AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-4° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la délibération n° 03-012 du 11 mars 2003 de la CNIL portant recommandation relative à la gestion de fichiers de personnes à risques par les loueurs de véhicules ;   Vu la délibération n° 2006-235 du 9 novembre 2006 de la CNIL portant autorisation unique de mise en oeuvre par les organismes de location de véhicules de traitements automatisés de données à caractère personnel ayant pour finalité la gestion de fichier de personnes à risques ;   Après avoir entendu M. Guy Rosier, vice-président, en son rapport et Mme Pascale Compagnie, commissaire du
Gouvernement, en ses observations.
Formule les observations suivantes :   Les organismes de location de véhicules mettent en oeuvre des traitements de données à caractère personnel ayant pour objet la prévention des risques liés à leur activité :  lorsqu'ils sont victimes de préjudices correspondant à des faits dont la liste est préétablie, ils peuvent, à partir des données à caractère personnel des clients responsables, décider de ne plus leur louer de véhicules.   Saisie de plaintes par plusieurs personnes qui se voyaient refuser la location d'un véhicule, la Commission, après avoir procédé à des contrôles auprès des principales sociétés concernées et de la branche loueurs du Conseil national des professions de l'automobile (CNPA), a adopté et publié la délibération susvisée du 11 mars 2003 portant recommandation sur la gestion des fichiers de personnes à risque par les loueurs de véhicules.   La Commission a été saisie par la branche loueurs du CNPA d'un projet de traitement ayant pour but de mettre à disposition de ses adhérents un fichier mutualisé de prévention des personnes à risques, qui a pour objet de permettre aux adhérents de la branche loueurs du CNPA :   - d'alimenter le traitement de prévention des risques par les données à caractère personnel énumérées ci-après ;   - d'interroger à distance le traitement de prévention des risques mis en oeuvre afin de déterminer si la location d'un véhicule à la personne qui en fait la demande présente un risque ou non ;   - de recevoir un fichier de mise à
jour et ce, uniquement lorsqu'il s'agit d'une société ayant pour activité la location de véhicules disposant de son propre traitement de prévention des risques.   La Commission constate que les traitements susceptibles, du fait de leur nature, de leur portée ou de leur finalité d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire relèvent de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-4° de la loi du 6 janvier 1978 modifiée ; elle considère que ce régime s'applique au traitement présenté par le CNPA qui est de nature à exclure une personne de la possibilité de contracter avec un loueur adhérent du CNPA.
Les catégories de données à caractère personnel pouvant être enregistrées dans le fichier mutualisé sont les suivantes :   a) la dénomination de l'entreprise et de l'agence ayant loué le véhicule ;   b) le nom, le nom d'usage et le(s) prénom(s) du client et/ou du conducteur déclaré ;   c)la date et le lieu de naissance de la personne concerné ;   d) l'identifiant client ;   e) l'adresse du client ;   f) le numéro, la date, le lieu de délivrance du permis de conduire du client et/ou du conducteur déclaré.   Seules ces données associées aux actes ou faits entrant dans l'une des catégories suivantes peuvent faire l'objet d'un enregistrement dans le fichier mutualisé ;   1) incident de paiement ayant donné lieu à contentieux ;   2) accidents ou dommages répétés imputables au conducteur ou à la personne inscrite au contrat ;   3) accidents ou dommages causés volontairement ;   4) utilisation d'un véhicule sans respecter les conditions générales du contrat de location.   Seuls les employés ayant compétence pour vérifier le caractère certain du préjudice subi, et qui sont individuellement désignés et spécifiquement formés à cet effet, peuvent procéder à une inscription dans le fichier de prévention des risques.   Cette inscription ne peut être effectuée qu'après constat d'actes et de faits objectifs avérés ou sur la base de documents tendant à prouver la réalité du préjudice subi par les organismes de location de véhicules concernés.   Pour les actes et les faits visés aux 3) et
4), l'inscription dans le fichier des personnes à risques est conditionnée à une décision de la commission de sécurité spécialement constituée à cet effet au sein du CNPA.   Les données traitées au titre de la gestion du fichier des personnes à risque sont conservées pendant au maximum :   - trois ans à compter de la date de survenance pour les actes et faits entrant dans les catégories de 1) à 3) inclus ;   - cinq ans à compter de la date de survenance pour les actes et faits entrant dans la quatrième catégorie.   S'agissant des incidents de paiement, l'événement et les données associées sont supprimés dès le paiement des sommes dues.
La Commission observe que les personnes louant des véhicules auprès des entreprises, qui mutualiseront leurs informations auprès du CNPA, devront être informées au préalable de cette mutualisation et des conditions dans lesquelles elles pourront exercer leurs droits d'accès, de rectification et, le cas échéant, d'opposition, dans les conditions édictées par la délibération n° 2006-235 du 9 novembre 2006 portant autorisation unique de mise en oeuvre par les organismes de location de véhicules de traitements automatisés de données à caractère personnel ayant pour finalité la gestion de fichier de personnes à risques.   Les entreprises désirant mutualiser leurs informations auprès du CNPA devront soit adresser un engagement de conformité à l'autorisation unique précitée soit demander une autorisation particulière en vertu de l'article 25-4° de la loi du 6 janvier 1978.
Les droits d'accès, de rectification et, le cas échéant, d'opposition s'exerceront auprès de la branche loueurs du CNPA, 50 rue Rouget de Lisle - 92158 Suresnes Cedex.   Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée :   - les personnes en charge, au sein du CNPA, des relations avec les adhérents ;   - les personnes faisant partie de la Commission de sécurité du CNPA ;   - les employés des sociétés de location de véhicules qui sont adhérentes du CNPA ou qui souhaitent utiliser ses services.   Autorise, dans ces conditions, la branche loueurs du CNPA à mettre en oeuvre au profit de ses adhérents un traitement de données à caractère personnel ayant pour finalité la tenue d'un fichier central de personnes présentant un risque contractuel.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I,5° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée ;   Après avoir entendu Mme Anne DEBET, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :   L'Institut de recherche et de documentation en économie de la santé (IRDES) a saisi la Commission nationale de l'informatique et des libertés d'un dossier relatif à la création d'une base de données permettant de développer une meilleure connaissance statistique des facteurs conjoncturels et structurels associés aux indemnités journalières et aux consommations de soins en lien avec les arrêts de travail.   Au terme d'un appel d'offre, l'IRDES a été retenu par la Direction de la Recherche, des Etudes, de l'Evaluation et des Statistiques du ministère de la santé et de la protection sociale (DRESS) pour réaliser une étude portant sur l'analyse des arrêts de travail des salariés du secteur privé, en lien avec la nature et la spécificité des entreprises concernées.  Une attention particulière sera portée sur les salariés de plus de 50 ans, les accidents de travail et les maladies professionnelles comme composants des indemnités journalières.   L'échantillon nécessaire à l'étude comprendra 600 000 assurés sociaux qui sont, ou ont été, salariés du secteur privé, que ces personnes aient ou non été en arrêt de travail durant la période considérée.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-1, 5° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés ayant pour objet l'interconnexion de fichiers relevant d'une ou de plusieurs personnes morales gérant un
service public et dont les finalités correspondent à des intérêts publics différents.   En effet, la base de données sera constituée par le croisement des données issues de deux systèmes d'informations existants, le système national de gestion des carrières (SNGC) géré par la CNAVTS et le système d'information inter-régimes de l'assurance maladie (SNIIRAM) géré par la CNAMTS.
La CNAVTS constituera l'échantillon issu du système national de gestion des carrières et transmettra à l'IRDES les données relatives aux caractéristiques de la carrière du salarié (durée de la carrière, salaire, conditions d'emploi (temps complet, temps partiel)...) et de l'établissement employeur (n° SIRET, code NAF de l'établissement correspondant au type d'activité, masse salariale, taille).  Elle transmettra également à la CNAMTS, les données relatives à l'identité des salariés sélectionnés (NIR, date de naissance, sexe) préalablement transcodées à l'aide d'un algorithme de hachage ne permettant pas de retrouver l'identité des personnes, ainsi que le numéro SIRET des entreprises employeurs.  La CNAMTS effectuera sur ces données l'appariement du fichier de la CNAVTS avec le SNIRAM.   Seront ainsi étudiées, à partir du SNIRAM, pour chaque personne désignée, quatre catégories d'informations pour les années 2004 et 2005 :   -les prestations en espèce,   - les caractéristiques générales du bénéficiaire (âge, sexe, département de naissance, régime d'assurance maladie dont l'existence de droits particuliers),   - la consommation de soins sous forme de données agrégées,   - les informations relatives aux établissements (taux de cotisation au titre des accidents du travail et maladies professionnelles et du nombre d'indemnités journalières pour arrêts de travail et maladies professionnelles).   Le responsable de l'étude à l'IRDES appliquera dès réception des fichiers
communiqués par la CNAVTS et par la CNAMTS un second niveau de transcodage. L'IRDES ne disposera plus que de l'âge, du sexe et du département d'origine des 600 000 salariés concernés.
Dans la mesure où les données feront l'objet, dés le début du traitement, d'une procédure de transcodage ne permettant plus de les associer à l'identité d'un individu, elles seront "conservées sous une forme excluant manifestement tout risque d'atteinte à la vie privée des personnes concernées et pendant une durée n'excédant pas celle nécessaire aux seules finalités d'établissement des statistiques...". Dès lors, la Commission considère qu'il peut être dérogé à l'exercice du droit d'accès, conformément aux dispositions de l'article 39, II, dernier alinéa de la loi du 6 janvier 1978 modifiée.   Les mesures de sécurité adoptées pendant la phase de création de la base pour assurer la confidentialité des données et leur transmission aux seuls destinataires habilités, conçues par la CNAMTS, sont satisfaisantes.  Le transcodage des données, en particulier, est garanti par un double algorithme de hachage irréversible, déjà connu de la CNIL et validé par elle.   Dans ces conditions, la Commission autorise l'IRDES à créer une base de données permettant de développer une meilleure connaissance statistique des facteurs conjoncturels et structurels associés aux indemnités journalières et aux consommations de soins associées aux arrêts de travail.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie, le 25 août 2006, d'une demande d'autorisation d'un traitement de contrôle des prestations relatives à l'exonération du ticket modérateur pour les affections de longues durées (ALD 30) par la caisse nationale du régime social des indépendants ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés notamment ses articles 8-IV et 25-I-1 ;   Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l'application de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu le code de la sécurité sociale, et notamment l'article L. 314-1 ;   Après avoir entendu M. Jean-Pierre de LONCEVIALLE, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :   La Caisse nationale du régime social des indépendants a saisi la Commission nationale de l'informatique et des libertés d'une demande d'autorisation d'un traitement intitulé "liquidation médicalisée" et tendant au contrôle des prestations relatives à l'exonération du ticket modérateur pour les affections de longues durées (ALD 30) s'inscrivant dans le cadre des dispositions de l'article L. 314-1 du code de la sécurité sociale.   Cet article issu de l'article 19 de la loi du 13 août 2004 relative à l'assurance maladie prévoit que "lorsqu'elles reçoivent les documents établis pour l'ouverture du droit aux prestations de l'assurance maladie, les caisses, avec l'appui des services médicaux de chacun des régimes d'assurance maladie obligatoire, dans le respect du secret professionnel et médical, vérifient que l'ensemble des conditions auxquelles est subordonnée la prise en charge est rempli".   La Caisse nationale du régime social des indépendants doit donc pouvoir vérifier l'application des référentiels médico-administratifs prévus en application du code de la sécurité sociale en ce qui concerne la prise en charge des pathologies relevant de l'exonération du ticket modérateur pour les affections de longue durée (ALD30).   La Commission considère qu'il y a lieu de faire application des dispositions des articles 8-IV et 25 de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements automatisés comportant des données
relatives à la santé et justifiés par l'intérêt public.   Les catégories de données à caractère personnel traitées seront les données d'identification de l'assuré ou de l'ayant droit, le numéro de sécurité sociale, la caisse de rattachement, les données issues du codage des actes et prestations, les affections de longue durée et les causes d'exonération du ticket modérateur.   Le droit d'accès et de rectification défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du service du contrôle médical de la Caisse régionale du régime social des indépendants dont dépend l'assuré ou le bénéficiaire.   Les destinataires des données seront, dans le cadre de leurs fonctions, le service médical national et les services médicaux régionaux pour ce qui concerne leurs ressortissants et les agents des organismes conventionnés chargés de recouvrir les indus pour leurs ressortissants.   Les mesures de sécurité destinées à garantir la confidentialité des données sont satisfaisantes.
Dans ces conditions, la Commission autorise la Caisse nationale du régime social des indépendants à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité de contrôler les prestations relatives à l'exonération du ticket modérateur pour les affections de longues durées (ALD 30).   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-5° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Après avoir entendu M. Jean-Marie COTTERET, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement en ses observations;
Formule les observations suivantes :   La société anonyme "Electricité de Strasbourg" a saisi la Commission d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la mise en place d'un système d'information géographique des propriétés bâties ou non bâties du territoire de la communauté urbaine de Strasbourg et alimenté à partir des données cadastrales.   Le déclarant, titulaire d'une concession de distribution d'énergie électrique au service public dans le département du Bas-Rhin et de concessions communales de distribution d'énergie électrique, est amené, pour l'exécution de sa mission, à conclure, avec des propriétaires de parcelles situées dans cette zone, des concessions l'autorisant à y implanter des ouvrages électriques.   C'est pour faciliter la gestion des données foncières relatives aux parcelles concernées que le déclarant souhaite disposer d'un système d'information géographique permettant de représenter graphiquement à la fois les parcelles, les servitudes et les conventions passées avec les propriétaires concernés.   La commission considère qu'il y a lieu de faire application des dispositions du 5° du 1 de icle 25 de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés ayant pour objet l'interconnexion de fichiers relevant d'une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics
différents.   Le système d'information géographique envisagé ne relève pas de la décision d'autorisation unique n° 1 en raison de la nature juridique du responsable du traitement, de sa finalité et des services destinataires des informations traitées.   La seule finalité du système d'information géographique projeté par "Electricité de Strasbourg" est de connaître les propriétaires des parcelles concernées, ou susceptibles d'être concernées, par l'implantation d'ouvrages électriques, dans le cadre de l'exécution de sa mission de service public.   Les fonctionnalités du traitement projeté sont limitées à :   - la consultation des données traitées ;   - des éditions thématiques de ces informations (extraction des parcelles appartenant au responsable du traitement, par exemple) ;   - l'édition de statistiques (nombre de parcelles concernées par l'implantation d'ouvrages électriques, par exemple).
Les catégories de données à caractère personnel enregistrées sont :   - les informations portant sur le(s) propriétaire(s) :  qualité, nom, prénom, date et lieu de naissance, adresse, compte communal et numéro de libellé partiel du propriétaire ;   - les informations relatives aux propriétés bâties ou non-bâties :  régime juridique de la parcelle, références cadastrales, adresse, numéro du feuillet du Livre Foncier, lots, surface, date de l'acte, numéro de parcelle primitive.   Dans le cadre de la présente décision d'autorisation, les données collectées et traitées ne pourront pas faire l'objet d'autres traitements, ni être intégrées dans d'autres fichiers, ni faire l'objet d'interconnexions, de rapprochements ou de tout autre forme de mise en relation avec d'autres traitements que ceux autorisés à alimenter le système d'information géographique envisagé.   Les données enregistrées ne pourront être utilisées à des fins de démarchage politique, électoral ou commercial.   Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées seront informées de la finalité du traitement, des données traitées, de leurs destinataires et de l'existence de leurs droits par une mention figurant sur les actes juridiques passés avec eux (promesses de vente, compromis de constitution de servitude, convention d'implantation d'ouvrage) et par tout autre moyen, notamment la publication dans un journal local.   Le droit d'accès défini au chapitre V
de la loi s'exercera auprès du département "Cartographie" de la société "Electricité de Strasbourg" - 26 boulevard du Président Wilson - 67953 Strasbourg cedex 9.   Les personnes autorisées à accéder au système d'information géographique seront, dans la limite de leurs attributions respectives et pour l'exercice de la finalité précitée, les personnels habilités de la société "Electricité de Strasbourg" en charge du traitement des données, de la gestion foncière et des affaires juridiques.   Les agents habilités ne devront accéder qu'aux données dont ils font un usage habituel.  Des niveaux de consultation différents seront définis à cette fin.   L'accès au système d'information géographique se fera au moyen d'un identifiant et d'un mot de passe individuel, régulièrement renouvelé.   Le système est installé dans une zone réseau sécurisé, isolée du réseau Internet par un "par-feu".   La mise à jour des données cadastrales sera annuelle.   Dans ces conditions, la Commission autorise la société "Electricité de Strasbourg" à mettre en oeuvre un traitement de données à caractère personnel comportant un système d'information géographique à partir des données cadastrales.   Le président, Alex TURK.