AgentPublic/cnil huggingface dataset:
La Commission Nationale de l'Informatique et des Libertés,   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe sur la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet 1978, pris pour son application ;   Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;   Vu les lois de décentralisation n° 83-8 du 7 janvier 1983 et n° 83-663 du 22 juillet 1983 ;   Vu la loi n° 86-17 du 6 janvier 1986 relative au transfert de compétence en matière sanitaire et sociale ;   Vu le décret n° 96-793 du 12 septembre 1996 relatif à l'autorisation d'utilisation du numéro d'inscription au Répertoire national d'identification des personnes physiques ;   Vu le titre II du Code de la Famille et de l'Aide Sociale relatif à l'action sociale en faveur de l'enfance et de la famille ;   Vu le projet d'acte réglementaire présenté le 28 janvier 1997 par le Conseil Général du Rhône ;   Après avoir entendu Monsieur Pierre SCHAPIRA, Commissaire en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que le Conseil Général du Rhône a saisi la Commission d'une demande d'avis relative à l'informatisation de la gestion de l'aide sociale à l'enfance ; que ce traitement automatisé de données nominatives intitulé ANIS-ASE assure, à titre principal, la gestion des missions du Conseil Général en matière d'aide sociale à l'enfance et à la famille, à savoir la mise en oeuvre et la gestion des procédures d'attribution des prestations d'aide sociale à l'enfance et à la famille, la gestion des informations relatives aux usagers bénéficiant des prestations d'aide sociale à l'enfance et à la famille et des actions sociales de terrain ainsi que la gestion financière et comptable du service ;   Considérant que le traitement consiste en une base de données unique, mise à disposition des agents départementaux affectés aux missions de protection de l'enfance et à l'action sociale de terrain, dans la limite de leurs attributions et consultable selon une procédure d'habilitation particulière ; que seuls les personnels directement concernés par le dossier sont habilités à consulter, modifier ou créer dans l'application des informations nominatives relatives aux enfants en difficulté, aux difficultés rencontrées par les personnes suivies, à la définition des objectifs et projets et à leur évaluation ; que la saisine de ces dernières informations revêt un caractère facultatif et que les informations telles qu'elles résultent des différentes rubriques du traitement ne devront être
enregistrées que dans les strictes limites des besoins du travail poursuivi et à la seule initiative du personnel concerné ;   Considérant en outre que les travailleurs sociaux disposent d'une zone de texte libre destinée à dresser un diagnostic sur la situation rencontrée ; que toutes dispositions doivent être prises afin que ne soient portées dans le traitement que des informations aisément vérifiables et accessibles aux intéressés ; considérant, en outre, que ces informations seront systématiquement supprimées de l'application dès lors que la mesure visée ou l'objectif sera atteint ;
Considérant que les informations enregistrées sont relatives à l'identification des personnes bénéficiaires de prestations du service de l'aide sociale à l'enfance ou d'actions sociales de terrain, de leur situation économique et financière, de leur vie professionnelle et des enfants pris en charge par le service de l'aide sociale à l'enfance ; qu'en outre peuvent être enregistrées, à l'initiative du travailleur social en charge du dossier et selon une nomenclature de codes arrêtée par le responsable du traitement et communiquée à la Commission, des indicateurs relatifs à la nature des difficultés rencontrées, à l'objectif à atteindre et à l'évaluation du travail social ; que les informations en rapport avec la justice concernent toutes les décisions prises par l'autorité judiciaire concourant aux missions de protection de l'enfance ; que le numéro de sécurité sociale est utilisé dans le cadre des missions d'aide sociale à l'enfance, lorsqu'il y a récupération auprès des caisses de sécurité sociale des prestations servies par les services ou lorsque les cotisations de sécurité sociale des bénéficiaires de l'aide sociale à l'enfance sont payées par les services ;   Considérant que les destinataires des informations sont, dans la limite de leurs attributions, les agents du département participant aux missions de protection de l'enfance et à l'action sociale de terrain, à l'exclusion des informations relatives à la nature des difficultés rencontrées, à l'objectif à atteindre
et à l'évaluation du travail social qui sont réservées aux seuls travailleurs sociaux en charge du dossier ; que peuvent être destinataires des informations traitées, les représentants de l'autorité judiciaire concourant aux missions de protection de l'enfance, les personnels habilités des organismes sociaux compétents, à savoir, notamment, la caisse primaire d'assurance maladie, la caisse d'allocations familiale, le centre communal d'action sociale, l'association collective d'aide au logement et les associations caritatives, dans la limite de leurs attributions et pour les informations les concernant, ainsi que les personnels habilités du service des finances et du budget du département pour les informations nécessaires aux procédures de mandatement et de suivi financier et de la paierie départementale du Rhône pour les informations nécessaires à la mise en paiement des prestations financières ;
Considérant que les données relatives aux procédures d'aide sociale à l'enfance sont conservées pendant vingt-quatre mois après la date de fin d'effet de la dernière prestation accordée à l'individu ; que les données relatives aux procédures d'action sociale de terrain sont conservées dix-huit mois après la date de fin d'effet de la procédure ; que les données nominatives concernant le ou les individus du dossier familial seront supprimées dès lors qu'aucune procédure n'est en cours et au terme des délais précédents ;   Considérant que le droit d'accès et de rectification des personnes intéressées, prévu en application des articles 34, 35 et 36 de la loi du 6 janvier 1978, s'exerce auprès du responsable de la maison du département du Rhône dont dépend l'usager ou auprès des services départementaux chargés de la Vie Sociale ;   Considérant que toutes dispositions doivent être prises afin d'informer clairement les usagers des destinataires des informations et des droits qui leur sont offerts au titre de la loi du 6 janvier 1978 et notamment de leur droit de s'opposer, pour des raisons légitimes, à l'informatisation et à la consultation de leurs données personnelles par des services étrangers à l'instruction ou à la gestion de leur demande ;   Considérant que des mesures de sécurité ont été prévues, notamment pour assurer un accès différencié des informations selon les habilitations des agents, sous forme de codes d'identification et d'autorisations personnalisés ;
considérant que l'application a été conçue de façon à interdire aux utilisateurs d'extraire des données de la base afin de reconstituer des fichiers nominatifs, sans contrôle ;
EMET un AVIS FAVORABLE au projet d'arrêté présenté par le Président du Conseil Général du Rhône concernant la mise en oeuvre d'un traitement automatisé de données nominatives relatif à la gestion de l'aide sociale à l'enfance et de l'action sociale de terrain.   Jacques FAUVET
La Commission Nationale de l'Informatique et des Libertés,   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et notamment son article 6 ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et notamment ses articles 6, 19 et 29 ;   Vu la loi n° 94-548 du 1er juillet 1994 relative au traitement de données nominatives ayant pour fin la recherche dans le domaine de la santé et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;   Vu les articles 226-13 et 226-14 du Code Pénal relatifs au secret professionnel ;   Vu le Code de la Santé Publique et notamment ses articles L 551 et suivants, L 365-1 et L 365-2 ;   Vu le Code de la Sécurité Sociale et notamment l'article L 161-29 ;   Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 et notamment son article premier ;   Vu le décret 95-100 du 6 septembre 1995 portant code de déontologie médicale et notamment ses articles 4, 5, 12, 19, 20, 23, 24, 45, 73 et 91 ;   Après avoir consulté le Conseil National de l'Ordre des médecins ;   Après avoir entendu Monsieur Jean-Pierre MICHEL en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du gouvernement, en ses observations ;
Constatant que le développement, dans le domaine de la santé, des technologies de l'information et, en particulier, des réseaux de communication ainsi que l'application des mesures de maîtrise des dépenses de santé, définies par les pouvoirs publics, favorisent la mise en place, sur initiative privée, de systèmes d'informations médicales, fondés sur le recueil, auprès des professionnels de santé, de données individualisées relatives à leurs prescriptions et à leur pratique médicale ; que ces données sont susceptibles d'être traitées, notamment, de façon à :   - disposer, à des fins de connaissance, d'évaluation et d'utilisation commerciale, d'informations sur l'activité médicale, destinées d'une part, aux instances représentatives des professions de santé ainsi que, le cas échéant, aux autres partenaires institutionnels du système de santé et d'autre part, aux sociétés de communication médicale et aux laboratoires pharmaceutiques pour leur permettre notamment de réaliser, auprès des professionnels de santé, des actions d'information et de publicité pour les médicaments ;   - permettre aux professionnels de santé, fournisseurs des données, de disposer d'informations statistiques sur leur propre activité ainsi que, le cas échéant, d'outils informatiques d'aide à la gestion du cabinet ou de systèmes d'aide à la décision ;   - expérimenter une nouvelle forme d'organisation du système de santé fondée sur la mise en place de réseaux de soins, prévue par l'article L 162-31-1 du
code de la sécurité sociale ;   Considérant que les données traitées sont susceptibles d'être recueillies selon des modalités différentes, telles que :   - les enquêtes sur les habitudes de prescription réalisées par voie de questionnaires auprès d'un échantillon représentatif de professionnels constitué à partir des fichiers nominatifs dont disposent les laboratoires pharmaceutiques et les sociétés de communication médicale ;   - les télétransmissions périodiques, par les médecins, d'informations extraites des fichiers médicaux gérés sur des équipements informatiques et à partir de logiciels mis à la disposition des professionnels de santé ;   - l'utilisation, selon des modalités techniques particulières, des télétransmissions de données de facturation, réalisées dans le cadre de la délégation de paiement (tiers-payant) vers les caisses d'assurance maladie, via le plus souvent des organismes intermédiaires, pour certains, gérés par la profession de santé considérée ;
Constatant que le développement de ces systèmes d'information, en raison des finalités poursuivies et des modalités de collecte des données, est susceptible d'avoir des conséquences importantes sur les principes fondamentaux qui régissent aujourd'hui le système de soins en France et en particulier sur le respect de l'intimité de la vie privée et de la liberté des personnes, sur le secret professionnel et sur l'indépendance professionnelle et morale des médecins ;   Considérant que la collecte et le traitement de données, qui sont directement ou indirectement nominatives à l'égard du patient ou du professionnel de santé concerné, doivent respecter les dispositions protectrices de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et doivent en particulier, faire l'objet de formalités préalables auprès de la CNIL ; qu'ainsi la Commission a été saisie, par des sociétés de communication médicale, pour certaines filiales de laboratoires pharmaceutiques, et par des syndicats de professionnels de santé, de déclarations relatives à la mise en oeuvre de tels systèmes ;   Estime qu'il y a lieu, dans le contexte actuel, de rappeler et de préciser , par la présente recommandation, les garanties à respecter lors du traitement et de la transmission des données à caractère personnel relatives à la santé ;   Considérant que la connaissance de l'état de santé d'une personne constitue une information qui relève de l'intimité de sa vie privée et qui est
protégée par le secret médical ; en conséquence, le traitement de cette information nécessite, conformément à l'article 6 de la convention n° 108 du Conseil de l'Europe susvisée, l'adoption de garanties appropriées ;
Rappelle que les données de santé à caractère personnel ne peuvent être utilisées que dans l'intérêt direct du patient et, dans les conditions déterminées par la loi, pour les besoins de la santé publique et que, dès lors, leur exploitation à des fins commerciales doit être proscrite. En conséquence,ces données ne peuvent être traitées que dans le respect des droits des personnes et des règles déontologiques en vigueur.
Recommande, en conséquence, le respect des principes suivants :   - SUR L'UTILISATION DES DONNEES DE SANTE A CARACTERE PERSONNEL :   La Commission estime qu'il y a lieu de rappeler que :   - conformément aux articles 226-13 et 226-14 du code pénal, la révélation d'informations à caractère secret par une personne qui en est dépositaire, soit par état soit par profession, hormis les cas où la loi l'impose ou l'autorise, est passible de sanctions pénales ;   - en application de l'article L 365-2 du code de la santé publique, sont interdites, sous peine de sanctions pénales, "la constitution et l'utilisation à des fins de prospection ou de promotion commerciales de fichiers composés à partir de données issues directement ou indirectement des prescriptions médicales ou des informations médicales mentionnées à l'article L 161-29 du code de la sécurité sociale, dès lors que ces fichiers permettent d'identifier directement ou indirectement le professionnel prescripteur" ;   - conformément à l'article L 365-1 du code de la santé publique, "est interdit le fait, pour les membres des professions médicales, de recevoir des avantages en nature ou en espèces, sous quelque forme que ce soit, d'une façon directe ou indirecte, procurés par des entreprises assurant des prestations, produisant ou commercialisant des produits pris en charge par les régimes obligatoires de sécurité sociale" ;   - aux termes de l'article 25 de la loi du 6 janvier 1978, la collecte de données opérée par tout
moyen frauduleux, déloyal ou illicite est interdite.   La Commission considère que, au sens de l'article 5 de la convention n° 108 du Conseil de l'Europe, le traitement de données de santé à caractère personnel est légitime dès lors qu'il a pour finalités de permettre au professionnel de santé de mieux assurer le suivi médical des patients, de faciliter leur prise en charge par les organismes d'assurance maladie obligatoire, de participer aux actions de prévention et de veille sanitaire poursuivies par les autorités de santé et de contribuer aux travaux de recherche médicale. Dans le cadre de ces finalités, les données de santé à caractère personnel, dont l'usage est en principe réservé au professionnel de santé qui a procédé au recueil de ces données, peuvent être communiquées sous certaines conditions à des destinataires et tiers habilités à en connaître en vertu de la loi.
Les professionnels de santé sont ainsi tenus, (articles 226-14 du code pénal, articles L 11 et suivants du code de la santé publique ...) de déclarer aux autorités judiciaires, médicales ou administratives, certains situations dont ils ont connaissance.   En outre, conformément au code de la sécurité sociale et notamment à l'article L 161-29, dans l'intérêt de la santé publique et en vue de contribuer à la maîtrise des dépenses d'assurance maladie, les professionnels et les organismes ou établissements dispensant des actes ou prestations remboursables par l'assurance maladie à des assurés sociaux ou leurs ayants droit sont tenus de communiquer aux organismes d'assurance maladie concernés le numéro de code des actes effectués, des prestations servies à ces assurés sociaux et à leurs ayants droit et des pathologies diagnostiquées.   Ces données sont également susceptibles d'être communiquées, sous forme anonyme, aux unions professionnelles instituées par la loi du 18 janvier 1994.   Les professionnels de santé peuvent également transmettre à des fins statistiques, dans les conditions prévues par la loi du 1er juillet 1994, des données médicales nominatives issues de leur activité à des organismes autorisés à mettre en oeuvre, à des fins de recherche médicale, des traitements de données de santé à caractère personnel.   Enfin, conformément à l'article 45 du code de déontologie médicale, le médecin, à la demande du patient ou avec son consentement, peut transmettre aux
médecins qui participent à la prise en charge de ce patient ou à ceux qu'il entend consulter, les informations et documents utiles à la continuité des soins.
La Commission rappelle en conséquence que :   - hors les cas prévus par la loi, les professionnels de santé ne peuvent transmettre à des tiers, les données de santé à caractère personnel relatives à leurs patients, sans qu'au préalable ces données aient été rendues anonymes,   - conformément à l'article L 365-2 du Code de la Santé Publique et à l'application qu'entend en faire le ministère en charge de la santé, ces données, même rendues anonymes à l'égard des patients, ne peuvent être utilisées à des fins de promotion ou de prospection commerciale, dès lors qu'elles sont associées à l'identification du professionnel de santé.   La Commission recommande que, conformément aux articles L 462 et L 365-1 du code de la santé publique, les instances ordinales concernées soient consultées lors de la mise en place de systèmes d'informations médicales, en particulier, sur les modalités de participation des professionnels de santé.
- SUR L'INFORMATION ET LE RESPECT DES DROITS DES PERSONNES :   La Commission recommande que les professionnels de santé susceptibles de participer à des systèmes d'informations médicales et de transmettre sous quelque forme que ce soit des données, soient clairement informés de l'identité du ou des organismes juridiquement responsables du système, de ses finalités , des conséquences à leur égard de leur participation, des destinataires des informations transmises, des modalités d'exercice de leur droit d'accès, de rectification et de suppression. Dans les cas où l'organisme tiers mettrait à la disposition du professionnel de santé des moyens informatiques lui permettant de gérer ses dossiers médicaux, il importe que les modalités de cette mise à disposition lui soient clairement précisées et qu'il conserve, quelles que soient les modalités de communication des informations issues de son fichier, la maîtrise de cette communication.   Ainsi, en cas d'abandon de collaboration, l'organisme tiers devrait s'engager à fournir au professionnel de santé les moyens nécessaires pour lui permettre de continuer à gérer sur informatique ses dossiers médicaux ou d'effacer les informations nominatives enregistrées avant restitution du matériel informatique à l'organisme.   La commission estime également que, pour garantir une information claire et complète des professionnels de santé, il importe que les contrats conclus entre les organismes tiers et les professionnels de santé fassent
expressément mention des points précités.
Elle recommande également que, nonobstant les dispositions prises pour assurer l'anonymat des patients, les organismes tiers destinataires des informations issues des fichiers médicaux s'engagent vis-à-vis des professionnels de santé, à prendre toutes précautions utiles afin d'éviter la déformation, la divulgation ou l'utilisation détournée des données issues directement ou non des prescriptions médicales, dès lors que ces données permettent l'identification des professionnels de santé, De plus, il importe de rappeler que les professionnels de santé ne peuvent transmettre que des données concernant leur propre activité, à l'exclusion donc de toute information concernant ou provenant d'un autre confrère ou d'un autre professionnel de santé.   Il convient en outre de rappeler que, dans les cas où la loi impose ou autorise la transmission des données médicales directement ou indirectement nominatives concernant leurs patients à des organismes tiers dûment habilités à en connaître, les professionnels de santé doivent en informer leurs patients de façon à ce qu'ils puissent exercer les droits qui leur sont reconnus par la loi du 6 janvier 1978. Ainsi, hors les cas où la transmission est imposée par la loi, les patients doivent pouvoir s'opposer aux communications d'informations les concernant.
- SUR LE RESPECT DE LA CONFIDENTIALITE DES INFORMATIONS ET LA SECURITE DES TRAITEMENTS :   La Commission estime qu'il y a lieu de rappeler qu'en application des articles 29 et 45 alinéa 1 de la loi du 6 janvier 1978, les professionnels de santé s'engagent, vis-à-vis des patients, à prendre toutes précautions utiles afin de préserver la sécurité des informations relatives à leur état de santé et notamment d'empêcher qu'elles ne soient déformées ou communiquées à des tiers non autorisés. Le non respect de cette disposition est passible des sanctions pénales prévues au titre de l'article 226-17 du Code Pénal. Enfin, il convient de noter qu'en vertu de l'article 45 du décret du 6 septembre 1995, portant code de déontologie médicale, les dossiers médicaux des patients doivent être conservés sous la responsabilité des médecins qui en assurent le suivi.   La Commission recommande donc que, préalablement à toute transmission, aux systèmes d'information médicale précédemment visés, de données issues de leur activité, les professionnels de santé s'assurent du respect effectif de l'anonymat des données relatives à leurs patients et que les organismes tiers, destinataires des données s'engagent, par voie contractuelle, vis-à-vis des professionnels de santé, à prendre les dispositions nécessaires pour garantir et maintenir cet anonymat, notamment lors du traitement ultérieur de ces données. Ainsi, en cas de télétransmission, les professionnels de santé doivent pouvoir disposer des
moyens techniques nécessaires pour vérifier ou faire vérifier que les dispositifs adoptés garantissent effectivement l'anonymat des données concernant les patients.