AgentPublic/cnil huggingface dataset:
Les dispositions du 5° de cet article du projet de décret prévoient que la personne dont les données sont collectées doit être systématiquement informée du niveau de protection offert par les pays tiers. Or, cette obligation serait extrêmement lourde, voire impossible, à mettre en oeuvre dans certains domaines comme le marketing.Par ailleurs, le dernier alinéa de cet article semble se référer à l'idée selon laquelle la personne elle-même aurait demandé le transfert (ce qui correspondrait à la formule  lorsqu'il a été demandé par l'intéressé ). Si tel était le cas, il est difficile d'envisager à quelle situation cette disposition s'appliquerait et, partant, d'en déterminer la portée pratique et juridique.Ce dernier alinéa pourrait également se référer à l'hypothèse selon laquelle la personne elle-même aurait demandé à bénéficier de l'information prévue au 5°. Une telle interprétation correspondrait à la référence faite à l'article 96, qui concerne l'exercice des droits des personnes, mais pas à l'emploi du terme  il . Sur le fond, cette interprétation correspondrait à la demande de la CNIL, mais sans être explicite, ce qui n'est pas satisfaisant.Il est donc proposé de clarifier ces points en précisant qu'il incombe à la personne concernée de demander une information sur le niveau de protection offert par le pays tiers.
Article 92
Dans cet article, supprimer le mot :  immédiatement .
Exposé des motifs
Cet article prévoit que le responsable du traitement doit permettre aux internautes de s'opposer à l'utilisation des cookies par un moyen simple et immédiat. Cette disposition paraît impossible à mette en oeuvre puisque l'internaute serait alors sans cesse envahi de demandes d'acceptation ou de refus au cours de sa navigation, au risque de la paralyser.Cette disposition ne deviendrait applicable que si la référence au moyen simple et immédiat concernait la seule indication des modalités de refus des cookies en fonction du navigateur utilisé, auquel cas il serait préférable de supprimer l'adjectif  immédiatement .
Article 93
Supprimer cet article.
Exposé des motifs
L'article 8-III de la loi du 6 janvier 1978 autorise la collecte et le traitement de données sensibles si ces dernières font l'objet à  bref délai  d'un procédé d'anonymisation. Créer un délai de huit jours, comme le prévoit le projet de décret, revient à définir cette notion de  bref délai .Or, la réalité de l'anonymisation n'est ni de huit jours, ni de un mois, mais de quelques secondes voire quelques heures (cf. logiciels d'anonymisation déjà examinés par la CNIL dans le domaine des statistiques médicales : SIDA, PMSI, assurance maladie complémentaire).Introduire un délai préfixé de huit jours ne correspond donc pas à la notion d'anonymisation à bref délai et, partant, à la volonté du législateur. Il est donc proposé de le supprimer.Chapitre II : Les droits des personnes à l'égard des traitements de données à caractère personnel
Article 94
Rédiger ainsi le premier alinéa de cet article : Les demandes tendant à la mise en oeuvre des droits prévus aux articles 38 à 40 de la loi du 6 janvier 1978 susvisée, lorsqu'elles sont présentées par écrit, doivent être signées et accompagnées d'une pièce justificative de l'identité du demandeur. Elles doivent préciser l'adresse à laquelle doit parvenir la réponse. Lorsqu'il existe un doute sur l'identité du demandeur, ou sur l'adresse indiquée, la réponse doit être expédiée sous pli recommandé sans avis de réception, la vérification de l'identité ou de l'adresse du demandeur s'effectuant lors de la délivrance du pli. 
Exposé des motifs
La référence faite, par le projet de décret, aux dispositions relatives au droit d'accès indirect, applicables en particulier aux fichiers de police, semble maladroite puisque le droit d'accès indirect constitue un régime dérogatoire au régime de droit commun que constitue le droit d'accès direct.En outre, elle est de nature à introduire une confusion auprès des citoyens dans la mesure où elle aurait pour conséquence de les inviter à exercer leur droit, non pas auprès des responsables de traitements concernés, mais auprès de la CNIL. La rédaction proposée supprime donc la référence à l'article 86 du décret d'octobre 2005, relatif aux procédures du droit d'accès indirect.
Article 96
Rédiger ainsi le premier alinéa de cet article : Le responsable du traitement satisfait à la demande présentée par l'intéressé dans le délai d'un mois suivant sa réception. 
Exposé des motifs
Le responsable du traitement doit satisfaire à la demande du requérant et non pas se contenter de se prononcer dessus comme le propose le projet de décret. En outre, le principe doit être celui d'une réponse favorable.S'agissant du délai de réponse, un mois est largement suffisant. La multiplication des correspondants à la protection des données dans les organismes devrait d'ailleurs conduire à un meilleur traitement des demandes. A cet égard, la réduction du délai de réponse devrait inciter les responsables de traitements à mettre en place des correspondants à la protection des données ou des procédures de traitement de ces demandes plus rapides et efficaces.Rédiger ainsi le deuxième alinéa de cet article : Si la demande est imprécise ou ne comporte pas tous les éléments permettant au responsable du traitement de procéder aux opérations qui lui sont demandées, celui-ci invite, dans le délai d'un mois suivant la réception de la demande, le demandeur à les lui fournir. Le responsable du traitement y procède par lettre remise contre signature ou par voie électronique. Le délai d'un mois suspend le délai prévu à l'alinéa précédent. 
Exposé des motifs
Opposer un délai d'un mois au demandeur ne répond à aucun besoin puisque, à défaut de réponse, sa demande ne sera pas traitée. En effet, c'est à l'endroit du responsable du traitement qu'incombe le respect d'un délai de réponse et non au citoyen.Rédiger ainsi le troisième alinéa de l'article 96 : Les décisions du responsable du traitement refusant de donner une suite favorable à la demande qui lui est présentée sont motivées et mentionnent les voies et délais de recours ouverts pour les contester. 
Exposé des motifs
Cet amendement propose d'obliger le responsable du traitement à informer le demandeur des raisons et motifs l'ayant conduit à refuser de donner suite à sa demande.Dans le quatrième alinéa de cet article, remplacer :  plus de deux mois  par :  plus d'un mois .
Exposé des motifs
Amendement rédactionnel visant à harmoniser cet alinéa avec la modification proposée au premier alinéa de l'article.
Article 100
Rédiger ainsi le premier alinéa de cet article : La demande peut être effectuée soit par écrit, soit sur place, à la demande de l'intéressé. 
Exposé des motifs
C'est au citoyen qui exerce son droit d'accès d'en déterminer librement les modalités.Rédiger ainsi le deuxième alinéa de cet article : Lorsque le droit d'accès est exercé sur place, la consultation des pages-écrans immédiatement accessibles comportant des données à caractère personnel concernant le demandeur est de droit, sous réserve du respect du droit des tiers. Sauf disposition législative ou réglementaire contraire, une copie de ces pages-écrans peut être obtenue immédiatement. 
Exposé des motifs
La rédaction proposée par le projet de décret prévoit que la consultation des pages-écrans lors de l'exercice sur place du droit d'accès ne serait plus  de droit  mais soumise à l'appréciation du responsable du traitement, ce qui pourrait conduire le citoyen à rencontrer de réelles difficultés en la matière.Par ailleurs, la disposition selon laquelle les données doivent être  relatives au demandeur  soulève des difficultés d'interprétation. En effet, ces termes n'ont pas de signification au regard de la loi  informatique et libertés  qui se réfère aux données  concernant  le demandeur, ce qui est différent.En outre, le fait que des données concernant des tiers figurent sur un document ne doit pas empêcher le demandeur d'avoir accès aux données le concernant. En effet, c'est au responsable du traitement de prendre des mesures pour assurer la confidentialité des données concernant les tiers.Cet alinéa, s'il était maintenu en l'état, rendrait l'exercice du droit d'accès sur place quasiment impossible et donnerait de nombreux arguments au responsable du traitement pour refuser de communiquer les données au demandeur. Une telle limitation du droit le plus symbolique de la loi  informatique et libertés  ne peut donc qu'apparaître excessive.Rédiger ainsi le dernier alinéa de cet article : La demande de délivrance de copies d'informations contenues dans ce traitement de données à caractère personnel désigne, le cas échéant, le traitement ou les catégories de données dont la copie
par extrait est demandée.
Exposé des motifs
En pratique, les demandes de droit d'accès sont faites en une seule fois, tant pour savoir si des données sont enregistrées que pour en obtenir une copie. Le demandeur ne connaît donc pas nécessairement le traitement ou les catégories de données exactement concernés.Cet alinéa aurait pour conséquence, s'il était maintenu, de rendre quasiment impossible la délivrance de copies.
Article 12TITRE VII : DES TRANSFERTS DE DONNÉES À CARACTÈRE PERSONNEL VERS DES ÉTATS N'APPARTENANT PAS À LA COMMUNAUTÉ EUROPÉENNEChapitre Ier : Formalités préalables incombant aux responsables de traitements envisageant un transfert de données à caractère personnel
Article 106
Supprimer le second alinéa de cet article.
Exposé des motifs
Cet article prévoit d'encadrer les conditions dans lesquelles la CNIL délivre les autorisations et les avis relatifs aux transferts internationaux de données en application de l'article 69 de la loi du 6 janvier 1978 modifiée. A cet effet, il crée un strict parallèle entre, d'une part, les décisions et avis émis par la CNIL sur la base de l'article 69 et, d'autre part, les autorisations émises sur la base de l'article 25 et les avis fondés sur l'article 28.Or, un strict parallélisme ne paraît pas souhaitable puisqu'il risque d'alourdir de manière inopportune des règles qui sont déjà perçues, à juste titre, comme excessivement complexes en matière de transferts internationaux de données.En l'absence d'exception au caractère systématique d'une telle procédure, celle-ci pourrait ainsi constituer un obstacle à d'éventuelles simplifications telles que celles réalisées par l'extension des normes simplifiées 46 et 48, qui prévoient que les autorisations de transferts issus des traitements relevant de ces normes sont réputées accordées, dans certaines conditions, dès réception de l'engagement de conformité à ces normes.
L'extension de ces normes simplifiées, qui encadrent de manière stricte les conditions dans lesquelles les responsables de traitements peuvent transférer des données à caractère personnel hors de la Communauté européenne, a constitué une importante mesure de simplification des formalités préalables à effectuer en la matière. Il serait regrettable de priver tant les responsables de traitements que la CNIL du bénéfice de telles mesures de simplification.
Article 108
Supprimer cet article.
Exposé des motifs
La CNIL souhaiterait voir supprimé le premier alinéa de cet article, qui prévoit les conditions dans lesquelles des transferts issus de traitements exonérés de déclaration par la loi doivent néanmoins faire l'objet d'une autorisation par la CNIL, pour les mêmes raisons que celles évoquées à l'article 106.En effet, il ne paraît pas souhaitable de formaliser ces conditions de manière si précise. En l'absence d'exception au caractère systématique d'une telle procédure, notamment pour les traitements effectués par des organisations ayant désigné un correspondant, aucune mesure de simplification des procédures applicables ne serait envisageable pour des transferts qui pourraient pourtant ne comporter aucun élément dangereux pour les personnes dont les données à caractère personnel seraient transférées. Il serait, là encore, regrettable de priver tant les responsables de traitements que la CNIL du bénéfice de telles mesures de simplification.La CNIL demande également la suppression du deuxième alinéa de cet article, qui prévoit que le responsable de traitement est tenu d'informer les personnes intéressées des informations figurant à l'article 91 préalablement au transfert de données envisagé.Cette demande de suppression procède d'un souci d'économie réglementaire, la loi étant suffisamment précise sur la question du moment où l'information des personnes sur les transferts de leurs données doit intervenir. En effet, l'article 32-I (7°), de la loi du 6 janvier 1978 modifiée prévoit
d'ores et déjà que l'information des personnes doit s'effectuer préalablement aux transferts, puisque cette disposition fait recours à la mention des transferts de données à caractère personnel  envisagés  à destination d'un Etat non membre de la Commission européenne. La nécessité que l'information des personnes soit préalable aux transferts eux-mêmes est donc d'ores et déjà prévue par la loi.La rédaction de l'article 32-III relative à l'information des personnes dont les données à caractère personnel n'ont pas été directement recueillies auprès d'elles est suffisamment large pour englober les questions de transferts internationaux. Ainsi une telle information devra être communiquée,  si une communication à des tiers est envisagée, au plus tard lors de la première communication des données . Il ne semble dès lors pas nécessaire que le décret précise davantage ces dispositions de la loi qui paraissent, dans chaque hypothèse, suffisamment claires.La CNIL demande enfin la suppression du troisième alinéa de cet article. Celui-ci prévoit que le responsable d'un traitement exonéré de déclaration du fait de la désignation d'un correspondant à la protection des données, mais qui serait toutefois soumis à la procédure de demande d'autorisation de transfert, doit procéder concomitamment aux formalités de déclaration.Cette suggestion de suppression procède d'un souci de pragmatisme. Elle vise à préserver la possibilité d'adopter des mesures de simplification des procédures applicables
en matière de transferts internationaux de données issus de traitements mis en oeuvre par des organisations ayant désigné des correspondants. En effet, il sera parfois possible d'apprécier la portée d'un transfert au vu des seules informations communiquées à la CNIL sur la base des articles 104, 105 et 106, premier alinéa, du projet de décret, sans imposer systématiquement la déclaration préalable de l'intégralité du traitement dont un transfert pourra être issu. Il semble donc inopportun d'imposer de manière systématique cette obligation de déclaration par voie réglementaire à ces organismes.Chapitre II : Information des responsables de traitements, du public et des autorités européennes
Article 110
Supprimer cet article.
Exposé des motifs
Cet article a pour objet de définir les conditions et, plus spécifiquement, les délais dans lesquels les responsables de traitements, les autorités européennes de protection des données et la Commission européenne sont informés des autorisations et des avis portant sur des transferts délivrés par la CNIL, ou d'éventuelles décisions de suspension de ces transferts.La CNIL sollicite la suppression de cet article en n'estimant pas opportun que cette information soit encadrée dans des délais très stricts, qui risquent d'alourdir de manière excessive des procédures qui, comme il a déjà été rappelé plus haut, sont déjà complexes. En outre, comme la directive 95/46/CE du 24 octobre 1995 en laisse la faculté aux Etats membres de la Communauté européenne, et comme le prévoit l'article 69 de la loi du 6 janvier 1978, il appartient à la CNIL d'informer la Commission européenne des autorisations de transfert qu'elle délivre. Cette information pourra, en pratique, être effectuée concomitamment à l'information des autres autorités de contrôle européennes, dont le projet de décret prévoit bien qu'elle incombe à la CNIL.
Le président,
A. Türk
La commission, saisie le 20 novembre 2006 par le ministre de la santé et des solidarités d'un projet de décret en Conseil d'Etat pris en application des dispositions de l'article L. 1110-4 du code de la santé publique relatif à la confidentialité des informations médicales conservées sur support informatique ou transmises par voie électronique,Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;Vu le code de la santé publique, et notamment son article L. 1110-4 ;Vu le code de la sécurité sociale, et notamment ses articles L. 161-36-1 A et L. 161-36-2 ;Vu la délibération de la CNIL n° 2005-209 du 11 octobre 2005 portant avis sur un projet de décret en Conseil d'Etat relatif à la confidentialité des données de santé à caractère personnel pris en application de l'article L. 1110-4 du code de la santé publique ;Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport et Mme
Pascale Compagnie, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :Le ministre de la santé et des solidarités a saisi la Commission nationale de l'informatique et des libertés d'une nouvelle version du projet de décret en Conseil d'Etat relatif à la confidentialité des informations médicales conservées sur support informatique ou transmises par voie électronique. Ce texte pris en application des dispositions du quatrième alinéa de l'article L. 1110-4 du code de la santé publique (issu de l'article 3 de la loi du 4 mars 2002 relative aux droits des malades et à la qualité du système de santé) qui dispose : Afin de garantir la confidentialité des informations médicales mentionnées aux alinéas précédents, leur conservation sur support informatique comme leur transmission par voie électronique entre professionnels sont soumises à des règles définies par décret en Conseil d'Etat pris après avis public et motivé de la Commission nationale de l'informatique et des libertés. Ce décret détermine les cas où l'utilisation de la carte professionnelle de santé mentionnée au dernier alinéa de l'article L. 161-33 du code de la sécurité sociale est obligatoire. Cette disposition a été insérée à l'article L. 161-36-1 A du code de la sécurité sociale par la loi du 13 août 2004 relative à l'assurance maladie, qui prévoit notamment la création du dossier médical personnel (DMP) et précise que le report dans ce dossier par les professionnels de santé des informations
médicales qu'ils génèrent s'opère dans le respect des règles de sécurité prévues à l'article L. 1110-4 du code de la santé publique.
Sur le renvoi à des référentiels définis par arrêté
Alors que le premier projet de décret pris en application de l'article L. 1110-4 du code de la santé publique, dont la commission a été saisie et sur lequel elle s'est prononcée par avis du 11 octobre 2005, renvoyait la définition précise des règles de sécurité applicables à la conservation et à la transmission sur support électronique des données personnelles de santé à des  politiques de confidentialité  consignées dans des  protocoles de confidentialité  établis par les professionnels et établissements de santé, le présent texte dispose que les conditions de confidentialité et de sécurité auxquelles auront à se conformer les professionnels et établissements de santé seront précisées dans des  référentiels  définis par arrêté du ministre de la santé pris après avis de la CNIL et conformes, pour les établissements publics de santé et ceux participant à un service public hospitalier, au référentiel général de sécurité instauré par l'ordonnance du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives.La commission approuve pleinement l'évolution que traduit le nouveau dispositif qui ne fait plus reposer la responsabilité d'établir les règles de sécurité sur ceux auxquels il incombe de les appliquer.Elle se félicite également que, conformément à la demande formulée dans son précédent avis, le texte dont elle est aujourd'hui saisie comporte aux 1°, 2°, 3° et 4° du projet d'article R. 1110-1
du code de la santé publique l'énumération qu'elle avait souhaitée des catégories de mesures à adopter pour parvenir à un contenu satisfaisant des règles de sécurité.Si la commission comprend par ailleurs que soit recherchée une cohérence entre les référentiels relatifs aux conditions de confidentialité et de sécurité applicables aux informations médicales et le référentiel général de sécurité instauré par l'ordonnance du 8 décembre 2005, elle estime que, s'agissant de données de santé qui sont protégées par un secret légal, les règles de sécurité doivent être renforcées par rapport à celles applicables dans le domaine de l'administration électronique.De toute façon, elle observe que le référentiel général de sécurité prévu à l'article 9 de l'ordonnance du 8 décembre 2005  fixe les règles que doivent respecter les fonctions des systèmes d'information contribuant à la sécurité des informations échangées par voie électronique...  alors que l'objet des référentiels applicables aux données de santé devra être plus large et couvrir non seulement la transmission de ces données mais également leur conservation sur support électronique.Enfin, il y a lieu de rappeler que les établissements privés de soins ne sont pas hors du champ d'application des règles de sécurité. Or, en ce qui les concerne, le projet de décret ne contient aucune indication.Mais le problème qui a particulièrement retenu l'attention de la commission est celui que pose la date d'entrée en vigueur de ces
dispositions. En effet, aux termes de l'article 2 du projet de décret, cette date devrait intervenir dans un délai maximum de trois ans à compter de la publication de l'arrêté du ministre de la santé, qui définira le référentiel de sécurité applicable aux données de santé. Comme, ainsi qu'il vient d'être précisé, ce dernier référentiel devra lui-même être (pour partie) conforme au référentiel général de sécurité de l'ordonnance du 8 décembre 2005 et que celle-ci a prévu que  les conditions d'élaboration, d'approbation, de modification et de publication de ce référentiel sont fixées par décret , à ce jour non paru, on voit que la mise en oeuvre effective des règles de sécurité à fixer en application d'une disposition législative remontant à 2002 se trouve en réalité reportée à une date qui risque d'être très lointaine.Pour que ces délais d'application soient compatibles avec le calendrier de mise en place du DMP et l'objectif annoncé de  généralisation  de celui-ci au 1er juillet 2007, la Commission estime en conséquence nécessaire que soient prévues des dispositions transitoires relatives aux règles de sécurité qui devront s'appliquer pendant la période qui s'écoulera entre la publication du décret et l'entrée en vigueur des référentiels approuvés par le ministre de la santé.
Sur l'utilisation de la carte de professionnel de santé