AgentPublic/cnil huggingface dataset:
L’inclusion des patients dans le réseau requiert le consentement éclairé et «exprès » du patient ou de ses représentants légaux. Ces derniers sont informés des modalités de prise en charge au sein du réseau, ainsi que des droits qui leur sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’une note d’information individuelle sous format papier, rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée. Cette note devra préciser que le refus de prise en charge dans le cadre du réseau sera sans conséquence sur la prise en charge médicale du paient.Le consentement libre, éclairé et exprès du patient à la création d’un dossier médical partagé le concernant sera recueilli par le médecin onco-généticien en contact direct avec le patient qui aura diagnostiqué chez lui une prédisposition génétique au cancer au cours d’une consultation de génétique médicale spécialisés en onco-génétique effectuée dans l’un des centres participant au réseau à l’aide d’un document formalisant son accord.Les droits d’accès et de rectification s’exercent en adressant un courrier postal auprès de la direction du réseau ou auprès d’un médecin.Les patients ont la possibilité de quitter le réseau à tout moment sans conséquence sur la qualité des soins qui leur sont dispensés et ils en sont clairement informés.La Commission estime que, dans ces conditions, ces modalités d’information et d’exercice des droits n’appellent pas d’observation.
Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants et des données concernées.Le contrôle des accès aux dossiers des patients s’effectue par un identifiant associé à un mot de passe qui seront transmis par courrier distinct. La Commission rappelle que le mot de passe doit être composé de huit caractères comportant au moins une majuscule, une minuscule et un chiffre ou un caractère spécial. Il doit être modifié par l’utilisateur dès sa première connexion, puis régulièrement. Elle rappelle que les mots de passe ne doivent pas être stockés en clair en base de données. Elle recommande ainsi d’appliquer la fonction de hachage HMAC à clé secrète avant de conserver les mots de passe.La Commission rappelle également que l’authentification des professionnels de santé par login/mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une CPS ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. La Commission demande au responsable de traitement de se conformer à ces exigences.Les accès à l’application font l’objet d’une journalisation répertoriant le dossier, l’opération effectuée, l’identification de
l’utilisateur et l’horodatage. La Commission rappelle qu’il convient d’informer les personnels concernés de la mise en œuvre de ces mesures. Elle recommande qu’un contrôle des traces soit effectué de manière automatique pour détecter les comportements anormaux et assorti d’une levée d’alerte. Elle recommande également que des mesures soient mises en œuvre pour assurer l’intégrité des traces associées aux actions effectuées sur les données de santé.L’application met en œuvre des procédés de chiffrement du transport des données (protocole HTTPS). La mise en œuvre du chiffrement doit être conforme à l’état de l’art.Les données sont sauvegardées quotidiennement sur bandes, stockées dans un coffre-fort ignifugé. La Commission recommande que les données sauvegardées soient chiffrées.Le système d’information du réseau est hébergé par le centre George François Leclerc, qui héberge également les données des Centres hospitaliers universitaires de Dijon et de Besançon et doit, à ce titre, satisfaire aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du Code de la santé publique. Toutefois, la Commission prend acte que chaque établissement de soins n’aura accès qu’aux données qui concernent les patients qu’il prend en charge.Des procédures de sauvegarde, de continuité  et de reprise d’activité doivent être formalisées et mises en œuvre.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont
conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées jusqu’au terme de la prise en charge du patient. A l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.A l’issue de l’expérimentation, le centre George François Leclerc qui remettra un bilan à l’INCa qui se prononcera sur l’opportunité de développer ce mode de prise en charge au plan national. La poursuite du projet et son déploiement seront subordonnés à l’accomplissement de formalités préalables auprès de la CNIL.
Autorise, conformément à la présente délibération, le centre George François Leclerc à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1691114)
La Commission nationale de l’informatique et des libertés ; 
Saisie par le réseau d’accompagnement et de soins palliatifs du bordelais l’Estey d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la création d’un dossier médical informatisé et partagé ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6321-1, L. 1110-4, L. 1111-8, L. 6316-1 et R. 6316-1; 
Vu le code de la sécurité sociale, notamment son article R.162-1-16 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le réseau d’accompagnement et de soins palliatifs du bordelais « l’Estey »(33) est un réseau d’accompagnement et de soins dont l’objectif principal est de favoriser le maintien à domicile de personnes malades nécessitant des besoins palliatifs. Les soins palliatifs sont des soins prodigués, dans une approche globale et pluridisciplinaire, à la personne atteinte d'une maladie grave, évolutive ou terminale, à sa famille et à ses proches. Aux termes de l’article R.162-1-16 du code de la sécurité sociale, l’équipe de soins palliatifs à domicile peut faire appel aux réseaux de santé prévus à l'article L. 6321-1 du code de la santé publique, notamment en ce qui concerne l'évaluation des besoins des personnes, la permanence de l'accompagnement et la continuité des soins. 
Sur la finalité
Le traitement projeté poursuit les finalités suivantes : - Permettre, par la mise en place d’un dossier médical partagé au sein d’un réseau de soins palliatifs, une mise en commun sécurisée d’informations médicales et sociales entre les acteurs médicaux, para-médicaux et sociaux qui prennent en charge les personnes malades nécessitant des soins palliatifs. - Améliorer la qualité de la prise en charge, de la prise de décision et la coordination et la continuité des soins entre tous les intervenants de diverses disciplines (médecin coordonnateur, infirmière, travailleur social, psychologue ou psychiatre, aide-soignant, pharmacien, kinésithérapeute, psychomotricien …).- Permettre le maintien à domicile des patients qui le souhaitent par un accompagnement médico-social, prévenir les hospitalisations et, si nécessaire, orienter les personnes ou leurs familles vers les structures de soins et de prise en charge les plus adaptées à leur situation.- Assurer une permanence téléphonique au bénéfice des patients et de leurs proches. - Harmoniser les protocoles de soins spécifiques aux soins palliatifs ainsi que favoriser des actions de formation. - Etablir des statistiques à partir de données préalablement anonymisées afin de produire des indicateurs d’activité et épidémiologiques. La Commission rappelle à cet égard qu’il conviendra, le cas échéant, de se conformer aux dispositions des chapitres IX ou X de la loi du 6 janvier 1978 modifiée.La Commission considère les finalités
poursuivies comme déterminées, explicites et légitimes au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Concernant les patients, les données traitées et échangées sont :
des données d’identification (nom, prénom, date de naissance) ; 
les coordonnées ;
des donnes relatives à la situation familiale ; 
les coordonnées du patient, des proches pouvant être contactés, de la personne de confiance, du médecin traitant ; 
les données médicales et médico-sociales nécessaires à la prise en charge (nature de la pathologie, état général du patient, douleurs, traitements en cours; conditions de vie et comportements utiles à la prise en charge, motif d’un appel au cours de la permanence téléphonique). 
des données d’identification (nom, prénom, coordonnées professionnelles et spécialité).
Concernant les professionnels de santé ou du secteur médico-social composant l’équipe chargée du suivi du patient, les données traitées et échangées sont : 
des données d’identification (nom, prénom, date de naissance) ; 
les coordonnées ;
des donnes relatives à la situation familiale ; 
les coordonnées du patient, des proches pouvant être contactés, de la personne de confiance, du médecin traitant ; 
les données médicales et médico-sociales nécessaires à la prise en charge (nature de la pathologie, état général du patient, douleurs, traitements en cours; conditions de vie et comportements utiles à la prise en charge, motif d’un appel au cours de la permanence téléphonique). 
des données d’identification (nom, prénom, coordonnées professionnelles et spécialité).
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnels suivants peuvent avoir accès aux données du traitement : 
Les acteurs médicaux, paramédicaux et sociaux adhérant au réseau, dûment habilités, intervenant dans la prise en charge des patients (professionnels de santé, aides à domicile libéraux, institutionnels publics et privés, services de soins infirmiers à domicile, services sociaux), dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge ; 
le médecin traitant coordonnant l’intervention des différents acteurs de l’équipe soignante ; 
l’équipe de coordination sous la responsabilité du médecin coordonnateur.
La Commission relève que les professionnels adhérant au réseau signent une charte qui décrit ses modalités de fonctionnement et s’engagent à en respecter les termes.
La Commission considère que la liste des destinataires du traitement est appropriée au regard de la finalité du traitement.
Sur l’information et le droit d’accès
L’inclusion d’un patient dans le réseau, effectuée à l’initiative du médecin traitant, et l’hébergement de leurs données auprès d’un hébergeur de données de santé à caractère personnel requièrent le consentement éclairé et « exprès » du patient ou celui de ses représentants légaux. A cet effet, ces derniers sont informés des modalités de mise en œuvre du dossier médical partagé, ainsi que des droits qui leur sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’un document d’information et d’un formulaire de recueil du consentement à la prise en charge dans le cadre du réseau sous format papier, rédigé, notamment, pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.Le consentement du patient, ou de ses représentants légaux, à la création d’un dossier médical partagé le concernant et à l’hébergement de ses données sera recueilli à l’aide d’un formulaire papier.Le patient a la possibilité de quitter le réseau à tout moment sans conséquence sur la qualité des soins qui lui sont prodigués et il en est clairement informé.Le patient peut exercer son droit d’accès au dossier et à la liste des personnes qui y ont eu accès auprès du médecin qui le prend en charge ou du siège social du réseau.Dans ces conditions, la Commission estime que ces modalités d’information et d’exercice des droits n’appellent pas d’observation.
Sur les mesures de sécurité
Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants. Le contrôle des accès aux dossiers des patients s’effectue par une carte de professionnel de santé (CPS) ou par un porte clés électronique générateur d’un mot de passe à usage unique (OTP), associés à un code PIN. La Commission estime ces mesures de contrôle d’accès conformes aux dispositions du décret du 15 mai 2007 relatif à la confidentialité des informations médicales, qui impose désormais une authentification forte des professionnels de santé par l’utilisation d’une CPS ou par un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. Les accès à l’application font l’objet d’une journalisation. La Commission rappelle qu’il convient d’informer les personnels concernés de la mise en œuvre de ces mesures. Elle recommande qu’un contrôle des traces soit effectué de manière automatique pour détecter les comportements anormaux et assorti d’une levée d’alerte. Elle recommande également que des mesures soient mises en œuvre pour assurer l’intégrité des traces associées aux actions effectuées sur les données de santé. Elle rappelle, enfin, que la conservation des traces ne peut excéder une durée de six mois au-delà de laquelle celles-ci doivent être supprimées. L’application met en œuvre des procédés de chiffrement du transport des données. La mise en œuvre du chiffrement doit être conforme à l’état
de l’art.Le système d’information du réseau est hébergé par CIS Valley, qui doit satisfaire aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique, pour l’hébergement du service considéré.Des procédures de sauvegarde, de continuité et de reprise d’activité doivent être formalisées et mises en œuvre.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées jusqu’au terme de la prise en charge du patient. A l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.
Autorise, conformément à la présente délibération, le réseau d’accompagnement et de soins palliatifs du bordelais l’Estey, à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1582058)
La Commission nationale de l'informatique et des libertés,
Saisie par la société TRAVELBOUND EUROPEAN TOURS Limited d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la Cnil n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (AU-04) telle que modifiée;
Vu le dossier et ses compléments ;
Sur la proposition de  Madame Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (autorisation unique n°004). 
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du fondement juridique. 
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Responsable du traitement
Le groupe TUI Travel «Touristik Union International» auquel appartient la société TRAVELBOUND EUROPEAN TOURS Limited, est le tour-opérateur britannique numéro un du tourisme en Europe. Il est présent dans plus de 180 pays.
Sur la finalité
La société TRAVELBOUND EUROPEAN TOURS Limited a déposé un dossier de demande d’autorisation pour la mise en place d’un dispositif d’alerte professionnelle dédié à traiter les cas de manquements graves relevant du domaine comptable, financier, bancaire, de lutte contre la corruption et de pratiques anticoncurrentielles.Elle observe que le traitement objet de la présente délibération répond aux exigences prévues par l’autorisation unique, à l’exception des dispositions de l’article 1er relatives au  fondement juridique. En effet, la société TRAVELBOUND EUROPEAN TOURS Limited n’est soumise à aucune des dispositions visées par l’autorisation unique (droit français, loi «SOX» américaine du 31 juillet 2002, loi japonaise «Financial Instrument and exchange Act» du 6 juin 2006). Toutefois, le groupe auquel appartient la société TRAVELBOUND EUROPEAN TOURS Limited est soumis à la loi britannique du 8 avril 2010 dite «UK bribery act» entrée en vigueur le 1er juillet 2011. Cette loi instaure un nouveau délit qui consiste à sanctionner une personne morale pour défaut de prévention de la corruption. Ainsi, selon la section 7 de la loi susvisée, s’expose  à une amende toute personne morale dans le monde                  « conduisant, même en partie, des affaires au Royaume-Uni » dont l’une des « personnes associées » est responsable d’actes ou de tentatives de corruption, sauf pour la personne morale à démontrer qu’elle avait mis en place des « procédures adéquates » conçues pour prévenir
de tels actes. Le ministère de la justice britannique a adopté des lignes directrices pour accompagner les entreprises dans leur mise en conformité à cette loi. L’une des mesures consiste à instaurer un dispositif d’alerte professionnelle «Whistleblowing» pour inciter les salariés à signaler des cas de corruption dont ils auraient connaissance.La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.Le champ du dispositif d’alerte professionnelle est restreint et strictement limité aux manquements graves relevant du domaine comptable, financier, bancaire, de lutte contre la corruption et de pratiques anticoncurrentielles.La Commission estime que la finalité poursuivie est légitime.
Sur les données traitées
Les données seront identiques à celles mentionnées dans l’autorisation unique n°4, à savoir :
identité, fonctions et coordonnées de l'émetteur de l'alerte professionnelle ; 
identité, fonctions et coordonnées des personnes faisant l'objet d'une alerte ; 
identité, fonctions et coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ; 
faits signalés ; 
éléments recueillis dans le cadre de la vérification des faits signalés ; 
compte rendu des opérations de vérification ; 
suites données à l'alerte.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées. 
Sur le traitement de l’identité de l’émetteur de l’alerte, la Commission considère que l’obligation de s’identifier pour la personne à l’origine de l’alerte est de nature à limiter le risque de mise en cause abusive ou disproportionnée de l'intégrité professionnelle, voire personnelle des personnes concernées.
L’émetteur de l’alerte professionnelle est invité à s’identifier. Son identité est traitée de façon confidentielle par les personnes chargées de la gestion des alertes. 
Enfin, la Commission observe qu’il est clairement rappelé que l’utilisation abusive de ce dispositif peut exposer son auteur à des sanctions disciplinaires, ainsi qu’à des poursuites judiciaires.
Sur les destinataires
Sont destinataires de tout ou partie des données, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le personnel du prestataire extérieur (People Intouch) et celui du département de l’audit de la société TUI Travel. Les personnes chargées du recueil et du traitement des alertes professionnelles sont en nombre limité, spécialement formées et astreintes à une obligation renforcée de confidentialité contractuellement définie.La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès