AgentPublic/cnil huggingface dataset:
La CPU transmet ensuite les accords de paiement et les rejets de facture émis par les caisses gestionnaires, sous forme dématérialisée aux établissements : soit directement à l'établissement de santé s'agissant des établissements de santé privés d'intérêt collectif, soit au site national NOEMIE (SNN) s'agissant des établissements publics de santé. La CPU procèdera à la transmission quotidienne d'un fichier unique par établissement comprenant l'intégralité des accords de paiement ou rejets de facture. Lorsque les données transitent par le SNN, ce dernier les transmet ensuite à l'établissement public de santé concerné et, en parallèle vers le comptable public pour qu'il intègre les accords de paiement ou rejets des factures des établissements de santé qu'il prend en charge dans son logiciel métier, dénommé  HELIOS . 
Bien que le projet de décret précise que les transmissions de données sont sécurisées, la sécurité des flux en direction des établissements de santé ou du comptable public n'a fait l'objet d'aucune précision dans le descriptif technique du dispositif. Dès lors, la Commission rappelle que des mesures de sécurité doivent être prises, afin notamment de s'assurer de la confidentialité et de l'intégrité des données transmises.
Enfin, les établissements de santé s'équipent de logiciels conçus par des éditeurs hospitaliers qui doivent obtenir une certification préalable au Centre National de Dépôt et d'Agrément (CNDA) destinée à garantir la qualité de fonctionnement de leur logiciel.
Les autres mesures de sécurité n'appellent pas d'observations au regard de l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Les autres points du projet de décret n'appellent pas, en l'état et au regard de la loi du 6 janvier 1978 modifiée, d'autres observations.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, modifiée par le règlement (CE) n° 1882/2003 du Parlement européen et du Conseil du 29 septembre 2003 ;Vu la directive n° 2002/58 du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, modifiée par la directive 2006/24/CE du 15 mars 2006 et par la directive 2009/136/CE du 25 novembre 2009, notamment son article 5.2 ;Vu le code de la consommation, notamment ses articles L.121-20 et L. 121-27;Vu le code du travail, notamment son article L. 1121-1 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 6 et 24 I ;Vu la loi n°2014-344 du 17 mars 2014 relative à la consommation ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu Mme Marie-France MAZARS, commissaire et vice-présidente déléguée, en son
rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :En application de l'article 24-I de la loi du 6 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés est habilitée à établir des normes destinées à simplifier l'obligation de déclaration des traitements les plus courants dont la mise en œuvre, dans des conditions régulières, n'est pas susceptible de porter atteinte à la vie privée ou aux libertés.
La Commission nationale de l'informatique et des libertés constate le développement de dispositifs d'écoute et d'enregistrement des appels émis et reçus par les employés sur leur lieu de travail.
Ces traitements portent sur des données à caractère personnel et sont soumis aux dispositions de la loi du 6 janvier 1978 modifiée, notamment celles relatives aux formalités préalables.
La Commission estime nécessaire d'adopter une norme simplifiée relative à la déclaration des traitements visant à écouter et enregistrer les appels émis et reçus par l'employé sur le lieu de travail.
Décide :
Article 1er - Champ d'applicationSeuls peuvent bénéficier de la procédure de déclaration simplifiée de conformité à la présente norme les traitements automatisés utilisés par les organismes publics ou privés relatifs à l'écoute et à l'enregistrement ponctuel des conversations téléphoniques sur le lieu de travail qui répondent aux conditions définies aux articles suivants.
Sont exclus du champ de cette norme :
-	les traitements réalisés par des organismes dont les missions consistent à collecter des données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée ;-	les enregistrements audiovisuels ;-	les écoutes et les enregistrements faisant l'objet d'un couplage avec des données provenant d'une capture d'écran du poste informatique de l'employé ;-	l'enregistrement permanent ou systématique des appels sur le lieu de travail, y compris à des fins probatoires. 
Article 2 - Finalités du traitementPeuvent faire l'objet d'un engagement de conformité à la présente norme simplifiée les traitements de données à caractère personnel destinés à l'écoute et l'enregistrement ponctuel des conversations téléphoniques sur le lieu de travail mis en œuvre par les organismes publics ou privés ayant au moins l'une des finalités suivantes :
a)	la formation des employés ;b)	l'évaluation des employés ;c)	l'amélioration de la qualité du service.
La norme simplifiée est applicable aux documents d'analyse, tels que les comptes-rendus ou les grilles d'analyse réalisés dans le cadre des écoutes et des enregistrements, dans la mesure où ils poursuivent l'une ou plusieurs des finalités énoncées ci-dessus.
Article 3 - Informations collectées et traitées Les données traitées pour la réalisation des finalités décrites à l'article 2 incluent les enregistrements sonores.
Dans le cadre de l'élaboration des documents d'analyse tels que des comptes-rendus ou des grilles d'analyse, les données collectées et traitées doivent être adéquates, pertinentes et non excessives au regard des finalités définies à l'article 2. Elles peuvent porter sur :-	les données d'identification de l'employé et de l'évaluateur ;-	les informations techniques relatives à l'appel (date, heure et durée de l'appel) ;-	l'évaluation professionnelle de l'employé.
Article 4 - Destinataires et personnes habilitées à traiter les donnéesLes personnes chargées de la formation des employés, de leur évaluation et de l'amélioration de la qualité du service peuvent, dans les limites de leurs attributions respectives, avoir accès aux données à caractère personnel collectées.
Article 5 - Durées de conservationConformément à l'article 6-5 de la loi, les données ne peuvent être conservées que pour une durée pertinente au regard de la finalité justifiant leur traitement.
Les enregistrements ne doivent pas être conservés au-delà de six mois à compter de leur collecte. 
La durée de conservation des documents d'analyse (comptes rendus et grilles d'analyse) établis dans le cadre d'une écoute directe ou différée des appels est fixée à un an maximum.
Article 6 - Information et exercice des droits des personnesConformément à l'article 32 de la loi du 6 janvier 1978 modifiée, les employés ainsi que leurs interlocuteurs doivent être informés :-	de l'identité du responsable de traitement ;-	de la finalité ou des finalités poursuivie(s) par le traitement ;-	des catégories de données traitées ;-	des destinataires ou catégories de destinataires des données ;-	de leurs droits d'accès, de rectification et d'opposition ainsi que des modalités d'exercice de ces derniers ;-	le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non-membre de l'Union européenne.
Conformément à l'article 96 du décret n°2005-1309 du 20 octobre 2005 modifié, les personnes doivent être informées de leur droit d'opposition avant la fin de la collecte des données les concernant, pour être en mesure d'exercer ce droit. 
 Article 7 - Politique de confidentialité, de sécurité et de traçabilitéLe responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données visées à l'article 3, et s'assure de la mise en œuvre de mesures de protection physiques et logiques afin de préserver la sécurité des informations enregistrées dans les traitements mis en œuvre et empêcher tout accès ou utilisation détournée ou frauduleuse de celles-ci, notamment par des tiers non autorisés.
Les accès aux traitements de données mis en œuvre nécessitent une gestion des habilitations et une authentification des personnes accédant aux données, au moyen d'un identifiant et d'un mot de passe individuels suffisamment robustes et régulièrement renouvelés, ou par tout autre moyen d'authentification de même fiabilité, conformément aux recommandations de la commission en la matière. 
Article 8 - Transfert de données vers l'étrangerLes transferts de données mentionnées à l'article 3 réalisés vers des pays tiers à l'Union européenne et qui ne sont pas membres de l'Espace économique européen peuvent être effectués dans le cadre de cette norme lorsque l'une des conditions suivantes est réunie :
-	les transferts s'effectuent à destination d'un pays reconnu par la Commission européenne comme assurant un niveau de protection suffisant ou d'une entreprise américaine ayant adhéré aux principes du Safe Harbor ;-	le traitement garantit un niveau suffisant de protection de la vie privée et des droits et libertés fondamentaux des personnes par la mise en œuvre des clauses contractuelles types adoptées par la Commission européenne ou par l'adoption de règles internes d'entreprise (dénommées  BCR ), dont la CNIL a préalablement reconnu qu'elles garantissent un niveau de protection suffisant ;-	ils correspondent à l'une des exceptions prévues à l'article 69 de la loi du 6 janvier 1978 modifiée, dont le champ d'application est limité à des cas de transferts ponctuels et exceptionnels. Ainsi, les transferts répétitifs, massifs ou structurels de données personnelles doivent faire l'objet d'un encadrement juridique spécifique ( BCR , clauses contractuelles types ou Safe Harbor).
Le responsable de traitement doit avoir clairement informé les personnes concernées de l'existence de transferts de données vers des pays tiers, dans les conditions prévues par les dispositions de l'article 91 du décret du 20 octobre 2005 modifié (notamment la finalité du transfert, le ou les pays d'établissement du destinataire des données, les moyens mis en œuvre pour encadrer ce transfert...).
Article 9 - PublicationLa présente délibération sera publiée au Journal officiel de la République française.
Le bureau de la Commission nationale de l'informatique et des libertés, réuni le 23 octobre 2014 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ; 
Etant aussi présent M. Eric PERES, Vice-président ; 
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2014-051 du 14 octobre 2014 de la Présidente de la Commission mettant en demeure la société X exploitant les magasins Y ; 
A adopté la délibération suivante :
Par décision du 14 octobre 2014, la Présidente de la Commission a, sur le fondement de l'article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise [...], de faire cesser, sous un délai de deux mois, les manquements constatés à cette même loi. 
En application de l'article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision. 
Le bureau a été réuni à cette fin le 23 octobre 2014. 
Après en avoir délibéré, le bureau relève que la société a fait l'objet d'une première procédure de mise en demeure le 16 décembre 2013 lui ayant permis d'être informée des obligations lui incombant en sa qualité de responsable de traitement à l'égard d'un système de vidéosurveillance, s'agissant notamment des exigences tenant à la proportionnalité du dispositif et à l'information des salariés. 
Il ressort de la nouvelle mise en demeure adoptée par la Présidente de la CNIL le 14 octobre dernier que la société n'a pas diffusé les consignes de mise en conformité aux autres magasins qu'elle exploite alors même que les dispositifs de vidéosurveillance sont mis en œuvre de manière standardisée dans chacun de ses magasins.
Il a ainsi été relevé dans plusieurs autres magasins Y la persistance de caméras orientées en tout ou partie sur les postes de travail des salariés, sans qu'une telle implantation ne soit justifiée au regard de la finalité de sécurité des biens et des personnes poursuivie, et le caractère lacunaire de l'information délivrée aux salariés. 
Le bureau estime que la mesure de publicité de cette mise en demeure est fondée par la nécessité, d'une part, d'informer les quelques 1000 salariés de la société des droits qu'ils détiennent en application de la loi du 6 janvier 1978 modifiée et, d'autre part, de sensibiliser plus largement les responsables de traitement au cadre légal gouvernant la mise en œuvre d'un système de vidéosurveillance, dispositif technique auquel il est recouru de manière croissante sur les lieux de travail. 
La publicité se justifie également par la nature des manquements, lesquels sont attentatoires à la vie privée des salariés qui ne sont pas mis en capacité d'exercer leurs droits à l'égard du traitement litigieux du fait d'une information défaillante. 
En conséquence, le bureau de la Commission nationale de l'informatique et des libertés décide de rendre publique la décision n°2014-051 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d'une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l'organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l'objet d'une clôture qui sera également rendue publique. 
 
La Présidente, 
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l'informatique et des libertés, réuni le 23 octobre 2014 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ; 
Etant aussi présent M. Eric PERES, Vice-président ; 
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2014-053 du 13 octobre 2014 de la Présidente de la Commission mettant en demeure la société X ; 
A adopté la délibération suivante :
Par décision du 13 octobre 2014, la Présidente de la Commission a, sur le fondement de l'article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise [...], de faire cesser, sous un délai d'un mois, les manquements constatés à cette même loi.
En application de l'article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision. 
Le bureau a été réuni à cette fin le 23 octobre 2014. 
Après en avoir délibéré, le bureau relève que la société a fait l'objet d'une première procédure de mise en demeure le 19 juillet 2012 lui ayant permis d'être informée des obligations lui incombant en sa qualité de responsable de traitement à l'égard du traitement des données à caractère personnel relatives aux prospects, s'agissant notamment des exigences tenant au recueil du consentement, à l'exercice du droit d'opposition, à la durée de conservation des données et aux mesures de sécurité devant encadrer ce traitement. 
Il ressort de la nouvelle mise en demeure adoptée par la Présidente de la CNIL le 13 octobre dernier que la société n'a pas pris l'ensemble des mesures demandées lors de la première mise en demeure pour se mettre en conformité avec la loi du 6 janvier 1978 modifiée.
Il a ainsi notamment été relevé que la société ne fournit pas systématiquement aux personnes concernées une information suffisante quant aux traitements mis en œuvre. Elle ne fournit pas non plus une information permettant de considérer comme libre, spécifique et informé le consentement de ces personnes à recevoir de la prospection commerciale par voie électronique. En outre, la société ne fait pas totalement droit aux demandes d'opposition de ces dernières et ne conserve pas non plus les données à caractère personnel pendant des durées proportionnées par rapport aux finalités poursuivies. 
Le bureau estime que la mesure de publicité se fonde sur la taille de l'organisme en cause, qui se présente comme le premier groupe français de presse et de presse magazine sur Internet, et sur le nombre de personnes concernées par ses traitements, compte tenu du très large public ciblé par les multiples magazines qu'elle commercialise. Il apparaît, en effet, nécessaire d'informer les personnes concernées par le traitement des droits qu'ils détiennent en application de la loi du 6 janvier 1978 modifiée. 
La publicité se justifie également par la nécessité de sensibiliser plus largement les responsables de traitement au cadre légal encadrant la prospection commerciale par voie électronique, notamment à leurs obligations en termes de recueil du consentement et de respect du droit d'opposition des personnes concernées.
En conséquence, le bureau de la Commission nationale de l'informatique et des libertés décide de rendre publique la décision n°2014-053 de la Présidente de la CNIL mettant en demeure la société X. 
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d'une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l'organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l'objet d'une clôture qui sera également rendue publique. 
La Présidente, 
Isabelle FALQUE-PIERROTIN
La société X (ci-après la "société") a pour activité l'édition et la commercialisation de magazines périodiques et des sites internet de ces magazines (dont les marques [...]). Elle a réalisé en 2012 un chiffre d'affaires d'environ 450 millions d'euros. Son siège social est situé au [...]. 
La procédure de mise en demeure du 19 juillet 2012
Le 19 juillet 2012, la Présidente de la Commission nationale de l'informatique et des libertés (ci-après "CNIL" ou la "Commission") a mis en demeure la société X, dans un délai de deux mois, de se mettre en conformité avec ses obligations légales, notamment concernant les traitements de données relatives aux prospects. 
En l'espèce, il a notamment été enjoint à la société de :
- recueillir le consentement libre, spécifique et informé des personnes concernées au traitement de leurs données à caractère personnel à des fins de prospection commerciale par voie électronique ; 
- faire droit aux demandes d'opposition des personnes concernées en leur permettant de se désinscrire en une seule fois de toutes les sollicitations de la société et en supprimant leurs données. 
Par ailleurs, la mise en demeure a également traité de problématiques liées aux durées de conservation des données, à la sécurité et la confidentialité des données, ainsi qu'aux obligations des sous-traitants de la société.
Dès lors, ces faits constituent un manquement aux obligations découlant de l'article L. 34-5 du code des postes et des communications électroniques qui dispose qu' "est interdite la prospection directe au moyen d'un automate d'appel, d'un télécopieur ou d'un courrier électronique utilisant, sous quelque forme que ce soit, les coordonnées d'une personne physique qui n'a pas exprimé son consentement préalable à recevoir des prospections directes par ce moyen".
Il est rappelé qu'en application des articles 121-2, 131-13, 131-41 du code pénal et de l'article R. 10-1 du code des postes et communications électroniques, la commission de tels faits par une personne morale est susceptible d'être punie d'une peine d'amende pouvant atteindre 3 750 euros, et ce, pour chaque communication.
Un manquement à l'obligation de définir et de respecter une durée de conservation proportionnée à la finalité du traitement
S'agissant de la durée de conservation des données relatives aux prospects
La société a indiqué que les données relatives aux personnes ayant consenti à recevoir des courriels ou des lettres d'information sont purgées par déclenchement manuel d'un script SQL et que la fréquence de ces purges manuelles dépend notamment des contraintes liées au volume des données présentes en base. La délégation a constaté que ce script prévoit une anonymisation des données au bout de 760 jours d'inactivité (soit 2 ans et 30 jours).
La délégation a été informée que le point de départ de la durée de conservation est l'ouverture d'un courriel ou le clic sur un lien proposé dans un courriel. 
Or, la norme simplifiée n° 48 concernant les traitements de données à caractère personnel relatifs à la gestion de clients et de prospects, à laquelle la société a souscrit un engagement de conformité le 23 juillet 2011, dispose que "Les données à caractère personnel relatives à un prospect non client peuvent être conservées pendant un délai de trois ans à compter de leur collecte par le responsable de traitement ou du dernier contact émanant du prospect (demande de documentation par exemple)". 
L'ouverture d'un courriel ou le clic sur un lien proposé dans un courriel par le prospect n'est pas de nature à constituer un contact au sens de la norme simplifiée n° 48, qui suppose une interaction avec la société. La société conserve donc les données relatives aux prospects de façon excessive. 
S'agissant de la durée de conservation des données relatives à la fréquentation
La délégation a été informée que la durée de conservation fixée pour les données de fréquentation est de six mois et que le traitement de purge de ces données est effectué manuellement. 
Pour autant, elle a été informée que des données de fréquentation remontant à environ une année sont stockées sur un serveur précédemment utilisé par la société et incompatible avec le format de fichier utilisé actuellement par la société.