AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1534393)
La Commission nationale de l’informatique et des libertés, 
Saisie par la Croix-Rouge Française d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi médico-social de patients en grande précarité atteints de maladies infectieuses;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1°et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La Croix-Rouge Française est une association à but non lucratif reconnue d’utilité publique. 
Sur la finalité
La finalité du présent traitement, dénommé DIAMM, est le suivi médico-social des patients en grande précarité atteints de maladies infectieuses. La Croix-Rouge Française, via notamment son centre de consultation médicale et de soins infirmiers du Moulin Joly, accueille des patients en grande précarité, exclus du système sanitaire classique (la majorité des patients traités n’ont pas de papier d’identité, relèvent des régimes d’aide médicale de l’Etat, ou de la couverture médicale universelle ou ne disposent pas de couverture sociale). 
Certains centres relevant de la Croix-Rouge Française exercent le rôle de sentinelle sur le plan sanitaire, en ce qu’ils appartiennent au réseau COREVIH (coordination régionale de la lutte contre le virus de l’immunodéficience humaine). A ce titre, des données médicales et épidémiologiques codées, destinées à la mise en place d’un suivi national de la contamination par le virus de l’immunodéficience humaine sont transmises afin d’alimenter les bases COREVIH régionales et la base de données DOMEVIH administrée par le Ministère des affaires sociales et de la santé (dossier médico-épidémiologique du VIH). 
Dans ce cadre, le traitement DIAMM a pour objectif la mise en place d’un dossier informatisé de suivi médico-social répondant aux missions suivantes: 
assurer les consultations médicales et de soins infirmiers, 
orienter les patients le cas échéant, vers d’autres structures de soins notamment des hospitalisations,
mettre en place des actions de prévention et de dépistage, 
assurer un suivi psychologique,
et mener des actions d’aides à la réinsertion. 
La Commission considère la finalité poursuivie comme déterminée, légitime et explicite.
Dans ce contexte, la Commission considère qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° et 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements de données de santé et de données comportant des appréciations sur les difficultés sociales des personnes. 
Sur les données traitées
Les données collectées sont relatives à :
l’identification (prénom ou pseudonyme, date et lieu de naissance) ;
la vie personnelle (habitudes de vie, situation familiale, statut marital, type d’hébergement) ;
la vie professionnelle (situation professionnelle, scolarité, formation) ;
la situation économique et juridique (revenus, situation financière, seuil de pauvreté) ;
l’appréciation des difficultés sociales des personnes (sans domicile fixe, absence de titre de séjour, langue française parlée et/ou écrite) ;
la santé (pathologie, affection, données relatives aux soins, situations ou comportements à risques, résultats d’analyses biologiques codés) ; 
et la vie sexuelle des patients. 
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités :
des centres de la Croix Rouge Française exerçant les missions précitées ; 
des COREVIH régionales ; 
du Ministère des affaires sociales et de la santé ayant en charge le renseignement de la base DOMEVIH ;
et les médecins généralistes ayant vocation à suivre les patients accueillis dans les centres précités de la Croix-Rouge Française.  
Les données transmises aux COREVIH régionales et aux personnels habilités gérant la base DOMEVIH seront pseudonymisées préalablement à leur transmission, via l’attribution du numéro « d’anonymat » généré lors de l’enregistrement du dossier du patient accueilli dans l’un des centres de la Croix-Rouge Française. 
La Commission prend acte que l’habilitation permettant la  consultation des données de santé ne peut être attribuée qu’à des personnes soumises au secret médical, et dans la stricte limite de leurs missions. 
Sur l’information et le droit d’accès
Les personnes concernées sont informées, du traitement de leurs données conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par voie d’affichage, dans les centres les accueillant. Leur consentement, concernant la mise en place d’un dossier médical informatisé, et la transmission codée de leurs données aux COREVIH régionales  et aux personnels habilités gérant la base DOMEVIH, est recueilli par écrit. Les droits d’accès et de rectification s’exercent auprès du médecin du centre accueillant le patient.  Ces modalités d’information, de recueil du consentement et d’exercice des droits sont suffisantes. 
Sur les mesures de sécurité
Concernant les modalités d’accès aux données, les utilisateurs ayant accès à l’application sont authentifiés au moyen d’un login et d’un mot de passe conforme aux exigences de la Commission en la matière. Toutefois, la Commission rappelle que l’authentification des professionnels de santé par identifiant et mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret n° 2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou d’un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS, et ce pour toute transmission ou tout accès à des données de santé. La Commission rappelle que le responsable de traitement devra se conformer à ces exigences.Par ailleurs, des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les utilisateurs.Concernant les mesures de traçabilité, l’ensemble des accès en consultation, modification et création sont tracés et conservés au sein du dossier du patient.Concernant les réseaux au travers desquels sera accessible le traitement, ceux-ci sont reliés entre eux par un réseau VPN (Virtual Network Computer) présentant un niveau de sécurité suffisant.Enfin, les supports de stockage usagés seront détruits par un prestataire spécialisé.Les mesures de sécurité mises en place
apparaissent dès lors satisfaisantes.
Sur les autres caractéristiques du traitement
Les données collectées sont conservées pendant deux ans, puis elles sont archivées pendant trente ans. Cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, la Croix-Rouge Française à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1594415)
La Commission nationale de l’informatique et des libertés, 
Saisie par le Centre d’action sociale de la ville de Paris (CASVP) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’amélioration et l’individualisation du projet de vie des personnes agées dépendantes résidant dans les établissement d’hébergement pour personnes âgées (EHPAD) du CASVP;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le centre d’action sociale de la ville de Paris (CASVP) est un établissement public municipal qui met en œuvre l’action sociale sur le territoire parisien. Il gère notamment des équipements pour l’accueil ou l’hébergement des personnes âgées.
Sur la finalité
Les EHPAD, sont des établissements sociaux et médico-sociaux au sens de l’article L.312-1 du code de l’action sociale et des familles, Ce sont des structures d’hébergement collectif qui accueillent des personnes âgées en perte d’autonomie physique et/ou psychique. Ces structures sont toutes médicalisées ; elles offrent les aides et les soins nécessaires aux résidants dans le cadre d’un projet de vie personnalisé. Le centre d'action sociale de la ville de Paris (CASVP) gère huit EHPAD publics à Paris et six en banlieue et province, étant précisé que trois autres EHPAD sont actuellement en cours de construction. La finalité du présent traitement est l’amélioration et l’individualisation du projet de vie des personnes âgées dépendantes résidant dans l’établissement d’hébergement pour personnes âgées (EHPAD) du CASVP.La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites. La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les catégories de données collectées sont relatives : 
à l’identification des personnes (nom, prénom, adresse, date et lieu de naissance, photographie, le NIR) ;
à leur vie personnelle et professionnelle (habitude de vie, situation familiale, groupe d’activités professionnelles) ;à leurs données de santé (pathologies, affection, données relatives aux soins, degré de dépendance) ;
 et à leurs opinions religieuses. 
Le NIR sera recueilli directement auprès de la personne hébergée au sein d’un EHPAD du CASVP, ou indirectement via une extraction de l’interface ACTARUS du CASVP. ACTARUS est un logiciel permettant la mise en œuvre du traitement de données à caractère personnel ayant pour finalité la facturation des actes et prestations réalisées au sein des établissements du CASVP. 
Les opinions religieuses seront collectées directement auprès de la personne concernée après recueil de son consentement exprès. Cette donnée est nécessaire en matière d’organisation des obsèques et de présence d’un ministre du culte. 
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités des EHPAD et les professionnels de santé, médicaux et paramédicaux, exerçant en leur sein. L’habilitation à consulter des données de santé ne peut être attribuée qu’à des personnes soumises au secret médical, et dans la stricte limite de leurs missions.
Sur l’information et le droit d’accès 
Les personnes concernées sont les résidents des EHPAD ainsi que les professionnels médicaux et paramédicaux exerçant au sein des EHPAD du CASVP. Les résidents seront informés du traitement de données par une clause du contrat d’hébergement qu’ils signeront pour les nouveaux arrivants, et, pour les personnes d’ores et déjà accueillies au sein de l’établissement, un avenant à leur contrat leur sera transmis. Les droits d’accès et de rectification s’exercent auprès de la sous-direction des services aux personnes âgées du CASVP située au 5 boulevard Diderot, 75012 Paris. La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes. 
Sur les mesures de sécurité
Concernant les modalités d’accès aux données, les utilisateurs ayant accès à l’application sont authentifiés au moyen d’un mot de passe respectant les recommandations de la Commission en la matière. Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les utilisateurs.Concernant les mesures de traçabilité, l’ensemble des accès en création, modification, mise à jour et suppression sont tracés et conservés dans le dossier du patient.Concernant les réseaux au travers desquels sera accessible le traitement, ceux-ci seront reliés entre eux par un réseau VPN (Virtual Network Computer) présentant un niveau de sécurité suffisant.La Commission estime que les mesures de sécurité mises en place sont satisfaisantes.
Sur les autres caractéristiques du traitement
Les données de santé collectées et traitées seront hébergées chez un prestataire agréé en qualité d’hébergeur de données de santé par le ministère des affaires sociales et de la santé, et ce conformément aux dispositions de l’article L.1111-8 du code de la santé publique. Les données seront conservées pendant toute la durée du séjour de la personne hébergée, pour être ensuite archivées dans une base intermédiaire pendant huit ans à compter du décès de la personne ou dix-huit ans à compter du départ de la personne (si la date de décès est inconnue). A l’issue de cette durée de conservation, et après autorisation des Archives publiques (en l’espèce il s’agira des archives départementales), les données seront définitivement supprimées. La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, le Centre d’Action sociale de la ville de Paris à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1411111)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société SOLVIN FRANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5°, 25-I-4° et 35 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 (AU-04);
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le groupe chimique auquel appartient la société SOLVIN FRANCE est coté à Bruxelles et est présent dans plus de 30 pays dans le monde. 
Sur la finalité
La société SOLVIN FRANCE a déposé un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. (Délibération n°2005-305 du 8 décembre 2005). Elle observe que le traitement objet de la présente délibération répond aux exigences prévues par l’autorisation unique, à l’exception des dispositions de l’article 1er relatives au fondement juridique et au champ d’application. En effet, la société SOLVIN FRANCE n’est soumise à aucune des dispositions visées par l’autorisation unique (droit français, loi «SOX» américaine du 31 juillet 2002, loi japonaise "Financial Instrument and exchange Act" du 6 juin 2006) et souhaite inclure dans le périmètre de son dispositif des domaines non visés par l’autorisation unique n°4. La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.Le champ du dispositif d’alerte professionnelle est restreint et
S’agissant des modalités de recueil de l’alerte, le salarié qui souhaite signaler un manquement dans les domaines précités peut contacter les Compliance officers :
via une ligne téléphonique dédiée « SOLVAY Ethics Helpline ». 
via le site Intranet du prestataire extérieur
par une adresse mail.
L’émetteur de l’alerte professionnelle est invité à s’identifier. La Commission considère que l’obligation de s’identifier pour la personne à l’origine de l’alerte est de nature à limiter le risque de mise en cause abusive ou disproportionnée de l'intégrité professionnelle, voire personnelle des personnes concernées.
L’identité de l’émetteur de l’alerte est traitée de façon confidentielle par les personnes chargées de la gestion des alertes. A titre exceptionnel, la société SOLVIN FRANCE peut être amenée à recueillir une alerte anonyme. Dans ce cadre, l’alerte sera traitée dans les conditions suivantes :
-le traitement des alertes anonymes doit être entouré de précautions particulières, telles qu’un examen préalable, par son premier destinataire, de l’opportunité de sa diffusion dans le cadre du dispositif ;
-l’organisme ne doit pas inciter les personnes ayant vocation à utiliser le dispositif à le faire de manière anonyme. En ce sens, la publicité faite sur l’existence du dispositif doit en tenir compte. La procédure doit être conçue de façon à ce que les employés s’identifient auprès de l’organisation chargée de la gestion des alertes.
Enfin, la Commission observe qu’il est clairement rappelé que l’utilisation abusive de ce dispositif peut exposer son auteur à des sanctions disciplinaires, ainsi qu’à des poursuites judiciaires. 
Autorise, conformément à la présente délibération, la société SOLVIN FRANCE à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1466723)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société LEGRAND d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 ( AU-04);
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le groupe LEGRAND est l’un des leaders mondiaux des infrastructures électriques et numériques du bâtiment et est implanté dans plus de 70 pays.Il est coté à la bourse de Paris et a pour obligation d’assurer la fiabilité de l’information financière fournie à ses partenaires financiers et investisseurs, le contrôle de ses opérations au niveau national et international et le respect des lois et des règlements en vigueur par tous ses employés.
Sur la finalité
La société LEGRAND a déposé un dossier de demande d’autorisation pour un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle.  Elle observe que le traitement présenté par la société LEGRAND répond aux exigences prévues par l’autorisation unique, à l’exception des dispositions de l’article 1er relatives au fondement juridique et au champ d’application. En effet, la société LEGRAND n’est soumise à aucune des dispositions visées par l’autorisation unique (droit français, loi «SOX» américaine du 31 juillet 2002, loi japonaise "Financial Instrument and exchange Act" du 6 juin 2006) et souhaite inclure dans le périmètre de son dispositif des domaines non visés par celle-ci. La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. En outre, elle estime qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.A cet égard, elle relève que le champ du dispositif d’alerte professionnelle présenté par la société LEGRAND est restreint et strictement limité aux manquements graves qui
s’appliquent aux domaines comptable et financier, à la corruption, aux pratiques anticoncurrentielles, à la concurrence, à la confidentialité des données, aux conflits d’intérêts et enfin à la discrimination et au harcèlement.Sur le traitement de l’identité de l’émetteur de l’alerte, la Commission considère que l’obligation de s’identifier pour la personne à l’origine de l’alerte est de nature à limiter le risque de mise en cause abusive ou disproportionnée de l'intégrité professionnelle, voire personnelle des personnes concernées.L’émetteur de l’alerte professionnelle doit s’identifier. Son identité est traitée de façon confidentielle par les personnes chargées de la gestion des alertes. La Commission estime que la finalité poursuivie par le traitement est déterminée, explicite et légitime.