AgentPublic/cnil huggingface dataset:
La Commission rappelle qu'elle peut, dans le cadre des missions de contrôle qui lui sont confiées par l'article 21, 2° de la loi du 6 janvier 1978, procéder, à l'égard de tout traitement, à des vérifications sur place et se faire communiquer tous renseignements et documents utiles à sa mission.   Par ailleurs, il importe que dans les cas où il serait nécessaire pour l'organisme tiers de disposer, à des fins statistiques, de données de suivi individualisées (Au sens de la présente recommandation, sont considérées comme données de suivi individualisées, des informations qui peuvent être "chaînées" pour connaître l'évolution de l'état de santé d'une personne déterminée, sans que son identité soit connue de l'organisme tiers.) sur les patients, des procédures d'anonymisation reconnues et évaluées, reposant par exemple sur l'utilisation de techniques dites de "hachage" ou de chiffrement des données, puissent être retenues.   La Commission préconise que dans le cadre de l'expérimentation de filières ou de réseaux de soins faisant appel à des moyens informatiques, les transmissions de données nominatives éventuellement effectuées entre professionnels de santé soient réalisées dans des conditions garantissant de façon effective la confidentialité des données, et qu'en particulier il puisse être recouru, selon la sensibilité des données, au chiffrement de tout ou partie des données, dans le cadre de la réglementation française et européenne en vigueur,
Elle appelle également l'attention des professionnels de santé, de leurs instances représentatives, et de façon générale, des partenaires intéressés, sur les risques de divulgation et d'utilisation détournée des informations, inhérents à l'utilisation de réseaux de communication ouverts de type Internet et sur la nécessité de prendre des mesures de sécurité appropriées pour, d'une part, protéger les données nominatives par le chiffrement de celles-ci et d'autre part, en cas de réseau privé, restreindre effectivement l'accès de ce dernier aux seuls utilisateurs habilités et éviter tout accès incontrôlé sur le réseau ou une connexion à un réseau ouvert.   Enfin, la Commission préconise que, dans le domaine de la santé, seules des messageries professionnelles sécurisées et recourant au chiffrement des données puissent être utilisées pour transférer des données médicales nominatives.   La Commission décide qu'il y a lieu en conséquence d'appeler l'attention tant des pouvoirs publics que des professionnels de santé et organismes intéressés sur les points précédemment évoqués.   Jacques FAUVET   LOUISE CADOUX Vice-Président Délégué
La Commission nationale de l'informatique et des libertés,   Vu la convention du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relatives à l'informatique, aux fichiers et aux libertés, notamment ses articles 15, 26 et 29 ;   Vu le décret n° 78-774 du 17 juillet modifié pris pour l'application de la loi du 6 janvier 1978 précitée ;   Vu le projet d'arrêté du Premier ministre ;   Après avoir entendu Monsieur Marcel PINET, en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que la Commission a été saisie par le Service d'information du gouvernement d'une demande d'avis relative la création d'un traitement automatisé d'informations nominatives dans le cadre de la mise en oeuvre du site internet du Premier ministre et du Gouvernement ;   Considérant que le traitement a pour finalités la diffusion d'information au titre de la communication gouvernementale ainsi qu'au titre de l'information administrative, l'ouverture d'un espace de discussion pour les utilisateurs du site, la réception de courriers adressés au Premier ministre ou à ses services et l'organisation de concours ;   Considérant que la diffusion d'informations porte, au titre de la communication gouvernementale, sur la composition du Gouvernement et les cabinets, les agendas ministériels, les nominations en Conseil des ministres et, au titre de l'information administrative, sur les responsables et l'organigramme des services du Premier ministre ; qu'à cet égard, les informations diffusées relatives aux personnes physiques sont : pour les ministres et les membres de leurs cabinets, l'identité, la fonction, l'attribution, les titres, le corps de la fonction publique d'appartenance éventuellement, des informations biographiques sur leur formation, leur vie professionnelle et politique, les distinctions ; pour les fonctionnaires, l'identité, la fonction, le titre, la date de nomination ; pour les personnes figurant sur les agendas ministériels le nom, la fonction, le titre et
l'organisme ; que ces informations sont d'accès libre ;   Considérant que ces personnes sont informées, avant mise sur le serveur des informations les concernant, des risques inhérents à la diffusion d'informations au moyen du média internet ainsi que de leur droit de s'opposer à tout moment à la diffusion des informations qui les concernent sans avoir à en indiquer le motif ;
Considérant que l'ouverture d'un espace de discussion, pour les utilisateurs du site sur des thèmes d'intérêt général, peut conduire à la collecte et à la diffusion d'informations nominatives relatives à l'objet de la contribution, au nom et à l'adresse électronique de l'auteur ; que la consultation des contributions est libre ;   Considérant que les personnes adressant une contribution peuvent le faire, à leur choix, soit de manière anonyme, soit en indiquant, par exemple, leur nom ou leur adresse électronique ;   Considérant que cet espace de discussion fait l'objet d'une modération ; qu'à cet égard les contributions transmises, susceptibles d'engager la responsabilité civile et pénale du Service d'Information du Gouvernement ne sont pas diffusées par le modérateur ; qu'en particulier une contribution contenant des informations relatives à un tiers, de nature à porter atteinte à sa considération ou à l'intimité de sa vie privé ne sera pas mise à la disposition du public ; que, de plus, afin d'empêcher la diffusion d'informations pouvant porter préjudice à un tiers dont l'identité aurait été usurpée ou l'intitulé de l'adresse électronique (e mail) communiquée à son insu, il sera procédé en cas de doute à la vérification des informations auprès de la personne indiquée avant diffusion de la contribution concernée ;   Considérant que les utilisateurs du site accédant au forum sont informés de sa finalité, de ses règles de fonctionnement ainsi que des mentions prévues à
l'article 27 de la loi du 6 janvier 1978 ;
Considérant que la durée de conservation des contributions émises dans le cadre du forum ne dépasse pas celle de l'inscription du thème du débat concerné ;   Considérant que les utilisateurs du site ont la possibilité de transmettre un courrier au Premier ministre ou à ses services au moyen d'une boîte aux lettres ; qu'ils sont avertis dès la page d'accueil du service des risques relatifs au secret des correspondances transmises sur internet vers le site et qu'en conséquence il leur est conseillé de ne pas utiliser ce service pour des courriers de nature personnelle ;   Considérant que les personnes sont invitées à transmettre leur message, accompagné, si elles le souhaitent, de leur nom, de leur adresse de domicile, de leur adresse électronique, du nom de l'organisme au titre duquel elles adressent leur message, leur fonction, le motif et le sujet du message, leur catégorie socio-professionnelle ; qu'il est explicitement indiqué que ces informations sont collectées de manière facultative ;   Considérant que les courriers ainsi recueillis sont transmis au service du courrier du Premier ministre qui le traite de la même manière que le courrier postal ;   Considérant que le site comporte également un espace destiné aux jeunes, dit "Espace juniors" destiné à les familiariser avec les services internet publics ; que cet espace comporte la possibilité de transmettre un message au Premier ministre au moyen d'une boîte aux lettres spécifique, ainsi que de participer à des
concours ;   Considérant que les utilisateurs de ces deux services sont susceptibles d'être des mineurs ; qu'en conséquence il leur est proposé de n'accompagner leur message, et de manière facultative, que de leur prénom ou d'un pseudonyme, de leur commune et pays de résidence, de leur âge et de leur classe ; qu'ils sont informés qu'aux fins de participer effectivement à un concours ils doivent en outre, avec l'accord de leurs parents, adresser leur réponse par courrier postal ;
Considérant qu'au delà des mesures précitées destinées à garantir les droits des personnes, des mesures de sécurité offrant des garanties d'efficacité sont prises, notamment en vue d'empêcher des accès au site de nature à porter atteinte à l'intégrité des informations mises à la disposition du public ainsi qu'au détournement de finalité des informations recueillies sur le site ;   Considérant que la mise en oeuvre des procédures de sécurité repose en particulier sur l'examen périodique des fichiers des connexions des utilisateurs au site conservés à cette fin ; que dans ces fichiers peuvent être conservés, au fur et à mesure des connexions des utilisateurs, notamment leur adresse internet (adresse IP) ou celle de la machine à laquelle ils se connectent, le nom de domaine, la requête (page consultée, par exemple), la date et l'heure de la requête ;   Considérant que ces informations ne sont accessibles qu'au seul responsable de la sécurité ; que la durée de conservation des dites informations est de quinze jours et ainsi strictement limitée à celle nécessaire pour assurer la sécurité du site,
   Emet un avis favorable à la mise en oeuvre du traitement.   Louise CADOUX, Vice-Président délégué
La Commission Nationale de l'Informatique et des Libertés,   Vu la convention du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;   Vu le décret n° 78-774 du 17 juillet modifié pris pour l'application de la loi du 6 janvier 1978 précitée ;   Vu le Code de procédure pénale ;   Vu la loi n° 91-646 du 10 juillet 1991 relative au secret des correspondances émises par la voie des télécommunications ;   Vu la loi n° 96-659 du 26 juillet 1996 de réglementation de télécommunications ;   Vu le projet de décret d'application de l'article L. 35-4 du Code des postes et télécommunications ;
Considérant que la loi n° 96-659 du 26 juillet 1996 de réglementation des télécommunications a confié à un organisme juridiquement distinct des entreprises offrant des biens et des services de télécommunications le soin d'établir et de tenir à jour la liste nécessaire à l'édition d'un annuaire universel regroupant, sous forme d'un document papier ou électronique, les coordonnées de l'ensemble des abonnés à un réseau téléphonique ;   Considérant que l'article L. 35-4, introduit par cette loi dans le code des postes et télécommunications, renvoie à un décret en Conseil d'Etat, pris après avis de la Commission supérieure du service des Postes et Télécommunications, le soin de préciser "les missions confiées à cet organisme et les garanties à mettre en oeuvre pour assurer la confidentialité des données, notamment au regard des intérêts commerciaux des opérateurs, et la protection de la vie privée" ;   Considérant que le ministre délégué à la Poste, aux Télécommunications et à l'Espace a saisi la CNIL, le 17 décembre 1996, de ce projet de décret qui apporte des précisions tant sur le modalités de tenue et de mise à jour de la liste universelle que sur les dispositions relatives aux droits des abonnés ;   Considérant que ce projet prévoit que l'organisme, dont le mode de désignation est fixé par l'article R. 20-44-1 nouveau, sera chargé d'établir et de tenir à jour la liste de tous les abonnés connectés aux réseaux ou services téléphoniques, dénommée "liste universelle", qui
contient les informations nominatives suivantes : nom, prénom, adresse et numéro de téléphone ainsi que la mention de la profession pour les abonnés qui le souhaitent ;   Considérant que ces informations seront transmises, chacun pour ce qui le concerne, par chaque opérateur qui les aura préalablement recueillies auprès de ses propres abonnés ;   Considérant que les opérateurs devront également communiquer à l'organisme les informations relatives aux abonnés inscrits en liste rouge ou en liste orange selon les modalités précisées par l'article R. 20-44-3 nouveau ;   Considérant que l'article R. 20-44-6 nouveau précise que la production et le contenu des bases de données qui seront transmises à l'organisme relèvent de la responsabilité des opérateurs ou de leurs distributeurs, sous réserve de la responsabilité propre de l'organisme dans la conduite des tâches qu'il accomplit, cet organisme étant tenu, par les dispositions de l'article R. 20-44-8, de prendre les mesures nécessaires pour préserver la sécurité physique et logique des données qu'il détient ;
S'agissant des droits reconnus aux abonnés   Considérant que l'article R. 10-1 nouveau prévoit le droit pour tout abonné de s'opposer à la divulgation des informations nominatives le concernant (liste rouge), de s'opposer à l'utilisation de ces informations dans les opérations commerciales (liste orange) et de s'opposer à ce que figure dans l'annuaire son adresse complète ainsi que son prénom ou toute information susceptible de révéler son sexe dans la mesure où l'exercice de ce droit ne génèrerait pas de risque d'homonymie ;   Considérant que le droit à ce que ne figure pas dans un annuaire l'adresse complète de l'abonné constitue une garantie efficace pour préserver la vie privée de même que le droit de ne pas faire figurer son prénom ou toute information susceptible de révéler son sexe ; qu'il y a lieu toutefois sur ce dernier point de relever que la plupart des prénoms révèle en France l'identité sexuelle ;   Considérant qu'il y aurait lieu que le décret précise si l'absence de risque d'homonymie doit être appréciée par l'opérateur auprès duquel la personne concernée est abonnée - auquel cas le risque ne pourra être décelé qu'au regard d'une liste partielle des abonnés - ou par l'organisme auquel est confiée la tenue de la liste universelle ; que l'article R. 20-44-7 nouveau devra retenir au deuxième tiret du 1°, la même rédaction que celle qui figurera à l'article R. 10-1 nouveau ;   Considérant que l'article R. 20-44-5 nouveau précise les conditions de diffusion par
l'organisme de la liste universelle et des listes qui en seront extraites ; que la diffusion de ces listes fera l'objet de licences d'utilisations délivrées par l'organisme aux différentes catégories d'utilisateurs, les conditions générales de ces licences, devant être publiées après avis du ministre chargé des Télécommunications ;
Considérant que les conditions de diffusion seront différentes selon l'usage des données projeté afin d'assurer la protection des droits des abonnés ; qu'il est ainsi fait une distinction entre la diffusion d'informations aux fins d'édition d'annuaires ou de fournitures de services de renseignements, cas dans lequel l'organisme mettra à la disposition du demandeur la "liste universelle" ou des extraits de celle-ci, expurgée des seules données concernant les personnes inscrites en liste rouge, et la diffusion d'informations aux fins de toute autre utilisation, notamment commerciale, auquel cas l'organisme mettra à la disposition de toute personne qui lui en fera la demande des listes préalablement expurgées des données concernant les personnes inscrites en liste rouge et des données concernant les personnes inscrites en liste orange ;   Considérant que ce texte prévoit que cette mise à disposition sera faite moyennant une juste rémunération reflétant les coûts et tenant compte de l'usage projeté des informations ;   Considérant que ce même texte précise que la liste Safran qui regroupe, en application de la loi n° 89-1008 du 31 décembre 1989, les personnes ne souhaitant pas faire l'objet d'un démarchage publicitaire par voie de télex ou de télécopie, sera mise à disposition par l'organisme à un prix reflétant alors les coûts de gestion, l'usage projeté des informations n'étant pas pris en compte dans le coût de diffusion ;   Considérant que le sixième alinéa de l'article
R. 10-1 nouveau interdit l'usage par quiconque dans des opérations commerciales des données identifiantes extraites des fichiers d'abonnés et relatives aux abonnés inscrits en liste orange, la contravention à ces dispositions étant punie pour chaque information mise en circulation de l'amende prévue pour les contraventions de troisième classe ;
Considérant qu'il y a lieu de souligner que les nouvelles techniques de l'information et le développement des architectures en réseaux internationaux permettent désormais de constituer non seulement des annuaires sur support papier ou sur un support électronique accessible depuis le seul territoire national mais aussi des annuaires sur un support électronique nomade - tel est le cas des annuaires sur CD-ROM - ou sur un réseau international ouvert ; que ces circonstances doivent amener à s'interroger sur la portée des garanties ainsi offertes par le projet de décret, surtout lorsque les données figurant dans un annuaire qui comportera notamment celles relatives aux personnes s'étant opposées à toute utilisation commerciale des informations les concernant, pourront être accessibles depuis le territoire d'un Etat n'assurant pas aux données personnelles une protection équivalente à celle garantie par la loi française ;   Considérant que le souci d'une exacte information des personnes sur les risques particuliers que la diffusion d'informations les concernant génère lorsque ces données sont aisément téléchargeables, notamment via Internet, depuis le territoire d'un Etat n'assurant pas aux données de protection particulière, devrait conduire à prévoir dans ce cas un dispositif particulier ;   Considérant en effet, qu'il convient, d'une part, de relever que l'article 12 de la convention du 28 janvier 1981 du Conseil de l'Europe subordonne les flux transfrontières de données à
caractère personnel à l'assurance que la réglementation de l'Etat de destination des données apporte une protection équivalente à celle offerte par cette convention ; que la directive récemment adoptée par le Conseil du Parlement européen sur la protection des données personnelles et la libre circulation des données prévoit que les flux tranfrontières de données ne peuvent, en principe, avoir lieu qu'en direction d'un Etat assurant un niveau de protection adéquat ;
Considérant, d'autre part, qu'il convient de rappeler que la CNIL recommande, de manière générale, que lorsque des données nominatives sont diffusées sur Internet, les personnes concernées soient clairement informées des risques inhérents à la nature de ce réseau et de leur droit de s'opposer à une telle diffusion ;   Considérant dès lors qu'il paraît nécessaire que l'article R. 10-1 nouveau soit complété, dans son premier alinéa, par une disposition ainsi rédigée :   "- à ce que ne soit pas mentionnées les données nominatives la concernant dans un annuaire distribué ou diffusé sur un support électronique accessible depuis le territoire d'un Etat n'assurant pas aux données personnelles une protection équivalente à celle garantie par la loi française",   et que l'exercice de ce droit soit gratuit.
S'agissant de l'accès par des autorités habilitées à la "liste universelle"   Considérant que l'article R. 20-44-9 nouveau prévoit que l'organisme satisfait aux demandes d'informations de certaines autorités habilitées par le biais d'une possibilité permanente de consultation électronique de la "liste universelle" dont les modalités sont déterminées par une convention entre l'organisme et les services de l'Etat concerné ;   Considérant, en premier lieu, que l'article R. 20-44-9 nouveau ne vise pas la totalité des autorités actuellement habilitées à bénéficier de l'accès aux informations concernées (ainsi, parmi d'autres, le service des impôts en application de l'article L. 83 du livre des procédures fiscales, la Commission des opérations de bourse en application des articles 5A et 5B de l'ordonnance n° 67-833 du 28 septembre 1967 ou encore la Banque de France et la Commission bancaire en application de l'article 57 de la loi n° 84-46 du 28 janvier 1984) ; qu'il n'apparaît pas nécessaire de citer les autorités en cause dès lors que la simple mention des "autorités habilitées" suffit, sur le fondement des textes ayant institué leur habilitation, à la compréhension du texte de l'article ;   Considérant, en deuxième lieu, que sont visées, au titre des autorités habilitées bénéficiaires, moyennant une juste rémunération, de ce service, les autorités visées par l'article 22 de la loi du 10 juillet 1991 relative au secret des correspondances ainsi que les autorités agissant en
application des articles 53 et 75 du code de procédure pénale ; qu'il résulte de la référence faite à l'article 75 du code de procédure pénale relatif à l'enquête préliminaire, que les officiers de police judiciaire et, sous le contrôle de ceux-ci les agents de police judiciaire, procédant, y compris d'office, par voie d'enquête préliminaire, pourraient accéder aux informations portées sur la "liste universelle" concernant des personnes inscrites en liste rouge ;
Considérant qu'à l'heure actuelle et conformément à une instruction de France Télécom n° 94.216 du 26 décembre 1994, le Procureur de la République ou son substitut ainsi que tout officier de police judiciaire agissant dans le cadre d'un enquête préliminaire ne peuvent avoir accès aux informations relatives aux personnes inscrites sur liste rouge ; qu'en effet, dans ce cadre juridique, et à la différence des missions de police judiciaire qui peuvent être accomplies dans le cadre de l'instruction préparatoire en application des dispositions des articles 81 et suivants du code de procédure pénale et, en application des dispositions des articles 53 et suivants, dans le cadre de l'enquête de flagrance, les officiers de police judiciaire ne peuvent procéder à des perquisitions, visites domiciliaires et saisies sans l'assentiment exprès de la personne chez laquelle ces opérations ont lieu ; que ces dispositions sont généralement interprétées comme ne permettant pas à ces personnels, dans ce cadre juridique, d'avoir accès à des informations juridiquement protégées ; que par suite, à défaut de dispositions législatives particulières, les officiers de police judiciaire, agissant par voie d'enquête préliminaire, ne sauraient se voir conférer la qualité de tiers autorisé, au sens de l'article 29 de la loi du 6 janvier 1978, à avoir accès aux informations figurant sur la liste rouge ; qu'en tout état de cause, il apparaît souhaitable de ne pas étendre dans des proportions qui
deviendraient trop importantes, le champ des dérogations au caractère confidentiel de la liste rouge ;