AgentPublic/cnil huggingface dataset:
la caisse d’assurance maladie et la mutuelle de l’assuré.
des données d’identification (nom, prénom, coordonnées professionnelles et spécialité, numéro RPPS (répertoire partagé des professionnels de santé) si le professionnel de santé se connecte avec sa carte de professionnel de santé (CPS) ;
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnels suivants peuvent avoir accès aux données du traitement : 
les acteurs médicaux, paramédicaux et sociaux adhérant au réseau, dûment habilités, intervenant dans la prise en charge des patients (professionnels de santé, aides à domicile libéraux, institutionnels publics et privés, services de soins infirmiers à domicile, services sociaux), dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge ; 
le médecin traitant coordonnant l’intervention des différents acteurs de l’équipe soignante ; 
l’équipe de coordination, sous la responsabilité du médecin coordonnateur.
La Commission relève que les professionnels adhérant au réseau signent une charte qui décrit ses modalités de fonctionnement et s’engagent à en respecter les termes.
La Commission considère que la liste des destinataires du traitement est appropriée au regard de la finalité du traitement.
Sur l’information et le droit d’accès
L’inclusion d’un patient dans le réseau est effectuée à l’initiative du médecin traitant. Le partage de données le concernant et l’hébergement de ses données auprès d’un hébergeur de données de santé à caractère personnel requièrent le consentement exprès, libre et éclairé du patient ou celui de ses représentants légaux. A cet effet, ces derniers sont informés des modalités de mise en œuvre du dossier médical partagé, ainsi que des droits qui leur sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’un document d’information rédigé sous format papier et dans des conditions conformes aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée. La Commission estime qu’il convient, toutefois, d’informer plus clairement le patient du caractère facultatif de son inclusion dans le réseau, ainsi que de la possibilité de quitter le réseau à tout moment, sans conséquence sur sa prise en charge.Le consentement du patient, ou de ses représentants légaux, à sa prise en charge dans le réseau, à la création d’un dossier médical partagé le concernant et à l’hébergement de ses données sera recueilli à l’aide d’un formulaire papier.Le patient ou son représentant légal exerce son droit d’accès au dossier et à la liste des personnes qui y ont eu accès auprès du médecin qui le prend en charge ou du siège social du réseau et en est clairement informé dans la note d’information qui lui est remise.Sous les réserves mentionnées, la Commission estime que ces modalités
d’information et d’exercice des droits sont satisfaisantes.
Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants. Le contrôle des accès aux dossiers des patients s’effectue par une carte de professionnel de santé (CPS) ou par un porte clés électronique générateur d’un mot de passe à usage unique (OTP), associés à un code PIN.La Commission estime ces mesures de contrôle d’accès conformes aux dispositions de l’article L. 1110-4 du code de la santé publique qui impose une authentification forte des professionnels de santé par l’utilisation d’une CPS ou d’un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. Les accès à l’application font l’objet d’une journalisation. La Commission rappelle qu’il convient d’informer les personnels concernés de la mise en œuvre de ces mesures. Elle recommande qu’un contrôle des traces soit effectué de manière automatique pour détecter les comportements anormaux, et assorti d’une alerte qui devra être traitée. Elle recommande également que des mesures soient mises en œuvre pour assurer l’intégrité des traces associées aux actions effectuées sur les données de santé. Elle rappelle, enfin, que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées. L’application met en œuvre des procédés de chiffrement du transport des données. La Commission rappelle que la mise en œuvre du chiffrement doit être conforme à
l’état de l’art.Le système d’information du réseau est hébergé par CIS Valley, qui doit satisfaire aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique, pour l’hébergement du service considéré.Des procédures de sauvegarde, de continuité et de reprise d’activité doivent être formalisées et mises en œuvre.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées jusqu’au terme de la prise en charge du patient. A l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.
Autorise, conformément à la présente délibération, le réseau Palliadour à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1710721)
La Commission nationale de l'informatique et des libertés,
Saisie par ARKEA BANQUE E&I d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des opérations susceptibles de constituer des abus de marché ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L 621-15 et L 621-17-2 à L 621-17-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu le règlement général de l’Autorité des Marchés Financiers (AMF), notamment ses articles 315-42 à 315-44, 611-1 à 631-10 et 632-1 ;
Vu l’instruction AMF n°2008-05 du 29 juillet 2008 relative à la déclaration d’opérations suspectes prise en application de l’article 315-42 du règlement général de l’AMF ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
ARKEA BANQUE E&I (Entreprises et Institutionnels), filiale du Crédit Mutuel ARKEA qui accompagne les entreprises, les acteurs publics, les institutionnels et les professionnels de la promotion immobilière.
Sur la finalité
Ce traitement vise à détecter des opérations de transactions sur titres réalisées par des clients de ARKEA BANQUE E&I qui sont susceptibles de constituer des opérations d’abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).L’identification de telles opérations peut conduire ARKEA BANQUE E&I à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet. Ce traitement peut ainsi du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale prévoyant une telle exclusion. Il est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.Le traitement mis en œuvre doit permettre à ARKEA BANQUE E&I d’identifier et de signaler à l’AMF, le cas échéant après la collecte de renseignements complémentaires, des transactions sur des titres financiers susceptibles d’être qualifiées d’abus de marché.Le traitement est réalisé une fois par mois sur les données du mois précédent. Les transactions ainsi détectées ont vocation à être analysées sans délai.
Sur les données traitées
Les listes d’opérations à analyser comportent les catégories de données suivantes : 
la date et la nature de la détection,
le numéro de compte et la nature du compte de titres,
les caractéristiques de la valeur (code ISIN, libellé, groupe de cotation),
les caractéristiques de l’ordre détecté (type d’ordre, sens de l’opération, modalités d’exécution, montant limite du cours, date de validité, date d’exécution, date d’annulation, date de saisie, heure de saisie, quantité traitée, montant).
Les listes ainsi constituées sont conservées pendant une durée n’excédant pas la durée nécessaire à la levée du soupçon d’abus de marché ou à la réalisation d’une déclaration d’opérations suspectes auprès de l’AMF.
Elles sont ensuite archivées pendant une durée de trois ans et uniquement accessibles au Directeur du contrôle permanent et de la conformité et aux Responsables des départements conformité du Crédit Mutuel ARKEA. Les déclarations d’opérations suspectes effectuées auprès de l’AMF sont également conservées pendant une durée de trois ans.
La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seul le responsable du contrôle permanent de ARKEA BANQUE E&I peut être destinataire de ces informations.En cas d’envoi d’une déclaration de soupçon à l’AMF, les agents habilités de cette autorité ainsi que ceux de la Direction de l’inspection générale et du contrôle périodique du Crédit Mutuel ARKEA sont également destinataires de tout ou partie des données mentionnées dans la déclaration de soupçon.Les actions effectuées par ces destinataires sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une clause des conditions générales applicables au compte de titre ainsi qu’une clause des conditions générales applicables à l’ensemble des comptes.Le droit d’accès s’exerce conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée auprès du Service clientèle de : ARKEA BANQUE Entreprises & Institutionnels, Immeuble Le Sextant, route de Saint Malo CS 21135 35011 Rennes Cedex.La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères et une longueur maximale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial. L'accès à un compte d'un poste de travail est bloqué après 6  tentatives infructueuses.Les postes de travail disposent d'un logiciel antivirus mis à jour régulièrement.Les postes de travail disposent d'un pare-feu logiciel.Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.Une journalisation des opérations de consultation, création et modification du traitement est réalisée. Les archives obsolètes sont détruites de manière sécurisée.Les interventions de maintenance font l'objet d'une traçabilité.Les sauvegardes sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.Les services web sont sécurisés au moyen du protocole SSL.
Sur les autres caractéristiques du traitement
Les critères d’alerte retenus dans le cadre de ce traitement ont pour objet de détecter de manière automatisée diverses situations en fonction des facteurs de détection énumérés aux articles 631-2 et 631-3 du règlement général de l’AMF.La Commission constate que ce traitement de détection des alertes d’abus de marché repose sur une analyse des valeurs des titres et des volumes d’ordres. Elle prend acte que l’ensemble des opérations détectées font l’objet d’une analyse manuelle. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.La Commission souligne en outre que ce traitement ne permet pas la constitution d’une « liste noire » de personnes qui ont déjà été concernées par une ou plusieurs alertes.
Autorise, conformément à la présente délibération, ARKEA BANQUE E&I à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1652372)
La Commission nationale de l'informatique et des libertés,
Saisie par la Maison d’Enfants à Caractère Social (MECS) « Les Bacelles » d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des dossiers des résidents ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 221-1, L.311-1 et L. 312-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-1°, 25-I-3°, 25-I-6° et 25-I-7°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Maison d’Enfants à Caractère Social (MECS) «Les Bacelles» est un foyer qui accueille des jeunes filles mineures et des jeunes adultes faisant l’objet d’un placement judiciaire ou administratif, confiés par les services sociaux. Il s’agit d’un établissement social et médico-social, au sens de l’article L. 312-I-1° du code de l’action sociale et des familles, géré par le Comité Mosellan Sauvegarde Enfance Adulte (CMSEA).Le CMSEA a pour but de créer, soutenir et promouvoir tout organisme de sauvegarde ou de rééducation pour des personnes, notamment des jeunes, en difficulté physique, intellectuelle, psychologique ou morale. Il gère plusieurs établissements (Maison d'Enfants à Caractère Social (MECS), Instituts Thérapeutiques, Educatifs et Pédagogiques (ITEP), centre d’accueil de jour, etc.) répartis en cinq pôles : « protection de l’enfance », « enfants et adolescents en difficultés psychologiques », « handicap moteur »,  « guidance familiale » et « ressources et direction générale » (siège social et administratif), et notamment la MECS « Les Bacelles ».Cette dernière exerce donc une mission d’intérêt général et d’utilité sociale, conformément à l’article L. 311-1 du  code de l’action sociale et des familles.Le département de la Moselle, dans l’exercice de ses missions de protection de l’enfance, et dans le cadre de son service d’Aide Sociale à l’Enfance (ASE), a fait appel au CMSEA qui gère le foyer « Les Bacelles », pour mettre en œuvre les mesures de protection de
l’enfance et accueillir les mineurs ou les majeurs de moins de 21 ans qui lui sont confiés dans un cadre administratif ou judiciaire (article L. 221-1 du CASF). L’association est financée par le Département de la Moselle (dotation globalisée conformément aux dispositions de l’article R. 314-115 du CASF).Les obligations de l’association vis-à-vis de cette autorité sont précisées dans la convention de fonctionnement.Pour vérifier que les objectifs assignés à l’organisme sont atteints, l’association adresse tous les ans un rapport d’activité au Département de la Moselle.Au regard de l’ensemble de ces éléments, la Commission considère que la MECS « Les Bacelles » exerce une mission de service public au sens de l’article 9-1° de la loi du 6 janvier 1978 modifiée. A ce titre, la MECS « Les Bacelles » est donc habilitée à traiter des données relatives à des infractions.
Sur la finalité
La finalité du présent traitement est la gestion des dossiers des usagers de la MECS « Les Bacelles » dans le cadre de leur accueil et de leur hébergement. La Commission considère la finalité poursuivie comme déterminée, explicite et légitime. Elle estime qu’il y a lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation préalable les traitements qui portent sur des données parmi lesquelles figure le numéro d’inscription des personnes physiques au répertoire national d’identification des personnes physiques (numéro de sécurité sociale ou NIR).Le recours à la formalité de l’autorisation se justifie également au regard de l’article 25-I-7° de la loi 6 janvier 1978 modifiée, pour ce qui concerne les traitements comportant des appréciations sur les difficultés sociales des personnes, et au regard de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, pour ce qui concerne le traitement de données d’infractions.
Sur les données traitées
Les données des usagers traitées sont relatives :
à leur identification (nom, prénom, adresse, photographie, date et lieu de naissance) ;
à leur situation familiale ;
à leur vie professionnelle (scolarité et formation) ;
à leur numéro de sécurité sociale ;
à leurs difficultés sociales ;
à leur santé (données relatives aux soins, allergies, asthme) ;
à leurs convocations en justice, ordonnances éducatives, décisions judiciaires.
Les données relatives à la santé sont collectées, après le recueil du consentement exprès des personnes concernées, uniquement à des fins d’administration et de facturation de soins délivrés par des professionnels de santé soumis au respect du secret professionnel.
Les difficultés sociales sont désignées dans un menu déroulant ne permettant aucune saisie libre de commentaire.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités du foyer.Les numéros de sécurité sociale sont recueillis à des fins de facturations des soins délivrés.Par ailleurs, les données relatives à la santé peuvent être transmises aux professionnels de santé ou au personnel dûment habilité d’un établissement de santé ou médico-social intervenant dans le suivi des usagers.La Commission prend acte que l’habilitation à consulter des données de santé ne peut être attribuée qu’à des personnes soumises au secret professionnel et dans la stricte limite de leurs missions. Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par voie de mentions légales indiquées sur le formulaire de prise en charge.Les droits d’accès et de rectification s’exercent auprès de la Direction de la MECS « Les Bacelles» sis 6, rue Saint-Ferroy -57000- METZ, et auprès du Directeur pédagogique du Comite Mosellan de Sauvegarde de l'Enfance, de l'Adolescence et des Adultes sis 47, rue Dupont des Loges -B.P. 10271-57006 METZ CEDEX 1.Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes. 
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules ainsi que des chiffres.Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier l’utilisateur à l’origine d’une opération.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la période d’accueil ou d’accompagnement de l’usager et sont supprimées du logiciel au départ du résident.
Un archivage du dossier papier est prévu dans un local sécurisé pour une durée complémentaire de dix ans à compter du dernier contact avec le résident, dans le cas d ‘un éventuel retour de celui ci. Au terme de cette durée, les données sur format papier sont supprimées sauf dispositions légales contraires. 
La Direction de la MECS « Les Bacelles » n’autorise qu'un accès limité aux archives dont la demande émise par une personne habilitée auprès de son service doit être précisément motivée. 
La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la Maison d’Enfants à Caractère Social (MECS) « Les Bacelles » à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1713594)
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil Général de la Haute-Marne d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des dossiers traités dans les domaines de l’aide sociale et de l’allocation personnalisée d’autonomieaux personnes âgées;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-6°, 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement