AgentPublic/cnil huggingface dataset:
Après un contrôle de cohérence et une validation par le gestionnaire des données, le stockage à long terme des données validées sera assuré par le système Pandora. Les données collectées seront « unitarisées » et stockées « en vrac » dès qu’elles intègrent ce système sans lien avec un individu ou entre elles. 
Ce système d’anonymisation est réversible pour permettre, à chaque nouvelle étape de l’étude, de fournir les informations nécessaires à la collecte et pour construire les fichiers de traitement destinés aux chercheurs.
Une plateforme informatique spécifique permettra donc de réaliser les rapprochements entre les trois types précités de données. 
Toutefois, ce rapprochement sera subordonné à un contrôle très strict et contractualisé des rapprochements qui supposera l’intervention de deux nouvelles entités : 
Une instance de décision qui, après instruction de la demande, commandera la requête ;
Une instance de liaison (« opérateur de jointure ») qui sera seule détentrice des clés de passage entre les différents fichiers et qui, sur instruction de l’instance de décision, construira les « fichiers de traitement » qui ne seront pas stockés.
Ainsi, il n’existera nulle part de fichier contenant l’ensemble des données validées des participants à l’étude et il sera techniquement et physiquement impossible de constituer et de reconstituer une « métabase unique » ou d’effectuer des réassemblages illicites.
Le procédé de « pseudo-anonymisation » mis en œuvre n’appelle pas d’observation de la part de la Commission. 
Sur la sécurité du système d’information
Une plateforme spécifique permettant la mise en production de cette étude a été développée par la société Epiconcept. Cette plateforme est composée de plusieurs serveurs assurant les rôles d’authentification, de service web pour les questionnaires en ligne, de base de données temporaire pour les données non validées et de collecte des traces. Elle est hébergée au sein de la même salle des serveurs que le système Pandora, dans un espace fermé et sécurisé au sein de l’Institut national de la santé et de la recherche médicale (INSERM).
Les données brutes peuvent être collectées par le biais de questionnaires en lignes ou par le biais des appareils autonomes utilisés dans le cadre de l’étude (smartphone, capteurs de pollution) dont les données sont déchargées par la suite sur un ordinateur par des personnes en charge de l’étude. Les données non validées sont hébergées pour une durée limitée sur la plateforme développée par la société Epiconcept. De par la sensibilité des données hébergées, la Commission rappelle que cette plateforme doit présenter des mesures de sécurité logiques suffisantes, notamment afin de s’assurer que seules les personnes habilitées peuvent accéder à ce traitement et que les données hébergées restent intègres et disponibles. Elle prend acte de ce que l’accès aux données ne sera, par défaut, ouvert qu’au gestionnaire des données qui sera en charge de la gestion des habilitations d’accès. Le contrôle d’accès étant opéré par une authentification par login et mot de passe, la Commission précise que ces derniers devront respecter une complexité minimale de 8 caractères, être composés d’au moins un chiffre, une majuscule, une minuscule et un caractère spécial. Elle recommande toutefois la mise en œuvre d’une authentification forte, notamment pour le compte du gestionnaire des données, afin de réduire le risque d’usurpation d’identité.
Après validation des données par le gestionnaire de celles-ci, ces dernières sont hébergées par le système Pandora au sein d’un système d’information de gestion des données, localisé à l’INSERM. Il est mis en œuvre au niveau institutionnel, offre un système d’hébergement mutualisé pour plusieurs cohortes. Ce système répond à de fortes exigences de sécurité prenant notamment en compte les contraintes du Référentiel général de sécurité (RGS), d’une part, et celles de la réglementation applicable à l’agrément en qualité d’hébergeur de données de santé d’autre part. Ainsi, la Commission relève, notamment, que les locaux sont sécurisés (vidéosurveillance, accès par badge), que plusieurs mesures visant à assurer une haute disponibilité du matériel sont mises en œuvre (climatisation et sources d’alimentation électrique redondée) et qu’un système de sauvegarde permet d’assurer la pérennité.des données hébergées. De plus, les accès distants au système sont sécurisés et le réseau est protégé des intrusions extérieures. Enfin, un système de journalisation des traces est mis en place permettant d’enregistrer l’ensemble des opérations effectuées par chaque « entité », ainsi que l’utilisateur associé à chaque opération. 
La Commission recommande, en outre, qu’après validation définitive des données, celles-ci ne soient plus disponibles sur le système de recueil des données de la société Epiconcept et qu’elles ne soient accessibles que par extraction depuis le système Pandora.
En ce qui concerne les dispositifs médicaux utilisés par les participants à l’étude
Plusieurs dispositifs médicaux seront utilisés dans le cadre de l’étude : une balance électronique, un bio-impédancemètre, un tensiomètre, un appareil de mesure du monoxyde carbone (CO) exhalé, un appareil de mesure du monoxyde d’azote (NO) exhalé, un appareil de mesure de la fonction respiratoire et un électrocardiographe (ECG). A l’exception de la mesure de la fonction respiratoire, qui est effectuée à l’aide d’un appareil de spirométrie branché par un câble USB à un ordinateur de l’équipe de recherche SEPAGES, l’ensemble des mesures seront effectuées sur des appareils autonomes. Les données cliniques collectées au moyen de ces différents appareils seront identifiées à l’aide d’un identifiant codé sur le même principe que les questionnaires.
En ce qui concerne les smartphones utilisés par les participants à l’étude
Les terminaux mobiles utilisés ont pour vocation exclusive :
la collecte de données de géolocalisation ;
la prise de photos de médicaments et de produits cosmétiques utilisés pendant l’étude.
Ils sont remis à chaque personne dans une configuration spécifique : un code de verrouillage est activé après une période d’inactivité prolongée ; ils ne seront pas équipés de carte SIM et ne posséderont donc pas d’accès aux réseaux téléphoniques sans fil des opérateurs télécoms, le mode avion sera activé (seules les interfaces GPS et Wifi seront activées). La Commission recommande la mise en place d’une ou plusieurs mesures techniques permettant d’encadrer l’utilisation des smartphones, notamment en ce qui concerne les interfaces réseau et l’installation d’applications tierces non prévues (par exemple, par la mise en place d’un code pour connecter par Wifi le smartphone sur un réseau ou installer toute nouvelle application).
Les données de géolocalisation sont collectées par une application spécifique développée à des fins de recherche par le Catalonian Research and Innovation Centre (CRIC) et installée sur les smartphones des participants à l’étude. Elle stocke les données chiffrées (chiffrement symétrique AES) sur le terminal. Un logiciel spécifique est utilisé pour décharger les données du terminal vers un ordinateur du centre de recherche. La Commission recommande que le chiffrement appliqué aux données de géolocalisation soit asymétrique, afin que la clé de déchiffrement ne soit pas exposée au sein du téléphone. A défaut, si cette recommandation ne peut être suivie, la clé AES devra faire l’objet d’une procédure de gestion permettant de s’assurer que seules les personnes ayant besoin d’en connaître peuvent en prendre connaissance. En particulier, cette procédure devra prévoir le cas de perte ou de vol d’un smartphone.
Enfin, la Commission estime qu’une procédure de gestion des téléphones restitués à l’équipe de recherche à la fin de chaque étape de l’étude devrait permettre notamment de s’assurer qu’en cas de réutilisation d’un téléphone, aucune donnée à caractère personnel collectée lors d’une précédente étape ne peut être récupérée.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La Commission rappelle qu’en application de l’article 30 de la loi du 6 janvier 1978 modifiée, toute modification du traitement doit être portée à sa connaissance. En outre, en application de l’article 28 du décret n° 2005-1309 précité, les modifications substantielles devront préalablement être soumises pour avis au CCTIRS.
Elle précise que toute nouvelle étude réalisée à partir des données ou des échantillons collectés à l’occasion du présent projet doit préalablement faire l’objet d’une nouvelle demande d’autorisation.
Dans ces conditions, la Commission autorise le Centre hospitalier universitaire de Grenoble à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la réalisation de l’étude SEPAGES.
La Présidente
I. FALQUE-PIERROTIN
(demande d’autorisation n° 1742154)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Valéo d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel expérimental ayant pour finalité l’identification biométrique des conducteurs afin d’adapter les interfaces homme-machine aux préférences de chaque conducteur;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Conformément à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée, la société Valéo a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une demande d’autorisation relative à un traitement automatisé de données à caractère personnel expérimental ayant pour finalité l’identification biométrique des conducteurs afin d’adapter les interfaces homme-machine aux préférences de chaque conducteur. Les moyens et outils mis en œuvre permettront à une personne physique de contrôler, de communiquer et d’interagir avec les différentes options de réglage, notamment électroniques, du véhicule.
La société Valéo souhaite mettre en place pendant une durée de 18 mois ce dispositif, dénommé « Driver monitoring ». 
Le protocole d’expérimentation consiste à effectuer l’enregistrement vidéo du conducteur d’un véhicule, au moyen d’une caméra thermique proche infrarouge, afin de traiter  les images de face puis à procéder à une identification biométrique, uniquement à des fins d’adaptation automatique des interfaces homme-machine aux préférences du conducteur. 
La collecte de données via un enregistrement vidéo sera effectuée sur 100 employés Valéo du site de Bobigny/Créteil. Cette expérimentation sera basée sur le volontariat.
La Commission relève que la demande d’expérimentation qui lui est soumise entre dans le champ de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée dans la mesure où elle permettra au groupe Safran (sous-traitant) de mettre en œuvre un traitement pour réaliser des analyses de données corporelles avec identification du conducteur.
Le service à l’utilisateur, dans ce cadre expérimental, vise uniquement une finalité d’ergonomie et non de contrôle d’accès du véhicule (il ne s’agit pas d’identifier les personnes pour éviter le vol de véhicule par exemple).
En outre, cette expérimentation comportera un second axe de recherche, dépourvu de traitement de donnée biométrique permettant le contrôle de l’identité de la personne. Les analyses de données corporelles se limiteront, d’une part, à détecter la fatigue et la distraction du conducteur et, d’autre part, à gérer la transition sur les voitures concernées entre le mode de conduite automatique -c'est-à-dire autonome et sans conducteur- et le mode manuel  (et inversement). 
Une présentation au Comité d’entreprise de Valéo a été effectuée le 22 janvier 2014.
Sur la finalité du traitement :
L’utilisation de l’identification par caméra thermique « proche infrarouge » n’est pas un service proposé en série sur les véhicules. Il s’agit, en l’état, uniquement d’une expérimentation permettant d’évaluer la faisabilité technique de cette technologie pour l’automobile et de rechercher si la communication entre la voiture et le conducteur est de nature à améliorer la sécurité des usagers de la route.
La Commission considère que la finalité de cette expérimentation est déterminée, légitime et explicite.      
Sur la nature des données traitées :
Les données à caractère personnel collectées et traitées dans une base de données seront les nom et prénom des participants, l’enregistrement des visages des personnes concernées et des gabarits biométriques de reconnaissance faciale. Les données biométriques seront mises à disposition du groupe Safran, sous-traitant technique de Valéo, en dehors de toute donnée d’état civil.
La Commission souligne que les données seront stockées dans deux bases distinctes : les données d’état civil des participants (nom, prénom) seront stockées dans une base comportant un identifiant unique aléatoire. Cet identifiant unique sera associé aux données biométriques dans une seconde base. Ainsi, seul l’accès aux deux bases de données indépendantes permettra de faire le lien entre l’identité des personnes et les données biométriques. 
Elle considère que ces données sont pertinentes et proportionnées au regard de la finalité poursuivie.
Sur la durée de conservation des données :
Les enregistrements seront effectués pendant 3 mois à compter de la notification de l’autorisation de la CNIL. Les données seront conservées durant 15 mois supplémentaires à des fins de recherche et développement. 
La Commission considère que cette durée de conservation est conforme aux exigences de l’article 6-5° de la loi du 6 janvier 1978 modifiée dans la mesure où, d’une part, l’expérimentation est mise en œuvre pour une durée totale de 18 mois et, d’autre part, qu’un bilan complet sera établi à partir de l’ensemble des données collectées deux mois après la fin de l’expérimentation.
Sur les destinataires des données :
Seules les personnes habilitées des services test des sociétés Valéo et de la filiale Morpho du groupe Safran auront accès aux données collectées, ce qui n’appelle pas d’observation de la Commission.
Sur l'information des personnes :
Les instances représentatives du personnel ont été informées de la mise en œuvre du dispositif. 
Les salariés de Valéo participant à l’expérimentation seront sélectionnés sur la base du volontariat. Une lettre d’information individuelle leur sera adressée et le recueil de leur consentement sera effectué par écrit, via la signature d’une attestation spécifique les informant notamment de leurs droits, de leur engagement à participer au test pour une période de trois mois et de la procédure à suivre pour exercer leurs droits.
Aussi, conformément aux exigences de l’article 7 de la loi du 6 janvier 1978, les personnes ayant accepté de participer à l’expérimentation pourront à tout moment, et sans motif, mettre fin à leur participation. 
Sur les droits d'accès, de rectification et d'opposition des personnes :
La Commission considère que ces modalités d’exercice des droits d’accès, de rectification et de suppression sont conformes aux dispositions des articles 39 et 40 de la loi du 6 janvier 1978 modifiée. 
Concernant l’exercice du droit au retrait du consentement et du droit d’opposition, la Commission observe qu’en application du principe  de minimisation des données, les données identifiantes des personnes concernées ne seront conservées que le temps durant lequel celle-ci participent à l’expérimentation activement (3 mois) afin de pouvoir retirer leur consentement à participer. Au-delà de ce délai, le droit d’opposition pourra s’exercer sur la base d’un identifiant laissé en possession de la personne concernée. Une information spécifique et préalable de ces personnes sera effectuée en ce sens, ce qui n’appelle pas d’observation.
Sur la sécurité des données et la traçabilité des actions :
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
En particulier, la Commission prend acte de mesures de chiffrement des données garantissant leur confidentialité et limitant leur accès aux seules personnes habilitées (5 personnes de Valéo et 5 personnes de Safran). En cas de modification des habilitations, le mot de passe de chiffrement des données sera modifié.
Le responsable de l’expérimentation, est identifié comme la seule personne habilitée à la gestion et à l’effacement des bases de données concernées par le traitement. 
Concernant les mesures de traçabilité, un fichier de journalisation permettra le suivi des personnes accédant à la base de données et concernera les agents habilités à l’accès aux données de Valéo et de Safran.
Enfin, la société Valéo a retenu dans le cadre expérimental du dispositif biométrique des mesures techniques et organisationnelles garantissant la sécurité et la confidentialité des données traitées.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la présentation d’un bilan :
La Commission prend acte que, conformément à ses exigences, la société Valéo s’est engagée à adresser à la CNIL un bilan détaillé, dans les deux mois à compter de la fin de l’expérimentation, présentant notamment :
les conditions de mise en œuvre technique, juridique et opérationnelle du dispositif expérimenté (courte description et tableau statistique récapitulatif, précisant par exemple les caractéristiques de la population concernée et le taux de participation, l’acceptabilité, d’éventuels dysfonctionnements liés à certaines catégories de personnes et aux échecs à l’enrôlement) ;
les conclusions générales relatives aux connaissances et aux perspectives d’exploitation technique, économique ou sociétale de ces apports ; 
les enjeux spécifiques relatifs à la protection des données (risques et mesures adoptées pour les limiter, synthèse relative au respect des dispositions de la loi du 6 janvier 1978 modifiée) ; 
les suites envisagées par la société Valéo sur la base du bilan effectué (abandon du projet, demande de poursuite d’expérimentation, demande d’autorisation de mise en œuvre à titre permanent).
Dans ces conditions, la Commission autorise Valéo à mettre en œuvre un traitement expérimental ayant pour finalité l’identification biométrique des conducteurs afin d’adapter les interfaces homme-machine aux préférences de chaque conducteur.
La Commission rappelle que la présente autorisation ne présuppose en aucune manière la délivrance d’une autorisation pérenne ; elle se prononcera, le cas échéant, sur la généralisation de ce dispositif en fonction des résultats du bilan précité. 
La Présidente 
I. FALQUE-PIERROTIN
(demande d’autorisation n° 1762928)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Morpho d’une demande d’autorisation concernant la mise en œuvre pour une durée de 5 ans de plusieurs traitements de données à caractère personnel ayant pour finalité principale la recherche sur des algorithmes d’acquisition et de reconnaissance biométrique;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2010-336 du 22 juillet 2010 autorisant la mise en œuvre par la société Morpho d’un traitement de données à caractère personnel ayant pour finalité principale la recherche sur les algorithmes biométriques ;
Vu la délibération n°2012-118 du 12 avril 2012 autorisant la modification du traitement de données à caractère personnel ayant pour finalité principale la recherche sur les algorithmes biométriques par la société Morpho ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
En juillet 2010, la Commission Nationale de l’Informatique et des Libertés (CNIL) a autorisé la société Morpho à mettre en œuvre des traitements de données à caractère personnel ayant pour finalité principale la recherche scientifique sur des algorithmes biométriques (délibération 2010-336). Délivrée pour une période de 5 ans, l’autorisation était renouvelable, sous réserve que Morpho en fasse la demande.
Afin de porter la taille des bases de données de 300 à 1000 personnes, cette autorisation a été modifiée en 2012  (délibération 2012-118).
La présente demande d’autorisation implique de mettre en œuvre plusieurs traitements de données à caractère personnel, parmi lesquelles des données biométriques, collectées par la société Morpho et ses partenaires, liés à Morpho par des accords de consortium. 
A la différence des deux précédentes demandes d’autorisation soumises à la CNIL, en l’espèce, les données biométriques stockées en base seront indexées au moyen d’un numéro d’identification et non de l’Etat civil de la personne concernée (noms et prénoms).
Sur la finalité du traitement :
Le traitement a pour finalité principale l’élaboration et l’amélioration des algorithmes d’acquisition et de reconnaissance biométriques. 
Il répond également à l’objectif de développer de nouveaux axes de recherche en permettant des travaux : 
sur les séquences d’images, couvrant ainsi l’acquisition des données biométriques par vidéo, permettant la sélection de la ou des meilleures images (au sens performance biométrique) ; 
sur les performances d’acquisition et de rapidité de réponse, visant ainsi les applications biométriques sur smartphones et la recherche d’ergonomie ; 
d’amélioration des algorithmes d’acquisition biométrique, impliquant de comparer de nouvelles acquisitions avec des acquisitions réalisées antérieurement pour mesurer l’évolution des performances desdits algorithmes sur des volumes élevés de données.
Compte-tenu de ces éléments, elle considère que la constitution de bases de données est en l’espèce pertinente et adéquate au regard de l’objectif poursuivi qui consiste à évaluer et améliorer des algorithmes de reconnaissance
Sur la nature des données traitées :