AgentPublic/cnil huggingface dataset:
La Commission prend également acte de ce que les agents des services de la direction générale de la police nationale et de la direction générale de la gendarmerie nationale chargés des missions de prévention et de répression des actes de terrorisme de même que les agents des services de renseignement du ministère de la défense chargés des missions de prévention des actes de terrorisme n’accéderont pas à l’ensemble des données enregistrées dans le système de traitement à l’exclusion de l’image numérisée des empreintes digitales.
Dans la mesure où la Commission observe que cette exclusion n’est justifiée qu’au regard de la spécificité attachée aux données biométriques, elle estime que le projet de décret devrait également faire mention de l’impossibilité pour les agents précités d’accéder à l’image numérisée du visage du titulaire.
La Commission prend enfin acte de ce que le ministère de l’intérieur, de l’outre-mer et des collectivités territoriales envisage de préciser aux termes du projet de décret que les destinataires devraient faire l’objet d’une procédure de désignation individuelle et d’habilitation spéciale.
Sur le régime juridique du passeport temporaire.
Conformément aux dispositions du règlement du Conseil européen n°2252/2004 du 13 décembre 2004, le projet de décret fixe le principe de la délivrance à titre exceptionnel d’un passeport temporaire, pour satisfaire aussi bien les demandeurs confrontés à une situation relevant de l’urgence, que les personnes ou les agents civils et militaires nécessitant d’être mis en possession d’un titre de voyage dépourvu de composant électronique.
Compte tenu de la spécificité attachée à ce passeport, la Commission estime que son processus de délivrance ne devrait pas obéir aux mêmes règles que celles en vigueur pour le passeport, le passeport de service ou le passeport de mission.
A cet égard, il convient de relever qu’il ne peut être délivré que dans des cas relevant de situations d’urgence ou se caractérisant par la recherche par son titulaire d’une relative discrétion, qu’il n’a pas vocation à être renouvelé et qu’il ne comporte pas de composant électronique et partant, ne contient pas de données biométriques. 
Aussi, tout en prenant acte de ce que le ministère de l’intérieur, de l’outre-mer et des collectivités territoriales envisage de ramener à six ans la durée de conservation des données collectées à l’occasion de la délivrance d’un passeport temporaire, la Commission considère qu’il paraît peu pertinent de procéder au recueil des empreintes digitales du demandeur, à leur conservation ainsi qu’à celle de l’image numérisée de son visage en base centrale.
Sur la situation des mineurs.
Dès lors que le passeport est délivré sans condition d’âge, la procédure de délivrance applicable aux mineurs doit faire l’objet d’une attention toute particulière. 
Dans ces conditions, la Commission tient à rappeler que l’âge à partir duquel les empreintes sont relevées n’est pas seulement un élément technique mais une question de principe méritant un large débat voire un amendement à la convention sur les droits de l’enfant et que pour préserver la dignité de la personne et pour garantir la fiabilité de la procédure, la collecte et le traitement des empreintes digitales doivent être limités pour les enfants.
Sur les sécurités 
Il est prévu que l’accès aux données stockées dans le composant électronique soit contrôlé en utilisant des mécanismes, qui en l’état actuel de la technique, paraissant de nature à garantir un niveau suffisant de protection du composant électronique. L’accès aux empreintes digitales n’est possible qu’après authentification mutuelle entre le lecteur et le composant. Le composant intègre également des dispositifs de protection contre la duplication et la falsification. D’autres dispositifs de protection électromagnétique du titre pourraient à terme être inclus dans le passeport. Néanmoins, ces dispositifs et leur éventuelle mise en œuvre sont actuellement en cours d’étude. 
Par conséquent, la Commission souhaite être rendue destinataire des éléments relatifs aux mesures qui seront finalement retenues.
Sur l’information des personnes.
L’article 25 du décret n°2005-1726 du 30 décembre 2005 prévoit que la remise du passeport s’accompagne de la copie sur papier des données nominatives enregistrées dans le composant électronique.
Enfin, la Commission prend acte de ce qu’une notice d’information sur la nature des données à caractère personnel enregistrées dans le système de traitement central sera remise au demandeur du passeport. 
Le président,
Alex TURK
(demande d’autorisation n°1222387)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment ses articles 8-IV et 25-I-1°;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Sur le rapport de M. Jean-Pierre de LONGEVIALLE, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Formule les observations suivantes :
L’assistance Publique-hôpitaux de Paris (AP-HP) a saisi la Commission nationale de l’informatique et des libertés le 13 juin 2007 d’un dossier de formalités préalables relatif à la mise en œuvre, dans chacun de ses trente-sept hôpitaux, d’un traitement automatisé de données à caractère personnel dénommé « OSIRIS » (Organisation du Système d’Information des Risques).
« OSIRIS » est un traitement d’aide à une gestion globale des risques ayant pour finalités d’améliorer la qualité de la prise en charge hospitalière et de renforcer la sécurité à l’hôpital. 
A cette fin, « OSIRIS » permet le signalement et le suivi d’événements indésirables de toute nature survenant dans les hôpitaux de l’AP-HP, ainsi que la constitution d’une base de données anonymisées destinée à l’élaboration de statistiques relatives aux risques. 
La base de données propre à chaque hôpital sera hébergée sur un même serveur, situé dans une salle à accès limité et sécurisé de la Direction du Système d’information de l’AP-HP. Les accès depuis chaque hôpital seront assurés grâce à un réseau privé et sécurisé de l’AP-HP.
La Commission constate que : 
- le traitement « OSIRIS » comporte le recueil de données sensibles relatives à la santé de patients identifiés ou susceptibles de l’être ;
- la mise en place d’une gestion globale des risques répond à un objectif assigné aux établissements de soins par les pouvoirs publics et les autorités sanitaires et constitue l’une des conditions de l’accréditation des établissements de soins.
La Commission estime qu’il relève donc du régime de l’autorisation, prévu à l’article 25-I-1° de la loi du 6 janvier 1978 modifiée, applicable aux traitements qui, bien que comportant des données sensibles, sont justifiés par l’intérêt public.
Sur la finalité et le principe d’un signalement volontaire des événements indésirables
Si la finalité d’« OSIRIS » est à l’évidence légitime, la Commission s’est posé la question de l’adéquation entre l’objectif visé d’une gestion globale des risques et le choix qui a été fait d’un signalement des événements indésirables laissé largement à l’initiative volontaire des agents.
Il a été précisé que ce choix était celui généralement retenu lorsque était mis en place un dispositif de gestion globale des risques dans la mesure où il est le plus à même d’emporter l’adhésion du personnel, condition nécessaire à l’efficacité du dispositif.
La Commission en prend acte, mais estime nécessaire qu’il soit procédé au terme des deux premières années d’application d’ « OSIRIS » à une évaluation de l’utilisation effective du dispositif. S’il apparaissait, en effet, que l’application était sous utilisée (à l’AP-HP en général ou dans certains établissements), c’est le caractère d’utilité publique d’un traitement portant sur des données sensibles qui s’en trouverait affecté et il y aurait donc lieu, au minimum, d’en revoir les modalités.
Sur les données traitées : le signalement des événements indésirables
- Le signalement est ouvert à tous les agents mais le système n’admet la saisie d’un signalement que si le signalant s’identifie en mentionnant sa fonction et le service auquel il appartient, ce qui permet au gestionnaire de risques de revenir vers lui pour obtenir des précisions complémentaires.
- Le traitement « OSIRIS » permet le signalement d’un événement indésirable sur la base d’une liste de catégories d’incidents implémentée dans l’application, accompagnée d’un champ libre « description des faits ».
Dans la liste, une rubrique « autre (à préciser) » a été maintenue pour tenir compte de la difficulté pour les signalants de cerner la nature de certains risques ou de l’apparition possible de nouveaux risques, mais le champ libre qui accompagnait cette rubrique dans la version précédente du projet a été supprimé.
Les fiches de signalement ne comprennent aucune rubrique d’identification des personnes susceptibles d’être à l’origine des incidents. En outre, une information rappelant qu’aucune mention d’une personne nommément désignée ne doit apparaître dans le champ de texte libre est inscrite dans l’application, à côté de ce champ.
Un rôle de filtre est assuré par le gestionnaire de risques qui veille au caractère objectif, pertinent et non excessif des données collectées.
- L’identification des patients est facultative et les champs relatifs à leur nom et prénoms sont bloqués à trois caractères, à l’instar de ce qui est prévu pour les déclarations d’événements indésirables relatifs à la pharmacovigilance.
- La Commission relève que le signalement de « complications médicales et chirurgicales inattendues » n’est pas réservé au personnel soignant alors même que le système le permettrait dans la mesure où la rubrique « fonction du signalant » doit obligatoirement être renseignée. 
Sur ce point, il a été indiqué que l’option ainsi prise était cohérente avec un dispositif de signalement ouvert, impliquant qu’il soit fait confiance aux agents pour en faire une utilisation normale.
De l’avis de la Commission, seule l’évaluation qui devra être opérée par l’AP-HP au terme des deux premières années d’application permettra en définitive de vérifier la pertinence de cette option.
Sur les destinataires : l’exploitation des fiches de signalement
Les personnes chargées d’exploiter les signalements sont en nombre limité, spécialement formées et astreintes à une obligation renforcée de confidentialité.
Ces personnes n’ont accès qu’à des informations utiles au regard de leur domaine d’expertise ou d’exercice et sont tenues au secret professionnel en application des dispositions de l’article L.1110-4 du Code de la santé publique et de la circulaire n° 1796 du 20 avril 1973 relative au secret professionnel dans les établissements d’hospitalisation publics.
Sur l’information des intéressés et le droit d’accès
- Les utilisateurs potentiels d’« OSIRIS » sont informés de l’existence du traitement, de ses conditions de mise en œuvre et de leur droit d’accès par affichage ainsi que par un guide du signalement et par une charte destinés à promouvoir le bon usage du système, implémentés dans l’application.
- Les patients sont informés de l’existence d’« OSIRIS » ainsi que de leurs droits par le livret d’accueil qui leur est remis ainsi que par voie d’affichage dans les points d’accueil. 
- Le droit d’accès s’exerce auprès du directeur adjoint chargé des affaires générales de l’établissement concerné.
Sur les mesures de sécurité mises en œuvre et la durée de conservation des données
La sécurité des accès à l’application par les destinataires est assurée par un système de login associé à un mot de passe personnel d’au moins 8 caractères, renouvelé obligatoirement tous les 3 mois et ces accès font l’objet d’une journalisation.
Le système en revanche, n’est pas sécurisé contre des usurpations d’identité qui se produiraient au stade du signalement. En effet, si les signalants doivent obligatoirement s’identifier pour enregistrer un signalement, il n’est pas prévu qu’ils s’authentifient. 
Toutefois, il a été fait remarquer qu’un contrôle d’authentification du signalant, alors que le signalement est ouvert à tous les agents, irait à l’encontre de l’objectif recherché de faciliter les déclarations d’incidents et serait techniquement difficile à mettre en place. En outre, le retour systématique du gestionnaire de risques vers le signalant permettrait de détecter d’éventuelles utilisations malveillantes.
La Commission en a pris acte.
Les données nominatives sont conservées dans l’application 3 mois au maximum. En effet, à défaut d’anonymisation de ces données par la clôture de la fiche par le gestionnaire de risques, une anonymisation automatique intervient quotidiennement sur les fiches ouvertes depuis 3 mois.
Les autres données, non nominatives, sont conservées dans l’application à des fins statistiques pendant une durée fixée à 10 ans.
En conséquence, la Commission demande qu’il soit procédé à une évaluation du dispositif « OSIRIS », après deux ans de mise en œuvre et que les résultats de cette évaluation lui soient communiqués. 
Elle devra porter en particulier sur les points suivants :
le degré d’utilisation effective du dispositif et les raisons de sous-utilisation éventuelle;
la liste et la classification des événements indésirables retenues dans l’application ;
le bien-fondé de l’option consistant à ne pas réserver le signalement des événements de nature médicale au personnel soignant ; 
l’existence éventuelle d’utilisations malveillantes du dispositif ;
l’articulation entre « OSIRIS » et les procédures d’alerte et de vigilance sanitaire obligatoires.
Dans ces conditions, la Commission autorise la mise en oeuvre du traitement dans les hôpitaux de l’AP-HP. 
Le président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale et notamment l’article L. 324-1 ;
Vu l’article 91-II de la loi n° 2006-1640 du 21 décembre 2006 de financement de la sécurité sociale pour 2007 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment les articles 8-IV et 25-I-1° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. de LONGEVIALLE, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la Caisse nationale d’assurance maladie des travailleurs salariés à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité l’accompagnement des personnes atteintes de maladies chroniques : expérimentation sur le diabète, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
La Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS)
Finalités
Expérimentation d’un accompagnement des patients diabétiques  pour améliorer leur prise en charge, et les inciter à modifier leur comportement en adoptant des règles d’hygiène de vie propres à limiter les risques d’apparition de complications. A cet égard, un base de données transitoire est créée à partir des éléments issus du  système informationnel de l’assurance maladie (SIAM) et de feuillets complétés par les patients et les médecins traitants.
Des statistiques pourront être effectuées à partir de données anonymisées.
L’objectif de la CNAMTS est de proposer à tous les patients diabétiques en affection de longue durée (ALD) un accompagnement différencié selon le niveau de risque :
L’objectif de la CNAMTS est de proposer à tous les patients diabétiques en affection de longue durée (ALD) un accompagnement différencié selon le niveau de risque :
Pour l’ensemble des patients éligibles et qui adhèrent au programme consistera en l’envoi par courrier ou la mise à disposition par Internet de supports personnalisés d’information sur la maladie.
Pour les patients de risque moyen ou élevé, pour lesquels l’objectif sera de réduire la gravité des complications diagnostiquées et d’éviter l’apparition de nouvelles complications, le programme consistera en des contacts téléphoniques réalisés par un professionnel paramédical.
L’expérimentation concernera 10 sites pilotes (caisses primaires d’assurance maladie et échelons locaux du service médical), soit environ 136 000 patients et 6100 médecins.
Les patients éligibles au programme seront les diabétiques de type 1 et 2, en affection de longue durée et identifiés par leur consommation de soins (remboursements d’antidiabétiques oraux ou d’insuline dans l’année).
Données traitées
Les données relatives à l’identification du patient (identité, NIR, sexe, date de naissance, coordonnées, mode prise en charge, médecin traitant, nombre de consultations et de visites sur 12 mois), données relatives au style de vie des patients, données médicales (type de diabète, historique relatif au diabète, antécédents familiaux, glycémie, cholestérol, triglycérides…), données relatives à l’engagement des patients (suivi des courriers).Les données relatives à l’identification du médecin traitant et à la relation avec le médecin traitant (courriers, visites…)
Destinataires
Les données seront disponibles en consultation pour l’ensemble des médecins conseils concernés par l’expérimentation et des personnes sous leur autorité spécialement habilitation à cet effet.Les données seront sous la responsabilité de médecins conseil, seuls habilités à superviser l’utilisation des données médicales.Les données disponibles au niveau national seront anonymisées.
Information et droit d’accès
Il sera proposé à l’assuré ou au bénéficiaire de l’assurance maladie de bénéficier du programme d’accompagnement et des documents de présentation du programme lui seront envoyés à cet effet. L’adhésion au programme sera volontaire, le consentement exprès du patient sera recueilli préalablement. Un formulaire de refus d’adhésion sera prévu. Le médecin traitant sera associé comme relais au recrutement du patient, des délégués de l’assurance maladie présenteront individuellement le programme aux médecins concernés.Le droit d’accès s’exercera auprès du médecin conseil chef de service de chaque échelon local du service du contrôle médical. Le bénéficiaire sera informé de cette possibilité par le biais de mentions apposées sur les documents qui lui seront adressés.Une information sur le programme d’accompagnement sera affichée dans les locaux des CPAM et des services du contrôle médical.
Caractéristiques particulières du traitement
Les patients et les médecins seront sélectionnés par le service médical au travers du système d’information de l’assurance maladie (SIAM).Dès réception de l’accord du patient pour participer au programme, celui-ci recevra une lettre, accompagnée d’un support de présentation du programme et d’un questionnaire relatif à ses habitudes de vie « comportemental » à remplir.En parallèle, le médecin traitant sera sollicité pour remplir avec le patient le « feuillet médical », qui sera co-signé par le patient et le médecin au cours d’une consultation médicale.Parallèlement au courrier adressé au patient, le médecin aura été destinataire lors de la visite du délégué de l’assurance maladie ou dans le courrier se substituant à cette visite, d’exemplaires vierges des différents feuillets lui permettant de les compléter avec le patient lors d’une consultation.Les différents feuillets seront renvoyés par des enveloppes T vers le service médical. Les informations alimenteront la base dite « Transitoire » destinée au premier volet de l’expérimentation.Cette base dite « transitoire » regroupera les données des patients éligibles, ceux qui auront adhéré au programme, les médecins traitants de ces patients, le suivi des envois, les informations liées à l’engagement des patients, les données issues de la saisie des feuillets comportementaux et médicaux.Les utilisateurs s'authentifieront par carte à puce auprès d'un serveur de sécurité avant de pouvoir accéder aux données (Système ARAMIS).
Observations (le cas échéant) 
La durée de l’expérimentation sera de 30 mois à compter du 1er janvier 2008.Feront l’objet de nouveaux dossiers auprès de la CNIL, courant 2008, d’une part la constitution d’une plate-forme de contact et l’outil de gestion de la relation client pour l’expérimentation et d’autre part la généralisation du programme après présentation d’un bilan.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. COTTERET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, le Syndicat mixte départemental des massifs Concors Sainte-Victoire à mettre en œuvre un système d’information géographique à partir des données cadastrales, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
Syndicat mixte départemental des massifs Concors Sainte-Victoire
Finalités
Les seules finalités du système d’information géographique sont :- informer les propriétaires de parcelles situées dans les zones à risque d’incendie de leurs obligations en matière de débroussaillement ;- effectuer un suivi cartographique des visites de contrôle de ces parcelles ;- envoyer des courriers d’information ou de demande d’autorisation aux propriétaires concernés par des travaux forestiers inscrits au Plan intercommunal d’aménagement forestier, ou par des aménagements liés à la gestion des espaces naturels (balisage, entretien et sécurisation des sentiers, parkings, restauration patrimoniale).
Données traitées
Les catégories de données à caractère personnel enregistrées sont :- les données relatives aux propriétaires, personnes physiques ou morales : nom, prénoms ou raison sociale, adresse du domicile ;- les données relatives aux parcelles : références cadastrales et localisation, caractéristiques de la parcelle au regard de l’obligation de débroussaillement et résultats des visites de contrôle.Les données enregistrées ne peuvent pas, dans le cadre de la présente autorisation, faire l’objet d’autres traitements, ni être intégrées dans d’autres fichiers, ni faire l’objet d’interconnexions, de rapprochements ou de toute autre forme de mise en relation avec d’autres traitements.Les données enregistrées dans le système d’information géographique sont mises à jour annuellement  concernant les informations cadastrales, et après chaque visite pour les autres informations.
Destinataires