AgentPublic/cnil huggingface dataset:
à la vie personnelle (situation familiale, habitude de vie) ;
à la vie professionnelle (situation professionnelle) ;
aux informations d’ordre économique et financier (revenus, situation financière) dans les cas de maltraitance financière et d’abus de faiblesse ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance) ;
à la situation sociale ;
aux appréciations sur les difficultés sociales (parfois indiquées dans le cas d’un signalement de maltraitance) ;
à l’état de santé au moment du signalement (pathologies, antécédents familiaux, soins, situations à risque).
à l’identification de la personne en charge de la personne âgée ou de la personne handicapée (nom, prénom) ;
à l’identification du chef d’établissement (nom, prénom).
à l’identification des personnes concernées (nom, prénom, coordonnées) ;
à la vie professionnelle (situation professionnelle) ;
aux éléments d’ordre économique et financier (dans le cas de maltraitance financière et d’abus de faiblesse) ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance).
Lorsque la personne âgée ou la personne handicapée est prise en charge par un accueillant familial, les catégories de données collectées sur ce dernier sont relatives : 
à l’identité  et aux coordonnées des personnes, et le cas échéant à celles des membres de la famille ou de l’entourage susceptible d’être contacté ;
à la vie personnelle (situation familiale, habitudes de vie) ;
aux informations d’ordre économique et financier (dans le cadre d’aides sociales aux personnes âgées ou aux personnes handicapées, et en cas de maltraitance financière et d’abus de faiblesse) ;
à la situation sociale ;
aux appréciations sur les difficultés sociales (parfois indiquées dans le cas d’un signalement de maltraitance) ;
à l’état de santé (pathologies, affections, soins, situations ou comportements à risque).
à l’identification des personnes (nom, prénom, adresse, date et lieu de naissance) ;
à la vie personnelle (situation familiale, habitude de vie) ;
à la vie professionnelle (situation professionnelle) ;
aux informations d’ordre économique et financier (revenus, situation financière) dans les cas de maltraitance financière et d’abus de faiblesse ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance) ;
à la situation sociale ;
aux appréciations sur les difficultés sociales (parfois indiquées dans le cas d’un signalement de maltraitance) ;
à l’état de santé au moment du signalement (pathologies, antécédents familiaux, soins, situations à risque).
à l’identification de la personne en charge de la personne âgée ou de la personne handicapée (nom, prénom) ;
à l’identification du chef d’établissement (nom, prénom).
à l’identification des personnes concernées (nom, prénom, coordonnées) ;
à la vie professionnelle (situation professionnelle) ;
aux éléments d’ordre économique et financier (dans le cas de maltraitance financière et d’abus de faiblesse) ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance).
Lorsque la personne âgée ou la personne handicapée est accueillie au sein d’un établissement, les données collectées sont relatives :
à l’identité  et aux coordonnées des personnes, et le cas échéant à celles des membres de la famille ou de l’entourage susceptible d’être contacté ;
à la vie personnelle (situation familiale, habitudes de vie) ;
aux informations d’ordre économique et financier (dans le cadre d’aides sociales aux personnes âgées ou aux personnes handicapées, et en cas de maltraitance financière et d’abus de faiblesse) ;
à la situation sociale ;
aux appréciations sur les difficultés sociales (parfois indiquées dans le cas d’un signalement de maltraitance) ;
à l’état de santé (pathologies, affections, soins, situations ou comportements à risque).
à l’identification des personnes (nom, prénom, adresse, date et lieu de naissance) ;
à la vie personnelle (situation familiale, habitude de vie) ;
à la vie professionnelle (situation professionnelle) ;
aux informations d’ordre économique et financier (revenus, situation financière) dans les cas de maltraitance financière et d’abus de faiblesse ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance) ;
à la situation sociale ;
aux appréciations sur les difficultés sociales (parfois indiquées dans le cas d’un signalement de maltraitance) ;
à l’état de santé au moment du signalement (pathologies, antécédents familiaux, soins, situations à risque).
à l’identification de la personne en charge de la personne âgée ou de la personne handicapée (nom, prénom) ;
à l’identification du chef d’établissement (nom, prénom).
à l’identification des personnes concernées (nom, prénom, coordonnées) ;
à la vie professionnelle (situation professionnelle) ;
aux éléments d’ordre économique et financier (dans le cas de maltraitance financière et d’abus de faiblesse) ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance).
Enfin, lorsque la personne âgée ou la personne handicapée réside à son domicile, des données sont collectées sur l’intervenant à domicile et sont relatives :
à l’identité  et aux coordonnées des personnes, et le cas échéant à celles des membres de la famille ou de l’entourage susceptible d’être contacté ;
à la vie personnelle (situation familiale, habitudes de vie) ;
aux informations d’ordre économique et financier (dans le cadre d’aides sociales aux personnes âgées ou aux personnes handicapées, et en cas de maltraitance financière et d’abus de faiblesse) ;
à la situation sociale ;
aux appréciations sur les difficultés sociales (parfois indiquées dans le cas d’un signalement de maltraitance) ;
à l’état de santé (pathologies, affections, soins, situations ou comportements à risque).
à l’identification des personnes (nom, prénom, adresse, date et lieu de naissance) ;
à la vie personnelle (situation familiale, habitude de vie) ;
à la vie professionnelle (situation professionnelle) ;
aux informations d’ordre économique et financier (revenus, situation financière) dans les cas de maltraitance financière et d’abus de faiblesse ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance) ;
à la situation sociale ;
aux appréciations sur les difficultés sociales (parfois indiquées dans le cas d’un signalement de maltraitance) ;
à l’état de santé au moment du signalement (pathologies, antécédents familiaux, soins, situations à risque).
à l’identification de la personne en charge de la personne âgée ou de la personne handicapée (nom, prénom) ;
à l’identification du chef d’établissement (nom, prénom).
à l’identification des personnes concernées (nom, prénom, coordonnées) ;
à la vie professionnelle (situation professionnelle) ;
aux éléments d’ordre économique et financier (dans le cas de maltraitance financière et d’abus de faiblesse) ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance).
Les informations traitées permettent uniquement aux personnels compétents du Département et au Procureur de la République de prendre connaissance de la procédure en cours.
Les informations relatives aux dossiers de maltraitance (faits allégués ou observés, actions et suivis mis en œuvre) ne sont accessibles qu’aux personnels habilités à instruire les signalements de maltraitance.
Les données de santé sont collectées avec le consentement exprès des personnes concernées sauf impossibilité.
La Commission prend acte que les données relatives aux appréciations sur les difficultés sociales ne sont pas collectées dans le cadre de l’élaboration  d’un suivi social des personnes concernées. Leur collecte est réalisée seulement lorsque cela permet à l’ARS d’apprécier la situation sociale de la personne, en cas de signalement.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée, dès lors qu’elles s’avèrent nécessaires et proportionnées dans le cadre du présent traitement.
Sur les destinataires
Peuvent avoir accès aux données, les personnes et organismes qui, en raison de leurs fonctions et des missions qui leur sont confiées par la loi, interviennent dans la lutte contre les maltraitances des personnes âgées ou des personnes handicapées et à ce titre, sont susceptibles d’être destinataires de signalements. 
Peuvent ainsi avoir accès aux données :
les agents habilités du Département ;
l’Agence régionale de santé (ARS), en ce qui concerne le signalement de maltraitance en établissement de compétence conjointe ; 
le Procureur de la République, le cas échéant ;
le préfet, le cas échéant.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes sont informées conformément à l’article 32 de la loi du 6 janvier 1978 par des mentions légales figurant sur le site web du Département des Alpes-Maritimes.Une information par voie d’affichage est également prévue dans les locaux du Département accueillant du public.Enfin, les courriers adressés aux personnes concernées comportent une mention informative en bas de page.Les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès du Correspondant informatique et libertés du Département des Alpes-Maritimes mais les demandes sont traitées, in fine, par la Direction générale adjointe du Développement des solidarités humaines (DGA DSH) du Département. La Commission considère que ces modalités d’information et d’exercice des droits des personnes, décrites ci-dessus, sont satisfaisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique sont mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe renouvelés tous les trois mois et constitués de huit caractères dont trois spéciaux, avec un historique de cinq mots de passe non réutilisables.La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.Les échanges de données effectués sur Internet sont sécurisés par des procédés de chiffrement de transport des données.Des profils d’habilitations, encadrant les accès aux données et aux fonctionnalités du système d’information, sont définis en fonction des missions et attributions des utilisateurs.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier  1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité  au regard de la réévaluation régulière des risques.
 Sur les autres caractéristiques du  traitement
Les données sont conservées pendant la durée de l’instruction et jusqu’à épuisement des voies de recours. La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, le Conseil départemental des Alpes-Maritimes à mettre en œuvre le traitement susmentionné.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS
(Demande d’autorisation n° 1928601)
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des affaires sociales et de la santé d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’une enquête nationale de santé auprès des élèves scolarisés en classe de troisième ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-7° et 25-I ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’avis de conformité et l’attribution du label d’intérêt général et de qualité statistique émis par le Comité du label de la statistique publique du Conseil national de l’information statistique le 22 février 2016 sous le numéro 131/L002/Label ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission a été saisie le 8 février 2016 par la direction de la recherche, des études, de l'évaluation et des statistiques (DREES) du ministère des affaires sociales et de la santé d’une demande d’autorisation relative à la mise en place d’une enquête portant sur la santé d’adolescents scolarisés en classe de troisième.
Responsable du traitement
La DREES du ministère des affaires sociales et de la santé.
Sur la finalité
La finalité du traitement est de réaliser une enquête statistique nationale de santé auprès des élèves scolarisés en classe de troisième, afin d’éclairer l’action publique sur la santé des adolescents et de mettre en évidence d’éventuelles inégalités sociales de santé.Ce traitement s’inscrit dans le cadre d’un dispositif d’enquêtes menées en milieu scolaire sur trois niveaux (la grande section de maternelle, le cours moyen deuxième année et la classe de troisième). Ces enquêtes constituent l’un des objectifs prioritaires du contrat-cadre de partenariat en santé publique entre les ministères en charge de la santé et de l’éducation nationale.Sans caractère obligatoire, l’enquête sera réalisée entre les mois de septembre 2016 et juin 2017 et portera sur un échantillon de 11 000 élèves scolarisés en classe de troisième dans les établissements publics et privés de la métropole et des départements d’Outre-mer. La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-II-7° et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à une autorisation de la Commission les traitements statistiques réalisés par l’un des services statistiques ministériels dans le respect de la loi        n° 51-711 du 7 juin 1951 sur l’obligation, la coordination et le secret en matière de statistiques.
Sur les données traitées et les modalités de la collecte
L’enquête a donné lieu à un avis du Comité du label de la statistique publique qui a attribué le label d’intérêt général et de qualité statistique à l’enquête.S’agissant des données traitéesLes données appelées à faire l’objet d’un traitement sont celles relatives aux adolescents qui participent à l’enquête, ainsi qu’à leurs responsables légaux.S’agissant des adolescents, il est prévu que les informations seront recueillies par les personnels de santé de l’éducation nationale, d’une part,  par le biais d’un « questionnaire principal » portant sur le mois et l’année de naissance, le sexe, l’identifiant de l’établissement scolaire, le département de résidence, les habitudes de vie, la situation familiale et la santé (données staturo-pondérales, données relatives à la vision, à l’audition, à la santé bucco-dentaire, respiratoire et à la couverture vaccinale), et d’autre part, par le biais d’un « auto-questionnaire » renseigné par les adolescents eux-mêmes, portant notamment sur la fréquence de la consommation éventuelle de cigarettes, de cannabis et d’alcool, sur d’éventuels actes de mutilation, d’éventuels troubles du comportement alimentaire, pensées ou tentatives de suicide. Par ailleurs, il est prévu que certaines des données seront extraites du carnet de santé de l’adolescent (le poids et la taille à la naissance, à la sixième année, le statut vaccinal).S’agissant du (ou des) parent(s) de l’adolescent participant à l’enquête ou des adultes avec lesquels il vit, leur
situation professionnelle sera également collectée.La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément à l’article 6-3° de la loi Informatique et Libertés.S’agissant des modalités de la collecteLes personnels de santé de l’éducation nationale                           (infirmiers ou médecins) renseignent le « questionnaire principal » et disposent d’une table de correspondance entre les nom et prénom des adolescents participant à l’enquête et le numéro d’ordre attribué à chacun d’entre eux. L’adolescent renseigne seul « l’auto-questionnaire » sur sa santé mentale et le glisse dans une enveloppe cachetée qui est remise au personnel de santé de l’éducation nationale.Ces documents sont ensuite adressés aux infirmiers coordonnateurs des services départementaux. Ces derniers les adresseront par voie postale pour saisie informatique à un prestataire qui les transmettra ensuite à la DREES.La Commission en prend acte et rappelle, s’agissant du recours à un sous-traitant pour la saisie des informations, qu’un contrat doit être établi avec le responsable de traitement dans des conditions qui doivent satisfaire à l’article 35 de la loi Informatique et Libertés.
Sur les destinataires
Les données collectées seront rendues accessibles aux partenaires de l’enquête (l’Agence nationale Santé publique France, la Direction de l'Evaluation, de la Prospective et de la Performance du ministère de l’éducation nationale, le Réseau Quételet), sous un identifiant non signifiant à l’exception de l’identifiant de l’établissement scolaire et du département de résidence des adolescents.Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les adolescents participant à l’enquête seront informés du caractère facultatif de leur participation, oralement par les infirmiers enquêteurs et par écrit sur la première page de l’auto-questionnaire, de leur droit de ne pas répondre à certaines questions, ainsi que du caractère confidentiel des réponses qui ne seront lues par aucune personne de l’établissement.Afin de garantir le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, le ou les titulaires de l’autorité parentale seront informé(s) de l’enquête par l’envoi d’un courrier ou courriel d’information par les infirmiers de l’établissement scolaire concerné. Les représentants légaux sont informés qu’en cas d’opposition à la participation de leur enfant à l’enquête, ils sont invités à renvoyer un coupon-réponse à ce même professionnel de santé.La Commission prend acte de ce que la note d’information adressée aux parents sera modifiée afin de préciser le délai pendant lequel les représentants légaux sont invités à faire connaître, le cas échéant, leur opposition, ce délai étant fixé à 10 jours ouvrés. Le droit d’accès s’exerce par écrit auprès de l’infirmier de l’établissement scolaire ayant mené l’enquête.A cet égard, la Commission relève que les modalités d’exercice du droit d’accès des représentants légaux tel que prévu par l’enquête limitent celui-ci aux résultats des examens effectués par le professionnel de santé. Elle rappelle que ce droit doit porter sur l’ensemble des données à
caractère personnel faisant l’objet du traitement et invite le ministère à adapter en conséquence les documents diffusés pour l’enquête.
Sur les mesures de sécurité
Les questionnaires transmis à la DREES sous pli confidentiel seront conservés dans un local fermé à clef. Le seul ordinateur donnant accès aux données saisies sera accessible par l’utilisation d’une carte à puce personnelle associée à un code secret, attribuée à l’agent habilité de la  DREES lors de sa prise de fonction et reprise lors de son départ.La Commission prend acte de ce que les transferts des données vers les partenaires sont chiffrés au moyen d’un algorithme asymétrique, impliquant l’utilisation d’une clé publique et d’une clé privée. La Commission recommande au responsable de traitement de mettre en œuvre les moyens nécessaires pour assurer la sécurité de cette paire de clés et notamment la confidentialité de la clé secrète et l’authenticité de la clé publique.Sous réserve de ces observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données de l’enquête sont conservées pendant un an à compter de leur collecte.A l’expiration de ce délai, les données sont archivées sous une forme ne permettant pas la réidentification des personnes concernées. La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, la Direction de la recherche, des études, de l'évaluation et des statistiques du ministère des affaires sociales et de la santé à mettre en œuvre le traitement susmentionné.
Pour La Présidente,
Le Vice-Président délégué,
La présidente
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés, Saisie par la direction générale du travail d'une demande d'avis  concernant la mise en œuvre d'un traitement de données à caractère  personnel dénommé  SIPSI  ; Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu la directive 2014/67UE du Parlement européen et du Conseil du 15  mai 2014 relative à l'exécution de la directive 96171/CE du 16 décembre  1996 concernant le détachement de travailleurs effectué dans le cadre  d'une prestation et modifiant le règlement (UE) n° 1024/2012 concernant  la coopération administrative par l'intermédiaire du système  d'information du marché intérieur ; Vu le  code du travail, notamment ses articles L. 1262-2-1 et suivants ainsi que ses articles R. 1263-1 et suivants ; Vu le  code des transports et notamment ses articles L. 1331-1 et suivants ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 (2°, d) et 27-II (4°) ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et
aux libertés ; Après avoir entendu Mme Marie-France MAZARS, commissaire, en son  rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses  observations,