AgentPublic/cnil huggingface dataset:
Les seules personnes autorisées à accéder au système d’information géographique sont, dans la limite de leurs attributions respectives, les agents habilités de la Direction départementale de l’équipement et de l’agriculture du Gers (DDEA 32).L’accès au système d’information géographique se fait au moyen d’un mot de passe individuel, régulièrement renouvelé.Sont également destinataires, sans accès au système d’information géographique, de certaines informations nécessaires à la réalisation de leurs missions :- les bureaux d’études habilités dans le domaine de l’habitat, et uniquement dans le cadre d’une convention.
Information et droit d’accès
Les personnes seront informées de la finalité du traitement, des destinataires des informations, de l’existence et des modalités d’exercice de leurs droits par le biais d’un affichage dans les locaux de la DDEA ; les propriétaires concernés seront en outre informés au moyen d’une mention d’information sur les courriers qui leur seront adressés.Le droit d’accès et de rectification défini au chapitre V de la loi s’exerce auprès de la Direction départementale de l’équipement et de l’agriculture du Gers, sur place, par courrier postal ou électronique (magic.ddea-32@equipement-agriculture.gouv.fr).
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le Code de l’action sociale et des familles et, notamment, son article L.251-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment les articles 8-IV et 25-I-1° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Après avoir entendu, M. Jean MASSOT, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par la Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS) d’un traitement de données à caractère personnel ayant pour finalité l’évaluation de la justification médicale du caractère urgent des soins qui sont dispensés aux personnes ne bénéficiant ni d’une couverture sociale, ni de l’aide médicale de l’Etat (AME) et qui sont facturés à l’assurance maladie.
Aux termes de l’alinéa 1er de l’article L.251-1 du Code de l’action sociale et des familles, « Tout étranger résidant en France de manière ininterrompue depuis plus de trois mois, sans remplir la condition de régularité mentionnée à l'article L. 380-1 du code de la sécurité sociale et dont les ressources ne dépassent pas le plafond mentionné à l'article L. 861-1 de ce code a droit, pour lui-même et les personnes à sa charge au sens des articles L. 161-14 et L. 313-3 de ce code, à l'aide médicale de l'Etat ».
Ce traitement relève du régime de l’autorisation prévu aux articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, applicable aux traitements comportant des données de santé justifiés par l’intérêt public.
Sur les finalités poursuivies par le traitement
Les services médicaux de la CNAMTS souhaitent mettre en œuvre une enquête sur la qualification de soins urgents pour les personnes en situation irrégulière au regard du droit de séjour ne bénéficiant ni d’une couverture sociale ni de l’Aide Médicale de l’Etat.
Cette enquête a pour objectifs de :
dresser un état des lieux quantitatif et qualitatif fiable de l’existence de ces soins d’urgence, afin de mieux connaître la nature des pathologies prises en charge à ce titre, ainsi que le circuit de prise en charge des patients qui en bénéficient.
procéder, sur un échantillon de dossiers, à une évaluation de la justification médicale du caractère urgent des soins dispensés et facturés, afin d’en apprécier le bien fondé et de mettre en évidence l’existence éventuelle d’une mise en œuvre de la procédure dans des conditions non conformes aux dispositions de l’article L.254-1 du Code de l’action sociale et des familles.
La Commission a pris note de la volonté affichée par les  responsables du traitement de se limiter pour l’instant à une description de la situation au plan national et de s’interdire toute action contentieuse ou en répétition de l’indu à l’encontre des patients, des professionnels et des établissements de santé en cas de découverte d’une anomalie. Il ne lui appartient pas de se prononcer sur les interrogations que le déroulement de l’enquête pourra susciter,  tant chez les professionnels de santé que chez les patients sur les développements ultérieurs d’une telle procédure,  ni sur le choix d’opportunité qui est fait entre une enquête générale et des contrôles par sondage, ni enfin sur le caractère délicat que peut revêtir l’appréciation de conditions telles que l’appréciation des « soins urgents dont l’absence mettrait en jeu le pronostic vital ou pourrait conduire à un altération grave et durable de l’état de santé de la personne ou de l’enfant à naître ». Elle ne peut, pour ce qui la concerne, que constater que l’exigence  d’un intérêt public posée par l’article 8 IV de la loi se trouve remplie, dès lors qu’il s’agit de veiller au respect d’une condition légale à une prise en charge de frais médicaux par un  régime public de protection sociale.
Pour ce faire, chaque caisse primaire d’assurance maladie (CPAM) transmettra aux médecins conseil des échelons locaux du service médical (ELSM) une liste nominative de patients ayant bénéficié de soins facturés au titre des soins urgents.
A partir de cette liste, un tirage aléatoire d’un échantillon représentatif de dossiers sera effectué par le médecin-conseil (10 000 dossiers seront concernés).
Le médecin-conseil, chef de service de l’échelon local du service médical, adressera au directeur du ou des établissements concernés par l’enquête, la liste des patients accompagnée des numéros de titre de factures correspondants, afin que les dossiers médicaux soient mis à la disposition des médecins conseil par les équipes de soins en charge des patients.
Une analyse des dossiers médicaux sera alors effectuée par le service du contrôle médical qui donnera lieu, pour chaque acte ou séjour ayant fait l’objet d’une facturation, à la rédaction d’une fiche de recueil de données, le patient étant identifié par un numéro d’anonymat.
Ces fiches seront adressées à la Direction régionale du service médical du lieu de l’établissement pour saisie anonymisée ; les données anonymisées seront transmises à la DRSM du Nord Est en vue d’exploitation et d’analyse statistiques nationales.
Sur les catégories de données traitées
La liste des patients ayant bénéficié de soins facturés au titre de soins urgents comporte l’identification de l’établissement, du service, les nom, prénom et date de naissance du bénéficiaire des soins.
Les données renseignées sur les fiches de recueil sont : le numéro d’anonymat attribué à chaque patient, la direction régionale du service médical et l’échelon local de service médical concernés, le type d’établissement concerné (numéro Finess), le sexe et l’âge du patient, le motif de soins, le mode d’admission dans l’établissement, le mode de transport utilisé à l’entrée dans l’établissement, la présence dans le dossier médical d’un certificat médical attestant l’urgence, la nature des soins dispensés, le service d’hospitalisation, le mode de prise en charge, le diagnostic de sortie, le devenir du patient à l’issue des soins, le montant des soins facturés, l’avis du médecin-conseil sur l’urgence des soins et l’avis du médecin ayant rédigé le certificat attestant l’urgence.
La Commission prend acte que ne figure sur la fiche de recueil ni l’identité des médecins ayant rédigé le certificat attestant de l’urgence, ni celle des patients.
Sur les catégories de destinataires
Seront destinataires de la liste des patients ayant bénéficié de soins facturés au titre de soins urgents :
Les médecins conseil de l’échelon de l’ELSM afin de permettre l’interrogation des établissements ;
Les directeurs du ou des établissements concernés par l’enquête, afin de leur permettre d’organiser la mise à la disposition, par les professionnels de santé chargés du suivi des patients, des dossiers médicaux concernant les patients concernés.
Seuls les médecins conseil des échelons locaux du service médical désignés pour réaliser l’enquête seront habilités à accéder à des données médicales identifiantes et à détenir la table de correspondance entre l’identité des patients et le numéro d’anonymat, nécessaire à un retour au dossier à des fins de validation des données.
Seront destinataires des fiches de recueil anonymisées, à des fins de saisie, les Directions régionales du service médical concernées par les établissements enquêtés.
Sera destinataire de données anonymisées à des fins d’exploitation et d’analyse nationales, la Direction régionale du service médical du Nord Est.
Le rapport destiné à rendre compte des résultats de l’enquête qui sera communiqué et/ou publié portera sur des données agrégées relatives au nombre de dossiers, à la typologie de bénéficiaires de soins (sexe et âge), à la nature des soins et au caractère urgent ou non de ceux-ci. Il ne permettra pas d’identifier un patient, un professionnel ou un établissement de santé.
Sur l’information des personnes concernées et le droit d’accès
Le droit d’accès défini au chapitre V de la loi du 6 janvier 1978, modifiée en 2004 s’exerce auprès des directeurs des caisses primaires d’assurance maladie.
Les patients seront informés de l’enquête, de leurs droits et de leurs modalités de mise en œuvre par affichage dans les locaux des CPAM et ELSM accessibles au public.
Les praticiens hospitaliers des établissements concernés par l’enquête seront informés de l’enquête, de leurs droits et de leurs modalités de mise en œuvre par voie d’affichage dans leurs locaux, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978, modifiée en 2004.
La Commission relève que le document d’information est ambigu quant à la finalité de l’étude dans la mesure où il mentionne à la fois la mise en place par les caisses primaires d’assurance maladie et par le service médical d’une enquête et d’un programme de contrôle médical des soins pour les personnes en situation irrégulière ne bénéficiant pas de l’Aide Médicale d’Etat. Cette mention est de nature à faire naître une confusion sur la finalité de l’étude qui vise à dresser un état des lieux de la prise en charge au titre des soins urgents et n’est susceptible d’entraîner aucune action contentieuse à l’égard d’un établissement ou d’un médecin.
En conséquence, la Commission considère, que compte tenu du caractère sensible de l’objet de l’étude et afin de favoriser l’acceptation de l’étude par les médecins concernés, il conviendrait de préciser que l’enquête est à visée purement statistique.
La table de correspondance entre l’identité du patient et le numéro d’anonymat qui lui est attribué par le médecin-conseil chargé de l’enquête, nécessaire au contrôle de cohérence et à la validation des informations collectées effectué par ce dernier, sera conservée sur support papier sous sa responsabilité et dans des conditions de nature à garantir leur confidentialité jusqu’au terme de l’enquête, puis détruite.
Dans ces conditions, la Commission autorise la Caisse nationale d’assurance maladie des travailleurs salariés à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TÜRK ; 
Etant aussi présents M. Emmanuel de GIVRY, vice-président délégué, Mme Isabelle FALQUE-PIERROTIN, vice-présidente, Mme Claire DAVAL, M. Sébastien HUYGHE et M. Jean-Marie COTTERET, membres ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la délibération n° 2007-013 du 25 janvier 2007 de la Commission nationale de l'informatique et des libertés mettant en demeure la SCP Y, notifiée le 27 février 2007 ;
Vu le rapport de M. MASSOT, commissaire rapporteur, notifié à la société par lettre recommandée avec avis de réception le 5 juin 2009 ; 
Vu les autres pièces du dossier ;
Après avoir entendu, lors de la réunion du 9 juillet 2009 :- M. MASSOT, commissaire, en son rapport ;- Mme ROLIN, commissaire du Gouvernement, en ses observations ;- Maître A, avocat de la société ;- Maître B, huissier de justice associé de la SCP.- Maître A ayant pris la parole en dernier.
I. Faits et procédure
A. Faits
La société civile professionnelle Y (ci-après la "SCP") est une étude d'huissiers de justice située à [...]. Celle-ci partage ses locaux avec la SCP X. 
1) Le contrôle sur place du 15 décembre 2006
En application de la décision n° 2006-111 C du 6 décembre 2006 du Président de la Commission nationale de l'informatique et des libertés (ci-après "CNIL" ou la "Commission"), une délégation de la Commission s'était rendue le 15 décembre 2006 dans les locaux de la SCP, afin d'effectuer un contrôle sur place.
La délégation s'était attachée à examiner le progiciel de gestion des débiteurs et des créanciers dénommé Z , base de données alimentée par la SCP dans le cadre de ses enquêtes. 
Des extractions effectuées et dénommées [...] avaient révélé l'existence de nombreux commentaires dans les fiches informatiques des débiteurs, tels que par exemple "son mari est drogué", "enfant trisomique de 35 ans", "deb serait alcoolique", "cancer rate et rein", "deb est incarcéré", "en instance de divorce car son mari est en prison" ou encore "vieil hystérique violent".
En outre, il avait été constaté que l'application Z était accessible aux collaborateurs de la SCP, sans qu'un mot de passe ne soit exigé.
Il avait par ailleurs été relevé que les deux études d'huissiers partageant les locaux avaient mis en commun leurs moyens informatiques. Ainsi, le progiciel Z s'articulait principalement autour d'une table d'identités commune aux deux SCP (comprenant les données d'identification des personnes enregistrées qu'elles soient débitrices ou créancières : nom, prénom, adresse, qualité, profession, etc.) et de deux tables de gestion des dossiers appartenant respectivement à chaque SCP. Les collaborateurs d'une SCP pouvaient accéder aux informations contenues dans la base alimentée par l'autre SCP, les deux structures ayant parfois des débiteurs en commun.
Enfin, il avait été noté qu'au jour du contrôle, le traitement de gestion des débiteurs et des créanciers n'avait fait l'objet d'aucune formalité préalable auprès de la CNIL.
2) La mise en demeure du 25 janvier 2007
En conséquence, à la suite de la mission de contrôle effectuée le 15 décembre 2006, la formation restreinte de la CNIL a par une délibération n° 2007-013 du 25 janvier 2007, mis la SCP en demeure, sous un délai d'un mois, de :
- procéder à la suppression des mentions visées dans l'annexe à la présente mise en demeure ainsi que toute autre mention susceptible de ne pas être conforme aux articles 6-1°, 6-3°, 8 et 9-2° de la loi du 6 janvier 1978 modifiée qui serait enregistrée dans tout traitement de données à caractère personnel mis en œuvre au sein de l'étude et en justifier ;
- apporter toute garantie (sensibilisation du personnel, contrôles réguliers du contenu des fichiers, etc.) permettant à la CNIL de considérer que les manquements qui ont été constatés ne se reproduiront pas à l'avenir ; 
- définir un dispositif d'accès sécurisé au progiciel Z (mot de passe et journalisation des accès) permettant notamment de garantir que les collaborateurs n'auront accès qu'aux dossiers de l'étude (et non aux dossiers de la SCP X ou aux dossiers de toute autre étude d'huissiers) ; 
- procéder à l'accomplissement des formalités préalables concernant notamment le progiciel Z ainsi que tout autre traitement qui serait mis en œuvre au sein de la SCP ; 
- informer la CNIL que les termes de la présente mise en demeure ont bien été respectés dans le délai imparti.
Cette mise en demeure avait été notifiée à la SCP le 27 février 2007.
3) La réponse de la SCP du 21 mars 2007
Par un courrier du 21 mars 2007, la SCP avait répondu à l'ensemble des points soulevés dans la mise en demeure.
Tout d'abord, elle avait fait savoir à la Commission que l'ensemble du personnel de l'étude avait été sensibilisé afin de corriger et effacer les termes non conformes reproduits dans les aide-mémoire et qu'il avait été demandé au prestataire de la société Z de bien vouloir, par souci d'efficacité, au moyen de balayage et de mots clé, procéder à l'effacement des termes litigieux . 
La SCP avait, toutefois, précisé qu'elle pensait en toute bonne foi être en droit de traiter de telles données au regard de la finalité pour laquelle elles étaient collectées, à savoir l'exécution forcée de décisions de justice ou de titres exécutoires. Elle avait également souligné l'intérêt de connaître s'il y a lieu l'éventuelle agressivité d'un débiteur.
La SCP s'était tout de même engagée outre la sensibilisation du personnel, confirmée par une note de service à mettre en œuvre avec [son] prestataire, une vérification régulière des fichiers avec suppression le cas échéant, des mots litigieux et révision périodique pour faire disparaître les informations très anciennes.
En outre, la SCP avait indiqué à la Commission que l'accès au progiciel Z allait être sécurisé par la mise en place de mots de passe individuels régulièrement modifiés et par la journalisation des accès. Toutefois, la SCP avait fait valoir que la mise en commun du dispositif informatique était justifiée par l'association des deux études au sein d'une société en participation, dont les statuts prévoient le partage du personnel, des locaux et du matériel.
Un modèle de lettre d'information affichée à l'accueil de l'étude et en interne ainsi qu'un formulaire de déclaration normale avaient par ailleurs été joints au courrier de la SCP du 21 mars 2007.
Cette déclaration, enregistrée sous le numéro 1226825, a pour finalité l' exercice de l'activité d'huissier de justice et rédaction des documents y afférents et plus précisément, selon les indications fournies au dossier, le recouvrement de créances, l'exécution et le suivi de procédures amiables et judiciaires, la production, la signification et la conservation d'actes authentiques ainsi que la production de courriers et de documents divers.
4) Le courrier de la CNIL du 21 juin 2007
Réunie le 30 mai 2007 en formation restreinte, la Commission avait formulé un certain nombre d'observations sur la réponse apportée par la SCP à la mise en demeure n° 2007-013 du 25 janvier 2007. 
Il avait tout d'abord été demandé que l'affichage du panneau d'information soit complété d'une mention d'information inscrite sur les correspondances.
En outre, la Commission avait estimé que la structure juridique de la société en participation ne justifiait nullement la mise en œuvre d'un dispositif informatique permettant un échange systématique d'informations entre deux études d'huissiers juridiquement distinctes. 
Enfin, il avait été rappelé à la SCP que la collecte d'informations relatives à la santé des personnes, leur passé judiciaire ou leur numéro de sécurité sociale était interdite par la loi du 6 janvier 1978 modifiée.
Dans son courrier du 21 juin 2007, la Commission avait estimé que sous réserve d'une réponse de la part de la SCP sur ces points dans un délai d'un mois, il serait possible de considérer que l'étude d'huissier s'était conformée à la mise en demeure. Il avait néanmoins été précisé que cette analyse ne préjuge[ait] en aucune manière des suites données à des vérifications ultérieures qui pourraient être effectuées par la Commission afin de s'assurer du respect des termes de la mise en demeure ou de la réalité de faits nouveaux qui pourraient être portés à sa connaissance. 
Ce courrier notifié le 27 juin 2007 à la SCP n'a jamais fait l'objet d'une réponse de sa part.
5) Le contrôle sur place du 15 janvier 2009
Afin de vérifier le respect de la mise en demeure, une délégation de la CNIL s'est rendue sur place le 15 janvier 2009 afin d'effectuer une mission de contrôle.
a. La nature des données traitées
Il a, tout d'abord, été constaté que des données litigieuses étaient toujours contenues dans les bases du progiciel Z.
A la suite de la mise en demeure de la CNIL, une table recensant les données contraires à la loi aurait été créée par la SCP puis transmise à la société prestataire Z afin que celle-ci remplace dans la base de données active les mentions litigieuses par un sigle + . Or, une telle opération n'a pas été mise en œuvre pour les données enregistrées dans la base archives . En outre, cette purge de données n'a été effectuée qu'une seule fois et aucune systématisation de ce type d'action n'a été prévue par la SCP.
L'exploitation de données extraites de la base active a permis de constater que sur les 14 fiches de débiteurs qui avaient été jointes à la mise en demeure (ne représentant nécessairement qu'une partie des fiches concernées ) et qui comportaient des données excessives, 7 fiches ont été supprimées de la base active, 3 fiches ont été modifiées (le sigle "+" remplaçant les mots litigieux) et 4 fiches n'ont pas été modifiées du tout.
Un comptage a permis d'établir que 26 autres fiches de débiteurs ont été expurgées de mots litigieux. Les purges auraient été faites à partir de mot-clé tels que "cancer" ou "prison" mais il n'a pas été tenu compte du contexte de la phrase. Ainsi, il subsiste des phrases dont le sens est parfaitement compréhensible telles que par exemple "deb opéré +++ rate et rein", "+++ du sein", "réponse maison d'arrêt : deb en +++ depuis le 27/02/01" ou encore "incarcéré à la +++".
La méthodologie utilisée afin de procéder à ces purges de mots-clés pose question, de nombreuses fiches de débiteurs contenant en effet des mots ou expressions qui sont pourtant remplacés par des "+" dans d'autres fiches. 
L'exploitation des données extraites de la base active a également permis de constater que, malgré une sensibilisation du personnel qui semble effective, des fiches postérieures à la mise en demeure comportent des éléments tels que par exemple "cancer du sein", "drogue", "domicile sale" et dbr en dépression" ou "sort de l'hôpital pour dépression".
b. La sécurité et la confidentialité des données
La mission de contrôle sur place a révélé que l'architecture du système informatique utilisé par la SCP avait été modifiée de sorte que chaque SCP dispose désormais de sa propre base de données et possède sa propre liste de personnel susceptible d'accéder à cette base.