AgentPublic/cnil huggingface dataset:
-      qu’une procédure de continuité et/ou de reprise d’activité a été définie, au regard des contraintes identifiées préalablement à la mise en œuvre du traitement, et permet d’assurer le niveau attendu de disponibilité des données ;
-      que les accès à l'application font l'objet d'une traçabilité, dont l’intégrité est assurée, afin de permettre la détection d'éventuelles tentatives d'accès frauduleux ou illégitimes, en incluant pour les données sensibles un horodatage, l'identifiant de l'utilisateur, ainsi que l'identification des données concernées, et ceci pour les accès en consultation, modification ou suppression. Les données de journalisation doivent être conservées pendant une durée de six mois glissants et faire l’objet d’une revue régulière visant à identifier tout incident de sécurité. 
La Commission rappelle que l'usage d'outils ou de logiciels développés par des tiers dans le cadre de la mise en œuvre d'un traitement de données à caractère personnel reste sous la responsabilité du responsable de traitement, qui doit notamment vérifier que ces outils ou logiciels respectent l'ensemble des obligations que la loi du 6 janvier 1978 modifiée met à sa charge.
En cas de recours à un traitement non automatisé, le responsable de traitement doit prévoir des mesures de nature à garantir la sécurité et la confidentialité des données collectées et traitées sous forme papier, en particulier en s’assurant de la conservation de ces données dans un espace sécurisé à accès restreint, en consignant dans une main courante l’identité des personnes accédant aux documents et en organisant la récupération ainsi que la destruction des documents papiers utilisés.
La Commission rappelle, en cas de recours aux services d’un sous-traitant, que ce dernier ne peut agir que sur instruction du responsable de traitement, lequel n’est pas dispensé de son obligation de veiller au respect des mesures de sécurité et de confidentialité qui lui sont imposées, d’une part, et que le contrat établi entre les parties doit comporter l’indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données, d’autre part. 
La Commission rappelle enfin que l’obligation de veiller à la sécurité et à la confidentialité de données à caractère personnel nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
 
 
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministre des finances et des comptes publics d'un projet d'arrêté modifiant l'arrêté du 9 mars 2012 autorisant la création d'un traitement automatisé dénommé  BANACO  ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu le code des douanes communautaire établi par le règlement du Conseil n° 2913/92 du 12 octobre 1992 établissant le code des douanes communautaire ; Vu le règlement du Conseil n° 389/2012 du 2 mai 2012 concernant la coopération administrative dans le domaine des droits d'accise ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code des douanes ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26 et 30 ;Vu le décret n° 70-1285 du 23 décembre 1970 modifié relatif au transfert de l'assiette et du recouvrement de la taxe spéciale sur certains véhicules routiers à l'administration des douanes ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu l'arrêté du 9 mars 2012 autorisant la création d'un traitement automatisé
dénommé  BANACO  ;Vu l'arrêté du 1er juillet 2003 modifié portant création à la direction générale des douanes et droits indirects d'un système informatisé concourant au dispositif de lutte contre les fraudes ;Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie d'une demande d'avis portant sur un projet d'arrêté modifiant l'arrêté du 9 mars 2012 autorisant la création d'un traitement automatisé dénommé  BANACO .Ce traitement est mis en œuvre par la direction générale des douanes et droits indirects (DGDDI). Il permet, d'une part, la centralisation de l'ensemble des données relatives aux contrôles opérés par l'administration des douanes, qu'ils aboutissent ou non à la constatation d'une infraction douanière et, d'autre part, l'orientation des contrôles douaniers afin de lutter contre la fraude douanière. Il relève dès lors des dispositions de l'article 26 de la loi du 6 janvier 1978 modifiée et les modifications apportées à l'arrêté du 9 mars 2012 nécessitent un avis motivé et publié de la commission.L'article 1er du projet d'arrêté vise à modifier les catégories de données à caractère personnel enregistrées dans BANACO en y ajoutant les données relatives aux contrôles ex post en matière de dédouanement, aux contrôles en matière de taxe spéciale sur certains véhicules routiers (TSVR, dite  taxe à l'essieu ) ainsi qu'au traitement des demandes de vérification des mouvements intracommunautaires (DVMI). Ces informations s'ajoutent aux données relatives aux contrôles ex ante que contient le traitement BANACO, réalisés au moment du dédouanement.Plus précisément, il s'agit de collecter les données relatives :
- à l'opérateur contrôlé au sens de l'article 1er du code des douanes communautaire, à la déclaration en douane et au déroulement et conclusions du contrôle s'agissant des contrôles ex post réalisés en matière de dédouanement ;- au même opérateur, au déroulement et conclusions du contrôle s'agissant des contrôles réalisés en matière de TSVR ;- aux demandes de vérification reçues des autres Etats membres et des réponses apportées par la douane française, aux demandes de vérification émises par la France et aux réponses correspondantes pour le traitement des DVMI.
La collecte de ces nouvelles données s'inscrit dans le cadre des prérogatives confiées aux agents des douanes, lesquels peuvent procéder à un contrôle a posteriori des documents commerciaux relatifs aux opérations concernées et constater les infractions aux dispositions législatives ou réglementaires relatives à la TSVR.Le traitement des DVMI permet aux agents des douanes de s'assurer du respect de la législation relative aux droits d'accise et de lutter contre la fraude et les distorsions qui en découlent sur le marché intérieur de l'Union européenne, conformément aux dispositions du règlement du Conseil du 2 mai 2012 susvisé.L'article 2 (4°) de l'arrêté du 9 mars 2012 fera désormais référence aux données issues des déclarations en douane, au sens de l'article 4 (point 17) du code des douanes communautaire, aux données relatives à la liquidation et au paiement de la taxe spéciale sur certains véhicules routiers ainsi qu'aux données relatives aux demandes de vérification de mouvements intracommunautaires de produits soumis à accise.La commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.Par ailleurs, l'article 3 de l'arrêté du 9 mars 2012 en vigueur indique que les données sont conservées :
- trois ans à compter de la date de l'avis de fin de contrôle ou de l'avis de résultat de contrôle lorsque le contrôle est conforme ;- dix ans à compter de la date du certificat de contrôle lorsque le contrôle est non conforme.
L'article 2 du projet d'arrêté modifie ces dispositions afin de faire référence à la seule clôture du dossier.La commission prend acte des précisions apportées par le ministère des finances et des comptes publics, selon lesquelles les documents précités (avis de fin de contrôle, avis de résultat de contrôle et certificat de contrôle) sont spécifiques aux contrôles ex ante réalisés en matière de dédouanement et ne sont donc pas émis lors des contrôles ex post, TSVR ou DVMI. Dès lors, ce changement de terminologie vise uniquement à retenir un point de départ du délai de conservation commun à l'ensemble des dossiers de contrôle et n'appelle pas d'observation particulière.L'article 3 du projet d'arrêté précise que les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent désormais auprès du bureau de la DGDDI chargé de la politique des contrôles.De manière générale, la commission considère que les mesures de sécurité décrites et prévues par le responsable de traitement sont conformes à l'exigence de sécurité prévue à l'article 34 de la loi du 6 janvier 1978 modifiée. Elle relève ainsi qu'une gestion stricte des habilitations est mise en oeuvre afin de s'assurer notamment que des tiers non autorisés n'aient pas accès aux données contenues dans BANACO et qu'une traçabilité de tous les événements affectant la vie d'un dossier de contrôle est réalisée. La commission rappelle toutefois que cette obligation nécessite la mise à
jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La Commission nationale de l'informatique et des libertés,Saisie par le ministère des affaires sociales, de la santé et des droits des femmes d'une demande d'avis concernant un projet de décret en Conseil d'Etat autorisant les traitements de données à caractère personnel mis en œuvre par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie pour l'accomplissement de leurs missions en matière de lutte contre les fautes, abus et fraudes,Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces donnéesVu le code rural et de la pêche maritime ;Vu le code de la sécurité sociale ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-I (1°) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :La commission a été saisie, le 28 juillet 2014 et par saisine rectificative le 8 octobre 2014, par le ministère des affaires sociales, de la santé et des droits des femmes d'une demande d'avis concernant un projet de décret en Conseil d'Etat (ci-après  le projet ) autorisant les traitements de données à caractère personnel par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie pour l'accomplissement de leurs missions en matière de lutte contre les fautes, abus et fraudes.Ce projet vise à créer une catégorie de traitements de données à caractère personnel relevant du processus métier  fraude  de l'assurance maladie obligatoire (AMO) portant notamment sur le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) des assurés sociaux.Ces traitements seront mis en œuvre par la Caisse nationale d'assurance maladie des travailleurs salariés (CNAMTS), la Mutualité sociale agricole (MSA) et le Régime social des indépendants (RSI).Le projet soumis à la commission est pris en application de l'article 27-I (1°) de la loi du 6 janvier 1978 modifiée qui prévoit que  sont autorisés par décret en Conseil d'Etat, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés , les traitements de données à caractère personnel mis
en œuvre pour le compte d'une personne morale de droit public  qui portent sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques .L'article R. 115-1 du CSS prévoit que  Les organismes et administrations chargés de la gestion d'un régime obligatoire de base de sécurité sociale et, le cas échéant, les organismes habilités par la loi ou par une convention à participer à la gestion de ces régimes  sont autorisés à utiliser le NIR. Ces dispositions sont complétées par celles de l'article R. 115-2 qui précise que  l'autorisation donnée à l'article R. 115-1 vaut exclusivement pour les traitements mis en œuvre dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978  pour des finalités au nombre desquelles ne figurent pas la lutte contre les fautes, abus et fraudes.Dès lors que ces traitements sont substantiellement différents de ceux qu'autorisent les dispositions réglementaires en vigueur, ils doivent être autorisés par décret en Conseil d'Etat pris après avis de la CNIL, en application de l'article 27-I (1°) précité.Sur la dénomination et les finalités des traitements :Le projet autorise les traitements automatisés de données à caractère personnel destinés à l'exercice des missions qui sont confiées par la loi aux organismes gestionnaires des régimes obligatoires de base de l'assurance maladie en matière de lutte contre les fautes, abus et fraudes.Ces traitements concernant la
lutte contre les fautes, abus et fraudes des assurés et de leurs ayants droit, des bénéficiaires de droits, des employeurs, des tiers, des professionnels et établissements de santé, des établissements médico-sociaux, établissements d'hébergement de personnes âgées dépendantes, des laboratoires d'analyses médicales, des fournisseurs et autres prestataires de services, ou de toute autre personne physique ou morale autorisée à dispenser des soins, à réaliser une prestation de service ou des analyses de biologie médicale ou à délivrer des produits ou dispositifs médicaux, ou contre la fraude interne.L'article 1er du projet explicite le périmètre et les finalités des traitements mis en œuvre dans le cadre des missions précitées.Ces traitements ont vocation à poursuivre les finalités suivantes :
- effectuer des requêtes et à produire des statistiques et analyser et suivre des situations administratives, des prestations versées, des soins produits et des biens délivrés, afin de diligenter des contrôles, de prévenir ou d'engager des recours contentieux et, le cas échéant, de lutter contre les fautes, abus et fraudes suspectés ou avérés ;- effectuer les opérations nécessaires au calcul des indus et des sanctions ; élaborer une cartographie des risques de fautes, abus et fraudes permettant de mieux cibler les dossiers à contrôler ;- communiquer les informations relatives aux fautes, abus et fraudes aux organismes gestionnaires des régimes obligatoires ;- signaler les fautes, abus et fraudes suspectés ou avérés et, à cet effet, à transmettre :- les informations relatives aux fautes, abus ou fraudes présumés ou avérés aux agents de l'Etat ou aux organismes de protection sociale mentionnés à l'article L. 114-16-3 du code de la sécurité sociale, ainsi le cas échéant qu'à l'organisme d'assurance maladie complémentaire de l'assuré concerné en application du deuxième alinéa de l'article L. 114-9 ;- les informations relatives aux fautes, abus ou fraudes présumés ou avérés, après anonymisation, à l'autorité compétente de l'Etat, en application de l'article L. 114-9 du CSS ;- transmettre à l'établissement de santé, par tout moyen permettant de déterminer la date de réception, le rapport de contrôle prévu à l'article R. 162-42-10 du CSS en application de l'article L. 162-22-18 du
CSS ;- produire les informations recueillies susceptibles de constituer un manquement aux règles de déontologie de la part d'un professionnel de santé inscrit à un ordre professionnel et de les communiquer à l'ordre compétent en application de l'article L. 162-1-19 du code de la sécurité sociale ;- produire le rapport de synthèse prévu à l'article L. 114-9 du code de la sécurité sociale ;- suivre les signalements de suspicions de fautes, abus et fraudes afin de diligenter les contrôles, mener les investigations et, le cas échéant, d'engager des actions contentieuses ou des mesure d'accompagnement ;- suivre les actions contentieuses et les actions de prévention et de lutte contre les fautes, abus et fraudes.
La commission rappelle, conformément à l'article 10 de la loi du 6 janvier 1978 modifiée, qu'aucune décision produisant des effets juridiques à l'égard des personnes concernées par des données traitées dans le cadre de la lutte contre la fraude ne peut être prise sur le seul fondement de traitements automatisés de données destinés à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité.Dès lors, les requêtes ou alertes détectées automatiquement doivent donner lieu à une analyse non automatisée par le personnel habilité de l'organisme auquel il appartient. Le cas échéant, des investigations complémentaires pourront être diligentées. Enfin, la personne concernée doit être mise en mesure de présenter ses observations si une décision produisant des effets juridiques est prise à son égard dans le cadre de la conclusion ou de l'exécution d'un contrat.La commission considère, sous réserve des observations précédentes, que la création des traitements précités et les finalités ainsi poursuivies sont déterminées, explicites et légitimes.Sur les catégories de données à caractère personnel enregistrées :Les catégories de données à caractère personnel traitées concernent les personnes auteurs ou concernés par une faute, un abus ou une fraude présumés ou avérés.L'article 2 du projet énumère les catégories de données à caractère personnel qui feront l'objet d'un traitement :
- les données d'identification (nom, prénom, sexe, date et lieu de naissance, le numéro de pièce d'identité ou de titre de séjour ; le numéro d'agent, dans le cadre d'une recherche de fraude interne ; le numéro d'identification, la catégorie, la spécialité et le secteur de conventionnement, s'agissant des professionnels de santé) ;- le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) et celui ou ceux qui leur auraient été précédemment attribués, ou, pour les personnes en instance d'attribution d'un numéro d'inscription au répertoire national d'identification des personnes physiques, un numéro identifiant d'attente (NIA) attribué par la Caisse nationale d'assurance vieillesse des travailleurs salariés à partir des données d'état civil, pour l'ensemble des organismes ;- les coordonnées (adresse poste, téléphone, adresse électronique) ;- le pays où les soins ont été délivrés ;- les informations permettant de décrire les caractéristiques de la faute, de l'abus ou de la fraude (notamment la branche, le service, la prestation ou le droit concerné ; la date des faits et de leur découverte, les modalités de détection ; le domaine de risque ; le type de faute, abus ou fraude ; la nature des documents en cause ; l'évaluation du montant du préjudice subi ou évité, l'identification des tiers concernés, comportant éventuellement le NIR lorsque cette information est utile aux besoins de l'enquête ; toutes les informations utiles relatives à la
prestation ou au droit servi dont le numéro identifiant le séjour en établissement dans le cadre du contrôle des établissements ;- les informations relatives aux actions engagées par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie (notamment la nature des actions engagées ; le cas échéant, l'autorité saisie ; la mention  procédure en cours  ou  clôturée  et, le cas échéant, la date de clôture ; le cas échéant, les mentions  classement sans suite ,  non-lieu  ou  relaxe  ; les mentions de notification d'indu, de signature de transaction, de notification d'une pénalité financière, leur montant et, le cas échéant, leur recouvrement ; les sanctions ordinales).
Le ministère indique que les données précitées sont nécessaires aux organismes gestionnaires des régimes obligatoires de base de l'assurance maladie aux fins d'accomplissement de leurs missions de lutte contre la fraude.Elle rappelle que les catégories de données traitées doivent être adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l'article 6 (3°) de la loi du 6 janvier 1978 modifiée et que l'utilisation du NIR doit être cantonnée aux finalités limitativement énumérées à l'article 1er du projet aux fins d'exercice par les organismes gestionnaires de régimes obligatoires de base de l'assurance maladie des missions de sécurité sociale qui leur sont confiées par la loi.La commission prend acte de l'engagement du ministère de modifier le projet de décret, afin de supprimer le NIR des simples témoins de la liste des données traitées dans le cadre d'une enquête sur une faute, un abus ou une fraude suspectée. Elle prend acte en revanche de ce que le NIR de tiers concernés en tant que victimes ou complices de fraudes est utile afin de rattacher les prestations dues à la bonne personne ou rechercher des prestations indues.Sur les destinataires ou catégories de destinataires habilités à recevoir communication de ces données :L'article 3 du projet prévoit les destinataires des données suivants :
- les agents intervenant dans la prise en charge des assurés et soumis à une obligation de confidentialité, individuellement habilités par le directeur de chaque organisme pour l'exercice de leur mission et dans la stricte mesure nécessaire à l'exercice de celles-ci ;- les agents de l'Etat ou des organismes de protection sociale mentionnés à l'article L. 114-16-3 du code de la sécurité sociale individuellement habilités par le directeur de l'organisme ou de l'administration concernée ;- l'autorité compétente de l'Etat, après anonymisation des données en application du premier et du troisième alinéa de l'article L. 114-9 du même code.
La commission en prend acte.L'article 3 précité précise que, le cas échéant, seuls des praticiens conseils et les personnels placés sous leur autorité ont accès aux données à caractère médical.La commission demande que cette disposition soit complétée, afin de préciser que l'accès de ces personnels s'effectuera dans le respect des règles du secret médical et dans la stricte mesure où elles sont nécessaires à l'exercice des missions qui leur sont confiées.Elle rappelle, en outre, que l'accès aux données à caractère personnel requiert la mise en œuvre de règles d'habilitation strictes et une traçabilité des accès associée à une analyse de ces traces, de sorte que les accès non autorisés puissent être identifiés.Sur la durée de conservation des données :L'article 4 du projet prévoit des durées de conservation distinctes en fonction des données traitées : I. - Les données enregistrées dans les outils de gestion des alertes seront conservées cinq ans.II. - Les données de signalement des fautes, abus et fraudes et anomalies sont conservées :1° Un an pour les dossiers classés sans suite par l'organisme ou ayant fait l'objet d'une décision de non-lieu ou de relaxe à compter de la date de cette décision ;2° Un an pour les dossiers classés sans suite par le procureur de la République sauf s'ils font encore l'objet d'une procédure de sanction ou conventionnelle ;3° Cinq ans à compter de la date de clôture de la procédure contentieuse dans les autres cas.III. - A l'expiration de leur