AgentPublic/cnil huggingface dataset:
données sauf dans les cas où le traitement répond à une obligation légale.   Lorsque les données sont utilisées à des fins de prospection, notamment commerciale, les personnes concernées sont informées qu'elles peuvent s'y opposer sans frais et sans justification.   L'envoi de prospection commerciale par voie électronique est subordonné au recueil du consentement préalable des personnes concernées, sauf dans les cas d'une relation client-entreprise préexistante et d'une prospection entre professionnels. Dans ces hypothèses, les personnes doivent avoir été mises en mesure, au moment de la collecte de leurs données, de s'opposer de manière simple et dénuée d'ambiguïté à une utilisation de leurs données à des fins commerciales.   Dans le cas d'une collecte via un formulaire, le droit d'opposition ou le recueil du consentement préalable doit s'exprimer par un moyen simple tel que l'apposition d'une case à cocher.
Article 8 : Sécurités   Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données visées à l'article 3 et, notamment, empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.   Dans le cas de l'utilisation d'un service de communication au public en ligne, le responsable de traitement prend les mesures nécessaires pour se prémunir contre tout accès non autorisé au système de traitement automatisé de données.   Lorsqu'un moyen de paiement à distance est utilisé, le responsable de traitement doit prendre les mesures organisationnelles et techniques appropriées afin de préserver la sécurité, l'intégrité et la confidentialité des numéros de cartes bancaires contre tout accès, utilisation, détournement, communication ou modification non autorisés en recourant à des systèmes de paiement sécurisés conformes à l'état de l'art et à la réglementation applicable.   Article 9 : Exclusion du bénéfice de la norme simplifiée   Tout traitement non conforme aux dispositions des articles 2 à 8 de la présente décision ne peut faire l'objet d'une déclaration simplifiée auprès de la CNIL en référence à la présente norme.   Les traitements qui du fait de leur nature, de leur portée ou de leurs finalités, sont susceptibles d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat ne peuvent faire l'objet d'une déclaration simplifiée en référence à la présente norme conformément aux dispositions
de l'article 25, I, 4° de la loi du 6 janvier 1978 modifiée.   Ne peut également prétendre au bénéfice de la déclaration simplifiée en référence à la présente norme le traitement comportant la transmission de données visées à l'article 3 vers des pays tiers à l'Union européenne, y compris lorsque cette transmission est réalisée dans le cadre d'opérations de sous-traitance.   Les dispositions de la présente norme ne sont pas applicables aux secteurs d'activités suivants : établissements bancaires ou assimilés, entreprises d'assurances, santé et éducation.
Article 10   Les normes simplifiées n° 11, 17 et 25 établies respectivement par les délibérations n° 80-021 du 24 juin 1980, n° 81-16 du 17 février 1981 et 81-117 du 1er décembre 1981 modifiées par les délibérations n° 96-101, n° 96-102 et n° 96-103 du 19 novembre 1996 sont abrogées.   Pour les entreprises ou organismes privés et publics, la déclaration simplifiée effectuée en référence à la présente norme remplace les déclarations simplifiées effectuées en référence aux normes simplifiées n° 11, 17 et 25.   Article 11   La présente délibération sera publiée au Journal officiel de la République française.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;   Vu la déclaration présentée par la Caisse régionale de crédit agricole de Loire Haute-Loire ;   Après avoir entendu M. Philippe Nogrix, Commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, Commissaire du Gouvernement adjoint, en ses observations,
Formule les observations suivantes :   La Caisse régionale de crédit agricole de Loire Haute-Loire a saisi la CNIL d'une déclaration relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité le scoring permanent de la clientèle des particuliers au regard du crédit à la consommation, dont les variables et pondérations sont définies d'après des tables et grilles jointes au dossier.   La Commission considère qu'il y a lieu de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier de l'article 25-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements ayant pour objet, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.   Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de la Caisse régionale de crédit agricole de Loire Haute-Loire, Domi/Organisation, 94 rue Bergson, BP 524, 42007 Saint-Etienne cedex 1.   Les catégories de données à caractère personnel enregistrées seront relatives à l'identité, la situation familiale, le logement, la vie professionnelle, la situation économique et financière et le résultat.   Les destinataires des informations seront les personnels habilités de la Caisse régionale de crédit agricole de Loire Haute-Loire.
Autorise, dans ces conditions, la Caisse régionale de crédit agricole de Loire Haute-Loire à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité le scoring permanent de la clientèle des particuliers au regard du crédit à la consommation.   Le président, Alex TURK.
Le bureau de la Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;   Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;   Vu le code de la sécurité sociale et en particulier les articles L. 315-1 et L. 162-22-18 ;   Vu la demande d'autorisation présentée par le Ministère des solidarités, de la santé et de la famille de mise en oeuvre par les services médicaux de l'assurance maladie obligatoire d'un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle de la facturation des établissements publics et privés de santé dans le cadre de la réforme de la tarification à l'activité ;   Après avoir entendu Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses
Formule les observations suivantes :   Le Ministère des solidarités, de la santé et de la famille a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre au sein des services médicaux de l'assurance maladie obligatoire d'un traitement de données à caractère personnel ayant pour finalité le contrôle de la facturation des établissements publics et privés de santé dans le cadre de la réforme de la tarification à l'activité.   Il y a lieu de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier de l'article 25 de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données de santé justifiés par l'intérêt public.   Un nouveau mode de financement des établissements de santé publics ou privés fondé sur une tarification à l'activité en médecine, chirurgien, obstétrique et odontologie est en place depuis la loi n° 2003-1199 du 18 décembre 2003 relative au financement de la sécurité sociale pour 2004.   Cette réforme de la tarification harmonise le financement des établissements de santé publics et privés et crée le paiement au forfait par séjour. Ainsi, chaque séjour donne lieu à la production, par le programme de médicalisation des systèmes d'information (PMSI) de l'établissement, d'un résumé standardisé de sortie (RSS). Après traitement des principales données contenues dans ce résumé, le séjour est classé dans un groupe homogène de malade (GHM). A chaque GHM est appliqué un
tarif. Afin de pouvoir moduler ce tarif et qualifier la prestation assurance maladie facturée, le groupe homogène de séjour (GHS) a été créé.   Le dispositif présenté à la Commission a pour objet de contrôler les informations produites par les établissements de santé dans le cadre de la tarification à l'activité. Ce contrôle, mené par les médecins conseils contrôleurs des trois principaux régimes l'assurance maladie, régime général, régime agricole et les professions indépendantes, devrait permettre de détecter les erreurs de facturation, les recouvrements indus et d'éviter les paiements injustifiés notamment à partir de la transmission de données issues des RSS du PMSI.   En application des articles L. 315-1 et L. 162-22-18 du code de la sécurité sociale, le contrôle médical porte notamment sur la facturation des prestations médicales et les séjours hospitaliers. Les établissements de santé sont passibles de sanctions financières en cas de manquement aux règles de facturation, d'erreurs de codage ou d'absence de réalisation des prestations facturées. Ces sanctions sont prises par la commission exécutive (COMEX) de l'agence régionale de l'hospitalisation (ARH) à la suite d'un contrôle réalisé sur pièces et sur place par les médecins inspecteurs de santé publique ou des praticiens conseils des organismes d'assurance maladie.
Le contrôle sera organisé au niveau régional. Ainsi, dans chaque région, une unité de coordination régionale, placée près de la COMEX, est composée de représentants de l'assurance maladie dotés d'expérience en matière de PMSI. Cette unité technique proposera le programme de contrôle, suivra sa réalisation, recevra les rapports de contrôle et les traitera. Un rapport de synthèse sur les contrôles réalisés sera effectué et le cas échéant, de sanctions seront proposées.   Préalablement aux contrôles sur site, une analyse des fichiers de résumés de sortie anonymisés (RSA) transmis aux agences régionales de l'hospitalisation par les établissements de la région sera réalisée afin de déterminer les établissements et les activités à contrôler en priorité.   Une fois le ciblage des établissements et des activités effectué, à partir du comportement moyen de description d'activité d'établissements de même nature et le comportement propre de chaque établissement, le contrôle portera sur un échantillon de l'activité considérée. Le médecin conseil demandera à l'établissement la liste des numéros de résumés de sortie standardisés (RSS) correspondant à l'activité contrôlée. Un tirage au sort des numéros de RSS sera réalisé. Le médecin responsable de l'information médicale devra préparer pour le jour du contrôle, les RSS complets, les dossiers médicaux correspondant aux séjours dont les numéros ont été retenus ainsi que les factures.   Les contrôles sur place consisteront donc à vérifier
que la facturation des séjours est conforme aux règles de production des résumés en les rapprochant des informations contenues dans les dossiers médicaux. Ils seront réalisés sous l'autorité conjointe du médecin conseil et du médecin responsable de l'information médicale dans des conditions de nature à assurer la confidentialité des données traitées.   Afin de fiabiliser et d'alléger le travail des médecins contrôleurs, un outil de gestion du contrôle sur site est installé sur les micro-ordinateurs portables des médecins conseils. Cet outil contiendra les numéros des RSS retenus pour le contrôle. Sur place, les fichiers de RSS tirés au sort seront temporairement intégrés dans l'application ainsi que des éléments issus des dossiers médicaux des patients afin de mettre en exergue les divergences de codages.   A l'issue du contrôle un rapport sera édité qui comportera comme seul identifiant les numéros de RSS concernés.  Les fichiers de RSS seront détruits. Un CD-Rom crypté contenant le rapport de contrôle sera transmis à l'équipe médicale des unités de coordinations régionales.
Les ordinateurs portables des médecins conseils seront sécurisés selon les modalités du système de protection développé par chaque régime d'appartenance qui comportent au minimum une identification et une authentification préalable à l'ouverture de toute session.   L'accès à l'outil de gestion du contrôle sur site sera lui même protégé par un mot de passe.   Le présent traitement ne remet pas en cause le droit d'accès prévu au patient, auprès du médecin responsable de l'information médicale, dans le cadre du programme de médicalisation des systèmes d'information (PMSI).   Les catégories de données à caractère personnel enregistrées seront relatives aux informations médico-administratives figurant dans les résumés standardisés de sortie (RSS) et anonymisées (RSA), les bordereaux de facturation et les éléments du dossier médical anonymisés.   Les destinataires des informations seront les médecins conseils contrôleurs, l'équipe médicale des unités de concertation régionales et les caisses d'assurance maladie.
   Autorise, dans ces conditions, le ministère des solidarités, de la santé et de la famille, à mettre en place au sein des services médicaux des régimes d'assurance maladie un traitement de données à caractère personnel ayant pour finalité le contrôle de la facturation des établissements publics et privés de santé dans le cadre de la réforme de la tarification à l'activité.   Le président, Alex TURK.
Le bureau de la Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;   Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;   Vu le code de la sécurité sociale et en particulier les articles L. 162-1-14, L. 314-1, L. 377-1 et L. 380-1 ;   Vu la demande d'autorisation présentée par la Caisse primaire d'assurance maladie de la Seine-Saint-Denis tendant à mettre en oeuvre un tableau de suivi des fraudes et anomalies ;   Après avoir entendu Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   La Caisse primaire d'assurance maladie de la Seine-Saint-Denis a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la création d'un tableau de suivi des fraudes et anomalies.   La Commission considère qu'il y a lieu de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier de l'article 25 de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de santé justifiés par l'intérêt public ainsi que ceux portant sur des données relatives aux infractions et condamnations.   Afin de lutter contre les phénomènes de fraudes qui peuvent venir, soit des assurés sociaux, soit des professionnels de santé, la caisse primaire d'assurance maladie de Seine-Saint-Denis souhaite mettre en place un dispositif lui permettant de détecter les fraudes, de diligenter des contrôles individuels et le cas échéant, d'entreprendre des actions contentieuses.   En application de l'article L. 314-1 du code de la sécurité sociale, lorsque les caisses reçoivent les documents établis pour l'ouverture des prestations, elles vérifient avec l'appui des services médicaux que l'ensemble des conditions auxquelles est subordonnée la prise en charge est rempli, que les actes pratiqués ou les traitements prescrits n'excèdent pas les limites et indications prévus par les textes et respectent les recommandations de
bonne pratique cliniques et les références professionnelles et enfin que les dépenses présentées au remboursement ne méconnaissent pas les engagements conventionnels.   Lorsqu'une anomalie est constatée par la caisse ou le service médical, une appréciation des responsabilités respectives de l'assuré ou du professionnel de santé dans l'inobservation des règles est établie. Diverses procédures, prévues dans le code de la sécurité sociale, sont applicables en fonction des irrégularités relevées.   La caisse de Seine-Saint-Denis souhaite pouvoir élaborer un tableau recensant les anomalies concernant les assurés, professionnels de santé et employés du département ayant fait l'objet d'un signalement du Comité d'action contre les fraudes et anomalies (CAFA). Ce Comité, présidé par le directeur adjoint de la caisse, est chargé de détecter les fraudes et les irrégularités graves, de faire diligenter des contrôles individuels et de décider d'actions contentieuses (conventionnelles, ordinales ou pénales).   L'accès, par les personnes habilitées dans le cadre de leurs fonctions et sous l'autorité du directeur de la caisse, au tableau s'effectuera en se connectant sur l'intranet de la caisse puis en s'authentifiant avec une carte à puce agent et un mot de passe.
Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du directeur de la régulation et de l'accès aux soins de la caisse.   Les catégories de données à caractère personnel enregistrées seront relatives à l'identité et l'adresse de l'assuré et du professionnel de santé, au numéro de sécurité sociale de l'assuré, le cas échéant son numéro de titre de séjour, au numéro d'identification du professionnel de santé, à l'identification de l'employeur, au motif du signalement et au suivi des actions menées par la caisse. Les données seront conservées trois ans au plus.   Les destinataires des informations seront le directeur général, le directeur général adjoint, les agents de direction, les responsables d'unités de production et de coordination de contrôle, les responsables de pôles d'activité au sein des unités de production de contrôle, le secrétariat du CAFA, le responsable du service contentieux et les agents chargés de l'instruction des dossiers.
   Autorise, dans ces conditions, la caisse primaire d'assurance maladie de la Seine-Saint-Denis à mettre en ceuvre un traitement de données à caractère personnel ayant pour finalité la création d'un tableau de suivi des fraudes et anomalies.   Le président, Alex TURK.
Le bureau de la Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 et notamment ses articles 8-IV, 16 et 25 ;   Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;   Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;   Vu la demande d'autorisation présentée par l'Association Réseau Onco-Normand d'un système d'échange de données de santé ;   Après avoir entendu Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   L'association réseau Onco-Normand a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité un système d'échange de données de santé destiné à l'organisation de réunions de concertation pluridisciplinaires.   L'association réseau Onco-Normand regroupe des professionnels de santé de la région de Haute-normandie prenant en charge des patients atteints d'affections cancéreuses. Dans le cadre de ce réseau, les patients volontaires pourront bénéficier d'une concertation pluridisciplinaire autour de leur dossier. Le dossier médical du patient sera transmis au comité de concertation pluridisciplinaire par le médecin après accord du patient. A l'issue des réunions de concertation, chaque dossier fera l'objet d'un compte rendu qui sera enregistré dans une base de données sécurisée et mis à la disposition des partenaires de santé désignés par le patient.   Le suivi du patient sera assuré par un médecin dit référent qui lui délivrera toutes les informations nécessaires sur les différentes étapes de la prise en charge et mettra en oeuvre les orientations préconisées lors des réunions de concertation pluridisciplinaires.   Le patient consentira par écrit, d'une part à sa prise en charge par les professionnels de santé d'une unité de concertation pluridisciplinaire exerçant dans le cadre du réseau et d'autre part, à la constitution d'un dossier administratif et
médical partagé par les praticiens du réseau. Les données médicales ne seront accessibles qu'aux médecins et aux secrétaires médicales spécifiquement autorisées, sous leur responsabilité. Le consentement du patient sera requis avant toute transmission de données au comité de concertation pluridisciplinaire. Une charte réseau sera remise à chaque professionnel de santé qui adhérera au réseau ainsi que la convention constitutive qu'il signera.   Des statistiques d'évaluation pourront être effectuées à partir de données préalablement anonymisées.   La Commission prend acte que le système d'information du réseau baptisé SOPHIE utilisera le réseau internet et sera hébergé par la société In vita, filiale d'Accenture France. Les échanges de données bénéficieront d'un haut niveau de chiffrement. L'accès au réseau se fera par une carte à puce de type carte de professionnel de santé ou carte d'établissement ou à défaut, à titre transitoire, par un identifiant et un mot de passe personnel attribués dans des conditions strictes de confidentialité par l'administrateur et coordinateur du réseau.