AgentPublic/cnil huggingface dataset:
portant création d'un traitement de données à caractère personnel dénommé  Répertoire partagé des professionnels de santé  ;Vu le dossier et ses compléments ;Sur la proposition de M. Loïc HERVE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,Emet l'avis suivant :La commission a été saisie, le 3 septembre 2015, par la ministre des affaires sociales, de la santé et des droits des femmes d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 6 février 2009 modifié portant création d'un traitement de données à caractère personnel dénommé  Répertoire partagé des professionnels de santé  (RPPS).Ce projet d'arrêté (ci-après  le projet ) est pris en application de l'article D. 4113-118 du code de la santé publique.Le RPPS est un outil d'identification unique et pérenne des professionnels de santé quel que soit leur mode d'exercice. Sa mise en œuvre est confiée à l'Agence nationale des systèmes d'information partagés de santé (ASIP Santé), en application des dispositions de l'article D. 4113-118 précité.A ce jour, ce répertoire comporte les données d'identification des médecins, chirurgiens-dentistes, sages-femmes et pharmaciens, fournies et certifiées par leurs ordres professionnels respectifs et par le service de santé aux armées. Il a vocation à recueillir, à terme, les informations concernant l'ensemble des professionnels intervenant dans le système de santé, soumis à une obligation légale
d'enregistrement du titre ou diplôme sanctionnant leur formation.Le projet soumis à la commission a pour objet de rendre librement accessibles l'ensemble des données communicables au public, non seulement en consultation, mais également en extraction.Afin de fiabiliser les informations figurant dans le RPPS, une consultation du répertoire national d'identification des personnes physiques (RNIPP) est nécessaire. Dans la mesure où cette consultation du RNIPP n'inclut pas le numéro d'inscription à ce répertoire, le RPPS relève des dispositions de l'article 27-II (1°) de la loi du 6 janvier 1978 modifiée (ci-après  Loi informatique et libertés ). En outre, l'article D. 4113-118 précité renvoie à un arrêté pris après avis de la CNIL la définition des caractéristiques du RPPS.Sur les finalités du traitement :La commission prend acte de ce que le projet ne modifie pas les finalités poursuivies par le RPPS.Sur les catégories de données à caractère personnel enregistrées :La commission prend acte de ce que le projet ne modifie pas les catégories de données à caractère personnel déjà enregistrées dans le RPPS.Sur la durée de conservation des données :La commission prend acte de ce que le projet ne modifie pas les durées de conservation des données du RPPS.Sur la liste des données communicables au public :L'article 5 (4°) de l'arrêté RPPS en vigueur prévoit que les données actives suivantes sont  communicables au public  :
- le numéro RPPS ;- les noms et prénoms d'exercice ;- la profession exercée ;- les qualifications et titres professionnels correspondant à l'activité exercée ;- les coordonnées des structures d'exercice ainsi que leurs identifiants FINESS et SIREN.
Cette liste de données communicables n'est pas modifiée par le projet et n'appelle pas d'observation de la part de la commission.Sur les données librement accessibles au public :L'article 6 de l'arrêté RPPS en vigueur prévoit que  les données communicables au public, au sens du 4° de l'article 5, sont librement accessibles en consultation et en extraction sous forme électronique par le public au moyen d'un service de communication mis en œuvre par l'organisme gestionnaire du répertoire, à l'exception des coordonnées professionnelles et des coordonnées des structures d'exercice qui ne sont accessibles qu'en consultation .L'article 6 du projet soumis à la commission supprime l'exception précitée et prévoit désormais que  les données communicables au public, au sens du 3° de l'article 5, sont librement accessibles en consultation et en extraction sous forme électronique par le public au moyen d'un service de communication mis en œuvre par l'organisme gestionnaire du répertoire .Le ministère indique qu'il souhaite rendre librement accessibles les coordonnées professionnelles et les coordonnées des structures d'exercice, non seulement en consultation, mais également en extraction.Il précise que les acteurs, initialement réticents à l'ouverture de l'accès en extraction aux coordonnées professionnelles et à celles des structures d'exercice, n'étaient désormais plus opposés à un élargissement de l'accès à ces données.La commission en prend acte mais relève que le nouvel article 6
vise les données communicables au public  au sens du 3° de l'article 5 . Or, cet article 5 (3°) de l'arrêté en vigueur définit la notion d'historique des données mais ne précise pas la liste des données communicables au public. Cette liste est prévue à l'article 5 (4°) de l'arrêté en vigueur auquel il paraît plus opportun de renvoyer.La commission prend également acte de ce que la mise à disposition en extraction des données communicables au public tend à permettre aux acteurs qui en ont besoin de vérifier plus aisément les informations utiles des professionnels, sans recourir à des fichiers de nature commerciale.Elle estime que la modification introduite par l'article 6 du projet apparaît conforme à l'objectif poursuivi par le RPPS consistant à fournir des données d'identification fiables et à permettre la mise à disposition du public des données communicables au sens de l'article 5 (4°) de l'arrêté en vigueur.Par ailleurs, les coordonnées de professionnels constituent des données à caractère personnel au sens de l'article 2 de la Loi informatique et libertés, y compris, comme en l'espèce, lorsqu'elles sont publiquement disponibles. La commission rappelle que les personnes concernées doivent pouvoir valablement exercer les droits qui leur sont reconnus par la loi précitée, notamment ceux prévus aux articles 38 et 39 de cette même loi.Elle rappelle, en outre, que la réutilisation des données enregistrées dans le RPPS doit s'effectuer dans des conditions conformes au chapitre
II de la loi n° 78-753 du 17 juillet 1978 portant diverses mesures d'amélioration des relations entre l'administration et le public et diverses dispositions d'ordre administratif, social et fiscal, dite loi  CADA , relatif à la réutilisation des informations publiques.Etant donnée la modification envisagée, et par souci de clarté pour les utilisateurs, la commission suggère que le nouvel article 8 de l'arrêté RPPS précise que la rediffusion des données devra être effectuée dans des conditions conformes à la loi CADA visée par le projet.Sur les destinataires ou catégories de destinataires habilités à recevoir communication des données :La commission prend acte de ce que le projet ne modifie pas la nature des destinataires ou catégories de destinataires habilités à recevoir communication des données enregistrées dans le RPPS.Sur la rediffusion des données du RPPS :L'article 8 de l'arrêté RPPS en vigueur prévoit que  seuls les utilisateurs mentionnés du 1° au 7° de l'article 7 peuvent rediffuser :
- les données communicables au public, en consultation ;- les autres données, à l'exclusion de celles relatives à la nationalité et aux périodes pendant lesquelles le professionnel fait l'objet d'une mesure de suspension ou d'interdiction d'exercice, en consultation et en extraction, en fonction de leurs missions.
Les utilisateurs mentionnés au 17° de l'article 7 peuvent également rediffuser les données communicables au public, en consultation, dans le cadre de l'application de l'article L. 1453-1 du code de la santé publique. La commission relève que l'article 8 du projet soumis à son examen complète les dispositions précitées en précisant que les utilisateurs mentionnés du 1° au 7° de l'article 7 peuvent rediffuser les données communicables au public, non seulement en consultation, mais également en extraction.Elle prend acte de ce que cette modification résulte des modifications susmentionnées apportées à l'article 6 de l'arrêté RPPS en vigueur tendant à rendre l'ensemble des données communicables au public librement accessibles en consultation et en extraction.En application des dispositions de l'alinéa 1er de l'article 13 de la loi CADA précitée,  les informations publiques comportant des données à caractère personnel peuvent faire l'objet d'une réutilisation dès lors que la personne intéressée y a consenti, ou si l'autorité détentrice est en mesure de les rendre anonymes ou, à défaut d'anonymisation, si une disposition législative ou réglementaire le permet .La commission prend acte de ce que l'arrêté RPPS en vigueur prévoit expressément la rediffusion des données enregistrées dans le RPPS.Elle rappelle en outre, conformément aux dispositions de l'article 13, alinéa 2, de la loi CADA précitée, que la réutilisation d'informations publiques comportant des données à caractère
personnel est subordonnée au respect des dispositions de la Loi informatique et libertés.Sur l'information des personnes concernées :La commission relève que ni l'arrêté en vigueur ni le projet ne comportent de dispositions particulières concernant l'information des personnes dont les données à caractère personnel sont traitées.Outre l'information par voie de publication de l'arrêté au Journal officiel de la République française, le ministère a indiqué que les personnes concernées seraient informées par voie d'affichage sur les sites internet, les revues internes et les formulaires des autorités d'enregistrement des professionnels.La commission en prend acte.Sur les droits d'accès et de rectification des personnes concernées :La commission prend acte de ce que le projet ne modifie pas les dispositions de l'arrêté RPPS en vigueur relatives aux droits d'accès, de rectification et d'opposition.Sur la sécurité des données et la traçabilité des actions :La commission prend acte de ce que le projet n'emporte aucune modification de l'architecture technique du RPPS.
Saisie par l'Agence Nationale des Fréquences d'une demande d'avis concernant un projet d'arrêté relatif à la création d'un téléservice de l'administration dénommé  Gestion de licences et de numéro MMSI  ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi nu 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-11-4 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi nu 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'article R. 20-44-11 du code des postes et des communications électroniques ; Vu le dossier et ses compléments ;Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,Emet l'avis suivant :Sur le fondement de l'article 27-11-4° de la loi du 6 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés a été saisie pour avis par l'Agence nationale des fréquences d'un projet d'arrêté portant création d'un téléservice de l'administration, dénommé  Gestion de licences et de numéro MMSI .Sur les
finalités :En application de l'article L. 41-1 du code des postes et des communications électroniques, une autorisation administrative est nécessaire pour l'utilisation de fréquences radioélectriques à bord d'un navire.Le projet d'arrêté soumis à la Commission est relatif à la création d'un téléservice permettant aux usagers de procéder en ligne à la demande de licence prévue à l'article L. 41-1 du code des postes et des communications électroniques.En ce sens, l'article le du projet d'arrêté précise les finalités du traitement et énonce que le téléservice  Gestion de licences_et de numéro MMSI  a pour finalité  la gestion (attribution et modification) de licences de station de navire et éventuellement l'attribution d'un MMSI (Maritime Mobile Service Identity) si la matériel radioélectrique du navire répond aux normes du SMDSM (Système Mondial de Détresse et de Sécurité en Mer) .Ce faisant, la mise en œuvre du téléservice précité vise à permettre aux usagers de réaliser de façon dématérialisée leurs demandes de licence et de numéro MMSI et de fournir les pièces justificatives sous format électronique.La Commission prend note que l'usage de ce téléservice reste facultatif, l'Agence nationale des fréquences continuant à traiter les dossiers qui lui seront transmis via le formulaire papier.La Commission considère que ces finalités sont déterminées, explicites et légitimes.Sur la nature des données traitées :
L'article 2 du projet d'arrêté précise les catégories de données collectées relatives au propriétaire du navire ou au demandeur ou bénéficiaire de la licence, si celui-ci est différent du propriétaire, à savoir :-  état civil du demandeur ou du bénéficiaire de la licence, c'est-à-dire son nom, son prénom, sa date de naissance, son adresse (n°, rue, ville, pays), s'il est propriétaire du navire ou en leasing ou autre, son numéro de téléphone professionnel, son numéro de téléphone portable, son numéro de téléphone domicile, son numéro de télécopie, et son adresse électronique ainsi que les coordonnées de contacts en cas d'urgence (nom, prénom, numéro de téléphone, lien de parenté) ;- données de connexion, c'est-à-dire les identifiants de connexion .
La Commission considère que les données traitées sont pertinentes et non excessives au regard des finalités poursuivies.Sur la durée de conservation des données :L'article 2 du projet d'arrêté précise que  les données sont conservées quatre mois .La Commission considère que cette durée de conservation n'excède pas celle qui nécessaire à l'accomplissement des finalités poursuivies.Sur les destinataires des données :L'article 3 du projet d'arrêté précise les destinataires habilités à recevoir communication des données traitées par l'intermédiaire du téléservice  Gestion de licences et de numéro MMSI .Plus précisément, ces données seront accessibles :
- aux agents de l'Agence nationale des fréquences ;- aux demandeurs ou bénéficiaires de la licence.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données du téléservice  Gestion de licences et de numéro MMSI .Sur l'information des personnes :La Commission prend acte que l'information des personnes concernées sera assurée par une mention sur la page d'accueil du site internet dédié.Sur les droits d'accès, de rectification et d'opposition des personnes :L'article 4 du projet d'arrêté prévoit que les droits d'accès et de rectification, prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s'exercent auprès du directeur général de l'Agence nationale des fréquences, 78, avenue du Général-de-Gaulle, 94700 Maisons-Alfort.La Commission relève que le projet de décret n'écarte pas expressément l'application du droit d'opposition pour motif légitime.Les dispositions du projet de décret relatives aux droits d'accès, de rectification et d'opposition pour motif légitime n'appellent pas d'observation de la part de la Commission.Sur la sécurité des données et la traçabilité des actions :La Commission rappelle que, compte tenu de ce que le dispositif  Gestion de licences et de numéro MMSI  est un téléservice de l'administration, il appartient à l'Agence Nationale des Fréquences d'attester de sa conformité au décret 2010-112 (référentiel général de sécurité) et de le mentionner sur le site.De plus, concernant la sécurité des sites internet, la Commission recommande de mettre en œuvre les recommandations techniques relatives à la sécurité
des sites internet publiées par l'Agence nationale de la sécurité des systèmes d'information dans une note technique intitulée  recommandations pour la sécurisation des sites web .Enfin, la Commission rappelle que la mise en place du téléservice  Gestion de licences et de numéro MMSI  doit se faire en conformité avec l'article 32-II de la loi du 6 janvier 1978 modifiée et qu'en particulier :
- aucun cookie non nécessaire au service ne doit être déposé sur l'ordinateur de l'utilisateur, sans le consentement préalable de ce dernier ; il doit être indiqué aux utilisateurs comment s'opposer au dépôt de cookies tout en continuant à bénéficier du service ;- les mentions d'information doivent être complètes et détailler les finalités associées aux différents cookies déposés.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
 
Pour la présidente :
La vice-présidente déléguée,
M. Mazars
La Commission nationale de l'informatique et des libertés,Saisie par le ministre du travail, de l'emploi, de la formation professionnelle et du dialogue social d'une demande d'avis sur deux projets d'arrêtés modifiant les arrêtés des 8 mai 2012 et 26 novembre 2012 portant respectivement sur les téléservices dénommés  service dématérialisé de l'alternance   et  système de libre accès des employeurs (SYLAE)  ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 2011-893 du 28 juillet 2011 pour le développement de l'alternance et la sécurisation des parcours professionnels et, notamment, son article 4 prévoyant la création d'un service dématérialisé de l'alternance ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-11 (4°) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2015-773 du 29 juin 2015 portant création d'une aide en faveur des très petites entreprises embauchant des jeunes apprentis ;Vu l'arrêté du 18 mai 2012 portant
autorisation de traitements automatisés de données à caractère personnel relatives au service dématérialisé de l'alternance mis à disposition des usagers ;Vu l'arrêté du 26 novembre 2012 portant création d'un téléservice dénommé  système de libre accès des employeurs  (SYLAE) ;Vu la délibération n° 2012-086 du 22-mars 2012 portant avis sur un projet d'arrêté relatif à la création d'un téléservice de l'administration, dénommé  système de libre accès des employeurs , ayant pour finalité la dématérialisation de la gestion du contrat unique d'insertion ;Vu la délibération n° 2012-140 du 2 mai 2012 portant avis sur un projet d'arrêté relatif à la création d'un téléservice de l'administration, dénommé  service dématérialisé de l'alternance , ayant pour finalité de faciliter la conclusion et la gestion des contrats en alternance ;Vu les dossiers et leurs compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,Emet l'avis suivant :
Sur le fondement de l'article 27-11 (4°), la commission a été saisie pour avis sur deux projets d'arrêtés présentés par le ministre du travail, de l'emploi, de la formation professionnelle et du dialogue social modifiant les arrêtés des 18 mai 2012 et 26 novembre 2012 portant respectivement sur les téléservices dénommés  service dématérialisé de l'alternance   et  système de libre accès des employeurs (SYLAE) .Les modifications envisagées s'inscrivent dans le cadre de la mise en œuvre de la mesure  TPE jeunes apprentis  qui permet à une entreprise qui recrute un apprenti mineur de bénéficier d'une aide financière la première année du contrat d'apprentissage.Les entreprises qui souhaitent bénéficier de cette aide doivent déposer leur demande via le téléservice dénommé  service dématérialisé de l'alternance , créé par l'arrêté du 18 mai 2012, destiné à faciliter la conclusion et la gestion des contrats en alternance.Sur le projet d'arrêté modifiant l'arrêté du 18 mai 2012 portant autorisation de traitements automatisés de données à caractère personnel relatives au service dématérialisé de l'alternance mis à disposition des usagers :Le premier projet d'arrêté examiné par la commission modifie l'arrêté du 18 mai 2012 pour ajouter la finalité suivante  faciliter le traitement et la prise en charge de l'aide TPE jeunes apprentis créée par le décret n° 2015-773 du 29 juin 2015 relatif à l'aide TPE jeunes apprentis .En outre, le projet mentionne désormais, parmi les destinataires
des données,  l'agence de service et de paiement [ASPI dans le cadre de la mise en œuvre de la mesure TPE jeunes apprentis .En effet, une fois la demande déposée elle est télétransmise par l'Etat à l'ASP qui assurera le paiement de l'aide. Au préalable, les entreprises devront saisir les attestations de présence justifiant l'exécution du contrat via le téléservice dénommé  système de libre accès des employeurs (SYLAE) , créé par l'arrêté du 26 novembre 2012 et ayant pour finalité la dématérialisation de la gestion du contrat unique d'insertion.Sur le projet d'arrêté modifiant l'arrêté du 26 novembre 2012 portant création d'un téléservice dénommé  système de libre accès des employeurs  (SYLAE) :Le second projet soumis pour avis à la commission modifie l'arrêté du 26 novembre 2012 pour permettre la prise en charge de la mesure  TPE jeunes apprentis . La commission constate qu'il s'agit essentiellement de modifications rédactionnelles et que les éléments d'attestation de présence demandés dans le cadre de la nouvelle mesure sont identiques à ceux initialement recueillis.La commission considère que les modifications apportées n'appellent pas d'observations au regard des dispositions de la loi  Informatique et libertés . Elle relève par ailleurs que les autres caractéristiques des traitements concernés ne sont en rien affectées par ces évolutions.
Saisie par le ministre des finances et des comptes publics d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le transfert vers l'Internal Revenue Service (IRS) des données collectées et stockées dans le cadre de FATCA et la réception par la DGFiP des données transférées par l'IRS,Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95146/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la directive 2011/16/UE du Conseil de l'Union européenne du 15 février 2011 relative à la coopération administrative dans le domaine fiscal ;Vu le livre des procédures fiscales, notamment ses articles L. 169, L. 174 et L. 176 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 68 et 69 ;Vu la loi n° 2014-1098 du 29 septembre 2014 autorisant l'approbation de l'accord entre le Gouvernement de la République française et le Gouvernement des Etats-Unis d'Amérique en vue d'améliorer le respect des obligations fiscales à l'échelle internationale et de mettre en œuvre la loi relative au respect des obligations fiscales concernant les comptes étrangers (dite  loi FATCA ) ;Vu le décret n°