AgentPublic/cnil huggingface dataset:
La Commission s’interroge sur le caractère étendu de cette exception au droit de masquage. Elle comprend la nécessité du recours à un ou plusieurs médecins traitants pour permettre à un patient de gérer son DMP et d’exercer ses droits à défaut d’accès direct par internet. Toutefois, elle estime, là encore, qu’il importe que le patient prenne clairement conscience des prérogatives de ce(s) médecins(s) dans le cadre du droit de masquage.
Le patient disposera également d’un espace d’expression personnelle.
La sécurité du dispositif
L’appréciation du niveau de sécurité proposé par l’hébergeur était l’un des points essentiels de l’avis que la Commission a rendu le 30 septembre 2010. 
Sur les principes d’accès au DMP par les professionnels de santé
Les professionnels de santé accèderont au DMP à partir de leur logiciel « métier » ou par internet à partir d’un navigateur.
Ces logiciels devront faire l’objet d’une homologation par l’ASIP Santé. Dans la mesure où elle conditionne le bon fonctionnement d’un système d’information centralisé et alimenté à partir de systèmes techniquement hétérogènes et pour lesquels de nombreuses failles peuvent apparaître, la Commission prend acte des engagements de l’ASIP Santé en ce sens.
Les conditions d’accès des professionnels de santé seront déterminées en fonction de la profession de l’utilisateur et des types de documents accessibles. Une matrice permettant la gestion des habilitations pour la consultation du DMP a été créée à cet effet.
Seuls les professionnels de santé dotés d’une carte CPS délivrée par l’ASIP Santé, seront en mesure de consulter les documents présents dans le DMP d’un patient. Ces accès seront tracés nominativement grâce au certificat présent dans la carte.
La Commission en prend acte avec satisfaction et estime qu’une sensibilisation des professionnels de santé à une utilisation strictement personnelle de leur carte doit être effectuée.
Les professionnels de santé dotés d’une carte CPS ou authentifiés par le certificat de personne morale de leur établissement délivré par l’ASIP Santé seront en mesure de créer un DMP et de l’alimenter.
Enfin, les personnels d’accueil des établissements dotés de CPE nominatives ou indirectement nominatives auront la possibilité de créer un DMP.
La Commission prend acte du fait que l’utilisation d’un certificat de personne morale d’un établissement ouvre des droits restreints. 
Elle relève, en outre, que lorsqu’un professionnel de santé ou un membre du personnel s’authentifie par le certificat de personne morale de l’établissement ou par CPE, le système d’information de la structure transmet les nom et prénom de l’utilisateur ainsi que l’identification de la structure. La transmission de ces données est de nature à permettre d’assurer la traçabilité des actions effectuées dans le dossier médical personnel.
La Commission en prend acte.
Les professionnels de santé pourront accéder au DMP d’une personne hors d’état de manifester sa volonté en mode « bris de glace » en présence d’une situation comportant un risque immédiat et à condition que le patient ne s’y soit pas préalablement opposé.
Cet accès devra être motivé et tracé pour s’assurer que la situation d’urgence justifiait bien cet accès.
Les médecins exerçant dans un centre d’appels d’urgence (15 ou 18) pourront également avoir accès au DMP des patients qu’ils prendront en charge, conformément aux dispositions de l’article L.1111-17 du Code de la santé publique. Dans la mesure où, répondant à un appel téléphonique, ils n’ont pas accès à la carte Vitale d’un patient, un service de « recherche d’un DMP en l’absence de l’INS » sur la base de traits d’identité a été mis en place.
Sur la traçabilité des accès et des actions
La Commission relève avec satisfaction qu’une traçabilité des actions des professionnels de santé sur les données sera effectuée, indiquant la date, l’identifiant du dossier patient, l’identifiant du processus ou de la personne à l’origine de l’événement.
Chaque professionnel de santé n’accèdera qu’à ses propres traces et aux traces liées aux DMP pour lesquels il est déclaré médecin traitant.
La Commission en prend acte. 
Elle relève que les accès en mode « bris de glace » seront tracés dans l’historique des accès mais ne feront pas l’objet d’un signalement particulier.
La Commission estime que le patient et le médecin traitant devraient en être spécifiquement alertés de façon « proactive ».
De façon générale, la Commission relève que le médecin de l’hébergeur aura accès à l’ensemble des traces et de leur imputabilité, afin d’être mis en mesure de veiller au bon usage du DMP. 
Dans la mesure où la traçabilité des actions n’est utile que si un contrôle effectif de celles-ci est effectué, la Commission estime qu’un dispositif d’alerte, à l’attention du médecin de l’hébergeur, devrait être mis en place afin de détecter les mésusages effectués sur les données de santé et, en particulier, les accès excessifs en mode « bris de glace ». 
Sur le chiffrement des données
La Commission constate que, conformément à ce qu’elle préconise, les données de santé à caractère personnel seront conservées chiffrées dans les serveurs de l’hébergeur (chiffrement par AES-256). Elle relève que les clés de chiffrement sont différentes pour chaque dossier et elles-mêmes stockées chiffrées.
Elle relève également que le chiffrement mis en œuvre permettra une séparation logique des données d’identification et des données médicales.
Elle relève enfin que l’ensemble des flux sur les réseaux sera sécurisé.
La Commission juge ces mesures de chiffrement des bases de données et des échanges satisfaisantes.
La Commission prend acte enfin des engagements pris par l’ASIP Santé de rendre le DMP compatible avec le référentiel général de sécurité (RGS) prévu par l’article 5 de l’ordonnance n°2005-1516 du 8 décembre 2005.
Sur le système d’information de pilotage
Un Système d’information de pilotage (SIP) visant à évaluer l’usage et le service rendus par le DMP ainsi qu’à piloter le fonctionnement et la performance des systèmes sera mis en place. Le SIP intègrera des données fournies par le système d’hébergement DMP après anonymisation. 
La Commission prend acte qu’aucune information envoyée au système de pilotage ne permettra l’identification directe ou indirecte d’un patient.
En revanche, elle observe, que les données concernant les professionnels de santé transmises au SIP seront directement nominatives afin de permettre d’effectuer des enquêtes qualitatives ciblées auprès d’eux.
La Commission demande que les professionnels de santé en soient préalablement et clairement informés.
Dans ces conditions, la Commission autorise l’ASIP Santé, à mettre en place les applications informatiques nécessaires à la généralisation du dossier médical personnel sur l’ensemble du territoire.
Le Président
Alex TURK
(saisine n°09027642)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’intérieur, le 16 juillet 2009, d’un projet d'arrêté relatif à la mise en œuvre par la direction centrale de la police judiciaire d’un fichier des courses et jeux.
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 26 ;
Vu la loi n°95-73 du 21 janvier 1995 d’orientation et de programmation relative à la sécurité, notamment son article 17-1 ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Vu le décret n°2009-1249 du 16 octobre 2009 portant création du traitement de données à caractère personnel relatif à la prévention des atteintes à la sécurité publique ;
Vu la délibération n°2009-335 du 11 juillet 2009 ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport et  Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant :
La Commission a été saisie pour avis, le 17 novembre 2009, par le ministère de l’intérieur, de l’outre-mer et des collectivités territoriales d’un projet de décret en Conseil d’Etat portant modification du décret n°2009-1249 du 16 octobre 2009 portant création du traitement de données à caractère personnel relatif à la prévention des atteintes à la sécurité publique. 
La modification envisagée « vise à renforcer les garanties offertes aux mineurs en créant un référent national chargé de veiller au respect de ce droit ». Membre du Conseil d’Etat, ce référent serait assisté d’adjoints issus du corps des tribunaux administratifs et des cours administratives d’appel et aurait pour mission, selon les termes du projet de rapport au premier ministre :
« de veiller à l’effectivité de l’effacement des données au terme d’un délai de trois ans à compter du dernier fait motivant l’enregistrement ;
de vérifier annuellement la pertinence du maintien des données concernant les mineurs ;
de vérifier à 18 ans la pertinence du maintien des données enregistrées alors que l’intéressé était encore mineur ;
d’aviser le responsable de traitement des méconnaissances aux règles relatives à la conservation des données relatives aux mineurs qu’il aurait constatés. »
Pour exercer leurs missions, le magistrat référent et ses adjoints bénéficieraient d’un accès direct au traitement et seraient donc ajoutés à la liste des destinataires définie aux termes de l’article 6 du décret du 16 octobre 2009.
Sur la mise en place d’un mécanisme de contrôle des données relatives aux mineurs par un magistrat référent
Lors des différents avis rendus dans le cadre du processus qui a abouti à la mise en œuvre du fichier de prévention des atteintes à la sécurité publique, la Commission a rappelé, que  le traitement des données relatives aux mineurs appelait l’adoption de garanties renforcées et devait, en conséquence, être encadré par des dispositions particulières et précises, de façon à lui conserver un caractère exceptionnel et une durée de conservation spécifique. 
Dans ces conditions, elle ne peut que partager la volonté du Gouvernement de voir renforcées les modalités de contrôle portant sur ces données. Toutefois, elle a souhaité appeler l’attention du Gouvernement sur les conditions de mise en œuvre du dispositif envisagé, qui s’inspire à certains égards de mécanismes déjà existants ou envisagées en matière de fichiers de police judiciaire.
La Commission a ainsi estimé qu’il conviendrait de préciser les modalités d’articulation de ses prérogatives avec ce nouveau dispositif de contrôle, notamment en matière de droit d’accès indirect.
A cet égard, elle prend acte des engagements pris devant elle par le Gouvernement selon lesquels « les prérogatives du référent ne seront pas concurrentes de celles de la CNIL mais complémentaires » dans la mesure où le magistrat précité « exercera une activité consultative au bénéfice de l’administration » et non une activité de contrôle extérieur et indépendant. Elle prend également acte de ce que le Gouvernement considère que « le projet de décret n’offre pas aux particuliers la faculté de saisir le référent pour exercer un droit d’accès ou une demande de rectification ».
La Commission considère néanmoins que le projet de décret devra être modifié en ce sens.
Enfin, la Commission prend acte de ce que le rapport annuel qui lui sera transmis, conformément à l’article 10 du décret du 16 octobre 2009, par le directeur général de la police nationale s’agissant des activités de vérification, de mise à jour et d’effacement des données contenues dans le traitement fera également mention des activités spécifiques du magistrat référent et de ses adjoints. 
Le Président,
Alex TURK
(Demande d’avis n°1402945)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’intérieur, de l’outre-mer et des collectivités territoriales le 16 décembre 2009 d’un projet d’arrêté autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel dénommé «Gestion des amendes forfaitaires des unités élémentaires de la gendarmerie départementale et des gendarmeries spécialisées » ; 
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé de données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 26 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et  Mme Elisabeth ROLIN commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant :
Sur la mise en œuvre de l’application PULSAR 
La Commission prend acte que l’application Pulsar est une évolution de l’application Bureautique Brigade 2000 et que cette future application centralisée permettra aux unités territoriales de la gendarmerie nationale de gérer sur le plan administratif à travers quatre modules : le service et les registres, la production des messages d’information statistiques (MIS) relatifs à la délinquance et les bulletins d’analyse des accidents relatifs à l’accidentalité (BAA), ainsi que les amendes forfaitaires.
Sur les finalités
La Commission prend acte qu’aux termes de l’article 1er du projet d’arrêté cette application permet d’assurer la gestion et le suivi des formules d’amendes forfaitaires et des consignations traités par les unités élémentaires de la gendarmerie nationale. 
Sur les données conservées
Il est précisé aux termes de l’article 2 du projet d‘arrêté que les données enregistrées par le personnel verbalisateur sont le grade, le nom et le prénom. Concernant la personne verbalisée, sont obligatoirement renseignés : le sexe, le nom, prénom, nom marital, adresse complète de résidence, numéro du permis de conduire ou numéro d’immatriculation du véhicule. Sont renseignés de manière facultative : la date de naissance, la commune de naissance, la nationalité.
Toutefois le dossier de demande d’avis précise qu’est renseigné pour le personnel verbalisateur le numéro d’identification gendarmerie, et pour les personnes verbalisées, le code NATINF, la date et le lieu de relevé de l’infraction.
En conséquence, la Commission considère que l’article 2 du projet d’arrêté devrait être complété afin de faire mention de ces données.
Sur les durées de conservation
Il est précisé aux termes de l’article 3 du projet d’arrêté que les données concernant le personnel verbalisateur sont conservées 3 ans à compter de leur enregistrement, et que les données relatives à la personne verbalisée sont effacées automatiquement au bout de cent jours.
La Commission prend acte des précisions du ministère indiquant que la durée de conservation des données relatives au personnel verbalisateur correspond à la prescription délictuelle visant à permettre des contrôles à posteriori conduits par l’inspection de la gendarmerie, en cas de mise en cause de l’action de l’unité élémentaire dans l’exécution de son service quotidien.
Elle prend également acte que le délai fixé pour les données relatives à la personne verbalisée tient compte du délai de 90 jours au-delà duquel les suites éventuelles incombent aux officiers du ministère public, majoré de dix jours permettant de pallier un éventuel incident technique lié à la transmission.
La Commission estime toutefois que l’article 3 du projet d’arrêté pourrait être complété afin de préciser que les données relatives à la personne verbalisée sont conservées cent jours à compter de leur enregistrement.
Sur les destinataires
La Commission prend acte que seuls les agents de la gendarmerie, individuellement désignés et spécialement habilités auront accès au traitement et que les officiers du ministère public pourront être destinataires des données.
Elle note que les officiers du ministère public sont désignés comme destinataires uniquement dans les hypothèses où la personne verbalisée ne s’acquitterait pas du montant de l’amende, ou lorsque l’infraction entraine des retraits de points du permis de conduire. 
Sur les droits des personnes
Le ministère considère qu’en application du III de l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, le droit à l’information ne s’applique pas au présent traitement dans la mesure où il exigerait des efforts disproportionnés par rapport à l’intérêt de la démarche. 
La Commission observe toutefois que dans la mesure où il est prévu un droit d’accès direct à ce traitement, une information des personnes sur l’existence et les conditions d’exercice de ces droits ainsi que leur droit d’accès devrait être précisée.
Elle considère que le projet d’arrêté devrait être complété en ce sens. 
Sur les sécurités
La Commission prend acte que les applications PULSAR sont mises en œuvre sur le site de la gendarmerie de Rosny-sous-Bois et que les accès à ce site ainsi qu’aux salles informatiques sont protégés.
Elle note que des accès différenciés au réseau ont été définis selon le rôle des utilisateurs et que ces accès font l’objet d’une journalisation.
La Commission considère que dans la mesure où le dossier de demande d’avis indique que les consultations dudit traitement font l’objet de mesures de traçabilité strictes, il serait souhaitable que le projet d’arrêté comporte une mention selon laquelle les consultations font l’objet d’un enregistrement comprenant l’identifiant du consultant, la date et l’heure de la consultation.
Le Président,
Alex TURK
(Demande d’avis n°1402947)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’intérieur, de l’outre-mer et des collectivités territoriales le 16 décembre 2009 d’un projet d’arrêté d’un traitement automatisé de données à caractère personnel dénommé « gestion des MIS et des BAA » ;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé de données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 26, 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et  Mme Elisabeth ROLIN commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant :
Sur la mise en œuvre de l’application PULSAR
La Commission prend acte que l’application Pulsar est une évolution de l’application Bureautique Brigade 2000 et que cette future application centralisée permettra aux unités territoriales de la gendarmerie nationale de gérer sur le plan administratif à travers quatre modules : le service et les registres des unités de gendarmerie, les amendes forfaitaires, ainsi que la production des messages d’information statistiques (MIS) relatifs à la délinquance et les bulletins d’analyse des accidents relatifs à l’accidentalité (BAA). 
Sur les finalités
Aux termes de l’article 1er du projet d’arrêté l’application « gestion des MIS et des BAA » a pour objet d’alimenter les bases statistiques de suivi de l’évolution de la délinquance et de l’accidentalité et d’orienter le pilotage des actions de lutte contre la délinquance et de l’insécurité routière.
La Commission note que les messages d’information statistique (MIS) et les bulletins d’analyse des accidents (BAA) sont construits à partir d’une nomenclature des données statistiques déterminée respectivement par l’observatoire national de la délinquance et par l’observatoire interministériel de la sécurité routière. 
Elle prend acte qu’ils visent en premier lieu à alimenter la base statistique de l’infocentre de la gendarmerie, puis dans un second temps, à alimenter à partir cette base, la base statistique de l’observatoire national de la délinquance ainsi que celui de l’observatoire national interministériel de la sécurité routière.
La Commission prend acte de ces finalités qui apparaissent légitimes.
Sur les données conservées
Il est précisé aux termes de l’article 2 du projet d’arrêté que les données enregistrées pour le message d’information statistique et concernant les victimes et les mis en cause sont : le sexe, nom, prénom, date de naissance, nationalité, commune de résidence, profession, suite judiciaire donnée, type de victime.
Pour le bulletin d’analyse des accidents et concernant les personnes directement impliquées dans l’accident : sexe, pays de naissance, catégorie (tué, blessé, indemne, gravité des blessures occasionnées, facteur usager, alcoolémie, taux d’alcoolémie, dépistage drogue, qualité de militaire, position en service, place à bord du véhicule, profession trajet suivi, type de permis de conduire, type de sécurité dans le véhicule, utilisation du type de sécurité, qualité de piéton, action du piéton et localisation du piéton, la responsabilité présumée), la date d’obtention du permis de conduire.
La Commission relève que le numéro de procès-verbal n’est pas cité aux termes de l’article 2 du projet d’arrêté, or que ce numéro est bien enregistré dans la base concernant les messages d’information statistique (MIS).
La Commission relève que si les MIS transmis à la base statistique de la gendarmerie ne contiennent plus de données directes d’identification ils comportent cependant le numéro de procédure qui constitue une donnée indirectement nominative.
Elle considère en conséquence que ce numéro devrait être supprimé de l’infocentre de la gendarmerie dès la clôture de la procédure, afin de garantir l’anonymat des données statistiques.
Par ailleurs, elle relève que le dossier de demande d’avis indique que le nom, prénom et date de naissance sont renseignés pour les MIS ainsi que pour les Bulletins d’analyse des accidents (BAA), que le numéro de plaque d’immatriculation, la marque et le type de véhicule utilisé sont renseignés dans le module BAA, alors que le projet d’arrêté n’en fait pas état.
Dès lors, la Commission estime que l’article 2 du projet d’arrêté devrait être complété afin de faire mention de ces données.
Sur les durées de conservation
La Commission prend acte qu’aux termes de l’article 3 du projet d’arrêté les MIS sont conservés jusqu’à la clôture de la procédure et concernant les BAA que les données sont conservées trente et un jours à compter de leur enregistrement.
Sur les destinataires
La Commission prend acte que seuls les agents de la gendarmerie, individuellement désignés et spécialement habilités auront accès aux données énumérées à l’article 2 du projet d’arrêté.
Sur les sécurités
La Commission prend acte que les applications PULSAR sont mises en œuvre sur le site de la gendarmerie de Rosny-sous-Bois et que les accès à ce site ainsi qu’aux salles informatiques sont protégés.