AgentPublic/cnil huggingface dataset:
Par ailleurs, la Commission rappelle que l’entrée en vigueur du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE interviendra le 25 mai 2018. La Commission note que le GIE RNIE s’engage à fournir toutes les informations nécessaires à la personne concernée, conformément aux articles 13 et 14 du Règlement (UE) 2016/679.
Le GIE s’assure également qu’au moment de la survenance de l’incident de paiement, les personnes concernées soient informées des moyens dont elles disposent pour régulariser leurs paiements et présenter leurs observations. Il s’assure enfin que les personnes sont informées au moment de leur inscription sur la liste d’exclusion par voie électronique et par SMS.
Dans le cas où elles souhaiteraient connaître le montant et la date de l’inscription de l’impayé, le GIE les renverra vers les fournisseurs concernés.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les personnes concernées peuvent exercer leurs droits d’accès, de rectification et d’opposition pour motifs légitimes auprès du GIE, à une adresse indiquée dans les conditions générales de vente des fournisseurs d’énergie.
Elles peuvent également faire parvenir au fournisseur d’énergie membre du GIE des observations qui seront prises en compte et analysées pour, le cas échéant, lever la demande de garantie ou débloquer le refus à la demande de souscription d’abonnement.
Enfin, la Commission rappelle que le Règlement (UE) 2016/679 renforce le droit d’opposition de la personne concernée, ainsi que l’information que le responsable de traitement doit lui fournir sur ce droit. La Commission note que le GIE RNIE s’engage à mettre en œuvre ces évolutions à compter du 25 mai 2018. 
Sur la sécurité des données et la traçabilité des actions :
La Commission prend note de la mise en œuvre de précautions utiles pour préserver la sécurité des données traitées, notamment pour empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.
La Commission retient la mise en œuvre d’une gestion rigoureuse des contrôles d’accès des différentes parties au traitement. Des systèmes de chiffrement sont mis en œuvre pour garantir la confidentialité des données échangées et permettre l’authentification des parties.
Le traitement met en œuvre une gestion des habilitations donnant accès aux seules personnes dûment habilitées et autorisées à en connaitre, en fonction de leur profil. La Commission rappelle que cette gestion des habilitations doit être déployée quel que soit le type d’accès considéré.
Le responsable de traitement a déployé une politique de journalisation. La Commission rappelle que le niveau de traçabilité doit être adéquat et proportionné.
Ces mesures de sécurité n’appellent pas d’observation de la Commission au regard de l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle néanmoins que l’exigence de sécurité prévue à l’article 34 de la loi nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise le Groupement d’Intérêt Economique Registre National des Impayés Electricité (RNIE) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des impayés.
La Présidente
 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 54-V ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 193 ;
Vu la loi n°98-1194 du 23 décembre 1998 de financement de la sécurité sociale (CSS), créant le Système national d’information inter-régimes de l’Assurance maladie (SNIIRAM) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé système national des données de santé ;
Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système National des Données de Santé (SNDS) ;
Vu l’arrêté du 19 juillet 2013 modifié relatif à la mise en œuvre du Système national d’information interrégimes de l’assurance maladie ;
Vu la saisine de l’Institut National des Données de Santé en date du 20 décembre 2017 pour homologation d’une procédure simplifiée en application de l’article 54-V de la loi informatique et libertés ;
Vu l’avis du Comité d'Expertise pour les Recherches, les Études et les Évaluations dans le domaine de la Santé (CEREES) en date du 14 décembre 2017 ;
Après avoir entendu Mme. Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie le 21 décembre 2017 par l’Institut National des Données de Santé (INDS) d’une demande d’homologation de conditions de mise à disposition de l’échantillon généraliste des bénéficiaires (ci-après EGB) du Système national d’information inter-régimes de l’Assurance maladie (SNIIRAM), composante du Système National des Données de Santé (SNDS).
L’EGB du SNIIRAM est un échantillon constitué par la Caisse nationale de l'assurance maladie (CNAM) qui concerne 1/97ème de la population couverte par l’Assurance maladie en France. L’EGB contient des informations sur les caractéristiques sociodémographiques et médicales des bénéficiaires et les prestations de soins qu’ils ont reçues. L’utilisation de cet échantillon permet notamment de mieux connaître et comprendre le recours aux soins, les trajectoires de soins et les dépenses de santé des assurés sur une période.
Sont également constituées à partir du SNIIRAM des bases de données thématiques de données agrégées appelées datamarts orientés vers le suivi des dépenses (Damir) ou l’analyse de l’offre de soins (Amos) ainsi que des tableaux de bord sur la biologie et la pharmacie. Ces jeux de données sont inclus dans le champ d’application de la présente homologation.
Dans le cadre des traitements de données à caractère personnel à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, conformément à l’article 54-V de la loi informatique et libertés , des jeux de données agrégées ou des échantillons peuvent faire l’objet d’une mise à disposition dans des conditions préalablement homologuées par la Commission, sans que l’autorisation prévue à l’article 54-I de la loi précitée ne soit requise.
Le SNIIRAM étant une composante du système national des données de santé (SNDS), la Commission rappelle, à titre liminaire, que l’ensemble des dispositions législatives et réglementaires relatives au SNDS sont applicables aux traitements de données issues de l’EGB et, en particulier :
l’interdiction d’utiliser les données du SNDS pour les finalités décrites à l’article L.1461-1 V du code de la santé publique (finalités interdites) ;
l’obligation pour les personnes visées à l’article L.1461-3 II du code de la santé publique de confier le traitement des données à un bureau d’études ou laboratoire de recherche ayant réalisé un engagement de conformité au référentiel incluant les critères de confidentialité, d'expertise et d'indépendance, fixé par l’arrêté du 17 juillet 2017 ou de démontrer que les modalités de mise en œuvre du traitement rendent impossible toute utilisation des données pour l’une des finalités interdites ;
le respect du référentiel de sécurité applicable au SNDS, fixé par l’arrêté du 22 mars 2017 ;
le principe de transparence prévu à l’article L.1461-3, II du code de la santé publique : transmission du protocole, de la déclaration des intérêts et des résultats auprès de l’INDS.
Conformément aux dispositions législatives et réglementaires applicables, les données concernées étant des données de santé à caractère personnel, non directement identifiantes, recueillies à titre obligatoire et destinées aux services ou aux établissements de l'État, l'information des personnes concernées, quant à la réutilisation possible de leurs données et aux modalités d'exercice de leurs droits, est assurée par une mention figurant sur le site internet des établissements de santé ou médico-sociaux, des organismes d’assurance maladie ainsi que sur des supports permettant de la porter à la connaissance des personnes, notamment des affiches dans les locaux ouverts au public ou des documents qui leur sont remis. Conformément à l’article R. 1461-9 du code de la santé publique, les droits d’accès, de rectification et d’opposition s’exercent selon les conditions définies aux articles 92 à 95 du décret n°2005-1309 du 20 octobre 2005 modifié, auprès du directeur de l’organisme gestionnaire du régime d’assurance maladie obligatoire auquel la personne concernée est rattachée.
Décide : 
Les conditions de mise à disposition des données à caractère personnel issues de l’EGB du SNDS sont homologuées par la Commission comme suit :
Traitements susceptibles d’être examinés uniquement par l’INDS
Les conditions d’accès homologuées par la présente délibération s’appliquent aux traitements mis en œuvre à des fins de recherche, d’étude ou d’évaluations dans le domaine de la santé, présentant un caractère d’intérêt public, et pour la réalisation desquels seul un accès à l’EGB et/ou aux datamarts et tableaux de bord du SNIIRAM est nécessaire.
Sont susceptibles de bénéficier d’une approbation unique de l’INDS les traitements qui respectent les conditions cumulatives suivantes :
le traitement est réalisé au sein du portail sécurisé de la CNAM et ne prévoit pas la constitution d’un système fils du SNDS tel que défini à l’arrêté du 22 mars 2017 précité ;
aucun croisement de plusieurs identifiants potentiels, tels que définis par le décret n°2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé système national des données de santé , n’est réalisé ;
la durée d’accès au portail n’excède pas 24 mois.
Examen par l’INDS
L’INDS se prononce au regard des éléments suivants :
la finalité d’intérêt public de la recherche, de l’étude ou de l’évaluation dans le domaine de la santé ;
la justification apportée par le responsable de traitement pour démontrer la pertinence scientifique du projet ;
la durée de l’accès au portail pour le traitement envisagé qui doit être limitée à la durée nécessaire à la réalisation de la recherche, l’étude ou l’évaluation ;
le respect des exigences législatives applicables au SNDS et notamment l’engagement du responsable de traitement sur le respect du paragraphe 5 : Accès aux données du référentiel de sécurité précité applicable au SNDS.
Procédure d’accès
La demande d’accès est adressée directement à l’Institut national des données de santé (INDS) dans les mêmes conditions que celles prévues pour la transmission du dossier de demande d’autorisation de recherche, étude ou évaluation dans le domaine de la santé prévu à l’article 54 II de la loi.
L’INDS notifie sa décision au demandeur dans un délai de 15 jours ouvrés, à compter de la réception d’un dossier complet. Sans réponse de la part de l’INDS au terme du délai de 15 jours ouvrés, la décision est réputée favorable.
L’INDS peut contacter le demandeur pour tout complément d’information si nécessaire. Le délai d’approbation est suspendu dans l’attente des éléments complémentaires.
Dans le cas où l’INDS ne s’estime pas en mesure de se prononcer au vu des éléments constitutifs du dossier, il peut décider que le traitement envisagé est soumis à la procédure complète selon les modalités prévues au Chapitre IX de la loi et en informe le demandeur. Après accord de ce dernier, l’INDS saisit le CEREES pour avis, puis la CNIL pour autorisation dans le respect des dispositions de la loi informatique et libertés .
Transparence
L’INDS informe au moins une fois par an le CEREES et la CNIL des approbations délivrées dans les conditions décrites dans la présente délibération.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des armées d'une demande d'avis concernant la création d'un traitement de données à caractère personnel en vue d'un contrôle d'accès biométrique à une emprise de la marine nationale ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la défense, notamment ses articles L. 4123-12 et R. 2363-1 à R. 2363-7 ;
Vu le code pénal, notamment ses articles 413-7 et R. 413-1 à R. 413-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26 et 27 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ;
 
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie d'une demande d'avis sur un projet de décret visant à autoriser la création, par l'état-major de la marine, d'un contrôle d'accès biométrique à un site de la marine nationale.
Sur la finalité du traitement :
La mise en œuvre de ce contrôle d'accès biométrique vise à sécuriser l'accès à des zones militaires constituées d'une zone protégée au sens des articles R. 413-1 à R. 413-5 du code pénal, et d'une zone de défense hautement sensible au sens de l'article L. 4123-12 et des articles R. 2363-1 à R. 2363-7 du code de la défense.
Le dispositif de contrôle d'accès biométrique par contour de la main permet de restreindre l'accès à ces zones aux seules personnes autorisées et de détecter les tentatives d'accès non autorisé.
La commission considère que ces finalités sont déterminées, explicites et légitimes.
Sur la nature des données traitées :
L'article 2 du projet de décret indique que les données à caractère personnel traitées et enregistrées dans le cadre de ce traitement sont :
- le numéro d'identification du badge ;
- les dates et heures d'entrée et de sortie ;
- le gabarit du contour de la main.
Elles sont collectées auprès des seuls agents autorisés à pénétrer dans les zones concernées par ce contrôle d'accès biométrique.
La commission estime que les données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Sur la durée de conservation des données :
L'article 3 du projet de décret énonce que le numéro d'identification du badge et le gabarit du contour de la main sont conservés jusqu'à la cessation définitive ou temporaire des fonctions de l'agent justifiant l'accès aux zones concernées.
Les données relatives aux entrées et sorties sont conservées pendant une durée d'un an à compter de leur enregistrement. Cette durée a été retenue par le ministère pour permettre la réalisation d'investigations le cas échéant.
La commission estime que les données collectées ne sont pas conservées sous une forme permettant l'identification des personnes concernées, pendant une durée excédant la durée nécessaire aux finalités du traitement.
Sur les destinataires des données :
L'article 4 du projet de décret indique que dans le cadre de leurs missions de sécurisation des zones visées par le dispositif de contrôle biométrique, les personnels de la gendarmerie maritime n'ont accès qu'aux données relatives aux entrées et sorties des agents ainsi qu'au numéro d'identification du badge.
La commission considère que ces personnes présentent un intérêt légitime à accéder aux données du présent traitement, dans la limite de leurs attributions et sous réserve que les données effectivement accessibles présentent un lien direct et nécessaire avec leurs fonctions.
Sur l'information des personnes :
Les agents concernés sont informés du dispositif de contrôle d'accès et de ses modalités de mise en œuvre, par voie d'affichage situé à l'entrée du site et via la publication du présent projet de décret au Journal officiel, informés conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée.
Les modalités d'information des personnes concernées n'appellent aucune observation de la part de la commission.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d'accès et de rectification prévus respectivement aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée pourront être exercés par les agents auprès de l'amiral commandant les forces sous-marines et la force océanique stratégique (ALFOST), par courrier.
La commission note que l'article 6 du projet de décret écarte l'application du droit d'opposition en application de l'article 38 alinéa 3 de la loi du 6 janvier 1978 modifiée.
Sur la sécurité des données et la traçabilité des actions :
Le responsable du traitement, en application de l'article 34 de la loi du 6 janvier 1978 modifiée, doit prendre toutes les précautions utiles pour préserver la sécurité des données collectées et traitées, au regard de la nature des données, des risques présentés par le traitement, et notamment empêcher que des tiers non autorisés y aient accès par l'intermédiaire de mesures de sécurité physiques, logiques et organisationnelles.
La commission prend acte du fait que les échanges auront intégralement lieu sur des réseaux privés maitrisés par le responsable de traitement.
Un logiciel antivirus et installé et régulièrement mis à jour sur tous les postes.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Les permissions d'accès sont supprimées pour tout utilisateur n'étant plus habilité.
La commission rappelle qu'une revue globale des habilitations doit être opérée régulièrement.
Chaque utilisateur dispose d'un identifiant qui lui est propre.
Le responsable de traitement a mis en œuvre une politique de mot de passe conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
Une journalisation des opérations de consultation, création et modification des données est mise en place.
Lors de l'utilisation du dispositif biométrique, les dates et heures d'entrée et de sortie sont conservées pendant une durée de 1 an.
Les données biométriques sont conservées dans une base de données ainsi que sur chacun des lecteurs permettant l'accès au site.
La commission regrette l'absence d'éléments justifiant le choix du responsable de traitement de stocker les gabarits en base centralisée et non sur un support individuel détenu par les agents. Toutefois, elle ne remet pas en question le besoin justifié de sécuriser l'accès aux sites concernés par un dispositif biométrique.
La commission prend acte que le responsable de traitement dispose d'une politique de sécurité des systèmes d'information qui s'appuie sur les instructions et les recommandations de l'ANSSI.
La commission estime que le décret pourrait être complété d'un article précisant que le traitement doit mettre en œuvre les mesures adéquates pour assurer la sécurité des données, conformément à l'article 34 de la loi Informatique et Libertés .
La commission rappelle enfin que l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l’informatique et des libertés,
Saisie par la société BIOSERENITY d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la matériovigilance ;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 90/385/CE du 20 juin 1990 concernant le rapprochement des législations des Etats membres relatives aux dispositifs médicaux implantables actifs;
Vu la directive 93/42 CE du 14 juin 1993 relative aux dispositifs médicaux ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5212-2 à L. 5212-3 et R. 5212-1 à R. 5212-42 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement ;
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société BIOSERENITY, spécialisée dans le secteur d'activité de la recherche-développement en biotechnologie.
Sur la finalité
Le traitement a pour finalité la matériovigilance qui a pour objet la surveillance des éventuels effets indésirables des dispositifs médicaux sur la santé humaine.
La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6 de la loi du 6 janvier 1978 modifiée.
Ce traitement relève des dispositions combinées des articles 8-IV et 25-I-1° de la loi « informatique et libertés » qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les données systématiquement collectées sont les :
données d’identification du patient : numéro d’identification du patient ;
données de santé : nature du ou des effets indésirables, maladies ou événements associés, conduite thérapeutique du prescripteur ou des professionnels de santé intervenant dans la prise en charge de la maladie ou de l’effet indésirable ;
données d’identification des professionnels de santé concernés par l’observation : nom du médecin prescripteur du dispositif.
Les données collectées lorsqu’elles sont strictement nécessaires à l’appréciation de l’effet indésirable :
données d’identification du patient : date de naissance ;
données de santé : traitements administrés, résultats d’examens ;