AgentPublic/cnil huggingface dataset:
Les enregistrements bruts
 (photo, enregistrement audio, etc.) de la caractéristique biométrique 
ne peuvent être traités que le temps nécessaire au calcul du ou des gabarits : elles ne peuvent donc pas être conservées.
Les données biométriques dérivées
 ne peuvent être conservées que sous forme de gabarits chiffrés ne permettant pas de recalculer la caractéristique biométrique d'origine.
Elles ne peuvent être conservées que pendant la durée d’habilitation de la personne concernée, et doivent être supprimées en cas de retrait des habilitations ou en cas de cessation des fonctions de la personne concernée dans l’organisme employeur.
Les données de journalisation des accès produites par le dispositif biométrique ne peuvent être conservées en base active pendant plus de six mois glissants à compter de leur date d’enregistrement. Cela ne fait toutefois pas obstacle à leur conservation sous forme d’archives intermédiaires distinctes de la base active, avec accès restreint, dans la mesure où il existerait des dispositions législatives ou réglementaires spécifiques, ou encore si ces données présenteraient un intérêt en cas de contentieux, justifiant de les conserver le temps des règles de prescription/forclusion applicables.
Les données d’identification, autres que les gabarits biométriques, doivent être supprimées au plus tard dans les six mois qui suivent la date du retrait des habilitations ou celle de la cessation des fonctions de la personne concernée au sein ou pour le compte de la personne physique ou morale ayant la qualité de l’employeur.
Pour rappel, cette suppression n’impacte pas les autres traitements mis en place par l’employeur pour des finalités différentes et portant sur des données similaires.
 
Article 9 - Information des personnes 
 
Sans préjudice de ses obligations relatives à l’information et à la consultation des instances représentatives du personnel, l’employeur fournit aux personnes concernées l’information individuelle obligatoire prévue par les articles 12 et suivants du RGPD.
Cette information doit figurer dans une notice écrite remise par le responsable de traitement à chaque personne concernée préalablement à l’enrôlement des données biométriques de ce dernier.
 
Article 10 - Sécurité des données
 
Le responsable du traitement prend toutes précautions utiles, au regard de la nature des données et des risques que le traitement fait peser sur les personnes concernées et leurs droits, pour préserver la disponibilité, l’intégrité et la confidentialité des données traitées.
À cette fin, le responsable de traitement adopte au minimum les mesures suivantes ou des mesures dont il démontre l'équivalence :
Mesures relatives aux données :
cloisonner les données lors de leur transmission et leur conservation ;
chiffrer les données biométriques, dont les gabarits, à l'aide d'un algorithme cryptographique et d'une gestion des clés conformes à l'état de l'art ; en particulier, une politique de chiffrement et de gestion des clés doit être clairement définie (changement des clés par défaut, algorithmes et taille des clés conformes à l'état de l'art, renouvellement prévu, etc.) ;
associer un code d'intégrité aux données (par exemple, signature ou hachage) ;
intégrer une mesure technique ou organisationnelle de détection de fraude (par exemple : mesure de détection de faux doigts) ;
interdire tout accès externe à la donnée biométrique (par exemple en mettant en œuvre des mesures de types comparaison sur carte ( match-on-card ) ou module de sécurité physique/logique de type HSM (Hardware Security Module) ;
effectuer le contrôle d'accès par une comparaison entre l'échantillon calculé et le gabarit d'enrôlement enregistré (en base interne/distante ou sur support individuel) sans copie du gabarit ;
interdire la transmission de tout gabarit stocké par l’employeur en dehors du système ;
veiller à l'effectivité de l'effacement des données à l'issue de la durée de conservation (destruction physique des cartes restituées en présence de la personne concernée ou information sur les moyens de destruction de la puce en l’absence de restitution, effacement automatisé et sécurisé des données en base, etc.) ;
supprimer la donnée biométrique en cas d'accès non autorisé au terminal de lecture-comparaison ou au serveur distant (non applicable au stockage de type 1) ;
supprimer toute donnée non utile au traitement ultérieur lors de la fin de vie du dispositif biométrique.
 
Mesures relatives à l’organisation :
responsabiliser les personnes concernées sur les bonnes conditions d'utilisation des matériels ;
mettre à disposition un dispositif alternatif de secours ou utilisé à titre exceptionnel, sans contrainte ni surcoût pour les personnes n'utilisant pas la solution biométrique ; en particulier, pour les personnes ne répondant pas aux contraintes du dispositif biométrique (enrôlement ou lecture de la donnée biométrique impossible, situation de handicap rendant difficile son utilisation, etc.) et en prévision d'une indisponibilité du dispositif biométrique (tel qu'un dysfonctionnement du dispositif), une solution de secours doit être mise en œuvre pour assurer une continuité du service proposé, limitée toutefois à un usage exceptionnel ;
tester le système selon une procédure formalisée, avant sa mise en place et après toute modification, dans un environnement dédié et sans recourir à des données réelles. L’utilisation de données biométriques de volontaires, qui ne sauraient être liées à leur profil réel mais à des profils créés pour les tests pour la validation du bon fonctionnement, doit être limitée au strict nécessaire. L’ensemble des données doit être supprimé au plus tard à la fin des tests ;
déterminer les actions à entreprendre en cas d'échec de l'authentification (impossibilité de vérifier une identité, défaut d'habilitation à pénétrer dans une zone sécurisée, etc.) ;
gérer de manière stricte l'accès physique et logique aux dispositifs et bases de données par les personnes habilitées ; en particulier, une politique de gestion des droits et des accès doit être clairement définie ; il s'agit de formaliser les différentes catégories de personnes habilitées (utilisateurs, administrateurs et gestionnaires de bases de données, personnes en charge de la gestion des données, personnes techniques de maintenance, etc.), leurs droits sur les données, la manière dont les habilitations sont gérées, la manière dont leur accès est contrôlé, la manière dont les secrets sont gérés, les traces journalisées, la manière dont les traces sont gérées, etc. ;
former spécifiquement les administrateurs et personnes habilités à gérer les données (enrôlement, traitements, effacement, etc.) ;
prévenir les personnes concernées en cas d'accès non autorisé à leurs données ;
formaliser, appliquer et faire connaître une procédure de secours en cas d'incident (prévoyant notamment le ré-enrôlement).
 
Mesures relatives aux matériels :
mettre en œuvre des mesures soit permettant d'être alerté, soit supprimant les données biométriques en cas de tentative d'effraction sur le lecteur ou le dispositif de stockage. En particulier, en cas de stockage de la donnée sur une base locale intégrée au dispositif biométrique, toute tentative d'ouverture ou d'arrachage du terminal de lecture-comparaison doit être détectée, suivie d'un signalement à l'administrateur du dispositif ;
réserver un matériel spécifique au stockage des données biométriques, voire aux données du traitement ;
utiliser des matériels certifiés aux conditions d'usage et en termes de sécurité ;
garantir la traçabilité du cycle de vie du matériel.
 
Mesures relatives aux logiciels :
réserver un logiciel spécifique à l'usage des données ;
signer le logiciel et vérifier sa signature ;
tenir les logiciels à jour selon une procédure formalisée ;
vérifier que les modifications apportées par les éditeurs de logiciels ne favorisent pas la fuite de données ;
recourir à des mécanismes de détection et de protection contre les logiciels malveillants et logiciels espions, éprouvés et tenus à jour ;
limiter les actions des usagers sur les logiciels ;
garantir la traçabilité du cycle de vie des logiciels ;
vérifier régulièrement les licences des logiciels utilisés ;
interdire l'installation de logiciels permettant une observation interne (dans le cas d'un badge) ;
s'assurer du cloisonnement de l’environnement d’exécution de l'application de biométrie.
 
Mesures relatives aux canaux informatiques :
sécuriser les canaux informatiques (canaux réservés et chiffrés).
 
Le responsable de traitement doit régulièrement, et au moins tous les ans, contrôler la bonne mise en œuvre de ces mesures. Il doit de plus effectuer une veille lui permettant d’agir dans un délai raisonnable en cas de modification par la CNIL de cette liste de mesures.
 
Article 11 - Analyse d’impact relative à la protection des données
Conformément à la délibération n° 2018-327 du 11 octobre 2018 portant adoption de la liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise, les traitements régis par le présent règlement type sont considérés comme susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques concernées.
Par conséquent, une analyse d’impact relative à la protection des données doit être effectuée par le responsable du traitement préalablement à leur mise en œuvre, et ce quel que soit le type (1, 2 ou 3) de détention du gabarit biométrique choisi, conformément à l’article 35 du RGPD.
Le responsable de traitement devra donc à la fois respecter les dispositions du présent règlement type, documenter et tenir à disposition de la CNIL les justifications qui y sont demandées et procéder à une évaluation des risques sur les droits et libertés des personnes aux fins de les identifier et, le cas échéant, de les traiter.
Le choix de recourir aux modalités de détention du gabarit biométrique garantissant une moindre maîtrise de la personne, en particulier du type 3, doit faire l’objet d’une documentation particulièrement circonstanciée. 
Le responsable de traitement illustre les risques résiduels et les estime en termes de gravité et de vraisemblance.
Il doit mettre à jour régulièrement, au moins tous les trois ans, cette évaluation des risques ainsi que les mesures de sécurité supplémentaires qui en découleraient.
La présente délibération sera publiée au Journal officiel de la République française.
 
La Présidente
 
 
I. FALQUE-PIERROTIN
Décision n° MED-2021-093 du 4 octobre 2021 mettant en demeure la société X
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2021-197C du 1er septembre 2021 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le Secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société X ;
Vu le procès-verbal de contrôle sur place n° 2021-197/1 du 9 septembre 2021 ;
Vu les autres pièces du dossier,
I.Contexte et procédure
Présentation de la société et du contexte d’engagement de la procédure de contrôle
Créée en août 2021, la société X (ci-après, la société ), dont les locaux sont situés […], comporte un associé unique et n’emploie aucun salarié.
Elle développe un service, opérationnel depuis mars 2021, à destination des pharmacies qui effectuent des tests antigéniques au SARS-CoV-2 (ci-après, le service X ) en leur permettant de simplifier la collecte des données à caractère personnel des patients ayant effectué un test et leur acheminement vers le Système d’information national de dépistage, soit le traitement mis en œuvre par le ministère des solidarités et de la santé centralisant les résultats de ces tests (ci-après, la plateforme SI-DEP ). Dans ce cadre, elle met notamment en œuvre le site web X.fr qui permet de remplir les deux objectifs énoncés ci-avant.
A la suite d’un signalement anonyme auprès des services de la CNIL le 27 août 2021 faisant état d’une faille de sécurité affectant le site web X.fr , des vérifications en ligne conduites le jour même ont permis de constater l’effectivité et l’ampleur de la violation de données et, le 9 septembre 2021, une délégation a procédé à une mission de contrôle sur place dans les locaux de la société dans le but de vérifier la conformité des traitements de données à caractère personnel mis en œuvre par cette dernière avec le règlement n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel (ci-après, le RGPD ) et la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après, la loi Informatique et Libertés ), en application de la décision no 2021-197C du 1er septembre 2021 de la Présidente de la Commission.
Fonctionnement du service X
La société propose soit son service directement aux pharmacies, soit au travers de sociétés intermédiaires qui le distribuent auprès des pharmacies dans le cadre d’une prestation plus large d’accompagnement à la réalisation des tests antigéniques (fourniture d'une tente dédiée aux prélèvements et mise à disposition de personnel en charge de la réalisation des prélèvements, notamment).
La société est en relation d’affaires avec environ 350 pharmacies au total (en relation directe avec 200 pharmacies et en relation indirecte, via les sociétés intermédiaires mentionnées ci-avant, avec environ 150 pharmacies).
Dans les deux hypothèses, les pharmacies recourant au service doivent créer un compte sur le site web X.fr et renseigner leur numéro d’identification au répertoire partagé des professionnels de santé (RPPS) consistant en un identifiant unique et pérenne.
Le patient souhaitant faire un test antigénique dans une pharmacie recourant au service devra d’abord scanner, avec son terminal mobile, un code à réponse rapide (ci-après, code QR ) affiché à l’entrée des officines ou du lieu où le test est effectué. Ce code QR le renverra vers un formulaire en ligne à remplir et dans lequel il devra renseigner son nom, son prénom, son adresse courriel, son numéro de téléphone, sa date de naissance, son numéro d'inscription au répertoire national d’identification des personnes physiques (soit le numéro de sécurité sociale, ci-après NIR ), l’adresse de son domicile ainsi que, le cas échéant, la date d’apparition des premiers symptômes. Ce formulaire en ligne est hébergé sur le site web X.fr .
Une fois le test effectué, le pharmacien devra renseigner le résultat du test dans son interface en ligne sur le service X et valider la transmission de ce résultat vers la plateforme SI-DEP depuis l’application mobile qui permet l’authentification auprès des services liés à sa carte d’identité professionnelle électronique (ci-après, l’application e-CPS ). Le service X transmet alors au patient un courriel contenant un lien permettant d’accéder à ses résultats.
En synthèse, le service X a un rôle d’intermédiaire et de facilitateur pour les pharmacies dans la collecte et le traitement des données à caractère personnel des patients testés et dans leur acheminement vers la plateforme SI-DEP.
Selon les constatations effectuées par la délégation de contrôle le 9 septembre 2021, 436 972 tests concernant 386 970 personnes uniques étaient présents dans sa base de données.
Les données des personnes enregistrées en base contenaient le numéro identifiant, le nom, le prénom, l’adresse courriel, le téléphone, la date de naissance, le résultat du test (positif ou négatif) de 386 970 personnes et, pour 322 337 d’entre elles, également le NIR.
Architecture technique du service X
Il ressort des déclarations du contrôle sur place que le service est proposé à partir du site web x.fr , qui repose sur un système de gestion de contenu Z installé sur un serveur web hébergé sur un serveur de la société XX.
Le service fonctionne grâce à deux bases de données principales :
une base clients , qui contient les données des pharmaciens disposant d’un compte et qui est hébergée sur un serveur de la société XX ; et
une base patients , qui contient les données des patients ayant effectué les tests et qui est également hébergée sur les serveurs de la société Y.
Sur la vulnérabilité à l’origine de la violation de données et les suites apportées par la société
Le représentant de la société a précisé qu’après avoir été alerté le 27 août 2021 par un journaliste que des données à caractère personnel étaient librement accessibles dans l'arborescence du site web X.fr , il a relevé que la vulnérabilité était due à un défaut de configuration du serveur web.
Celui-ci permettait d'accéder au contenu du répertoire du module Z X permettant de gérer les différents services de la société. Dans le répertoire du site était accessible le code source du service, qui contenait notamment les identifiants de connexion à la base de données patients hébergée sur Y ainsi que des extraits au format CSV de cette base, c’est-à-dire dans un format texte directement lisible.
Ces extraits comprenaient toutes les données renseignées par les personnes lors de la réalisation d'un test, évoquées ci-avant. La présence de ces fichiers dans un répertoire du site web s’explique par un dysfonctionnement d’une des fonctionnalités du site permettant aux pharmaciens de réaliser des exports des données de leurs patients ayant réalisé des tests.
Lorsqu’il a été alerté de la vulnérabilité, le représentant de la société a indiqué avoir éteint et redémarré le serveur web du service X et corrigé la vulnérabilité en rendant le dossier inaccessible. Il a modifié le mot de passe de connexion aux bases de données hébergées chez XX et Y. Il a également ajouté des règles de pare-feu pour empêcher la connexion à la base de données depuis d'autres serveurs que ceux dédiés au service X .
Le 30 août 2021, la société a notifié la violation de données à caractère personnel à la CNIL.
Suites de la procédure de contrôle
Par un courrier électronique du 15 septembre 2021, la société a communiqué à la CNIL les éléments complémentaires demandés par la délégation dans le cadre du contrôle sur place, à savoir les documents encadrant sa relation contractuelle avec les sociétés XX et Y ainsi que des documents démontrant sa relation commerciale avec les sociétés intermédiaires. Par ailleurs, la société a également communiqué d’autres documents, tels que la dernière version de ses conditions générales de vente.
II.Sur la qualité de la société X vis-à-vis du traitement en question
Au titre de l’article 4, paragraphe 8, du RGPD, est sous-traitant la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement .
En l’espèce, depuis l’arrêté du 26 octobre 2020 modifiant l'arrêté du 10 juillet 2020 prescrivant les mesures d'organisation et de fonctionnement du système de santé nécessaires pour faire face à l'épidémie de Covid-19 dans le cadre de l'état d'urgence sanitaire du ministre des Solidarités et de la Santé, les pharmaciens d’officine peuvent procéder à des tests antigéniques nasopharyngés pour la détection du SARS-CoV-2. Il en résulte que la réalisation des tests s’effectue sous la responsabilité des pharmacies, y compris la mise en œuvre opérationnelle impliquant, outre le test en lui-même, la collecte des données des patients et leur transmission vers la plateforme SI-DEP. Ainsi, ce sont les seules pharmacies qui ont décidé des moyens et des finalités concernant le traitement lié à l’organisation des tests antigéniques, à savoir le recours à un dispositif simplifiant la collecte des données à caractère personnel des patients en vue de leur acheminement vers la plateforme SI-DEP.
Par ailleurs, dès lors que, dans le cadre du service qu’elle propose aux pharmacies, la société X, d’une part, ne fait que mettre à disposition les outils, notamment informatiques, choisis par les pharmacies pour faciliter la mise en œuvre du traitement et, d’autre part, agit uniquement au nom et sous la responsabilité des pharmacies, que ce soit lorsque le service leur a été directement proposé ou lorsqu’il a été distribué aux pharmacies par les sociétés intermédiaires mentionnées, elle doit être regardée comme sous-traitante de ces dernières au sens de l’article 4, paragraphe 8 précité.
III.Le manquement à l’article 32 du RGPD
Aux termes de l’article 32, paragraphe 1, du RGPD, le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque .
Les a) et b) de ce même paragraphe 1 prévoient qu’en fonction notamment de la portée, du contexte et des finalités du traitement ainsi que des risques pour les personnes concernées, le responsable de traitement met en œuvre le chiffrement des données à caractère personnel et des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement .
A la lumière du considérant 75 du RGPD, qui éclaire la portée à donner à cet article, lorsque le traitement en cause porte sur des catégories particulières de données à caractère personnel, comme des données de santé, le traitement doit bénéficier de mesures de sécurité renforcées.
Au titre de ces mesures de sécurité renforcées, l’article L. 1111-8 du code de la santé publique prévoit que les données de santé doivent être hébergées chez un hébergeur disposant d’un agrément délivré par le ministère des Solidarités et de la Santé (ci-après, agrément HDS ).
En l’espèce, la délégation de contrôle a constaté lors du contrôle sur place que si la société a pris certaines mesures pour corriger le défaut de sécurité qui était à l’origine de la violation de données lorsqu’elle en a eu connaissance (extinction et redémarrage du serveur web du service X, correction de la vulnérabilité en rendant le dossier inaccessible, modification du mot de passe de connexion aux bases de données hébergées chez XX et Y, ajout de règles de pare-feu ; voir Point 4 ci-dessus), le service X souffrait encore d’autres insuffisances en matière de sécurité, qui n’avaient pas été corrigés, et qui continuaient de faire peser un risque sur la confidentialité des données à caractère personnel traitées.
De multiples insuffisances en termes de sécurité ont été constatées et concernent, notamment, l’hébergement de données de santé chez un prestataire ne disposant pas d’un agrément HDS, le recours à des processus d’authentification insuffisamment robustes, l’utilisation d’une fonction de hachage faible et une journalisation lacunaire des activités des serveurs du service X. Le détail de ces défauts de sécurité, constituant le manquement à l’article 32 du RGPD, n’est pas décrit dans la présente mise en demeure afin de ne pas exposer la sécurité du traitement à de nouveaux risques. Il a cependant été communiqué de façon confidentielle et sécurisée au sous-traitant, afin qu’il prenne les mesures de mise en conformité correspondantes.
Il convient de souligner que la caractérisation du manquement à la sécurité relevé s’effectue tant au regard de la nature des données concernées – comportant des données de santé, qui sont des données dites sensibles qui nécessitent une protection particulière en application de l’article 9 du RGPD – du volume de données objet de la violation ainsi que des risques qu’une telle violation fait peser sur les personnes.