AgentPublic/cnil huggingface dataset:
Le projet d’arrêté définit les modalités d’acheminement et de réception d’un tel envoi postal et crée, dans ce cadre, un télé-service qui doit permettre, aux termes de son article 5 :
1° à l’usager de s’authentifier, de déclarer la réception ou l’absence de réception de son passeport et de joindre à sa déclaration l’image numérisée de l’attestation de remise signée et le cas échéant des pièces supplémentaires justifiant la restitution ou l’absence de restitution de l’ancien titre ;
 2° aux agents des services centraux ou déconcentrés du ministère des affaires étrangères de récupérer les informations issues de cette déclaration et de les valider en vue de la poursuite et de la clôture de l’instruction du dossier de demande de passeport .
Les données collectées lors de la déclaration de la réception ou de la non-réception du passeport par le demandeur sont communiquées au système d’information TES, utilisé pour l’établissement des passeports.
L’envoi postal du passeport aux Français résidant à l’étranger n’est autorisé que dans un nombre limité d’Etats, dont la liste est annexée au projet d’arrêté.
Le traitement doit ainsi simplifier et sécuriser la délivrance du passeport aux demandeurs inscrits au registre des Français de l’étranger et souhaitant bénéficier de la possibilité de l’envoi postal de leur titre.
Dès lors, la Commission considère que les finalités du traitement sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle relève toutefois que le choix, par les usagers, de l’envoi de leur passeport par courrier sécurisé entrainera l’obligation d’utiliser le télé-service et, par conséquent, la nécessité de disposer du matériel de numérisation nécessaire à la transmission de justificatifs et le respect d’un calendrier strict, dont la méconnaissance est sanctionnée par l’invalidation du nouveau passeport.
Sur ce point, elle prend acte de l’engagement du ministère de l’intérieur d’élaborer des supports de communication, remis aux usagers lors du recueil de leur demande de passeport et disponibles en ligne, attirant leur attention sur les conséquences du choix de l’envoi par courrier sécurisé, et notamment sur le risque d’invalidation de leur passeport en cas de non-respect des obligations auxquelles ils acceptent de se soumettre en bénéficiant de ce service.
Sur les données traitées :
L’article 6 du projet d’arrêté prévoit que les données à caractère personnel et informations enregistrées sont :
le numéro du nouveau passeport ;
le numéro de demande de passeport ;
le code de connexion de l’usager au télé-service délivré par l’administration ;
l’adresse électronique indiquée par l’usager lors du recueil de la demande ;
le numéro de suivi du courrier sécurisé, nom du transporteur et adresse du site web de suivi ;
le numéro de l’ancien passeport à renvoyer ;
la date de la déclaration ;
les motifs de refus de réception du passeport par l’usager ;
le motif de l’absence de réception du passeport, le cas échéant ;
l’image numérisée de l’attestation de remise datée et signée ;
l’image numérisée du justificatif de l’absence de renvoi du précédent passeport (visa en cours ; déclaration de perte ou de vol) ;
l’adresse IP du terminal au moyen duquel la déclaration a été effectuée.
Interrogé sur les motifs justifiant la collecte de l’adresse IP, le ministère de l’intérieur a indiqué qu’elle permettrait uniquement d’identifier les problèmes techniques (navigateur ne se connectant pas correctement, par exemple) et de sécurité inhérents à la nature de ce système d’information (attaque à partir d’une même adresse IP, par exemple).
En outre, contrairement aux autres données collectées, cette adresse ne sera pas communiquée au système d’information TES.
Dans ces conditions, les données enregistrées sont limitées aux informations nécessaires à la mise en œuvre de la procédure de l’envoi du passeport par courrier sécurisé, ce qui répond aux exigences prévues à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que les données non pertinentes, que les usagers pourraient transmettre par le biais du télé-service, devront être détruites de manière définitive et sécurisée.
Sur la durée de conservation des données :
L’article 8 du projet d’arrêté prévoit que les données ne peuvent être conservées dans le télé-service au-delà de quatre mois à compter de la date d’envoi sécurisé du passeport à l’usager.
Cette durée correspond à la somme du délai de quarante jours dont disposent les usagers pour transmettre l’attestation de remise du passeport, conformément à l’article 3 du projet d’arrêté, et du délai de quatre-vingt jours pendant lequel des échanges entre le consulat et l’usager peuvent encore intervenir pour finaliser la déclaration de réception et clôturer le dossier de demande de passeport.
Il ne concerne donc que les demandes de passeport pour lesquelles il n’a pas été possible de procéder à la validation de la déclaration effectuée par l’usager dans le délai de quarante jours.
En revanche, en cas de validation de la déclaration effectuée, qu’il s’agisse d’une déclaration de bonne remise, de refus ou de non réception, un système de purge automatique est prévu pour assurer la destruction des données dans un délai maximum de trente jours.
Dans ces conditions, la Commission considère que les durées de conservation prévues sont adaptées aux finalités pour lesquelles les données sont collectées et traitées, conformément à l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
L’article 7 du projet d’arrêté prévoit que seuls peuvent accéder aux données et informations enregistrées dans le traitement les agents des services centraux ou déconcentrés du ministère des affaires étrangères chargés de la délivrance des passeports.
Ils doivent être individuellement désignés et dûment habilités par l’ambassadeur ou le consul et ne peuvent accéder aux données et informations que pour les besoins exclusifs de l’accomplissement de leurs missions.
La Commission estime dès lors que l’accès de ces agents aux données est justifié au regard des finalités du traitement.
Sur les droits des personnes :
La Commission relève que le projet d’arrêté n’exclut pas l’exercice des droits d’opposition et d’information.
S’agissant du droit d’information, elle rappelle que l’usager doit recevoir l’ensemble des éléments d’information mentionnés à l’article 32-I de la loi du 6 janvier 1978 modifiée.
En outre, conformément à l’article 5 du décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 susvisée, les usagers du télé-service doivent pouvoir accéder à l’attestation garantissant que le traitement est conforme au référentiel général de sécurité (RGS).
S’agissant des droits d’accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 susvisée, l’article 9 du projet d’arrêté prévoit qu’ils s’exercent auprès de l’Agence nationale des titres sécurisés, par voie postale et en justifiant de son identité, à l’exclusion des opérations qui peuvent être réalisées directement par le demandeur dans le télé-service pour saisir ou modifier les données à caractère personnel et informations enregistrées .
La Commission considère à cet égard que la mise en œuvre de tout télé-service doit avoir pour corollaire la possibilité pour les usagers d’exercer leurs droits d’accès et de rectification par voie dématérialisée. 
Sur les mesures de sécurité et la traçabilité des opérations
 
Le dispositif étant un télé-service de l'administration, la Commission rappelle que le responsable de traitement doit attester de sa conformité au RGS. Elle prend acte que le télé-service sera prochainement soumis à la commission d’homologation et rappelle que l’obtention de cette attestation constitue un préalable obligatoire à sa mise en œuvre.
S’agissant des modalités d’accès au télé-service, la Commission relève que chaque usager dispose d'un identifiant qui lui est propre. Un code secret, diffusé sur un autre canal de communication, permet de garantir l’authentification de l’usager et des mesures sont prises afin de limiter les tentatives d'accès frauduleux.
En outre, les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et de la destination. L’accès aux données est sécurisé au moyen du protocole HTTPS. La Commission recommande d’utiliser la version de TLS la plus à jour possible.
La Commission estime par ailleurs appropriées la journalisation des opérations de consultation, création, modification et suppression du traitement et les mesures de cloisonnement et de compartimentation du réseau sur lequel repose le traitement.
Enfin, un logiciel antivirus est installé et régulièrement mis à jour sur tous les postes prenant part au traitement et une analyse des pièces jointes justificatives fournies par l’usager est réalisée afin d’assurer la sécurité du traitement.
Dans ces conditions, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que l’obligation résultant de l’article 34 susmentionné nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
 
Pour La Présidente
Le Vice-Président Délégué
 
Marie-France MAZARS
La Présidente
 
 
MONSIEUR LE PRESIDENT DU CONSEIL D’ADMINISTRATION
[...]
RECOMMANDE AR n° [...]
Références à rappeler dans toute correspondance :
N/Réf : [...]
Paris, le 2 mai 2017
Monsieur le Président
Je fais suite à la décision n° 2016-083 que j’ai prise le 26 septembre 2016 mettant en demeure votre société ainsi qu’aux échanges qui ont suivi.
 
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2016-011C.
 
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée.
 
Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
 
Madame X (01.53.73.XX/XX), juriste au service des sanctions, reste à votre disposition pour tout renseignement.
 
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.
 
 
 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés ;
Saisie par le centre hospitalier universitaire de Toulouse d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dossier médical informatisé et partagé dans le cadre d’un réseau périnatal;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6321-1, L. 1110-4, L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le gérontopôle du centre hospitalier universitaire (CHU) de Toulouse a pour objectifs de fédérer autour d’une même structure des équipes de recherche et des cliniciens afin de dynamiser la recherche, la prévention et de promouvoir la santé des personnes âgées.
L’équipe régionale vieillissement et préventionde la dépendance (ERVPD) a été constituée au seindu gérontopôle de Toulouse pour accompagner lesprojets innovants au sein de la filière gériatrique deMidi-Pyrénées, avec le soutien de l’agence régionale de santé.
La création de la Base de Données Fragilité s’inscrit dans ce cadre.
Sur les finalités
Le traitement poursuit les finalités suivantes :
- permettre, par la mise en place d’un dossier médical partagé, une mise en commun sécurisée d’informations médicales entre l’ensemble des structures de prise en charge de la fragilité dans la région Occitanie (hôpitaux gériatriques de jour, maisons de santé pluri-professionnelles, consultations gériatriques au sein des établissements de santé, cabinets de médecine générale) ;
-faciliter le déploiement de ces structures, et promouvoir leurs actions de repérage, d’évaluation et de prise en charge des sujets âgés fragiles afin de retarder leur entrée dans la dépendance ;
-mener des travaux de recherche et des actions de prévention dans le domaine du vieillissement ;
La Commission considère ces finalités comme déterminées, légitimes et explicites au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
La Commission rappelle que les traitements à des fins de recherche, d’étude ou d’évaluation mis en œuvre à partir de cette base devront être préalablement autorisés dans les conditions posées par le chapitre IX de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données traitées et échangées sont les suivantes :
données d’identification du patient (nom, prénom, adresse) ;
mode de repérage du sujet âgé fragile ;
identification de l’évaluateur ;
motif de l’évaluation ;
identification du médecin traitant ;
statut social ;
antécédents médico-chirurgicaux et traitements ;
bilan sensoriel ;
bilan physique et fonctionnel ;
bilan cognitif ;
bilan nutritionnel ;
bilan psychologique ;
évaluation de la fragilité ;
domaines de fragilité identifiés ;
interventions proposées ;
synthèse.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données sont :
- les professionnels de santé exerçant au sein des structures de prise en charge de la fragilité dans la région Occitanie, dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge du patient ;
- l’ERVPD du Gérontopôle, CHU de Toulouse ;
Sur les droits des personnes
Le dossier produit à l’appui de la demande prévoit que :
- les patients concernés, et le cas échéant leurs représentants légaux, sont informés des modalités de mise en œuvre du traitement ainsi que des droits qui leur sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’une note d’information sous format papier, rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi ;
- le consentement des patients à la création d’un dossier médical partagé et à l’hébergement de ses données sera recueilli par un professionnel de santé en contact avec eux sous la forme d’un formulaire, format papier, de recueil du consentement ;
Les droits d’accès et de rectification s’exercent auprès de l’ERVPD du Gérontopôle au CHU de Toulouse.
La Commission estime que ces modalités d’information et d’exercice des droits n’appellent pas d’observation.
Sur les mesures de sécurité
Le système d’information du réseau est hébergé par auprès d’un prestataire qui satisfait aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique, pour le service considéré.
Concernant l’authentification des acteurs de santé, la Commission relève que le nouvel article L.1110-4 du code de la santé publique dans sa rédaction issue de la loi du 26 janvier 2016 ne prévoit plus l’authentification par carte de professionnel de santé ou dispositif équivalent agréé par l’ASIP Santé et que le nouvel article L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL. Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission rappelle que l’authentification des professionnels de santé doit s’opérer dans des conditions conformes au droit en vigueur.
La Commission rappelle que l’intégralité des échanges de données doit se réaliser par l’intermédiaire des canaux de communication chiffrés et assurant l’authentification de la source et de la destination.
La Commission relève qu’un module d’analyse de données permet une exploitation statistique. Elle demande que l’outil de requête ne permette que des restitutions anonymes et réduise également le risque de réidentification des personnes en limitant les interrogations ciblées et le niveau de détail des rapports.
La Commission rappelle que l'anonymisation des données ainsi mises à disposition doit être effective. Il conviendra donc de démontrer la conformité de la solution et des techniques d'anonymisation mises en œuvre, aux trois critères définis par l'avis du G 29 n° 05/2014, et de la transmettre à la commission. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit être menée et, en fonction du droit national, être soumise à l’autorité de protection des données compétente pour valider, ou non, le processus d’anonymisation proposé. Cette étude consistera à démontrer que les risques, liés à la publication du jeu de données anonyme, n’ont pas d’impact sur la vie privée et les libertés des personnes concernées.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. La Commission recommande que les permissions d'accès soient attribuées pour une durée déterminée, après validation hiérarchique, qu’elles soient supprimées pour tout utilisateur n'étant plus habilité et qu’une revue globale des habilitations soit opérée régulièrement.
Pour les non-professionnels de santé, la commission rappelle qu'un accès par identifiant et mot de passe n'est autorisé que si les données en accès ne sont pas directement identifiantes. À cet égard, la Commission recommande l’utilisation de mots de passe disposant au minimum de dix caractères, composés de trois types de caractères distincts. En outre, le mot de passe doit être modifié par l’utilisateur dès sa première connexion, puis régulièrement.
Une journalisation des opérations de création, modification et suppression du traitement est réalisée. Toutes les actions sont tracées en base de données en reprenant l’identité du dossier, l’action, l’acteur et l’horodatage.
La Commission recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et lever des alertes.
Des sauvegardes quotidiennes sont réalisées. La Commission rappelle qu’elles doivent être testées régulièrement afin de vérifier leur intégrité.
Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation des données
Le dossier produit à l’appui de la demande prévoit que les données seront conservées jusqu’au terme de la prise en charge du patient.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. Elle rappelle qu’à l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur.
Autorise, conformément à la présente délibération, le centre hospitalier universitaire de Toulouse à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
Délibération n° 2017-124 du 20 avr. 2017 portant autorisation unique de transferts de données à caractère personnel hors Espace économique européen encadrés par les règles internes d’entreprise (BCR) « responsable de traitement » du groupe Deutsche Post DHL (DHL).
(BCR n° 039)
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-II et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, notamment ses articles 101 et 103 ;
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
En application de l’article 68 de la loi 6 janvier 1978 modifiée, les transferts de données à caractère personnel à destination de pays qui ne sont membres ni de l’Union européenne, ni de l’Espace économique européen ou qui n’assurent pas un niveau de protection suffisant sont interdits. 
Néanmoins, il peut être fait exception à cette interdiction par application de l’article 69 de la loi précitée, notamment par décision de la Commission nationale de l’informatique et des libertés lorsqu’un niveau de protection suffisant est apporté aux données transférées par l’intermédiaire de règles internes, c’est-à-dire des règles contraignantes d’entreprise (« binding corporate rules »  - BCR) constituant un code de conduite interne s’imposant à toutes les entités d’un même groupe. 
Au terme d’une procédure de coopération, la Commission et les autorités européennes de protection des données compétentes ont reconnu les BCR « responsable de traitement » du groupe Deutsche Post DHL (DHL), (dont le siège social mondial est situé Charles-de-Gaulle-Str. 20 53113 Bonn, Germany) conformes aux exigences posées par les documents de référence adoptés par le Groupe de travail de l’article 29.
Ainsi, ces BCR sont réputées apporter un niveau de protection suffisant aux données personnelles transférées au sein du groupe Deutsche Post DHL (DHL),