AgentPublic/cnil huggingface dataset:
Le premier volet consiste en un recueil de données de croissance et des stades pubertaires de l'enfant par auto questionnaires sous format papier ou électronique. Les  paires  mère/enfant, au nombre de 1410, y répondent, à raison d'une fois par an, durant une huitaine d'années. Ce volet prend fin une fois que l'enfant indique dans le questionnaire avoir atteint un stade de développement adulte. Ces questionnaires sont régulièrement adressés au Centre hospitalier de Rennes par courrier électronique ou postal.Concernant ce volet, la Commission observe qu'une déclaration normale a été effectuée le 3 décembre 2014 auprès de la Commission, sous le numéro 1816495. Le second volet concerne 500 enfants de 12 ans et correspond à un recueil de données au cours d'un examen clinique pratiqué, pour les besoins de l'étude, au Centre hospitalier de Rennes. Cet examen, d'une durée de deux heures, est conduit par un pédiatre. Au cours de celui-ci, des prélèvements salivaires, sanguins et capillaires sont effectués, notamment en vue de constituer une collection d'échantillons biologiques. Par ailleurs, des mesures anthropométriques et de stade pubertaire sont réalisées, complétées d'une évaluation comportementale de l'enfant et de tests de la fonction visuelle. Le projet soumis à l'autorisation de la Commission consiste en une recherche scientifique conduite par une équipe spécialisée en épidémiologie, reposant des investigations sur les paires  mère/enfant  issues de la cohorte Pélagie, dans
l'optique d'évaluer l'impact potentiel des expositions pré et post natales aux polluants organiques persistants (POPS) sur la croissance, l'obésité et le développement pubertaire. Sur la finalité du traitement :La finalité principale de la présente recherche est d'évaluer l'impact potentiel des expositions pré et post natales aux polluants organiques persistants (POPs) sur la croissance, l'obésité et le développement pubertaire.Cette connaissance permettrait notamment de :-	décrire des indicateurs de développement pubertaire, de la prévalence de surpoids et d'obésité, ainsi que leurs déterminants et facteurs de risques potentiels tels que l'indice de masse corporelle (IMC) ou le niveau socioéconomique familial et des indicateurs de santé comportementale ; -	d'étudier le rôle possible de l'exposition périnatale aux polluants organiques persistants sur la croissance des enfants, les troubles comportementaux, le risque de surpoids et d'obésité ainsi que le développement pubertaire chez les filles et les garçons.
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime au sens de l'article 6-2° de la loi n° 78-17 du 6 janvier 1978 modifiée.Elle observe cependant que les deux volets de l'étude constituent un seul et même traitement de données à caractère personnel qui aurait dû, à cet égard, faire l'objet ab initio d'une demande d'autorisation en application des dispositions prévues au chapitre IX de la loi Informatique et Libertés.Sur les modalités de l'étude et la nature des données traitées :
La Commission relève qu'un fichier nominatif a été constitué, accessible uniquement aux personnes de l'équipe de l'INSERM en charge de la gestion de la cohorte. Celui-ci comporte :-	le numéro-identifiant-PELAGIE (composé de trois parties correspondant au département d'inclusion, au numéro d'ordre des médecins participants et au numéro d'ordre des patients inclus) ;-	les nom et prénoms de la mère ;-	les nom, prénoms et date de naissance de l'enfant ;-	les adresses postale et électronique ;-	les numéros de téléphone.
L'équipe de l'INSERM envoie par courriers postal et électronique les lettres d'information et les auto-questionnaires aux enfants âgés de 9 à 16 ans. Les familles sont également contactées par téléphone afin de  leur demander leur participation à cette étape de suivi de l'étude Pélagie et fixer le rendez-vous de l'examen clinique .Au cours de l'examen clinique, une fiche-papier nominative sera créée pour chaque famille, afin de relier les données nominatives et le numéro-identifiant-EXAMEN (composé de deux parties correspondant au centre et au numéro d'ordre). 
-	Concernant la puberté :
Le développement mammaire, la pilosité pubienne et corporelle ainsi que la période des premières menstruations et la taille des testicules seront recueillis via l'échelle de Tanner.
Pour le premier volet, la mère et l'enfant sont sollicités pour répondre chacun à un même questionnaire. Le suivi, à ce stade, s'achève après deux reports par l'enfant et la mère du stade 5 de l'échelle de Tanner pour le développement de la pilosité pubienne. 
Pour le second volet, des personnels infirmiers examinent visuellement l'enfant pour collecter les données de l'échelle de Tanner et, pour la taille des testicules, une palpation est effectuée.
-	Concernant la croissance et l'obésité
Pour le premier volet, le poids et la taille seront collectés dans les questionnaires annuels auto-rapportés.Pour le second volet, les plis sous-cutanés, la bioimpédance seront mesurés, ainsi que les tours de taille, hanche, bras et poignets. -	Concernant les dosages hormonaux
Un volume de 21 ml de sang est prélevé sur les enfants lors de l'examen clinique afin de réaliser des dosages biologiques hormonaux.
D'autres dosages pourront également être effectués de manière ultérieure, dans le cadre de la collection d'échantillons biologiques. Dans ce cadre, le projet prévoit qu'une analyse de l'ADN pourra être réalisée.
-	Concernant la santé neurocomportementale
Pour le premier volet, l'enfant répondra à une trentaine de questions afin de rechercher les troubles externalisés (SDQ). La mère, aux 10 ans de l'enfant, se verra adresser un questionnaire destiné à rechercher les symptômes du spectre autistique (CAST).
Pour le second volet, l'enfant répondra sur ordinateur à un jeu interactif composé de 91 items, ciblés sur les troubles internalisés tels que l'anxiété généralisée, anxiété de séparation, troubles oppositionnels, troubles dépressifs majeurs. 
-	Concernant la fonction visuelle
A l'occasion du second volet, des tests visuels de la sensibilité aux contrastes (FACT) et de la discrimination des couleurs seront réalisés.
-	Autres
Des mesures de pression artérielle seront réalisées à deux reprises lors de l'examen clinique.
Afin d'effectuer des dosages de contaminants chimiques, dans le but de mesurer l'exposition des enfants, une mèche de cheveux sera collectée. 
Dans le but d'explorer le microbiome présent dans la salive, un examen visuel des dents, de la gencive et de l'occlusion incluant un prélèvement de salive sera réalisé. 
Des données sur la santé respiratoire et la survenue d'allergie seront collectées lors de l'auto-questionnaire.
Les données traitées concernent ainsi des données directement nominatives relatives aux mères et aux enfants inclus dans l'étude, des données relatives à la santé des enfants de 12 ans  ainsi que des données génétiques.La Commission relève que le Comité consultatif pour le traitement de l'information en matière de recherche dans le domaine de la santé (CCTIRS), saisi par l'Institut de la santé dans la recherche médicale (INSERM) a émis un premier avis réservé, le 15 avril 2015 suivi, le 16 juillet 2015, d'un avis favorable.La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Cependant, elle observe que le responsable de traitement précise, à la demande des services de la Commission, que :  il n'est actuellement pas prévu d'analyses génétiques dans le protocole actuel du projet qui a pour objet principal d'évaluer le rôle de l'exposition à des contaminants chimiques sur la santé développementale et pubertaire des enfants de 12 ans. En revanche, cet objectif inclura dans un second temps (dépendant des financements à obtenir pour cette recherche) de prendre en compte de possibles susceptibilités génétiques à ces contaminants. Nous anticipons cet objectif secondaire en demandant l'accord des familles à participer à cette recherche lors du consentement .
La Commission prend acte que la recherche portant sur l'analyse génétique constitue un projet complémentaire relevant des dispositions prévues au chapitre IX de la loi Informatique et Libertés et qui devra alors, au titre de la modification de traitement, être soumis à la Commission.Sur les droits des personnes-	Sur l'information et le consentementIl résulte de l'application des dispositions prévues par le code civil, notamment ses articles 371-1 et suivants et 376, que l'autorité parentale est une fonction d'ordre public, de sorte que le consentement des titulaires de l'autorité parentale doit être obtenu dès lors qu'il s'agit d'actes non usuels concernant les mineurs.
Sur ce point, sans méconnaître l'intérêt et l'importance de la recherche, la Commission considère, sous réserve de l'interprétation souveraine des juridictions, que la participation d'un mineur à une recherche dans le domaine de la santé ne saurait être regardée comme relevant de la catégorie des actes usuels permettant de déroger au consentement des titulaires de l'autorité parentale prévu par les dispositions précitées. Il en résulte que le consentement des représentants légaux du mineur est légalement nécessaire pour sa participation à l'étude. 
Dès lors que l'étude implique la collecte de prélèvements biologiques identifiants, le consentement éclairé et exprès des participants est requis en application de l'article 56 de la loi Informatique et Libertés. 
Les modalités d'information et de recueil du consentement prévues consistent en l'envoi, aux personnes ayant préalablement consenti à participer à la cohorte, d'un courrier d'information précisant les objectifs et les modalités de mise en œuvre de l'étude et invitant les personnes concernées à participer à un examen clinique. A ce stade, la Commission invite l'INSERM à retenir une modalité prévoyant l'information des deux titulaires de l'autorité parentale.
Par ailleurs et si elles acceptent l'invitation, une information orale préalable à l'examen clinique sera dispensée à ces personnes par un médecin au cours d'un entretien en face à face. Un consentement écrit accompagné d'une nouvelle notice d'information est alors signé par le parent accompagnant l'enfant et par l'enfant lui-même, dans la mesure où l'étude prévoit le recueil de prélèvements biologiques identifiants pour réaliser des analyses sanguines et génétiques. Un exemplaire leur sera remis. 
En outre, si une note d'information adaptée à l'âge de l'enfant mineur est prévue et que son consentement est recherché, seul le consentement du parent accompagnant est prévu au moyen d'un formulaire de recueil du consentement ainsi qu'une notice d'information. 
Ce formulaire permet le recueil d'un consentement spécifique de la mère, par le biais d'une case à cocher, pour le recueil de prélèvements biologiques identifiants, leur conservation par l'INSERM, l'extraction d'ADN en vue d'analyses ultérieures, et la transmission des résultats des dosages au médecin traitant de l'enfant. 
La Commission relève qu'à l'appui de sa demande, le responsable de traitement indique qu'  une note d'information sera ainsi systématiquement adressée à la mère afin de lui permettre de la transmettre au père de l'enfant .
Le régime d'autorisation parentale à la participation de l'enfant à l'étude tel que prévu par le dossier conduirait au recueil du consentement exprès de la mère, assorti du droit d'opposition discrétionnaire du père. 
La Commission relève que, même s'il paraît difficile, sur un plan pratique, de recueillir simultanément le consentement des deux parents à la participation de l'enfant à l'étude, celui-ci sera systématiquement recherché et en tout état de cause, la participation de l'enfant à l'étude ne sera pas possible si l'un des deux parents s'y oppose. -	Sur les droits d'accès, de rectification et d'opposition 
La Commission observe que les personnes concernées sont informées du caractère facultatif de leur participation à l'étude et de l'absence de conséquence  d'un refus de participer par une information écrite et orale.
Elle relève cependant que si les personnes sont informées de leur droit d'accès aux données, notamment aux résultats des analyses menées sur les prélèvements biologiques, cet accès n'est pas direct en ce sens que les personnes sont invitées à se rapprocher de leur médecin traitant afin qu'il contacte les équipes de recherche de l'INSERM impliquées dans le projet.
La Commission rappelle qu'en application du code de la santé publique, d'une part, et de la loi Informatique et Libertés, d'autre part, le droit d'accès aux informations médicales doit pouvoir s'exercer directement par les personnes concernées et demande donc à l'INSERM de modifier l'information en ce sens et de la compléter pour faire référence au droit de rectification.
La Commission relève également que le service chargé du droit d'accès n'est pas précisé. 
Elle demande donc, en application de l'article 29 de la loi Informatique et Libertés, que les documents précités soient complétés pour faire figurer cette information, en veillant à indiquer les coordonnées de l'équipe en charge de la cohorte au Centre hospitalier universitaire de Rennes, qui détient la liste nominative des participants.
Sur la durée de conservation des données 
Le dossier produit à l'appui de la demande prévoit, d'une part, que les données sont conservés jusqu'à la fin de l'étude (publication des résultats) et, d'autre part, que les prélèvements biologiques inutilisés constitueront ensuite une collection d'échantillons biologiques.
La Commission rappelle qu'en application de l'article 6-5° de la loi du 6 janvier 1978 modifiée, les données traitées ne peuvent être conservées pour une durée illimitée. Elles doivent être conservées pendant une durée précise, déterminée et en adéquation avec les finalités du traitement. En l'espèce, une conservation d'une durée maximale de 15 ans apparaît pertinente.Sur les destinataires des données :
Les prélèvements de sang et de cheveux sont transmis, avec un identifiant aléatoire, à des laboratoires d'analyses, aux fins de mesure des concentrations en polluants chimiques et de réalisation des analyses hormonales.
La Commission en prend acte.
La Commission prend également acte de ce que seules les personnes de l'équipe INSERM participant directement au projet et habilitées à traiter les données y auront accès.Sur la sécurité des données et la traçabilité des actions :
La Commission relève que le dossier présenté n'apporte pas d'éléments relatifs aux mesures qui seront mises en œuvre pour assurer la confidentialité des informations  renseignées par les participants via les auto-questionnaires auto-administrés sur internet. Elle rappelle à cet égard que ces échanges doivent être sécurisés et que le protocole SSL dans sa version 3 n'est plus fiable.
Les auto-questionnaires ne comporteront pas de données directement nominatives. L'identification sera opérée par le numéro- PELAGIE.
Concernant le premier volet, pour les questionnaires administrés par Internet, l'accès de chacun des participants s'opérera par le biais d'un couple d'identifiant / mot de passe précisé dans la lettre d'information.
La Commission rappelle qu'elle recommande, concernant la complexité des mots de passe, d'utiliser des mots de passe disposant d'une longueur minimale de huit caractères pour les utilisateurs ne disposant pas de privilèges élevés sur les données, et de dix caractères pour les autres. 
En outre, les mots de passe doivent comporter trois types de caractères distincts parmi les minuscules, majuscules, chiffres ou caractères spéciaux. Ils ne doivent pas être stockés en clair dans un fichier ou une base de données, y compris pour les utilisateurs internes à l'équipe de recherche. 
La Commission rappelle que les mots de passe doivent être modifiés par l'utilisateur lors de la première connexion et qu'ils doivent être renouvelés régulièrement (au minimum tous les 6 mois avec impossibilité d'utiliser les 3 derniers mots de passe). Après trois tentatives infructueuses, le système doit bloquer l'accès pour le compte.
Les accès à l'application doivent être tracés et les traces analysées afin de détecter des tentatives d'accès frauduleux. La Commission rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.
Concernant les formulaires sur support papier, ils sont transmis par voie postale. Les données seront saisies mensuellement en interne par l'équipe de chercheurs dès lors qu'ils seront retournés par les participants. 
Ces questionnaires seront stockés dans les locaux de l'équipe INSERM en charge de la cohorte PELAGIE, dans des armoires fermées à clef au sein de l'Université de Rennes.
La Commission rappelle, d'une part, que les échanges de données effectués sur Internet doivent être sécurisés par des procédés de chiffrement du transport des données et, d'autre part, que l'obligation de sécurité nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, et sous réserve de la prise en compte des précédentes observations, la Commission autorise l'INSERM à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité une étude intitulée  Expositions aux contaminants chimiques et santé à l'âge pubertaire .
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement automatisé de données à caractère personnel dénommé  outil et système d'informations relatives aux infractions sur les stupéfiants  (OSIRIS) ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-I (2°) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2011-110 du 27 janvier 2011 portant création d'un traitement automatisé de données à caractère personnel dénommé LRPPN 2 ;Vu le décret n° 2011-111 du 27 janvier 2011 autorisant la mise en œuvre par le ministère de l'intérieur (direction générale de la gendarmerie nationale) d'un traitement automatisé de données à caractère personnel d'aide à la rédaction des procédures (LRPGN) ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :La commission a été saisie par le ministre de l'intérieur d'une demande d'avis portant sur un projet d'arrêté portant création d'un traitement automatisé de données à caractère personnel dénommé  outil et système d'informations relatives aux infractions sur les stupéfiants  (OSIRIS), sur le fondement de l'article 26 de la loi du 6 janvier 1978 modifiée.Ce traitement est mis en œuvre depuis 2006 par l'Office central pour la répression du trafic illicite des stupéfiants (OCRTIS), relevant de la direction centrale de la police judiciaire et chargé de centraliser, d'analyser et de diffuser l'information en matière de stupéfiants. A cet égard, la commission rappelle l'impérieuse nécessité de la saisir préalablement à la mise en œuvre d'un traitement et ne peut dès lors que déplorer la déclaration très tardive de ce traitement, déjà mis en œuvre depuis plusieurs années.Ce traitement a vocation à permettre à l'OCRTIS de réaliser des statistiques sur les infractions aux stupéfiants et de produire des analyses stratégiques sur l'état, les tendances et les phénomènes émergents identifiés du trafic de stupéfiants. Selon le ministère, ce traitement relève des dispositions de l'article 26-I (2°) de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par arrêté pris après avis de la commission.Sur la
finalité du traitement et la formalité préalable :La mise en œuvre du traitement OSIRIS s'inscrit dans le cadre de la lutte contre le trafic de stupéfiants et du renforcement des moyens mis à la disposition des forces de l'ordre spécialisés dans ce domaine. Le suivi de la mise en œuvre des différents plans élaborés en matière de stupéfiants nécessite la réalisation de nombreuses analyses.Dans ce contexte, le traitement OSIRIS permettra d'établir des statistiques relatives aux faits constatés par les services de la police et de la gendarmerie nationales ainsi que des douanes.Plus précisément, l'article 1er du projet d'arrêté assigne deux finalités au traitement OSIRIS : l'évaluation de la situation nationale et de l'activité des services en matière de lutte contre l'usage et le trafic illicite de produits stupéfiants, d'une part, et l'établissement de statistiques relatives aux faits constatés, d'autre part.En pratique, le traitement est composé de deux bases de données distinctes. La première, dite  base transactionnelle , contient des données à caractère personnel provenant, d'une part, des logiciels de rédaction de procédures de la police et de la gendarmerie nationale (LRPPN 2 et LRPGN) et, d'autre part, d'une alimentation complémentaire et manuelle par les agents de l'OCRTIS, de la brigade des stupéfiants de la préfecture de police de Paris et du service technique de recherches judiciaires et de documentation (STRJD) de la gendarmerie nationale. La seconde base, dite
base décisionnelle , est alimentée au fil de l'eau par la base transactionnelle avec des données préalablement anonymisées et sert à l'élaboration des statistiques.Plusieurs fonctionnalités permettront ainsi d'établir des statistiques. Une fonction de recherche multicritères permettra au sein de la base décisionnelle de rechercher, par exemple, le nombre de trafiquants de cocaïne, le nombre de trafiquants selon leur âge et un type de produit déterminé, le nombre de trafiquants localisés dans un département déterminé, etc.Une fonctionnalité de représentation cartographique sera mise en œuvre : un espace destiné à recevoir les données géographiques est intégré dans OSIRIS et servira d'interface avec le futur système d'information géographique (SIG) en cours de développement par le ministère de l'intérieur pour réaliser des cartographies. Cela permettra par exemple une représentation graphique des quantités saisies par département ou par région, du nombre de trafiquants ou d'usagers par produit, etc.A cet égard, la commission rappelle que la mise en œuvre d'une telle fonctionnalité ne doit porter que sur les données strictement utiles à la prise de décision ou d'orientation stratégique en matière de trafic de stupéfiants. Ainsi, le géociblage à l'adresse ne peut être mis en œuvre systématiquement.Enfin, le traitement OSIRIS permettra d'évaluer l'activité des services en matière d'usage et de trafic illicite de produits stupéfiants. Cette évaluation se fera à travers leur degré