AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1591504)
La Commission nationale de l’informatique et des libertés, 
Saisie par la Croix-Rouge Française d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion administrative, médicale et paramédicale des patients admis dans les établissements sanitaires de la Croix Rouge Française ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1°, 25-I-6° et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La Croix-Rouge Française est une association à but non lucratif et reconnue d’utilité publique. 
Sur la finalité
La finalité du présent traitement est la gestion administrative, médicale et paramédicale des patients admis dans les établissements sanitaires de la Croix Rouge Française.  La Commission considère la finalité poursuivie comme déterminée, légitime et explicite.
Dans ce contexte, la Commission considère qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1°, 25-I-6° et 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements de données de santé, ceux utilisant le numéro de sécurité sociale, ainsi que ceux comportant les données comportant des appréciations sur les difficultés sociales des personnes et des données de santé.  
Sur les données traitées
Les données collectées sont 
des données relatives à :
l’identification (nom, prénom, adresse, photographie, date et lieu de naissance, numéro de téléphone, adresse électronique) ;
la vie personnelle (habitudes de vie, situation familiale) ;
la vie professionnelle (CV, situation professionnel, scolarité, formation) ;
la situation économique et juridique (revenus, situation financière, tutelle ou curatelle) ;
l’appréciation des difficultés sociales des personnes (dossier social : revenus, modes de vie, situation d’isolement) ;
la santé (pathologie, affection, données relatives aux soins, examens d’imagerie le cas échéant, et aux seules fins d’administration de soins ou de traitements)
ainsi que le numéro de sécurité sociale (aux seules fins de facturation et d’échanges avec la sécurité sociale) ;
et des photographies de certains patients suivis dans les établissements, notamment pédiatriques, qui prennent en charge de patients polyhandicapés qui ne peuvent s’exprimer, les photographies seront utilisées à des fins d’authentification des personnes. 
La Commission prend acte d’une part, de ce qu’un formulaire d’autorisation de prise de vue et d’utilisation de l’image sera signé par l’un des deux titulaires de l’autorité parentale et/ou par la personne majeure, et d’autre part, qu’aucun dispositif de reconnaissance faciale ne sera mis en place. 
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités des établissements sanitaires de la Croix Rouge Française.  La Commission prend acte que l’habilitation à consulter des données de santé ne peut être attribuée qu’à des personnes soumises au secret médical, et dans la stricte limite de leurs missions. Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur le livret d’accueil remis à chaque patient.Les droits d’accès et de rectification s’exercent auprès des personnels de la Direction de la santé et de l’autonomie de la Croix-Rouge Française, 98, rue Didot – 75014 PARIS.  La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes. 
Sur les mesures de sécurité
Concernant les modalités d’accès aux données, les utilisateurs ayant accès à l’application sont authentifiés au moyen d’un mot de passe respectant les recommandations de la Commission en la matière. Toutefois, la Commission rappelle que l’authentification des professionnels de santé par identifiant et mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret n° 2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou d’un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS, et ce pour toute transmission ou tout accès à des données de santé. La Commission souhaite que le responsable de traitement se conforme à ces exigences.Par ailleurs, des profils d’habilitation permettent de déterminer les données auxquels peuvent accéder les utilisateurs.Concernant les mesures de traçabilité, l’ensemble des accès en consultation, modification et création sont tracés et conservés dans le dossier du patient.Concernant les réseaux au travers desquels sera accessible le traitement, ceux-ci seront reliés entre eux par un réseau VPN (Virtual Network Computer) présentant un niveau de sécurité suffisant.Enfin, les supports de stockage usagés seront détruits par un prestataire spécialisé.La Commission juge les mesures de sécurité mises en place
satisfaisantes.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une année, puis elles sont archivées. La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, la Croix-Rouge Française à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1578267)
La Commission nationale de l’informatique et des libertés, 
Saisie par l’association Espoir Mulhouse d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des demandes d’hébergement d’urgence et de logement d’insertion ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 345-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu la loi n° 2007-290 du 5 mars 2007 instituant le droit au logement opposable et portant diverses mesures en faveur de la cohésion sociale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, rapporteur et après avoir entendu les observations de Mme Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L’Association Espoir Mulhouse gère des demandes d’hébergement d’urgence et de logement d’insertion via l’utilisation d’une plateforme informatique unique, commune à l’ensemble des gestionnaires d’hébergement et de logement (GHL) du département.Le traitement 4D-CHRS répondra aux exigences de la loi n°2007-290 du 5 mars 2007 instituant le droit au logement opposable et portant diverses mesures en faveur de la cohésion sociale et des circulaires du 8 avril 2010 et du 7 juillet 2010, dont l’objectif est de réorganiser le secteur de l’hébergement et du logement social par la création d’un nouveau dispositif de gestion de l’offre et de la demande, dénommé Service intégré d’accueil et d’orientation (SIAO).
Sur la finalité
Le traitement 4D-CHRS sera utilisé pour gérer l’ensemble des demandes d'hébergement d'urgence et d’insertion. Il répond à une triple finalité : 
une meilleure gestion de l’offre et de la demande en hébergement social au sein du département, via  l’identification des places disponibles, des besoins de chaque demandeur, et du service à rendre de la manière la plus adaptée ; 
une mission d’observation et d’évaluation statistique de la qualité de l’hébergement social ;
un suivi personnalisé des personnes hébergées, du traitement de leur demande d’hébergement social en urgence vers leur réinsertion.
Les habilitations des personnes concernées relèveront des fonctions propres de chaque utilisateur (personnel du SIAO, personnel des GHL, travailleurs sociaux, personnel du 115), la DDCSPP n’accédant qu’aux données statistiques.L’association Espoir Mulhouse mettra en place une journalisation des accès en lecture et en écriture aux dossiers, et une conservation de ces journaux pendant 12 mois.Un mécanisme de chiffrement des données identifiantes (nom, prénom, date de naissance, numéro d'identification) sera mis en place dans la base de données. Ce mécanisme reposera sur l’algorithme RSA, utilisé avec une longueur de clé de 1024 bits. Le mot de passe permettant d’accéder au traitement sera de 8 caractères minimum, contiendra des chiffres et des caractères spéciaux, et disposera d’une durée de validité limitée.La Commission considère ces éléments comme satisfaisants. 
Sur les autres caractéristiques du traitement
Les données collectées sur les personnes sont conservées durant vingt quatre mois à compter de la dernière opération enregistrée dans le traitement 4D-CHRS, tandis que les données concernant les hébergements alloués sont conservées le temps du séjour de la personne concernée, ce qui n’appelle aucune observation.
Autorise, conformément à la présente délibération, l’association Espoir Mulhouse à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1467038)
La Commission nationale de l’informatique et des libertés, 
Saisie par l'Association PRESENCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité d’organiser le suivi et l'accompagnement de travailleurs handicapés en vue de favoriser leur épanouissement personnel et social. 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article  L. 311-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1°, 25-I-3°, 25-I-6° et 25-I-7° ;
Vu la loi n° 2002-2 du 2 janvier 2002 rénovant l'action sociale et médico-sociale ; 
Vu la loi n° 2005-102 du 11 février 2005 pour l'égalité des droits et des chances, la participation et la citoyenneté des personnes handicapées ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, rapporteur et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L'Association PRESENCE, créée le 1er décembre 1993, est un organisme à but non lucratif et vise deux objectifs essentiels : d'une part, aider et maintenir à leur domicile des personnes ayant besoin d'assistance dans les actes de tous les jours ; d'autre part, favoriser la réinsertion sociale et professionnelle de demandeurs d'emploi. L’association PRESENCE est agréée pour fonctionner comme une association prestataire de services et mandataire. En option prestataire, l'association est employeur et fait intervenir son personnel auprès des usagers. En option mandataire, la personne faisant appel à PRESENCE devient membre adhérent de l'association et a le statut d'employeur. Les interventions du personnel sont dans ce cas régies par la Convention Collective Nationale des Salariés du Particulier Employeur. En premier lieu, l’association a pour objet de gérer l’établissement « POSEIDON » qui prend en charge le suivi et l'accompagnement de travailleurs handicapés, en vue de favoriser leur épanouissement personnel et social.Cet établissement est un établissement social et médico-social au sens de l’article L. 312-1-I-1° du code de l’action sociale et des familles. Conformément à l’article L. 311-1 du même code, il exerce donc une mission d’intérêt général et d’utilité sociale.En second lieu, l’association a un double agrément préfectoral au titre des Emplois de Services aux Personnes : un agrément simple (1/00/PRO/300) et un agrément qualité (2/06/PRO/300).En outre, elle a signé une
convention avec le Conseil général du Var et l’Agence régionale de la Santé (ARS) ainsi qu’un contrat d’objectifs et de moyens. En troisième lieu, s’agissant des conditions de création, d’organisation ou de fonctionnement de l’association, la Commission relève que l’association est entièrement financée par le Conseil général du Var. A ce titre, le Conseil général contrôle la capacité d’accueil de l’établissement, tout changement dans l’organisation, la direction ou le fonctionnement de l’établissement, la comptabilité établie par référence au plan comptable des établissements publics hospitaliers et le budget prévisionnel (comprenant la prévision détaillée des charges, notamment l’organigramme du personnel, et des recettes), le compte d’exploitation et le bilan de l’association. L’association est donc soumise à des contrôles d’activité annuels. Elle remet un bilan d’activité au Conseil général du Var tous les 5 ans. Au regard de ce qui précède, la Commission considère que l’association PRESENCE gère un service public au sens de l’article 9-1° de la loi du 6 janvier 1978 modifiée.
Sur la finalité
La finalité du traitement est d’organiser l'accompagnement et le suivi des activités à caractère professionnel et du soutien médico-social et éducatif de travailleurs handicapés en vue de favoriser leur épanouissement personnel et social. 
La Commission considère que cette finalité est déterminée, explicite et légitime. 
La Commission considère que le recours à la formalité de l’autorisation se justifie au regard de : 
l’article 25-I-1° pour ce qui concerne le traitement de données de santé et d’autres données sensibles ; 
l’article 25-I-3° pour ce qui concerne le traitement de données d’infraction, dans la mesure où l’association gère un service public au sens de l’article 9-1° ; 
l’article 25-I-6° pour ce qui concerne le traitement du numéro de sécurité sociale ; 
l’article 25-I-7° de la loi pour ce qui concerne les appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées sont relatives : 
à l’identification des personnes accompagnées et, le cas échéant, de leurs responsables légaux ;
à leur situation familiale et à leurs habitudes de vie ;
à leur vie professionnelle ;
à leurs revenus et à leur situation financière ; 
au numéro de sécurité sociale (conservé uniquement sous format papier pour présentation au médecin ou à une infirmière, si besoin, afin que ce dernier puisse échanger avec la sécurité sociale) ;
aux infractions, condamnations et mesures de sûreté (jugement du juge des tutelles, convocation à d’éventuelles audiences de la personne suivie, éléments relatifs aux délits mineurs commis par ces personnes) ; 
aux appréciations sur les difficultés sociales des personnes (données issues des services sociaux et des partenaires sociaux par les services de l’aide sociale à l’enfance du Conseil général et conservées uniquement sous format papier) ; 
aux données de santé (dossier de santé de la personne concernée conservé sous format papier et accessible uniquement par le médecin et par l’infirmière en charge du suivi de cette personne) ;
à d’autres données sensibles (les données relatives à la vie sexuelle de la personne concernée permettent un accompagnement personnalisé de celle-ci et sont collectées seulement avec le consentement exprès de l’intéressé).
Le traitement de ces données apparaît adéquat, pertinent et non excessif. 
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de l’association et de l’établissement.La Commission prend acte que l’habilitation à consulter des données de santé ne peut être attribuée qu’à des personnes soumises au secret professionnel, et dans la stricte limite de leurs missions. La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données.
Sur l’information et le droit d’accès
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées au moyen de mentions spécifiques dans le règlement de fonctionnement de l’établissement et par affichage.Les droits d’accès et de rectification s’exercent auprès du personnel habilité de l’établissement POSEIDON, Service social, 255 avenue Charles de Gaulle, 83500 LA SEYNE sur MER.  Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission observe que le traitement déclaré est le logiciel de traitement FICRES (fichier des résidents). Les habilitations des utilisateurs du traitement respectent les préconisations de la CNIL.Elle prend également note du fait que les données de santé et les données relatives aux infractions sont conservées uniquement sous format papier dans une armoire fermée à clé.Concernant les mesures d’authentification des utilisateurs, la Commission rappelle qu’il est impératif que celles-ci soient suffisamment robustes pour assurer une authentification fiable des utilisateurs. Ainsi, le traitement doit obliger les utilisateurs à avoir recours à des mots de passe de 8 caractères minimum, contenant des lettres majuscules, des lettres minuscules, des chiffres et des caractères spéciaux, ou bien utiliser des techniques d’authentification apportant un niveau de sécurité analogue.Concernant le contrôle des accès aux données, des mesures de traçabilité doivent permettre d’imputer toutes les opérations de consultation, modification ou de création à l’utilisateur à l’origine de cette opération, et ce afin de pouvoir détecter d’éventuelles opérations frauduleuses a posteriori. Ces données de traçabilité doivent être conservées 6 mois dans des conditions permettant de garantir leur intégrité et leur confidentialité, et une procédure opérationnelle doit en définir les modalités d’accès.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la durée de la prise en charge puis 12 mois à compter de la fin de cette prise en charge.  Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l'Association PRESENCE à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1467247)
La Commission nationale de l’informatique et des libertés, 
Saisie par l'Association PRESENCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité d’organiser l'accompagnement et le suivi éducatif, scolaire, pédagogique, social, thérapeutique, psycho-médical et rééducatif d'enfants, d'adolescents et de jeunes adultes présentant une déficience intellectuelle sévère. 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 311-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1°, 25-I-3°, 25-I-6° et 25-I-7° ;
Vu la loi n° 2002-2 du 2 janvier 2002 rénovant l'action sociale et médico-sociale ; 
Vu la loi n° 2005-102 du 11 février 2005 pour l'égalité des droits et des chances, la participation et la citoyenneté des personnes handicapées ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, rapporteur et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L'Association PRESENCE, créée le 1er décembre 1993, est un organisme à but non lucratif et vise deux objectifs essentiels : d'une part, aider et maintenir à leur domicile des personnes ayant besoin d'assistance dans les actes de tous les jours ; d'autre part, favoriser la réinsertion sociale et professionnelle de demandeurs d'emploi. L’association PRESENCE est agréée pour fonctionner comme une association prestataire de services et mandataire. En option prestataire, l'association est employeur et fait intervenir son personnel auprès des usagers. En option mandataire, la personne faisant appel à PRESENCE devient membre adhérent de l'association et a le statut d'employeur. Les interventions du personnel sont dans ce cas régies par la Convention Collective Nationale des Salariés du Particulier Employeur. En premier lieu, l’association a pour objet de gérer l’établissement « IME Présence » qui prend en charge le suivi éducatif et social d’enfants, d’adolescents et de jeunes adultes présentant un retard intellectuel sévère.Cet établissement est un établissement social et médico-social au sens de l’article L. 312-1-I-1° du code de l’action sociale et des familles. Conformément à l’article L. 311-1 du même code, il exerce donc une mission d’intérêt général et d’utilité sociale.En second lieu, l’association a un double agrément préfectoral au titre des Emplois de Services aux Personnes : un agrément simple (1/00/PRO/300) et un agrément qualité (2/06/PRO/300).En outre, elle a signé
une convention avec le Conseil général du Var et l’Agence régionale de la Santé (ARS) ainsi qu’un contrat d’objectifs et de moyens. En troisième lieu, s’agissant des conditions de création, d’organisation ou de fonctionnement de l’association, la Commission relève que l’association est entièrement financée par le Conseil général du Var. A ce titre, le Conseil général contrôle la capacité d’accueil de l’établissement, tout changement dans l’organisation, la direction ou le fonctionnement de l’établissement, la comptabilité établie par référence au plan comptable des établissements publics hospitaliers et le budget prévisionnel (comprenant la prévision détaillée des charges, notamment l’organigramme du personnel, et des recettes), le compte d’exploitation et le bilan de l’association. L’association est donc soumise à des contrôles d’activité annuels. Elle remet un bilan d’activité au Conseil général du Var tous les 5 ans. Au regard de ce qui précède, la Commission considère que l’association PRESENCE gère un service public au sens de l’article 9-1° de la loi du 6 janvier 1978 modifiée.