AgentPublic/cnil huggingface dataset:
- par échange automatisé de données avec le système d'information  destinataire (pour l'instant, ce mode est prévu à destination des ARS  uniquement) ; - par envoi via la messagerie sécurisée de santé (MSSanté) de l'ASIP  Santé, à destination d'un utilisateur nommé ou d'un compte de service  dont les accès sont nominatifs et gérés par le responsable du service ; - par envoi d'un courriel invitant le destinataire à se connecter à  son espace personnel sur le portail pour y récupérer les données.
Dans ce dernier cas, un mécanisme de relance du destinataire est  prévu afin d'éviter une conservation des déclarations sur une durée  indéterminée. Différents profils d'utilisateurs sont identifiés en fonction des rôles :
- déclarants {grand public ou professionnels de santé) ; - évaluateurs devant traiter les déclarations ; - gestionnaire de comptes ; - administrateur du portail.
L'article 5 du projet prévoit que  les moyens d'authentification  des personnes habilitées à accéder aux données en application de  l'article 3 sont spécifiques à chaque catégorie d'utilisateurs du  Portail . Les modes d'accès, d'authentification et d'habilitation sont ainsi  adaptés aux profils d'utilisateurs et aux fonctionnalités proposées :
- déclaration simple pour le grand public, sans création d'un espace  personnel mais avec un accusé de transmission précisant les structures  destinataires ; - espace personnel  déclarant  pour la saisie et de suivi des  déclarations, avec authentification par carte de professionnel de santé  (CPS) ; - espace personnel  évaluateur  (hors échanges automatisés et  MSSanté) pour l'acquittement des déclarations reçues et leur  récupération par exportation des données, avec authentification forte  par CPS ou une alternative par identifiant, mot de passe et One Time  Password (OTP).
A cet égard, la Commission relève que l' article L. 1110-4 du code de la santé publique  issu de la loi du 26 janvier 2016 de modernisation de notre système de  santé ne prévoit plus l'authentification par CPS ou dispositif  équivalent agréé par l'ASJP Santé et que le nouvel article L. 1110-4-1  du même code renvoie ces modalités d'authentification à la conformité à  des référentiels d'interopérabilité et de sécurité approuvés par le  ministre en charge de la santé après avis de la CNIL. Dans l'attente de la publication des textes réglementaires  permettant l'entrée en vigueur de ces nouvelles dispositions, la  Commission suggère que l'authentification des professionnels de santé  intervienne au moyen d'une CPS ou d'un dispositif équivalent agréé par  I'ASIP santé. Les comptes des évaluateurs sont gérés par des gestionnaires de  comptes porteurs de CPS ou de carte de personnel autorisé (CPA). Ces  gestionnaires ont accepté la responsabilité de la fiabilité des données  et moyens d'authentification des personnes dont ils gèrent le compte et  peuvent ainsi créer des comptes pour des évaluateurs non équipés d'une  CPS. Les comptes des gestionnaires de comptes sont gérés par l'ASIP Santé  en tant qu'administrateur du portail, depuis son réseau privé. A ce  titre, l'ASIP Santé dispose également d'un accès aux indicateurs de  pilotage et d'évaluation du fonctionnement du portail (nombre de  déclarations par vigilance, par région, etc.) afin de réaliser des  statistiques et des
tableaux de bord. La Commission recommande que les permissions d'accès soient  attribuées pour une durée déterminée, après validation hiérarchique,  qu'elles soient supprimées pour tout utilisateur n'étant plus habilité  et qu'une revue globale des habilitations soit opérée régulièrement. Elle recommande également de formaliser les obligations et les  conditions de sécurité de données chez les destinataires des  déclarations, par le biais de l'acceptation des conditions générales  d'utilisation par les utilisateurs et par des conventions signées avec  les structures auxquelles ils appartiennent. L'accès au téléservice est sécurisé au moyen du protocole HTTPS/TLS  et la messagerie de santé utilise des canaux de communication chiffrés.  Les données du portail sont stockées chez un hébergeur agréé de données  de santé (HDS), sous­traitant de l'ASIP Santé. Les données et les  sauvegardes sont chiffrées par l'hébergeur. L'article 5 prévoit également que  les données permettant  l'authentification des personnes habilitées à accéder aux données en  application de l'article 3 sont strictement séparées des autres données.  Le système assure la traçabilité des actions effectuées sur ces données  . Une journalisation des opérations de consultation, création,  modification et suppression du traitement est réalisée. Les traces  techniques sont en lecture seule et leur intégrité est vérifiée par un  calcul d'empreinte avec une fonction de hachage. En complément, la Commission recommande
de réaliser un contrôle des  traces de manière automatique, afin de détecter les comportements  anormaux et lever des alertes. Elle rappelle également que les mesures de sécurité doivent être  matérialisées dans une politique de sécurité propre au traitement et  faire l'objet de contrôles et de révisions réguliers au vu des  évolutions du traitement, de son usage et de son environnement. Les autres dispositions du projet n'appellent pas d'observations de la part de la Commission.
La Commission nationale de l'informatique et des libertés, Saisie par la ministre des affaires sociales et de la santé d'une  demande d'avis concernant un projet de décret en Conseil d'Etat relatif à  la transparence des dépenses liées aux activités d'influence ou de  représentation des fabricants, importateurs, distributeurs de produits  du tabac et de leurs représentants ; Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu le  code de la santé publique, notamment son article L. 3512-7 ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-4 (a) ; Vu la loi n° 2016-041 du 26 janvier 2016 de modernisation de notre système de santé ; Vu l' ordonnance n° 2016-623 du 19 mai 2016  portant transposition de la directive 2014/40/UE sur la fabrication, la  présentation et la vente des produits du tabac et des produits connexes  ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-067 du 21 mars 2013 portant avis sur un  projet de
décret en Conseil d'Etat relatif à la transparence des  avantages consentis par les entreprises produisant ou commercialisant  des produits à finalité sanitaire et cosmétique destinés à l'homme ; Sur la proposition de M. Alexandre LINDEN, commissaire, et après  avoir entendu les observations de Mme Nacima BELKACEM, commissaire du  Gouvernement, Emet l'avis suivant : La commission a été saisie, le 28 octobre 2016, d'une demande d'avis  sur un projet de décret en Conseil d'Etat relatif à la transparence des  dépenses liées aux activités d'influence ou de représentation des  fabricants, importateurs, distributeurs de produits du tabac et de leurs  représentants. A l'instar du dispositif de transparence applicable aux entreprises  produisant ou commercialisant des produits à finalité sanitaire,  cosmétique ou des produits vétérinaires, l' article L. 3512-7 du code de la santé publique (ci-après le   CSP ), modifié par l' ordonnance n° 2016-623 du 19 mai 2016  portant transposition de la directive 2014/40/UE sur la fabrication, la  présentation et la vente des produits du tabac et des produits  connexes, encadre un dispositif de transparence applicable à l'industrie  du tabac. En effet, il prévoit l'obligation pour les fabricants, les  importateurs et les distributeurs de produits du tabac ainsi que les  entreprises, les organisations professionnelles ou les associations les  représentant d'adresser chaque année au ministre chargé de la santé un  rapport détaillant l'ensemble des
dépenses liées à des activités  d'influence ou de représentation d'intérêts. En application de ces dispositions, les entreprises précitées se  trouvent dans l'obligation de compléter un rapport faisant apparaître : 1° Les rémunérations de personnels employés en totalité ou en partie  pour exercer des activités d'influence ou de représentation d'intérêts ; 2° Les achats de prestations auprès de sociétés de conseil en activités d'influence ou de représentation d'intérêts ; 3° Les avantages en nature ou en espèces, sous quelque forme que ce  soit, d'une façon directe ou indirecte, dont la valeur dépasse 10 €,  procurés à :
- des membres du Gouvernement ; - des membres des cabinets ministériels ou à des collaborateurs du Président de la République ; - des collaborateurs du président de l'Assemblée nationale ou du président du Sénat ; - des parlementaires ; - des personnes chargées d'une mission de service public que leur  mission ou la nature de leur fonction appelle à prendre ou à préparer  les décisions et les avis des autorités publiques relatifs aux produits  du tabac ; - des experts, personnes physiques ou morales, chargés, par  convention avec une personne publique, d'une mission de conseil pour le  compte d'une personne publique qui a pour mission de prendre ou de  préparer les décisions et les avis des autorités publiques relatifs aux  produits du tabac.
Devront ainsi figurer dans le rapport :
- le montant total des rémunérations versées aux personnels employés  en totalité ou en partie pour exercer des activités d'influence ou de  représentation d'intérêts, ainsi que le nombre de personnes concernées ; - le montant total et l'identité des bénéficiaires des achats de  prestations auprès de sociétés de conseil en activités d'influence ou de  représentation d'intérêts ; - la nature et l'identité du bénéficiaire de chaque avantage en  nature ou en espèces, sous quelque forme que ce soit, d'une façon  directe ou indirecte, dont la valeur dépasse 10 € versé à une des  personnes visées par l' article L. 3512-7 (3°) du CSP.
Le projet de décret soumis à l'avis de la commission (ci-après  le  projet ) a pour objet de créer le cadre réglementaire de l'obligation  pour les fabricants, les importateurs et les distributeurs de produits  du tabac ainsi que les entreprises, les organisations professionnelles  ou les associations les représentant d'adresser chaque année au ministre  chargé de la santé un rapport détaillant l'ensemble des dépenses liées à  des activités d'influence ou de représentation d'intérêts, dont le  contenu sera rendu public. Sur la nature des informations figurant dans le rapport annuel et rendues publiques : Le projet d'article R. 3512-1-1 du CSP dresse la liste des données,  notamment à caractère personnel, devant figurer dans le rapport annuel  mentionné à l'article L. 3512-7 du même code. Les données à caractère personnel traitées seront les suivantes : S'agissant des dépenses de rémunération des personnels employés en  totalité ou en partie pour exercer des activités d'influence ou de  représentation d'intérêts :
- le nombre total de personnels rémunérés ; - la quotité de travail affectée aux activités d'influence et de représentation d'intérêts ; - la nature des activités d'influence et de représentation d'intérêts des personnels rémunérés ; - leur montant total, toutes taxes comprises, arrondi à l'euro le plus proche, dépensé sur l'année ; - la période couverte par ces activités.
S'agissant des dépenses d'achats de prestations auprès des sociétés  de conseil en activités d'influence ou de représentation d'intérêts :
- les noms des institutions et des personnes titulaires d'une responsabilité publique concernées par la prestation ; - le montant annuel total, toutes taxes comprises arrondi à l'euro  le plus proche, des achats de missions ou de prestations par entreprise,  organisation professionnelle ou association ; - l'identité de chaque société de conseil, comprenant la dénomination sociale, l'objet social et l'adresse de son siège social ; - l'objet de la mission ou de la prestation ou le nom de l'événement lié à ces dépenses ; - la période de réalisation de la prestation.
S'agissant des avantages alloués ou versés, en nature ou en espèces,  de façon directe ou indirecte aux personnes mentionnées au 3° du II de  l'article L. 3511-4-1 :
- le montant total annuel, toutes taxes comprises, arrondi à l'euro le plus proche, des avantages alloués ou versés ; - le montant, toutes taxes comprises, arrondi à l'euro le plus  proche, la date et la nature de chaque avantage perçu par bénéficiaire  identifié au cours de l'année civile ; - l'identité de chaque personne bénéficiaire, comprenant pour les  personnes physiques : le nom, le prénom, la fonction, la profession ou  la qualité, l'adresse professionnelle et, le cas échéant, l'institution  publique ou la circonscription de rattachement, le parti politique, le  groupe et la commission parlementaire ; - le contexte donnant lieu à ces avantages.
Le projet précise que le déclarant ne mentionnera les avantages indirects que si le bénéficiaire direct les lui a précisés. La commission relève que l' article L. 3511-4-1 du CSP visé par le projet a été abrogé par l' ordonnance n° 2016-623 du 19 mai 2016. Elle suggère donc que le projet soit modifié sur ce point, afin de faire référence à l' article L. 3512-7 du CSP. Par ailleurs, la commission relève que le projet prévoit que soit  précisé le parti politique des personnes physiques bénéficiaires d'un  avantage. Or, si l'appartenance à un groupe politique au sein des  institutions représentatives est une information rendue publique, il  n'en va pas de même concernant l'adhésion à un parti politique  s'agissant plus particulièrement des personnes visées aux c, e et f de  l'article L. 3512-7-II du CSP, à savoir les personnes chargées d'une  mission de service public et les experts chargés d'une mission de  conseil. A cet égard, la commission rappelle que l'article 8-I de la loi  Informatique et Libertés prévoit l'interdiction de collecter ou de  traiter des données faisant apparaître directement ou indirectement les  opinions politiques des personnes. Elle demande donc que le projet soit modifié sur ce point. Sous cette réserve, la commission considère que ces données sont  adéquates, pertinentes et non excessives au regard de la finalité  poursuivie. Sur les formalités préalables : Le projet d'article R. 3512-1-6-II du CSP prévoit l'obligation pour  l'autorité responsable du
site internet public unique de se conformer  aux dispositions de la  loi n° 78-17 du 6 janvier 1978  relative à l'informatique, aux fichiers et aux libertés en  accomplissant auprès de la Commission nationale de l'informatique et des  libertés les formalités nécessaires pour les traitements de données  qu'elle met en œuvre pour l'application du dispositif. La commission en prend acte. Sur la circulation et la publication des données : Le projet d'article R. 3512-1-2 du CSP prévoit que les informations  figurant dans le rapport sont transmises sous forme dématérialisée et  sont rendues publiques en langue française sur un site internet public,  dans des conditions fixées par arrêté du ministre chargé de la santé. A  cet égard, le projet d'article R. 3512-1-3 prévoit que l'arrêté qui  détermine les conditions de fonctionnement du site, notamment les  modalités d'établissement, d'authentification et de transmission  sécurisée des informations, sera pris après avis de la commission. La commission en prend acte. Sur la durée de conservation : Le projet d'article R. 3512-1-5 du CSP prévoit que les informations  demeurent accessibles au public durant cinq ans à compter de leur mise  en ligne. Par ailleurs, le projet d'article R. 3512-1-6-IV prévoit que  l'autorité responsable du site internet public unique conserve les  données recueillies à cette fin, sur tout support, pendant une durée de  dix ans à compter de la date à laquelle est intervenue leur dernière  modification. La
commission considère que la durée de conservation retenue  n'excède pas la durée nécessaire aux finalités pour lesquelles les  données sont collectées et traitées. Sur les modalités d'exercice des droits : Le projet d'article R. 3512-1-6-III prévoit l'obligation pour  l'autorité responsable du site internet public unique d'indiquer, sur le  site internet, la possibilité  pour les personnes mentionnées au 6° de  l'article R. 3512-1-1  du  CSP  d'exercer leur droit de rectification des informations les concernant  et que ce droit s'exerce directement auprès de la personne morale  responsable de l'information selon laquelle elles ont reçu ou perçu des  avantages ainsi que l'absence d'application du droit d'opposition. La commission relève que l'article R. 3512-1-1 ne comporte pas de  6°. Elle déduit des termes du projet de décret que les dispositions du  projet d'article R. 3512-1-6-III s'appliquent à l'ensemble des personnes  physiques mentionnées dans le projet d'article R. 3512-1-1 du CSP. Par ailleurs, la commission relève que le projet de décret ne fait  pas mention du droit d'accès des personnes concernées. Si la faculté  d'exercer ce droit peut en effet être écartée concernant des données  rendues publiques sur un site internet unique, la commission rappelle  que les dispositions de l'article 39 de la loi du 6 janvier 1978  modifiée devraient s'appliquer s'agissant des données ne figurant plus  sur le site mais faisant l'objet d'une conservation dans les conditions
prévues par les dispositions du projet d'article R. 3512-1-6-IV. Elle  suggère donc que le projet soit complété sur ce point. S'agissant des modalités d'exercice des droits des personnes, la  commission suggère que le projet précise de quelle manière les personnes  morales responsables de l'information pourront procéder à la  rectification des données figurant dans le rapport annuel et sur le site  internet unique. Sous ces réserves, la commission considère que ces modalités  d'exercice des droits des personnes n'appellent pas d'observation de sa  part. Sur le site internet unique : Le projet d'article R. 3512-1-6-I de CSP prévoit que l'autorité  responsable du site internet public unique prend les mesures techniques  nécessaires pour assurer l'intégrité du site sur lequel elle rend  publiques les informations, leur sécurité et la protection des seules  données directement identifiantes rendues publiques mentionnées au 6° de  l'article R. 3512-1-1 contre l'indexation par des moteurs de recherche. A cet égard, la commission relève que le projet reprend la formulation de l' article R. 1453-7 du CSP  actuellement en vigueur sur laquelle elle a eu l'occasion de se  prononcer dans sa délibération n° 2013-067 du 21 mars 2013. La  commission avait alors suggéré que les mesures visant à empêcher  l'indexation des données directement identifiantes soient prévues  concernant les moteurs de recherches externes, afin de concilier  l'objectif de transparence avec la protection de la vie
privée et, par  suite, la protection des données à caractère personnel des personnes  concernées par ce dispositif. La commission propose que le projet de décret soit modifié sur ce  point et précise que les mesures s'appliquent aux moteurs de recherche  externes. Les autres points du projet de décret n'appellent pas, en l'état et  au regard de la loi du 6 janvier 1978 modifiée, d'autre observation de  la commission.
La Commission nationale de l'informatique et des libertés, Saisie par le ministre de la Justice d'une demande d'avis concernant  un projet d'arrêté modifiant l'arrêté du 20 janvier 2012 portant  création d'un traitement automatisé dénommé AGRASC destiné à la gestion  et au recouvrement des biens saisis et confisqués par l'Agence de  gestion et de recouvrement des avoirs saisis et confisqués ; Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu le  code de procédure pénale, notamment ses articles 706-159 à 706-163 et R. 54-1 à R. 54-9 ; Vu la  loi n° 63-156 du 23 février 1963 de finances pour 1963 (2e partie-Moyens des services et dispositions spéciales), notamment son article 60 ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-1-1 • ; Vu la  loi n° 2010-768 du 9 juillet 2010 visant à faciliter la saisie et la confiscation en matière pénale ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n" 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le  décret n° 2012-1246 du 7 novembre 2012 modifié
relatif à la gestion budgétaire et comptable publique ; Vu l'arrêté du 20 janvier 2012 portant création d'un traitement  automatisé dénommé AGRASC destiné à la gestion et au recouvrement des  biens saisis et confisqués par l'Agence de gestion et de recouvrement  des avoirs saisis et confisqués ; Vu l'arrêté du 11 mai 2015 relatif aux modalités d'exercice du  contrôle budgétaire sur l'Agence de gestion et de recouvrement des  avoirs saisis et confisqués (AGRASC) ;
Après avoir entendu M. Gaëtan GORCE, commissaire, en son rapport, et  Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations, Emet l'avis suivant : La commission a été saisie par le ministre de la Justice d'une  demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 20  janvier 2012 portant création d'un traitement automatisé dénommé AGRASC  destiné à la gestion et au recouvrement des biens saisis et confisqués  par l'Agence de gestion et de recouvrement des avoirs saisis et  confisqués. L'Agence de gestion et de recouvrement des avoirs saisis et  confisqués (ci-après  l'Agence ) est un établissement public à  caractère administratif placé sous la tutelle conjointe du ministre de  la Justice et du ministre chargé du Budget, créé par la  loi du 9 juillet 2010 susvisée. Elle a principalement pour missions d'assurer la gestion centralisée  de toutes les sommes saisies lors des procédures pénales, qu'il  s'agisse de sommes inscrites au crédit d'un compte bancaire, de fonds  saisis en numéraire ou de créances exigibles sur des tiers, de procéder à  l'aliénation des biens vendus avant jugement en vertu des articles  41-5 et  99-2  du code de procédure pénale (CPP), de procéder à l'ensemble des  publications aux bureaux des hypothèques des décisions opérant des  saisies pénales immobilières, de veiller à l'information préalable des  créanciers et de gérer, sur mandat de justice, certains biens. Enfin,  dans les mêmes conditions que celles prévues en droit