AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,   Saisie le 10 septembre 2004 d'une demande d'autorisation d'intégration dans les systèmes d'information de la caisse de retraite et de prévoyance des clercs et employés de notaires (CRPCEN) de la nouvelle classification des actes médicaux et des prestations ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;   Vu l'article L. 161-29 du code de la sécurité sociale ;   Après avoir entendu M. François Bernard, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations,
Autorise la caisse de retraite et de prévoyance des clercs et employés de notaires à enregistrer dans le cadre de la mise en oeuvre de la nouvelle classification commune des actes médicaux, le numéro de code des actes effectués, des prestations servies dans les traitements de liquidation des prestations, dans les systèmes d'analyse des fichiers de liquidation mis en oeuvre à des fins de connaissance et d'évaluation des dépenses de santé ou de contrôle notamment médical et dans le système national inter-régimes destiné à l'édition des relevés d'honoraires pour les praticiens, à la production de statistiques d'activité des praticiens et à la surveillance des conventions nationales.   Le droit d'accès défini au chapitre V de la loi s'exerce pour les assurés et les professionnels de santé auprès de leur caisse de rattachement.   Les catégories de données à caractère personnel enregistrées sont celles précédemment prévues dans les traitements de liquidation : l'identité de l'assuré ou de l'ayant droit, le numéro de sécurité sociale, la situation familiale de l'assuré, sa situation professionnelle ainsi que les données issues du codage des actes et prestations.   Les destinataires des données sont, dans le cadre de leurs fonctions et pour la durée nécessaire à leur accomplissement, le centre de traitement des caisses de l'est de l'lle de France, le médecin-conseil de la CRPCEN et le service opérationnel maladie de la CRPCEN.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés, réunie en formation restreinte,
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;
Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le règlement n° 90-05 du 11 avril 1990 modifié du Comité de la réglementation bancaire, notamment son article 10 ;
Vu la délibération n° 2004-098 du 9 décembre 2004 portant modification des articles 54 et 63 du règlement intérieur de la CNIL et insérant dans le chapitre III de ce règlement une section 5 nouvelle intitulée "Règles relatives à l'application des articles 45 et 46 de la loi du 6 janvier 1978" ;
Vu la saisine n° 03014051 parvenue à la CNIL le 10 octobre 2003 ;
Vu la délibération n° 03-042 du 24 octobre 2003 décidant une mission d'investigation auprès de X ;
Vu le rapport de M. Philippe Nogrix notifié le 18 janvier 2005 à X et les observations en réponse reçues les 17 février et 07 mars 2005 ;
Après avoir entendu, lors de réunion de la formation restreinte du 9 mars 2005, M. Emmanuel de Givry, substitué à M. Philippe Nogrix, empêché, en son rapport.
Constate les faits suivants :
L'instruction de la plainte dont a été saisie la CNIL 1e 10 octobre 2003 et les missions de contrôle diligentées par les services de la Commission les 30 janvier, 24 et 25 mars 2004 ont permis de constater :
- l'existence d'une procédure systématisant, au sein de l'agence de X, lors de l'ouverture d'un compte bancaire à un particulier, la consultation du Fichier des Incidents de paiement des Crédits aux Particuliers (FICP) tenu par la Banque de France. Chaque conseiller clients dispose en effet d'une fiche de procédure intitulée "nouveau client particulier" aux termes de laquelle une "recherche des risques" doit être effectuée lors de l'ouverture d'un compte sur le fichier intitulé "RIE chx. 3" qui n'est autre que la copie mensuelle du FICP fournie par la Banque de France.
- après le contrôle exhaustif du fichier client "CIT" par les services de la CNIL, l'existence de nombreux commentaires rédigés par les employés de cette agence dans les fiches informatiques des clients (zones bloc-notes du fichier "CIT") sans lien direct avec la finalité du traitement et dénués de toute pertinence ou objectivité (à titre d'exemple : traits de caractère des clients, relations amoureuses, rapports avec des tiers, santé ou passé judiciaire).
Relève que :
- la consultation systématique du FICP lors de l'ouverture d'un compte ne respecte pas les finalités de ce fichier telles que définies par le règlement n° 90-05 du 11 avril 1990 modifié du Comité de la réglementation bancaire.
En vertu des prescriptions de ce règlement, le Fichier des Incidents de paiement de remboursement des Crédits aux Particuliers (FICP) a en effet été constitué à des fins de prévention du surendettement des ménages et ne peut être consulté que dans le cadre d'opérations se rattachant à l'octroi ou la gestion d'un crédit.
- l'enregistrement dans les zones commentaires du fichier "CIT" d'informations sans lien direct avec la finalité du traitement et dénuées de toute pertinence ou objectivité est de nature à constituer un manquement à l'article 5 de la Convention n° 108 du Conseil de l'Europe qui dispose que les données à caractère personnel faisant l'objet d'un traitement automatisé sont adéquates, pertinentes et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées.
S'il est admis que des traitements de données à caractère personnel puissent comporter des zones commentaires destinées à enregistrer des informations de gestion, telles des résumés d'entretien avec la personne concernée ou des indicateurs sur 1e suivi d'un compte, l'état d'avancement d'un dossier ou d'une procédure, ces mentions doivent, comme toute donnée à caractère personnel enregistrée dans un traitement et appelée à y être conservée, être pertinentes, adéquates et non excessives au regard de la finalité du traitement. Ces mentions doivent en particulier être exclusives de toute appréciation subjective et ne sauraient en aucun cas faire apparaître directement ou indirectement des données relatives à la santé, au passé judiciaire ou aux relations amoureuses des personnes.
La Commission prend acte que X, postérieurement à la mission de contrôle, dans le cadre de ses observations formulées par courrier les 17 février et 7 mars 2005, a pris des mesures propres à régulariser pour l'avenir les manquements constatés lors des missions de contrôle, notamment
- l'inscription, sur l'écran "RIE", en cas de présence du risque FICP, de la mention "information à utiliser uniquement dans le cadre d'une opération d'octroi de crédit" ;
- une étude en cours sur les moyens techniques qui seront mis en oeuvre afin de faire en sorte que les chargés de clientèle ne puissent avoir accès à l'information selon laquelle les personnes sont inscrites au FICP lors d'opérations qui n'ont pas pour objet l'octroi ou la gestion de crédit conformément aux dispositions du règlement n° 90-05 du 11 avril 1990 modifié du Comité de la réglementation bancaire ;
- l'accès, dans l'intranet accessible aux chargés de clientèle, d'une note de sensibilisation spécifique du personnel portant sur l'enregistrement des zones "bloc-notes" ainsi que sur l'existence du droit d'accès des personnes sur les données contenues dans ces zones ainsi que d'une note plus complète sur l'ensemble des obligations prescrites par la loi "Informatique et Libertés" modifiée ;
- l'intégration d'un module spécifique relatif à la formation aux principes issus de la loi du 6 janvier 1978 modifiée dans différents programmes de formation.
La Commission considère néanmoins que, par leur gravité, leur caractère répété ou excessif, les faits que les missions de contrôle ont révélé manifestent que le responsable du traitement n'avait pas, antérieurement à la plainte dont la commission a été saisie, mis en oeuvre les contrôles internes propres à assurer la conformité à la loi des traitements de données à caractère personnel placés sous sa responsabilité.
En conséquence, décide en application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée d'adresser un avertissement à X, [...] et de le rendre public.
Décide que, conformément aux dispositions de l'article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l'article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire. 
 
Le président, 
 
Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie d'une déclaration de modification d'un traitement automatisé de données à caractère personnel relatif aux infractions à la police des services publics de transports terrestres mis en oeuvre par la Régie des Transports Marseillais (RTM) depuis 1982.   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-3° ;   Vu la délibération n° 83-016 de la Commission nationale de l'informatique et des libertés en date du 1er février 1983 portant avis favorable à la mise en oeuvre d'un traitement de données à caractère personnel relatif aux infractions à la police des services publics de transports terrestres par la RTM ;   Vu la loi du 15 juillet 1845 relative à la police des chemins de fer modifiée par la loi du 15 novembre 2001 relative à la sécurité quotidienne, et notamment son article 24-1° ;   Après avoir entendu M.
Guy Rosier, Vice-Président Délégué, en son rapport, et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations,
Formule les observations suivantes :   La Régie des Transports Marseillais (RTM) met en oeuvre un traitement de données à caractère personnel relatif aux infractions à la police des services publics de transports terrestres qui a fait l'objet d'un avis favorable de la Commission, par délibération 83-016 du 1er février 1983.   Ce traitement a pour objet la gestion et 1e recensement des infractions à la police des services publics de transports terrestres constatées sur le réseau de la RTM : il permet d'assurer le suivi des dossiers et d'accélérer 1e recouvrement amiable des indemnités forfaitaires. Il vise à renforcer et optimiser 1e transfert d'informations entre la RTM et les magistrats du Parquet afin de réduire les délais de mise en poursuite et de recouvrement par le Trésor Public.   La RTM a saisi la CNIL, le 14 octobre 2004, d'une déclaration de modification concernant ce traitement. La modification présentée a pour objet de permettre à la RTM de procéder au suivi des infractions n'ayant pas donné lieu au versement de l'indemnité forfaitaire au moment du constat et ce, en vue de pouvoir faire application des dispositions de l'article 24-1° de la loi du 15 juillet 1845 relative à la police des chemins de fer qui dispose que toute personne qui aura de manière habituelle, voyagé dans une voiture sans être munie d'un titre de transport valable sera punie de six mois d'emprisonnement et de 7500 euros d'amende.   La RTM conservera pendant douze mois glissants les
informations relatives aux contrevenants auxquels sont associés des procès-verbaux n'ayant pas fait l'objet d'une transaction. Ceux ayant fait l'objet d'une transaction ne sont pas pris en compte pour déterminer si "l'habitude" est caractérisée, ils sont supprimés du fichier relatif aux infractions à la fin du mois en cours plus un mois (M + 1).
La modification du traitement relatif aux infractions à la police des services publics de transports terrestres présentée par la RTM a ainsi pour objet la conservation et le suivi des procès-verbaux n'ayant pas donné lieu au versement d'une indemnité forfaitaire, la réalisation de statistiques mensuelles et la mise en oeuvre d'un système de relance automatique des contrevenants n'ayant pas régularisé leur situation.   La Commission considère que ces modifications qui portent sur les éléments visés au 2° du I de l'article 30 de la loi du 6 janvier 1978 modifiée présentent un caractère substantiel. Dans ces conditions, il y a lieu pour la Commission de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier de l'article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Autorise la RTM à mettre en oeuvre un traitement de données à caractère personnel relatif aux infractions à la police des services publics de transports terrestres, tel qu'issu de la modification présentée 1e 14 octobre 2004 qui vise à permettre à la RTM de procéder au suivi des infractions n'ayant pas donné lieu au versement d'une indemnité forfaitaire au moment du constat et ce, en vue de pouvoir faire application des dispositions de l'article 24-1° de la loi du 15 juillet 1845 relative à la police des chemins de fer modifiée par la loi du 15 novembre 2001 relative à la sécurité quotidienne.   Le droit d'accès défini au chapitre VII de la loi s'exerce auprès de la Régie des Transports de Marseille, Direction de la sécurité, 10-12 avenue Clôt Bey, 13008 Marseille.   Les catégories de données à caractère personnel enregistrées sont relatives à l'identité de la personne ayant fait l'objet d'un procès-verbal, au numéro de téléphone, à la nationalité, à la nature de l'infraction constatée, au nombre de procès-verbaux n'ayant pas fait l'objet d'une transaction, aux informations de suivi du dossier, à la date, l'heure et 1e lieu de l'infraction, aux informations relatives au règlement des indemnités forfaitaires, ainsi qu'à l'identité de l'agent assermenté.   Les destinataires des informations sont les autorités judiciaires et les personnes habilités de la RTM et du Trésor Public dans les limites de l'accomplissement de leurs missions.   Le président, Alex TURK.
Saisie le 14 janvier 2005 par le ministre des solidarités, de la santé et de la famille la santé d'un projet de décret en Conseil d'Etat, pris en application des dispositions de l'article L1111-8 du code de la santé publique, relatif aux conditions d'agrément des hébergeurs de données de santé à caractère personnel ;   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés pris ensemble le décret n° 78-774 du 17 juillet 1978 ;   Vu le code de la santé publique, et notamment son article L. 1111-8 ;   Vu le code de la sécurité sociale, et notamment son article L. 161-36-1 ;   Vu la délibération n° 04-041 du 27 mai 2004 concernant un projet de décret en conseil d'Etat relatif aux conditions d'agrément des hébergeurs de données de santé à caractère personnel ;   Après avoir entendu M. François Bernard, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant   Le ministre des solidarités, de la santé et de la famille a saisi à nouveau la Commission nationale de l'informatique et des libertés du projet de décret en Conseil d'Etat relatif aux conditions d'agrément des hébergeurs de données de santé à caractère personnel prévu en application des dispositions de l'article L. 1111-8 du code de la santé publique.   Cet article est ainsi rédigé : "Les professionnels de santé ou les établissements de santé ou la personne concernée peuvent déposer des données de santé à caractère personnel, recueillies ou produites à l'occasion des activités de prévention, de diagnostic ou de soins, auprès de personnes physiques ou morales agréées à cet effet. Cet hébergement de données ne peut avoir lieu qu'avec le consentement exprès de la personne concernée.   Les traitements de données de santé à caractère personnel que nécessite l'hébergement doivent être réalisés dans le respect des dispositions de la loi du 6 janvier 1978.   Les conditions d'agrément des hébergeurs sont fixées par décret en Conseil d'Etat pris après avis de la CNIL et des conseils de l'ordre des professions de santé ainsi que du conseil des professions médicales".   Le projet de décret "mentionne les informations qui doivent être fournies à l'appui de la demande d'agrément, notamment les modèles de contrats prévus au deuxième alinéa et les dispositions prises pour garantir la sécurité des données traitées en application de l'article 29 de la loi n° 78-17 du
6 janvier 1978 précitée, en particulier les mécanismes de contrôle et de sécurité dans le domaine informatique ainsi que les procédures de contrôle interne.   Le projet de décret prévoit en particulier la création d'un comité d'agrément des hébergeurs de données de santé à caractère personnel, placé auprès du ministre de la santé, et ayant pour mission d'examiner et d'émettre un avis sur les demandes d'agrément.
La Commission rappelle que dans sa délibération n° 04-041 du 27 mai 2004, elle avait indiqué "qu'étant chargée de veiller au respect des dispositions de la loi du 6 janvier 1978 et, en particulier de l'article 29, il lui appartient de se prononcer sur les mesures prises pour garantir la confidentialité des données. Ces mesures doivent lui être soumises à l'occasion des formalités préalables, conformément à l'article 19 de la même loi. En outre, la Commission dispose en vertu des dispositions de l'article 21-3° de la loi de 1978 du pouvoir d'édicter des règlements types en matière de sécurité.   Dès lors, la Commission estime qu'il n'apparaît pas utile de créer une instance nouvelle mais qu'en revanche la mise en place d'un comité technique composé, notamment, d'experts spécialisés dans le domaine de la sécurité, serait de nature à lui apporter un concours utile".   La Commission constate que la nouvelle version du projet de décret qui lui est soumise se contente de modifier de façon partielle la composition du comité qui comprend sept membres, un seul membre restant désigné pour ses compétences en matière de sécurité.   La Commission rappelle que la mise en place d'un tel comité qui devra donner un avis, au regard des dispositions de la loi du 6 janvier 1978, sur les futurs hébergeurs de données de santé, appelés également depuis l'adoption de la loi du 13 août 2004 portant réforme de l'assurance maladie à héberger les dossiers médicaux personnels, n'est pas imposée par
la loi.   La Commission constate en outre que, en adoptant par la loi du 13 août 2004 susvisée l'article L. 161-36-4 du code de la sécurité sociale, le législateur a entendu soumettre au contrôle de la CNIL l'ensemble des conditions d'application du dossier médical personnel qui comportent une référence explicite à l'activité d'hébergement des données de santé.   Elle considère donc que la mission confiée par le projet de décret au comité concernant la définition de la politique de confidentialité, le contrôle du respect des droits des personnes concernées et la possibilité de diligenter des contrôles chez des hébergeurs devrait être assumée par la CNIL et par elle seule.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie le 24 janvier 2005 par le ministre des solidarités, de la santé et de la famille d'un projet de décret en Conseil d'Etat fixant les modalités selon lesquelles les médecins auront accès aux données relatives aux prestations servies aux bénéficiaires de l'assurance maladie ;   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la Directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en dernier lieu par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8, 25 et 30 ;   Vu le code de la sécurité sociale et notamment les articles L. 161-31, L. 161-36-1, L. 162-4-3, L. 324-1 et R. 115-1 et suivants ;   Vu la loi n° 2004-810 du 13 août 2004 portant réforme de l'assurance maladie ;   Après avoir entendu M. François Bernard, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du gouvernement, en ses observations ;
Emet l'avis suivant :   Le ministre des solidarités, de la santé et de la famille a saisi la Commission nationale de l'informatique et des libertés du projet de décret en Conseil d'Etat fixant les modalités selon lesquelles les médecins auront accès aux données relatives aux prestations servies aux bénéficiaires de l'assurance maladie. En effet, l'article L. 162-4-3 du code de la sécurité sociale issu de la loi du 13 août 2004 portant réforme de l'assurance maladie prévoit que les médecins peuvent, à l'occasion des soins qu'ils délivrent, consulter les données issues des procédures de remboursement ou de prise en charge qui sont détenues par l'organisme dont relève chaque bénéficiaire de l'assurance maladie.   Ce service, à la différence du dossier médical partagé prévu aux articles L. 161-36-1 et suivants du code de la sécurité sociale, a pour objet de permettre aux médecins qui délivrent des soins aux patients quel que soit leur lieu d'exercice (cabinet libéral, établissement de santé, centre de santé, médecins salariés des régimes spéciaux), de connaître l'historique des actes et prestations délivrés sans qu'il en résulte pour l'assuré de conséquence en matière de remboursement. Les médecins du travail, les médecins experts et les médecins des compagnies d'assurance ne sont pas fondés à accéder à ces données.   Les médecins qui souhaiteront utiliser ce service en informeront préalablement le patient. Le bénéficiaire des soins donnera son accord à cette consultation en