AgentPublic/cnil huggingface dataset:
A l’issue cette première phase d’expérimentation objet de la présente demande d’autorisation (epSOS 1), il est prévu une seconde phase qui devrait prendre fin en décembre 2013 au cours de laquelle d’autres pays entreront dans l’expérimentation du projet pilote qui connaîtra des évolutions fonctionnelles (epSOS 2). Ces évolutions devront donner lieu à de nouvelles formalités préalables auprès de la CNIL si leur mise en œuvre modifie le périmètre et les principes de fonctionnement du projet. La Commission estime, en outre, devoir être saisie, à l’appui de cette nouvelle demande, des évaluations réalisées au cours de la première phase d’expérimentation.
Sur la détermination du responsable des traitements et la nature des formalités préalables applicables à ces traitements
L’Agence des Systèmes d’Information Partagés de santé a été désignée par le ministère de la Santé comme point de contact national (« National Contact Point » (NCP) pour la France. A ce titre, elle garantit la mise en œuvre du service epSOS au niveau national et la prise en compte des exigences juridiques, organisationnelles et techniques destinées à  établir un « cercle de confiance » entre les pays partenaires. Elle partage la maîtrise d’ouvrage de ce traitement avec le Groupement de Coopération Sanitaire (GCS) eSanté Alsace, qui participait déjà à l’expérimentation du Dossier Médical Personnel (DMP) dans le cadre d’une convention de groupement avec la société CEGEDIM. Conformément à un cahier des charges, l’ASIP Santé délègue, pour toute la France, une partie de la maîtrise d’ouvrage au GCS e-santé Alsace.
L’ASIP Santé et le GCS eSanté Alsace sont donc présentés comme co-responsables des applications informatiques mises en œuvre pour ce qui est nécessaire au fonctionnement de l’opération pilote epSOS.
Dans la mesure où le projet vise à permettre d’améliorer le suivi médical et la prise en charge des patients en déplacement dans l’Union européenne, la Commission considère qu’il peut être fait application des dispositions des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui poursuivent un intérêt public.
Sur l’identification du patient
Tout étudiant doté d’une carte Vitale individuelle qui le souhaite pourra ouvrir une synthèse médicale auprès d’un professionnel de santé du service de médecine universitaire préventive et de promotion de la santé qui participe à l’opération pilote epSOS. 
Pour associer sans risque d’erreur un étudiant et sa synthèse médicale, cette dernière sera identifiée par un identifiant national de santé calculé, dénommé « INS-C », l’identifiant national de santé aléatoire n’étant pas à ce jour opérationnel.
Ainsi créé à l’occasion de la proposition d’ouverture d’une synthèse médicale, cet identifiant sera adressé à l’hébergeur et conservé par lui. Une carte personnelle epSOS sera remise au patient sur laquelle son INS-C sera inscrit. Aucun accès à une synthèse médicale ne sera possible sans l’INS-C de son titulaire.
Sur l’information et le recueil du consentement de l’étudiant à la création d’une synthèse médicale
La participation au projet epSOS est volontaire et chaque étudiant donne son consentement à la création d’une synthèse médicale. Il a également la faculté de demander sa suppression à tout moment en adressant une demande écrite à l’ASIP Santé, au service en charge du support national créé à cet effet (à l’adresse epSOS Info Service), accompagnée de justificatifs d’identité.
Le consentement de l’étudiant à l’ouverture d’une synthèse médicale à son nom est légalement requis, en tant qu’elle est partagée et en tant qu’elle est hébergée (C. santé publique, art. L.1111-8). L’article L.1111-8 du Code de la santé publique précise que le consentement à l’hébergement doit être un consentement « exprès ».
Il ressort du dossier soumis à la Commission que le consentement du patient à l’ouverture d’une synthèse médicale à son nom sera recueilli par un médecin du service de médecine préventive et de promotion de la santé d’une université participant à l’opération pilote, après remise d’une brochure d’information sous format papier, rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée. 
Cette brochure comportera des informations relatives respectivement, à l’identité du responsable du traitement et de l’hébergeur, à la finalité poursuivie par l’ouverture d’une synthèse médicale et au caractère expérimental du dispositif, à son contenu, aux modalités de création, d’alimentation, d’utilisation et de conservation, ainsi qu’aux conditions d’exercice des droits des patients. Cette information individuelle sera complétée par la mise en place d’un site ouvert au public (www.epsos.eu).
Le consentement sera recueilli sous forme « dématérialisée ». Le traitement comportera, à cet effet, la déclaration, sous forme électronique, par le médecin du service universitaire de médecine préventive et de promotion de la santé habilité à créer une synthèse médicale, selon laquelle après avoir procédé à l’information indiquée plus haut, il a effectivement recueilli le consentement de l’étudiant ; cette déclaration se matérialisera par une croix dans une case à cocher prévue à cet effet. Elle sera systématiquement complétée par la production et la remise à l’étudiant d’un document formalisant son accord exprès à la participation à l’expérimentation. 
La Commission en prend acte.
Sur le droit d’accès du patient
L’étudiant pourra exercer son droit d’accès et de rectification à sa synthèse médicale et en obtenir une copie auprès du médecin du service de médecine préventive et de promotion de la santé de son université. 
Il pourra également avoir communication des traces des accès à cette synthèse médicale, en adressant un courrier postal à l’hébergeur, accompagné des justificatifs nécessaires au contrôle de son identité. 
La Commission prend acte des engagements pris par l’ASIP Santé pour que toutes les précautions soient prises pour que ces documents soient bien remis à la personne concernée, conformément aux dispositions de l’article 34 de la loi du 6 janvier 1978, modifiée en 2004.
La Commission estime que ces modalités sont de nature à permettre l’exercice du droit d’accès, conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978, modifiée. 
Sur le contenu de la synthèse médicale et la maîtrise par le patient des accès à celle-ci
La synthèse médicale epSOS contient une liste d’informations définies de manière commune pour l’ensemble des pays européens. Ces informations portent sur les données administratives du patient (nom, prénom, sexe, date de naissance, identifiant national de santé…) et sur les données de santé nécessaires à la coordination des soins (allergies, antécédents médicaux ou chirurgicaux, traitements en cours…).
La Commission prend acte que le contenu de cette fiche de synthèse a été défini à la suite d’une concertation menée au plan européen, au sein d’un groupe de travail composé de médecins des Etats membres, qui a défini une nomenclature standardisée destinée à permettre une interopérabilité sémantique.
La synthèse médicale sera accessible, dans leur langue, aux seuls professionnels de santé auxquels le patient concerné aura souhaité ouvrir des droits et conféré, en conséquence, les autorisations d’accès nécessaires. Ces autorisations d’accès se matérialiseront par la remise par le patient au professionnel de santé de la carte personnelle epSOS sur laquelle est inscrit son identifiant national de santé. La Commission relève que les étudiants en sont clairement informés dans la note d’information qui leur est remise.
L’ensemble de ces opérations sera tracé et le patient sera en mesure d’exercer un contrôle a posteriori en accédant à l’historique des traces.
La sécurité du dispositif
Compte tenu de l’enjeu du projet epSOS en termes de protection des données à caractère personnel du fait du caractère supranational des échanges d’informations sensibles, un niveau de sécurité minimum, effectif et de haut niveau, de nature à garantir à la confidentialité des données est imposé par le consortium epSOS pour quiconque souhaite participer à l’opération. 
Ce niveau de sécurité est basé sur le standard ISO 27001, un standard éprouvé en matière de sécurité des systèmes d’information. Le résultat d’un audit établissant la conformité du système d’information français aux mesures de sécurité imposées par epSOS a été communiqué au ministère de la Santé.
Sur le système européen  epSOS
Le système européen epSOS est fondé sur l’interconnexion de plusieurs points de contact nationaux. Les échanges de données entre les pays participant à l’opération pilote transitent obligatoirement par le point de contact national. Celui-ci, saisi d’une requête, transforme la synthèse médicale en un format codé commun à tous les partenaires européens et l’adresse au point de contact européen auteur de la requête, qui la reçoit codée et la traduit dans la langue du pays destinataire.
Sur les principes d’accès à la synthèse médicale  par les professionnels de santé en France
Seuls les professionnels de santé du service universitaire de médecine préventive et de promotion de la santé spécialement habilités par un administrateur du service epSOS de l’ASIP Santé et dotés d’une carte CPS délivrée par l’ASIP Santé, seront en mesure d’accéder à la fiche de synthèse d’un patient en France.
Les administrateurs du système n’auront pas accès aux données de santé en clair.
La Commission en prend acte.
Les professionnels de santé pourront accéder à la synthèse médicale d’un étudiant hors d’état de manifester sa volonté en mode « bris de glace » en présence d’une situation comportant un risque immédiat et à condition que le patient ne s’y soit pas préalablement opposé. Cet accès devra être motivé et sera tracé pour s’assurer que la situation d’urgence justifiait bien cet accès.
Sur la traçabilité des accès et des actions
La Commission relève avec satisfaction qu’une traçabilité des accès des professionnels de santé aux données sera effectuée, indiquant la date, l’identifiant du dossier patient, l’identifiant du processus ou de la personne à l’origine de l’événement.
La Commission prend acte que chaque professionnel de santé n’accèdera qu’à ses propres traces.
De façon générale, la Commission relève que le médecin de l’hébergeur aura accès à l’ensemble des traces et de leur imputabilité, afin d’être mis en mesure de veiller au bon usage de la synthèse médicale. 
Sur le chiffrement des données
La Commission constate que, conformément à ce qu’elle préconise, les données de santé à caractère personnel seront conservées chiffrées dans les serveurs de l’hébergeur. Elle relève également que l’ensemble des flux sur les réseaux sera sécurisé.
La Commission juge ces mesures de chiffrement des bases de données et des échanges satisfaisantes. 
Dans ces conditions, la Commission autorise l’ASIP Santé, à mettre en place les applications informatiques nécessaires à la première phase d’expérimentation du projet pilote de e-santé, EPSOS.
Le Président
Alex TURK
(demande d’autorisation n°8032v2)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment ses articles 10 et 25 ;
Vu le code monétaire et financier, en particulier les articles L. 141-1 à L. 141-6, L. 142-9, L. 142-10, L. 144-1 et L. 144-5 ;
Vu le décret n° 2009-198 du 18 février 2009 relatif à la durée de diffusion par la Banque de France des informations afférentes aux dirigeants et aux entrepreneurs ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu l’arrêté du 20 février 2007 relatif aux exigences de fonds propres applicables aux établissements de crédit et aux entreprises d'investissement ;
Vu le règlement n° 86-08 du 27 février 1986 modifié du Comité de la réglementation bancaire et financière, relatif à la centralisation des incidents de paiements et l’instruction de la Banque de France n° 3-86 du 28 août 1986 prise pour son application ;
Vu le règlement n° 86-09 du 27 février 1986 modifié du Comité de la réglementation bancaire et financière, relatif à la centralisation des risques et l’instruction de la Banque de France n° 1-93 du 25 janvier 1993 prise pour son application ;
Vu la délibération n° 2009-498 du 17 septembre 2009 autorisant les nouvelles modalités de mise en œuvre du Fichier bancaire des entreprises (FIBEN) de la Banque de France ;
Vu la demande présentée par la Banque de France ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations.
Formule les observations suivantes :
La Banque de France a saisi la CNIL d’une demande de modification de l’autorisation n°2009-498 autorisant les nouvelles modalités de mise en œuvre du Fichier bancaire des entreprises (FIBEN) de la Banque de France afin de prendre en compte les modifications du code monétaire et financier résultant de la loi n°2010-1249 du 22 octobre 2010 de régulation bancaire et financière.
Les dispositions de l’article L144-1 du CMF ont été complétées afin d’ajouter à la liste des destinataires du FIBEN les entreprises d’assurance habilitées, dans les conditions prévues par le code des assurances, à pratiquer en France des opérations d’assurance crédit ou de caution, sous réserve que leurs interventions s’adressent à des entreprises.
Dès lors, la délibération n°2009-498 du 17 septembre 2009 est modifiée comme suit : 
après les mots « certains organismes publics chargés d’examiner des demandes d’aide publiques, de traiter des difficultés des entreprises ou de passer des marchés publics, sous réserve d’une habilitation particulière et sous conditions d’un strict cantonnement de leurs interrogations » sont ajoutés les mots suivants « les entreprises d’assurance habilitées, dans les conditions prévues par le code des assurances, à pratiquer en France des opérations d’assurance crédit ou de caution, sous réserve que leurs interventions s’adressent à des entreprises ».
Cette modification n’appelle pas d’observations particulières.
Autorise, la Banque de France à mettre en œuvre selon les modalités susmentionnées le Fichier bancaire des entreprises non financières.
                                                                                Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu les délibérations de la Commission n°s 04-072 et 2009-147 des 21 septembre 2004 et 26 février 2009 portant autorisation de la mise en œuvre par le GIE PREVENTEL d'un traitement automatisé de données à caractère personnel relatif à la prévention des impayés. 
Sur le rapport de M. Didier GASSE, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société KPN FRANCE à mettre en œuvre le traitement de données à caractère personnel ayant pour finalité la prévention des impayés, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Responsable du traitement
La société KPN FRANCE
Finalités
La société KPN FRANCE a déposé auprès de la CNIL un dossier relatif à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la prévention des impayés qui doit lui permettre de consulter et d’enrichir le traitement mis en œuvre par le GIE PREVENTEL, actuellement composé des sociétés Auchan Telecom, Bouygues Telecom, Carrefour Interactive, Coriolis Telecom, NRJ Mobile, Omer Telecom (Virgin Mobile, Breizh Mobile), Omer mobile (Télé2 Mobile), Orange France, Orange Réunion, SFR, SRR, Outremer Telecom, Prixtel, Afone et La Poste Telecom. Les traitements mis en œuvre auront pour finalité la prévention des impayés. Le traitement mis en œuvre par le GIE PREVENTEL a pour objet d’informer les membres du GIE, qu’il s’agisse des opérateurs de téléphone mobile ou des sociétés qui commercialisent les services de ces opérateurs, des abonnés débiteurs d’une créance issue de l’utilisation de services de téléphonie afin, lors d’une nouvelle demande d’abonnement, de la lui refuser ou de prendre des mesures visant à se prémunir de tout nouvel impayé.
Catégories de données traitées
Les catégories de données à caractère personnel traitées seront relatives à l’identité de la personne présentant un impayé supérieur au seuil prévu par l’autorisation accordée au GIE PREVENTEL et aux motifs ayant donné lieu à l’inscription de la personne dans le fichier.
Destinataires
Les destinataires des données seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnes habilitées au sein des services de recouvrement et d’activation des lignes de la société KPN FRANCE, ainsi que chacun des membres du GIE PREVENTEL.
Information et droit d’accès
S’agissant des traitements réalisés par la société KPN FRANCE, les droits d’accès et de rectification s’exerceront par courrier auprès de la société KPN FRANCE, service client – CFS – BP 20001 – 93331 NEUILLY SUR MARNE CEDEX.S’agissant des traitements réalisés par le GIE PREVENTEL, les droits d’accès et de rectification s’exerceront auprès du service des consultations, TSA n° 90 003, 93588 SAINT OUEN cedex.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 ;
Vu la demande d’autorisation, présentée par la société BODYCOTE, le 30 juillet 2010, et amendée le 28 mai 2011, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Sur le rapport de M. Emmanuel de GIVRY, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La société BODYCOTE a déposé un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. 
Elle observe que le traitement objet de la présente délibération répond à toutes les exigences prévues par l’autorisation unique, à l’exception des seules dispositions de l’article 1er relatives au  fondement juridique. En effet, la société BODYCOTE n’est soumise à aucune disposition législative ou réglementaire de droit français ou étranger (lois « SOX » américaine et japonaise) imposant la mise en place d’un dispositif d’alerte professionnelle.
La Commission observe toutefois que, de par ses activités de leader mondial dans l’offre de services d’usinage de pièces métallurgiques, la société BODYCOTE doit renforcer son contrôle interne afin de fournir une information financière fiable à ses partenaires financiers.
Dès lors, la Commission estime, en l’espèce, que le dispositif d’alerte qui lui est présenté répond à l’intérêt légitime du responsable du traitement. 
Il convient d’examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment de l’article 6-3° de la loi du 6 janvier 1978 modifiée, qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission constate :
que le dispositif d’alerte professionnelle envisagé par la société BODYCOTE est complémentaire par rapport aux autres modes d’alerte dans l’entreprise,
que son utilisation est facultative, aucune sanction ne pouvant être prise à l’encontre d’un salarié en cas de non utilisation du dispositif. 
Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère complémentaire, un dispositif d’alerte doit être limité dans son champ.
La Commission relève que le dispositif d’alerte professionnelle, tel que redéfini le 28 mai 2011, respecte strictement le champ d’application de l’autorisation unique du 8 décembre 2005, telle que modifiée le 14 octobre 2010. En effet, elle constate que les faits susceptibles d’être recueillis dans le cadre de ce dispositif modifié sont strictement limités aux alertes relatives aux manquements graves dans les domaines financier, bancaire, comptable, et de lutte contre la corruption. 
Aucune autre irrégularité ne doit être signalée par le biais de ce dispositif.
S’agissant des modalités de recueil de l’alerte, le salarié qui souhaite signaler un manquement dans les domaines précités peut saisir directement le président et les administrateurs indépendants de la société BODYCOTE en adressant leur adressant un courrier : MM. John BILES, H. VOGELSANG, A. THOMSON, R. RAJAGOPAL ; Springwood Court, Springwood Close ; Thytherington Business Park ; MACCLESFIELD ; CHESHIRE ; SK 10 2XF, ROYAUME UNI.
La Commission considère que l’obligation de s’identifier pour la personne à l’origine de l’alerte est de nature à limiter le risque de mise en cause abusive ou disproportionnée de l'intégrité professionnelle, voire personnelle des personnes concernées.