AgentPublic/cnil huggingface dataset:
Les échanges sur internet sont chiffrés via l’utilisation du protocole SSL.
Des solutions de firewall, de détection d’intrusion, d’antivirus, sont déployées au sein du traitement. Celui-ci est également mis en œuvre sur un réseau isolé. Les environnements de développement et de production sont distincts. Les développements sont réalisés sur des jeux de données fictifs.
Des profils d’habilitation définissent les fonctions ou types d’informations accessibles à un utilisateur. Le traitement met en œuvre une traçabilité des accès à l’application lors de la consultation, création, mise à jour et suppression des données à caractère personnel.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées un an à compter de leur collecte afin de pouvoir procéder à l’analyse et à la restitution des résultats par le groupe de travail « climat scolaire » désigné dans le département. 
Les documents papier constitués par les coupons réponses retournés par les responsables légaux sont conservés dans le bureau du directeur de l’école durant l’année scolaire de réalisation de l’enquête, puis supprimés à l’issue de la durée de conservation précitée.
La Commission considère que ces durées n’excèdent pas celles nécessaires aux finalités pour lesquelles les données sont collectées et traitées, conformément à l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, le ministère de l’éducation nationale à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(Demande d’autorisation n° 917038)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Association Française contre les Myopathies (AFM-Téléthon) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution du registre français des dystrophinopathies ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-1° et 25-I-2° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L’Association Française contre les Myopathies (ci-après AFM-Téléthon) 
Sur la finalité
L’AFM-Téléthon souhaite constituer un registre français des dystrophinopathies qui rassemble les données médicales, génétiques et cliniques, des personnes présentant la myopathie de Duchenne ou de Becker et d’autres maladies liées à une mutation du gène de la distrophine en France. Il s’agit de maladies rares pour lesquelles il n’existe pas à ce jour de traitement curatif.  
Ce registre a pour objectifs de :
faciliter le recrutement des patients pouvant participer à des essais cliniques réalisés en France ;
d’améliorer les connaissances sur la maladie par la recherche, d’en comprendre notamment les mécanismes génétiques.
La Commission rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre, à des fins de recherche dans le domaine de la santé, à partir des données centralisées au sein du registre, sont des traitements distincts qui doivent faire l’objet de formalités propres au titre du chapitre IX de la loi Informatique et Libertés.
La Commission considère ces finalités comme déterminées, légitimes et explicites au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions de l’article 25-I-2° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements automatisés portant sur des données génétiques hormis ceux utilisés à des fins de médecine préventive, des diagnostics médicaux ou dans le cadre de l’administration de soins ou de traitements.
Sur les données traitées
Le registre inclut tout patient ayant un diagnostic génétique de dystrophinopathie et des signes cliniques de la maladie, suivi dans l’un des centres de référence ou de compétences des maladies neuromusculaires situés au niveau de plusieurs centres hospitaliers. 4 000 personnes environ pourraient être concernées.   
Les données proviennent des centres hospitaliers participant au registre. 
Les données relatives aux patients figurant dans le registre sont les suivantes :
des données identifiantes (nom, prénom, sexe, date  de naissance, commune de naissance, code postal de résidence et de naissance, email) ;
des données cliniques (telles que la description de la maladie et de ses conséquences sur les muscles, le cœur, les poumons, etc.) ;
des données génétiques (telles que la description précise des anomalies du gène responsable de la maladie).
Seuls le médecin et le laboratoire de diagnostic moléculaire ayant diagnostiqué la maladie accèdent aux données nominatives de leur patient.  
Les données cliniques et génétiques seront par ailleurs accessibles sous la forme codée dans le cadre de projets de recherche dans le domaine de la santé ultérieurs.
Des données à caractère personnel relatives aux médecins référents sont également traitées (nom, prénom, email ou numéro de téléphone ou, à des fins d’authentification, identifiant de la carte de professionnel de santé).
La Commission considère que, compte tenu des finalités poursuivies, la collecte de ces données est pertinente au sens du 3° de l’article 6 de la loi « informatique et libertés ». 
Sur les destinataires
Chaque médecin des centres de référence ou de compétence accède aux données de ses patients. Il en va de même des laboratoires de diagnostic moléculaire.
Les données codées seront accessibles aux équipes de chercheurs  dans le cadre de projets de recherche sous réserve de l’accord d’un comité de pilotage créé au sein du registre composé d’un responsable scientifique, d’un représentant de chaque partie prenante au registre (dont un représentant des associations de patients). Ce comité veillera en particulier à ce que les projets de recherche effectués depuis les données du registre disposent des autorisations réglementaires adéquates.
Le patient dispose également d’une interface lui permettant de consulter ses données. 
Sur les droits des personnes 
Une note d’information individuelle et des formulaires de recueil du consentement sont prévus dans les conditions décrites ci-dessous.
Les personnes concernées sont informées directement par le médecin au moment de la pose du diagnostic pour les patients nouvellement diagnostiqués ou lors d’une consultation de suivi pour les patients déjà diagnostiqués. Une note d’information, comprenant l’ensemble des mentions prévues par l’article 32 de la loi informatique et libertés, est remise au patient ou aux titulaires de l’autorité parentale lorsqu’il s’agit d’un mineur. 
La Commission rappelle que cette information initiale ne peut se substituer à l’information individuelle prévue par les dispositions de l’article 57 de la loi « informatique et libertés » et qui devra être réalisée pour chaque projet de recherche.
Un consentement spécifique écrit est recueilli auprès du patient adulte ou des titulaires de l’autorité parentale pour le traitement des données de leur enfant. 
Le consentement de l’enfant est également demandé lorsqu’il est apte à exprimer sa volonté. Le consentement porte sur la participation au registre. 
La Commission prend acte de ce que les données génétiques détenues dans le registre sont des données produites à l’occasion d’actes de soins et qu’aucune nouvelle analyse n’est réalisée spécifiquement pour le registre. Elle relève donc que les données contenues dans le registre pourront faire l’objet d’une réutilisation à des fins de recherche sans que le recueil d’un consentement écrit spécifique à chaque projet soit nécessaire.
Les droits d’accès, de rectification et d’opposition s’exercent directement auprès du médecin en charge du patient qui prendra contact avec le responsable scientifique du registre.
La Commission rappelle que le responsable de traitement doit prendre les mesures effectives dans le cas où une personne retirerait son consentement. Dans cette hypothèse, les données devront être détruites, ce qui devra être rappelé dans la note d’information.
Sur les mesures de sécurité
Le traitement s’appuie sur une plateforme bénéficiant d’un agrément en matière d’hébergement de données de santé. Si les serveurs sont virtualisés, ils bénéficient d’un cloisonnement logique garanti par un hyperviseur n’appelant pas d’observations.
Les communications réseaux sont cloisonnées au sein de la plateforme d’une part, les échanges entre les serveurs applicatifs et de base de données sont chiffrés au moyen du protocole IPSEC d’autre part. Les échanges sur internet sont quant à eux sécurisés au moyen du protocole HTTPS.
Une politique d’habilitation et d’authentification rigoureuse est mise en œuvre.
Les accès en qualité d’administrateur aux serveurs de production sont filtrés au moyen de serveurs bastion. Leur traçabilité est adossée à l’authentification par carte de personnel autorisé.
L’architecture technique n’appelle pas d’observations.
Les utilisateurs sont authentifiés par un identifiant et un mot de passe respectant la recommandation de la CNIL en la matière. Leur traçabilité est assurée au niveau de l’application.
S’agissant des mesures techniques destinées à limiter les risques de ré-identification par les chercheurs des données médicales : l’utilisation d’un identifiant pivot, ID_portail, permet le cas échant de rapprocher l’identité du patient de ses données médicales. Les équipes de recherche pour lesquelles une extraction des données sera réalisée ne disposeront que de l’identifiant et non des données nominatives.
Sur la durée de conservation des données
La durée de conservation du registre est de trente ans. Cette durée correspond à celle prévue pour la conservation des comptes rendus d'analyses des caractéristiques génétiques de biologie médicale ainsi que de leur commentaire explicatif par les laboratoires d'analyses de biologie médicale, conformément à l’article R. 1131-20 du code de santé publique.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Association Française contre les Myopathies (AFM-Téléthon) à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(Demande d’autorisation n° 1270413)
La Commission nationale de l'informatique et des libertés,
Saisie par les ministères de l’économie et des finances et de l’action et des comptes publics d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de gérer les dossiers de la Direction des affaires juridiques et de piloter son activité dénommé « SILLAGE » ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2008-342 du 18 septembre 2008 autorisant la mise en œuvre par le ministère de l’économie des finances et de l’emploi et le ministère du budget, des comptes publics et de la fonction publique d’un traitement de données à caractère personnel ayant pour finalité la gestion électronique des dossiers de la direction des affaires juridiques et des documents qui leur sont associés ainsi que d’une base documentaire (ADAJ) ; 
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le traitement dénommé « SILLAGE » est mis en œuvre par la Direction des Affaires Juridiques (DAJ) relevant du ministère de l’économie et des finances et du ministère de l’action et des comptes publics.
Sur les finalités
Le traitement « SILLAGE » remplace le traitement dénommé « ADAJ » sur lequel la Commission s’est déjà prononcée dans  le cadre de la délibération susvisée n°2008-342 du 18 septembre 2008.
Le traitement projeté doit permettre, d’une part, la gestion des dossiers traités par la DAJ, et, d’autre part, le pilotage de l’activité de la DAJ. À cet égard, la Commission relève qu’en tant qu’Agent Judiciaire de l’Etat (AJE), la DAJ exerce à ce titre le monopole de la représentation de l’Etat devant les juridictions de l’ordre judiciaire.
Elle relève également que la DAJ peut être amenée dans le cadre de ses missions à traiter des dossiers de nature différente : des dossiers de consultation juridique, des dossiers de contentieux judiciaires, des dossiers de contentieux administratifs et des dossiers de « coordination/gestion » (suivi de courriers ou de notes administratives). 
La Commission relève en outre que le traitement projeté doit permettre :
la création et la mise à jour des dossiers métiers (en particulier de saisir des fiches contenant des informations relatives au dossier concerné, ou de rattacher des documents bureautiques ou numérisés à un dossier) ;
d’effectuer des recherches multicritères tant sur les éléments des dossiers que sur le contenu des documents attachés ;
l’export de dossiers et de statistiques ;
l’envoi de dossiers sortants (réponses à des consultations juridiques) à partir d’une boîte aux lettres fonctionnelle dédiée ;
la gestion d’un carnet d’adresses : l’application contient des fiches contact référençant les personnes intervenant dans les dossiers, elles permettent ainsi de lier des contacts à des dossiers et d’effectuer des recherches directement par contact ;
la gestion des utilisateurs et leurs habilitations dans l’application. 
La Commission estime que les finalités du traitement sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Outre les différentes informations transmises, de manière déclarative, pour l’instruction d’un dossier, la Commission relève que plusieurs catégories de données à caractère personnel peuvent être enregistrées dans le traitement « SILLAGE ». 
En premier lieu, les données traitées dans « SILLAGE » sont relatives à l’identification (civilité, nom, prénom, adresse électronique et numéro de téléphone) et à la vie professionnelle (situation professionnelle) des personnes concernées par le traitement. 
La Commission relève à ce titre que le traitement « SILLAGE » peut concerner plusieurs catégories de personnes : les parties au litige, les avocats intervenant dans le cadre du réseau Agent Judiciaire de l’Etat (AJE), les utilisateurs de l’application (agents de la DAJ), les agents des ministères économiques et financiers ainsi que les agents publics référencés en tant que « contact » dans les dossiers de consultation juridique. 
En second lieu, parmi les données traitées, « SILLAGE » est susceptible de contenir des données relatives à des infractions, condamnations ou à des mesures de sûreté, au sens de l’article 9 de la loi du 6 janvier 1978 modifiée. La Commission relève que le responsable de traitement constitue une autorité publique, agissant dans le cadre de ses attributions légales et est, dès lors habilité, conformément à l’article 9-1° de la loi précitée, à mettre en œuvre un traitement portant sur de telles données.
Au regard de ces éléments, la Commission estime que les données enregistrées dans le traitement sont adéquates, pertinentes, et non excessives au regard des finalités poursuivies, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes accédant directement aux données et informations enregistrées dans « SILLAGE » sont, dans la limite de leurs habilitations respectives et du besoin d’en connaître, les agents de la DAJ et, dans les mêmes conditions, certains agents du service de l’environnement professionnel du secrétariat général des ministères économiques et financiers afin d’assurer le fonctionnement technique de l’application. 
La Commission estime que l’accès aux données enregistrées dans le traitement par les personnels des ministères susvisés est justifié au regard des missions qui leur sont confiées. 
Sur l’information et le droit d’accès 
Les personnes concernées par le traitement sont informées  conformément aux dispositions l’article 32 de la loi du 6 janvier 1978 modifiée. Cette information est délivrée par le biais de mentions spécifiques figurant sur les documents (courriers et courriels) qui leur sont adressés dans le cadre du traitement des dossiers les concernant, ainsi que sur la page internet de la DAJ.
S’agissant des affaires de contentieux judiciaires pour lesquels la DAJ fait appel à son réseau d’avocats, le responsable de traitement a prévu une « lettre circulaire » à destination de ces derniers. Cette « lettre circulaire » doit permettre de les informer du traitement de leurs données dans « SILLAGE » et les inviter à informer, pour le compte du responsable de traitement, les personnes susceptibles d’être concernées par le traitement de leurs données dans « SILLAGE » et avec lesquelles ils sont amenés à avoir des contacts réguliers (parties aux litiges, avocat de la partie adverse, toute personne intervenant dans la procédure, etc.). 
Les droits d’accès et de rectification, prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s’exercent directement auprès de la DAJ. 
La Commission prend acte que le responsable de traitement entend écarter l’application du droit d’opposition pour motifs légitimes, prévu à l’article 38 de la loi du 6 janvier 1978 modifiée, dès lors que le traitement projeté répond à une obligation légale. 
Sur les mesures de sécurité
La Commission relève que des mesures de sécurité logique et physique sont mises en œuvre pour préserver la sécurité des données enregistrées dans le traitement.
Des sauvegardes quotidiennes sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité.
Des profils d’habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Les permissions d’accès sont supprimées pour tout utilisateur n’étant plus habilité.
Le responsable de traitement a mis en œuvre une politique de mot de passe exigeant un mot de passe de quatorze caractères, lequel doit comprendre au minimum trois des quatre critères de complexité suivants : une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial. À cet égard, la Commission a élaboré dans une délibération 2017-012 du 19 janvier 2017 l’adoption d'une recommandation relative aux mots de passe. Elle relève ainsi que la mise en place de la politique de mots de passe élaborée par le responsable de traitement nécessite une mise à jour afin de maintenir sa conformité aux recommandations de la Commission.
Le réseau des ministères fait l’objet de mesures de filtrage ayant pour but de restreindre l’émission et la réception des flux réseau aux machines identifiées et autorisées. Les accès distants sont sécurisés via un VPN chiffré.
Dans ces conditions, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Pour garantir l’utilisation de certaines fonctionnalités, il est prévu que le traitement « SILLAGE » fasse l’objet d’une interconnexion avec l’annuaire « ANAIS » (annuaire des agents des ministères) et avec la messagerie des ministères. 
Les données enregistrées dans « SILLAGE » sont conservées pendant la durée d’instruction du dossier, puis cinq ans à compter de sa clôture. 
Si la Commission prend acte que la durée de conservation ainsi définie doit permettre de faciliter le traitement d’un dossier en cas de réouverture de celui-ci et de rechercher des précédents pour assurer une doctrine cohérente et homogène de la DAJ, à l’issue de cette durée, les données et informations enregistrées dans « SILLAGE » sont supprimées. 
La Commission rappelle à cet égard que cette suppression devra  intervenir de manière sécurisée ou, le cas échéant, les données devront être archivées dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public pour les organismes soumis à ces dispositions.
Sous réserve de ce qui précède, la Commission estime que la durée de conservation n’est pas excessive au regard des finalités poursuivies par le traitement conformément aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, les ministères de l’économie et des finances et de l’action et des comptes publics à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(Saisine n° 17022735)
La Commission nationale de l’informatique et des libertés, 
Saisie par le cabinet Marvell Avocats, le 13 novembre 2017, d’une demande de délivrance de label concernant sa formation RGPD intitulée « Initiation à la protection des données et aux démarches de mise en conformité avec le RGPD »;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2017-220 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de formation relative à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;