AgentPublic/cnil huggingface dataset:
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d’investissement soumises au contrôle de l’Autorité de contrôle prudentiel et de résolution ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Agricole des Savoie.
Sur la finalité
Le Crédit Agricole des Savoie a saisi la Commission d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché.
Le traitement concerne les opérations de transactions sur les instruments financiers réalisés par ou pour des clients du réseau banque de détail France du groupe Crédit agricole et celles effectuées par la banque du réseau pour son propre compte.
Les opérations détectées par le traitement et susceptibles de constituer des abus de marché, doivent, le cas échéant après la collecte de renseignements complémentaires, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).
Les informations communicables sont celles qui figurent dans la déclaration de soupçon visée par le règlement délégué, telles que rappelées dans la présente délibération.
Les destinataires des données sont astreints aux obligations de  confidentialité et de secret professionnel. 
Sur l’information et le droit d’accès 
Les personnes sont informées de la mise en œuvre de ce traitement et de la manière d’exercer leurs droits d’accès, de rectification et d’opposition, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une mention dans les conditions générales de compte de titres.
Les droits d’accès, de rectification et d’opposition s’exercent auprès du service des contrôles permanents et des risques à l’adresse suivante : 4, avenue du Pré Félin Pae les Glaisins 74940 - ANNECY LE VIEUX. 
Sur les mesures de sécurité
Des mesures de sécurité, tant physiques que logiques, notamment en termes d’habilitation d’accès et de cloisonnement du traitement, sont mises en place.
Les personnes accédant au traitement sont soumises contractuellement à une obligation de confidentialité renforcée. 
Les actions effectuées par le personnel spécifiquement habilité sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur les autres caractéristiques du traitement
La Commission observe que chaque entité du groupe Crédit Agricole SA du réseau banque de détail France doit mettre en œuvre et appliquer un dispositif permettant de détecter les opérations d’initiés ou de manipulation de cours, conformément aux dispositions de l’article L. 511-34 du CMF et de l’arrêté du 3 novembre 2014.
Par conséquent, d’une part, la société mère Crédit Agricole SA, communiquera auprès des entités du groupe Crédit Agricole les informations nécessaires à la détection des abus de marchés. 
D’autre part, les entités du groupe qui seront concernées par des informations pertinentes, devront communiquer ces informations à la société mère.
Les informations communicables sont celles qui figurent dans la déclaration de soupçon visée par le règlement délégué (UE) n° 2016/957 de la Commission du 9 mars 2016.
Elles sont communiquées au cas par cas aux responsables conformité des entités du groupe Crédit Agricole selon des critères de pertinence adaptés aux circonstances et au cas d’espèce (même typologie d’abus de marché, même client, même instrument financier, même période, etc.).
Autorise, conformément à la présente délibération, le Crédit Agricole des Savoie à mettre en œuvre le traitement susmentionné.
Pour la PrésidenteLe Vice-Président délégué 
Marie-France MAZARS
(Demande d’autorisation n° 2008832)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Lyonnais SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le règlement (UE) n° 596/2014 du Parlement Européen et du Conseil du 16 avril 2014, notamment son article 16 ;
Vu le règlement délégué (UE) n°2016/957 de la Commission du 9 mars 2016, notamment son article 2 ;
Vu l’article 2.3 du règlement d’exécution (UE) n°2016/347 de la Commission du 10 mars 2016 ;
Vu le code monétaire et financier, notamment ses articles L.621-15 et L.621-17-2 à L. 621-7-7 ;
Vu le code monétaire et financier, notamment l’article L.511-34 relatif à la communication d’informations au sein d’un groupe ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d’investissement soumises au contrôle de l’Autorité de contrôle prudentiel et de résolution ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Lyonnais SA, filiale du groupe Crédit Agricole.
Sur la finalité
Le Crédit Lyonnais SA a saisi la Commission d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché.
Le traitement concerne les opérations de transactions sur les instruments financiers réalisés par ou pour des clients du réseau banque de détail France du groupe Crédit agricole et celles effectuées par la banque du réseau pour son propre compte.
Les opérations détectées par le traitement et susceptibles de constituer des abus de marché, doivent, le cas échéant après la collecte de renseignements complémentaires, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).
Les informations communicables sont celles qui figurent dans la déclaration de soupçon visée par le règlement délégué, telles que rappelées dans la présente délibération.
Les destinataires des données sont astreints aux obligations de  confidentialité et de secret professionnel. 
Sur l’information et le droit d’accès 
Les personnes sont informées de la mise en œuvre de ce traitement et de la manière d’exercer leurs droits d’accès, de rectification et d’opposition, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une mention dans les conditions générales de compte de titres.
Les droits d’accès, de rectification et d’opposition s’exercent auprès du service relations clientèle à l’adresse suivante : BC 302.02 – 10, Place Oscar Niemeyer - 94811 VILLEJUIF CEDEX ou à l’adresse électronique : relationsclientele@lcl.fr
Sur les mesures de sécurité
Des mesures de sécurité, tant physiques que logiques, notamment en termes d’habilitation d’accès et de cloisonnement du traitement, sont mises en place.
Les personnes accédant au traitement sont soumises contractuellement à une obligation de confidentialité renforcée. 
Les actions effectuées par le personnel spécifiquement habilité sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur les autres caractéristiques du traitement
La Commission observe que chaque entité du groupe Crédit Agricole SA du réseau banque de détail France doit mettre en œuvre et appliquer un dispositif permettant de détecter les opérations d’initiés ou de manipulation de cours, conformément aux dispositions de l’article L. 511-34 du CMF et de l’arrêté du 3 novembre 2014.
Par conséquent, d’une part, la société mère Crédit Agricole SA, communiquera auprès des entités du groupe Crédit Agricole les informations nécessaires à la détection des abus de marchés. 
D’autre part, les entités du groupe qui seront concernées par des informations pertinentes, devront communiquer ces informations à la société mère.
Les informations communicables sont celles qui figurent dans la déclaration de soupçon visée par le règlement délégué (UE) n° 2016/957 de la Commission du 9 mars 2016.
Elles sont communiquées au cas par cas aux responsables conformité des entités du groupe Crédit Agricole selon des critères de pertinence adaptés aux circonstances et au cas d’espèce (même typologie d’abus de marché, même client, même instrument financier, même période, etc.).
Autorise, conformément à la présente délibération, le Crédit Lyonnais SA à mettre en œuvre le traitement susmentionné.
Pour la PrésidenteLe Vice-Président délégué 
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la société Newcard d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’utilisation d’un dispositif de télésurveillance médicale dénommé 1 Minute pour mon Cœur ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8, L. 6316-1 et R. 6316-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu la loi n° 2017-1836 du 30 décembre 2017 de financement de la sécurité sociale pour 2018, notamment son article 54 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 6 décembre 2016 portant cahier des charges des expérimentations relatives à la prise en charge par télésurveillance mises en œuvre sur le fondement de l’article 36 de la loi n° 2013-1203 de financement de la sécurité sociale pour 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Newcard est une société par actions simplifiée, spécialisée dans la conception d’une solution d’e-santé, 1 Minute pour mon Cœur .
Sur la finalité
Le traitement de données à caractère personnel généré par l’utilisation de 1 Minute pour mon Cœur a pour objectif la réalisation d’actes de télésurveillance médicale à domicile des personnes atteintes d’insuffisance cardiaque chronique, à travers la mise en place d’une solution intégrant les fonctionnalités suivantes :
un système de recueil des mesures du patient grâce à une balance, à un tensiomètre et à une tablette connectés par Bluetooth ;
un algorithme pour traiter les mesures recueillies et générer, le cas échéant, des alertes en cas de décompensation cardiaque débutante ;
une application mobile permettant de conserver les mesures recueillies et de les transférer à un serveur sécurisé ;
une plateforme web intégrant un espace de suivi des patients à destination des professionnels de santé, qui comprend notamment les mesures recueillies, les alertes générées, les actions menées, les commentaires particuliers.
 
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
Elle considère qu’il y a lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la Commission les traitements de données de santé qui contiennent, comme en l’espèce, le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR) à des fins de remboursement.
Sur les données traitées
Concernant les patients, sont traités des données d’identification, sur la vie personnelle (situation familiale, coordonnées d’un proche), de connexion, de santé et le NIR.
Concernant les professionnels de santé participant à l’acte de télésurveillance et les autres professionnels accompagnant les professionnels de santé, sont traités des données d’identification, le lieu d’exercice professionnel, les diplômes, des données de connexion et les professionnels de santé relais à contacter en cas d’absence.
Concernant l’acte de télésurveillance, sont traités le statut du patient (actif, absent, hospitalisé, problème technique), le compte-rendu de l’acte de télésurveillance, la gestion d’une alerte et son suivi, les dates d’inclusion et de réinclusion du patient dans le dispositif, les alertes techniques.
 
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les professionnels de santé intervenant dans le dispositif de télésurveillance médicale, les personnels de Newcard ou ceux intervenant en son nom et pour son compte et l’hébergeur. Ils accèdent aux données dans la limite de leurs attributions respectives. 
La Commission demande à ce que la prescription nécessaire à la facturation à la caisse primaire d’assurance maladie de 1 Minute pour mon Cœur soit envoyée par le patient à Newcard.
Sur l’information et le droit d’accès
Le patient dispose d’une information orale et écrite délivrée, au regard de leurs compétences respectives, par :
le cardiologue prescripteur de 1 minute pour mon cœur , en ce qui concerne l’insertion du patient dans le dispositif de télésurveillance et ses conséquences sur le traitement des données ;
l’installateur de 1 minute pour mon cœur pour ce qui concerne l’utilisation de l’application mobile.
 
Des brochures d’information sont remises notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
La Commission demande que la brochure d’information portant sur le dispositif de télésurveillance et ses conséquences sur le traitement des données soit modifiée sur les points suivants :
le terme pseudonymisées doit être utilisé en lieu et place de la notion d’ anonymisés ;
la destruction ou l’anonymisation irréversible des données archivées, à l’expiration du délai de conservation, doit être expressément prévue par la brochure ;
le droit d’opposition du patient doit être expressément mentionné dans la brochure.
Le consentement du patient est recueilli par oral et par écrit lors de la signature d’un formulaire de consentement par le cardiologue prescripteur.
Les droits d’accès et de rectification tels que reconnus par la loi du 6 janvier 1978 sont précisés dans la notice d’information et de recueil du consentement. Ils s’exercent directement par le patient par le biais de l’application mobile, auprès du cardiologue prescripteur ou auprès de Newcard.
Sur les mesures de sécurité
En premier lieu, la Commission constate que l’application ne prévoit aucun mécanisme de protection sur l’accès aux données personnelles du patient depuis la tablette. Elle rappelle à ce titre que l’article 34 de la loi Informatique et Libertés impose aux responsables de traitement de prendre toutes les précautions utiles afin de préserver la sécurité des données à caractère personnel dont il est responsable et, notamment empêcher les tiers non autorisés à y accéder. Elle demande en conséquence que des mesures de sécurité soient mises en place, telle que l’authentification de l’utilisateur au moyen d’un identifiant et d’un mot de passe, afin de garantir la confidentialité de ces données.
La Commision relève en outre que le NIR est stocké en clair dans ses bases, au même titre que d’autres données d’identification du patient. Elle demande à ce que des mesures de sécurité appropriées à sa sensibilité soient mises en place, telles que le chiffrement, notamment pour empêcher qu’il ne soit directement visible par le personnel technique. 
Enfin, la Commission relève que le nouvel article L.1110-4 du code de la santé publique, issu de la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, ne prévoit plus l’authentification par carte de professionnel de santé (CPS) ou dispositif équivalent agréé par l’Agence des systèmes d’information partagés de santé (ASIP Santé) et que le nouvel article L.1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP Santé.
Sur les autres caractéristiques du traitement
L’ensemble des données traitées par 1 Minute pour mon Cœur est conservé :
pour les patients ayant terminé leur suivi par télésurveillance avant la fin de l’expérimentation : un an après la fin de l’expérimentation menée par l’assurance maladie laquelle, en tout état de cause, ne peut être supérieure à quatre ans ;
pour les patients n’ayant pas terminé leur suivi par télésurveillance à la fin de l’expérimentation : un an après la fin du suivi des patients.
La Commission demande la destruction des données à l’expiration du délai d’archivage ou leur anonymisation de manière irréversible.
Autorise, conformément à la présente délibération, la société Newcard à mettre en œuvre le traitement susmentionné.
 
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la Direction de la Sécurité Sociale d’une demande d’avis relative à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la création du Répertoire de gestion des carrières unique ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale, notamment ses articles L.161-17-1-2 et L.114-12 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment les dispositions du 1° du I de son article 27 ;
Vu la loi n° 84-575 du 9 juillet 1984 portant diverses dispositions d’ordre social, notamment son article 1er ;
Vu la loi n° 2010-1330 du 9 novembre 2010 portant réforme des retraites et notamment son article 9 ;
Vu la loi n° 2014-40 du 20 janvier 2014 garantissant l’avenir et la justice du système de retraites ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Laurence DUMONT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
 
La Commission nationale de l'informatique et des libertés a été saisie par la Direction de la Sécurité sociale, rattachée au Ministère des affaires sociales, de la santé et des droits des femmes et au Ministère des finances et des comptes publics, d’une demande d’avis relative à la mise en œuvre, par la Caisse nationale d’assurance vieillesse des travailleurs salariés (CNAV), du Répertoire de gestion des carrières unique (RGCU).
 
Dans la mesure où ce traitement automatisé a vocation à être mis en œuvre par une personne morale de droit public et qu’il porte sur des données parmi lesquelles figure le numéro d’inscription des personnes au Répertoire national d’identification des personnes physiques (NIR), il y a lieu de faire application des dispositions prévues à l’article 27-I-1° de la loi du 6 janvier modifiée, prévoyant que la création du traitement doit intervenir par décret en Conseil d’État pris après avis motivé et publié de la Commission.
 
Sur les finalités du traitement
La loi du 9 janvier 2010 portant réforme des retraites a institué un répertoire de gestion des carrières unique ayant pour objectif de rassembler, au sein d’un unique traitement, l’ensemble des informations relatives à la carrière d’un assuré social, quels qu’aient été ses régimes d’affiliation pendant cette carrière. Ce traitement permettra ainsi d’avoir une vision transversale et actualisée de la carrière de la personne.
 
Le RGCU a vocation à remplacer le Système national de gestion des carrières (SNGC), créé en 1998 par la CNAV pour regrouper les données de carrière de ses assurés sociaux. Bien que cette base de données ait progressivement été étendue aux autres régimes d’assurance vieillesse, notamment pour faciliter la gestion des carrières multi-régimes, le SNGC, devenu obsolète, présente des lacunes eu égard aux nouveaux enjeux de l’inter-régimes et aux exigences en matière de performance et de sécurité, ce qui justifie qu’il soit remplacé par un outil plus adapté.
 
Le traitement dont la Commission a été saisie pour avis, tel que précisé par le projet de décret, vise ainsi à permettre aux organismes chargés des régimes de retraite obligatoires et aux services de l’État chargés de la liquidation des pensions (organismes et services contributeurs), de disposer d’une base de données unique, rassemblant l’ensemble des données de carrière des assurés sociaux, et plus précisément à leur permettre :
de mettre en commun les données relatives à la carrière de chaque assuré en vue d’assurer la complétude et la cohérence de ces données et de simplifier les démarches des assurés ;
de simplifier la détermination et le contrôle des droits aux prestations d’assurance vieillesse ;
de disposer, pour les organismes chargés de la gestion d’un régime d’assurance vieillesse obligatoire qui en font la demande auprès de la caisse mentionnée à l’article L. 222-1, des données relatives à la carrière nécessaires à la liquidation ;
pour ces mêmes organismes, qui en font la demande auprès de la caisse mentionnée à l’article L. 222-1, de disposer de services de calcul de durée d’assurance à partir des données collectées dans le cadre du présent traitement ;
d’informer les assurés sur leur situation, de leur fournir une estimation du montant de leurs pensions et de mettre en œuvre les droits dont ils disposent en application L.161-17 du code de la sécurité sociale ;
de produire des statistiques.
 
La Commission relève que ce traitement a également pour finalité de contribuer au pilotage du système de retraite en ce qu’il permet aux services de l’État placés sous l’autorité des ministres chargés de la sécurité sociale, de l’agriculture, du budget et de la fonction publique, de réaliser des statistiques et des projections.