AgentPublic/cnil huggingface dataset:
habitudes de vie et comportements : exercice physique (intensité, fréquence, durée), régime et comportement alimentaire.
Le responsable de traitement doit mettre en place les mesures techniques adéquates afin que les données codées relatives aux patients soient séparées des autres données.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes habilitées à accéder aux données de matériovigilance sont :
le responsable de la matériovigilance au sein de la société, ainsi que ses collaborateurs placés sous sa responsabilité ;
le directeur médical ou son représentant, ainsi que toute personne dûment habilitée et placée sous sa responsabilité, dans la limite de ses attributions et pour ce qui la concerne ;
les personnes habilitées du service des affaires juridiques et des affaires réglementaires, en fonction des dossiers qu’elles ont à traiter dans le cadre de la gestion des réclamations ;
les prestataires de services intervenant pour le compte et sous la responsabilité de Bioserenity dans le cadre de son activité de matériovigilance, dans la limite de leurs fonctions, et dans les conditions définies par le contrat les liant à l’exploitant ;
les professionnels de santé concernés par le signalement ;
les organismes publics nationaux, communautaires ou étrangers en charge de la matériovigilance dans le cadre de l’exercice de leurs missions telles que définies par les textes : l’Agence nationale de sécurité du médicament et des produits de santé,  les autorités ou agences sanitaires nationales étrangères et les autorités ou agences sanitaires internationales.
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et les droits des personnes 
Les personnes concernées sont informées avec une mention sur les courriels et courriers. Un message similaire est délivré lors des contacts téléphoniques. Le cas échéant, des consignes sont données aux professionnels de santé ou associations afin qu’ils puissent délivrer l’information au patient.
Les droits prévus par la loi s’exercent auprès de la société BIOSERENITY.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur.
Le responsable de traitement doit mettre en place une politique de mots de passe conforme aux recommandations de la Commission (utilisation d’un mot de passe d’une longueur minimale de huit caractères et composé de trois types de caractères distincts avec mesures de blocage ou de ralentissement en cas d’essais infructueux ou douze caractères en l’absence de ces mesures).
La confidentialité des données et des sauvegardes est assurée par la mise en œuvre d’un dispositif de chiffrement.
Le traitement dispose d’une journalisation des accès.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la durée de commercialisation du dispositif et pendant une durée supplémentaire de dix ans. Au-delà de cette durée, les données sont supprimées ou archivées sous une forme anonymisée.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société BIOSERENITY à mettre en œuvre le traitement décrit ci-dessus.
Le Vice-Président Délégué
Marie-France MAZARS
(Demande d’autorisation n° 2079849)
La Commission nationale de l'informatique et des libertés,
Saisie par l’organisme SIACI Saint-Honoré SAS d’une demande d’avis concernant la mise en œuvre de la portabilité du régime de frais de santé des salariés intérimaires pendant leurs périodes de chômage ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale, notamment son article L. 911-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’accord du 14 décembre 2015 relatif au régime de frais de santé des salariés intérimaires ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
SIACI Saint-Honoré SAS (S2H) est un organisme français spécialisé dans le courtage, le conseil, la gestion et la formation en assurance 
S2H a été désigné comme l’opérateur de gestion délégué du régime collectif obligatoire et du régime complémentaire facultatif de frais de santé des salariés intérimaires dans l’Accord du 14 décembre 2015 relatif au régime de frais de santé des salariés intérimaires.
Sur la finalité
L’article L.911-8 du code de la sécurité sociale prévoit un maintien gratuit notamment de la protection complémentaire santé des demandeurs d’emploi indemnisés par le régime d’assurance chômage pendant une durée maximale d’un an à compter de la cessation du contrat de travail, sous réserve de présenter les justificatifs requis auprès de l’organisme assureur.
En application des articles 2 et 7 de l’accord du 14 décembre 2015 relatif au régime de frais de santé des salariés intérimaires, S2H est chargé de vérifier la condition d’activité antérieure nécessaire à l’affiliation des salariés intérimaires au régime collectif obligatoire et, le cas échéant, au régime complémentaire facultatif, créés par cet accord. Compte tenu de la réglementation de l’assurance chômage, les demandeurs d’emploi bénéficiant d’une ouverture de droits à l’assurance chômage remplissent nécessairement cette condition d’activité antérieure.
Le présent traitement vise à permettre au S2H de recueillir des pièces justificatives directement de Pôle emploi afin de faciliter la mise en œuvre de la portabilité du régime des frais de santé des salariés intérimaires. 
Seules les données des personnes ayant consenti à cette transmission d’informations entre Pôle emploi et le S2H pourront être échangées directement entre les deux organismes. S’agissant des personnes n’y ayant pas consenti, le S2H devra obtenir les pièces justificatives auprès des personnes qui les auront recueillies auprès de Pôle emploi.
La Commission estime que cette finalité est déterminée, précise et légitime.
Sur les données traitées
Le S2H adresse un fichier contenant les données d’identification des personnes concernées qui ont consenti à la transmission de données entre le S2H et Pôle emploi. Ce fichier d’appel contient :
le Numéro d’inscription au Répertoire national d’identification des personnes physiques (NIR) ;
le numéro interne au S2H ;
le nom ;
le prénom ;
la date de naissance.
 
Pôle emploi transmet ensuite au S2H les informations suivantes :
la mention « Non trouvé » le cas échéant ;
le numéro interne à l’organisme ;
la personne est inscrite sur la liste des demandeurs d’emploi : oui/non ;
la date d’inscription sur la liste des demandeurs d’emploi ;
la dernière demande d’allocation est en cours d’examen : oui/non ;
la dernière décision sur la demande d’allocation est un rejet car la charge de l’indemnisation incombe à un employeur du secteur public : oui/non ;
le demandeur d’emploi est indemnisé au titre de l’une des allocations visées : oui/non ;
le type d’allocation : libellé de l’allocation concernée ;
le demandeur d’emploi a déclaré au moins une heure de travail lors de la dernière actualisation : oui/non.
 Les éléments reçus de Pôle emploi permettent de justifier de la perception, par les personnes concernées, de l’allocation chômage. 
La Commission estime que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le responsable de traitement.
Sur les destinataires
Les données collectées ne sont transmises qu’à Pôle emploi afin de recueillir les informations nécessaires à l’établissement des droits des salariés intérimaires pendant les périodes de chômage.
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement. 
Sur l’information et le droit d’accès 
La Commission relève que la convention conclue entre Pôle emploi et le S2H prévoit que le S2H recueille le consentement des personnes concernées et les informe des modalités de transmission des données avec Pôle emploi.
L’information relative à l’échange des données est transmise via le formulaire de collecte des données ainsi que les mentions légales présentes sur le site du S2H.
S2H informe également les personnes qu’elles peuvent exercer leurs  droits d’accès, de rectification et d’opposition pour motif légitime auprès de la Direction des risques et de la Conformité du S2H s’agissant des données qu’elles ont directement fournies à S2H. Elles sont informées qu’en ce qui concerne les données fournies par Pôle emploi au S2H, les droits de rectification et d’opposition pour motif légitime s’exercent auprès de Pôle emploi.
La Commission considère que les modalités d’information et d’exercice des droits des personnes, décrites ci-dessus, sont satisfaisantes.
Sur les mesures de sécurité
Le responsable du traitement, en application de l’article 34 de la loi du 6 janvier 1978 modifiée, doit prendre toutes les précautions utiles pour préserver la sécurité des données collectées et traitées, au regard de la nature des données, des risques présentés par le traitement, et notamment empêcher que des tiers non autorisés y aient accès par l’intermédiaire de mesures de sécurité physiques, logiques et organisationnelles.
Pôle emploi et le S2H se sont engagés, par convention, à mettre en œuvre et à maintenir l’environnement technique opérationnel (procédures et mesures de sécurité) approprié à la sécurité des échanges, afin d’assurer notamment la protection des données transmises contre les risques d’accès non autorisés, de modification, de destruction ou de perte des données y figurant.
En l’espèce, la Commission relève l’existence de mesures de sécurité prises par S2H afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
Un mécanisme de gestion des habilitations permet de garantir que seules les personnes habilitées peuvent accéder aux données nécessaires à la réalisation de leurs missions. A cet égard, la Commission rappelle que la gestion des habilitations doit faire l’objet de procédures formalisées, validées par le responsable de traitement et portées à la connaissance des utilisateurs, et être régulièrement mise à jour. Elle rappelle également que les modalités d’authentification des utilisateurs doivent être conformes à ses recommandations, en matière notamment de mots de passe.
Des mesures techniques garantissent la sécurité et la confidentialité des données stockées ou échangées, en particulier lors des échanges opérés par l’intermédiaire d’un réseau non sécurisé tel qu’Internet. 
Un mécanisme de journalisation des accès à l’application et des opérations effectuées permet de détecter d’éventuels accès ou opérations non souhaitées ou interdites.
Enfin, des mesures nécessaires permettent d’assurer la maintenance du matériel et sa mise au rebut dans des conditions de sécurité satisfaisantes, en particulier s’agissant de l’absence de données à caractère personnel stockées dans les matériels remisés.
La Commission rappelle que l'usage d'outils ou de logiciels développés par des tiers dans le cadre de la mise en œuvre d'un traitement de données à caractère personnel reste sous la responsabilité du responsable de traitement qui doit notamment vérifier que ces outils ou logiciels respectent l'ensemble des obligations que la loi du 6 janvier 1978 modifiée met à sa charge. 
Elle rappelle également qu’un responsable de traitement conserve la responsabilité des données à caractère personnel communiquées ou gérées par ses sous-traitants et, le cas échéant, que le contrat établi entre les parties doit mentionner les objectifs de sécurité qu'un sous-traitant doit respecter.
La Commission rappelle enfin que l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées le temps de la relation contractuelle avec la personne concernée jusqu’à l’expiration de la durée de prescription légale.
La Commission estime que cette durée de conservation n’est pas excessive au regard de la finalité poursuivie par le traitement conformément aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, S2H à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(Demande d’autorisation n° 2112011)
La Commission nationale de l'informatique et des libertés,
Saisie par la Direction des Services départementaux de l’Education Nationale des Vosges d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi de l’absentéisme scolaire;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’éducation, notamment ses articles L. 131-8, R. 131-6 et R. 131-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment les articles 25-I-1 et 25-I-3 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la circulaire interministérielle n° 2014-154 du 24 décembre 2014 relative à la prévention de l’absentéisme scolaire ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Joëlle FARCHY, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Direction des Services Départementaux de l’Éducation Nationale des Vosges (DSDEN 88) a saisi la Commission d’une demande d’autorisation portant sur un traitement destiné à permettre « la gestion et le suivi de l’absentéisme scolaire » au sein des écoles et établissements d’enseignement du second degré, publics et privés sous contrat, dudit département ainsi qu’au sein de la DSDEN elle-même. La DSDEN 88, qui a déterminé les finalités et moyens de mise en œuvre du traitement, est le responsable de traitement.
Sur la finalité
La DSDEN 88 souhaite mettre en œuvre, au sein de son ressort de compétence, un traitement de données à caractère personnel destiné au suivi de l’absentéisme scolaire composé d’une application permettant d’assurer ce suivi de façon dématérialisée.
La lutte contre l’absentéisme scolaire est une obligation légale régie par les articles L. 131-8, R. 131-6 et R. 131-7  du code de l’éducation. Dès lors qu’un élève a manqué la classe plus de quatre demi-journées dans le mois sans motif légitime, au sens de l’article R.131-8 du code de l’éducation, ou excuses valables, au sens de l’article R. 131-7 dudit code, le directeur d’école ou le chef d’établissement doit réunir les membres de l’équipe éducative, dans le premier degré, ou de la commission éducative, dans le second degré, afin de proposer les mesures qui peuvent être prises pour remédier à cet absentéisme. Parallèlement à ces actions, le directeur de l’école ou le chef d’établissement doit saisir le Directeur Académique des Services de l’Education Nationale (DA-SEN) du dossier de l’élève absentéiste afin d’effectuer un signalement pour information ou pour avertissement. En fonction des éléments transmis par l’école ou l’établissement scolaire, le DA-SEN  adresse un avertissement à la famille de l’élève. Sauf dans le cas où le directeur de l’école ou le chef d’établissement précise qu’il n’est pas indiqué d’effectuer un avertissement, ce dernier est envoyé à la famille dès lors que les absences de l’élève dépassent les dix demi-journées. Cet avertissement peut s’accompagner d’une convocation de la famille à un entretien avec le DA-SEN au cours duquel sont abordés les enjeux de l’assiduité scolaire et les difficultés qui peuvent être rencontrées par l’élève. Le DA-SEN
peut également proposer des dispositifs d’accompagnement. Enfin, en ultime recours, dans l’hypothèse où l’absentéisme se poursuivrait malgré toutes les mesures d’accompagnement proposées, le procureur de la République peut être saisi des faits susceptibles d’être constitutifs de l’infraction de manquement à l’obligation d’assiduité scolaire prévue à l’article R. 624-7 du code pénal.
Dès lors, le traitement est susceptible de contenir des données relatives aux infractions dont les personnes concernées peuvent être l’auteur, et doit donc, conformément aux dispositions des 1° et 3° de l’article 25-I de ladite loi du 6 janvier 1978, être autorisé par la Commission.
Les dispositions mises en œuvre pour lutter contre l’absentéisme scolaire prévoient une action coordonnée des personnels de l’école ou de l’établissement scolaire dans lequel l’élève absentéiste est inscrit et du DA-SEN, ainsi qu’une circulation des informations relatives au suivi d’un élève et de sa famille.
Dans ce contexte, l’application créée par la DSDEN 88 a pour objectif d’inciter les directeurs et chefs d’établissement à mettre en œuvre un véritable accompagnement des élèves absentéistes et de leur famille en harmonisant et simplifiant les procédures de suivi de ces personnes. À cet égard, l’application permet notamment de générer des courriers types (courrier d’avertissement, courrier de convocation à un entretien) et des documents de contractualisation avec la famille, destinés à récapituler les mesures d’accompagnement mises en œuvres et à formaliser l’adhésion de la famille à celles-ci. En outre, elle doit également permettre à la DSDEN 88 de disposer d’une vue d’ensemble sur les mesures d’accompagnement proposées aux élèves absentéistes, afin de mieux piloter la prise en charge du défaut d’assiduité dans son ressort de compétence.
Cette application doit ainsi permettre un meilleur suivi en temps réel des actions et mesures d’accompagnement menées tant au niveau de l’établissement dans lequel est scolarisé l’élève qu’au niveau académique.
Le traitement poursuit également une finalité statistique, qui permet au responsable de traitement d’apprécier l’efficacité des mesures d’accompagnements mises en place pour lutter contre l’absentéisme scolaire et de transmettre au ministère de l’éducation nationale des données agrégées leur permettant de  mieux orienter les actions à mener en la matière.
La Commission considère dès lors que les finalités du traitement projeté par la DSDEN 88, qui permettent la mise en œuvre effective de la procédure de lutte contre l’absentéisme prévue par le code de l’éducation, sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données traitées concernent les élèves ayant manqué la classe sans motif légitime ni excuses valables, au moins quatre demi-journées complètes dans une période d’un mois, et faisant donc l’objet d’un suivi dans le cadre de la lutte contre l’absentéisme scolaire. 
Les données personnelles concernant un élève absentéiste sont relatives à : 
son identité,
son adresse,
le nombre et les causes de ses absences, 
le cas échéant, la saisine du procureur afin de lui signaler les faits susceptibles d’être constitutifs de l’infraction prévue à l’article R.624-7 du code pénal.
La Commission relève que le responsable de traitement n’a pas sollicité son autorisation pour enregistrer, dans l’application, des données ou  informations relatives à l’attitude de l’élève, telles que des faits de violence physique ou verbale ou des transgressions du règlement intérieur de l’établissement et qui pourraient être constitutives de données relatives aux infractions, au sens des articles 9 et 25-I-3° de la loi du 6 janvier 1978 modifiée. 
En revanche, la DSDEN 88 doit mentionner dans le traitement  l’éventuelle saisine du Procureur qui doit, conformément à l’article R. 131-7 du code de l'éducation, intervenir en cas de manquement à l’obligation d’assiduité scolaire. Or, ces informations sont constitutives de données relatives aux infractions, au sens des articles 9 et 25 précités. 
La DSDEN constitue une personne morale de droit public gérant un service public et agissant dans le cadre de ses attributions légales. Elle est dès lors habilitée, conformément à l’article 9-1° de la loi précitée, à mettre en œuvre un traitement portant sur de telles données. 
Au regard de ces éléments, la Commission considère que le traitement d’une telle donnée est justifié.
Le traitement de la DSDEN 88 contient également des informations relatives aux démarches effectuées par l’établissement et la DSDEN 88 auprès de la famille et de l’élève et aux mesures d’accompagnement mises en œuvre. Il s’agit de mentions renseignées dans  les sections « commentaires » et « objectifs » de  l’application relatives :
aux comptes rendus d’entretiens entre le chef d’établissement ou le conseiller principal d’éducation (CPE) et l’élève ou ses parents,
à l’envoi aux familles d’un courrier d’avertissement et/ou de convocation, 
au contrat passé entre l’établissement, l’élève et sa famille qui fait état des propositions et engagements pris par chacune des parties afin d’assurer le retour de l’élève en cours et améliorer son assiduité.
En outre, différents intervenants scolaires – médecins ou infirmiers, assistants sociaux, psychologue de l’Éducation nationale (PsyEN) – peuvent être amenés à rencontrer l’élève et à établir des rapports sur sa situation sociale, sur son état psychologique ou de santé. En effet, ces personnels participent à des réunions de commission dédiées à la lutte contre l’absentéisme scolaire, et  peuvent ainsi apporter leur éclairage sur la situation de l’élève et donner leurs avis sur les mesures adéquates à adopter. Seules ces mesures sont renseignées dans l’application de la DSDEN 88, les rapports confidentiels de ces personnels psycho-médico-sociaux ne relevant pas du présent traitement.