AgentPublic/cnil huggingface dataset:
La Commission relève qu'une étude de risque a été menée conformément au référentiel général de sécurité (RGS), que des mesures visant à réduire les risques identifiés seront mises en œuvre et que les risques résiduels identifiés sont acceptables.
Elle note que l'accès au téléservice est sécurisé par la mise en œuvre d'une authentification par base de preuve qui s'appuie sur des identifiants fonctionnels (adresse électronique, numéro unique, code télédemandeur et date de naissance).
Par ailleurs, des profils d'habilitation définissent les fonctions ou types d'informations accessibles aux utilisateurs.
La Commission observe que les échanges de données sont réalisés au moyen de canaux sécurisés et, notamment, que les données transmises sont chiffrées.
Elle relève également que toute consultation du traitement fait l'objet d'un enregistrement comprenant l'identification de l'utilisateur, la date, l'heure et la nature de l'intervention, étant précisé que les données journalisées sont supprimées au bout d'un an.
Afin de limiter les risques liés à la diffusion du NIR, la Commission rappelle la nécessité de ne pas faire mention du NIR dans les informations accessibles via le téléservice ni sur les documents papiers transmis aux personnes concernées.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présidente,
I. Falque-Pierrotin
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'agriculture, de l'agroalimentaire et de la forêt d'une demande d'avis concernant un projet de décret relatif à la mise en œuvre d'un traitement de données à caractère personnel ayant pour finalité la création du registre des actifs agricoles ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code rural et de la pêche maritime, notamment ses articles L. 311-1 et L. 311-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 (4°, a) ;
Vu la loi n° 2014-1170 du 13 octobre 2014 d'avenir pour l'agriculture, l'alimentation et la forêt ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France MAZARS, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission nationale de l'informatique et des libertés a été saisie, sur le fondement de l'article 11 (4°-a) de la loi du 6 janvier 1978 modifiée en août 2004, par le ministère de l'agriculture, de l'agroalimentaire et de la forêt, responsable du traitement, d'une demande d'avis concernant un projet de décret pris pour application de l'article L. 311-2 du code rural et de la pêche maritime modifié par la loi n° 2014-1170 du 13 octobre 2014 pour l'agriculture, l'alimentation et la forêt, et qui vient créer le registre des actifs agricoles.
Sur les finalités du traitement :
La commission prend acte que le registre des actifs agricoles, administré par l'Assemblée permanente des chambres d'agriculture (APCA), permettra de faciliter la reconnaissance des agriculteurs professionnels répondant aux critères fixés par les articles L. 311-1 et L. 311-2 du code rural et de la pêche maritime.
II simplifiera également les échanges avec les divers organismes auxquels les agriculteurs s'adressent régulièrement, notamment pour l'accès aux prêts.
La commission prend note que toute personne inscrite au registre des actifs agricoles qui en fait la demande auprès du centre de formalités des entreprises de la chambre d'agriculture se verra délivrer gratuitement une attestation d'inscription à ce registre, conformément à l'article L. 311-2 du code rural et de la pêche maritime.
La commission prend également acte que le projet d'article D. 311-29 du code rural et de la pêche maritime prévoit l'établissement de statistiques, par l'APCA et les chambres d'agriculture territorialement compétentes, qui sont destinées à mieux connaître le nombre d'agriculteurs professionnels et leurs activités.
La commission considère les finalités poursuivies comme déterminées, explicites et légitimes conformément à l'article 6-2° de la loi du 6 janvier 1978 modifiée en août 2004.
Sur les modalités de la mise en œuvre du traitement :
La commission relève qu'un chef d'exploitation agricole relevant du régime de la sécurité sociale agricole (MSA) au sens des articles L. 311-1 et L. 311-2 du code rural et de la pêche maritime, dès lors qu'il s'inscrit dans un centre de formalités des entreprises (CFE), sera inscrit d'office au registre des actifs agricoles (projet d'article D. 311-28 du code susvisé).
Les projets d'articles D. 311-26 et D. 311-27 du code rural et de la pêche maritime prévoient que les caisses de MSA et les CFE transmettent de manière automatique à l'Assemblée permanente des chambres d'agriculture les données mentionnées par le projet d'article D. 311-23.
A cet égard, le projet d'article D. 311-24 du code rural et de la pêche maritime précise que le présent traitement peut faire l'objet d'une interconnexion, mise en relation, rapprochement avec : - la base de données tenue par les caisses de mutualité sociale agricole, - la base de données des centres de formalités des entreprises .
Dans la mesure où il ne s'agit pas d'un rapprochement de fichiers mais bien d'une interconnexion impliquant plusieurs traitements automatisés de données à caractère personnel distincts, la commission recommande de supprimer les termes mise en relation, rapprochement du projet de texte.
Sur les données traitées :
Le projet d'article D. 311-23 du code rural et de la pêche maritime liste les informations concernant les personnes physiques exerçant à titre individuel ou sous la forme d'une personne morale, et celles concernant l'exploitation agricole qui vont être enregistrées au sein du registre des actifs agricoles.
La commission prend acte que les données relatives à l'adresse du domicile de la personne physique exerçant à titre individuel, ainsi que celles relatives à l'adresse du domicile de la personne ou des personnes ayant le pouvoir d'engager la personne morale pour les personnes physiques exerçant sous la forme d'une personne morale mentionnées par le projet d'article D. 311-23 (1°, a et b) du code rural et de la pêche maritime ne seront pas collectées, et seront donc supprimées du projet d'acte réglementaire.
Sous ces réserves, la commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Sur les destinataires :
Dans les limites de leurs attributions respectives, et chacun pour ce qui le concerne, peuvent accéder aux données enregistrées dans le traitement, les personnels chargés de la tenue du registre des actifs agricoles au sein de l'APCA, du réseau des chambres d'agriculture des CFE, et du ministère de l'agriculture, agroalimentaire et de la forêt, conformément à l'article L. 311-2 du code rural et de la pêche maritime.
La commission estime que ces personnes présentent un intérêt légitime à connaitre de ces données.
Sur la durée de conservation des données :
Le projet d'article D. 311-31 du code rural et de la pêche maritime prévoit que les données à caractère personnel sont conservées jusqu'à la date de radiation de l'intéressé.
La commission prend acte que les données seront supprimées de manière sécurisée, une fois la radiation prononcée.
La commission prend également acte de ce que la rédaction du projet d'article D. 311-32 du code susvisé qui prévoit les différents cas pour lesquels l'Assemblée permanente des chambres peut procéder à la radiation d'une personne inscrite au registre des actifs agricoles sera modifiée de manière à rendre plus intelligible les modalités de radiation.
La commission estime que cette durée de conservation est conforme aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée en août 2004.
Sur l'information et les droits des personnes concernées :
La commission prend acte que les modalités d'information des personnes n'ont pas encore été définies.
La commission rappelle qu'il appartient au responsable de traitement de s'assurer que l'ensemble des personnes est effectivement informé conformément aux dispositions de l'article 32 de la loi informatique et libertés du 6 janvier 1978.
Le projet d'article D. 311-33 du code rural et de la pêche maritime prévoit que les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi susvisée s'exercent auprès des centres de formalités des entreprises territorialement compétents.
La commission prend note que le droit d'opposition prévu à l'article 38 est expressément exclu par le projet d'acte réglementaire.
Sur les mesures de sécurité :
La commission rappelle que le responsable du traitement doit prendre toutes les précautions utiles au regard des risques présentés par le traitement pour préserver la sécurité des données à caractère personnel. Il doit, notamment au moment de leur collecte, durant leur transmission et leur conservation, empêcher que les données soient déformées, endommagées ou que des tiers non autorisés y aient accès.
A cet égard, le responsable de traitement doit notamment s'assurer que :
- toute transmission d'information via un canal de communication non sécurisé, par exemple Internet, s'accompagne de mesures adéquates permettant de garantir la confidentialité des données échangées, telles qu'un chiffrement des données ;
- les personnes habilitées disposant d'un accès aux données doivent s'authentifier avant tout accès à des données à caractère personnel, au moyen d'un identifiant et d'un mot de passe personnels respectant les recommandations de la CNIL, ou par tout autre moyen d'authentification garantissant au moins le même niveau de sécurité ;
- un mécanisme de gestion des habilitations est mis en œuvre et régulièrement mis à jour pour garantir que les personnes habilitées n'ont accès qu'aux seules données effectivement nécessaires à la réalisation de leurs missions. Le responsable de traitement doit définir et formaliser une procédure permettant de garantir la bonne mise à jour des habilitations ;
- des mécanismes de traitement automatique garantissent que les données à caractère personnel seront systématiquement supprimées, à l'issue de leur durée de conservation, ou feront l'objet d'une procédure d'anonymisation rendant impossible toute identification ultérieure des personnes concernées ;
- les accès à l'application font l'objet d'une traçabilité afin de permettre la détection d'éventuelles tentatives d'accès frauduleux ou illégitimes. Les données de journalisation doivent être conservées pendant une durée de six mois glissants à compter de leur enregistrement, puis détruites.
Concernant les mécanismes d'anonymisation, il conviendra de s'assurer que les statistiques produites ne permettent aucune identification, même indirecte, des personnes concernées.
La commission rappelle que l'usage d'outils ou de logiciels développés par des tiers dans le cadre de la mise en œuvre d'un traitement de données à caractère personnel reste sous la responsabilité du responsable de traitement, qui doit notamment vérifier que ces outils ou logiciels respectent les obligations que la loi du 6 janvier 1978 modifiée met à sa charge.
Enfin, le responsable de traitement conserve la responsabilité des données à caractère personnel communiquées ou gérées par ses sous-traitants. Le contrat établi entre les parties doit mentionner les obligations incombant au sous-traitant en matière de préservation de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instructions du responsable de traitement.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
a Commission nationale de l'informatique et des libertés,
Saisie par le ministère des affaires sociales et de la santé d'une demande d'avis sur un projet de décret modifiant les dispositions concernant le système d'information des maisons départementales des personnes handicapées et le système national d'information statistique mis en oeuvre par la Caisse nationale de solidarité pour l'autonomie ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'action sociale et des familles ;
Vu le code de la santé publique ;
Vu le code de la sécurité sociale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-I [1°] ;
Vu la loi n° 2015-1776 du 28 décembre 2015 relative à l'adaptation de la société au vieillissement ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2007-965 du 15 mai 2007 autorisant la création d'un traitement de données à caractère personnel par les maisons départementales des personnes handicapées ;
Vu le décret n° 2016-994 du 20 juillet 2016 relatif aux conditions d'échanges et de partage d'informations entre les professionnels de santé et autres professionnels des champs social et médico-social et à l'accès aux informations de santé à caractère personnel ;
Vu le décret n° 2016-996 du 20 juillet 2016 relatif à la liste des structures de coopération, d'exercice partagé ou de coordination sanitaire ou médico-sociale dans lesquelles peuvent exercer les membres d'une équipe de soins ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
L'article 89 de la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé modifie les missions des maisons départementales des personnes handicapées (MDPH) en instaurant la mise en place des plans d'accompagnement global, dispositifs complémentaires aux plans personnalisés de compensation, destinés à construire des solutions d'accompagnement et d'accueil en établissement de toutes personnes en situation de handicap et en particulier les cas complexes.
La loi n° 2015-1776 du 28 décembre 2015 relative à l'adaptation de la société au vieillissement modifie les missions de la Caisse nationale de solidarité pour l'autonomie (CNSA) en renforçant son rôle de connaissance de l'offre médico-sociale et d'analyse des besoins des personnes handicapées sur le territoire.
Ces changements impliquent de modifier les traitements de données à caractère personnel mis en œuvre par les MDPH et la CNSA afin de leur permettre la réalisation de ces nouvelles missions.
La Commission est ainsi saisie d'un projet de décret modifiant les dispositions réglementaires concernant le système d'informations des MDPH et le système national d'information statistique mis en oeuvre par la CNSA.
Sur les modifications apportées au système d'information mis en oeuvre par les MDPH :
A titre liminaire, la Commission relève qu'en application des articles 70 et 75 de la loi relative à l'adaptation de société au vieillissement précitée, qui ont complété les articles L. 14-10-1 et L. 247-2 du code de l'action sociale et des familles (CASF), les MDPH devront désormais utiliser un système d'information commun, conforme à des normes d'interopérabilité définies par la CNSA. Ces référentiels seront approuvés par arrêté du ministre en charge des personnes handicapées pris après avis de la Commission.
La Commission rappelle qu'elle devra donc être saisie de ce projet d'arrêté afin d'émettre un avis éclairé sur les caractéristiques de ce système d'information commun.
Sur la finalité des traitements :
L'article 1er du projet de décret prévoit de de compléter la finalité relative à l'instruction des demandes de prestations ou d'orientation de la personne handicapée en prenant en compte :
- l'identification des attentes et des besoins des personnes, et le cas échéant de leurs proches aidants, ainsi que les prestations requises permettant de définir les interventions dans les domaines de l'accompagnement, de l'éducation et de la scolarisation, des soins, de l'insertion professionnelle sociale ou de l'aide aux aidants ;
- la connaissance de la situation des personnes justifiant d'un plan d'accompagnement global.
La finalité relative au suivi des parcours individuels de la personne handicapée est également complétée pour intégrer le recueil des suites données par les établissements, services et dispositifs intégrés aux dispositifs d'orientation.
Dans la mesure où ces modifications résultent de la mise en place du plan d'accompagnement global prévu à l'article 89 de la loi de modernisation de notre système de santé précitée, et dans la logique d'analyse des besoins des personnes handicapées sur le territoire confiée à la CNSA, ces modifications n'appellent pas d'observations de la Commission.
Le projet de décret prévoit également de compléter la finalité relative à la simplification des usagers par la participation des MDPH à la coordination des parcours de santé complexes.
La Commission relève que cette mission est prévue par l'article 74 de la loi du 26 janvier 2016 précitée et aura principalement pour objectifs d'informer et orienter les personnes handicapées et organiser leur parcours lorsque celui-ci est défini comme complexe, c'est-à-dire "lorsque l'état de santé, le handicap ou la situation sociale du patient rend nécessaire l'intervention de plusieurs catégories de professionnels de santé, sociaux ou médico-sociaux ".
L'article 1er du projet de décret ajoute enfin une finalité relative à la gestion des ressources humaines et de financement des MDPH. La Commission relève que cet ajout répond à l'obligation prévue à l'article L. 146-3-1 du CASF, pour les MDPH de transmettre à la CNSA des informations relatives à l'utilisation des financements qu'elles ont reçus, à leurs effectifs et à leurs activités.
La Commission estime que ces nouvelles finalités sont déterminées, explicites et légitimes conformément aux dispositions de l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.
Sur les données traitées :
Le projet de décret prévoit que les MDPH ont recours au numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR) pour :
- référencer les données recueillies par l'équipe pluridisciplinaire mentionnée à l'article L. 146-8 dans le cadre de leurs missions et assurer les échanges d'informations nécessaires à la mise en œuvre des interventions requises dans un objectif d'inclusion : éducatives et de scolarisation, thérapeutiques, d'insertion professionnelle ou sociale, d'aide aux aidants ;
- transmettre les notifications de décisions et informations contenues dans le formulaire de demande, à l'organisme chargé de la mise en œuvre de ces décisions dès lors que cet organisme est autorisé à utiliser ce numéro ;
- transmettre les données à la Caisse nationale de solidarité pour l'autonomie en application de l'article L. 146-3 du présent code.
La Commission rappelle que dans son avis sur le décret n° 2007-965 du 15 mai 2007 précité, elle avait admis que le numéro de sécurité sociale puisse être utilisé comme identifiant des usagers des MDPH à des fins d'instruction de leur dossier.
Pour ce qui concerne les échanges avec la CNSA, la Commission avait pu se prononcer sur la création de l'article 73 de la loi n° 2015-1776 du 28 décembre 2015 relative à l'adaptation de la société au vieillissement dans son avis en date du 27 mars 2014. Elle avait ainsi estimé que la transmission du NIR pour des raisons liées au besoin de chaîner le parcours des personnes apparaissait légitime et répondait à l'objectif de cantonner le NIR à la prise en charge dans la sphère médico-sociale.
Si la Commission ne remet pas en cause aujourd'hui une telle utilisation, elle rappelle néanmoins que cette transmission ne pourra être effectuée qu'à des fins de suivi des personnes sur la durée et que seules les personnes strictement habilitées de la CNSA pourront être amenées à traiter une telle donnée.
Concernant les personnes handicapées, l'article 1er du projet de décret prévoit de modifier l'article R. 146-39 du code de l'action sociale et des familles par l'ajout de données relatives à leurs besoins.
Le projet de décret prévoit également la collecte des données suivantes concernant les aidants :
- date de naissance ;
- cohabitation avec la personne aidée ;
- lien de parenté avec la personne aidée ;
- situation au regard de l'emploi ;
- nature de l'aide apportée ;
- attentes et besoins.
La Commission relève que la collecte de ces données sera facultative et prend acte des précisions apportées par le ministère selon lesquelles ces données permettront d'affiner la connaissance du profil des aidants et d'examiner les demandes d'aides telles que l'affiliation gratuite à l'assurance vieillesse formulées en faveur de l'aidant d'une personne handicapée.
La Commission constate également que des données relatives à de nouvelles catégories de personnes sont collectées, à savoir les membres du groupe opérationnel de synthèse dont la création est prévue par l'article 89 de la loi n° 2015-1776 du 28 décembre 2015 relative à l'adaptation de la société au vieillissement dans le cadre de la mise en place des plans d'accompagnement global et les coordonnateurs de parcours dont la désignation est rendue obligatoire pour les MDPH par cette même loi.
Le projet de décret prévoit que les données collectées relatives à ces deux catégories de personnes sont les noms, prénoms, adresses professionnelles et qualités, ce qui n'appelle pas d'observations particulières de la Commission.
Sur les destinataires des données :
Le projet de décret prévoit l'ajout de nouveaux destinataires dans le cadre de l'instauration des plans d'accompagnement global.
Auront ainsi accès aux données contenues dans les traitements mis en oeuvre par les MDPH, les agents du département, les agents de l'agence régionale de santé et les agents des organismes d'assurance maladie et autres professionnels pour le strict besoin de mise en place du plan d'accompagnement global.