AgentPublic/cnil huggingface dataset:
tiers en vertu de la directive 95/46/CE ;   Observe que les transferts envisagés, au regard de leurs caractéristiques, ne sont pas contraires aux dispositions des textes susvisés ;   Le contrat conclu aux fins d'encadrer les transferts de données à caractère personnel entre la société Lyonnaise Communication et les sociétés Webhelp agissant pour le compte de la société Softwin et la Société Tunisienne de Télémarketing, agissant en tant que prestataires pour le traitement des informations, met en oeuvre les clauses contractuelles types émises par la Commission européenne dans sa décision précitée ;   Autorise dans ces conditions les transferts des données à caractère personnel émis par la société Lyonnaise Communication vers la Société Tunisienne de Télémarketing et la société Webhelp agissant en nom et pour le compte de la société Softwin.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie par la société Orange d'une déclaration de modification d'un traitement automatisé de données à caractère personnel dont la finalité principale est la gestion d'une "base de données client, outil d'analyse de données marketing et outil de prospection commerciale", et d'une demande d'autorisation portant sur un transfert de données à caractère personnel issues de ce traitement vers la société AXA Assistance Maroc Services, établie au Maroc ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données, et notamment ses articles 25 et 26 ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;   Vu la décision de la Commission européenne n° 2002/16/CE du 27 décembre 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des prestataires situés dans des pays tiers en vertu de la directive 95/46/CE ;
Observe que les transferts envisagés, au regard de leurs caractéristiques, ne sont pas contraires aux dispositions des textes susvisés ;   Le contrat conclu aux fins d'encadrer les transferts de données à caractère personnel entre la société Orange France et la société PCCI, prestataire pour le traitement des informations, met en oeuvre les clauses contractuelles types émises par la Commission européenne dans sa décision précitée ;   Autorise dans ces conditions les transferts des données à caractère personnel émis par la société Orange France vers la société PCCI.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie par la société Le Numéro France d'une déclaration d'un traitement automatisé de données à caractère personnel dont la finalité principale est la gestion d'une "base de donnée service d'annuaire", et d'une demande d'autorisation portant sur un transfert de données à caractère personnel issues de ce traitement vers la société Phone Online, établie au Maroc ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données, et notamment ses articles 25 et 26 ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;   Vu la décision de la Commission européenne n° 2002/16/CE du 27 décembre 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des prestataires situés dans des pays tiers en vertu de la directive 95/46/CE ;
Observe que les transferts envisagés, au regard de leurs caractéristiques, ne sont pas contraires aux dispositions des textes susvisés ;   Le contrat conclu aux fins d'encadrer les transferts de données à caractère personnel entre la société Le Numéro France et la société Phone Online, prestataire pour le traitement des informations, met en oeuvre les clauses contractuelles types émises par la Commission européenne dans sa décision précitée,   Autorise dans ces conditions les transferts des données à caractère personnel émis par la société Le Numéro France vers la société Phone Online.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés ;   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-8° ;   Vu la demande d'autorisation, présentée par la société Bloomberg L.P., d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance de l'empreinte digitale et ayant pour finalité de contrôler l'accès logique à un service d'informations financières ;   Après avoir entendu M. Emmanuel de Givry, commissaire en son rapport, et Mme Pozzo di Borgo, commissaire du gouvernement en ses observations.
Formule les observations suivantes :   La société Bloomberg L.P. a saisi la Commission nationale d'une demande d'autorisation concernant la mise en oeuvre d'un traitement de données à caractère personnel reposant sur un dispositif de reconnaissance des empreintes digitales et ayant pour finalité de contrôler l'accès en ligne à un service d'informations financières.   Ce système d'authentification avancé aura pour objet de garantir que les personnes se connectant au service d'informations financières "Bloomberg Professional" sont bien des utilisateurs légitimes.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   Les personnes souhaitant utiliser le service "Bloomberg Professional", particuliers, employés de la société Bloomberg ou d'un organisme client, installeront un logiciel sur leur ordinateur. Elles disposeront également d'un support individuel sous forme d'une carte à microprocesseur fournie par la société Bloomberg.   L'inscription au service "Bloomberg Professional" s'effectuera via l'interface d'un logiciel installé sur l'ordinateur du futur utilisateur. Au cours de cette phase, ce dernier choisira un identifiant (nom d'utilisateur) et un mot de passe et procèdera à l'enregistrement sous forme chiffrée du gabarit de son empreinte digitale sur sa carte
individuelle.  Pour cela, il placera son doigt sur un capteur situé au niveau d'un clavier ou d'une clé USB, fournis par la société Bloomberg L.P..   Une fois la phase d'inscription effectuée, à chaque fois qu'un utilisateur se connectera aux services "Bloomberg Professional", il lui sera demandé d'entrer son nom d'utilisateur et son mot de passe qui seront alors transmis à un serveur de la société Bloomberg situé aux Etats-Unis. Le dispositif confirmera alors que le nom et le mot de passe correspondent. A ce stade, l'utilisateur placera son doigt sur le capteur prévu à cet effet à partir duquel un nouveau code binaire (gabarit) sera généré et qui sera comparé à celui enregistré dans la carte individuelle. Si à l'issue de ce processus, l'identité de l'utilisateur est confirmée, ce dernier recevra un code d'accès unique à utiliser au cours de sa session.   La Commission considère que dans la mesure où d'une part, le dispositif "B-UNIT" repose sur l'enregistrement du gabarit de l'empreinte digitale dans un support individuel exclusivement détenu par la personne concernée, et d'autre que le gabarit enregistré est généré à partir d'une analyse des caractéristiques générales du tracé des crêtes du doigt des utilisateurs et n'est pas interopérable avec les systèmes basés sur les minuties, le dispositif soumis par la société Bloomberg L.P. ne comporte pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les catégories de données à caractère personnel enregistrées seront le nom d'utilisateur et le mot de passe indiqué par l'utilisateur lors de son inscription au service ainsi que le gabarit chiffré de l'empreinte digitale d'un de ses doigts, enregistré uniquement sur une carte individuelle en possession de l'utilisateur du service.   Le droit d'accès défini au chapitre V de la loi s'exercera en ligne auprès du "Département des Opérations de Réseau" de la société Bloomberg L.P.. Les utilisateurs sont informés lors de l'inscription au service, des modalités de collecte et de transmission des informations les concernant.   Les destinataires des informations relatives au nom d'utilisateur et au mot de passe seront, dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées, le personnel du "Département des Opérations de Réseau" de la société Bloomberg L.P..   Les données, transférées à l'occasion de l'utilisation du dispositif "B-UNIT", bénéficient d'un niveau de protection adéquat en raison de l'adhésion de la société Bloomberg L.P. au "Safe Harbor", ou "Sphère de sécurité". En outre des mesures de sécurité garantissent la confidentialité des données ainsi transmises.
Autorise, dans ces conditions, la société Bloomberg L.P., à mettre en oeuvre un traitement de données à caractère personnel reposant sur la reconnaissance de l'empreinte digitale et ayant pour finalité de contrôler l'accès logique à un service d'informations financières.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu l'ordonnance n° 45-174 du 2 février 1945 relative à l'enfance délinquante ;   Vu le Code civil, et notamment son article 375 ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;   Vu le décret n° 75-96 du 18 février 1975 fixant les modalités de mise en oeuvre d'une action de protection judiciaire en faveur de jeunes majeurs ;   Vu le dossier de formalités préalables présenté par le ministère de la Justice relatif à un traitement automatisé de données à caractère personnel ayant pour finalité de permettre le suivi et le contrôle de l'activité du secteur associatif en charge des mineurs en danger et l'établissement de statistiques anonymisées ;   Après avoir entendu M. Patrick Delnatte, commissaire, en son rapport et Mme Catherine Pozzo di Borgo, commissaire du Gouvernement, en ses observations ;
Formules les observations suivantes :   Le ministère de la Justice (bureau "Statistiques et informatique" de la direction de la protection judiciaire de la jeunesse) a saisi la Commission d'une demande d'autorisation concernant un traitement automatisé (dénommé "ISAAHC" dans la saisine initiale et devenu "IMAGES"), qui a pour finalités principales de ;   - comptabiliser et contrôler le bon paiement des crédits versés par la direction de la protection judiciaire de la jeunesse aux structures éducatives associatives à qui les juridictions pour enfants confient l'exécution de mesures éducatives ;   - comptabiliser les décisions judiciaires fondant les prises en charge éducatives pour lesquelles un paiement est demandé par l'association,   - prévoir les dépenses à court et moyen terme sur l'année.   Cette application, qui sera implantée dans des conditions et selon des modalités communes dans chaque direction régionale, en métropole, et dans chaque direction départementale de la direction de la protection judiciaire de la jeunesse lorsque la direction régionale en donne compétence à ses directions départementales (implantation envisagée aujourd'hui en Ile-de-France, dans les DOM et en Aquitaine), permet également, et exclusivement à l'administration centrale, la réalisation de statistiques anonymisées sur la population prise en charge.   Ce traitement, dont la mise en oeuvre nécessite la collecte d'informations sur les mesures judiciaires prononcées, relève des dispositions
de l'article 25 3° de la loi du 6 janvier 1978 modifiée.
Les informations collectées proviennent des décisions judiciaires confiant l'exécution de la mesure éducative à une structure associative et des factures adressées par cette association à la direction régionale concernée pour obtenir le paiement de la prestation qu'elle effectue en application de ladite prescription judiciaire.   Elles concernent principalement la décision judiciaire fondant la prise en charge par l'association (juridiction, caractère civil ou pénal, type de décision, type de mesure éducative prescrite, date de la décision, date de début et de fin de prise en charge par l'association concernée, existence ou non d'une contribution financière de la famille ou du jeune au coût de la prise en charge éducative).   Les autres données proviennent de la facture adressée par la structure éducative associative à qui le mineur est confié (présence ou absence du jeune durant la prise en charge s'agissant des mesures de placement de mineurs en foyer ou famille d'accueil).   Le jeune concerné est identifié dans le traitement par son identité (nom, prénom, date et pays de naissance, sexe, département de résidence), qui figure à la fois dans la mesure judiciaire et la facture adressée par l'association à qui est confiée l'exécution d'une mesure éducative.   Les destinataires des informations traitées sous forme nominative sont uniquement la direction de la PJJ, qui gère le fichier concerné et son directeur, responsable de la politique de protection judiciaire pour toutes
les mesures prononcées par les magistrats et exécutées dans son département, et les associations concernées lorsqu'elles contestent les termes du paiement de la prestation effectuée.   Les données enregistrées dans le logiciel "ISAAHC" sont conservées trois années à compter de la date de la fin de la mesure concernée :  à l'issue de cette période, le logiciel assure lui-même la destruction des données "au fil de l'eau".   L'application permet l'édition d'un document à destination de l'intéressé ou de sa famille ou de son représentant si le jeune qui fait l'objet d'une mesure de protection est mineur. Ce courrier comporte les mentions d'information prévues par l'article 32 de la loi du 6 janvier 1978, qui figurent également sur une affichette présente dans les locaux de la protection judiciaire de la jeunesse où le traitement est mis en oeuvre.
Le droit d'accès s'exercera dans chaque direction régionale et, dans les DOM, dans chaque direction départementale auprès du directeur, autorité hiérarchique, ou du responsable du service "secteur associatif habilité".   Des statistiques non nominatives seront établies afin d'évaluer l'efficacité de la politique de protection judiciaire de la jeunesse (conformément aux indicateurs requis par la LOLF) et de connaître les principales caractéristiques des publics concernés.  Les informations nécessaires à la réalisation de ces statistiques sont celles relatives aux caractéristiques des mineurs concernés et à celles de la mesure prononcée, à l'exclusion de son motif.   Afin d'établir ces statistiques, une partie des informations utilisées par le service assurant le contrôle et le paiement des factures adressées par les associations mandatées seront transmises aux services centraux, après cryptage des données à caractère personnel concernant l'identité des mineurs concernés. La transmission de ces données se fera obligatoirement par l'intermédiaire de l'intranet du ministère et l'administration centrale ne pourra pas décrypter les données communiquées.   Autorise dans ces conditions le ministère de la Justice à mettre en oeuvre un traitement automatisé de données à caractère personnel ayant pour finalité le suivi et le contrôle de l'activité du secteur associatif en charge des mineurs en danger et l'établissement de statistiques anonymisées.   Le président, Alex TURK.   Guy
ROSIER, Vice-président Délégué.
La Commission nationale de l'informatique et des libertés,   Saisie le 26 janvier 2005 par le ministre des solidarités, de la santé et de la famille d'un projet de décret en Conseil d'Etat pris en application des dispositions de l'article L1110-4 du code de la santé publique relatif à la confidentialité des données de santé à caractère personnel ;   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;   Vu le code de la santé publique, et notamment son article L1110-4 ;   Vu le code de la sécurité sociale, et notamment ses articles L. 161-36-1 A et L. 161-36-2 ;   Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport et Mme Catherine Pozzo di Borgo, commissaire du Gouvernement adjoint, en ses observations ;
Emet l'avis suivant :   Le ministre des solidarités, de la santé et de la famille a saisi la Commission nationale de l'informatique et des libertés du projet de décret en Conseil d'Etat relatif à la confidentialité des données de santé à caractère personnel pris en application des dispositions du quatrième alinéa de l'article L. 1110-4 du code de la santé publique.   Ces dispositions sont ainsi rédigées :  "Afin de garantir la confidentialité des informations médicales mentionnées aux alinéas précédents, leur conservation sur support informatique, comme leur transmission par voie électronique entre professionnels, sont soumises à des règles définies par décret en Conseil d'Etat pris après avis public et motivé de la Commission nationale de l'informatique et des libertés.  Ce décret détermine les cas où l'utilisation de la carte professionnelle de santé mentionnée au dernier alinéa de l'article L. 161-33 du code de la sécurité sociale est obligatoire".   Ces dispositions ont été insérées à l'article L. 161-36-1 A du code de la sécurité sociale par l'article 2-I de la loi du 13 août 2004 portant réforme de l'assurance maladie, article qui précède immédiatement celui portant création du dossier médical personnel (DMP) rendant ainsi le respect et la mise en oeuvre de ces dispositions nécessaires pour la mise en place du DMP.  L'article L. 1110-4 du code de la santé publique est également directement visé à l'article L. 161-36-2 du code de la sécurité sociale qui traite des
conditions d'utilisation du dossier médical personnel.
Sur l'obligation de définir une politique de confidentialité   L'article R. 1110-1 du projet de décret impose à tout professionnel de santé exerçant à titre libéral ou tout établissement, réseau de santé ou organisme participant à la prévention et aux soins, qui conserve sur support informatique ou transmet par voie électronique des informations médicales à caractère personnel portées à sa connaissance en particulier pour assurer la continuité des soins ou déterminer la meilleure prise en charge sanitaire possible de définir une politique de confidentialité décrivant les règles et l'organisation nécessaires pour garantir la protection de ces informations ainsi que la sécurité des traitements dont elles ont fait l'objet.   Cette politique de confidentialité devra préciser en particulier les règles d'accès aux informations ainsi que les conditions dans lesquelles elles sont échangées entre professionnels de santé. Elles seront définies de façon différente selon qu'elles sont échangées entre les membres de l'équipe de soins en charge de cette personne ou, sous réserve de la nonopposition de la personne dûment avertie, avec d'autres professionnels exerçant dans la structure de prise en charge ou à des professionnels extérieurs à cette structure.
Aux termes de l'article R. 1110-4 du projet de décret, le responsable des traitements au sens de l'article 3 de la loi du 6 janvier 1978 modifiée est chargé de mettre en oeuvre la politique de confidentialité du système d'information.  Il gère la liste nominative des professionnels de santé habilités à accéder aux données médicales visées à l'article R. 1110-1 et met en oeuvre les procédés permettant de garantir l'authentification des professionnels de santé habilités.   En particulier, il est garant de la cohérence entre les données d'identification gérées localement et celles figurant dans l'annuaire du groupement d'intérêt public mentionné à l'article R. 161-54 du code de la sécurité sociale.   A cet égard, l'article R. 1110-6 du projet de décret prévoit d'ores et déjà l'obligation pour le responsable du traitement de mettre à disposition de toute personne concernée une notice résumant les principales dispositions de la politique de confidentialité et notamment les règles d'accès aux données médicales, les traitements autorisés et leur finalité.  Une liste actualisée de tous les professionnels de santé ayant accès aux données de santé à caractère personnel ainsi que ceux auxquels elles ont été transmises devra également être établie.   La Commission prend acte de ces dispositions qui n'appellent pas d'observation particulière.   La politique de confidentialité devra être précisée dans un protocole de confidentialité soumis au contrôle de la Commission dans le cadre des
formalités préalables prévues par la loi du 6 janvier 1978.