AgentPublic/cnil huggingface dataset:
la Commission. Sur la sécurité des données et la traçabilité des actions : Au titre des mesures de sécurité, sont notamment mis en place : une conservation pendant au moins six mois de la traçabilité des connexions ; une gestion des profils d’habilitation ; une procédure d’authentification ; un chiffrement des transmissions. Les mesures de sécurité décrites par la société Bouygues Telecom sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission autorise, conformément à la présente délibération, la modification par la société Bouygues Telecom du traitement susmentionné. La Présidente I. FALQUE-PIERROTIN
(demande d’autorisation n° 1786189)
La Commission nationale de l'informatique et des libertés,
Saisie par la société CARIANS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un site internet dénommé « deuxiemeavis.fr »;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1111-8, L. 6316-1 et R. 6316-1 et suivants; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Loïc HERVE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie d’une demande d’autorisation présentée par la société CARIANS immatriculée au registre du commerce et des sociétés de Paris.
La demande  d’autorisation porte sur la mise en œuvre d’une plateforme de services de santé dénommée « deuxiemeavis.fr » proposant un avis médical sous deux formes distinctes :
un service dit de téléexpertise permettant à un médecin de recueillir auprès d’un confrère un avis spécialisé pour un de ses patients ;
un service dit de téléconseil personnalisé permettant à une personne (ou à son représentant légal) de solliciter un deuxième avis médical.
Les avis médicaux sont délivrés par des médecins référencés sur le site internet « deuxiemeavis.fr », exerçant en France et ayant conclu une convention avec la société CARIANS. 
La Commission prend acte de ce que la société CARIANS a conclu avec l’Agence régionale de santé d’Ile de France (ARS) un contrat de télémédecine aux termes duquel les prestations proposées par la société CARIANS dans le cadre de l’exploitation du site internet « deuxiemeavis.fr » sont les suivantes : le service permettant à un médecin de recueillir auprès d’un confrère un avis spécialisé pour son patient est qualifié d’acte relevant des dispositions prévues à l’article L. 6316-1 relatif à la télémédecine d’une part, et d’autre-part, le service permettant à une personne (ou à son représentant légal) de solliciter un deuxième avis médical est qualifié de « téléconseil personnalisé» n’entrant pas dans le champs d’application des dispositions précitées.
Sur la finalité et la formalité applicable au traitement :
Le traitement a pour finalité la mise en œuvre d’une plateforme de services de deuxième avis médical en ligne permettant  à des patients et à des médecins de solliciter à distance des deuxièmes avis médicaux auprès de médecins libéraux ou de médecins exerçant dans des établissements de santé ou, lorsque c’est un médecin qui est à l’origine de la demande, l’avis spécialisé d’un confère.
Les services s’adressent plus spécifiquement à des patients atteints de pathologies graves, rares et invalidantes. 
La Commission estime que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6 de la loi du 6 janvier 1978 modifiée (ci-après loi Informatique et Libertés).
S’agissant d’un traitement de données de santé justifié par un intérêt de santé publique, la Commission considère qu’il y a lieu de faire application des dispositions prévues aux articles 8-IV et 25-I-1° de la loi Informatique et Libertés.
Sur les catégories de données à caractère personnel traitées :
Les données relatives aux utilisateurs particuliers qui font une demande de deuxième avis, portent sur l’identité (civilité, nom(s), prénom(s), date de naissance), les coordonnées (adresse de résidence, courriel, téléphone), la/les langue(s) parlées ainsi que la situation familiale et professionnelle, les informations relatives à leur prise en charge médicale (nom et coordonnées du médecin traitant) ainsi que les informations nécessaires à la prise en charge médicale (origine de la pathologie, premier avis médical obtenu, les antécédents personnels et familiaux, les signes de la pathologie, les traitements entrepris, le poids, la taille et habitudes de vie du patient, le cas échéant, les données génétiques en lien avec la pathologie du patient), le cas échéant les informations attestant de la qualité de représentant légal.
La Commission observe que, dans le dossier qui lui est soumis, le responsable de traitement prévoit également la collecte du nom de la complémentaire santé des personnes faisant appel aux services du site internet « deuxiemeavis.fr ».
La Commission prend acte de ce que cette collecte est justifiée par le responsable de traitement par la mise en œuvre future d’un partenariat avec les organismes d’assurance maladie complémentaire.
Elle rappelle que l’accès aux données de santé par les organismes d’assurance maladie complémentaire doit s’effectuer dans des conditions permettant de garantir le respect de la vie privée des personnes concernées. A cet égard, la Commission considère que, dans la mesure où la demande d’autorisation qui lui est soumise ne comporte pas de précisions ni sur les modalités de mise en œuvre de cette prise en charge, ni sur la nature des données qui seraient alors susceptibles d’être transmises aux organismes complémentaires, il conviendra de la saisir d’une demande de modification dès lors que le dossier sera plus abouti sur ce point. 
Les données relatives à l’utilisateur médecin à l’origine d’une demande d’avis spécialisé pour le compte de son patient portent sur l’identité (nom, prénom, date de naissance), l’exercice de son activité professionnelle (spécialité, lieu principal d’exercice, pays et code postal d’exercice, numéro au répertoire partagé des professionnels de santé, ci-après RPPS) et les coordonnées (courriel et téléphone).
Les données relatives aux médecins référencés par le site internet intervenant au titre de l’acte de télémédecine ou de téléconseil personnalisé portent sur leur identité  (nom, prénom, photo, RPPS, date de naissance), la/les langue(s) parlées, leurs coordonnées (adresses mail et postale, numéro de téléphone), leur formation et modalités d’exercice de la médecine (diplômes, formations, spécialités et domaines d’expertise, indicateurs d’activité tels que les honoraires pratiqués et le mode d’exercice, autres lieux d’exercice, intérêts et liens personnels, responsabilités professionnelles au sein de structures et sociétés savantes, travaux de recherche et publications, participations à des congrès) ainsi que les informations relatives à la facturation (données bancaires et numéro URSSAF). 
La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur la durée de conservation des données :
La Commission relève que les données à caractère personnel des utilisateurs et des médecins sont conservées pendant la durée de vie de leur compte individuel à l’exception des données de santé.
Le compte rendu de deuxième avis est rendu accessible durant quinze jours à compter de sa mise à disposition. Passé ce délai, ce document ne sera plus disponible en ligne.
Le compte-rendu et les données de santé liées à celui-ci seront stockés sous la forme archivée chez l’hébergeur agréé de données de santé pendant dix ans, correspondant à la durée de la prescription applicable en matière de responsabilité médicale.
La Commission en prend acte.
Sur les destinataires des données :
Les destinataires des données collectées sont exclusivement :
les médecins sollicités au titre de la réalisation de l’acte de télémédecine ou de téléconseil personnalisé ;
les seules personnes habilitées au sein de la société CARIANS et de l’hébergeur agréé de données de santé uniquement à des fins de gestion technique et administrative.
A cet égard, seules les personnes habilitées, dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à l’accomplissement de leur mission, ont accès aux données de santé à caractère personnel. 
La Commission prend acte de ce que les médecins et représentants légaux qui sollicitent le service ne peuvent accéder qu’aux données de santé relatives aux personnes pour lesquelles  ils sollicitent un avis médical.
Les médecins partenaires référencés par le site internet n’ont accès qu’aux données des patients pour lesquels ils sont amenés à rendre un deuxième avis.
Les assistants du centre d’appel de la société CARIANS qui reçoivent les appels des utilisateurs peuvent accéder aux données de santé de ceux-ci pour la gestion des demandes d’ordre administratif et technique, sous le contrôle et l’autorité du médecin. Ils exercent des fonctions assimilables à celles de secrétaire médical. 
La Commission prend acte de ce que cet accès fait l’objet d’une convention tripartite signée entre la société CARIANS, le médecin partenaire et l’assistant. Cette convention subordonne l’accès aux données des utilisateurs à des conditions garantissant leur confidentialité. Elle rappelle notamment que le médecin et les assistants placés sous sa direction sont personnellement soumis au respect du secret professionnel au sens des dispositions des articles 226-13 du code pénal et L. 1110-4 du code de la santé publique.
La Commission prend acte de ce que l’accès éventuel des administrateurs aux fins d’assurer l’administration et la maintenance de la plateforme s’opère dans les mêmes conditions que celui des assistants.  
Sur les droits des personnes :
La Commission prend acte de ce que les modalités d’information et de recueil du consentement diffèrent selon le service proposé.
Dans le cadre du service de téléconseil personnalisé, l’information est délivrée par le biais d’une notice d’information et de consentement dont la lecture est rendue obligatoire au moyen d’un dispositif technique imposant à l’utilisateur d’en prendre connaissance avant de donner son consentement.
Le consentement porte sur le recueil des données de santé, le recours à un hébergeur de données de santé agréé, le partage des données de santé avec le médecin traitant ou un autre médecin expert de la plateforme. Il est matérialisé par des cases à cocher par le patient.      
Dans le cadre du service de téléexpertise, l’information est délivrée lors d’un entretien individuel avec le patient par le médecin qui est à l’origine de la demande d’un avis spécialisé pour le compte de son patient. 
Le consentement recueilli par le médecin porte sur la prise en charge médicale par le biais de l’acte de téléexpertise tel que proposé par le service « deuxièmeavis.fr », le partage des informations avec des professionnels participant à l’acte de téléexpertise, le traitement des données de santé et le recours à un hébergeur de donnée de santé agréé. Il est matérialisé par la remise par le médecin à son patient d’un document attestant du recueil de son consentement. 
La Commission estime ces modalités satisfaisantes.
La Commission observe qu’il est prévu parmi les services proposés que la téléexpertise puisse intervenir dans le prolongement du service de téléconseil personnalisé.
Dans cette hypothèse, le consentement du patient, informé de cette possibilité par la notice d’information et de consentement remise dans le cadre du service de téléconseil personnalisé, est recueilli préalablement à l’acte de téléexpertise.
La Commission rappelle que le consentement des personnes à un acte de télémédecine doit s’opérer dans des conditions conformes à celles prévues à l’article R. 6316-2 du code de la santé publique.  
La Commission prend acte, en outre, de ce que les médecins référencés sur le site internet sont informés de leurs droits par une mention d’information figurant sur le site ainsi que sur les formulaires de collecte de leurs données à caractère personnel lorsque les médecins interviennent au titre d’une demande de deuxième avis.
Lorsque les données les concernant ne sont pas collectées directement auprès d’eux, les médecins sont informés du traitement de leurs données et de leurs droits en application de l’article 32 III de la loi Informatique et Libertés par le biais d’un courriel.
Enfin, la Commission prend acte qu’un consentement aux conditions générales du site et à la réception des communications de la part de la société CARIANS est prévu sous la forme de cases à cocher en ligne.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès, de rectification et d’opposition des patients s’exercent auprès du médecin ayant délivré le deuxième avis ou de celui à l’origine de la demande. Il peut également s’exercer auprès du service en charge de la gestion du droit d’accès de la société CARIANS ou du médecin de l’hébergeur.
Les droits d’accès, de rectification et d’opposition des médecins référencés par le site  s’exercent auprès du service en charge de la gestion du droit d’accès de la société CARIANS.
Sur la sécurité des données et la traçabilité des actions :
La Commission relève que de nombreuses mesures de sécurité complémentaires visant à assurer la confidentialité, l’intégrité et la disponibilité des données sont déployées : mise en œuvre de cette plateforme auprès d’un hébergeur agréé, cloisonnement bas niveau, filtrage applicatif actif, lutte contre les logiciels malveillants, hébergements physiques redondés, sauvegardes délocalisées et chiffrées, architecture spécifique, dédiée et centralisée d’accès distant et d’enregistrement des traces fonctionnelles.
Plus précisément, seuls des accès techniques à des fins d’administration seront opérés par des collaborateurs de l’hébergeur de données de santé sur la plateforme d’hébergement. 
Elle prend acte de ce que les accès aux données seront régis par une authentification forte composée d’un mot de passe associé à un compte personnel et d’un mot de passe à usage unique de 32 caractères.
La Commission prend acte de ce qu’il s’agit d’une modalité d’authentification dite forte. Elle rappelle cependant que, conformément aux dispositions de l’article L. 1110-4 du code de la santé publique, les accès aux données de santé doivent s’opérer par l’utilisation d’une carte de professionnel de santé (CPS) ou d’un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS (l’Agence des systèmes d’information partagés de santé, l’ASIP Santé).
Dès lors, la Commission demande au responsable de traitement de se conformer aux dispositions précitées pour l’authentification des professionnels accédant aux données relatives à la santé des personnes ayant recours au service.
En ce qui concerne les transmissions des données, la Commission note que des protocoles visant à assurer la confidentialité et l’intégrité de ces dernières seront mis en œuvre.
La Commission relève également que les statistiques opérées dans le traitement seront encadrées par une procédure préalable d’anonymisation permettant d’assurer la stricte confidentialité de l’identité des personnes visées par ces dernières.
Sous réserves des observations précédentes, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société CARIANS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en œuvre d’une plateforme de services de santé à distance dénommée « deuxiemeavis.fr ».
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1818160)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut de veille sanitaire d’une demande d’autorisation concernant un traitement de surveillance des infections à VIH et au sida par un dispositif dématérialisé de déclaration obligatoire dénommé « e-DO »;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 3113-1, R. 3113-1 et suivants et D. 3113-7; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu les délibérations de la CNIL n° 00-045 du 3 octobre 2000, n° 02-020 du 21 mars 2002, n° 02-082 du 19 novembre 2002 et n° 2006-258 du 5 décembre 2006 ; 
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie d’une demande d’autorisation présentée par l’Institut de veille sanitaire (InVS) concernant un dispositif de télédéclaration des infections à VIH et au sida dénommé « e-DO ».
Les dispositions de l’article L. 3113-1 du code de la santé publique (CSP) prévoient que les maladies nécessitant une intervention urgente locale, nationale ou internationale et les maladies dont la surveillance est nécessaire à la conduite et à l’évaluation de la politique de santé publique, font l’objet d’une transmission obligatoire de données individuelles à l’autorité sanitaire par les médecins et les responsables des services et laboratoires de biologie médicale publics et privés.
Le VIH/sida figure sur la liste des maladies à déclaration obligatoire qui, relevant des dispositions précitées, font l’objet d’une notification obligatoire à l’autorité sanitaire selon des modalités de transmission définies par les articles R. 3113-1 et suivants du CSP. Ces dispositions énumèrent les informations devant figurer sur la fiche de notification des données individuelles et, en particulier, le  « numéro d’anonymat » établi par codage informatique irréversible à partir des éléments d’identification de la personne.
Par délibération n° 02-082 du 19 novembre 2002, la Commission a autorisé l’InVS à mettre en place l’application informatique destinée à la surveillance épidémiologique nationale des maladies infectieuses à déclaration obligatoire dont le VIH/sida.
Le dispositif de notification et de surveillance épidémiologique actuel repose sur une fiche de notification au format papier transférée par télécopie ou courrier postal à l’Agence régionale de santé (ARS) par le déclarant, information ensuite restituée par les soins de l’ARS à l’InVS et saisie dans l’application informatique selon une procédure de double anonymisation permettant de garantir l’anonymat des personnes concernées conformément à l’article L. 3113-1 du CSP.
L’InVS souhaite dématérialiser la procédure par la mise en place d’un traitement intitulé « e-DO » et à cette occasion actualiser le contenu des fiches de notification. 
La Commission est saisie, parallèlement à la demande d’autorisation de l’InVS, d’une demande d’avis sur un projet d’arrêté de la ministre des affaires sociales, de la santé et des droits des femmes portant modification de l’annexe 29 figurant dans l’arrêté du 22 août 2011 relatif à la notification obligatoire des maladies infectieuses et autres maladies mentionnées à l’article D. 3111-7 du CSP parmi lesquelles figure le VIH/sida.  
Le projet de dématérialisation concerne également les dispositifs complémentaires à la déclaration obligatoire permettant une surveillance virologique volontaire des infections VIH ainsi qu’une surveillance de l’activité de dépistage du VIH (dénommé LaboVIH) depuis des données agrégées.
Sur la finalité et la formalité applicable au traitement :
La dématérialisation de la déclaration vise, d’une part, à simplifier le processus de notification actuellement mis en œuvre sur support papier, et d’autre part, à améliorer l’adhésion des professionnels de santé afin d’augmenter le nombre de déclaration et de raccourcir leur délai.
La Commission estime que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6 de la loi 6 janvier 1978 modifiée (ci après loi Informatique et Libertés).
S’agissant d’un traitement de données de santé justifiées par un intérêt de santé publique, la Commission estime qu’il y a lieu de faire application des dispositions prévues aux articles 8-IV et 25-I-1° de la loi Informatique et Libertés. 
Sur les catégories de données à caractère personnel traitées :
Les informations qui doivent figurer sur la fiche de notification des données individuelles sont énumérées à l’article R. 3113-2 du CSP. Ces dispositions posent également l’exigence d’un « numéro d’anonymat » établi par codage informatique à partir des éléments d’identité de la personne.
Ces dispositions renvoient, par ailleurs, à un arrêté du ministre chargé de la santé, pris après avis de la Commission nationale de l’informatique et des libertés, le soin de fixer, pour chaque maladie à déclaration obligatoire, les informations destinées à la surveillance épidémiologique et en particulier, les données cliniques, biologiques et sociodémographiques que les médecins déclarants ou, en cas de diagnostic biologique, les biologistes réalisant la sérologie,  portent sur la fiche de notification.
En ce qui concerne l’infection par le VIH/sida, l’arrêté du 22 août 2011 relatif à la notification obligatoire des maladies infectieuses et autres maladies mentionnées à l’article D. 3113-7 du CSP détaille en son annexe 29 la liste des informations que doivent contenir les fiches de notification.
Ces fiches de notification font l’objet d’une actualisation à l’occasion de la mise en œuvre du projet de dématérialisation des notifications de cas de VIH quel qu’en soit le stade.
La Commission prend acte de ce que les variables supplémentaires portent sur les informations suivantes :
le motif de réalisation de la sérologie, qui comprendra l’information selon laquelle la sérologie confirme un test rapide d’orientation diagnostique (TROD) positif et/ou un auto-test positif ;
le statut et la date de décès éventuel pour toute déclaration d’une personne infectée par le VIH ;