AgentPublic/cnil huggingface dataset:
utilisant sa carte d'assurance maladie. Le dispositif concernera l'ensemble des régimes obligatoires d'assurance maladie.   Ce relevé de données contiendra les informations nécessaires à l'identification des actes, produits ou prestations pris en charge pour les soins délivrés en ville ou en établissement de santé, le niveau de prise en charge par l'assurance maladie et, pour les patients atteints d'une affection de longue durée, les éléments constitutifs du protocole de soins visés à l'article L. 324-1, 7ème alinéa. II ne contiendra aucune information relative à l'identification des professionnels de santé prescripteurs.
Sur la gestion du dispositif technique par la CNAMTS   Le dispositif technique sera géré par la Caisse nationale d'assurance maladie des travailleurs salariés (CNAMTS) chargée de mettre en place un portail sécurisé permettant l'accès aux serveurs des organismes des différents régimes d'assurance maladie obligatoire.   La Commission prend acte qu'aucune base de données nouvelle ne sera créée et que la CNAMTS devra, dans le dossier de demande d'autorisation qui sera soumis à la Commission, détailler les spécifications techniques des programmes et mécanismes de sécurité mis en oeuvre, notamment en ce qui concerne le mode de chiffrement des flux d'informations, les mesures de protection renforcée qui devront entourer les données issues du protocole de soins et leur acheminement ainsi que la traçabilité des accès au service, tant en ce qui concerne l'historique des accès que le contenu des informations consultées.   En outre, chaque régime d'assurance maladie devra assurer une liaison sécurisée entre le portail géré par la CNAMTS et ses systèmes d'information et à ce titre soumettra à la CNIL un dossier de demande d'autorisation détaillant les mesures de sécurité qui seront mises en oeuvre pour assurer la confidentialité des échanges entre le portail et les systèmes d'information de chaque régime.   En conséquence, la Commission estime que :   - le deuxième alinéa de l'article R. 162-1-10 pourrait être complété comme suit : "Un service unique sécurisé inter-régimes sera créé à
cet effet",   - un nouvel alinéa pourrait être ajouté à l'article R. 162-1-10 au terme duquel : "Chaque régime d'assurance maladie obligatoire devra soumettre à la Commission nationale de l'informatique et des libertés une demande d'autorisation précisant les spécifications techniques et les mesures de sécurité mises en oeuvre pour garantir la confidentialité des échanges opérés entre le service unique géré par la caisse nationale d'assurance maladie des travailleurs salariés et les systèmes d'information de chaque régime".
Sur la nature des données collectées   Le relevé d'information comportera des éléments d'identification de l'assuré ou du bénéficiaire notamment son numéro de sécurité sociale ainsi que l'ensemble des actes et prestations pris en charge par l'assurance maladie, les dates de début et de fin des indemnités journalières servies et le lien éventuel avec une affection de longue durée. Les données seront accessibles pendant douze mois.   Toutefois, ne pourront apparaître que les données effectivement enregistrées dans les systèmes d'information de l'assurance maladie, à savoir les codes des médicaments effectivement délivrés ou des actes réalisés même s'ils diffèrent de la prescription.   Pour les patients atteints d'une affection de longue durée, des éléments constitutifs du protocole de soins seront disponibles, notamment le libellé générique de la ou des affections, les prescriptions du protocole actualisées, les actes et prestations concourant au traitement.   Dans la mesure où une même carte Vitale peut comporter plusieurs bénéficiaires (assuré et ayants droit), le médecin devra pouvoir accéder au relevé de chaque bénéficiaire de façon individualisée.   Cet accès individualisé apparaît indispensable pour assurer le respect du secret médical et de l'intimité de la vie privée. Dès lors, la Commission estime que le principe de l'individualisation des ouvrants droit et ayants droit devrait être prévu dans le décret. Il conviendrait en conséquence d'ajouter le terme
"individualisé" au premier alinéa de l'article R. 162-1-11 dont la rédaction deviendrait alors : "Le relevé individualisé mis à la disposition ...",
Sur l'information des personnes concernées   L'information sur les modalités de mise en oeuvre de ce dispositif devra être réalisée par les organismes relevant des différents régimes obligatoires d'assurance maladie.   Le médecin devra recueillir l'accord du patient préalablement à la consultation des données. Cet accord se matérialisera par la remise au praticien de sa carte d'assurance maladie.   Le refus du patient de donner au médecin l'accès à son relevé d'informations n'entraînera aucune conséquence en matière de remboursement.   Dès lors, le contenu de l'information qui sera délivrée au patient devra être sans ambiguïté et lui permettre de distinguer les différentes opérations (télétransmission, accès au relevé de prestations) qui sont réalisées avec sa carte Vitale.   Il devra en particulier être informé :   - de l'absence de conséquence financière en cas de refus de sa part de laisser le médecin consulter le relevé de prestation ;   - qu'en permettant au médecin de consulter son relevé d'information ce dernier aura accès à l'ensemble des données remboursées par l'assurance maladie, sans distinction possible selon la nature des soins prodigués et des prescriptions effectuées.   La Commission estime souhaitable d'ajouter dans la nouvelle rédaction prévue pour l'article R. 161-1-12 du code de la sécurité sociale, après les mots "d'en informer ses patients sur son lieu d'exercice" les mots : "par la remise d'une note d'information précisant en particulier les
conséquences attachées à la remise de la carte d'assurance maladie en matière d'accès au relevé de prestations et de télétransmission des feuilles de soins".
Sur les mesures de sécurité mises en oeuvre et les modalités d'exercice du droit d'accès   Pour consulter les données, le médecin s'identifiera et s'authentifiera au moyen de sa carte de professionnel de santé ou à défaut, d'un dispositif logiciel équivalent agréé par le GIP CPS. Ce dernier gérera également une liste de révocation afin de vérifier la validité des cartes électroniques ou du dispositif logiciel équivalent.   Le projet de décret prévoit que le droit d'accès s'exerce, pour le bénéficiaire des soins, auprès de sa caisse d'assurance maladie de rattachement ou auprès du contrôle médical pour les données issues du protocole de soins.   La Commission estime nécessaire de rappeler expressément que l'assuré ou l'ayant droit dispose également d'un droit d'accès aux données le concernant auprès du médecin qu'il consulte. Le droit de rectification s'exerce, le cas échéant, auprès de la caisse d'assurance maladie de rattachement ou du contrôle médical.
La Commission demande que :   - le dossier de demande d'autorisation présenté par la CNAMTS comporte, outre les éléments mentionnés dans le décret, l'ensemble des précisions énumérées à l'article 30 de la loi du 6 janvier 1978 et en particulier la nature exacte des données qui seront issues du protocole de soins pour les patients atteints d'une affection de longue durée (ALD) ainsi que l'architecture de dispositif et notamment les modalités d'alimentation du service par tous les organismes gestionnaires d'un régime obligatoire d'assurance maladie,   - dans la mesure où une même carte Vitale peut comporter plusieurs bénéficiaires (assuré et ayants droit), le médecin puisse accéder au relevé de chaque bénéficiaire de façon individualisée. Les fichiers des différents organismes d'assurance maladie devront être organisés en conséquence.   la note d'information remise au patient précise :   - Les modalités d'utilisation de la carte vitale afin de lui permettre de distinguer sans ambiguïté les différentes opérations qui seront réalisée avec la carte : télétransmission, accès au relevé de prestations,   - l'absence de conséquence en matière de remboursement en cas de refus de donner au médecin l'accès à son relevé d'information,   - le droit pour le médecin autorisé par le patient, de consulter son relevé d'information et d'avoir ainsi accès à l'ensemble des données remboursées par l'assurance maladie, sans aucune distinction,   - la possibilité pour l'assuré ou l'ayant droit
d'accéder aux données le concernant auprès du médecin qu'il consulte, le droit de rectification s'exerçant auprès de la caisse d'assurance maladie de rattachement ou du contrôle médical.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 24, II ;   Après avoir entendu M. Bernard Peyrat, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes ;   Les traitements de données à caractère personnel relatifs à la gestion des fichiers de fournisseurs comportant des données sur des personnes physiques étant des traitements courants ne paraissant pas susceptibles de porter atteinte à la vie privée des personnes, la Commission estime en conséquence qu'il y a lieu de faire application des dispositions de l'article 24 de la loi du 6 janvier 1978 modifiée et de dispenser ces traitements de toute formalité déclarative préalable.   Décide :   Article 1er   Sont dispensés de déclaration les traitements de données à caractère personnel relatifs à la gestion des fichiers de fournisseurs comportant des données sur des personnes physiques qui répondent aux conditions suivantes.   Article 2 : Finalité des traitements   Les traitements doivent avoir pour seules fonctions :   - d'effectuer les opérations administratives liées ;   . aux contrats,   . aux commandes,   . aux réceptions,   . aux factures,   . aux règlements,   . à la comptabilité pour ce qui a trait à la gestion des comptes fournisseurs,   - d'éditer les titres de paiement (traites, LCR, chèques, billets à ordre) ;   - d'établir des statistiques financières et de chiffre d'affaires par fournisseur ;   - de fournir des sélections de fournisseurs pour les besoins de l'entreprise ou de l'organisme ;   - d'entretenir une documentation sur les fournisseurs.   Les informations traitées ne peuvent être utilisées que dans le cadre des
finalités prévues à l'article 2 de la norme. La présente norme exclut dès lors l'utilisation des données collectées à des fins de prospection commerciale.
Article 3 : Données traitées   Les données traitées pour la réalisation des finalités décrites à l'article 2 sont :   a) identité : nom ou raison sociale, prénoms, adresse (siège social, lieu de facturation), code d'identification comptable, téléphone, fax, adresse de courrier électronique, numéro SIREN ;   b) vie professionnelle : profession, catégorie économique, activité;   c) éléments de la facturation et du règlement : les abonnements, article, produit, service faisant l'objet de l'abonnement, périodicité, montant, conditions :   - les commandes et les factures, articles, produits, services faisant l'objet de la commande et de la facture, quantité, prix, numéro, date et montant de la commande et de la facture, échéance de la facture, conditions de livraison ;   - paiement, conditions et modalités de règlement (moyen de paiement, références bancaires ou postales, remises, acomptes, ristournes), conditions de crédit, durée ;   - impayés, avoirs, reçus ;   - retenues ou oppositions.
Article 4 :  Durée de conservation   Les données à caractère personnel recueillies à l'occasion de ce traitement sont conservées conformément aux dispositions légales applicables.   Article 5 :  Destinataires des informations   Peuvent seuls dans les limites de leurs attributions respectives être destinataires des informations :   - les personnels chargés du service des achats, des services administratifs et comptables, leurs supérieurs hiérarchiques, ainsi que les personnes liées contractuellement à l'entreprise ou à l'organisme pour assurer sa comptabilité ;   - les personnes chargées du contrôle (commissaire aux comptes, experts-comptables, service chargé des procédures internes de contrôle) ;   - les entreprises extérieures liées contractuellement pour l'exécution du contrat ;   - les organismes publics, exclusivement pour répondre aux obligations légales ;   - les auxiliaires de justice et les officiers ministériels dans le cadre de leur mission de recouvrement de créances ;   - les organismes financiers teneurs des comptes mouvementés.   Article 6 : Information des personnes concernées   Les personnes concernées sont informées de l'identité du responsable du traitement, des finalités poursuivies par le traitement, du caractère obligatoire ou facultatif des réponses à apporter, des conséquences éventuelles, à leur égard, d'un défaut de réponse, des destinataires des données, de leur droit d'opposition et de rectification ainsi que des modalités d'exercice de leurs
droits.   Article 7 : Sécurités   Le responsable du traitement est tenu de prendre toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.
Article 8 : Transmissions de données vers des pays tiers à la Communauté européenne   Ne peuvent prétendre au bénéfice de l'exonération les traitements automatisés comportant la transmission de données à caractère personnel vers des pays tiers à l'Union européenne, y compris lorsque cette transmission est réalisée à des fins de sous-traitance. Ces traitements font l'objet de formalités déclaratives préalables auprès de la CNIL dans les conditions prévues par la loi du 6 janvier 1978 modifiée.   Article 9 : Effets de la dispense de déclaration Les traitements répondant aux conditions visées aux articles 2 à 8 peuvent être mis en oeuvre sans délai et sans déclaration préalable auprès de la CNIL.   La dispense de déclaration n'exonère le responsable de tels traitements d'aucune de ses autres obligations prévues par les textes applicables à la protection des données à caractère personnel.   Article 10   La norme simplifiée n° 14 établie par la délibération n° 80-033 du 21 octobre 1980 est abrogée.   Article 11   La présente délibération est publiée au Journal officiel de la République française.   Le président, Alex TURK.
La Commission nationale de l'informatique et des liberés,   Saisie, le 16 décembre 2004, d'une demande d'autorisation par l'Association de gestion du réseau e-santé Bas-Normand de mise en place d'une plate forme régionale d'information de santé ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;   Après avoir entendu M. François Bernard, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations.
Autorise l'association de gestion du réseau e-santé Bas-Normand à mettre en place une plate forme régionale d'information de santé, dénommée PRISM, afin notamment d'améliorer la qualité des soins et limiter les redondances des prestations médicales, mutualiser des données médico-administratives fiables et permettre l'utilisation d'un dossier médical partagé entre la ville et l'hôpital.   Le système d'information du réseau repose sur internet et un réseau sécurisé santé. Les données appelées à circuler bénéficient d'un haut niveau de sécurité : protocole HTTPS avec un chiffrement des données de type SSL sur 128 bits et un lien de type VPN (Virtual Private Network) entre les établissements et la plate-forme. L'accès au réseau est protégé par la carte de professionnel de santé ou un identifiant plus mot de passe personnel attribué par l'administrateur du réseau dans des conditions strictes de confidentialité. Une traçabilité de l'ensemble des connexions est prévue.   La Commission prend acte du recueil de l'accord préalable du patient à tout échange de données le concernant. Toutefois, en cas d'urgence, justifiée par la sauvegarde de la vie humaine, le recueil préalable du consentement de la personne ne sera pas requis.   Le droit d'accès défini au chapitre V de la loi s'exerce auprès du professionnel de santé en contact direct avec le patient.   Les catégories de données à caractère personnel enregistrées sont relatives à l'identité du patient et aux éléments constitutifs
du dossier médical.   Les informations sont conservées dans l'application tant que le patient adhère au réseau. A l'issue de cette période, les données doivent être archivées conformément à la réglementation en vigueur.   La société BULL, hébergeur du site, devra se soumettre à la procédure d'agrément des hébergeurs de données instituée à l'article L. 1111-8 du Code de la santé publique lorsque le décret d'application sera paru.   Les destinataires des données sont les professionnels de santé participant au réseau pour les informations relatives à leurs patients et avec le consentement de ces derniers.   Le président, Alex TURK.
Saisie par le ministre de la justice d'un projet de décret en Conseil d'Etat, pris pour l'application de la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;   Après avoir entendu M. Alex Türk, président, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :   La Commission nationale de l'informatique et des libertés a été saisie, le 10 mars 2005, par le ministre de la justice, du décret pris pour l'application de la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. L'article 71 de ce dernier texte prévoit en effet la consultation de la CNIL préalablement à l'examen en Conseil d'Etat.   En préambule, la Commission observe que le projet de décret, encore incomplet, qui lui est soumis comporte 78 articles et entre dans le détail de l'organisation, du fonctionnement et des procédures de la CNIL.  Or l'article 13 de la loi du 6 janvier 1978 modifiée dispose dans son dernier alinéa que "La commission établit un règlement intérieur. Ce règlement fixe les règles relatives à l'organisation et au fonctionnement de la commission. Il précise notamment les règles relatives aux délibérations, à l'instruction des dossiers et à leur présentation devant la commission alors que l'article 8 de la loi de 1978 dans sa version antérieure à la loi du 6 août 2004 se bornait à dire que la Commission établit "son règlement intérieur".   Certes l'article 71 de la loi du 6 janvier 1978 modifiée prévoit que "des décrets en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, fixent les modalités
d'application de la présente loi". Il semble néanmoins à la Commission que les termes de l'article 13 auraient pu conduire à limiter plus étroitement l'intervention du pouvoir règlementaire dans des matières que le législateur a expressément renvoyées au règlement intérieur de la CNIL. Toutefois, à ce stade du processus d'élaboration du décret et compte tenu du fait que les services de la CNIL ont été étroitement associés par le ministère de la justice à la rédaction du texte soumis à la concertation interministérielle, la Commission laisse à cette observation un caractère général et ne propose pas de modifications qui en soient la traduction.   Elle demande en revanche que les modifications présentées sous forme d'amendements dans la suite de la présente délibération soient apportées au texte qui lui a été soumis.
Chapitre Ier : Organisation et fonctionnement de la Commission   Article 2 Règles de quorum   Dans le dernier alinéa de cet article, substituer aux mots "à l'alinéa précédent" les mots "aux alinéas précédents"   Exposé des motifs   Amendement rédactionnel   Article 4 Rattachement au budget du ministère de la justice   Rédiger ainsi le premier alinéa de cet article   "Les crédits nécessaires au fonctionnement de la commission sont inscrits au budget du ministère de la justice dans des conditions qui garantissent l'autonomie de la commission et qui font l'objet d'une convention avec ce ministère."   Exposé des motifs   Cet amendement tire d'abord les conséquences de la disparition de la notion de chapitre budgétaire puisqu'en fait l'individualisation des crédits de la CNIL se fait désormais dans une action au sein d'un programme du ministère de la justice.   En second lieu il pose le principe du maintien de l'autonomie actuelle de gestion de la CNIL par rapport au responsable du programme auquel elle est rattachée, conformément aux engagement qui ont été donnés au président de la CNIL lors de la définition de la nouvelle architecture du budget de l'Etat. Cette autonomie pourrait être formalisée dans une convention entre la CNIL et le ministère de la justice.
Titre II : Des formalités préalables à la mise en oeuvre des traitements de données à caractère personnel   Chapitre Ier : Dispositions générales   Article 7 Modalités d'envoi et de réception des dossiers de formalités   Dans la dernière phrase de cet article remplacer les mots "ou qu'elle fait l'objet d'un examen en séance plénière" par les mots "et qu'elle fait l'objet d'un examen en séance plénière"   Exposé des motifs   Compte tenu du nombre de dossiers de formalités présentés par le secteur public (plus de 5000 par an) et du pourcentage important de dossiers relevant désormais du régime de la déclaration, notamment simplifiée, il est proposé de ne prévoir la transmission systématique au commissaire du gouvernement que des copies de dossiers de formalités du secteur public faisant l'objet d'un examen en séance plénière.