AgentPublic/cnil huggingface dataset:
Dans les conditions générales d'utilisation, le professionnel de santé s'engage à mettre en place un système de verrouillage automatique de son terminal après cinq minutes d'inactivité. En outre, les sessions sont verrouillées automatiquement après quinze minutes d'inutilisation.
Les authentifications et accès aux données des patients sont tracés.
Les transferts de données sont sécurisés par l'utilisation du protocole TLS ou de réseaux virtuels privés.
Les données d'identification des patients sont conservées chiffrées.
Les disques serveurs sont détruits physiquement avant la mise en rebut.
S'agissant des photographies des plaies, les données de localisation pouvant être contenues dans les données EXIF seront supprimées.
Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont conformes aux exigences de l'article 34.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données des utilisateurs sont conservées selon les modalités suivantes :
- au maximum un mois après la cessation de l'utilisation de l'application manifestée par la clôture de son compte par un utilisateur ;
- si la cessation de l'utilisation de l'application n'est pas manifestée par la clôture du compte de l'utilisateur, pendant une durée de six mois à compter de la dernière connexion à son compte de l'utilisateur.
Les données des patients sont conservées pendant une durée de vingt-quatre mois à compter de la dernière action de l'utilisateur sur la fiche patient ou la fiche plaie d'un patient. En outre, les données sont automatiquement supprimées six mois à compter de la dernière connexion de l'utilisateur à l'origine d'une fiche patient. Passé ce délai, elles seront supprimées.
Autorise, conformément à la présente délibération, la société URGO à mettre en œuvre le traitement susmentionné.
La Présidente 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés ; 
Saisie par le ministère de la défense d'une demande d'avis sur un projet d'arrêté autorisant le ministère de la défense à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle des exportations hors de l'Union européenne de matériels de guerre et de matériels assimilés et le contrôle des transferts intracommunautaires de produits liés à la défense ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la défense, notamment ses articles L. 2335-2 à L. 2335-18 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-I-1° et 27-II-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 18 juin 2009 modifié portant création par la direction générale de la modernisation de l'État d'un téléservice dénommé  mon.service-public.fr  ;
Vu l'arrêté du 27 juin 2012 modifié relatif à la liste des matériels de guerre et matériels assimilés soumis à une autorisation préalable d'exportation et des produits liés à la défense soumis à une autorisation préalable de transfert ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Sébastien HUYGHE, commissaire, et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
 
Formule les observations suivantes :
Sur le responsable du traitement
La direction générale de l'armement du ministère de la défense. 
Sur les finalités
Le traitement dénommé  SIGALE  a pour finalités, d'une part, le contrôle des exportations hors de l'Union européenne de matériels de guerre et de matériels assimilés et, d'autre part, le contrôle des transferts intracommunautaires de produits liés à la défense. 
 
Dans le cadre de ce contrôle, le traitement permet également la délivrance des autorisations (appelées  licences ) d'exportations  et de transferts de matériel et produits, ainsi que le contrôle a posteriori des opérations effectuées. Ces licences sont délivrées conjointement par le ministère de la défense, le Secrétaire général de la défense et de la sécurité nationale (SGDSN) et le ministère des affaires étrangères. Etant donné que ce traitement intéresse la défense et la sûreté de l'État, il a lieu de faire application de l'article 26-I-1° de la loi du 6 janvier 1978 modifiée.
Afin de délivrer les licences, l'application SIGALE sera accessible aux personnes souhaitant effectuer une demande de licence par le biais du portail Internet  mon.service-public.fr . Le traitement est donc un téléservice de l'administration électronique, soumis aux dispositions du 4° de l'article 27-II de la loi du 6 janvier 1978 modifiée.
 
Le traitement SIGALE doit donc faire l'objet d'un arrêté ministériel, sur le fondement conjoint des articles précités, pris après avis motivé et publié de la Commission. 
Sur les données traitées
Les catégories de données à caractère personnel traitées concernent, d'une part, l'identité de la personne qui sollicite une licence et, d'autre part, la situation professionnelle des agents de l'Etat et des exportateurs. Les données relatives aux opérations d'exportation et de transfert intracommunautaire (type de matériel, quantité, nature et date de fin de la validité) sont également enregistrées dans SIGALE.
 
Les données relatives à la personne sollicitant une licence sont le nom, le prénom et un identifiant. Ces données sont complétées par les données relatives à la société exportatrice, à savoir sa raison sociale et la fonction occupée par le demandeur.
La connexion à la plateforme SIGALE par le biais du portail mon.service-public.fr nécessite l'utilisation d'un identifiant qui sera traité dans le traitement. La Commission rappelle que l'identifiant d'une personne physique, employée d'une société demandant la licence, ne doit pas être utilisé pour réaliser l'accès au traitement SIGALE. Il est nécessaire que seul l'identifiant de la personne demandant directement la licence soit fourni, et non pas celui d'un de ses subordonnés. 
 
Enfin, des données relatives aux agents de l'Etat ayant accès au traitement dans le cadre de leur mission sont conservées et concernent leur affectation, numéro de téléphone et courriel.
 
La durée de conservation de l'ensemble de ces données  est de dix à ans à compter de la fin de l'année civile au cours de laquelle l'exportation a eu lieu, conformément aux dispositions de l'article L. 2335-6 du Code de la défense.
 
Les données traitées dans SIGALE sont donc adéquates, pertinentes et non excessives, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires
Les personnes ayant directement accès au traitement SIGALE, à raison de leurs attributions et dans la limite du besoin d'en connaître, sont les agents des services du ministère de la défense chargés du contrôle des exportations de matériels de guerre et assimilés et des transferts intracommunautaires de produits liés à la défense. Ces accédants sont habilités par la direction générale de l'armement du ministère de la défense.
 
En outre, à raison de leurs attributions respectives et dans la limite du besoin d'en connaître, certaines personnes dûment habilitées peuvent être destinataires de tout ou partie des données à caractère personnel du traitement SIGALE : 
•-       les agents du SGDSN chargés des autorisations d'exportation et de transfert intracommunautaire ;
•-       les agents de la direction des affaires financières du ministère des affaires étrangères chargés des autorisations d'exportation et de transfert intracommunautaire ;
•-       les agents de la direction générale du trésor et de la direction générale des douanes et des droits indirects du ministère de l'économie et des finances, chargés des autorisations d'exportation et de transfert intracommunautaire  et du contrôle a posteriori.
Sur l'information et le droit d'accès
La Commission prend acte que les personnes concernées par le traitement, aussi bien les agents de l'Etat que les demandeurs d'une licence, sont informées de l'objet du traitement et de leurs droits, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée.
 
La Commission prend acte que l'article 7 du projet d'arrêté prévoit que le droit d'accès s'exerce de manière indirecte auprès de la Commission nationale de l'informatique et des libertés, sur le fondement de l'article 41 de la loi du 6 janvier 1978 modifiée, compte tenu du caractère hautement sensible du traitement pour la sûreté de l'Etat et la défense nationale. 
Sur les mesures de sécurité
Le responsable de traitement impose une authentification des utilisateurs agents de l'Etat par carte à puce délivrée par une autorité certifiée par le ministère de la défense, afin de garantir la sécurité des accès aux seules personnes dûment habilitées.
De plus, l'application web est déployée sur les réseaux sensibles et classifiés du ministère et a fait l'objet d'une analyse de risques ayant notamment conduit à l'adoption du protocole https pour l'ensemble des échanges web.
L'accès par les demandeurs d'une licence se fait par l'intermédiaire du téléservice  mon.Service-Public.fr , qui a notamment fait l'objet de la délibération n° 2011-110 du 28 avril 2011 dans laquelle la Commission rappelait que le dispositif était soumis aux contraintes de sécurité préconisées par le référentiel général de sécurité (RGS). Il convient donc que les mesures techniques déployées pour ce traitement respectent le RGS, conformément à l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives.
D'une manière générale, les mesures de sécurité détaillées dans le dossier technique transmis par le ministère sont de nature à garantir un risque limité d'atteintes aux données traitées dans le SIGALE.
Sur les autres caractéristiques du traitement
Des mesures de traçabilité sont prévues afin de contrôler les actions qui sont réalisées dans le traitement SIGALE et sont conservées pour une durée de cinq ans. Les traces concernent l'identification de l'utilisateur, la date, l'heure et la nature de l'intervention.
Autorise, conformément à la présente délibération, le ministère de la défense à mettre en œuvre le traitement susmentionné.
 
 
La Présidente
 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet de décret portant modification des conditions d'accès à certains traitements de données personnelles aux fins de prévention et de lutte contre la fraude documentaire ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment ses articles R. 611-1 à R. 611-7-4 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-I (2°), 27-I (2°) et 30-II ;Vu le décret n° 55-1397 du 22 octobre 1955 modifié instituant la carte nationale d'identité ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports électroniques ;Vu le décret n° 2010-569 du 28 mai 2010 relatif au fichier des personnes recherchées ;Vu l'arrêté du 9 novembre 2011 portant création d'un traitement de données à caractère personnel
relatif à la lutte contre la fraude documentaire et l'usurpation d'identité ;Vu l'arrêté du 5 avril 2012 relatif aux missions et à l'organisation de la mission  délivrance sécurisée des titres  ;Après avoir entendu Jean-Marie COTTERET, commissaire, en son rapport et Mme Catherine POZZO-DI-BORGO, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :La commission a été saisie par le ministère de l'intérieur d'une demande d'avis relative à un projet de décret portant modification des conditions d'accès à certains traitements de données personnelles aux fins de prévention et de lutte contre la fraude documentaire.L'arrêté du 5 avril 2012 relatif aux missions et à l'organisation de la mission  délivrance sécurisée des titres  (MDST) a réorganisé les services du ministère de l'intérieur compétents en matière de prévention et de lutte contre la fraude documentaire.Il a notamment pour conséquence de fusionner deux missions existantes en la matière, la mission titres sécurisés (MTS) et la mission de prévention et de lutte contre la fraude documentaire (MPLFD), en créant la mission  délivrance sécurisée des titres  (MDST), placée sous l'autorité du secrétaire général du ministère de l'intérieur.La MDST recouvre deux départements, le premier chargé des projets et principales applications de délivrance des titres ( Département Projets Application [DPA]), et le second compétent pour la prévention et la lutte contre la fraude documentaire ( Département Prévention et lutte
contre la fraude documentaire  [DPLFD]).En outre, dans un souci de cohérence et de visibilité de l'action du ministère de l'intérieur en matière de lutte contre la fraude documentaire, il a également été décidé de rattacher à cette nouvelle mission, et plus précisément au second département, la section en charge de la lutte contre la fraude documentaire du bureau national des titres d'identité et de voyage (BNTIV) de la direction des affaires juridiques et des libertés publiques (DLPAJ) du ministère de l'intérieur.En outre, la circulaire du 19 juin 2009 invite les services préfectoraux à engager un programme de lutte contre la fraude et à créer à cet effet les  référents fraudes  au niveau préfectoral, compétents pour tous les types de fraudes documentaires et de fraudes à l'identité. Ils sont présents dans chaque département, désignés par le préfet et nommés le plus souvent parmi les agents chargés de la délivrance des titres réglementaires. Ils sont chargés de coordonner et d'animer l'action des services en charge de la lutte contre la fraude documentaire et peuvent également être amenés aussi à traiter des cas individuels de suspicion de fraude ou de fraude avérée.L'ensemble de ces évolutions nécessite de modifier les conditions d'accès à plusieurs traitements : l'application AGDREF 2 (art. R. 611-1 à R. 611-7 du code de l'entrée et du séjour des étrangers et du droit d'asile), le fichier national de gestion pour la carte nationale d'identité (décret n° 55-1397 du 22
octobre 1955 modifié), le traitement  titres électroniques sécurisés  pour les passeports (décret n° 2005-1726 du 30 décembre 2005 modifié) et le fichier des personnes recherchées (décret n° 2010-569 du 28 mai 2010).En application des dispositions des articles 26, 27 et 30 de la loi du 6 janvier 1978 modifiée, ces modifications doivent intervenir par décret en Conseil d'Etat pris après avis motivé et publié de la commission.En outre, ces évolutions institutionnelles nécessitent également de modifier l'arrêté du 9 novembre 2011. Ces modifications doivent intervenir par un texte réglementaire distinct, également soumis à l'avis de la commission.Sur les modifications des traitements relatifs aux cartes nationales d'identité et aux passeportsLes agents du BNTIV de la DLPAJ, qui ont été rattachés à la nouvelle MDST, étaient chargés de préparer les décisions individuelles relevant de la compétence du ministre de l'intérieur s'agissant des cartes d'identité et des passeports.Aussi, les articles 1er et 2 du projet de décret prévoient de rendre destinataires des données contenues dans le fichier national de gestion pour la carte nationale d'identité (FNG) et le traitement  titres électroniques sécurisés  (TES) les agents chargés  de la prévention et la lutte contre la fraude sur les cartes nationales d'identité au sein du secrétariat général du ministère de l'intérieur, dans les préfectures et les sous-préfectures ainsi que les services du représentant de l'Etat dans les
collectivités régies par l'article 74 de la Constitution et en Nouvelle-Calédonie .Sont ainsi concernés uniquement certains agents de la nouvelle MDST ainsi que les référents préfecture ; ces accès leur permettront de traiter les dossiers individuels de fraude dont ils auront à connaître et de réaliser le contrôle par sondage de deuxième niveau des conditions de délivrance de titres. La commission considère par conséquent que ces nouveaux destinataires ont un intérêt légitime à connaître des données enregistrées dans les traitements.En outre, elle relève que ces modifications n'affectent pas les sécurités qui entourent les conditions d'accès à ces traitements, telles que déjà précisées à la commission par le ministère de l'intérieur et sur lesquelles elle s'est donc déjà prononcée. Ainsi, s'agissant du FNG, ces personnels seront individuellement habilités par le secrétaire général du ministère de l'intérieur, le préfet ou le sous-préfet et auront accès à l'application au moyen d'un identifiant et d'un mot de passe délivrés par la direction de la sécurité informatique et de la communication (DSIC). S'agissant de TES, les conditions d'habilitations seront identiques et l'accès au traitement se fera au moyen d'une carte éditée par l'ANTS, via un mot de passe confidentiel.Sur la modification du fichier des personnes recherchées (FPR)L'instruction des demandes de certains titres, comme le passeport, s'accompagne de la consultation du fichier des personnes recherchées, et de son
alimentation en cas d'une décision de retrait d'une carte d'identité ou d'un passeport obtenus indûment, ou en cas de tentative d'obtenir la délivrance de ces titres en violation des dispositions légales.L'article 3 du projet de décret modifie les articles 4 et 5 du décret n° 2010-569 du 28 mai 2010 relatif au fichier des personnes recherchées, concernant les personnes habilitées à alimenter le FPR, d'une part, et à le consulter, d'autre part.De nouveaux personnels pouvant procéder à l'inscription au FPR sont ainsi prévus avec l'ajout, à l'article 4-II (3°) dudit décret, des  agents chargés de la prévention et de la lutte contre la fraude sur les cartes d'identité et les passeports au ministère de l'intérieur (secrétariat général), ainsi que dans les préfectures et les sous-préfectures, individuellement désignés et spécialement habilités par le secrétariat général du ministère ou le préfet . Sont concrètement concernés les mêmes personnels de la nouvelle MDST que pour le FNG et TES, ainsi que les  référents fraude  des préfectures, qui feront désormais partie des autorités administratives compétentes pour alimenter le FPR dans le cadre de leurs missions.En outre, les 2° et 3° de l'article 3 du projet de décret visent à modifier l'article 5 du décret du 28 mai 2010 susvisé relatif aux personnels pouvant avoir accès aux données enregistrées dans le FPR, en ajoutant certains agents de la nouvelle MDST ainsi que les référents fraudes des préfectures.En outre, dans la version en
vigueur de l'article 5 du décret du 28 mai 2010, le secrétariat général à l'immigration et à l'intégration (SGII) ne fait pas partie des destinataires des données contenues dans le FPR. La commission note que le 2° de l'article 3 du projet de décret permettra désormais au SGII d'avoir accès à ces données. Cet accès est justifié par les attributions du ministère de l'intérieur, qui, au titre de ses missions en matière d'immigration et d'asile, est chargé de lutter contre la fraude documentaire en matière de séjour des étrangers.Sur la modification de l'application de gestion des dossiers des ressortissants étrangers en France (AGDREF 2)L'article 4 du projet de décret modifie l'article R. 611-5 (5°) du CESEDA relatif aux personnes pouvant consulter le traitement AGDREF 2 dont la finalité est de garantir le droit au séjour des ressortissants étrangers en situation régulière et de lutter contre l'entrée et le séjour irréguliers en France des ressortissants étrangers. Ainsi, certains personnels de la MDST et les référents fraudes au niveau préfectoral pourront consulter l'application AGDREF 2 au titre de la lutte contre la fraude documentaire.Conformément à l'article R. 611-1 (1°) du CESEDA, l'application AGDREF 2 a, en autre, pour finalité  de permettre aux services centraux et locaux du ministère dont relève le traitement d'assurer l'instruction des demandes et la fabrication des titres de séjour des ressortissants étrangers, de leurs titres de voyage et des documents de
circulation délivrés aux ressortissants étrangers mineurs ainsi que la gestion de leurs dossiers respectifs . L'extension de l'accès à ce traitement aux personnels de la MDST et aux référents fraudes, qui leur permettra de mieux lutter contre la fraude documentaire en accédant aux informations nécessaires sur l'émission des titres émis aux étrangers, est dès lors justifiée au regard des finalités du traitement AGDREF 2.
I. Falque-Pierrotin
(Demande d’autorisation n° 1637441) 
La Commission nationale de l’informatique et des libertés ; 
Saisie par l’autorité des marchés financiers (AMF) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la tenue d’un fichier des personnes auditionnées ayant fait l’objet d’une suite à l’issue d’une enquête ou d’un contrôle;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le code monétaire et financier ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles, 9-1°, 25-I-3° et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°01.009 du 22 février 2001 portant avis sur le projet de décision portant création d’un fichier des enquêtes au sein du service de l’inspection de la commission des opérations boursières ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,