AgentPublic/cnil huggingface dataset:
Considérant que le Président de la CNIL a adressé le 31 août 1992, une lettre au directeur du centre de transfusion sanguine afin de recueillir ses observations sur les faits allégués, et le rappeler au respect des dispositions de la loi du 6 janvier 1978 et notamment de l'article 36, que cette lettre ainsi que deux correspondances sont successivement demeurées sans réponse ; que la Commission a en conséquence, décidé, par délibération du 15 juin 1993, de procéder à une vérification sur place auprès du centre de transfusion sanguine de [...] ;
Considérant que cette mission de vérification n'a pas permis d'établir avec certitude si cette mention avait pu figurer sur la fiche du plaignant et sur le traitement informatique des donneurs géré par le centre de transfusion sanguine ; qu'il a pu être constaté, en tout état de cause, lors de la vérification, que cette mention n'y figurait pas ;
Considérant que ladite mission a révélé que l'accès à ce traitement n'était protégé par aucune procédure d'identification et d'authentification individuelles et qu'il n'existait qu'un mot de passe commun à tous les médecins pour valider certaines informations ;
Considérant en outre que si le centre de transfusion sanguine de [...] avait saisi la CNIL, le 30 mai 1988, d'une demande d'avis sur un traitement automatisé d'informations nominatives concernant les donneurs de sang, il n'avait pas répondu aux demandes de compléments présentées par les services de la CNIL qui avaient notamment appelé son attention sur la nécessité de décrire les mesures de sécurité, non précisées dans le dossier ;
Considérant en effet, que ces demandes sont demeurées sans réponse jusqu'à la mission de vérification sur place ;
Considérant qu'à la suite de cette mission, le Président de la CNIL a de nouveau appelé l'attention du déclarant sur l'obligation de prendre toutes précautions utiles afin de préserver la sécurité des informations et notamment d'empêcher qu'elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés ; qu'à cet effet des recommandations lui ont été adressées ;
Considérant que le 18 novembre 1993, le directeur du centre de transfusion sanguine a fait parvenir une nouvelle demande d'avis comportant un descriptif des mesures de sécurité qui ne répond que partiellement aux demandes antérieures formulées par la CNIL ;
Adresse un avertissement au directeur du centre de transfusion sanguine de [...], en application de l'article 21, alinéa 4 de la loi du 6 janvier 1978, afin que les mesures de sécurité préconisées par la CNIL, compte tenu de la nature du traitement considéré, soient prises dans les meilleurs délais.
Jacques FAUVET
La Commission Nationale de l'Informatique et des Libertés,   Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, ainsi que son décret d'application n° 78-774 du 17 juillet 1978 ;   Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;   Vu le décret n° 62-1587 du 29 décembre 1962 portant règlement général sur la comptabilité publique ;   Vu le décret n° 81-371 du 15 avril 1981 relatif à la tenue automatisée des comptabilités de l'Etat ;   Vu la circulaire du 3 décembre 1984 relative à l'ordonnancement secondaire et aux délégations de signature ;   Vu le projet d'arrêté du ministre du budget, porte-parole du Gouvernement ;   Après avoir entendu Monsieur Christian DUPUY en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant que la Direction de la Comptabilité Publique a saisi la Commission Nationale de l'Informatique et des Libertés d'une demande d'avis relative à un système informatique dénommé NDL (Nouvelle Dépense Locale), dont la finalité consiste en l'exécution des dépenses de fonctionnement et d'investissement de l'Etat qui sont décidées au niveau déconcentré par les ordonnateurs secondaires de droit ou délégués (préfets de région ou de département, directeurs régionaux et départementaux des services extérieurs de l'Etat, ordonnateurs secondaires à vocation nationale), depuis la mise en place des crédits budgétaires jusqu'à la mise en règlement des dépenses ;   Que toutefois n'est pas assuré par NDL le versement des salaires des personnels de l'Etat et des pensions publiques, qui fait l'objet d'applications spécifiques ;   Considérant que l'application intègre l'ensemble des phases d'exécution de la dépense de l'Etat qui ont une traduction comptable ; qu'elle a pour objet de favoriser un meilleur contrôle de la dépense par les comptables publics, en permettant un suivi des délégations d'autorisations budgétaires, des opérations d'investissement, des marchés publics et du fonctionnement des régies, ainsi qu'une automatisation des contrôles purement réglementaires ; que la validation par les comptables des dépenses s'effectue toutefois au vu des pièces justificatives transmises parallèlement par l'ordonnateur sur support papier ;   Considérant, en outre, que NDL facilite la
prise en compte des oppositions concernant des créances de l'Etat, qui ont été préalablement notifiées aux services du Trésor ; qu'enfin, sont entièrement automatisées les opérations de mise en règlement et la tenue des comptabilités administratives des ordonnateurs et des comptabilités budgétaires des trésoreries générales ;   Considérant que NDL utilise des bases de données régionales, implantées à terme dans chaque département informatique régional du Trésor, qui doivent comporter les fichiers suivants : créanciers, marchés publics, régies, dépenses sans ordonnancement, mandatements, créanciers opposants, créanciers opposés, règlement des oppositions, ordres de paiement ;
Considérant que, si l'on excepte les données relatives aux oppositions et aux paiements réalisés, les informations sont saisies par ou pour le compte des ordonnateurs secondaires, soit directement dans NDL, soit dans l'applicatif spécifique de liquidation mis à leur disposition ; que dans cette dernière hypothèse, l'intégration du résultat des opérations de liquidation dans NDL s'effectue, soit par interconnexion des deux traitements, soit via une messagerie électronique ;   Considérant que les catégories d'informations enregistrées sont :   - les nom, prénom (ou raison sociale) et adresse des créanciers,   - un numéro de créancier, qui consiste soit dans le numéro SIREN/SIRET, soit dans le numéro d'exploitation agricole attribué par la mutualité sociale agricole (en l'absence d'un n° SIREN), soit dans un numéro séquentiel propre au service ordonnateur,   - le type de créancier,   - un code pays, pour les créanciers non résidents,   - la domiciliation bancaire,   - les sommes dues,   - les règlements effectués et le mode de règlement,   - les oppositions rattachées aux créances et notifiées au comptable ;   Considérant que l'article 2 du projet d'arrêté, qui énumère les catégories d'informations traitées, doit être complété afin de reprendre la totalité de la liste précitée ;   Considérant qu'au 31 décembre de chaque année, les enregistrements relatifs aux créanciers, pour lesquels aucun règlement n'est intervenu depuis 24 mois, sont automatiquement effacés ;
Considérant que les destinataires des informations sont :   - les agents habilités des services ordonnateurs secondaires concernés,   - les agents habilités du service contrôle financier local - dépense de la Trésorerie générale, placés sous l'autorité d'un Trésorier-Payeur général,   - la Banque de France, au travers des fichiers de virements magnétiques que lui remettent les départements informatiques régionaux du Trésor pour traitement en compensation ;   Considérant que les mesures de sécurité sont satisfaisantes ;   Considérant que le droit d'accès et de rectification s'exercera principalement auprès du service ordonnateur, seul habilité à mettre à jour les informations qu'il enregistre ; que seules les données relatives aux oppositions et aux paiements effectués, gérées par les services extérieurs du Trésor, font exception à cette règle ;   Considérant que la Direction de la Comptabilité Publique informera les services déconcentrés utilisateurs de l'application, qu'il leur appartient de préciser aux créanciers de l'Etat les modalités d'exploitation des informations les concernant, ainsi que les conditions d'exercice du droit d'accès et de rectification ; que cette information devra principalement être assurée par les services ordonnateurs, seuls à être en relation avec les créanciers ;   Considérant que les modalités pratiques d'information des créanciers devront être communiquées à la Commission par les services ordonnateurs, dans le cadre de leur demande d'avis
relative à la mise en oeuvre des applications de liquidation des dépenses ou à leur interconnexion avec NDL ;   Considérant en revanche, en ce qui concerne les informations relatives aux oppositions, qu'il appartient aux comptables publics d'informer individuellement les créanciers opposants et opposés de leur droit d'accès et de rectification ;
EMET un avis favorable au projet d'arrêté ministériel relatif au traitement automatisé NDL, sous réserve que :   - l'énumération des catégories d'informations enregistrées figurant à l'article 2 du projet d'arrêté soit complétée conformément à la liste donnée par la présente délibération,   - les services extérieurs du Trésor informent individuellement les créanciers opposants et opposés de leur droit d'accès et de rectification.   Le Président, Jacques FAUVET.
La Commission Nationale de l'Informatique et des Libertés ;   Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;   Vu la loi n° 84-52 du 26 janvier 1984 sur l'enseignement supérieur modifiée ;   Vu la loi n° 89-486 du 10 juillet 1989 d'orientation sur l'éducation ;   Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 ;    Vu le décret n° 85-924 du 30 août 1985 modifié relatif aux établissements publics locaux d'enseignement ;   Vu le décret n° 86-164 du 31 janvier 1986 modifié portant organisation administrative et financière des établissements d'enseignement dont la responsabilité et la charge incombent entièrement à l'Etat et dispositions diverses applicables aux établissements d'enseignement du second degré municipaux ou départementaux ;    Vu le projet d'arrêté portant création du traitement SAGACES ;   Vu le projet de décret pris en application de l'article 18 de la loi du 6 janvier 1978 relatif à l'utilisation du répertoire national d'identification des personnes physiques dans le traitement de gestion des concours et examens scolaires ;   Après avoir entendu Monsieur Marcel Pinet, Commissaire, en son rapport et Madame Charlotte-Marie Pitrat, Commissaire du Gouvernement, en ses observations ;
I - Sur le projet d'arrêté portant création du traitement    Considérant que la CNIL est saisie, par le ministère de l'éducation nationale, d'une demande d'avis créant un modèle-type concernant la mise en oeuvre d'un traitement automatisé d'informations nominatives dénommé "SAGACES" ;   Considérant que le traitement a pour finalité la gestion des opérations ayant trait à l'organisation des examens et concours scolaires (diplômes comptables supérieurs, brevets de technicien supérieur, baccalauréat du second degré, baccalauréats technologiques et professionnels) ;    Considérant que les catégories d'informations nominatives enregistrées sur les candidats aux examens concernent : l'identité, le numéro élève, le numéro d'inscription au répertoire (numéro INSEE), la nationalité (française / étrangère) , le code socio-professionnel, l'existence d'un handicap (0/N), l'établissement fréquenté, l'origine scolaire, le niveau de diplôme possédé ; que ces données sont conservées pendant la durée de la session de l'examen soit environ une année ;   Considérant que les destinataires des données sont, dans la limite de leurs attributions, les agents habilités des établissements publics et privés d'enseignement, des rectorats et directions départementales des services de l'éducation nationale, des universités ; que la presse reçoit également les informations relatives aux résultats en vue de leur diffusion ;    Considérant que les candidats aux examens peuvent exercer leur droit d'accès
aux données nominatives les concernant figurant dans le traitement auprès des services des rectorats ou directions départementales des services de l'éducation nationale chargés de l'organisation des examens ;    Considérant que la responsabilité de la mise en oeuvre du traitement incombe selon le cas au rectorat ou aux directions départementales des services de l'éducation nationale, responsables de l'organisation et du déroulement de l'examen ; que l'organisme concerné devra adresser à la CNIL une déclaration de conformité se référant au présent modèle, à laquelle sera jointe une annexe sur les mesures prises pour garantir la confidentialité des données traitées ;
II - Sur le projet de décret pris en application de l'article 18 de la loi du 6 janvier 1978 :   Considérant que le traitement SAGACES enregistre le numéro INSEE des candidats lors de leur inscription au baccalauréat ;   Considérant qu'en application de l'article 18 de la loi du 6 janvier 1978, toute utilisation du répertoire national d'identification des personnes physiques, en vue d'effectuer des traitements nominatifs est autorisée par décret en Conseil d'Etat, pris après avis de la Commission ; que le traitement du numéro d'inscription au répertoire (NIR), en dehors même de toute consultation directe du répertoire, doit être regardé comme une utilisation dudit répertoire au sens de l'article 18 précité et doit être en conséquence autorisé par décret en Conseil d'Etat ;   Considérant que le projet de décret soumis à la Commission a pour objet d'autoriser le ministère de l'éducation nationale à enregistrer et utiliser le NIR dans le système SAGACES pour les années scolaires 1993-1994 et 1994-1995 ; que cette utilisation permet de gérer les examens du baccalauréat, et également d'alimenter le système EFU géré par le ministère de l'enseignement supérieur ;   Considérant que cette autorisation est sollicitée pour une période limitée de deux ans, correspondant à la durée d'existence du traitement EFU ; qu'il y a lieu dans ces conditions d'autoriser cette utilisation du NIR pour les seules années scolaires 1993-1994 et 1994-1995 ;
Emet un avis favorable au projet d'arrêté portant création du traitement "SAGACES" ;    Emet un avis favorable au projet de décret relatif à l'utilisation du répertoire national d'identification des personnes physiques dans le cadre du traitement précité.   Le Président, Jacques FAUVET.
La Commission Nationale de l'Informatique et des Libertés,   Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet pris pour son application ;   Vu l'article 378 du code pénal relatif au secret professionnel ;   Vu l'ordonnance n° 67-706 du 21 août 1967 relative à l'organisation administrative de la sécurité sociale et son décret d'application n° 67-1232 du 27 décembre 1967, modifié ;   Vu l'article L. 161-28 du code de la sécurité sociale ;   Vu le décret n° 85-420 du 3 avril 1985, relatif à l'utilisation du Répertoire national d'identification des personnes physiques par des organismes de sécurité sociale et de prévoyance ;   Vu les délibérations n° 86-91 du 8 juillet 1986 et n° 90-84 du 26 juin 1990, relatives à l'expérimentation du système SESAM ;   Vu les délibérations n° 89-113 du 10 octobre 1989 et n° 93-30 du 23 mars 1993, relatives à l'expérimentation d'une carte d'assuré social à microprocesseur, dénommée "VITALE" ;   Vu le projet d'acte réglementaire modificatif présenté par le Conseil d'Administration de la Caisse Nationale d'Assurance Maladie des Travailleurs Salariés ;   Après avoir entendu Monsieur André PERDRIAU en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que la Caisse Nationale d'Assurance Maladie des Travailleurs Salariés (CNAMTS) a demandé à la Commission Nationale de l'Informatique et des Libertés de l'autoriser à poursuivre, pendant une nouvelle période de trois ans, l'expérimentation du système de saisie dénommé SESAM, dans la circonscription des caisses de Bayonne, Blois, Boulogne-sur-Mer, Charleville-Mézières, Evreux, Lens et Rennes ;   Considérant que la CNAMTS s'est engagée à ce que cette expérimentation se déroule dans des conditions identiques à celles préalablement définies dans les délibérations précitées des 8 juillet 1986 et 26 juin 1990 ;   Considérant que la Commission devra être saisie d'une demande d'avis dans le cas où une extension de l'application et des finalités du système automatisé expérimental de saisie viendrait à être envisagée ;   Considérant qu'au début de chaque année un bilan global, établi par la CNAMTS à partir de critères d'évaluation identiques pour chaque site d'expérimentation, devra lui être présenté ;
   Emet un avis favorable au renouvellement pour trois ans de l'expérimentation du traitement "SESAM" par les sept caisses primaires d'assurance maladie choisies à cet effet et précitées.   Le Président, Jacques FAUVET.
La Commission Nationale de l'Informatique et des Libertés,   Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'Informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet pris pour son application ;   Vu l'article 378 du code pénal relatif au secret professionnel ;   Vu l'ordonnance n° 67-706 du 21 août 1967 relative à l'organisation administrative de la sécurité sociale et son décret d'application n° 67-1232 du 27 décembre 1967, modifié ;   Vu les dispositions de l'article L. 611-4 du code de la sécurité sociale relatives à la Caisse Nationale d'Assurance Maladie des Professions Indépendantes ;   Vu le décret n° 85-420 du 3 avril 1985, relatif à l'utilisation du Répertoire national d'identification des personnes physiques par des organismes de sécurité sociale et de prévoyance ;   Vu la délibération n° 93-096 du 19 octobre 1993 relative à la mise en oeuvre du traitement SAGA ;   Vu le projet de décision présenté par le Conseil d'Administration de la Caisse Nationale d'Assurance Maladie des Professions Indépendantes (CANAM) ;   Après avoir entendu Monsieur André PERDRIAU en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que la Caisse Nationale d'Assurance Maladie des Professions Indépendantes (CANAM) a saisi la Commission Nationale de l'Informatique et des Libertés d'une demande d'avis relative à la mise en place d'un traitement automatisé d'informations nominatives dénommé IRIS ;   Considérant que ce traitement a pour finalité les échanges d'informations relatifs à la facturation des prestations entre les organismes conventionnés et les partenaires de santé, qu'il s'agisse de praticiens ou d'établissements de soins ;   Considérant qu'il prend en compte à la fois les informations envoyées par le partenaire de santé à l'organisme conventionné et celles que celui-ci transmet en retour au même partenaire de santé ;   Que dans ces conditions le traitement IRIS permet de réceptionner les informations inscrites sur la facture papier en provenance des partenaires de santé, d'effectuer la tarification, l'ordonnancement et les contrôles comptables, d'alimenter le système de liquidation des prestations afin d'assurer la mise en paiement des factures, et enfin de retourner à l'émetteur les renseignements concernant le paiement de ses frais ;   Considérant qu'à terme le système IRIS a vocation à s'appliquer systématiquement, qu'une dispense d'avance des frais soit consentie ou non à l'assuré ;
Considérant que les informations échangées, y compris le numéro d'inscription au répertoire des personnes physiques, sont adéquates, pertinentes et non excessives par rapport à la finalité poursuivie, en ce qu'elles sont identiques à celles inscrites sur les feuilles de soins ou sur les autres pièces réglementaires habituellement transmises aux organismes conventionnés ;   Considérant que les normes de transmission utilisées pour mener à bien ces échanges sont d'ores et déjà adaptées au codage des actes en nature et à l'enregistrement de l'identification des médicaments, mais qu'en l'état actuel des textes applicables l'utilisation de ces codes ne saurait être autorisée dans le cadre d'IRIS ;   Considérant que les sécurités applicables aux transmissionsD d'informations sont satisfaisantes, en ce que celles-ci sont d'une part normalisées et d'autre part identifiées quant à leur émetteur et à leur contenu ;   Considérant que les renseignements transmis par le partenaire de santé à l'organisme conventionné peuvent transiter par un organisme tiers ayant la qualité technique de "concentrateur" ;   Que dans ce cas ce dernier organisme a pour mission de centraliser les envois en provenance des professionnels ou établissements de santé et d'effectuer le routage des différents flux vers les destinataires finaux, c'est-à-dire les organismes conventionnés et de procéder pareillement dans le sens retour ;   Qu'il apparaît indispensable, eu égard au caractère sensible des informations
manipulées, que ces organismes n'assurent aucun traitement particulier pour leur propre compte, n'effectuent ni enrichissement, ni consultation, hormis celle rendue nécessaire par la maintenance des matériels utilisés, ni cession des Informations reçues des partenaires de santé ;   Qu'il apparaît également indispensable que toute trace de ces informations disparaisse dès que leur envoi à l'organisme conventionné gestionnaire est opéré ;
Considérant que le droit d'accès aux informations nominatives les concernant pourra être exercé par les assurés ainsi que par les partenaires de santé auprès du directeur de l'organisme conventionné gestionnaire de leurs dossiers et de leurs droits ;   Considérant que les organismes conventionnés qui désireraient mettre en oeuvre ces échanges devront au préalable adresser à la Commission une déclaration simplifiée de référence à ce modèle accompagnée d'un engagement de conformité à celui-ci ;
   Emet un avis favorable à la mise en oeuvre, par les organismes conventionnés qui assurent la gestion du régime d'assurance maladie des professions Indépendantes du traitement "IRIS".   Le Président, Jacques FAUVET.
La Commission Nationale de l'Informatique et des Libertés,   Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet 1978 pris pour son application ;   Vu la délibération n° 92-061 du 9 juin 1992 portant avis sur la création à titre expérimental d'un système national d'informations médico-administratives dont la finalité principale est de déterminer en fonction des pathologies et des modes de prises en charge, une classification des prestations d'hospitalisation (expérience PMSI dans les cliniques) ;   Vu l'arrêté du 27 juillet 1992 créant un traitement informatique national des résumés de sortie standardisés et des résumés standardisés de facturation transmis par certains établissements hospitaliers privés conventionnés relevant de l'article L. 162-22 du code de la sécurité sociale ;   Après avoir entendu Monsieur Gérard JAQUET, en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;