AgentPublic/cnil huggingface dataset:
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-971 du 15 juillet 2016 relatif aux modalités de désignation et d'habilitation des officiers de police judiciaire, ainsi que des agents des douanes et des agents des services fiscaux habilités à effectuer des enquêtes judiciaires en application, respectivement, des dispositions des articles 28-1 et 28-2 du code de procédure pénale, autorisés à consulter le fichier national des comptes bancaires (FICOBA) et le fichier des contrats de capitalisation et d'assurance-vie (FICOVIE) ;
Vu l'arrêté du 1er septembre 2016 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de gestion du fichier des contrats de capitalisation et d'assurance vie dénommé FICOVIE ;
Vu la délibération n° 2016-374 du 1er décembre 2016 portant avis sur le projet d'arrêté modifiant l'arrêté du 1er septembre 2016 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de gestion du fichier des contrats de capitalisation et d'assurance vie dénommé FICOVIE ;
Vu le dossier et ses compléments ;
 
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie pour avis par le ministère de l'économie et des finances sur un projet d'arrêté modificatif qui prévoit l'accès des agents habilités de la direction générale des douanes et droits indirects aux données du traitement FICOVIE permettant de lutter contre la fraude fiscale.
Le projet d'arrêté modificatif fait suite à l'arrêté du 1er septembre 2016 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de gestion du fichier des contrats de capitalisation et d'assurance vie dénommé FICOVIE et pour lequel la commission a rendu un avis le 1er décembre 2016, autorisant l'accès des notaires au fichier dans le cadre de la lutte contre la déshérence des contrats d'assurance-vie et de capitalisation.
Il s'agit aujourd'hui pour la commission d'examiner les modalités d'accès des agents habilités de la direction générale des douanes et droits indirects au FICOVIE. Dans la mesure où le traitement concerne la prévention et la recherche d'infractions pénales, il relève des dispositions de l'article 26.1.2° de la loi du 6 janvier 1978 modifiée.
Sur la finalité du traitement :
La direction générale des douanes et droits indirects exerce une mission de régulation et de contrôle des exportations et importations et une mission de soutien de la compétitivité économique des entreprises. Elle est notamment chargée de fluidifier et de sécuriser les échanges économiques, au niveau national, international et européen, en particulier en luttant contre la fraude. Elle exerce dans ce cadre des missions de recouvrement et de contrôle en matière fiscale puisqu'elle perçoit des taxes et droits indirects pour le compte de l'Union européenne, de l'Etat, de certaines collectivités territoriales et établissements publics.
Dans le cadre des missions rappelées ci-dessus et pour une finalité de lutte contre la fraude fiscale, le projet d'arrêté modificatif vise à permettre l'accès au fichier FICOVIE aux seuls agents habilités de la direction générale des douanes et droits indirects.
En effet, la loi de finance du 29 décembre 2015 a créé un nouvel article L. 135 ZC du livre des procédures fiscales qui instaure un accès direct au FICOVIE pour les agents des douanes individuellement désignés et dûment habilités.
Par conséquent, le projet d'arrêté prévoit la mise à disposition, pour les seuls agents habilités par la direction générale des douanes et droits indirects, au fichier FICOVIE Agents en application des dispositions de l'article L. 135 ZC précité qui permet la levée du secret professionnel.
Le projet d'arrêté soumis pour avis à la commission prévoit donc la modification des dispositions de l'article 2, deuxième alinéa, de l'arrêté du 1er septembre 2016 pour permettre l'accès aux déclarations aux fins de contrôle et de recouvrement par les agents habilités de la direction générale des douanes et droits indirects, dans le cadre des missions qui leur sont dévolues par les dispositions du code de procédure pénale. 
Les agents concernés sont uniquement ceux habilités à effectuer des enquêtes judiciaires en application de l'article 28-1 du code de procédure pénale, c'est-à-dire les agents de la direction générale des douanes et droits indirects exerçant au sein du service national de douane judiciaire.
En vertu des dispositions de l'article 59 bis du code des douanes, les agents des douanes sont tenus au secret professionnel. Le secret professionnel s'applique à toutes les personnes appelées à l'occasion de leurs fonctions ou attributions à intervenir dans l'assiette, le contrôle, le recouvrement ou le contentieux des impôts, droits, taxes et redevances prévus par le code général des impôts conformément aux dispositions de l'article L. 103 du livre des procédures fiscales. Le secret professionnel s'entend à toutes les informations recueillies à l'occasion de ces opérations.
Cependant, il existe des dérogations à la règle du secret professionnel telles que prévues par les dispositions de l'article 26 de la loi du 13 juillet 1983 portant droits et obligations des fonctionnaires : les fonctionnaires ne peuvent être déliés de cette obligation de discrétion professionnelle que par décision expresse de l'autorité dont ils dépendent .
Ainsi, la commission prend acte, d'une part, de l'ouverture du fichier FICOVIE aux seuls agents habilités de la direction générale des douanes et droits indirects exerçant au sein du service national de douane judiciaire, et ce, uniquement dans le cadre de leurs missions de recouvrement et de contrôle en matière fiscale.
Elle observe, d'autre part, que la levée du secret professionnel est conforme aux dispositions prévues par la loi portant droits et obligations des fonctionnaires.
Par conséquent, dans la mesure où les agents habilités de la direction générale des douanes et droits indirects ont accès au fichier, ils sont destinataires des données traitées. Dès lors, le projet d'arrêté prévoit de rajouter comme destinataires les agents habilités de la direction générale des douanes et droits indirects, en application des dispositions de l'article L. 135 ZC du livre des procédures fiscales .
Cet ajout n'appelle pas d'observation particulière de la commission.
Sur la sécurité des données et la traçabilité des actions :
La commission prend note que les agents habilités de la direction générale des douanes et droits indirects se verront attribuer le profil national leur donnant accès aux données à l'échelle nationale à l'exclusion des dossiers identifiés comme étant sécurisés. Ces profils seront rattachés aux comptes des agents dans l'annuaire dédié de la direction générale des douanes et droits indirects. Les agents seront individuellement habilités par les responsables de la direction générale des douanes et droits indirects. De plus, préalablement à l'accès au traitement les habilitations des agents seront vérifiées, d'une part, par la direction générale des douanes et droits indirects et, d'autre part, par la direction générale des finances publiques.
La commission prend acte de ce que le ministère a mis en place un mécanisme de traçabilité permettant de tracer les opérations effectuées par les agents habilités dans l'outil. Les données de traçabilité incluent un identifiant des agents, un horodatage, une identification du type d'opération effectuée ainsi que l'identifiant du contribuable concernée par l'opération. Ces données de traçabilité sont conservées pendant un an glissant et sont consultables via une application spécifique, accessible notamment au chef de service du service national des douanes judiciaires.
La commission observe que les modalités d'authentification des utilisateurs n'ont pas été modifiées depuis la précédente modification du traitement de décembre 2016. Elle attire cependant l'attention du ministère sur sa récente délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe qui vient préciser les modalités pratiques d'authentification des personnes ayant accès à des traitements de données à caractère personnel. Elle conseille vivement au ministère de mettre à jour les modalités d'authentification de ses agents afin de respecter les recommandations de cette délibération.
La commission prend acte de ce que les autres mesures de sécurité n'ont pas fait l'objet de modifications par le ministère. La commission rappelle néanmoins que l'obligation de sécurité à laquelle est soumis tout responsable de traitement nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-II (6°) et 24-I ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2015-390 du 3 avril 2015 autorisant les traitements de données à caractère personnel par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie pour l'accomplissement de leurs missions d'affiliation, d'immatriculation, d'instruction des droits aux prestations et de prise en charge des soins, produits et services ;
Vu le décret n° 2017-412 du 27 mars 2017 relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques comme identifiant national de santé ;
Vu l'arrêté du 29 septembre 2006 modifié relatif aux programmes de dépistage des cancers ;
Vu l'arrêté du 23 septembre 2014 portant introduction du test immunologique dans le programme de dépistage organisé du cancer colorectal ;
Vu l'instruction n° DGS/SP5/2016/166 du 25 mai 2016 relative aux modalités de désignation des structures régionales de préfiguration de la généralisation du dépistage organisé du cancer du col de l'utérus et son annexe comprenant le cahier des charges ;
Vu l'instruction n° DGS/SP5/2016/395 du 21 décembre 2016 relative à l'évolution du dispositif des structures de gestion du dépistage organisé du cancer ;
 
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Les programmes nationaux de dépistage organisé du cancer du sein, du cancer colorectal et du cancer du col de l'utérus s'inscrivent dans le cadre du Plan cancer mis en place par le Gouvernement afin de réduire la mortalité et la lourdeur des traitements liés à une prise en charge tardive. Leurs modalités d'organisation sont précisées dans des cahiers des charges nationaux publiés par arrêté. Ces programmes de dépistage organisé des cancers sont mis en œuvre par des structures départementales, interdépartementales ou régionales qui ont passé une convention avec les représentants de l'Etat et de l'assurance maladie dans leur région. A ce titre, ces structures constituent des fichiers d'invitation et de suivi des personnes concernées ; les données collectées dans ce cadre sont également utilisées à des fins d'évaluation et de pilotage des programmes.
S'agissant du dépistage organisé du cancer colorectal, les laboratoires de biologie médicale-centres de lecture des examens définis par l'arrêté précité mettent en œuvre une plateforme électronique dédiée au partage des résultats entre les différents acteurs du dépistage et comportant des données personnelles relatives à la santé des personnes.
En vertu de l'article 24 de la loi du 6 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés est habilitée à établir des normes destinées à simplifier l'obligation de déclaration des traitements les plus courants et dont la mise en œuvre, dans des conditions régulières, n'est pas susceptible de porter atteinte à la vie privée ou aux libertés.
Les traitements de données à caractère personnel, automatisés ou non, mis en œuvre par les structures de gestion conventionnées aux fins d'exercice de leurs missions dans le cadre du dépistage organisé du cancer colorectal et du cancer du sein sont de ceux qui peuvent, sous certaines conditions, relever de cette définition.
Ces traitements encadrés précédemment par une autorisation unique n° AU-043 adoptée le 11 juin 2015 (délibération n° 2015-175 du 11 juin 2015 portant autorisation unique de traitements de données à caractère personnel ayant pour finalité le dépistage organisé du cancer du sein et du cancer colorectal mis en œuvre par les structures de gestion conventionnées) relèvent dorénavant d'une norme simplifiée avec un champ d'application élargi au cancer du col de l'utérus.
 
Article 1
Champ d'application.
Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente norme les traitements, automatisés ou non, mis en œuvre par les structures en charge de la mise en œuvre des programmes de dépistage des cancers investies contractuellement par les représentants de l'Etat dans leur région.
Les structures en charge de la mise en œuvre des programmes de dépistage des cancers, placées sous la responsabilité médicale d'un ou plusieurs médecins coordinateurs du (des) programme(s), assurent l'organisation locale des dépistages organisés des cancers du sein, colorectal et utérin à l'échelle d'un ou plusieurs départements.
 
Article 2
Finalités du traitement.
Peuvent faire l'objet d'un engagement de conformité à la présente norme les traitements automatisés ou non de données à caractère personnel ayant pour finalité la mise en œuvre de programmes de dépistage organisé du cancer du sein, du cancer colorectal et du cancer du col de l'utérus.
Au titre de ces traitements, sont visées :
- la constitution, par les structures en charge de la mise en œuvre des programmes de dépistage des cancers, et la gestion par celles-ci, des fichiers des personnes concernées, à partir des données transmises par les caisses d'assurance maladies participantes, aux fins d'invitation aux opérations de dépistage selon les critères d'éligibilité des personnes ;
- la réalisation des opérations de suivi de ces personnes dans le cadre des programmes de dépistage organisé, y compris la transmission des résultats des tests de dépistage ;
- la gestion des contacts avec les médecins traitants, les spécialistes et les centres de lecture associés aux programmes de dépistage (laboratoires de biologie médicale et structures d'anatomie et cytologie pathologique) ;
- l'évaluation des programmes de dépistage.
 
Article 3 
Nature des données traitées.
La commission rappelle que, conformément à l'article 6 (3°) de la loi informatique et libertés , les données traitées doivent être pertinentes, adéquates et non excessives au regard des finalités du traitement.
Peuvent être traitées, pour l'accomplissement des finalités décrites à l'article 2, les catégories de données à caractère personnel suivantes :
- données relatives à l'identification des personnes concernées telles que transmises par les caisses d'assurance maladie participantes ou les personnes concernées, à savoir : l'identifiant national de santé mentionné à l'article L. 1111-8-1 du code de la santé publique, nom de naissance et nom d'usage, le cas échéant, prénom(s), sexe, date de naissance, adresse, coordonnées téléphoniques ;
- données relatives à l'identification des professionnels de santé intervenant dans le programme, à savoir : nom, prénom(s), numéro d'inscription au répertoire partagé des professionnels de santé et adresse postale ;
- données relatives à la santé des personnes concernées, à savoir, limitativement :
- le numéro d'identifiant ou d'invitation de la personne généré par la structure de gestion à partir des fichiers transmis par les caisses d'assurance maladie ;
- les données relatives aux examens antérieurs et antécédents médicaux strictement nécessaires à la détermination du niveau de risque et à la définition de l'éligibilité des personnes vis-à-vis des programmes de dépistage des cancers, telles que transmises par les caisses d'assurance maladie participantes, par les personnes concernées et les professionnels de santé ;
- le cas échéant, si les personnes concernées l'acceptent, leur(s) motif(s) de refus de participer aux opérations de dépistage ;
- les résultats et comptes rendus des examens, et, le cas échéant, les clichés d'imagerie ;
- les dates d'envoi des résultats au médecin et à la personne concernée ;
- les informations sur la prise en charge médicale effective permettant de vérifier l'entrée dans une filière de soins des personnes dont le test se serait révélé positif.
 
Article 4
Durée de conservation des données.
Les données relatives à la prise en charge des personnes concernées sont conservées par les structures en charge de la mise en œuvre des programmes de dépistage des cancers jusqu'à la fin du suivi, décidée par la personne elle-même ou son médecin. Ces durées doivent être conformes aux dispositions législatives et réglementaires en vigueur.
A l'expiration de ce délai, les données sont supprimées ou archivées sous une forme anonyme.
La conservation et l'archivage des données doivent être réalisés dans des conditions de sécurité conformes aux dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée.
 
Article 5
Destinataires des données.
Dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées, seules peuvent être habilitées à accéder aux données les personnes suivantes :
Pour les seules données relatives aux personnes qu'ils prennent en charge :
- les professionnels de santé ayant prescrit ou réalisé l'acte de dépistage ;
- le médecin coordinateur de la structure de gestion ;
- le médecin traitant ou le médecin désigné par la personne comme destinataire des résultats de l'examen de dépistage.
En outre, peuvent être destinataires des données relatives à ces personnes les personnels habilités :
- des centres de lecture associés aux programmes de dépistage ;
- des organismes d'assurance maladie, pour les seules données nécessaires à l'amélioration du processus d'invitation et au remboursement des soins dans des conditions conformes à l'article 3 du décret n° 2015-390 du 3 avril 2015 ;
- les médecins spécialistes ayant réalisé des examens complémentaires à la suite d'un test positif ;
- de l'Institut national du cancer et de l'Agence nationale de santé publique (Santé publique France) pour les seules données nécessaires à l'évaluation et au pilotage des programmes (données anonymes) ;
- des registres des cancers pour la caractérisation des lésions précancéreuses et des cancers et l'évaluation de leur incidence.
 
Article 6
Information et droits des personnes concernées.
Le responsable de traitement informe les personnes concernées de la mise en œuvre d'un traitement de données à caractère personnel ayant pour finalité la réalisation des opérations de dépistage organisé du cancer du sein, du cancer colorectal ou du cancer du col de l'utérus.
Cette information s'effectue selon les modalités suivantes :
- la structure de gestion invite par courrier la personne éligible au programme de dépistage à consulter son médecin traitant ou un professionnel de santé agréé. Le courrier de réponse joint à ce courrier contient une note d'information établie conformément à l'article 32-I de la loi du 6 janvier 1978 modifiée qui rappelle notamment les droits d'accès, de rectification et d'opposition reconnus par les articles 38 à 40. Cette note précise le service auprès duquel ces droits peuvent s'exercer ;
- le médecin traitant ou le professionnel de santé qui réalise l'examen de dépistage informe oralement les personnes concernées conformément à l'article 32-I de la loi. Il précise les modalités d'exercice des droits d'accès, de rectification et d'opposition précités ;
- cette information est également affichée dans les locaux des professionnels de santé participants et, le cas échéant, sur la feuille de demande d'examen.
S'agissant des professionnels de santé intervenant dans le programme de dépistage :
- les structures de gestion les informent du traitement de leurs données à caractère personnel conformément à l'article 32-I de la loi ;
- si une plateforme électronique est utilisée pour la communication des résultats, les professionnels de santé sont informés lors de leur connexion à cette plateforme selon les modalités prévues à l'article 32-I de la loi.
 
Article 7 
Sécurité des données et traçabilité des actions.
Conformément à l'article 34 de la loi informatique et libertés , le responsable du traitement prend toutes les précautions utiles pour préserver la sécurité et la confidentialité des données traitées, notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.
Le responsable de traitement définit une politique de sécurité adaptée aux risques présentés par les traitements et à la taille de l'organisme concerné. Cette politique doit décrire :
- les objectifs de sécurité ainsi que les mesures de sécurité physique, logique et organisationnelle permettant de les atteindre ;
- les habilitations d'accès aux données, en fonction du besoin des utilisateurs du système d'information, en particulier les mesures de restriction de l'accès à l'identité des professionnels de santé intervenant dans le programme, les modalités d'accès aux traitements, dont les mesures d'identification et d'authentification ;
- les dispositifs de contrôle des identifications et habilitations et les procédures de traçabilité des accès aux informations médicales, ainsi que l'historique des connexions ;
- les mesures de sécurité devant être mises en œuvre pour les transmissions de données.
Si le format électronique est utilisé par l'intermédiaire d'une plateforme électronique de recueil, d'échange et de mise à disposition des résultats :
- les personnes doivent créer un compte personnel afin de consulter les résultats. Leur adresse électronique pourra être collectée afin de permettre l'envoi d'un courriel contenant un lien permettant d'activer le compte et de vérifier que l'adresse électronique saisie est valide ;
- le contrôle d'accès au compte des professionnels de santé doit être opéré conformément aux dispositions de l'article L. 1110-4 du code de la santé publique qui impose une authentification forte de ces professionnels par l'utilisation d'une carte de professionnel de santé (CPS) ou d'un dispositif équivalent agréé par l'organisme chargé d'émettre la CPS, pour toute transmission ou tout accès aux données de santé ;