AgentPublic/cnil huggingface dataset:
EMET, sous cette observation, un avis favorable au projet de décret en Conseil d'Etat pris en application de l'article 18 de la loi du 6 janvier 1978 et autorisant l'INSEE à utiliser le numéro d'inscription au répertoire pour l'établissement de statistiques comparées sur les valeurs de consommation de soins et de biens médicaux, lors de l'enquête santé 2002-2003.   EMET un avis favorable au projet d'arrêté présenté par le directeur général de l'INSEE concernant la création d'un traitement automatisé d'informations individuelles relatif à une enquête obligatoire sur la santé et la consommation médicale.   Le Président, Michel GENTOT.
La Commission Nationale de l'Informatique et des Libertés,   Saisie pour avis par le Premier ministre,   - d'un projet de décret portant création de traitements automatisés d'informations nominatives pour assurer, d'une part l'instruction des dossiers d'indemnisation présentés en application du décret n° 99-778 du 10 septembre 1999, modifié, instituant une commission pour l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'Occupation et, d'autre part, le paiement des indemnisations servies sur la base du présent décret.   Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment son article 31 ;   Vu le décret n° 99-778 du 10 septembre 1999 instituant une commission pour l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'Occupation modifié par les décrets n° 2000-932 du 25 septembre 2000 et 2001-530 du 20 juin 2001 ;   Vu le décret 2000-1023 du 19 octobre 2000 portant application des dispositions du
troisième alinéa de l'article 31 de la loi n° 78-17 du 6 janvier 1978 au fichier mis en oeuvre par la commission pour l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'Occupation.   Après avoir entendu monsieur Maurice BENASSAYAG, commissaire en son rapport et Madame Charlotte-Marie PITRAT, commissaire du gouvernement en ses observations ;
OBSERVE   La Commission a été saisie par le Premier ministre d'un projet de décret portant création de deux traitements automatisés d'informations nominatives pour assurer, d'une part l'instruction des dossiers d'indemnisation présentés en application du décret n° 99-778 du 10 septembre 1999, modifié, instituant une commission pour l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'Occupation et, d'autre part, le paiement des indemnisations servies sur la base du présent décret.   Aux termes du décret susvisé, la commission pour l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'Occupation (CIVS) est chargée de rechercher et de proposer les mesures de réparation, de restitution ou d'indemnisation appropriées. Lorsque la CIVS propose que l'Etat prenne à sa charge une mesure d'indemnisation, elle transmet sa recommandation au Premier ministre (secrétariat général du gouvernement - SGG). Les décisions d'indemnisation prises par le Premier ministre sur la base des recommandations de la commission sont notifiées aux intéressés et à l'Office national des anciens combattants et victimes de guerre (ONACV) qui est chargé de les exécuter.   Le premier traitement automatisé, qui sera mis en oeuvre par la Direction des services administratifs et financiers du Premier ministre , permettra d'assurer l'instruction des dossiers d'indemnisation. Le second
traitement, qui sera mis en oeuvre par l'office national des anciens combattants et victimes de guerre, permettra d'assurer le paiement des indemnités accordées.   Ces traitements, en ce qu'ils prévoient l'enregistrement d'informations concernant des personnes demandant à bénéficier de la mesure de réparation prévue par le décret du 10 septembre 1999, un projet de décret portant application des dispositions du troisième alinéa de l'article 31 de la loi du 6 janvier 1978 aux fichiers mis en oeuvre pour l'application de ce décret est soumis à l'avis de la Commission.
I - Sur le traitement automatisé d'informations nominatives ayant pour finalité l'instruction des dossiers d'indemnisation.   Ce traitement sera mis en oeuvre par la cellule d'indemnisation du bureau des affaires juridiques et contentieuses au sein de la Direction des services administratifs et financiers du Premier ministre qui est chargé, aux termes du décret du 10 septembre 1999, de prendre les décisions d'indemnisation sur la base des recommandations de la commission pour l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'Occupation.   Les informations enregistrées seront les nom et prénoms du demandeur, date de naissance du demandeur, adresse du demandeur, nom du rapporteur, date de séance et d'avis de la commission, observations résumées du commissaire du Gouvernement, le cas échéant, décision prise par le Premier ministre, montant de l'indemnisation.   Les destinataires des données seront les agents du Secrétariat général du Gouvernement et agents de l'Office national des anciens combattants et victimes de guerre, chargés d'assurer le traitement des dossiers d'indemnisations liés à l'application du décret du 10 septembre 1999 susvisé. Ces agents seront habilités nominativement par arrêté du Premier ministre.   Les informations seront détruites à l'expiration d'un délai de trois ans.   Le droit d'accès et de rectification s'exercera auprès du secrétariat général du Gouvernement.
II - Sur le traitement automatisé d'informations nominatives ayant pour finalité le paiement des mesures de réparation.   Ce traitement sera mis en oeuvre par l'Office national des anciens combattants et victimes de guerre (l'ONACVG), établissement public placé sous la tutelle du ministre de la défense, chargé, aux termes du décret du 10 septembre 1999, d'assurer l'exécution des décisions d'indemnisation prises par le Premier ministre.   Les informations enregistrées dans le traitement automatisé seront celles relatives au nom et prénoms du demandeur, date de naissance du demandeur, adresse du demandeur, décision prise par le Premier ministre, les numéros des décisions du Premier ministre, les coordonnées bancaires ou postales des bénéficiaires, les numéros de dossiers attribués par l'Office, les montants versés, la devise de règlement et les dates de versement se rapportant aux dossiers ayant fait l'objet d'une décision positive du Premier ministre et transmises à l'ONACVG par le SGG.   Les destinataires des données seront les agents de l'Office national des anciens combattants et victimes de guerre chargés d'assurer le paiement des indemnisations servies en application du décret du 10 septembre 1999 susvisé.   Les données faisant l'objet du traitement seront détruites à l'expiration d'un délai de quatre ans à compter de la date de paiement de l'indemnisation.   Le droit d'accès et de rectification s'exercera auprès du directeur général de l'Office national des anciens
combattants et victimes de guerre.
AU BENEFICE DE CES OBSERVATIONS, émet un avis favorable sur le projet de décret dont elle a été saisie par le Premier ministre.   Le Président, Michel GENTOT.
La Commission Nationale de l'Informatique et des Libertés,   Saisie pour avis par le Premier ministre d'un projet de décret pris en application des dispositions du troisième alinéa de l'article 31 de la loi n° 78-17 du 6 janvier 1978 aux fichiers mis en oeuvre pour l'application du décret du 10 septembre 1999 modifié instituant une commission pour l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'Occupation.   Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment son article 31 ;   Vu le décret n° 99-778 du 10 septembre 1999 instituant une commission pour l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'Occupation modifié par les décret n° 2000-932 du 25 septembre 2000 et 2001-530 du 20 juin 2001 ;   Vu le décret 2000-1023 du 19 octobre 2000 portant application des dispositions du troisième alinéa de l'article 31 de la loi n° 78-17 du 6 janvier 1978 au fichier mis en oeuvre par la commission pour
l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'Occupation.   Après avoir entendu Monsieur Maurice BENASSAYAG, commissaire en son rapport et Madame Charlotte-Marie PITRAT, commissaire du gouvernement en ses observations ;
FORMULE LES OBSERVATIONS SUIVANTES :   La Commission est saisie par le Premier ministre d'un projet de décret portant création de deux traitements automatisés d'informations nominatives visant à assurer, pour l'un l'instruction des dossiers d'indemnisation des victimes de spoliations telles que définies par les dispositions du décret n° 99-778 du 10 septembre 1999 modifié instituant une commission pour l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'occupation, pour l'autre la mise en paiement des indemnités servies sur la base de ce décret.   Ces deux traitements devant comporter des informations nominatives relatives aux personnes qui, remplissant les conditions prévues par le décret du 10 septembre 1999 modifié, demanderont à être indemnisées du préjudice subi par elles-mêmes ou par leurs ascendants du fait des législations antisémites pendant l'Occupation, les fichiers envisagés relèveront des dispositions de l'article 31 de la loi du 6 janvier 1978.   Aux termes de l'article 31 de la loi, la collecte et le traitement des informations nominatives qui, directement ou indirectement, font apparaître les origines raciales ou les opinions politiques, philosophiques ou religieuses, les appartenances syndicales ou les moeurs des personnes sont interdites sauf accord exprès de l'intéressé, à moins qu'il ne soit fait exception à cette interdiction pour des motifs d'intérêt public, par décret en Conseil d'Etat
pris sur proposition ou avis conforme de la Commission.   Au cas d'espèce, la Commission estime que l'objectif poursuivi par le gouvernement, qui est de procéder à l'indemnisation des victimes ou des ayants droit des victimes de spoliations du fait des législations antisémites en vigueur durant l'Occupation, constitue un motif d'intérêt public justifiant l'application de la dérogation prévue par l'article 31 de la loi du 6 janvier 1978 aux deux traitements automatisés d'informations nominatives nécessaires à la gestion des droits des intéressés.
COMPTE TENU DE CES OBSERVATIONS, LA COMMISSION :   EMET UN AVIS CONFORME au projet de décret tel qu'il a été soumis par le Premier ministre sous réserve que ce texte vise le décret portant création des deux traitements mis en oeuvre.   Le Président, Michel GENTOT.
La Commission Nationale de l'Informatique et des Libertés,   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment son article 8 ;   Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application des chapitres 1 à IV de la loi n° 78-17 du 6 janvier 1978, et notamment son article 5 ;   Vu la délibération n° 87-25 du 10 février 1987 fixant le règlement intérieur de la Commission et notamment ses articles 4, 5, 7 et 8 ;   Après qu'il a été procédé au vote ;
   CONSTATE   ARTICLE PREMIER : Monsieur Alex TÜRK est élu vice-président.   ARTICLE 2 : Le président de la Commission est chargé de l'exécution de la présente délibération qui sera publiée au journal officiel.   Le Président, Michel GENTOT.
La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment son article 21, pris ensemble le décret n° 78-774 du 17 juillet 1978 ;
Vu le règlement intérieur de la Commission et notamment ses articles 55 et 56 ;
Vu la délibération n° 01-025 du 15 mai 2001 de la Commission décidant une mission de contrôle sur place auprès de X afin de vérifier l'ensemble des mesures de sécurité mises en oeuvre pour garantir la confidentialité des données nominatives conservées au sein du département d'information médicale ;
Vu le compte-rendu de la mission de vérification sur place adressé le 12 juillet 2002 et les observations en réponse de X reçues par lettre du 16 août 2000 ;
Après avoir entendu Monsieur Michel GENTOT, Président, en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Saisie par le Conseil national de l'ordre des médecins d'une plainte d'un médecin qui, ayant exercé les fonctions de responsable du département d'informations médicales au sein de X, a fait état d'atteintes à la confidentialité des informations nominatives traitées sur le système informatique de l'hôpital et, en particulier de l'accès, par des personnels administratifs, à des données individuelles recueillies dans le cadre du programme de médicalisation des systèmes d'information (PMSI) mis en place dans les établissements de santé en application des dispositions de l'article L. 6113-11 du code de la santé publique.
Aux termes de ces dispositions, les médecins sont tenus de transmettre les données médicales nécessaires à l'analyse de leur activité au médecin responsable du département d'informations médicales qui veille à la qualité des données qu'il peut confronter, en tant que de besoin avec les dossiers médicaux et les fichiers administratifs. Ce médecin est soumis dans le cadre de ses fonctions de médecin DIM au respect du secret médical comme le sont les personnels placés ou détachés auprès de lui et qui travaillent à l'exploitation de données nominatives sous son autorité, ainsi que des personnels intervenant sur le matériel et les logiciels utilisés pour le recueil et le traitement des données.
En application de l'article R. 710-5-6 du code de la santé publique, il appartient au directeur de l'établissement de prendre toutes dispositions utiles avec le médecin responsable de l'information médicale et après avis de la commission médicale d'établissement afin de préserver la confidentialité des données médicales nominatives. Ces dispositions concernent notamment l'étendue, les modalités d'attribution et le contrôle des autorisations d'accès ainsi que l'enregistrement des accès.
La Commission a décidé, par une délibération du 15 mai 2001, de procéder à une mission de vérification sur place afin de vérifier l'ensemble des mesures de sécurité mises en oeuvre pour garantir la confidentialité des données médicales nominatives traitées et conservées au sein du département d'information médicale.
Cette mission de contrôle s'est déroulée le 6 mars 2002 dans les locaux de X.
Les investigations de la Commission ont permis de constater que le traitement mis en oeuvre au sein de l'établissement pour assurer la fourniture des informations médicales nécessaires dans le cadre du programme de médicalisation des systèmes d'information, est géré par le directeur informatique qui peut ainsi avoir accès à l'application.
S'agissant des mesures de sécurité mises en place, il a été relevé que l'application ne prévoit aucune hiérarchisation des accès et qu'en particulier, la seule possession du mot de passe dont l'attribution et la gestion n'obéissent à aucune règle prédéfinie, permet de consulter l'intégralité du dossier. Il n'existe pas non plus de journalisation des accès tant au système qu'à l'application. Tout utilisateur disposant d'un accès au logiciel sur son poste de travail peut sur simple requête modifier les données de la base sans qu'il soit conservé trace de l'auteur à l'origine de la modification.
La Commission prend acte du fait que la direction de l'hôpital ne nie pas l'insuffisance des mesures de sécurité actuellement mises en oeuvre et reconnaît que l'état du système informatique et les modalités actuelles de son fonctionnement ne permettent pas de répondre aux exigences requises en matière de respect de la confidentialité.
Par courrier du 16 août 2002, le directeur général de l'hôpital a informé la CNIL qu'une nouvelle application informatique de gestion hospitalière sera mise en oeuvre et qu'elle apportera les garanties de sécurité indispensables.
La Commission relève par ailleurs, que les autres applications informatiques mises en oeuvre au sein de l'hôpital n'ont pas encore fait l'objet de formalités préalables auprès de la CNIL. C'est ainsi le cas des applications sur le suivi des prescriptions en chimiothérapie, du PMSI psychiatrie, de la gestion des ressources humaines et de la gestion du temps de travail des salariés et du PMSI moyen et long séjour.
En conséquence,
DEMANDE à être saisie, dans un délai de trois mois à compter de la présente délibération, d'une demande d'avis établie conformément à l'article 15 de la loi du 6 janvier 1978 et relative à la mise en place du nouveau système de gestion hospitalière. Les mesures de sécurité retenues pour garantir la confidentialité des données devront être décrites en particulier en ce qui concerne les modalités d'accès aux informations, la politique d'attribution et de composition des mots de passe et les modalités retenues pour assurer une journalisation des connexions.
DEMANDE à être saisie dans les plus brefs délais des demandes d'avis relatives aux applications informatiques d'ores et déjà mises en oeuvre au sein de l'hôpital ainsi que des mesures prises pour améliorer la sécurité tant physique que logique de celles-ci.
DECIDE, faisant application des dispositions de l'article 21-4° de la loi n° 78-17 du 6 janvier 1978 d'adresser à cet effet un avertissement à X.
Le Président, 
 
Michel GENTOT
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment son article 21, pris ensemble le décret n° 78-774 du 17 juillet 1978 ;
Vu le règlement intérieur de la Commission et notamment ses articles 55 et 56 ;
Après avoir entendu Monsieur Maurice BENASSAYAG en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Saisie d'une plainte concernant l'utilisation à des fins de prospection commerciale par la société X d'un fichier regroupant des données concernant d'anciens élèves de grandes écoles.
FORMULE LES OBSERVATIONS SUIVANTES :
L'instruction de cette saisine fait apparaître que la société X ne dispose pas d'un accord avec l'ensemble des associations d'anciens élèves dont les annuaires sont exploités.
Il n'appartient pas à la Commission de régler les litiges concernant les conditions commerciales d'utilisation de bases de données mais d'assurer la correcte application des dispositions de la loi du 6 janvier 1978 lorsque ces données présentent un caractère nominatif.
La Commission relève que les opérations décrites ci-dessus en ce qu'elles conduisent la société X à collecter des informations nominatives sans s'assurer que les personnes concernées ne se sont pas opposées à un tel transfert d'informations relèvent de l'article 25 de la loi précitée qui interdit toute collecte déloyale ou illicite.
L'attention de la société X a été appelée lors de l'instruction de la saisine sur le caractère déloyal et illicite de cette collecte. A ce jour, la société X n'a toujours pas répondu aux différents courriers qui lui ont été adressés.
La Commission souligne que, conformément à l'article 21 de la loi du 6 janvier 1978, elle doit obtenir, dans les meilleurs délais, tous les renseignements utiles à l'exécution de sa mission afin que soient respectées les dispositions de la loi "informatique et libertés".
En conséquence,
DEMANDE à la société X de se mettre en conformité avec les dispositions de la loi du 6 janvier 1978, notamment son article 25 ;
DEMANDE d'être tenue informée des dispositions prises à cet effet ;
et DECIDE, faisant application des dispositions de l'article 21-4 de la loi n° 78-17 du 6 janvier 1978 d'adresser un avertissement à la société X.
Le Président,
Michel GENTOT
La Commission nationale de l'informatique et des libertés,   Vu la Convention du Conseil de l'Europe du 28 janvier 1981, pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive européenne du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, pris ensemble le décret n° 78-774 du 17 juillet 1978 ;   Vu la loi n° 2000-321 du 12 avril 2000 relative aux droits des citoyens dans leurs relations avec l'administration, notamment son article 2 ;   Vu le décret n° 2002-1064 du 7 août 2002 relatif au service public de la diffusion du droit par l'internet ;   Vu l'arrêté du 6 juillet 1999 relatif à la création du site Internet Légifrance ;   Vu la délibération de la Commission n° 01-057 du 29 novembre 2001 portant recommandation sur la diffusion de données personnelles sur internet par les banques de données de jurisprudence ;   Vu le projet d'arrêté relatif au site internet Légifrance présenté par le Premier Ministre ;   Après avoir entendu M. Pierre LECLERCQ, Commissaire, en son rapport et Mme Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;