AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés, Saisie par la ministre des affaires sociales et de la santé d'une demande d'avis concernant un projet d'arrêté portant création d'un portail de téléservices, dénommé e-services cartes & certificats , permettant de simplifier les démarches des acteurs des secteurs de la santé et du médico-social relatives à la commande et la gestion des produits de certification ; Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code de la santé publique, notamment ses articles L. 1110-4 et R. 1110-1 à R. 1110-3 ; Vu le code de la sécurité sociale, notamment ses articles L. 161-33 et R. 161-52 à R. 161-58 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2012-1117 du 2 octobre 2012 relatif à l'intégration de la carte de professionnel de santé dans le monopole de l'Imprimerie nationale ; Vu l'arrêté du 6 février 2009 portant
création d'un traitement de données à caractère personnel dénommé Répertoire partagé des professionnels de santé (RPPS) ; Vu l'arrêté du 12 juillet 2012 relatif à la mise en place d'un traitement de données à caractère personnel dénommé ADELI de gestion de l'enregistrement et des listes départementales de certaines professions et usages de titres professionnels ; Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement, Emet l'avis suivant : La Commission nationale de l'informatique et des libertés a été saisie par le ministère des affaires sociales, de la santé et des droits des femmes d'une demande d'avis portant sur un projet d'arrêté relatif à la mise en œuvre d'un portail de téléservices, désigné sous le nom de e-services cartes & certificats , relatifs à la gestion et à la délivrance des produits de certification. Ce projet prévoit que les acteurs des secteurs de la santé et du médico-social auxquels s'adressent les produits de certification délivrés par l'Agence des systèmes d'information partagés de santé (ASIP Santé) seront identifiés pour la connexion au portail et pour l'accomplissement des différentes démarches relatives à la gestion des produits de certification par un identifiant dont la détermination résulte de procédures de certification de l'identité propres à chaque catégorie d'utilisateurs. Le portail donne ainsi accès à des téléservices de l'administration dans les conditions visées à l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation par arrêté ministériel pris après avis motivé et publié de la commission, les traitements mis en œuvre par l'Etat ou des personnes morales de droit public aux fins de mettre à la disposition des usagers de l'administration un ou plusieurs téléservices de
l'administration électronique, si ces traitements portent sur des données parmi lesquelles figurent le numéro d'inscription des personnes au répertoire national d'identification ou tout autre identifiant des personnes physiques . Sur la finalité du traitement : Ce portail de téléservices a pour finalité de simplifier les démarches des acteurs des secteurs de la santé et du médico-social, relatives à la commande des produits de certification, et leur permettre d'accéder, dans la limite de leurs droits, aux différents services proposés par l'ASIP Santé relatifs à la gestion de ces produits. Ce portail est développé par l'ASIP Santé dans le cadre de ses missions relatives à la certification, la production, la gestion et le déploiement de la carte de professionnel de santé (CPS) et, plus généralement, de tous les dispositifs assurant les fonctions d'identification, d'authentification, de signature et de chiffrement permettant aux professionnels concernés de faire reconnaître, dans les conditions de sécurité et de confidentialité requises, leur identité et leurs qualifications professionnelles par les systèmes d'information et d'échanges électroniques qu'ils utilisent. Ces missions sont mentionnées à l'article 2 de la convention constitutive de l'ASIP Santé, approuvée, en dernier lieu, par arrêté du 18 septembre 2013. La mise en œuvre de ce portail vise à prendre en compte les nouveaux usages de ces dispositifs dans le but d'une sécurisation accrue des échanges et du partage de
données de santé à caractère personnel, conformément aux dispositions des articles L. 1110-4 et R. 1110-1 à R. 1110-3 du code de la santé publique. Le développement de téléprocédures en la matière permettra également de simplifier les circuits de commande de produits de certification et d'améliorer le service rendu aux utilisateurs. La mise en œuvre de ce portail de téléservices devrait être effectuée selon une trajectoire développée par étapes. La commission prend acte de ce que la présente demande d'avis porte sur la version initiale du projet, destinée à permettre aux usagers d'accéder par internet aux services suivants :
- le téléservice de commande et de gestion des produits de certification, destiné aux structures de soins et aux structures autorisées par l'ASIP Santé ; - le téléservice de commande de carte pour les personnels employés par les professionnels de santé libéraux enregistrés dans le Répertoire partagé des professionnels de santé (RPPS) ; - le téléservice de télémise à jour de cartes destiné aux porteurs de carte CPX ; - le téléservice de commande et de gestion de certificats logiciels à destination des professionnels de santé, des structures de soins et des structures autorisées par l'ASIP Santé.
La commission estime que les finalités du traitement sont déterminées, explicites et légitimes au sens de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée. Elle prend acte de ce que la poursuite du projet sera subordonnée à l'accomplissement de nouvelles formalités auprès de la CNIL. Sur les modalités de fonctionnement du dispositif : L'utilisateur du portail sera guidé vers la procédure de commande de produits de certification correspondant à sa qualité et à ses besoins. En l'attente d'une dématérialisation complète de la procédure de demande de produits de certification, la saisie de formulaires papier, accessibles dans la bibliothèque de formulaires du portail, sera maintenue. Les utilisateurs seront également en mesure de transmettre leur demande de façon dématérialisée. Les téléservices du portail s'appuieront sur le système d'information de l'ASIP Santé, dit SI CPS , pour, d'une part, vérifier en amont l'identité des utilisateurs de produits de certification à partir des données provenant du référentiels d'identité des acteurs de santé et, d'autre part, mettre en œuvre les règles de délivrance et de production des produits de certification. Les données fournies par l'utilisateur et collectées par les téléservices de commande de cartes seront transmises et conservées dans le SI CPS. Le cas échéant, elles sont complétées par les données d'assurance maladie (DAM) nécessaires pour l'élaboration des feuilles de soins électroniques par les professionnels de santé et
transmises par le système d'information de la Caisse nationale d'assurance maladie des travailleurs salariés. Le SI CPS de l'ASIP Santé est interfacé avec le système de l'Imprimerie nationale (IN), désormais chargé de la production des produits de certification et de leur envoi aux porteurs, en application du décret n° 2012-1117 du 2 octobre 2012. Sur les données traitées : Les données traitées pour chacun des téléservices sont mentionnées à l'article 2 du projet d'arrêté. Les données relatives aux utilisateurs du service (usagers ou salariés) concernent l'identité des porteurs de carte (nom, prénom, adresse, date et lieu de naissance) et leur activité professionnelle (profession, situation d'exercice, informations relatives à la structure...). En outre, les acteurs des secteurs de la santé et du médico-social, à qui s'adressent les produits de certification délivrés par l'ASIP Santé, sont identifiés par :
- leur numéro RPPS ou leur numéro ADELI pour les professionnels de santé ; - leur numéro de matricule pour les salariés ne figurant pas dans le RPPS (il s'agit de l'identifiant fourni par et sous la responsabilité des employeurs) ; - leur numéro de matricule pour les représentants légaux de structures du secteur sanitaire et médico-social et les représentants légaux des structures ne relevant pas de ces secteurs mais autorisées par l'ASIP Santé, après instruction, à disposer de produits de certification.
La mise en œuvre des téléservices accessibles via le portail ne nécessite pas le traitement de données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée. La commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, Sur les destinataires : Ont accès à la totalité ou à une partie des données mentionnées à l'article 2 les personnes identifiées dans le cadre du service de publication du référentiel d'identité des acteurs de santé, à raison de leurs missions et dans la mesure strictement nécessaire à l'exercice de celles-ci. La commission relève que tous ces agents font l'objet d'une habilitation spéciale par leur responsable hiérarchique et que les personnes chargées du recueil et du traitement sont en nombre limité. Les données relatives aux porteurs de certificats émis par l'ASIP Santé font également l'objet d'une publication à destination du public. Les données de journalisation (identifiants des terminaux, horodatage) sont accessibles aux administrateurs du traitement et leur accès est limité aux demandes du RSSI. La commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées. Sur la durée de conservation des données : La durée de conservation des formulaires et dossiers de demande de CPS est fixée à trente ans. Les demandes écrites de révocation des CPS ainsi que les justificatifs d'identité associés, obtenus par fax ou par courrier, sont conservés
pendant cinq ans. La commission relève que ces durées ont été définies conformément aux règles qui régissent le délai de prescription de l'action en responsabilité relative aux contrats civils. Les données de journalisation sont conservées pendant six mois, ce qui apparaît conforme aux recommandations de la commission. Dans ces conditions, la commission considère que les durées de conservation sont proportionnées au regard des finalités du traitement. Elle relève, en outre, que l'ASIP Santé a initié des travaux de refonte de la politique d'archivage, en collaboration avec le service des Archives de France, et prend acte de ce qu'elle sera informée de l'issue de ces travaux. Sur les droits des personnes concernées : L'information des utilisateurs du portail sur le fonctionnement du dispositif et sur les droits qui leur sont ouverts au titre de la loi du 6 janvier 1978 modifiée sera effectuée :
- par une mention d'information, conforme aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, portée sur le site internet du portail et sur le site internet de l'ASIP Santé qui comportera un espace dédié aux produits de certification et publiera, notamment, les conditions générales d'utilisation du service ; - par des actions de communication à destination des professionnels concernés.
 Ces modalités d'information n'appellent pas d'observation. Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent :
 - auprès des autorités d'enregistrement compétentes, pour les professionnels de santé enregistrés dans le RPPS ; - auprès de l'agence régionale de santé ou de la direction départementale chargée de la cohésion sociale territorialement compétente, pour les professionnels de santé enregistrés dans le répertoire ADELI ; - auprès de l'ASIR Santé, pour tous les autres titulaires de certificat.
La commission relève que les modalités d'exercice des droits d'accès et de rectification sont précisées dans la charte d'accès au service de publication et les conditions générales d'utilisation des produits de certification. La commission relève que, s'agissant des professionnels de santé enregistrés dans le RPPS et dans le répertoire ADELI , le projet d'arrêté prévoit que le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 modifiée ne s'applique pas en l'espèce, dans la mesure où les fichiers précités revêtent un caractère obligatoire pour les professionnels de santé en application des arrêtés qui les régissent. Tous les autres titulaires de certificat peuvent exercer leur droit d'opposition en demandant leur inscription sur liste rouge. La commission considère que ces dispositions permettent l'exercice effectif des droits ouverts au titre de la loi du 6 janvier 1978 modifiée. Sur la sécurité des données et la traçabilité des actions : Les téléservices du portail sont hébergés par deux prestataires différents : la société BT Services SA et l'Imprimerie nationale. La commission observe que l'usager se connecte aux téléservices au moyen d'une authentification forte, par l'usage d'une carte à puce (carte CPX) assortie de la saisie d'un code PIN. La commission relève que la connexion aux applications est effectuée via un protocole sécurisé de type HTTPS permettant de garantir la confidentialité des données échangées, et que seuls les agents spécifiquement
habilités ont accès au traitement. L'accès au service de révocation du certificat logiciel de la personne physique est également possible à l'aide d'un mot de passe (de huit caractères minimum avec des caractères de types différents), associé à la réponse à deux questions secrètes. La commission relève que le mot de passe est d'une complexité suffisante, mais que le renouvellement régulier du mot de passe n'est pas imposé dans la mesure où ce mot de passe est utilisé de façon exceptionnelle et exclusivement à des fins de révocation d'un certificat et ne donne accès à aucune donnée. Dans ces conditions, la commission estime que les risques de compromission et d'usage illégitime du service de révocation d'un certificat sont limités. La commission relève que les mesures de sauvegarde des données sont effectuées par les prestataires techniques. La sécurité de ces données est assurée par des contrôles d'accès aux locaux physiques qui font par ailleurs l'objet d'audits de sécurité réguliers. Par ailleurs, une journalisation est effectuée sur les accès à l'application et aux fichiers de données. La commission rappelle que la mise en ligne des téléservices doit être conforme au référentiel général de sécurité (RGS), conformément aux dispositions du décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les
autorités administratives. La commission relève que l'ASIP Santé réalise une étude des risques en suivant la méthodologie EBIOS (méthode de gestion des risques de l'Agence nationale de la sécurité des systèmes d'information) sur le périmètre de la première version du portail et que cette étude est mise à jour pendant la durée de vie du projet. Afin de compléter ce dispositif, un audit de sécurité est également effectué avant la mise en production. La commission demande à être rendue destinataire de la version définitive de l'étude EBIOS, lorsque celle-ci sera achevée. Sous réserve des observations précitées, la commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'article 34 de la loi du 6 janvier 1978 modifiée. La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la présidente et par délégation : Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ; 
Etant aussi présents MM. Jean-Marie COTTERET, Claude DOMEIZEL, Sébastien HUYGHE et Dominique RICHARD, membres ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la décision n° 2010-122C du 22 avril 2010 du Président de la Commission nationale de l'informatique et des libertés ordonnant une mission de vérification auprès de la société X ; 
Vu le procès-verbal de contrôle sur place n°2010-154 du 6 mai 2010, signé contradictoirement par la société ; 
Vu le rapport de M. Jean-Paul AMOUDRY, commissaire rapporteur, notifié par porteur à la société X, le 13 mai 2011, joint au courrier de convocation à la séance de la formation restreinte du 16 juin 2011 ;
Vu le courrier adressé à la Présidente de la formation restreinte par Maître A, conseil de la société X, le 15 juin 2011, indiquant que la société, n'ayant pas eu connaissance de la convocation à la séance en raison d'un dysfonctionnement interne, sollicitait la fixation d'un nouveau calendrier pour la date de communication des observations en réponse de la société ainsi que pour la date de la séance ; 
Vu le courrier adressé à Maître A par la Présidente de la formation restreinte, le 16 juin 2011, lui indiquant sa décision de maintien de la séance de la formation restreinte de ce même jour ; 
Vu les premières observations orales présentées par Maître A lors de la séance de la formation restreinte du 16 juin 2011, et le renouvellement de sa demande de renvoi de l'audience ; 
Vu la décision de la formation restreinte d'accéder à cette demande de renvoi, après en avoir délibéré, lors de la séance du 16 juin 2011 ; 
Vu le courrier adressé le 21 juin 2011 par la Présidente de la formation restreinte à Maître A, l'informant de l'inscription de l'affaire à l'ordre du jour de la séance du 5 juillet 2011 à 14h30 ; 
Vu le mémoire complémentaire adressé par le conseil de la société, le 27 juin 2011, en vue de la séance de la formation restreinte du 5 juillet 2011 ; 
Vu les autres pièces du dossier ;
Ayant entendu, lors des réunions de la formation restreinte du 16 juin et du 5 juillet 2011 : - M. Jean-Paul AMOUDRY, commissaire, en son rapport ;- Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;- Maître A et Maître B, conseils de la société X, en la présence des représentants de cette dernière ;
Les représentants de la société mise en cause ayant pris la parole en dernier, 
A adopté la décision suivante : 
I. FAITS ET PROCÉDURE
La société X (ci-après la société ) est une holding spécialisée dans l'administration de biens immobiliers (syndic de copropriété, gestion locative et transactions), détenue par le groupe Y. Elle possède un réseau de 600 agences immobilières (franchises et filiales) réparties sur l'ensemble du territoire français. 
En application de la décision n° 2010-122 C du 22 avril 2010 du président de la Commission nationale de l'informatique et des libertés (ci-après CNIL ou la Commission ), une délégation de la CNIL a procédé à une mission de contrôle sur place, le 6 mai 2010, auprès de la société.
La délégation s'est attachée à examiner plusieurs traitements de données à caractère personnel mis en œuvre au sein de la société, notamment celui relatif à l'administration des biens et celui afférent à la gestion des transactions. Elle a relevé que la société propose aux agences filiales et franchisées des outils métiers utilisés dans le cadre de ces traitements, et qu'à ce titre elle pilote, gère, maintient et héberge l'ensemble des bases de données associées à ces outils. 
Lors de ce contrôle, la délégation a notamment procédé à une extraction des zones commentaires de l'outil [...] utilisé pour les opérations de vente et de location, afin de recenser les biens disponibles. Lors de l'analyse des fiches relatives à des opérations de location et de transaction, contenues dans les bases de données des filiales de la société, des commentaires de nature répréhensible ont été recensés par la délégation. 
Sur la foi des constats effectués lors de ce contrôle, le Président de la Commission a désigné M. Jean-Paul AMOUDRY, Commissaire, membre de la CNIL, en qualité de rapporteur, afin d'engager à l'encontre de la société une procédure de sanction fondée sur le I de l'article 45 de la loi du 6 janvier 1978 modifiée.
A l'issue de son instruction, estimant que la société avait manqué à plusieurs obligations lui incombant en application de la loi du 6 janvier 1978 modifiée, le rapporteur détailla chacun des manquements reprochés à la société dans un rapport notifié par porteur à la société le 13 mai 2011. Aux termes de ce rapport, le rapporteur a demandé à la formation restreinte de la Commission de prononcer à l'encontre de la société un avertissement, dont il a par ailleurs sollicité qu'il soit rendu public. 
La société, par courrier en date du 27 juin 2011, a adressé à la Commission ses observations sur le rapport. Elle a également présenté ses observations orales lors de la séance de la formation restreinte du 16 juin 2011, puis lors de la séance du 5 juillet 2011. 
II. MOTIFS DE LA DÉCISION
1. Sur la qualité de responsable de traitement de la société X
L'article 3 de la loi du 6 janvier 1978 modifiée en août 2004 dispose que le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens . 
L'article 35 de cette même loi dispose, quant à lui, que toute personne traitant des données à caractère personnel pour le compte du responsable du traitement est considérée comme un sous-traitant au sens de la présente loi .
En premier argument de défense, la société affirme qu'aucun des commentaires relevés lors du contrôle ne correspond aux activités de la société X proprement dite, ceux-ci figurant exclusivement dans les traitements réalisés au sein des filiales du groupe. Si, selon elle, la société X détient bien un contrôle capitalistique sur les filiales, elle n'exerce en revanche aucun contrôle d'activité ou de gestion sur leurs actions. 
De plus, elle invoque le fait qu'elle n'exerce pas d'activité de location ou de gestion de copropriété, mais des activités de support pour les entités et de relations-investisseurs, pour lesquelles elle n'utilise pas les applications litigieuses. Elle n'aurait, à ce titre, aucune relation avec les propriétaires, les bailleurs ou encore les locataires, ces relations étant du ressort et de la responsabilité des agences. 
En outre, la société indique que les données collectées par les agences ne sont pas intégrées dans une base unique centralisée utilisée par X pour des finalités propres mais dans des environnements logiques séparés logiquement où chacune des agences dispose de son propre environnement étanche, rendant impossible le fait, pour une agence, d'accéder aux données d'une autre agence.
De ce fait, elle soutient qu'elle ne saurait être considérée comme déterminant les finalités et les moyens des traitements litigieux, ni donc comme responsable de traitement au sens de l'article 3 susmentionné.