AgentPublic/cnil huggingface dataset:
des fonctionnalités de filtrage et de sélection de ces restitutions
. 
Ce processus de restitution doit être conforme aux trois critères définis par l'avis du G29 n° 05/2014 ou à tout avis ultérieur du CEPD relatif à l’anonymisation. Cette conformité doit être do
cumentée. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification devra être menée et documentée.
 
SEC-EXP-5
 
Les restitutions mentionnées à l’exigence SEC-EXP-4 doivent être exportées conformément aux exigences SEC-EXP-2 et SEC-EXP-3.
 
 
Sensibilisation des utilisateurs et sécurité des postes de travail
 
SEC-SEN-1
 
Chaque personne habilitée à accéder à l’entrepôt doit être formée au respect du secret médical et sensibilisée régulièrement aux risques et obligations inhérents au traitement de données de santé.
 
SEC-SEN-2
 
Chaque personne habilitée à accéder à l’entrepôt doit signer une charte de confidentialité précisant notamment ses obligations au regard de la protection des données à caractère personnel de santé et au regard des mesures de sécurité mises en place dans l’entrepôt, ainsi que les sanctions afférentes au non-respect de ces obligations.
 
SEC-SEN-3
Les postes de travail des personnes habilitées à accéder à l’entrepôt y compris les utilisateurs externes accédant uniquement aux espaces de travail, doivent faire l’objet de mesures de sécurité spécifiques, par exemple en mettant en place des comptes nominatifs, une authentification adéquate, un verrouillage automatique des sessions, un chiffrement des supports de stockage et des mesures de filtrage. Dans le cas où les postes de travail ne sont pas sous le contrôle du responsable de traitement, les mesures de sécurité à mettre en place sur les postes de travail doivent être encadrées au moyen d’une convention entre les parties concernées.
 
 
Journalisation
 
SEC-JOU-1
 
Les actions des utilisateurs des espaces de travail de l’entrepôt doivent faire l’objet de mesures de journalisation. En particulier, les connexions à l’entrepôt (identifiants, date et heure), les requêtes et opérations réalisées doivent être tracées.
 
SEC-JOU-2
 
Les accès des ingénieurs et administrateurs système et réseau doivent être effectués à travers un système spécifique assurant une authentification forte ainsi que la traçabilité détaillée des accès et actions réalisés. Par exemple, un bastion d’administration peut être utilisé
pour contrôler les accès et enregistrer les sessions.
 
 
SEC –JOU-3
 
Un contrôle des traces doit être réalisé régulièrement et a minima bimestriellement, ainsi qu’à la fin de chaque période d’habilitation liée à un projet de recherche. 
Ce contrôle doit être réalisé par :
une solution réalisant une surveillance automatique avec une remontée d’alertes traitées manuellement par un opérateur habilité ;
ou par un contrôle semi-automatique via exécution de programmes permettant une sélection des traces anormales, suivi d’une relecture manuelle par un opérateur habilité.
 
SEC-JOU-4
 
Les traces de journalisation définies aux exigences SEC-JOU-1 et SEC-JOU-2 doivent être conservées pendant une durée de comprise entre 6 mois et un an.
 
 
Procédures de ré-identification
 
SEC-REI-1
 
Le responsable de traitement met en place une procédure opérationnelle sécurisée afin d’assurer l’exercice des droits des personnes et le cas échéant la levée du pseudonymat et la bonne ré-identification des personnes concernées. Cette procédure permet, à partir des informations supplémentaires nécessaires à l’identification unique de la personne, de retrouver ou de calculer le numéro pseudonyme unique correspondant
, puis de sélectionner dans l’entrepôt, avec ce seul numéro pseudonyme unique, les données correspondant au demandeur et d’effectuer les opérations nécessaires au bon exercice de ses droits (suppression des données ou extraction pour transmission).
 
 
SEC-REI-2
Le cas échéant, et en cas de nécessité dûment justifiée et documentée, le responsable de traitement met en place une procédure opérationnelle sécurisée afin de recontacter des patients pour leur proposer de participer à des recherches. Cette procédure permet, à partir d’une liste de critères médicaux, de sélectionner les identifiants pseudonymes uniques correspondants aux patients visés, puis, en mobilisant la ou les tables de correspondance de l’entrepôt avec ces seuls pseudonymes, de sélectionner les données identifiantes correspondant à ces patients afin de les exporter pour cette seule finalité.
 
 
SEC-REI-3
 
Le cas échéant, le responsable de traitement met en place une procédure opérationnelle sécurisée afin de ré-identifier des patients en cas d’urgence médicale. Cette procédure permet, en mobilisant la ou les tables de correspondance de l’entrepôt, de sélectionner les données identifiantes des patients concernés à partir de leur numéro pseudonyme unique, et de les exporter pour cette seule finalité.
 
SEC-REI-4
 
Les habilitations et accès relatifs aux procédures de ré-identification définies aux exigences SEC-EXC-1 à SEC-EXC-3 doivent être réservés à une équipe restreinte et être limités au strict nécessaire. Les membres de cette équipe restreinte doivent être formés spécifiquement à cette procédure.
 
SEC-REI-5
Le responsable de traitement met en œuvre les mesures adéquates pour gérer les risques inhérents à ces procédures de ré-identification et notamment pour garantir qu’elles ne soient utilisables que dans le cas d’une demande émanant effectivement d’une personne concernée ou d’un professionnel de santé dûment habilité.
 
 
Gestion des incidents de sécurité et des violations de données à caractère personnel
 
SEC-INC-1
 
Le responsable de traitement prévoit une procédure de gestion et de traitement des incidents de sécurité et des violations de données à caractère personnel, précisant les rôles et responsabilités et les actions à mener en cas de survenue de tels incidents.
 
SEC-INC-2
 
Tout incident de sécurité, d’origine malveillante ou non et se produisant de manière intentionnelle ou non, ayant comme conséquence, même temporaire, de compromettre l’intégrité, la confidentialité ou la disponibilité de données à caractère personnel, doit faire l’objet d’une documentation en interne dans un registre des violations.
 
SEC-INC-3
 
Lorsqu’un tel incident est susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, la violation de données qui en résulte doit être notifiée à la Commission dans les conditions prévues à l’article 33 du RGPD.
 
SEC-INC-4
Dans l’hypothèse où la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable de traitement est tenu de communiquer la violation des données aux personnes concernées dans les meilleurs délais, conformément à l’article 34 du RGPD.
 
 
10.3 Ces mesures ne sont pas exhaustives et devront être complétées par les éventuelles dispositions qui auront été jugées nécessaires lors de la réalisation de l’analyse d’impact sur la protection des données menée tel que détaillé dans la section 13 du présent référentiel.
10.4 Les articles 5.1.f et 32 du RGPD nécessitent la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques afin que celles-ci soient conformes à l’état de l’art.
11. Sous-traitants
 
11.1 En cas de recours à un prestataire, la prestation doit s’effectuer dans les conditions prévues à l’article 28 du RGPD. Un contrat de sous-traitance doit être conclu entre le prestataire et le responsable de traitement. Ce contrat doit notamment spécifier la répartition des responsabilités relatives aux mesures de sécurité et à la gestion des violations de données entre les différents acteurs.
 
11.2 Le prestataire doit, en sa qualité de sous-traitant, tenir un registre des activités de traitement dans les conditions de l’article 30.2 du RGPD.
11.3 Seuls les entrepôts ayant recours à un sous-traitant relevant exclusivement des juridictions de l’Union européenne ou d’un pays considéré comme adéquat au sens de l’article 45 du RGPD sont conformes au présent référentiel.
 
 
11.4 Dans le cas où le responsable de traitement a recours aux services d’un sous-traitant pour l’hébergement, le stockage ou la conservation des données de santé, ce sous-traitant doit être un hébergeur de données de santé agréé ou certifié selon les dispositions du CSP.
 
12. Transfert de données hors de l’Union européenne
 
12.1 Est considéré comme transfert tout accès distant aux données depuis l’extérieur du territoire européen.
 
12.2 La mise en place et le fonctionnement d’un entrepôt ne peuvent entrainer le transfert de données à caractère personnel, directement ou indirectement identifiantes hors de l’Union européenne ou à destination d’un pays ne disposant pas d’un niveau de protection adéquat.
 
 
13. Analyse d’impact sur la protection des données
13.1 Le responsable de traitement doit réaliser et documenter une analyse d’impact sur la protection des données.
 
13.2 À cette fin, le responsable de traitement pourra se reporter :
aux principes contenus dans ce référentiel ;
aux outils méthodologiques proposés par la Commission sur son site web.
13.3 Le cas échéant, le responsable de traitement pourra élaborer une procédure relative à l’AIPD permettant d’impliquer les acteurs et les personnes pertinentes pour sa réalisation, notamment le délégué à la protection des données (DPD/DPO) qui devra être consulté.
 
13.4 L’AIPD devra être réexaminée et mise à jour régulièrement, notamment si des changements importants sont prévus dans le traitement ou si les risques pour les personnes concernées ont évolué (comme la poursuite d’une finalité supplémentaire, le recours à un nouveau sous-traitant, de nouvelles données collectées, une fuite de données permettant la réidentification, etc.).
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (notamment ses articles 40, 41 et 57) ;
Vu la délibération n° 2020-050 du 30 avril 2020 portant adoption d’un référentiel relatif à l’agrément des organismes chargés de contrôler le respect des codes de conduite ;
Vu la délibération n° 2021-065 portant approbation du code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE) ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 41 du règlement général relatif à la protection des données (RGPD) prévoit que l’organisme chargé de contrôler le respect d’un code de conduite par les responsables de traitements ou les sous-traitants doit être agréé par l’autorité de contrôle compétente au titre de l’article 57.1 (q) du RGPD.
Le code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE) a été approuvé par la Commission le 3 juin 2021. Il identifie la CNIL comme autorité de contrôle compétente conformément aux dispositions de l’article 40.5 du RGPD. En conséquence, la CNIL est compétente pour l’instruction et la délivrance de l’agrément aux organismes de contrôle désignés par le code de conduite porté par CISPE.
Ce code de conduite a désigné en tant qu’organisme de contrôle le Laboratoire national de métrologie et d’essai (LNE).
Le 27 juillet 2021, la Commission a été saisie par LNE d’une demande d’agrément en tant qu’organisme de contrôle du code de conduite porté par CISPE, conformément à la délibération n° 2020-050 du 30 avril 2020 portant adoption d’un référentiel relatif à l’agrément des organismes chargés de contrôler le respect des codes de conduite.
La demande d’agrément a fait l’objet d’une évaluation par les services de la CNIL.
La Commission reconnaît que la demande d’agrément présentée est conforme au référentiel d’agrément adopté le 30 avril 2020.
Décide :
De la délivrance de l’agrément au Laboratoire national de métrologie et d’essai (LNE) en tant qu’organisme de contrôle du code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE).
Cet agrément est délivré pour une durée de cinq ans à compter de la présente délibération.
Le code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE) a été approuvé par la Commission le 3 juin 2021. Il identifie la CNIL comme autorité de contrôle compétente conformément aux dispositions de l’article 40.5 du RGPD. En conséquence, la CNIL est compétente pour l’instruction et la délivrance de l’agrément aux organismes de contrôle désignés par le code de conduite porté par CISPE.
Ce code de conduite a désigné en tant qu’organisme de contrôle la société Bureau Veritas Italia Spa.
Le 21 septembre 2021, la Commission a été saisie par Bureau Veritas Italia Spa d’une demande d’agrément en tant qu’organisme de contrôle du code de conduite porté par CISPE, conformément à la délibération n° 2020-050 du 30 avril 2020 portant adoption d’un référentiel relatif à l’agrément des organismes chargés de contrôler le respect des codes de conduite.
La demande d’agrément a fait l’objet d’une évaluation par les services de la CNIL.
La Commission reconnaît que la demande d’agrément présentée est conforme au référentiel d’agrément adopté le 30 avril 2020.
Décide :
De la délivrance de l’agrément à Bureau Veritas Italia Spa en tant qu’organisme de contrôle du code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE).
Cet agrément est délivré pour une durée de cinq ans à compter de la présente délibération.
Si les exigences relatives à l’agrément ne sont pas ou plus respectées, l’agrément peut être révoqué conformément aux dispositions de l’article 41.5 du RGPD et de l’article 23 de la loi n° 78-17 du 6 janvier 1978 modifiée.
La Présidente
 
Marie-Laure DENIS
 
Annexe: le code de conduite des Fournisseurs d'Infrastructures Cloud relatif à la Protection des Données
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 52, 108 et 118 ;
Vu le décret n° 2019-539 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 141 à 143 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2021-113 du 30 septembre 2021 portant désignation des membres de la Commission nationale de l'informatique et des libertés chargés de l'exercice indirect des droits des personnes concernées prévu aux articles 52, 108 et 118 de la loi du 6 janvier 1978 modifiée ;
Après avoir procédé le 21 octobre 2021 à un vote dans les conditions fixées par l'article 71 du règlement intérieur,
Constate :
Article 1 : Mme Sophie LAMBREMON, conseillère honoraire auprès de la Cour de cassation, est élue présidente du collège des membres de la Commission nationale de l'informatique et des libertés chargés de l'exercice indirect des droits.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l'égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b), ci-après loi informatique et libertés ;
Après avoir entendu le rapport de M. François PELLEGRINI, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement ;
Adopte la présente recommandation :
La présente délibération constitue une recommandation relative aux modalités de conservation et d'usage des données de journalisation. Elle vise à faciliter la mise en conformité des différents responsables de traitement, et tient compte d'échanges avec des parties prenantes et du résultat de la consultation organisée sur ce sujet. Cette recommandation, et notamment les exemples qui y sont proposés, n'est ni prescriptive ni exhaustive et a pour seul objectif d'aider les professionnels concernés dans leur démarche de mise en conformité.
Les dispositifs de journalisation sont définis comme des dispositifs qui permettent d'assurer une traçabilité des accès et des actions des différents utilisateurs habilités à accéder aux systèmes d'information (et donc aux traitements de données à caractère personnel que sont susceptibles de constituer ces systèmes). Ces dispositifs peuvent être adossés soit à des applications (qui sont les briques logicielles spécifiques au traitement mis en œuvre et sont donc sujettes à la mise en œuvre de journaux dits applicatifs ), soit à des équipements spécifiques (qui sont des équipements informatiques associés à des logiciels embarqués, sujets à la mise en œuvre de journaux dits périmétriques ). La présente recommandation est applicable aux dispositifs de journalisation liés à l'application sur laquelle repose le traitement et non à la journalisation périmétrique, qui répond à une logique différente.
Cette recommandation a pour champ d'application la mise en œuvre de dispositifs de journalisation. L'analyse et les recommandations contenues dans le présent document s'appliquent de la même manière à un organisme public ou privé, et ne s'appliquent pas aux traitements dont la finalité principale serait la journalisation elle-même.
La mise en place d'un dispositif de journalisation participe au respect de l'obligation de sécurisation de tout traitement de données à caractère personnel, en application des articles 5 et 32 du RGPD, ainsi que des articles 99 et 101 de la loi informatique et libertés pour les traitements soumis à la directive Police-Justice et, pour les traitements soumis à la seule loi informatique et libertés , de l'article 121 de cette loi. Ces dispositifs peuvent, dans certains cas, poursuivre d'autres finalités (voir ci-dessous, section Autres cas ). Ils peuvent notamment permettre de documenter les transmissions de données à des destinataires , afin de satisfaire à l'obligation pour le responsable de traitement d'être en capacité de fournir aux personnes concernées une information sur les destinataires ou catégories de destinataires auxquels les données le concernant ont été communiquées et sur les informations qui leur ont été communiquées (voir notamment l'article 15 du RGPD et la décision de la Cour de justice de l'Union européenne (CJUE), 7 mai 2009, Rijkeboer, C-553/07, Rec.). La durée de conservation des journaux doit alors tenir compte de cette finalité spécifique, dans le respect de la jurisprudence de la CJUE. La Commission souligne que cette obligation du responsable de traitement peut également être satisfaite par d'autres moyens que les dispositifs de journalisation.
A cet égard, il est nécessaire de trouver un équilibre entre la sécurité apportée par la journalisation, la surveillance que ce type de système peut créer pour les utilisateurs habilités et l'émergence de risques particuliers liés à une conservation trop longue. Dans la majorité des cas, les données journalisées contiennent des données relatives aux personnes concernées par le traitement principal. En conséquence, l'enregistrement de ces données de journalisation ne modifie pas la sensibilité de ces traitements, mais peut offrir des garanties importantes pour la sécurité de ces données. En revanche, ces journaux contiennent également des données relatives aux utilisateurs habilités du système. Ces données peuvent révéler des informations sur ces personnes, notamment des informations relatives à leur comportement professionnel. Il convient de veiller à limiter les risques portant sur ces catégories de personnes, en proportionnant la collecte, au sein des journaux, de données à caractère personnel relatives aux utilisateurs habilités, à la sensibilité des données à caractère personnel du traitement principal et aux risques qu'un mésusage de celui-ci ferait courir aux personnes concernées. La présente délibération présente les recommandations de la Commission pour trouver cet équilibre en fonction de différents cas de figure.
CAS GENERAL
La Commission recommande que les opérations de création, consultation, modification et suppression des données à caractère personnel et des informations contenues dans les traitements auxquels la journalisation est appliquée fassent l'objet d'un enregistrement comprenant l'auteur individuellement identifié, l'horodatage, la nature de l'opération réalisée ainsi que la référence des données concernées par l'opération. Il convient notamment d'éviter de dupliquer au sein des journaux les données concernées par le traitement. Cette journalisation peut être intégrée au niveau applicatif ou bien gérée au niveau technique au moyen des ressources logicielles utilisées par l'application.
La Commission recommande de conserver ces données de manière ségrégée du système principal. Une modalité de mise en œuvre peut consister à utiliser des équipements physiquement distincts et accessibles uniquement en écriture par les applicatifs du traitement principal, sans possibilité d'écrasement de données existantes. L'attribution des droits d'accès aux données de journalisation devrait faire l'objet d'autorisations spécifiques basées sur la stricte nécessité.
La Commission recommande de conserver ces données pendant une durée comprise entre six mois et un an. Elle estime en effet que cette durée est suffisante, dans la plupart des cas, pour assurer un équilibre entre, d'une part, la nécessité de disposer de données de journalisation permettant d'identifier les atteintes au système de traitement et, d'autre part, la nécessité de ne pas conserver un volume de données trop important pouvant faire l'objet d'attaques ou de détournements de finalité.
La conservation de ces données de traçabilité est d'abord justifiée par l'objectif de sécurisation du traitement. Cette sécurisation est essentiellement active : elle repose sur une exploitation en temps réel ou à court terme de ces données pour détecter des opérations anormales afin de parer des attaques ou intrusions, ou de remédier rapidement à un incident informatique en facilitant l'identification du problème. La Commission recommande dès lors de mettre en œuvre un système de traitement et d'analyse des données collectées et de formaliser un processus permettant de générer des alertes et de les traiter en cas de suspicion de comportement anormal.
Ces données peuvent également servir ex post lorsqu'une violation de données (notamment par consultation, transmission ou usage illégaux des données) est constatée et que le responsable de traitement cherche à en établir la responsabilité.
Toute réutilisation des données collectées pour des finalités autres que celle de la sécurisation du traitement est susceptible de constituer un détournement de finalité. Il convient donc que le responsable de traitement mette en œuvre les mesures techniques et organisationnelles permettant de limiter ce risque, par exemple par l'engagement des personnes accédant à ces données à respecter une charte d'utilisation définissant les usages acceptables de celles-ci, ou la levée d'une alerte spécifique en cas d'accès en modification aux données de journalisation par un compte habilité.