AgentPublic/cnil huggingface dataset:
Une telle mention d’information sera également intégrée à celle portée sur les relevés de comptes des personnes concernées, ainsi que dans le courriel, ou courrier postal si aucune adresse électronique n’est enregistrée dans le dossier, envoyé à l’utilisateur pour lui confirmer la création de son empreinte vocale à l’issue de son enrôlement.
Les personnes ayant accepté de participer à l’expérimentation disposent toujours de la possibilité d’opter pour une procédure alternative d’authentification par la saisie d’un identifiant et d’un mot de passe.
Par ailleurs, les personnes concernées peuvent demander à tout moment et sans frais la suppression de leur modèle vocal biométrique si elles ne souhaitent plus utiliser ce mode d’authentification et participer à l’expérimentation.
Sur la sécurité des données et la traçabilité des actions :
 
La solution VocalPassword de la société Nuance repose sur la conservation des gabarits en base centrale. Les gabarits sont signés avec une clé de licence spécifique au système Nuance déployé, ceci complique l'extraction des gabarits par un tiers, ainsi que la réalisation de transfert de contenu d’une base de gabarits vocaux Nuance dans une autre.
La base des gabarits est conservée chiffrée dans les locaux de la Société Générale. L'accès à ces locaux est restreint aux seules personnes autorisées au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.
Au regard du caractère expérimental et limité du traitement, la Commission considère que les mesures de sécurité décrites sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Par ailleurs, la Commission prend note que la Banque Rhône-Alpes s’engage à lui fournir, à l’issue de l’expérimentation, un bilan de l’expérimentation qui devra notamment comporter les éléments suivants :
une description des conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (taux de participation, temps moyen d’authentification, éventuels dysfonctionnements, causes des dysfonctionnements, taux de fausses acceptations, taux de faux rejets) ;
une évaluation de la perception utilisateur (phase de l’enrôlement, ergonomie du service, acceptabilité de la biométrie vocale, taux d’utilisation et de non utilisation) ;
une présentation des enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ; 
les suites envisagées par le responsable de traitement sur la base du bilan effectué : axes d’amélioration, abandon du projet, demande de nouvelle expérimentation, demande d’autorisation de mise en œuvre à titre permanent.
En outre, la Commission prend acte que ce dispositif a été conçu dans un contexte expérimental et que les conditions présentées dans ce dossier ne présagent nullement de celles qui pourraient être établies dans l’hypothèse où la pérennisation d’un tel dispositif était envisagé. Dans un tel cas, la Commission recommande que soit examinée la possibilité de déployer un dispositif qui assure aux personnes concernées de conserver le contrôle sur leurs données biométriques, en envisageant par exemple un stockage sous forme chiffrée des gabarits biométriques dont les clés de chiffrement/déchiffrement sont uniquement détenues par les utilisateurs.
Dans ces conditions, la Commission autorise la Banque Rhône-Alpes à mettre en œuvre à titre expérimental, pour une durée de 12 mois, un système d’authentification de ses clients collaborateurs par reconnaissance vocale sur un serveur de centre d’appels.
Enfin, la Commission rappelle que l’entrée en vigueur du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE interviendra le 25 mai 2018. L’article 35-3 de ce texte dispose qu’une analyse d’impact relative à la protection des données [...] est, en particulier, requise dans les cas suivants : [...] le traitement à grande échelle de catégories particulières de données visées à l’article 9, paragraphe 1 [...] parmi lesquelles les données biométriques aux fins d’identifier une personne physique de manière unique.
 
Aussi, la Commission prend acte de l’engagement pris par la Banque Rhône-Alpes de réaliser une analyse d’impact relative à la protection des données dans le cas où un projet de pérennisation de cette expérimentation était envisagé à son issue, ainsi que de consulter la Commission, sur la base de cet examen et ce, quel qu’en soit le niveau de risques évalué.
 
 
La Présidente
 
 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la société INC RESEARCH d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la Commission nationale de l’informatique et des libertés n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 30 janvier 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de Madame Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKHACEM, commissaire du Gouvernement,
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004).
 
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du champ d’application du dispositif.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Responsable du traitement
La société INC RESEARCH est une société dont l’activité est la recherche-développement exploitant un laboratoire pharmaceutique.
Sur la finalité
La société INC RESEARCH a déposé un dossier de demande d’autorisation préalablement à la mise en place d’un dispositif d’alerte professionnelle.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
La Commission rappelle qu’un dispositif d’alerte professionnelle doit, de façon générale, être limité dans son champ d’application et que son utilisation doit demeurer facultative et complémentaire par rapport aux autres voies de remontée de réclamations des salariés.
En l’espèce, le dispositif d’alerte professionnelle mis en œuvre par la société INC RESEARCH est dédié au traitement des signalements relatifs aux manquements dans les domaines suivants : 
-bancaire, comptable et financier : fraude comptable, financière, bancaire, détournements d’actifs ;
-lutte contre la corruption ;
-pratiques anticoncurrentielles ;
-respect des règles relatives aux conflits d’intérêt ;
-divulgation d’informations confidentielles (secret de fabrique et secret des affaires) ;
-pratiques commerciales prohibées ou trompeuses.
Ce mode de signalement ne se substitue pas à la remontée hiérarchique classique, en ce qu’il constitue un canal de signalement alternatif pour les personnes ne souhaitant pas emprunter cette voie habituelle de signalement.
La Commission estime que le dispositif qui lui est présenté est limité dans son champ d’application, facultatif et qu’il répond à l’intérêt légitime du responsable du traitement, conformément aux dispositions du 5° de l’article 7 de la loi du 6 janvier 1978 modifiée. 
Elle considère, dès lors, que les finalités du traitement sont en l’espèce déterminées, explicites et légitimes.
Sur les données traitées
Les catégories de données collectées sont relatives à :
-l’identité, la fonction et les coordonnées de l'émetteur de l'alerte ;
-l’identité, la fonction et les coordonnées des personnes faisant l'objet d'une alerte et les éventuels témoins mentionnés ;
-l’identité, la fonction et les coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
-ainsi qu’aux faits signalés.
La Commission estime que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le responsable de traitement.
S’agissant du traitement de l’identité de l’émetteur de l’alerte, la Commission considère que l’obligation de s’identifier pour l’émetteur de l’alerte est de nature à limiter les risques de mise en cause abusive ou disproportionnée de l’intégrité professionnelle, voire personnelle des personnes concernées.
La Commission prend acte qu’en l’espèce le dispositif recommande que l’émetteur de l’alerte s’identifie,   étant précisé que son identité est néanmoins traitée de façon confidentielle par les personnes chargées de la gestion des alertes. Les alertes soumises sans l’identité de l’émetteur restent traitées par le dispositif  d’alerte.
Elle note par ailleurs que le responsable du traitement n’incite pas les usagers du dispositif à émettre des alertes anonymes et qu’il s’engage, en cas d’alerte anonyme, à traiter cette dernière de façon différenciée. Les alertes anonymes peuvent en effet être traitées lorsque la gravité des faits le justifie, en présence d’éléments factuels suffisamment détaillés et, enfin, à condition de prendre des précautions particulières, telles qu'un examen préalable par son premier destinataire de l'opportunité de sa diffusion dans le cadre du présent dispositif.
Sur les destinataires
Pour la mise en œuvre de ce traitement la société INC RESEARCH a recourt à un prestataire.
S’agissant des modalités de signalement, la Commission prend acte du fait que tout salarié de la société INC RESEARCH peut déclencher la procédure au moyen d'une ligne téléphonique dédiée et par un site web dédié.
L’alerte est recueillie par le personnel du prestataire en charge de la réception des alertes.
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.
Elle relève, par ailleurs, que ces personnes sont toutes astreintes à une obligation renforcée de confidentialité, contractuellement définie.
Sur l’information et le droit d’accès 
La Commission prend acte du fait que les institutions représentatives du personnel ont été informées et consultées, préalablement à la décision de mise en œuvre dans l'entreprise, sur le dispositif d’alerte professionnelle et sur les modalités de sa mise en œuvre.
Les personnes concernées sont informées du dispositif, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par la diffusion de la Charte éthique du groupe, par une note d’information sur l’intranet de l'entreprise.
Elles sont également informées que l’utilisation de bonne foi du dispositif, même si les faits s’avèrent par la suite inexacts ou ne donnent lieu à aucune suite, n’expose son auteur à aucune sanction, mais que l’utilisation abusive du dispositif peut en revanche exposer son auteur à des sanctions disciplinaires et à des poursuites judiciaires. 
Une personne mise en cause par un signalement est quant à elle informée par le directeur de l’éthique du groupe  de l’existence d’une alerte à son encontre et notamment des faits reprochés et des modalités d’exercice de ses droits d’accès et de rectification. Cette information intervient dès l’enregistrement de données à caractère personnel la concernant.
Néanmoins, si des mesures conservatoires doivent être prises, notamment pour prévenir la destruction de preuves relatives à l’alerte, l’information de la personne intervient après l’adoption de ces mesures. 
Les droits d’accès et de rectification, prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s’exercent quant à eux, auprès du déontologue du groupe.
La Commission considère que les modalités d’information et d’exercice des droits des personnes, décrites ci-dessus, sont satisfaisantes.
Sur les mesures de sécurité
Le responsable de traitement, en application de l’article 34 de la loi du 6 janvier 1978 modifiée, doit prendre toutes les précautions utiles pour préserver la sécurité des données collectées et traitées, au regard de la nature des données, des risques présentés par le traitement, et notamment empêcher que des tiers non autorisés y aient accès par l’intermédiaire de mesures de sécurité physiques, logiques et organisationnelles.
La Commission relève à cet égard que les utilisateurs s’authentifient avec un identifiant et un mot de passe.
Elle rappelle qu’elle recommande le recours à des mots de passe d’une longueur minimale de huit caractères, composés de minuscules, majuscules, chiffres et caractères spéciaux. Le mot de passe doit être modifié par l’utilisateur dès sa première connexion puis régulièrement.
Concernant les administrateurs du traitement, la Commission recommande en outre de porter la longueur du mot de passe à douze caractères minimum.
La Commission rappelle également que les mots de passe ne doivent pas être stockés en clair en base de données et recommande ainsi d’appliquer la fonction de hachage HMAC à clé secrète.
Un mécanisme de gestion des habilitations permet, par ailleurs, de garantir que seules les personnes habilitées puissent accéder aux données nécessaires à la réalisation de leurs missions. A cet égard, la Commission rappelle que la gestion des habilitations doit faire l’objet de procédures formalisées, validées par le responsable de traitement, portées à la connaissance des utilisateurs et être régulièrement mises à jour.
Un mécanisme de journalisation des accès à l’application et des opérations effectuées permet de détecter d’éventuels accès ou opérations non souhaitées ou interdites, avec une conservation des journaux pendant une durée de six mois glissants.
Enfin, des mesures nécessaires permettent d’assurer la maintenance du matériel et sa mise au rebut dans des conditions de sécurité satisfaisantes, en particulier s’agissant de l’absence de données à caractère personnel stockées dans les matériels remisés.
La Commission rappelle que l'usage d'outils ou de logiciels développés par des tiers dans le cadre de la mise en œuvre d'un traitement de données à caractère personnel reste sous la responsabilité du responsable de traitement qui doit notamment vérifier que ces outils ou logiciels respectent l'ensemble des obligations que la loi du 6 janvier 1978 modifiée met à sa charge.
Elle rappelle également qu’un responsable de traitement conserve la responsabilité des données à caractère personnel communiquées ou gérées par ses sous-traitants et, le cas échéant, que le contrat établi entre les parties doit mentionner les objectifs de sécurité qu'un sous-traitant doit respecter.
La Commission rappelle enfin que l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission relève que les durées de conservation prévues par le responsable de traitement sont les suivantes :
les données relatives à un signalement, considéré dès son recueil, par le responsable du traitement des signalements, comme n'entrant pas dans le champ du dispositif sont archivées sans délai ;
lorsque le signalement n'est pas suivi d'une procédure disciplinaire ou judiciaire, les données relatives à ce signalement sont archivées par le responsable du traitement des signalements ou ses délégataires dans un délai de deux mois à compter de la clôture des opérations de vérification ;
si une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu’au terme de la procédure ;
les données faisant l'objet de mesures d'archivage sont conservées, dans le cadre d'un système d'information distinct à accès restreint, pour une durée de dix ans.
La Commission estime que ces durées de conservation ne sont pas excessives au regard de la finalité poursuivie par le traitement conformément aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
S’agissant des transferts de données transfrontaliers, la Commission relève que les transferts de données réalisés vers un prestataire établi aux Etats-Unis ont pour finalité la mise en  œuvre du dispositif d’alerte professionnelle. Ils sont encadrés  par un contrat rédigé sur le modèle des clauses contractuelles élaborées par la Commission européenne relatives aux transferts de données de responsable de traitement à sous-traitant et de responsable de traitement à responsable de traitement.
Autorise, conformément à la présente délibération, la société INC RESEARCH à mettre en œuvre le traitement susmentionné.
Pour La Présidente
Le Vice-Président délégué,
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la caisse de prévoyance et de retraite du personnel de la SNCF d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de permettre aux médecins d’accéder à l’historique des remboursements de leurs adhérents ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale, notamment son article L. 162-4-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n°2006-143 du 9 février 2006 relatif aux modalités d’accès des médecins aux données relatives aux prestations servies aux bénéficiaires de l’assurance maladie et modifiant le code de la sécurité sociale ;
Vu la délibération n°2005-046 de la Commission nationale de l'informatique et des libertés du 15 mars 2005 portant avis sur un projet de décret en Conseil d’État fixant les modalités selon lesquelles les médecins ont accès aux données relatives aux prestations servies aux bénéficiaires de l’assurance maladie modifiant le code de la sécurité sociale ;
Vu la délibération n° 2007-194 de la Commission nationale de l'informatique et des libertés du 10 juillet 2007 autorisant la mise en place généralisée par la Caisse nationale d’assurance maladie des travailleurs salariés d’un traitement permettant aux médecins d’accéder aux données relatives aux prestations servies aux bénéficiaires de l’assurance maladie ; 
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La caisse de prévoyance et de retraite du personnel de la SNCF (CPRPSNCF) à Marseille.
Sur la finalité
Le traitement a pour finalité de permettre aux médecins, en application de l’article L. 162-4-3 du code de la sécurité sociale, à l’occasion des soins qu’ils délivrent, de consulter l’historique des remboursements effectués par la CPRPSNCF.
La Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS) est chargée du développement technique du dispositif et de la mise en œuvre d’un portail inter-régime sécurisé permettant un accès aux serveurs des organismes des différents régimes d’assurance maladie obligatoire (délibération de la CNIL n° 2007-194 du 10 juillet 2007).
Le dispositif assure un accès au relevé des remboursements et prises en charge de chaque bénéficiaire de façon individualisée dans les conditions définies par la délibération précitée.
L’historique des remboursements porte sur la période de douze mois précédant la consultation conformément à l’article R. 162-1-11 du code de la sécurité sociale.
Sur les données traitées
Les données traitées sont conformes à celles définies par l’article R. 162-1-11 du code de la sécurité sociale : données relatives au bénéficiaire de l'assurance maladie, aux soins et prestations donnant lieu à remboursement, aux médicaments remboursés, aux dispositifs médicaux et produits remboursés, aux frais de transports, aux indemnités, allocations journalières et prestations supplémentaires versées et aux affections de longue durée.
La dématérialisation du protocole de soins fera l’objet d’une autorisation distincte soumise à la Commission.
Sur les destinataires
Les médecins, à l’occasion des soins qu’ils délivrent à leurs patients et en présence de ces derniers.
Sur l’information et le droit d’accès
La CPRPSNCF informera ses assurés par :
l’insertion d’une mention d’information sur le décompte de remboursements ;
la diffusion d’information sur son site web.
Les médecins informeront leurs patients au moyen d’un support (affichette) visible dans leur cabinet.
Cette information devra clairement indiquer que, conformément aux dispositions de l’article R. 162-1-12 du code de la sécurité sociale, l’accord se matérialise par la remise de la carte Vitale, les catégories de données de données consultables et l’absence de conséquences financières en cas de refus d’utilisation du dispositif.
Sur les mesures de sécurité
Les liaisons entre le portail et le serveur de la CPRPSNCF reposent sur l’utilisation de réseaux de communications sécurisés au moyen d’une solution d’authentification reposant sur un mécanisme de jeton sécurisé pour assurer le transport des données.
Un dispositif de journalisation des connexions est mis en œuvre.
Autorise, conformément à la présente délibération, la caisse de prévoyance et de retraite du personnel de la SNCF à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS