AgentPublic/cnil huggingface dataset:
La Commission rappelle qu’il incombe au ministère de l’économie et des finances de garantir de manière constante la confidentialité, l’intégrité, la disponibilité et la traçabilité des données transmises conformément à l’article 34 de la loi du 6 janvier 1978 modifiée. 
A cet égard, la Commission constate que pour déposer les fichiers concernés sur la plateforme « POSEIDON », les personnes habilitées représentant les bailleurs sociaux ont reçu préalablement de la DGFiP un mot de passe de 8 caractères sur lequel ne pose aucune contrainte en termes de structure. Ce mot de passe permettant l’authentification des personnes en question a été transmis sans précaution technique particulière, et ces dernières sont dans l’impossibilité de le modifier. La Commission relève que ce mécanisme de génération et de transmission de mots de passe aux personnes n’est pas conforme à l’état de l’art en la matière et ne prend pas en compte les risques pouvant survenir (transmission de données erronées, interception de données,…). La Commission invite donc le ministère à revoir ce procédé afin de garantir que les personnes accédant à la plateforme soient authentifiées dans les règles de l’art. La Commission prend acte que le ministère s’engage à renforcer lesdits mots de passe (douze caractères avec des majuscules, des minuscules, des chiffres et des caractères spéciaux) pour la prochaine transmission dématérialisée prévue en début d’année 2019.
Le ministère indique que, lors de leur transmission, les données seront chiffrées au moyen du protocole TLS, précisément le ministère indique supporter les versions 1.0, 1.1 et 1.2. La Commission constate que le ministère accepte l’usage d’algorithmes obsolètes dont l’usage est proscrit par l’Agence Nationale de la Sécurité des Systèmes d’Information (« ANSSI »). La Commission souligne l’importance de suivre les recommandations de l’ANSSI et donc la nécessité pour le ministère de revoir les modalités de chiffrement des flux de données. La Commission prend acte que le ministère s’engage à modifier la configuration TLS pour privilégier la version TLS 1.2. 
En outre, la Commission regrette que le ministère n’ai pas été en mesure d’apporter d’éléments concrets concernant la prise en compte des mesures de sécurité imposées par le référentiel général de sécurité. 
Concernant les modalités de traçabilité des actions effectuées sur la plateforme « POSEIDON », la Commission rappelle que les traces doivent être conservées pendant une durée de 6 mois. La Commission prend acte que le ministère s’engage à respecter cette durée. 
La Commission prend acte que les supports de stockages mis au rebus, en panne, ou réutilisés pour d'autres traitements font l'objet d'une procédure de destruction physique ou d'un effacement sécurisé au moyen de logiciels spécifiques. La Commission note également que la mise au point des logiciels s’effectue sur des données fictives.
Enfin, les autres mesures de sécurité n’appellent pas de remarques de la part de la Commission. 
Sur la durée de conservation :
La Commission observe que la loi prévoit une transmission annuelle des informations par les bailleurs sociaux à la DGFiP, dès lors la Commission estime que la durée de conservation prévue d’un an est conforme à l’article 6-5° de la loi du 6 janvier 1978 modifiée.  
Autorise, conformément à la présente délibération, le ministère de l’économie et des finances à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(Demande d’autorisation n° 2060205)
La Commission nationale de l'informatique et des libertés,
Saisie par la société AMGEN d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la cession gratuite de médicaments à des patients sans alternative thérapeutique ou indigents ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L 5121-12, L 5121-12-1 et R 5124-2 alinéa 3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société AMGEN SAS est une entreprise spécialisée dans le commerce de produits pharmaceutiques.
Dans le cadre de la délivrance gratuite de produits à des patients sans alternative thérapeutique ou indigents, le professionnel de santé adresse sa prescription à AMGEN, qui évalue au cas par cas les demandes qui lui sont soumises. Quatre hypothèses de cession d’un médicament sont possibles : 
sur demande directe d'un médecin auprès d’AMGEM, pour un patient atteint d'une maladie grave et en impasse thérapeutique, d'un médicament dans une indication de l'autorisation de mise sur le marché (AMM) non encore prise en charge par l'assurance maladie (évaluation de  la demande de remboursement/prix par les autorités de santé en cours) ;
sur demande directe d'un médecin auprès d’AMGEM, pour un patient atteint d'une maladie grave et en impasse thérapeutique, d'un médicament dans une indication hors AMM non prise en charge par l'assurance maladie, et dont l'efficacité et la tolérance sont présumées ;
sur demande directe d'un médecin auprès d’AMGEN, d'un médicament disposant d'une AMM et remboursé, pour un patient ne disposant pas d'assurance maladie ;
sur demande directe d'un médecin auprès d’AMGEM, de produits non remboursés,  pour un patient à ressources limitées, afin d'aider dans la prévention et la  gestion des réactions cutanées associées  aux médicaments anti-EGFR.
Sur la finalité
Dans le cadre de cette cession, le traitement a pour finalités :
la collecte, l’enregistrement, l’analyse, le suivi, la documentation, la transmission, la conservation des données relatives à l’accès, l’initiation, le suivi et l’arrêt des prescriptions des médicaments cédés à titre gratuit ;
la gestion des contacts avec les médecins prescripteurs et les pharmaciens dispensateurs dans le cadre de cession à titre gratuit ;
la vérification de la pertinence de la prescription, l’intérêt en termes de bénéfice/risque pour le patient et du respect de la réglementation.
La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Le traitement comporte deux catégories de données à caractère personnel.
Les données concernant les professionnels de santé (médecin prescripteur, pharmacien dispensateur) sont transmises directement par le professionnel de santé lui-même : nom, prénom, coordonnées professionnelles (adresse postale, email et/ou téléphone), n° de Répertoire Partagé des Professionnels de Santé  (médecin).
Les données concernant les patients concernés sont transmises par le professionnel de santé (médecin prescripteur) : données d’identification (initiales, sexe, date de naissance sous la forme mois/année pour les adultes et jour/mois/année pour les enfants), données de santé (antécédents familiaux et personnels, pathologie, affection, données relatives aux soins  (histoire de la maladie, traitements reçus et en cours, tolérance, effets indésirable, résultats d’examen liés à la pathologie) et les données sur les ressources limitées (évaluation faite par le médecin prescripteur selon les critères de pauvreté de l’Institut national de la statistique et des études économiques. La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes habilitées d’AMGEN France et d’AMGEN INC pour accéder aux données sont :
le pharmacien responsable dans la limite de ses attributions et pour ce qui le concerne ;
les membres du service en charge des affaires réglementaires, des affaires médicales, de la pharmacovigilance, personnel en charge de la gestion des commandes, approvisionnement et distribution dans la limite de leurs attributions et pour ce qui les concerne ;
les prestataires de services et auditeurs, dans la limite de leurs attributions et dans les conditions définies par le contrat les liant au responsable de traitement.
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et les droits des personnes
Les personnes concernées sont informées de la manière suivante :
les professionnels de santé (médecin prescripteur, pharmacien dispensateur) sont informés par une notice adressée par AMGEN avec le courrier en réponse à la demande de produit ;
les patients sont informés par les professionnels de santé par une notice d’information fournie par AMGEN.
La Commission rappelle sur ces points que les notices d’information doivent-être conformes aux dispositions de l’article 32 de la loi informatique et libertés.
Sous réserve du respect des exigences évoquées précédemment, la Commission estime que les modalités d’informations et d’exercice des droits des personnes sont respectées.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre. 
Le responsable de traitement met en place des profils d’habilitation définissant les fonctions ou les types d’informations accessibles à un utilisateur.
Le responsable de traitement a mis en place une politique de mots de passe conforme aux recommandations de la Commission.
Ainsi, les professionnels de santé seront authentifiés par l’utilisation d’un mot de passe d’une longueur minimale de huit caractères et composé de trois types de caractères distincts avec mesures de blocage en cas d’essais infructueux.
La Commission rappelle que les mots de passe ne doivent pas être stockés en clair dans les fichiers ou bases de données.
La confidentialité des données lors des transferts est assurée par la mise en œuvre d’un dispositif de chiffrement. 
La Commission recommande de chiffrer également les sauvegardes.
Les accès à l’application sont tracés.
La mise au point des logiciels est effectuée sur des données anonymisées.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données collectées seront conservées pendant une durée de dix ans à compter de la collecte.
Cette durée apparaît justifiée au regard des finalités du traitement.
Sur les transferts de données hors Union européenne :
Le traitement fait l’objet :
- d’un transfert de données à la maison mère de la société AMGEN, située aux Etats-Unis. La finalité du traitement est la participation à l’évaluation de la demande. La nature du traitement envisagé consiste en l’évaluation des dossiers par lecture seule. Ce transfert est encadré par des Binding Corporate Rules (responsable de traitement du groupe AMGEN) ;
- d’un transfert de données  aux prestataires, situés en Inde. La finalité du traitement est relative au contrôle des données. La nature du traitement envisagé est la lecture des données. Ce transfert est encadré par un contrat de responsable de traitement à sous-traitant (clauses contractuelles types de la Commission européenne) ;
- d’un transfert de données aux  prestataires, situés aux Philippines. La finalité du traitement est relative au contrôle des données. La nature du traitement envisagé est la lecture des données. Ce transfert est encadré par un contrat de responsable de traitement à sous-traitant (clauses contractuelles types de la Commission européenne).
Autorise, conformément à la présente délibération, la société AMGEN à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(Demande d’autorisation n° 2137137)
La Commission nationale de l'informatique et des libertés,
Saisie par la société MDHC d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif de télésurveillance médicale dénommé myDiabby Healthcare ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, L. 6316-1, R. 6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu la loi n° 2017-1836 30 décembre 2017 de financement de la sécurité sociale pour 2018, notamment son article 54 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 25 avril 2017 portant cahier des charges des expérimentations relatives à la prise en charge par télésurveillance du diabète mises en œuvre sur le fondement de l'article 36 de la loi n° 2013-1203 de financement de la sécurité sociale pour 2014  ; 
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société MDHC est le responsable du traitement de données à caractère personnel mis en œuvre dans le cadre de l’utilisation de myDiabby Healthcare.
La société MDHC est spécialisée dans la conception, l’élaboration et la commercialisation de plateformes et d’outils de télésurveillance à destination de patients atteints de diabète. 
Sur la finalité
Le traitement de données à caractère personnel a pour objectif la réalisation d’actes de télésurveillance médicale des personnes atteintes de diabète, à travers la mise en place d’un dispositif, nommé myDiabby Healthcare, intégrant les fonctionnalités suivantes : 
une application mobile et un portail web à destination des patients ; 
un portail pour les professionnels de santé permettant de faciliter les interactions entre ces derniers et le patient.  
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de l’article 25-1-6° de la loi du 6 janvier 1978 modifiée (ci-après la loi « Informatique et libertés »), qui soumet à autorisation de la Commission les traitements de données parmi lesquelles figure le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR). 
Sur les données traitées
Concernant les patients, les données traitées sont : 
les données d’identification ; 
le NIR ; 
les données relatives à la vie personnelle ;  
les données de santé nécessaires à l’acte de télésurveillance ; 
les données de santé nécessaires à la réalisation de l’accompagnement thérapeutique du patient ; 
les données techniques de connexion. 
La Commission prend acte de ce que le NIR des patients ne sera utilisé qu’à des fins de remboursement du dispositif médical et des prestations associées. 
Concernant les professionnels de santé participant à la prise en charge du patient et les autres professionnels accompagnant les professionnels de santé, les données traitées sont : 
les données d’identification ; 
les données relatives à la vie professionnelle ; 
les données techniques de connexion. 
Sont également collectées les données visées à l’article R. 6316-4 du code de la santé publique. 
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi « Informatique et Libertés ».
Sur les destinataires
Les destinataires des données sont les suivants : 
les professionnels de santé authentifiés et habilités membres de l’équipe de soins en charge du patient dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge du patient ; 
les membres du personnel strictement habilités de la société MDHC à des fins de maintenance. Ces destinataires n’ont pas accès aux données de santé. 
Les données à caractère personnel seront exclusivement destinées aux personnes authentifiées et habilitées dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la réalisation de leurs missions. 
Sur l’information et le droit d’accès 
Concernant les patients
Le patient est informé oralement et par écrit par le biais d’une note d’information remise par le professionnel de santé qui le prend en charge. Cette note d’information est rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi « Informatique et Libertés ».
La Commission demande que la note d’information soit modifiée sur les points suivants : 
la société MDHC doit y être désignée comme responsable de traitement au sens de l’article 3 de la loi « Informatique et Libertés » ; 
la durée de conservation doit être complétée afin de mentionner la conservation des données en base archive avant la suppression définitive des données.
Le consentement du patient sera recueilli par écrit ou de façon dématérialisée par le professionnel de santé qui le prend en charge, après remise de la note d’information. 
 
Les droits d’accès, de rectification et d’opposition s’exercent directement auprès de la société MDHC à l’adresse unique communiquée au sein de la note d’information. Sur ce point, la Commission demande à ce que les personnes en charge de la gestion de la messagerie électronique soient sensibilisées aux dispositions de la loi relatives aux droits des personnes afin d’en assurer un exercice effectif. 
L’exercice des droits sur les données archivées s’exerce de la même manière. 
Concernant les professionnels
Les professionnels sont informés de la collecte et du traitement de leurs données par la remise d’une note d’information. 
Les droits d’accès, de rectification et d’opposition s’exercent directement auprès de la société MDHC à l’adresse unique figurant dans la note d’information. 
L’exercice des droits sur les données archivées s’exerce de la même manière. 
La Commission considère que ces modalités d’information, de recueil du consentement et d’exercice des droits sont satisfaisantes, au regard notamment des dispositions de la loi « Informatique et Libertés ». 
Sur les mesures de sécurité
Des profils d’habilitation sont définis en fonction des attributions des intervenants. Des habilitations spécifiques sont prévues pour le personnel non professionnel de santé, afin qu'il ne puisse avoir accès qu'à des données non identifiantes sur les patients.
S’agissant des professionnels de santé, le contrôle d’accès au portail se fait par une authentification forte avec une carte de professionnel de santé (CPS), un identifiant et un mot de passe pour toute transmission ou tout accès aux données de santé. 
Du fait de la mobilité des médecins, une procédure dérogatoire est prévue pour une durée limitée. Dans ce cas, il n’est pas envisagé d’authentifier les professionnels de santé par CPS mais par une authentification forte avec un identifiant, un mot de passe et un code à usage unique, adressé par SMS ou messagerie électronique. La Commission rappelle que le paramétrage du canal utilisé pour la transmission des codes à usage unique et le renouvellement du mot de passe doit être sécurisé par une authentification forte avec la CPS de l’utilisateur ou celle de son responsable s’il n’en dispose pas lui-même.
S’agissant des patients, le contrôle d’accès au portail ou à l’application dédiée s’effectue par un identifiant, un mot de passe et un code d’accès à usage unique reçu par SMS. En cas d’oubli du mot de passe principal, le processus de réinitialisation s’opère via la messagerie électronique mais exigera également la saisie d'un code à usage unique reçu par SMS afin de renforcer l'authentification de l'utilisateur. 
La Commission note que les mots de passe précités sont conformes à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. 
S’agissant des administrateurs, la Commission recommande de renforcer cette politique de mot de passe en portant la taille minimum des mots de passe à dix caractères associés à un mécanisme de verrouillage de l’accès au compte en cas de saisie multiple de mots de passe erronées.
La Commission recommande que les permissions d'accès soient attribuées pour une durée déterminée et limitée, après validation hiérarchique, qu’elles soient supprimées dès qu'un utilisateur n'est plus habilité et qu’une revue globale des habilitations attribuées soit effectuée de façon périodique et a minima une à deux fois par année.
Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et du destinataire.  Les accès au traitement se font via le protocole HTTPS, qui permet de garantir la confidentialité des données échangées ainsi que l'authentification du responsable de traitement. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible.  Les échanges avec les lecteurs de glycémie s’effectuent par le standard Bluetooth et sont chiffrés.
La Commission note que l’ensemble des données de santé à caractère personnel traitées est hébergé auprès d’un hébergeur agréé de données de santé. Les sauvegardes de données sont quotidiennes et chiffrées.
Une journalisation des opérations de consultation, création et modification des données est mise en place. La Commission rappelle qu'elle recommande, s'agissant des données de santé, que les traces soient conservées dans les dossiers des patients et pour une durée égale à la durée de conservation de ces dossiers mais que, s’agissant des journaux consignant les actions des administrateurs, elle préconise une durée de conservation de six mois.
La Commission relève qu’une messagerie est proposée. La Commission rappelle que si des échanges de données de santé sont réalisés par courriels entre professionnels de santé, ceux-ci doivent être réalisés à travers des messageries sécurisées de santé dans des conditions conformes à la délibération n° 2014-239 du 12 juin 2014. 
Un dispositif d’agrégation statistique est prévu. Le responsable de traitement s’engage à respecter, dans les jeux de données produits, les trois critères de l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29, le 10 avril 2014.
Sous réserve de l’effectivité de l’ensemble des éléments précités, la Commission considère que la sécurité du dispositif est assurée de façon adéquate, conformément à l’article 34 de la loi « Informatique et Libertés ». Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par la société est conservé trois mois en base active à compter de la fin de la période de prise en charge du patient, puis en base archive pendant dix ans compte tenu des règles de prescription applicables, augmentés le cas échéant de la durée du contentieux qui serait engagé. 
A l’issue de cette période, l’ensemble des données à caractère personnel traitées sera supprimé.