AgentPublic/cnil huggingface dataset:
Au regard de ces éléments, et compte tenu du fait que le NIR est la seule variable commune entre les fichiers « INTERIM » et « Panel DADS » permettant d’enrichir le panel d’intérimaires sélectionné par la DARES, la Commission considère que le traitement des données précédemment visées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur les destinataires
Seuls les chargés d’études habilités du département Emploi de la DARES et de la division Salaires et revenus d’activité de l’INSEE peuvent accéder, chacun pour ce qui le concerne, aux données du présent traitement.La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données du présent traitement.
Sur l’information et le droit d’accès
Les intérimaires concernés par le présent traitement sont informés de la possible utilisation statistique de données à caractère personnel les concernant, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par un affichage  dans les établissements des entreprises de travail temporaire obligatoire en application de l’article R. 1251-9 du code du travail, d’une part, et des mentions apposées sur les relevés mensuels de contrat de travail temporaire, d’autre part.Le droit d’accès et de rectification s’exercent directement auprès de la DARES du ministère du travail, de l’emploi, de la formation professionnelle et du dialogue social. La Commission considère que les mesures prévues au titre de l’information des personnes et de l’exercice des droits d’accès et de rectification sont satisfaisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères complexes.Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs du traitement. Seules les personnes habilitées peuvent accéder aux données du présent traitement. La Commission rappelle que le traitement doit comporter une fonctionnalité de journalisation des opérations de consultation, de création, de mise à jour et de suppression permettant d’identifier  l’utilisateur à l’origine d’une opération. Les échanges de données sont réalisés au moyen de canaux sécurisés, à savoir en utilisant une liaison dite « FTP » ou en procédant à la remise en main propre de Cd-rom cryptés. Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées jusqu’à la finalisation des opérations nécessaires à l’étude statistique en cause, dans la limite maximale de cinq ans, au cas où les exploitations réalisées par les chargés d’étude de la DARES montreraient des anomalies rendant nécessaire le renouvellement de ces opérations. A défaut d’anomalie, les données sont supprimées dans le mois suivant la fin de la convention liant l’INSEE et la DARES.La Commission considère que ces durées de conservation ne sont pas excessives au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la direction de l’animation de la recherche, des études et des statistiques du ministère du travail, de l’emploi, de la formation professionnelle et du dialogue social à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1600988)
La Commission nationale de l'informatique et des libertés,
Saisie par Madame Chrystel MARTINEAU, prise en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code civil, notamment son article 515 ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 361-1, L. 471-1 à L. 473-4 et R. 472-1 à R. 472-26 ;
Vu le code de procédure pénale, notamment ses articles 706-112 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 29 mai 2009 du Préfet de la région Aquitaine portant désignation des personnes habilitées pour être désignées en qualité de mandataire judiciaire à la protection des majeurs par les juges des tutelles pour exercer des mesures de protection des majeurs au titre de la tutelle, de la curatelle ou du mandat spécial auquel il peut être recouru dans le cadre de la sauvegarde de justice ; 
Après avoir entendu Madame Laurence DUMONT, commissaire, en son rapport, et Monsieur. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission est saisie par Madame Chrystel MARTINEAU, prise en sa qualité de mandataire judiciaire à la protection des majeurs au titre de la tutelle, de la curatelle ou du mandat spécial auquel il peut être recouru dans le cadre de la sauvegarde de justice.
La Commission relève, au regard des dispositions de l’article L. 471-1 du code de l’action sociale et des familles (CASF), que les mandataires judiciaires à la protection des majeurs exercent à titre habituel les mesures de protection des majeurs que le juge des tutelles leur confie. 
En application de l’article L. 471-2 du CASF, ces mandataires sont inscrits sur une liste dressée et tenue à jour par le représentant de l’Etat dans le département.
L’article L. 472-1 du CASF prévoit, quant à lui, que les personnes physiques qui exercent à titre individuel et habituel les mesures de protection des majeurs ordonnées par l'autorité judiciaire doivent, préalablement à leur inscription sur cette liste, faire l’objet d’un agrément en qualité de mandataire judiciaire à la protection des majeurs. Cet agrément est délivré par le représentant de l'Etat dans le département, après vérification que la personne satisfait aux conditions prévues par les articles L. 471-4 et L. 472-2 du CASF et avis conforme du procureur de la République. L’agrément doit s’inscrire dans les objectifs et répondre aux besoins fixés par le schéma régional d’organisation sociale et médico-sociale prévu à l’article L.312-5 du CASF.
La Commission relève que Madame Chrystel MARTINEAU, par arrêté du Préfet de la Gironde en date du 29 mai 2009, est habilitée pour être désignée en qualité de mandataire judiciaire à la protection des majeurs, par le juge des tutelles, pour exercer des mesures de protection des majeurs au titre de la tutelle, de la curatelle ou du mandat spécial auquel il peut être recouru dans le cadre de la sauvegarde de justice. 
La Commission considère que les missions confiées par le juge des tutelles à Madame Chrystel MARTINEAU sont justifiées par l’intérêt public et peuvent, dès lors, justifier le traitement de données relevant de l’article 8 de la loi du 6 janvier 1978 modifiée.
Elle relève en outre que les dispositions de l’article 706-113 du code de procédure pénale prévoient, dans certaines circonstances, la communication par l’autorité judiciaire de données relatives à des infractions, condamnations ou mesures de sûreté aux mandataires judiciaires à la protection des majeurs. Ces dispositions impliquent que le législateur a entendu ouvrir une possibilité spécifique de collecte de telles données par ces mandataires. Cette faculté légale vient ainsi compléter le régime général, tel que prévu par l’article 9 de la loi du 6 janvier 1978 modifiée, régissant le traitement de ce type d’informations. Il en résulte que les mandataires judiciaires à la protection des majeurs peuvent traiter des données relevant dudit article, dans les limites prévues par les dispositions légales en vigueur.
Sur la finalité du traitement :
Madame Chrystel MARTINEAU a saisi la Commission, en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, d’une demande d’autorisation préalablement à la mise en œuvre d’un traitement ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle et relevant de son mandat.
La Commission considère que cette finalité est déterminée, explicite et légitime et peut conduire, en fonction des mandats confiés par le juge des tutelles, à la collecte ou au traitement de données sensibles telles que le paiement de cotisations politiques ou syndicales, les dons à des organismes religieux, des appréciations sur les difficultés sociales des personnes concernées, des données relatives à leur santé, ou des informations en lien avec les poursuites judicaires dont les  personnes précitées feraient l’objet, dans le respect des dispositions du code de procédure pénale.
Elle estime, dès lors, qu’il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements, automatisés ou non, justifiés par l’intérêt public qui font apparaître directement ou indirectement les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale ou qui sont relatives à la santé ou à la vie sexuelle des personnes.
La Commission considère qu’il convient également de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Elle estime qu’il y a également lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques.
La Commission estime, enfin, que le recours à la formalité de l’autorisation se justifie au regard de l’article 25-I-7° de la loi 6 janvier 1978 modifiée pour ce qui concerne les traitements automatisés de données comportant des appréciations sur les difficultés sociales des personnes.
Sur la nature des données traitées :
Les données du présent traitement sont, en fonction du type de mesure de protection (sauvegarde de justice, curatelle ou tutelle), du contenu précis de la mesure prononcée par le juge et de la nature des actes à accomplir, relatives :
à  l’identification des personnes et, le cas échéant, à celle de leurs conjoints et enfants (nom, prénom, adresse, date et lieu de naissance) ;
à leur vie personnelle (situation familiale, adresse de résidence et fiscale, type d’hébergement) ;
à  leur vie professionnelle (situation professionnelle, scolarité, formation) ;
à des informations d’ordre économique et financier (revenus, situation financière, dépenses, recettes, contrôle du budget) ;
à l’appartenance religieuse, politique ou syndicale et à la santé ;
aux infractions, condamnations ou mesures de sûreté, dans les limites prévues par les dispositions législatives en vigueur ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), uniquement dans le cadre d’échanges avec des professionnels de santé, des organismes de sécurité sociale, de prévoyance ou de retraite, ainsi que des financeurs de prestations sociales ou médico-sociales;
à des appréciations sur les difficultés sociales des personnes ;
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie, dès lors qu’elles s’avèrent nécessaires à l’exercice d’un mandat de représentation.
Sur la durée de conservation des données :
Les données à caractère personnel du présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection sauf interruption ou suspension de la prescription.  
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur les destinataires des données :
Seul le responsable de traitement et, le cas échéant, les membres habilités de son personnel soumis à une obligation de confidentialité peuvent accéder au présent traitement.
Seuls ces utilisateurs sont habilités à transmettre des données aux destinataires suivants.
Le juge des tutelles compétent peut être destinataire de l’intégralité des données du traitement.
La direction départementale de la cohésion sociale et les organismes financeurs, au nombre desquels figurent notamment les caisses d’allocations familiales ou de mutualité sociale agricole, la caisse des dépôts et des consignations ou encore les caisses primaires d’assurance maladie, peuvent être destinataires des données d’identification, des données relatives à la vie personnelle et des numéros de sécurité sociale.
La Commission considère que ces destinataires présentent un intérêt légitime à connaître de ces données.
Elle estime, par ailleurs, que le responsable du traitement peut également communiquer des données aux organismes en relation avec les personnes représentées, sous réserve que ces transmissions soient indispensables à ces relations, d’une part, et que les données concernées soient limitées au strict nécessaire, d’autre part. 
Sur l'information des personnes :
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur des notices d’information.
La Commission considère que cette modalité d’information des personnes est satisfaisante. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de Madame Chrystel MARTINEAU par courrier, téléphone, fax ou courriel.  
La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes. 
Sur la sécurité des données et la traçabilité des actions :
L’authentification des utilisateurs est assurée par des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.
Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs.
Le traitement n’est accessible que sur un réseau interne privé, ce qui offre une garantie quant à la sécurité des données y transitant. 
Les échanges de données effectués sur internet sont sécurisés par l’utilisation du protocole dit « HTTPS » et de certificats électroniques. Les télétransmissions bancaires sont, quant à elles, réalisés selon les normes dites « ETEBAC » et/ou « EBICS ».
Une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permet d’identifier  l’utilisateur à l’origine d’une opération. Les données de traçabilité sont conservées pendant six mois dans des conditions permettant de garantir leur intégrité et leur confidentialité.
Les interventions de maintenance sont enregistrées dans une main courante et les opérations de télémaintenance nécessitent l’utilisation d’un certificat dit « SSL ».
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise Madame Chrystel MARTINEAU, en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, à mettre en œuvre un traitement de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1147702-V14)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut de recherche et documentation en économie de la santé (IRDES) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre de la phase 2014 de l’enquête sur la santé et la protection sociale (ESPS) ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 51-711 du 7 juin 1951 modifiée relative à l’obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 19 juillet 2013 relatif à la mise en œuvre du Système national d’information interrégimes de l’assurance maladie ;
Vu les délibérations n° 2006-090, n° 2010-003, n° 2010-301, n° 2010-404, n° 2011-007, n° 2011-171, n° 2012-055, n° 2012-185, en date des 21 mars 2006, 14 janvier 2010, 15 juillet 2010, 9 novembre 2010, 13 janvier 2011, 9 juin 2011, 16 février 2012 et 19 juillet 2012 ;
Vu l’avis du 26 juin 2013 du Comité du label du Conseil national de l’information statistique (CNIS) attribuant le label d’intérêt général et de qualité statistique à la phase 2014 de l’enquête ESPS ;
Après avoir entendu M. Jean MASSOT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L'Institut de recherche et documentation en économie de la santé (IRDES) a saisi la Commission, le 18 juin 2013, d’une demande d’autorisation pour la mise en œuvre de l’enquête sur la santé et la protection sociale « ESPS 2014 ». 
L’enquête ESPS est une enquête pluridisciplinaire et longitudinale dont l’objet principal est d'analyser l'articulation entre l'état de santé de la population, la consommation de soins, l'accès aux soins, la couverture santé et le statut économique et social. 
L’enquête a vocation à permettre d’acquérir une meilleure connaissance du système de santé national, de la santé et de l’accès aux soins des participants, afin d’améliorer la prise en charge médicale des personnes, l’offre de soins et de contribuer à la réduction des dépenses publiques.
L’enquête ESPS, réalisée pour la première fois en 1988, est menée, depuis 2010, à partir de l’échantillon généraliste de bénéficiaires (EGB) issu des trois grands régimes de l’assurance maladie : la Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS), le Régime social des indépendants (RSI) et la Mutualité sociale agricole (MSA). 
Quatre sous-échantillons sont constitués, deux sous-échantillons sont sollicités alternativement tous les deux ans et deux autres sous-échantillons de réserve permettent de surreprésenter certains des bénéficiaires en fonction des études. 
L'enquête se déroule en deux sessions afin de tenir compte de la saisonnalité de certaines pathologies. Elle combine des données déclaratives recueillies par questionnaire par une société d'enquête, avec des données de remboursement de l’assurance maladie. Des questions identiques posées à chaque vague d’enquête permettent de suivre les évolutions du système de santé au travers de l’expérience des assurés et des questions ponctuelles (enquêtes complémentaires) permettent des analyses spécifiques en fonction des demandes issues de la recherche. 
L’IRDES confie la réalisation des enquêtes auprès des personnes à une société de service chargée de les contacter, d’administrer les questionnaires et de renvoyer les données recueillies associées au numéro d’ordre spécifique à l’étude.
Afin de connaître les recours aux soins ayant fait l’objet d’un remboursement, les données individuelles de l’enquête sont appariées avec les données du système national d’information interrégimes de l’assurance maladie (SNIIRAM). Ce système d’information, géré par la CNAMTS, regroupe l’ensemble des données de remboursement de l’assurance maladie et du PMSI (Programme de Médicalisation des Systèmes d’Information) chaînées par individu sur trois ans, plus l’année en cours.
L’échange d’informations entre les différents organismes qui concourent à la mise en œuvre de l’étude (la société d’enquête, les régimes d’assurance maladie et l’IRDES) suppose la mise en œuvre de procédés d’anonymisation, garantis par le recours à un tiers de confiance. Il s’agit de l’INSEE qui joue ce rôle depuis le début de l’enquête. 
Chaque année, les régimes d'assurance maladie extraient pour les personnes échantillonnées et leurs ouvrants droit ou ayants droit dénommés « grappe assurance maladie », leur adresse, le numéro de sécurité sociale (Numéro d’Inscription au Répertoire national d’identification des personnes physiques ou NIR), le triplet SNIIRAM (NIR de l’ouvrant droit, date de naissance et sexe du bénéficiaire) et les données médico-administratives dont le nom et le prénom.
Les régimes d'assurance maladie envoient ces informations à l’INSEE, tiers de confiance qui attribue aux personnes échantillonnées et aux différents membres de la grappe, un numéro d'ordre non signifiant, pérenne, spécifique à l'étude, ainsi qu'un numéro d'ordre pour l'ensemble de la « grappe ».
L’INSEE transmet à l’IRDES les numéros d’ordre et les éléments de situation extraits par l’assurance maladie (à l’exclusion du nom) et à la société d'enquête toutes les informations nécessaires (nom, prénom, date de naissance, coordonnées, numéro d'ordre, qualité au regard de l'assurance maladie) pour qu'elle puisse contacter les personnes et recueillir leurs réponses aux questionnaires, soit par téléphone, soit en face-à-face. Une fois les données recueillies, la société d’enquête les renvoie à l’IRDES associées au seul numéro d'ordre spécifique à l'enquête.
L’INSEE envoie également à la CNAMTS les numéros d'ordre des bénéficiaires et des membres de la « grappe », ainsi que le triplet SNIIRAM afin que soient extraites les données de consommation de soins liquidées. Ces données sont ensuite expédiées par la CNAMTS à l’IRDES avec les seuls numéros d'ordre.
Les données de consommation de soins et les données d'enquête sont appariées par l’IRDES. Une fois cette opération réalisée, le numéro d'enquête est supprimé au profit d’un nouveau numéro.