AgentPublic/cnil huggingface dataset:
Les données à caractère personnel enregistrées dans le présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers, à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information les droits des personnes 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur des notices d’information remises lors de l’ouverture de la mesure.La Commission considère que cette modalité d’information des personnes est satisfaisante. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de Madame Patricia DESCHAMPS par courrier, fax ou courriel.   La Commission considère que ces modalités d’exercice des droits des personnes n’appellent pas d’observation. 
Sur les mesures de sécurité
Autorise, conformément à la présente délibération, Madame Patricia DESCHAMPS, en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1730031)
La Commission nationale de l'informatique et des libertés,
Saisie par Monsieur Jean-Luc MAZET, pris en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, , d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code civil ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 361-1, L. 471-1 à L. 473-4 et R. 472-1 à R. 472-26 ;
Vu le code de procédure pénale, notamment ses articles 706-112 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu la loi n°2007-308 du 5 mars 2007 portant réforme de la protection juridique des majeurs notamment son article 44 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté nominatif d'agrément du 04 juillet 2013 du Préfet de la Haute-Vienne ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Monsieur Jean-Luc MAZET, en sa qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, au 66 rue de l’Hermiterie à Couzeix (87270). Le responsable de traitement exerce la mission de mandataire judiciaire à la protection des majeurs que le juge des tutelles lui confie conformément aux dispositions de l’article L. 471-1 du code de l’action sociale et des familles (CASF).Le responsable de traitement est spécifiquement agréé en tant que tel par le préfet de son département.
Sur la finalité
Monsieur Jean-Luc MAZET a saisi la Commission, en qualité de  mandataire judiciaire à la protection des majeurs d’une demande d’autorisation afin de mettre en œuvre un traitement de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous tutelle ou sous curatelle relevant de son mandat.A ce titre, une gestion administrative et comptable du service de tutelle est nécessaire.Le traitement, justifié par l’intérêt public, peut faire apparaître directement ou indirectement des données relatives à la santé,  ainsi qu’à l’appartenance politique, religieuse, ou syndicale des personnes .Dès lors, il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation de la Commission, les traitements, automatisés ou non, portant sur de telles données.Il convient également de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.La Commission estime qu’il y a également lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes
Sur les données traitées
Les données collectées dans le cadre du présent traitement peuvent être, en fonction du type de mesure de protection (sauvegarde de justice, curatelle ou tutelle), du contenu précis de la mesure prononcée par le juge et de la nature des actes à accomplir, relatives : 
à l’identification des personnes et, le cas échéant, à celle de leurs conjoints et enfants (nom, prénom, adresse, date et lieu de naissance) ;
à leur vie personnelle (situation familiale) ;
à leur vie professionnelle (situation professionnelle, scolarité, formation) ;
à des informations d’ordre économique et financier (revenus, situation financière, dépenses, recettes, contrôle du budget) ;
à l’appartenance religieuse, politique et syndicale et à la santé ; 
aux infractions, condamnations ou mesures de sûreté, dans les limites prévues par les dispositions législatives en vigueur ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), uniquement dans le cadre d’échanges avec des professionnels de santé, des organismes de sécurité sociale, de prévoyance ou de retraite, ainsi que des financeurs de prestations sociales ou médico-sociales ;
à des appréciations sur les difficultés sociales des personnes.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, dès lors qu’elles s’avèrent nécessaires à l’exercice d’un mandat de représentation.
Sur les destinataires
Seul le responsable de traitement et, le cas échéant, les membres habilités de son personnel placé sous sa responsabilité soumis à une obligation de confidentialité peuvent accéder au présent traitement. Le responsable de traitement exerçant en nom propre et à titre indépendant est habilité à transmettre des données aux destinataires suivants :Le juge des tutelles compétent peut être destinataire de l’intégralité des données du traitement.La direction départementale de la cohésion sociale et les organismes financeurs, au nombre desquels figurent notamment les caisses d’allocations familiales ou de mutualité sociale agricole, la caisse des dépôts et des consignations ou encore les caisses primaires d’assurance maladie, peuvent être destinataires des données d’identification, des données relatives à la vie personnelle et des numéros de sécurité sociale.La Commission considère que ces destinataires présentent un intérêt légitime à connaître de ces données.Elle estime, par ailleurs, que le responsable du traitement peut également communiquer des données aux organismes en relation avec les personnes représentées, sous réserve que ces transmissions soient indispensables à ces relations, d’une part, et que les données concernées soient limitées au strict nécessaire, d’autre part.
Sur les durées de conservation
Les données à caractère personnel du présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et les droits des personnes 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur des notices d’information et sur les chartes des droits et libertés remises par le responsable de traitement aux personnes concernées lors de l’ouverture de la mesure. La Commission considère que ces modalités d’information des personnes sont satisfaisantes. Elle rappelle que ces informations doivent être fournies selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de Monsieur Jean-Luc MAZET par courrier, fax ou courriel.  La Commission considère que ces modalités d’exercice des droits des personnes n’appellent pas d’observation.
Sur les mesures de sécurité
Autorise, conformément à la présente délibération, Monsieur Jean-Luc MAZET, en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, à mettre en œuvre le traitement susmentionné. 
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1692524)
La Commission nationale de l'informatique et des libertés,
Saisie par Madame Lydie NOUGUIER, prise en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code civil ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 361-1, L. 471-1 à L. 473-4 et R. 472-1 à R. 472-26 ;
Vu le code de procédure pénale, notamment ses articles 706-112 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu la loi n°2007-308 du 5 mars 2007 portant réforme de la protection juridique des majeurs notamment son article 44 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté nominatif d'agrément du 30 avril 2013 du Préfet des Hauts-de-Seine ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Madame Lydie NOUGUIER, en sa qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel au 54, boulevard Rodin à Issy-les-Moulineaux (92130).Le responsable de traitement exerce la mission de mandataire judiciaire à la protection des majeurs que le juge des tutelles lui confie conformément aux dispositions de l’article L. 471-1 du code de l’action sociale et des familles (CASF).Le responsable de traitement est spécifiquement agréé en tant que tel par le préfet de son département.
Sur la finalité
Mme Lydie NOUGUIER a saisi la Commission, en qualité de mandataire judiciaire à la protection des majeurs d’une demande d’autorisation afin de mettre en œuvre un traitement de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous tutelle ou sous curatelle relevant de son mandat.A ce titre, une gestion administrative et comptable du service de tutelle est nécessaire.Le traitement, justifié par l’intérêt public, peut faire apparaître directement ou indirectement, des données relatives à l’appartenance politique, philosophique, religieuse, et syndicale ou qui sont relatives à la santé des personnes. Dès lors, il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation de la Commission, les traitements, automatisés ou non, portant sur de telles données.Il convient également de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.La Commission estime qu’il y a également lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national
d’identification des personnes physiques.La Commission estime, enfin, que le recours à la formalité de l’autorisation se justifie au regard de l’article 25-I-7° de la loi 6 janvier 1978 modifiée pour ce qui concerne les traitements automatisés de données comportant des appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les données collectées dans le cadre du présent traitement peuvent être, en fonction du type de mesure de protection (sauvegarde de justice, curatelle ou tutelle), du contenu précis de la mesure prononcée par le juge et de la nature des actes à accomplir, relatives :
à  l’identification des personnes et, le cas échéant, à celle de leurs conjoints et enfants (nom, prénom, adresse, date et lieu de naissance) ;
à leur vie personnelle (situation familiale) ;
à  leur vie professionnelle (situation professionnelle, scolarité, formation) ;
à des informations d’ordre économique et financier (revenus, situation financière, dépenses, recettes, contrôle du budget) ;
à l’appartenance religieuse, philosophique, politique ou syndicale et à la santé ; 
aux infractions, condamnations ou mesures de sûreté, dans les limites prévues par les dispositions législatives en vigueur ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), uniquement dans le cadre d’échanges avec des professionnels de santé, des organismes de sécurité sociale, de prévoyance ou de retraite, ainsi que des financeurs de prestations sociales ou médico-sociales ;
à des appréciations sur les difficultés sociales des personnes.
La Commission estime que le traitement de ces données est adéquat, pertinent et non excessif au regard de la  finalité poursuivie, dès lors qu’elles s’avèrent nécessaires à l’exercice d’un mandat de représentation.
Sur les destinataires
Les données à caractère personnel du présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et les droits des personnes
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur des notices d’information et sur les chartes des droits et libertés remises par le responsable de traitement aux personnes concernées lors de l’ouverture de la mesure.La Commission considère que ces modalités d’information des personnes sont satisfaisantes. Elle rappelle que ces informations doivent être fournies selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de Mme Lydie NOUGUIER par courrier, fax ou courriel.  La Commission considère que ces modalités d’exercice des droits des personnes n’appellent pas d’observation. 
Sur les mesures de sécurité
Autorise, conformément à la présente délibération, Madame Lydie NOUGUIER, en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, à mettre en œuvre le traitement susmentionné. 
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1556483)
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier de Paimpol d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un outil dénommé « RUBIS » permettant la réalisation d’actes de télé-expertise ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L.6316-1, L.1110-4, et R.6316-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Centre hospitalier de Paimpol.
Sur la finalité
L’outil de télémédecine proposé, dénommé « RUBIS » (RéseaU Breton d’Imagerie de Santé), à pour objectif d’organiser la réalisation d’actes de téléexpertise entre professionnels de santé.Il permet, conformément aux dispositions de l’article R.6316-1 du code de la santé publique, de solliciter à distance l’avis d’un ou de plusieurs professionnels médicaux en raison de leur formation ou de leurs compétences particulières.Dans ce cadre, le patient est pris charge par un professionnel de santé du CH de Paimpol et son examen d’imagerie médicale sera interprété à distance par un professionnel de santé compétent. La finalité poursuivie par le traitement est déterminée, explicite et légitime.La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique.
Sur les données traitées
Concernant les patients, les données traitées et échangées sont : - les données d’identification (nom, prénom, date de naissance, identifiant patient de l’établissement),- les données de santé nécessaires à l’acte de téléexpertise effectuée (données cliniques, biologiques et d’imagerie).Concernant les professionnels de santé, les données traitées et échangées sont : - les données d’identification (identité et coordonnées professionnelles).La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement.
Sur les destinataires
Les destinataires des données sont les professionnels de santé authentifiés et habilités dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la prise en charge de leurs patients.L’utilisation de l’outil « RUBIS » est subordonnée à la signature d’une convention par laquelle les professionnels de santé s’engagent à respecter les modalités de mis en œuvre du service, notamment l’information et le recueil du consentement du patient ou de son représentant légal le cas échéant. Les professionnels de santé sont informés que l’utilisation du service ne les exonère pas de leur responsabilité notamment en matière de diagnostic ou de traitement, tout comme le médecin qui procède à l’acte de télé-expertise.
Sur l’information et le droit d’accès
Le patient est informé préalablement à la réalisation de l’acte de télé-expertise par le biais d’une note d’information remise par le professionnel de santé qui le prend en charge. Cette note d’information est rédigée notamment pour permettre le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.Le consentement du patient serra recueilli après information et pour chaque acte de télé-expertise effectué.Les droits d’accès, de rectification et de suppression tels que reconnus par la loi du 6 janvier 1978 modifiée sont explicités dans la note d’information et s’exerceront auprès du Directeur du Centre hospitalier de Paimpol.
Sur les mesures de sécurité
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.Le responsable de traitement a mis en place une politique de mot de passe dont la complexité n’est pas conforme aux recommandations de la Commission. Celle-ci rappelle, s’agissant des mots de passe, que ceux concernant les utilisateurs ne disposant pas de privilèges élevés doivent être composés d’un minimum de huit caractères, et ce nombre est porté à dix pour les autres utilisateurs (tels que les administrateurs de la base de données). Le mot de passe doit être composé au minimum de trois types de caractères distincts (minuscules, majuscules, chiffres et caractères spéciaux). Les mots de passe doivent être conservés dans un format en assurant la confidentialité.Toutefois, s’agissant de l’authentification des professionnels de santé, la Commission rappelle que le recours à un dispositif de login/mot de passe n’est pas conforme aux dispositions de l’article L.1110-4 du code de la santé publique qui leur impose une authentification forte par l’utilisation d’une carte de professionnel de santé (CPS) ou d’un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. Elle demande donc que l’authentification des professionnels intervenant dans le dispositif soit conforme aux dispositions précitées.Les accès aux données ainsi qu’à l’application sont tracés, tout comme, les actions  des utilisateurs et administrateurs
(consultation, création, mise à jour, suppression des données).Les transferts de données s’effectuent par l’intermédiaire d’un réseau virtuel privé, sécurisé par l’utilisation du protocole SSL. En outre, le réseau n’est pas accessible depuis internet.Les données sont sauvegardées quotidiennement.Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont donc conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.