AgentPublic/cnil huggingface dataset:
d’alimenter le processus de conventionnement des établissements de santé par Carte blanche partenaires.
La Commission rappelle que les données et les résultats obtenus à partir des classements ne devront en aucun cas pouvoir être utilisés afin de poursuivre des finalités décrites à l’article L. 1461-1 V du code la santé publique ou toute autre finalité qui ne présenterait pas un intérêt public.
Sous cette réserve, la Commission considère d’une part que la finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5 paragraphe 1 point b) du RGPD et, d’autre part, qu’elle présente un intérêt public, conformément à l’article 66 I de la loi informatique et libertés .
Sur les catégories de données traitées
La Commission rappelle que le responsable de traitement ne doit traiter, pour chacun des traitements mis en œuvre dans le cadre de la présente décision unique, que les données strictement nécessaires et pertinentes au regard des objectifs des traitements.
Outre le fichier spécifique permettant de chaîner toutes les données du PMSI concernant un même patient (fichier ANO ), les données concernant l’activité suivante sont nécessaires à la réalisation de ces études : médecine, chirurgie, obstétrique et odontologie (MCO).
Les traitements inclus dans le cadre de la décision unique portent sur les données nationales du PMSI des années 2017 à 2021, sous réserve qu’elles soient diffusables par l’ATIH.
La Commission rappelle que, conformément à l'article 30 du RGPD, le responsable de traitement devra tenir à jour, au sein du registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente décision unique. Par ailleurs, le caractère adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles les données sont traitées, la zone géographique concernée et la profondeur historique des données consultées devront être justifiés dans ce registre pour chaque traitement mis en œuvre dans le cadre cette décision unique.
Sur la durée de conservation des données 
Les données à caractère personnel du PMSI ne peuvent faire l’objet d’une conservation en dehors de la plateforme du Centre d’accès sécurisé aux données (ci-après CASD ) par le responsable de traitement, leur exportation étant interdite. Seuls des résultats anonymes peuvent en être exportés.
La durée d’accès aux données dans la plateforme sécurisée doit être limitée à la durée nécessaire à la mise en œuvre des traitements, qui ne saurait être supérieure à trois ans, à compter du premier accès effectif aux données.
Sur la publication des résultats
La Commission rappelle que, lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi informatique et libertés .
Les résultats du classement réalisé dans le cadre de la présente décision unique seront rendus accessibles, via l’outil Guidhospi aux assurés bénéficiaires du réseau de Carte blanche partenaires.
D’autres résultats seront rendus accessibles à l’ensemble de la société civile sur le site institutionnel de Carte blanche partenaires ou dans des magazines.
Sur les catégories de destinataires des données 
Seul le responsable du traitement et les personnes habilitées par lui ont accès aux données dans le cadre de la présente décision unique. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur l’information et les droits des personnes
La mise à disposition des données du SNDS et de ses composantes est conçue de façon à rendre compte de leur utilisation à la société civile. À cette fin, l’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à La Plateforme des données de santé de plusieurs éléments par le responsable de traitement, avant et après les études.
Dès que le répertoire public tenu par la Plateforme des données de santé sera effectif, le responsable de traitement s’engage à y enregistrer l’ensemble des études réalisées dans le cadre de cette décision unique. Cet enregistrement, à effectuer par le responsable de traitement ou la personne agissant pour son compte, avant le début des traitements, s’accompagne de la transmission à la Plateforme des données de santé d’un dossier comportant :
le protocole, incluant la justification de l’intérêt public, ainsi qu’un résumé, selon le modèle mis à disposition par la Plateforme des données de santé ;
la déclaration d’intérêts du responsable du traitement, en rapport avec l'objet des traitements.
À la fin des études, la méthode et les résultats obtenus devront être communiqués à la Plateforme des données de santé en vue de leur publication. L’enregistrement des traitements et la transmission des résultats sont effectués conformément aux modalités définies par la Plateforme des données de santé.
Par ailleurs, la Commission prend acte de l’engagement de la société Carte blanche partenaires de publier sur son site web la liste des traitements mis en œuvre dans le cadre de la décision unique ainsi que la liste des communications et des publications réalisées.
Elle prend également acte de l’engagement de la société de mettre à la disposition du public sur son site web l’ensemble des résultats obtenus chaque année, une fois passé le délai d’un an, correspondant à la période pendant laquelle l’accès sera réservé aux assurés bénéficiaires du réseau.
La Commission rappelle enfin qu’à l’issue du délai de trois ans, un bilan contenant notamment la liste des analyses réalisées dans le cadre de la décision unique ainsi que la méthodologie suivie dans le cadre des analyses devra être adressé à la Commission.
Sur les audits externes 
Le responsable de traitement devra réaliser en son sein un audit externe indépendant à l’expiration du délai de trois ans en vue de s'assurer du respect des principes portés par la loi, en particulier le respect des finalités interdites. Cet audit devra porter sur les finalités poursuivies et sur l'utilisation par le responsable de traitement des résultats des études réalisées. Un rapport d'audit devra être transmis au président du comité d'audit du SNDS prévu par la loi informatique et libertés .
Autorise, conformément à la présente délibération, la société Carte blanche partenaires à mettre en œuvre les traitements décrits ci-dessus pendant une durée de trois ans, avec obligation, d’une part, de remise d’un bilan à la Commission à l’issue de ce délai et, d’autre part, de réaliser un audit externe indépendant.
 
 La Présidente
 Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de la transition écologique et solidaire d’une demande d’avis concernant un projet de décret relatif au traitement des demandes de remboursement partiel de la contribution au service public de l'électricité (CSPE) au titre des années 2009 à 2015 ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8.I 4° a) ;
Vu la loi n° 2019-1147 du 8 novembre 2019 relative à l’énergie et au climat, notamment son article 57 ;
Vu l’ordonnance n° 2020-161 du 26 février 2020 relative au règlement transactionnel par le président de la Commission de régulation de l'énergie du remboursement de la contribution au service public de l'électricité ;
Vu le décret n° 2018-687 du 1er août 2018 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles ;
Sur la proposition de Monsieur Eric PERES, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie pour avis, sur le fondement de l'article 8.I 4° a) de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après la loi Informatique et Libertés ), d’un projet de décret relatif au traitement des demandes de remboursement partiel de la contribution au service public de l'électricité (CSPE) au titre des années 2009 à 2015.
Instaurée par l'
article 37 de la loi n° 
2003-8 du 3
janvier 2003
 relative aux marchés du gaz et de l'électricité et au service public de l'énergie, la CSPE était initialement acquittée par les consommateurs d’électricité au prorata de leur consommation. La compatibilité de la CSPE avec la directive 2003/96/CE sur la taxation de l’électricité a fait l’objet d’une question préjudicielle du Conseil d’Etat et d’un arrêt de la Cour de justice de l’Union européenne (CJUE) en date du 25 juillet 2018 (arrêt C-103/17).
Le Conseil d’Etat, suivant l’arrêt de la CJUE, a confirmé dans une décision du 3 décembre 2018 que la CSPE pouvait être remboursée partiellement à proportion de la part consacrée à des finalités autres que sa finalité environnementale. La décision est venue préciser, qu’entre le 1er janvier 2009 et le 1er janvier 2016, date où la CSPE a été réformée, les contribuables pouvaient prétendre à un remboursement partiel de la CSPE.
En 2015, la Commission de régulation de l’énergie (CRE) a été désignée par le Conseil d’Etat comme l’autorité compétente pour connaître des réclamations relatives à la CSPE. Devant l’afflux de réclamations et de requêtes au sujet de la CSPE, la loi relative à l’énergie et au climat du 8 novembre 2019 a confié à la CRE le soin de mettre en œuvre un mode alternatif de règlement du contentieux administratif.
L’article 57 de la loi habilite ainsi le Gouvernement à légiférer par ordonnance pour permettre à la CRE de recourir à la transaction pour mettre un terme aux litiges liés au paiement de la CSPE et à engager le paiement des sommes correspondantes.
Le présent projet de décret définit les conditions de recevabilité des demandes de remboursement partiel de CSPE, les modalités de dépôt des demandes de remboursement par voie électronique, les modalités de calcul du montant de la transaction et les modalités d'instruction de la transaction.
Ce projet de texte appelle les observations suivantes de la Commission.
Sur les données collectées et traitées
L’article 1er du projet de décret établit la liste des pièces devant être transmises par le demandeur et conditionnant la recevabilité de sa demande de remboursement partiel de CSPE.
La Commission relève que le projet de décret ne précise pas la nature des pièces ou justificatifs d’identité considérés comme acceptables par le ministère.
A cet égard, elle prend acte des précisions apportées par le ministère selon lesquelles ces pièces consistent, d’une part, pour les personnes physiques, en une copie de leur pièce d’identité (CNI ou passeport) ou une connexion via France Connect et, d’autre part, pour les personnes morales, en une copie des mandats des représentants légaux et/ou des personnes habilitées autorisant le déposant à accéder à la plateforme (ci-après le portail CSPE ) ainsi que leur pièce d’identité.
De plus, le ministère indique que l’adresse électronique des demandeurs sera collectée lors de l’enrôlement sur le portail CSPE pour la notification par voie électronique.
La Commission considère que ces catégories de données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur l’information et les droits des personnes concernées 
Le projet de décret ne mentionne pas les modalités d’information des personnes concernées.
Le ministère indique que des mentions d’information seront insérées au sein des conditions générales d’utilisation (CGU) du portail CSPE. La Commission recommande à cet égard, qu’en sus des CGU, les mentions d’information et, notamment, l’information relative aux durées de conservation des données, soient centralisées au sein d’un espace dédié à la protection des données personnelles disponible sur le portail CSPE afin que les personnes concernées puissent en prendre connaissance sous une forme compréhensible et aisément accessible tout au long de l’instruction de leur demande. De plus, la Commission précise que les personnes déposant une telle demande par voie postale devront faire l’objet d’une information adaptée à ce canal.
La Commission prend acte des précisions apportées par le ministère s’agissant des modalités d’exercice des droits des personnes. A cet égard, une assistance utilisateur intégrée au portail CSPE permettra aux personnes concernées d’exercer leurs droits directement auprès d’elle. De plus, l’agence de services et de paiement (ASP) est en charge de répondre, au nom et pour le compte de la CRE, à toute demande d’exercice des droits formulée par les personnes concernées dans les délais prévus à l’article 12 du RGPD.
Sur la durée de conservation des données 
Le projet de décret ne mentionne pas la durée de conservation des informations traitées dans le cadre des demandes de remboursement.
Le ministère indique que pendant toute la durée de la procédure de remboursement (du dépôt de la demande à l’émission de la proposition de transaction), l’ensemble des pièces et données relatives au demandeur seront conservées par l’ASP. A cet égard, la durée de conservation correspondra à celle nécessaire pour les besoins du contentieux et sera définie prochainement par le ministère.
En cas de non aboutissement de la transaction (par exemple, en cas de refus du demandeur de la proposition de transaction qui lui est formulée), les données seront conservées au sein d’un système d’archivage électronique à valeur probante pendant la durée nécessaire pour les besoins du contentieux. Cette durée sera définie prochainement par le ministère et devra être communiquée aux personnes concernées conformément à l’article 13 du RGPD. De plus, pour tout dossier déposé sur le portail CSPE, non validé et inactif pendant une période de six mois, sous réserve de confirmation par le ministère, les données seront supprimées.
Enfin, un mécanisme de purge automatique permettant de garantir le respect des durées de conservation est également prévu.
Au regard de ces éléments et sous réserve des précisions du ministère sur la durée de conservation pour les besoins du contentieux, la Commission considère que les données collectées sont conservées pendant une durée qui n'excède pas la durée nécessaire compte tenu des finalités pour lesquelles elles sont collectées et traitées, conformément à l'article 5-1-e du RGPD.
Sur les mesures de sécurité 
L’article 2 du projet de décret indique un objectif de sécurité général prenant en compte l’identification des parties, l’intégrité des documents et la sécurité et la confidentialité des échanges. L’article 32 du RGPD requérant la sécurisation des données tout au long de son cycle de vie, cet article 2 pourrait être modifié afin d’y intégrer l’obligation plus générale concernant la sécurité des données sur la plateforme. Le début du II de l’article 2 devrait dès lors faire état que les caractéristiques techniques de cette plateforme garantissent la sécurité des données, notamment […] .
Le traitement étant un téléservice d’une autorité administrative au sens de l’ordonnance n° 2005-1516 du 8 décembre 2005, il doit être conforme au référentiel général de sécurité (RGS) prévu par le décret n° 201112 du 2 février 2010 susvisé. La Commission rappelle qu’il revient au responsable de traitement d’attester formellement de la sécurité de celui-ci au travers une homologation RGS et de publier l’attestation sur le site du téléservice.
De plus, la Commission rappelle que les plateformes, comme tout site web, doivent faire l'objet de mesures à l'état de l'art afin de garantir leur sécurité. A ce titre, elle insiste sur la nécessité de mettre en place des mesures spécifiques, telles que celles recommandées par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) dans la note technique recommandations pour la sécurisation des sites web .
Concernant les échanges avec les demandeurs, la Commission note que la CRE n’enverra par courriel qu’une information d’existence d’une réponse consultable sur le portail CSPE. Cette solution permet de notifier l’utilisateur de l’avancement de son dossier tout en garantissant, notamment, la confidentialité des échanges et l’authenticité des parties par des mesures de sécurité sur le portail CSPE comme la mise en œuvre du protocole HTTPS pour l’accès à celui-ci et le choix des modalités d’authentification des demandeurs. De plus, la Commission rappelle que le même niveau de protection doit être appliqué aux processus papiers qu’aux processus numériques.
La Commission prend acte que les modalités du transfert des informations sur l’issue de la transaction au tribunal administratif ne sont pas encore définies. Elle rappelle l’importance de choisir une solution qui assure un niveau de sécurité suffisant des données, notamment en ce qui concerne leur confidentialité et leur intégrité ainsi que l’authenticité de l’émetteur. Ceci implique, notamment, que les données soient chiffrées ou passent par un tunnel chiffré, et qu’une traçabilité de ces échanges soit mise en œuvre.
Le dispositif prévoyant la possibilité d’extraire des pièces de la plateforme des juridictions administratives, la Commission rappelle que cela devra s’effectuer dans des conditions respectant le haut niveau d’exigence de sécurité qui repose sur ces plateformes.
Le portail CSPE pouvant être amené à traiter des documents utilisés dans la fraude à l’identité, notamment des pièces ou justificatifs d’identité, la Commission rappelle l’importance d’assurer la confidentialité de ces documents.
Enfin, s’agissant du contrôle d’accès au portail CSPE, la Commission rappelle qu’elle a élaboré une délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe, à laquelle le responsable du traitement pourra utilement se référer.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement semblent conformes à l’exigence de sécurité prévue par les articles 5-1-f et 32 du RGPD.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour de l’analyse d’impact relative à la protection des données (AIPD) et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
 
La Présidente 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par CESI d’une demande d’agrément pour la certification des compétences du délégué à la protection des données (DPO) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2° h) ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment son article 74 ;
Vu la délibération n° 2018-317 du 20 septembre 2018 portant adoption des critères du référentiel d’agrément d’organismes de certification pour la certification des compétences du délégué à la protection des données (DPO) ;
Vu la délibération n° 2018-318 du 20 septembre 2018 portant adoption des critères du référentiel de certification des compétences du délégué à la protection des données (DPO) ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement
Formule les observations suivantes :
L’article 8-I-2° h) de la loi n° 78-17 telle que modifiée par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles dispose que la CNIL  peut décider de certifier des personnes, des produits, des systèmes de données ou des procédures aux fins de reconnaître qu'ils se conforment au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et à la présente loi. Elle prend en considération, à cette fin, les besoins spécifiques des collectivités territoriales, de leurs groupements et des micro-entreprises, petites entreprises et moyennes entreprises. Elle agrée, aux mêmes fins, des organismes certificateurs, sur la base, le cas échéant, de leur accréditation par l'organisme national d'accréditation mentionné au b du 1 de l'article 43 du même règlement ou décide, conjointement avec cet organisme, que ce dernier procède à leur agrément, dans des conditions précisées par décret en Conseil d'Etat pris après avis de la Commission nationale de l'informatique et des libertés. La commission élabore ou approuve les critères des référentiels de certification et d'agrément .
La Commission a été saisie le 18 juillet 2019 d’une demande d’agrément de CESI conformément à la délibération n°2018-317 du 20 septembre 2018 portant adoption des critères du référentiel d’agrément d’organismes de certification pour la certification des compétences du DPO.
Conformément à l’article 74 du décret n°2019-536 du 29 mai 2019, la demande d’agrément a fait l’objet d’une évaluation par les services de la CNIL.
La Commission reconnaît que la demande d’agrément présentée est conforme aux référentiels d’agrément et de certification des compétences du DPO, dans leur version du 20 septembre 2018.
Décide :
De la délivrance de l’agrément pour la certification des compétences du DPO pour la certification intitulée Certification des compétences du DPO (Délégué à la Protection des Données) de CESI.
Cet agrément est délivré pour une durée de cinq ans à compter de la présente délibération.
CESI s’engage à fournir à la CNIL :
- sans délai, toute modification de son statut d'accréditation telle que la suspension ou le retrait de l'accréditation ISO/IEC 17024 : 2012 ;
- un rapport annuel d'activité sur la certification des compétences du DPO comprenant le cas échéant les plaintes et réclamations à son encontre dans le cadre de la certification des compétences du DPO ainsi que toute difficulté rencontrée dans l'application des critères de certification des compétences du DPO adoptés dans la délibération n° 2018-318 du 20 septembre 2018 ;
- tous les six mois à compter de la date de la présente délibération, les statistiques de réussite de l'épreuve écrite ainsi que le registre actualisé des personnes certifiées DPO comprenant les noms, prénoms, la date de délivrance de la certification et la date d'expiration. 
-
La Présidente  
Marie-Laure DENIS