AgentPublic/cnil huggingface dataset:
Au regard de la sensibilité des informations transmises, la Commission estime que le projet de décret devrait rappeler que seules les personnes strictement habilitées auront accès aux données et que toute transmission d'information doit s'accompagner de mesures adéquates permettant de garantir la confidentialité des échanges, telles qu'un chiffrement des données.
D'autre part, le projet de décret prévoit que les agents du département et de l'agence régionale de santé sont destinataires de l'ensemble des informations sur la situation des personnes bénéficiant d'une orientation vers un établissement social ou médico-social, sous forme de données statistiques agrégées ou de données individuelles anonymisées.
Interrogé sur ce point, le ministère a précisé que ces organismes en tant que financeurs de dispositifs d'accueil de personnes handicapées nécessitent de connaître les besoins des usagers et l'offre disponible sur le territoire.
La Commission estime que la rédaction actuelle du projet de décret est ambiguë. Elle recommande d'indiquer explicitement que ces organismes pour les fins citées ci-dessus, ne sont destinataires que de données statistiques anonymisées donc non identifiantes.
Sur la création d'un téléservice :
Le projet de décret prévoit la création d'un téléservice qui permettra aux personnes handicapées de formuler toutes les demandes de droits et de prestations existantes qui étaient jusqu'à présent adressées aux MDPH sur format papier.
La Commission prend acte des informations apportées par le ministère selon lesquelles l'utilisation de ce téléservice sera facultative pour les usagers.
Elle relève que l'instruction des demandes de prestations formulées par les personnes handicapées était déjà prévue par le décret du 15 mai 2007 précité qui détermine les données collectées nécessaires au traitement de ces demandes, les destinataires et les durées de conservation de ces données.
Ces modalités de traitement ne sont pas modifiées par la mise en place du téléservice.
La Commission rappelle néanmoins que les droits des personnes devront être mis en œuvre conformément aux dispositions des articles 38 à 40 de la loi du 6 janvier 1978 modifiée.
Par ailleurs, au regard de l'essor des téléprocédures, la Commission souhaite insister sur l'importance de prendre en considération les difficultés auxquelles peuvent être confrontés les usagers soumis à l'accomplissement de formalités dématérialisées (difficulté d'accès à internet ou encore insuffisance des connaissances dans le domaine du numérique).
C'est pourquoi, elle estime nécessaire d'accompagner les usagers, en les informant notamment des dispositifs leur permettant d'être assistés dans leurs démarches, tels que les espaces publics numériques (EPN). A cet égard, la Commission recommande que cette information soit portée à la connaissance des utilisateurs des services des MDPH, en renvoyant notamment vers le répertoire des lieux d'accès publics ( http://www.netpublic.fr/net-public/espaces-publics-numeriques/repertoire-national/). "
Le ministère n'a pas été en mesure de fournir à la Commission des informations sur les paramètres d'accès au téléservice, de création et suppression de compte.
Elle prend néanmoins acte des informations qu'il lui a apportées selon lesquelles la CNSA assurera la démarche d'homologation au Référentiel général de sécurité.
Sur les mesures de sécurité :
Au regard des informations lui ayant été communiquées, la Commission n'est pas en mesure de valider les solutions de sécurité mises en place. Elle rappelle le besoin de mettre en oeuvre des solutions permettant d'assurer la confidentialité, l'intégrité et la disponibilité des informations traitées ainsi que celle des biens supports.
La mise en œuvre de solutions de chiffrement des flux des données traitées et stockées ainsi que des sauvegardes est nécessaire à la protection des données.
Une gestion des habilitations en cohérence avec le droit d'en connaître et des solutions permettant d'assurer le contrôle d'accès des utilisateurs au système d'informations devront être déployées. Un niveau de traçabilité des accès et des actions suffisant devra être mis en place.
La Commission rappelle enfin le besoin de prise en compte d'un niveau de cloisonnement des environnements et des applicatifs en cohérence avec le niveau de sécurité nécessaire ainsi qu'un niveau de sécurité physique suffisant des environnements.
Pour ce qui concerne les échanges d'information entre les MDPH et la CNSA, la Commission relève que la fonction d'occultation des informations nominatives (FOIN) sera utilisée, ce qui n'appelle pas d'observations.
Sur les modifications apportées au système d'information mis en œuvre par la CNSA :
Le projet de décret prévoit de compléter la finalité de gestion des politiques du handicap en y ajoutant le domaine du suivi des parcours et celui de la contribution à la connaissance des dépenses médico-sociales. Il prévoit aussi de compléter les informations enregistrées dans le système national d'informations transmises sur la nature du diagnostic médical et les limitations d'activité par des informations sur les besoins et les attentes, par référence à une nomenclature fixée par arrêté du ministre chargée des personnes handicapées.
Les informations concernant le plan personnalisé de compensation sont complétées par celles du projet personnalisé de scolarisation et du plan d'accompagnement global.
La Commission relève que ces modifications résultent des dispositions de l'article 70 de la loi relative à l'adaptation de la société au vieillissement qui confère de nouvelles missions à la CNSA.
Une finalité relative à l'alimentation du système national des données de santé est également ajoutée.
Dans la mesure où le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé "système national des données de santé " prévoit la collecte d'informations médico-sociales relatives à la situation des personnes en situation de handicap transmises à la Caisse nationale de solidarité pour l'autonomie dans le cadre du système d'information mentionné à l'article L. 247-2 du code de l'action sociale et des familles, ces dispositions n'appellent pas d'observations.
La présidente,
I. Falque-Pierrotin
a Commission nationale de l'informatique et des libertés,
Saisie par la direction des affaires juridiques du ministère de l'économie et des finances d'une demande d'avis concernant un projet de décret relatif au répertoire numérique des représentants d'intérêts pris pour application de l'article 25 de la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique et notamment son article 25 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-112 du 2 février 2010 pris pour application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu la décision du conseil constitutionnel n° 2016-741 du 8 décembre 2016 relative à la loi sur la transparence, à la lutte contre la corruption et à la modernisation de la vie économique ;
Après avoir entendu Mme Dominique CASTERA, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par la direction des affaires juridiques du ministère de l'économie et des finances d'une demande d'avis concernant un projet de décret relatif au répertoire numérique des représentants d'intérêts pris pour application de l'article 25 de la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique.
Le législateur a organisé un cadre juridique permettant d'identifier les personnes pouvant être regardées comme des représentants d'intérêts, de réguler leurs conditions d'intervention, de les soumettre à des obligations déontologiques qu'il a déterminées, de sanctionner leur méconnaissance et, enfin, de rendre le processus de décision publique plus transparent pour les citoyens.
A cette fin, l'article 25 de la loi crée un répertoire numérique des représentants d'intérêts dont la finalité est d'assurer l'information des citoyens sur les relations entre ceux-ci et les pouvoirs publics.
Ainsi, toute personne physique exerçant, à son compte ou pour le compte de tiers, des activités de représentation d'intérêts au sens de l'article 18-2 de la loi du 11 octobre 2013 sera tenue de s'y inscrire par l'intermédiaire d'un téléservice. Pour les personnes morales, sont inscrits le dirigeant et les employés chargés des activités de représentation par l'intermédiaire de la personne désignée comme contact opérationnel chargé de communiquer les informations requises à la Haute Autorité pour la transparence de la vie publique (HATVP).
Le projet de décret dont est saisie pour avis la commission doit déterminer :
- le rythme et les modalités de communications des informations devant être transmises à la HATVP ainsi que les conditions de publication de ces informations ;
- les modalités de présentation des activités du représentant d'intérêts ;
- les modalités de saisine de la HATVP ainsi que la procédure des vérifications sur pièces et sur place.
Sur l'autorité responsable de traitement :
Le répertoire numérique créé par la loi du 9 décembre 2016 est mis en oeuvre par la Haute Autorité pour la transparence de la vie publique, qui en est responsable au sens de l'article 3 de la loi du 6 janvier 1978 modifiée. La commission estime que le projet de décret pourrait expressément l'indiquer.
Sur les informations transmises à la Haute Autorité pour la transparence de la vie publique :
L'article 3 du projet de décret énumère les informations qui doivent être transmises à la Haute autorité pour la transparence de la vie publique.
Ces informations portent notamment sur les décisions publiques sur lesquelles ont porté les actions de représentation d'intérêts engagées, le type d'actions de représentations d'intérêts engagées ainsi que les questions sur lesquelles portent ces actions, les catégories de responsables publics mentionnées aux 1° à 7° de l'article 18-2 de la loi du 11 octobre 2013 précitée, avec lesquelles tout représentant d'intérêts est entré en communication et lorsque ce dernier a effectué les actions pour le compte d'un tiers, l'identité de celui-ci.
Au regard de la décision du Conseil constitutionnel en date du 8 décembre 2016 qui souligne que les dispositions de la loi, parce qu'elles n'imposent la communication que de données d'ensemble et de montants globaux relatifs à l'année écoulée, ne portent pas une atteinte disproportionnée à la liberté d'entreprendre, la commission estime que l'article 3 pourrait utilement préciser le caractère global des informations demandées quant aux types de décisions et de questions sur lesquelles ont porté les actions.
Sur les mesures envisagées afin de sécuriser les transmissions des déclarations émanant des représentants d'intérêts :
La commission rappelle que le responsable du traitement, en application de l'article 34 de la loi du 6 janvier 1978 modifiée, doit prendre toutes les précautions utiles pour préserver la sécurité des données collectées et traitées, au regard de la nature des données, des risques présentés par le traitement, et notamment empêcher que des tiers non autorisés y aient accès par l'intermédiaire de mesures de sécurité physiques, logiques et organisationnelles.
L'article 5 autorise la création d'un téléservice et prévoit les modalités de son fonctionnement. Le traitement étant un téléservice d'une autorité administrative au sens de l'ordonnance n° 2005-1516 du 8 décembre 2005 susvisée, il doit être conforme au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010 susvisé. La HA'FVP attestera donc formellement de sa conformité au décret 2010-112 (référentiel général de sécurité) et le mentionnera sur le site du registre.
La commission prend note que des profils d'habilitation définissent les accès, rôles et informations disponibles aux différents utilisateurs. La commission rappelle que les permissions d'accès doivent être supprimées pour tout utilisateur n'étant plus habilité et qu'une revue globale des habilitations doit être opérée à une fréquence régulière.
La commission observe que chaque personne concernée dispose d'un identifiant qui lui est propre, en l'occurrence son adresse électronique. L'authentification s'effectue ensuite par mot de passe.
La commission rappelle que, conformément à sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, elle demande que ces derniers fassent une longueur minimale de douze caractères et soient composés de lettres majuscules, minuscules, chiffres et symboles ou qu'ils fassent entre huit et onze caractères, soient composés de trois des quatre possibilités précitées et associés à une restriction d'accès en cas d'erreurs successives (blocage temporaire de compte, possibilité de nouvelles tentatives après une durée d'attente incrémentielle, etc.).
Ils doivent en outre être définis, ou modifiés par l'utilisateur dès sa première connexion, puis régulièrement renouvelés et ne doivent pas être stockés en clair.
La commission observe que le télédéclarant reçoit des accusés de réception relatifs à la création de son compte et aux éléments qu'il a communiqués sur le téléservice.
S'agissant des échanges de données, la commission recommande que ceux-ci soient réalisés via des canaux de communication chiffrés et assurant l'authentification de la source et de la destination.
Enfin, la commission préconise la mise en place d'une architecture de journalisation permettant de conserver une trace des événements de sécurité et du moment où ils ont eu lieu. Ces journaux devront ensuite faire l'objet d'analyses permettant de détecter d'éventuels mésusages.
La commission rappelle que l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les droits des personnes :
Sur l'information des personnes :
L'article 6 du projet de décret impose à la HATVP d'informer les personnes sur le recueil des données les concernant. La commission estime donc qu'il appartient à la HATVP d'assurer l'information des personnes dans les conditions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée.
Sur les droits d'accès et de rectification :
La commission observe que les représentants d'intérêts, personnes physiques exerçant pour leur compte, sont en mesure d'exercer directement leurs droits d'accès et de rectification dans la mesure où ils actualisent eux-mêmes leurs informations et que ces dernières sont publiques.
Sur l'absence de droit d'opposition des personnes :
La mise en œuvre du traitement résulte du respect d'une obligation légale qui porte création d'un répertoire numérique visant à assurer la transparence des relations entre les représentants ou membres des autorités publiques ou des organes administratifs et les représentants d'intérêts. Dès lors, la commission estime que le projet de décret devrait, conformément à l'article 38 de la loi du 6 janvier 1978 modifiée, expressément écarté le droit d'opposition des personnes concernées.
Sur les durées de publication et de conservation des données :
L'article 6 du projet de décret prévoit que les informations relatives aux actions de représentation d'intérêts demeurent publiques pendant une durée de cinq ans à compter de leur publication par la Haute Autorité.
Lorsqu'une personne inscrite au répertoire cesse ses fonctions de représentation d'intérêts, elle en informe, par l'intermédiaire du téléservice mentionné à l'article 5, la Haute Autorité qui mentionne cette information dans un répertoire rendu public. Les données sont alors supprimées au terme de la durée de conservation de cinq ans. Dans l'hypothèse où le représentant d'intérêts reprend ses fonctions après interruption, ses informations sont actualisées et conservées cinq ans à compter de cette mise à jour.
Les informations annuelles sont conservées cinq ans à compter de leur mise en ligne. La commission observe que, pour les rapports annuels transmis postérieurement à la reprise d'activité, un nouveau délai de cinq ans courra dès leur publication.
La commission estime que cette durée n'excède pas celle nécessaire à la finalité pour laquelle elles sont conservées et traitées.
Sur les mesures empêchant l'indexation des données directement identifiantes par les moteurs de recherche externe :
L'article 6 prévoit que les modalités de publication du répertoire devront être déterminées par une délibération de la HATVP.
Afin de limiter les risques de réutilisation des données, la commission recommande que la HATVP mette en place des mesures empêchant l'indexation des données appelées à être publiées dans le répertoire. Ces mesures peuvent consister, par exemple, en l'utilisation de règles d'indexation à destination des moteurs de recherche correctement définies (par exemple un fichier robots.txt ), de publication des données au format image ou de mécanismes visant à s'assurer que l'émetteur d'une requête relative à un document est bien un internaute et non un programme informatique (CAPTCHA visuels et auditifs).
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre des affaires sociales et de la santé d'une demande d'avis concernant un projet de décret relatif au dossier pharmaceutique ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L. 1111-8, L. 1111-8-1 et L. 1111-23 et R. 1111-20-1 à R. 1111-20-11 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 [4 a]) ;
Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 97 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie le 15 septembre 2016 par la ministre des affaires sociales et de la santé, puis le 20 janvier 2017 par saisine rectificative, d'une demande d'avis concernant un projet de décret (ci-après le projet ) relatif au dossier pharmaceutique.
Le projet est pris en application des dispositions de l'article 97 de la loi n° 2016-041 du 26 janvier 2016 de modernisation de notre système de santé (ci-après la loi de modernisation de notre système de santé ) lequel a notamment modifié l'article L. 1111-23 du code de la santé publique ( CSP ) en permettant la consultation du dossier pharmaceutique ( DP ) par le médecin prenant en charge un patient au sein d'un établissement de santé, sauf opposition du patient dûment informé.
Cet accès était jusqu'alors réservé, à titre expérimental, aux médecins de certains établissements de santé dans le cadre de la prise en charge des patients, et sur autorisation de ces derniers.
Compte tenu de cette généralisation d'accès à tous les médecins d'établissements de santé. Le projet prévoit de nouvelles modalités d'accès en fonction de la qualité des professionnels de santé concernée.
Le projet précise également expressément que le recueil du consentement du patient, nécessaire afin d'ouvrir un DP, s'effectue dorénavant par tout moyen y compris de façon dématérialisée ; le projet prévoit en outre la possibilité pour les bénéficiaires de l'assurance maladie qui ne souhaiteraient pas disposer de DP de le signaler au Conseil national de l'ordre des pharmaciens (CNOP).
Sur les modalités de recueil du consentement à la création du DP :
Les dispositions législatives et réglementaires prévoient qu'un DP est créé dès lors que le patient concerné, dûment informé, y a expressément consenti. Une attestation de création mentionnant son autorisation expresse et son droit à la rectification et à la clôture du dossier doit lui être remise.
La Commission observe que les modalités de création d'un DP ne sont pas modifiées à l'exception du recueil du consentement qui s'effectue par tout moyen, y compris de façon dématérialisée.
L'article R. 1111-20-5 du projet prévoit en effet désormais deux modalités d'authentification au DP, selon qu'il s'agit d'une pharmacie d'officine ou d'un établissement de santé ou hôpital des armées.
Le pharmacien d'officine ou le pharmacien à usage intérieur ( PUI ), seuls habilités à créer un DP, utilisent aujourd'hui conjointement la carte Vitale de la personne et leur carte de professionnel de santé. Ce dispositif implique la remise de la carte Vitale par le patient au pharmacien, signe de son consentement.
Le projet maintient ce dispositif pour les pharmacies d'officine. Il ajoute en revanche la possibilité pour les PUT d'utiliser les données de la carte Vitale de la personne et tout moyen d'authentification conforme au référentiel élaboré par l'ASIP Santé en application de l'article L. 1111-24 du CSP.
La Commission observe que le recueil du consentement du patient ne peut dès lors plus se matérialiser par la remise directe de sa carte Vitale.
Compte tenu des nombreuses plaintes reçues relatives à l'ouverture d'un DP à l'insu des personnes concernées, et de la possibilité de recueillir dorénavant le consentement de la personne par tout moyen y compris de façon dématérialisée, la Commission demande que le projet fasse mention des modalités d'information. Elle préconise que la remise de la note d'information qui devrait être systématiquement effectuée entre les mains du bénéficiaire se double d'une information par voie d'affichage.
Enfin, la Commission prend acte de ce que le projet introduit la possibilité pour le bénéficiaire de l'assurance maladie de saisir le CNOP afin de lui signaler son refus de bénéficier d'un DP. Le signalement entraîne l'impossibilité de création d'un DP pendant une période de 36 mois, correspondant à la durée de conservation des traces de refus de création ou de clôture d'un DP.