AgentPublic/cnil huggingface dataset:
Le traitement projeté s’inscrit dans une logique de coordination des acteurs à l’échelle nationale et d’amélioration continue des pratiques en cancérologie.A la suite de l’appel à projets de l’Institut national du cancer (INCa) lancé en mai 2011 visant à organiser la prise en charge des patients adultes atteints de cancers rares autour de centres experts, le CHRU de Lille a été chargé d’organiser un réseau de 15 centres experts régionaux sur le MPM. Ce réseau national d’experts cliniciens, appelé MESOCLIN, vise à compléter la démarche du réseau MESOPATH d’experts anatomopathologistes du MPM, afin de constituer un ensemble cohérent de prise en charge de cette affection. Les deux réseaux gardent toutefois une existence propre et des systèmes d’information distincts que le présent traitement ne vise pas à interconnecter. Le traitement projeté poursuit les finalités suivantes: - Permettre, par la mise en place d’un dossier médical partagé, un partage coordonné d’informations médicales entre l’ensemble des acteurs qui prennent en charge les patients atteints de MPM.- Permettre l’organisation et la mise en œuvre des réunions de concertation pluridisciplinaire (RCP), de niveau régional ou national, qui permettent à des professionnels de santé de spécialités différentes de définir la stratégie diagnostique et thérapeutique la plus adaptée pour chaque cas examiné.- Améliorer la prise en charge et le suivi des patients, la coordination et la continuité des soins entre tous les
intervenants dans le cadre du réseau.- Harmoniser les outils diagnostics et les protocoles de bilan par l’élaboration de référentiels communs, afin de garantir une plus grande fiabilité et homogénéité des pratiques professionnelles et une meilleure évaluation de celles-ci.- Participer à la surveillance épidémiologique des MPM en facilitant leur déclaration auprès de l’Institut de veille sanitaire (InVS) dans les conditions prévues par le dispositif de surveillance des maladies à déclaration obligatoire.- Gérer un annuaire de professionnels de santé partenaires du réseau, réservé à l’usage interne du réseau.- Etablir des statistiques à partir de données préalablement anonymisées afin de produire des indicateurs d’activité et épidémiologiques. La Commission rappelle qu’il conviendra, le cas échéant, de se conformer aux dispositions des chapitres IX et X de la loi Informatique et Libertés.La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes au sens de l’article 6-2° de la loi Informatique et Libertés.Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi Informatique et Libertés qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données faisant l’objet d’un traitement sont : 
S’agissant des patients : 
des données d’identification (nom de naissance, nom d’usage, prénom, adresse, date de naissance, sexe et numéro d’identification dans le réseau) ; 
commune et code postal de résidence ;
des informations relatives à la vie personnelle (habitudes de vie et situation familiale), dans la seule mesure où ces données sont nécessaires à la prise en charge ;
des données de santé nécessaires aux réunions de concertation pluridisciplinaire et à la prise en charge thérapeutique (notamment l’histoire de la maladie et ses antécédents) ;
des données de santé nécessaires à la déclaration obligatoire du MPM selon le formulaire CERFA correspondant.
S’agissant des professionnels de santé : 
des données d’identification (nom, prénom, coordonnées professionnelles, spécialité et numéro d’inscription au répertoire partagé des professionnels de santé (RPPS) ;
les données de leur agenda relatives à leurs disponibilités pour l’organisation des RCP.
S’agissant des patients : 
des données d’identification (nom de naissance, nom d’usage, prénom, adresse, date de naissance, sexe et numéro d’identification dans le réseau) ; 
commune et code postal de résidence ;
des informations relatives à la vie personnelle (habitudes de vie et situation familiale), dans la seule mesure où ces données sont nécessaires à la prise en charge ;
des données de santé nécessaires aux réunions de concertation pluridisciplinaire et à la prise en charge thérapeutique (notamment l’histoire de la maladie et ses antécédents) ;
des données de santé nécessaires à la déclaration obligatoire du MPM selon le formulaire CERFA correspondant.
S’agissant des professionnels de santé : 
des données d’identification (nom, prénom, coordonnées professionnelles, spécialité et numéro d’inscription au répertoire partagé des professionnels de santé (RPPS) ;
les données de leur agenda relatives à leurs disponibilités pour l’organisation des RCP.
S’agissant des patients : 
des données d’identification (nom de naissance, nom d’usage, prénom, adresse, date de naissance, sexe et numéro d’identification dans le réseau) ; 
commune et code postal de résidence ;
des informations relatives à la vie personnelle (habitudes de vie et situation familiale), dans la seule mesure où ces données sont nécessaires à la prise en charge ;
des données de santé nécessaires aux réunions de concertation pluridisciplinaire et à la prise en charge thérapeutique (notamment l’histoire de la maladie et ses antécédents) ;
des données de santé nécessaires à la déclaration obligatoire du MPM selon le formulaire CERFA correspondant.
S’agissant des professionnels de santé : 
des données d’identification (nom, prénom, coordonnées professionnelles, spécialité et numéro d’inscription au répertoire partagé des professionnels de santé (RPPS) ;
les données de leur agenda relatives à leurs disponibilités pour l’organisation des RCP.
S’agissant des patients : 
des données d’identification (nom de naissance, nom d’usage, prénom, adresse, date de naissance, sexe et numéro d’identification dans le réseau) ; 
commune et code postal de résidence ;
des informations relatives à la vie personnelle (habitudes de vie et situation familiale), dans la seule mesure où ces données sont nécessaires à la prise en charge ;
des données de santé nécessaires aux réunions de concertation pluridisciplinaire et à la prise en charge thérapeutique (notamment l’histoire de la maladie et ses antécédents) ;
des données de santé nécessaires à la déclaration obligatoire du MPM selon le formulaire CERFA correspondant.
S’agissant des professionnels de santé : 
des données d’identification (nom, prénom, coordonnées professionnelles, spécialité et numéro d’inscription au répertoire partagé des professionnels de santé (RPPS) ;
les données de leur agenda relatives à leurs disponibilités pour l’organisation des RCP.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des informations sont les suivants : - Les professionnels de santé adhérant au réseau, dûment habilités et intervenant dans la prise en charge des patients, dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge ;- L’équipe de coordination du réseau sous la responsabilité du médecin coordinateur et dans le cadre strict de ses missions ; - Le médecin de l’hébergeur dans le cadre strict de ses missions.  La Commission considère que la liste des destinataires du traitement est appropriée au regard de la finalité du traitement.
Sur l’information et le droit d’accès
L’inclusion des patients dans le réseau et l’hébergement de leurs données auprès d’un hébergeur agréé de données de santé à caractère personnel requièrent le consentement éclairé et exprès du patient ou de ses représentants légaux. Ces derniers sont informés des modalités de prise en charge au sein du réseau, ainsi que des droits qui leur sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’une note d’information individuelle sous format papier, rédigée notamment pour assurer le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.Le consentement du patient à la création de son dossier, à l’hébergement de ses données auprès d’un hébergeur agréé et à l’examen de son dossier en RCP sera recueilli par un professionnel de santé en contact avec ce dernier à l’aide d’un document papier signé par le patient et formalisant son accord.Les patients peuvent exercer leurs droits d’accès et de rectification en adressant un courrier postal à l’administrateur ou au coordonnateur national du réseau. Les patients ont la possibilité de quitter le réseau à tout moment sans conséquence sur la qualité des soins qui leur sont dispensés et ils en sont clairement informés sur le support d’information précité.La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Les habilitations d’accès au dossier médical partagé sont définies par le patient.Le système d’information du réseau est hébergé par un prestataire qui satisfait aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique.Le contrôle des accès aux dossiers des patients s’effectue par l’utilisation d’une carte de professionnel de santé (CPS). Toutefois une authentification en mode « dégradé » à l’aide d’un identifiant/mot de passe est prévue en cas d’oubli ou de dysfonctionnement de la CPS. La Commission rappelle qu’un tel moyen d’authentification n’est pas conforme à l’exigence posée par l’article L. 1110-4 du code de la santé publique et ne devrait être utilisé que de manière exceptionnelle.L’ensemble des accès en création, modification, mise à jour et suppression sont tracés et conservés.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi Informatique et Libertés.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées jusqu’au terme de la prise en charge du patient. A l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.
Autorise, conformément à la présente délibération, le centre hospitalier régional universitaire de Lille à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1835788)
La Commission nationale de l'informatique et des libertés,
Saisie par la Direction Générale du Travail d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des dossiers d’établissements par les services de l’inspection du travail ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la convention n° 81 de l’Organisation Internationale du Travail ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du travail ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 9, 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Direction Générale du Travail (DGT) a saisi la Commission, le 24 février 2015, d’une demande d’autorisation relative à la mise en œuvre d’un traitement de données à caractère personnel dénommé « CAP SITERE » (contrôle, action, pilotage, système d’information travail en réseau) ayant pour finalité la gestion des dossiers d’établissements par les services de l’inspection du travail.
La Commission relève qu’en application des dispositions du Code du travail, l’inspection du travail contrôle l’application du droit du travail dans tous ses aspects : santé et sécurité, fonctionnement des institutions représentatives du personnel, durée du travail, contrat de travail et travail illégal. 
Concurremment avec les officiers de police judiciaire, les inspecteurs du travail constatent les infractions aux dispositions légales relatives au code du travail ou au régime du travail ainsi qu’aux stipulations des conventions et accords collectifs de travail et ils constatent également  les infractions mentionnées à l’article L.8112-2 du code du travail.
Enfin, dans certaines situations prévues par le Code du travail, l’inspection du travail possède un pouvoir de décision. Tel est le cas, par exemple, en ce qui concerne la décision d’autorisation ou de refus d’autorisation du licenciement des représentants du personnel (délégué du personnel, membre du comité d’entreprise, délégué syndical), des conseillers prud’hommes, des médecins du travail.
Au regard des missions de l’inspection du travail et de la nature des données collectées ou susceptibles de l’être, ce traitement relève des articles 8-IV et 25-I-1° de la loi du 6 janvier modifiée qui soumettent à autorisation les traitements justifiés par l’intérêt public faisant apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci.
Il convient également de faire application de l’article 25-I-3° de la loi qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations et mesures de sûreté.
Sur la finalité du traitement :
Le traitement CAP SITERE est une base de données nationale visant à centraliser les dossiers d’établissements comprenant les données relatives aux entreprises, aux chantiers et aux prestations de services. 
Cette application permet de préparer et de saisir les contrôles réalisés, de suivre les procédures judiciaires, de mutualiser des pratiques professionnelles et de gérer des agendas partagés.
En outre, les données issues de CAP SITERE permettent à la DGT d’assurer ses missions d’évaluation et de pilotage du système d’inspection du travail à travers le contrôle de l’activité collective des agents et le compte-rendu des actions réalisées devant le parlement au titre du budget opérationnel de programme : « amélioration de la qualité de l’emploi et des relations du travail ».
En effet, par application de l’article R. 8121-14 du code du travail, la Direction générale du travail « détermine les orientations de la politique du travail, coordonne et évalue les actions, notamment en matière de contrôle de l'application du droit du travail ». 
En outre, la DGT doit rendre compte de son activité de manière annuelle par la rédaction d’un rapport remis au Bureau International du Travail (BIT). Ce rapport doit notamment comporter « les statistiques des infractions commises et des sanctions imposées ».
La Commission relève que le suivi de l’activité sera fait sous forme de statistiques agrégées ne permettant pas d’identifier les personnes et prend acte du fait que le présent traitement n’a pas pour finalité le contrôle individuel des agents. 
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur la nature des données traitées :
Les données collectées dans le cadre du traitement CAP SITERE sont relatives : 
à la dénomination des entreprises (SIREN/SIRET, raison sociale, adresse, service ou atelier) ;
à l’identité des contacts dans l’entreprise (nom, prénom, fonction, téléphone, portable, fax, adresse mail) ;
à l’identification des salariés concernés par certaines procédures :
aux victimes d’accidents du travail (nom, prénom, sexe, catégorie socioprofessionnelle, adresse, nationalité, date de naissance, type d’accident, arrêt de travail, conséquence de l’accident, nature des lésions, siège des lésions et nature du contrat) ;
aux représentants du personnel élu ou désigné (nom, prénom, sexe, catégorie socioprofessionnelle, syndicat et mandat) ;
aux salariés protégés de par l’exercice d’un mandat représentatif faisant l’objet d’une demande d’autorisation de licenciement (nom, prénom, sexe, adresse, motif de la demande, existence ou non d’une mise à pied, catégorie socioprofessionnelle, syndicat et mandat) ;
à la situation professionnelle des salariés ;
aux données de santé dont les pathologies et les affections, données transmises par  la caisse nationale d’assurance maladie ;
à l’appartenance syndicale ;
à l’identité des personnes habilitées accompagnant l’agent de contrôle lors d’une intervention (nom, prénom, service) ;
à l’identité de la personne mise en cause dans un procès verbal d’infraction et aux infractions et condamnations correspondantes ;
à l’identité des agents (nom, prénom, service, adresse du service, numéro de section, fonction, téléphone, télécopie, adresse mail) ;
au compte rendu d’activité de l’agent de contrôle (nombre d’interventions et type d’intervention par thème, par programme et par campagne, nombre de suites à intervention et types de suites à intervention, réunions et information du public) ;
aux activités hors section (absence, congés formation) ;
aux relations avec l’usager (permanence et nombre de visiteurs reçus) ;
aux données de connexion des agents.
La Commission relève que les données de connexion des agents sont utilisées afin de retracer l’historique de dysfonctionnements informatiques et n’ont pas pour objet de contrôler l’activité des agents.
Elle prend acte du fait que l’exercice des missions légales de l’inspection du travail nécessite le recueil de données liées à l’état de santé, à l’appartenance syndicale des salariés, aux infractions à la législation du travail et aux condamnations des personnes mises en cause en vue de la constitution de dossiers d’établissement contenus au sein de l’application de CAP SITERE.
Elle relève également que seuls les médecins inspecteurs du travail ont accès aux données concernant la santé des salariés.
Cependant, les inspecteurs du travail sont amenés à prendre connaissance des données liées aux conséquences de l’état de santé des salariés sur leurs conditions de travail, notamment sur le fondement des avis d’inaptitude rédigés par le médecin du travail.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires ou les catégories de destinataires de ces informations sont, dans la limite de leurs attributions et dans la mesure où ils sont concernés, les services de l’inspection du travail, les sections centrales « travail », les directeurs départementaux et leurs adjoints, les directeurs régionaux et leurs adjoints ainsi que les personnes dûment habilitées en administration centrale.
La Commission considère que ces destinataires ont un intérêt légitime à connaître de ces données.
Sur la durée de conservation des données :
Les durées de conservation prévues pour le présent traitement sont les suivantes : 
pour les données d’identification des salariés : cinq ans en l’absence de procédure pénale, dix ans en cas de procès verbal d’infraction dressé par l’inspecteur du travail ;
pour les données liées à la situation professionnelle des salariés : cinq ans en l’absence de procédure pénale, dix ans en cas de procès verbal d’infraction dressé par l’inspecteur du travail ;
pour les données liées aux accidents du travail : cinq ans en l’absence de procès verbal d’infraction,  dix ans en cas de procès verbal d’infraction dressé par l’inspecteur du travail ;
pour les données liées aux maladies professionnelles : cinq ans en l’absence de procès verbal d’infraction, trente ans en cas de procédure pénale ou administrative contentieuse ;
cinq ans pour les données liées à l’appartenance syndicale ;
la durée de service de l’agent pour le compte rendu mensuel d’activité ;
une année pour les données de connexion.
La Commission considère au vu des justifications apportées par la DGT que ces durées de conservation n’excèdent pas la durée nécessaire aux finalités pour lesquelles les données sont collectées et traitées.
Sur l'information des personnes :
Les personnes concernées par le présent traitement sont informées du traitement, conformément à l’article 32 de la loi du 6 janvier modifiée.
Par ailleurs, la DGT s’engage à publier des mentions relatives au droit d’accès, de rectification et d’opposition pour motifs légitimes sur le portail internet de chaque Direction régionale des entreprises de la consommation de la concurrence, du travail et de l'emploi (DIRECCTE).
S’agissant des salariés, les droits d’accès, de rectification et d’opposition pour motifs légitimes s’exercent auprès du service d’inspection dont relève l’établissement où ils  travaillent.
Les agents de la DGT, quant à eux, sont informés du traitement à l’occasion de leur formation à l’utilisation de CAP SITERE.
Ils peuvent exercer leurs droits d’accès, de rectification auprès de l’administrateur local du Ministère du travail.
La Commission rappelle que les agents de la DGT doivent disposer d’une faculté d’opposition pour motifs légitimes à ce que des données à caractère personnel les concernant fassent l’objet d’un traitement, par application de l’article 38 de la loi du 6 janvier 1978 modifiée.
Sous cette réserve, la Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
La Commission observe que le contrôle d’accès logique à l’application CAP SITERE est effectué au moyen d’un compte utilisateur et par mot de passe (huit caractères minimum dont un caractère spécial et un chiffre).
Concernant l’authentification/identification des personnes habilitées à l’accès au traitement, la Commission rappelle qu’elle recommande des mots de passe de huit caractères minimum avec des caractères de types différents (majuscules, minuscules, chiffres, caractères spéciaux) et un renouvellement régulier tel que par exemple tous les six mois. 
Concernant l’authentification/identification des administrateurs, la Commission recommande des mots de passe de dix caractères minimum.
Les logiciels ou équipements informatiques font l’objet d’une télémaintenance (connexion distante sécurisée par VPN-IPSEC). La maintenance des matériels par un sous-traitant est faite en présence d’un informaticien de l’organisme.
La Commission prend acte du fait qu’une journalisation des accès à l’application est effectuée (horodatage de connexion, identifiants de l’utilisateur et du poste de travail) et que les journaux d’accès sont conservés durant une année glissante.
Sous réserve des observations de la Commission, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Dans ces conditions, la Commission autorise la Direction Générale du Travail à mettre en œuvre le traitement de données à caractère personnel dénommé « CAP SITERE » ayant pour finalité la gestion des dossiers d’établissements par les services de l’inspection du travail.
La Présidente
I. FALQUE-PIERROTIN