant personnel et un mot de passe qui leur sont propres. Les mots de passe utilisés comportent huit caractères et sont composés de trois types de caractères parmi les minuscules, majuscules, chiffres et caractères spéciaux. Ils devront être modifiés dès la première connexion et renouvelés régulièrement.
L’authentification des professionnels de santé s’effectue par la combinaison d’un identifiant et d’un mot de passe.
Cette méthode ne permet pas d’obtenir une authentification forte des professionnels de santé. La Commission rappelle l’obligation d’authentifier ces personnes par l’utilisation d’une carte de professionnel de santé (CPS) ou d’un dispositif équivalent conformément à l’article L. 1110-4 du code de la santé publique.
La Commission souhaite que les professionnels de santé s’y conforment.
Au sein de l’équipe en charge du programme, les accès aux données sont limités aux personnes intervenant dans le dossier aux différents stades de la prise en charge :
le groupe des éducateurs a accès aux données administratives nécessaires à la vérification de l’éligibilité ;
le professionnel de santé référent a accès aux données de santé nécessaires au suivi ;
les groupes des médecins et professionnels de santé désignés par le patient ont accès en lecture seule aux dossiers de leurs propres patients.
L’authentification des administrateurs s’effectue par la combinaison d’un identifiant et d’un mot de passe d’une longueur de dix caractères, composé de trois types de caractères parmi les minuscules, majuscules, chiffres et caractères spéciaux.
La Commission rappelle qu’elle recommande que les mots de passe doivent être modifiés par l’utilisateur dès la première connexion, puis régulièrement. En outre, les mots de passe ne doivent pas être conservés en clair dans un fichier ou une base de données.
Concernant la traçabilité : 
Les accès et actions réalisées sur les données sont tracés. Les journaux conservent ces évènements sur une période glissante de six mois.
Les utilisateurs sont informés de la mise en œuvre d’une telle mesure au moyen d’une notice d’information.
La Commission rappelle que le cahier des charges annexé à l’arrêté du 2 août 2010 prévoit que le programme envisage l’accès du patient à la traçabilité des échanges et observe qu’en l’espèce, les accès à l’application sont effectivement tracés ainsi que le mode d’accès à chaque donnée de santé (consultation, création, mise à jour) et sont accompagnés de la date et de l’heure ainsi que l’identifiant de l’utilisateur ayant accédé aux données.
Le patient peut accéder aux traces d’accès à son dossier en faisant une demande à l’administrateur de l’outil, qui est en mesure d’accéder aux traces des accès, mais pas aux données de santé.
Concernant les transferts de données :
Les transferts de données sont sécurisés par le chiffrement des communications en utilisant le protocole HTTPS.
Les adresses mails des patients sont collectées aux fins d’envoi des convocations et d’organisation des rendez-vous.
Concernant l’hébergement :
Les données sont hébergées auprès d’un hébergeur agréé conformément à l’article L.1111-8 et suivants du code de la santé publique. 
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Sur la durée de conservation des donnéesLes données de chaque patient sont conservées 6 mois à compter de leur sortie du programme.Passé ce délai, les données pourront être conservées cinq ans en archive intermédiaire. Elles devront ensuite être supprimées ou archivées sous une forme anonyme à des fins d’évaluation du programme.La Commission considère que cette durée est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le Centre d’éducation thérapeutique de Bordeaux Aquitaine (CETBA) à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN