AgentPublic/cnil huggingface dataset:
Considérant que conformément aux dispositions de la loi du 6 janvier 1978, il appartient à la CNIL d'apprécier, au regard des finalités des traitements mis en oeuvre, la durée de conservation des informations nominatives codées, les catégories de personnels habilités à les consulter, les modalités d'accès à ces données, les mesures adoptées pour garantir leur confidentialité ainsi que les dispositions prises pour assurer le respect des droits des assurés, de leurs ayants-droit et des professionnels de santé ;
   Sur la durée de conservation des données nominatives associées aux codes des actes de biologie :   Considérant que les informations nominatives associées aux codes des actes de biologie, mentionnées sur les supports de transmission et enregistrées dans les traitements précités, ne peuvent être conservées au delà des délais de prescription et d'archivage légaux, tels que fixés par les dispositions des articles L322-1, L361-1 et D253-43 du code de la Sécurité Sociale ; qu'elles doivent en conséquence être effacées et détruites au terme d'une durée de trois ans ;   Considérant que le projet d'acte réglementaire satisfait sur ce point à cette exigence ;
Sur les modalités de consultation par les personnels administratifs des caisses et par les praticiens conseils des données nominatives associées aux codes des actes de biologie :   Considérant que les accès aux différents traitements comportant les codes des actes de biologie médicale doivent être réservés aux seules catégories de personnels habilités à en connaître en raison de leurs fonctions et ce, pendant la durée strictement nécessaire à l'exercice de celles-ci ;   Considérant ainsi que les techniciens chargés de la liquidation (réception et traitement des demandes de remboursement) et du contrôle avant paiement n'auront accès à ces données que jusqu'à la mise en paiement effective qui est usuellement réalisée au mieux dans la journée et au maximum dans un délai de cinq jours ouvrés ;   Considérant que les agents habilités par le directeur de la caisse ou par l'agent comptable à effectuer les régularisations des paiements passés pourront consulter les données pendant une durée d'un an ;   Considérant que les agents chargés des contrôles après paiement, d'origine législative, réglementaire ou conventionnelle, des vérifications comptables, des procédures contentieuses, de la maîtrise médicalisée de l'évolution des dépenses sont habilités conjointement par le médecin chef de l'échelon local du service médical et par le directeur de la caisse, à accéder aux informations nominatives associées aux codes des actes pendant une durée maximale de trois ans ; que les
interrogations des fichiers réalisés à l'aide du système SIAM et faisant appel aux codes des actes associés aux données nominatives concernant les assurés ne pourront être réalisées que sur demande conjointe du directeur de la caisse et du médecin chef de l'échelon local du service médical ;   Considérant que les praticiens conseils du service médical et les agents placés sous leur autorité auront accès, dans le cadre de leur mission de contrôle médical aux informations nominatives associées aux codes des actes, pendant une durée de trois ans ;   Considérant que ces modalités de consultation sont satisfaisantes au regard des dispositions de la loi du 6 janvier 1978 ;   Considérant que, conformément aux dispositions de l'article L161-29 du code de la sécurité sociale et du décret n° 95-564 du 6 mai 1995, les données nominatives codées ne seront pas transmises à des destinataires extérieurs et notamment aux organismes d'assurance maladie complémentaire ; que pour satisfaire à ces dispositions, les codes des actes ne figureront pas sur les décomptes de prestations qui sont adressés aux assurés et que ceux-ci doivent transmettre aux organismes d'assurance maladie complémentaire aux fins de remboursement de la part laissée à leur charge ;
Sur les dispositions destinées à garantir la confidentialité des données transmises et codées :   Considérant que conformément à l'article 29 de la loi du 6 janvier 1978 et à l'article R161-32 du code de la sécurité sociale, issu du décret du 6 mai 1995, il incombe aux directeurs des caisses primaires d'assurance de l'assurance maladie et aux praticiens conseils de veiller, chacun pour ce qui le concerne, à la confidentialité des données transmises et traitées ainsi qu'au respect de leur intégrité ; qu'il importe également que les professionnels de santé qui envisagent de mettre en oeuvre des traitements automatisés de données médicales nominatives et de procéder à la télétransmission des informations codées, prennent toute précaution utile afin de préserver la sécurité de celles-ci ;   Considérant ainsi que les télétransmissions des données nominatives de facturation enrichies des codes des actes de biologie seront sécurisées par des dispositifs qui, implantés dans les laboratoires de biologie et les cliniques informatisés, permettront, par l'utilisation de cartes à microprocesseur, de lecteurs de cartes et de logiciels appropriés, d'une part, d'identifier et d'authentifier les laboratoires et les cliniques, d'autre part, de certifier et de chiffrer certaines données ; qu'eu égard aux risques de divulgation et d'utilisation détournée des informations, la CNAMTS doit examiner les modalités qui pourraient être mises en oeuvre afin de chiffrer les données d'identification
et les conséquences d'un tel chiffrement, notamment pour les échanges de données nominatives avec les organismes complémentaires ;   Considérant que les accès aux traitements mis en oeuvre par les caisses, contrôlés actuellement par des procédures d'identification et d'authentification individuelles des agents, seront complétées par des dispositifs fondés notamment sur l'utilisation, par les agents, de cartes à microprocesseur (application ARAMIS) ;   Considérant, en outre, que les mesures de protection physique et logique dont disposent actuellement les centres de traitement informatique des caisses devront être évaluées, en particulier dans la perspective d'un regroupement de ces centres ;
Sur les dispositions prises pour assurer le respect des droits des assurés, de leurs ayants-droit et des professionnels de santé :   Considérant que l'article R161-31 du code de la sécurité sociale, issu du décret du 6 mai 1995, prévoit notamment que les assurés sociaux et les professionnels de santé seront informés, lors de la mise en oeuvre du traitement automatisé relatif au codage, que le remboursement des prestations par l'assurance maladie exige le recueil et la conservation des données codées et qu'ils peuvent exercer leur droit d'accès aux informations les concernant et leur éventuelle rectification, selon les modalités prévues par la loi du 6 janvier 1978 ;   Considérant que le droit d'accès des assurés et ayants-droit aux données nominatives les concernant s'exerce auprès de la caisse primaire d'assurance maladie dont ils relèvent ou auprès de l'échelon local du service médical pour ce qui est des données codées ;   Considérant que les assurés doivent être dûment informés de l'obligation de la transmission, aux caisses d'assurance maladie, des codes identifiant les examens de biologie ainsi que de leur droit d'accès et de rectification, par une mention explicite figurant soit sur la feuille de soins, soit, en cas de télétransmission, sur le document de facturation remis par le laboratoire ou sur un support indépendant ; que cette mention pourra également être portée sur les décomptes de prestations adressés aux assurés ;   Considérant que les professionnels de
santé concernés pourront exercer leur droit d'accès et de rectification auprès de la caisse primaire d'assurance maladie de rattachement et qu'ils seront informés individuellement par les soins de la caisse primaire d'assurance maladie dont ils dépendent, des modalités d'application du dispositif du codage et des droits qui leur sont ouverts au titre de la loi du 6 janvier 1978 ; qu'en outre, conformément aux dispositions du quatrième alinéa de l'article R161-31 du code de la sécurité sociale, issu du décret du 6 mai 1995, ils seront destinataires des résultats des traitements de données concernant leur activité ;
EMET un avis favorable au projet d'acte réglementaire qui lui est présenté ;   DEMANDE que :   - la CNAMTS procède, en liaison avec la CNIL et avec le service central de la sécurité des systèmes d'information (SCSSI) à une évaluation des systèmes de sécurité et des modalités de chiffrement des données mis en oeuvre pour protéger les télétransmissions et les traitements réalisés par les caisses, par l'intermédiaire des centres de traitements informatiques ;   - la CNIL soit tenue informée du déroulement de la mise en application des dispositifs de sécurité et qu'elle soit destinataire avant l'impression, des documents d'information prévus tant vis-à-vis des assurés que des professionnels de santé concernés.   Pour le Président Jacques FAUVET,   Louise CADOUX, Vice-Président Délégué
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, et notamment son article 21 ;
Vu le décret n° 78-774 du 17 juillet 1978, pris pour l'application de la loi susvisée ;
Vu la délibération n° 87-25 du 10 février 1987 fixant le règlement intérieur de la CNIL ;
Vu la déclaration d'un traitement automatisé d'informations nominatives effectuée le 3 février 1995 par la société X et enregistrée sous le n° 368759 ;
Vu la déclaration de modification effectuée les 29 novembre et 12 décembre 1995 par la société X ;
Après avoir entendu Monsieur Jacques Ribs, commissaire en son rapport et Madame Charlotte-Marie Pitrat, commissaire du Gouvernement en ses observations ;
Considérant que le 3 février 1995, la société X a effectué une déclaration de traitement automatisé d'informations nominatives ayant pour finalité principale la gestion commerciale d'un fichier de prospects" ; que ce fichier est constitué à partir de questionnaires, comportant plus de 160 questions relatives aux habitudes de consommation des ménages, diffusés anonymement par insertion dans des magazines ou distribués dans les boîtes aux lettres ;
Considérant que la base de données, ainsi constituée, a pour finalité d'être cédée à des sociétés commerciales extérieures afin que ces sociétés puissent effectuer des opérations de prospection commerciale auprès de clients potentiels dont des profils précis auront été établis par X ;
Considérant que la Commission a constaté, lors de l'examen du dossier en séance le 28 mars 1995, que les mentions destinées à informer les consommateurs des prescriptions de l'article 27 de la loi du 6 janvier 1978 comportaient des "cases à cocher" permettant aux personnes d'exprimer immédiatement leur opposition à ce que des données les concernant soient mises à disposition de sociétés commerciales extérieures ;
Considérant que le 29 mai 1995, la société X a adressé à la Commission une nouvelle maquette de son questionnaire dans lequel les mentions d'informations ne comportaient plus les "cases à cocher" ;
Considérant que dès le 15 juin 1995, et sans attendre la réponse de la Commission, la société X a procédé, selon ses propres dires, à la diffusion des questionnaires ainsi modifiés à 20 millions d'exemplaires ;
Considérant que la diffusion de ce type de questionnaires a suscité de nombreuses plaintes auprès de la Commission qui font apparaître l'inquiétude des consommateurs face à la constitution de bases de données aussi précises sur les habitudes de consommation des ménages, destinées à la prospection commerciale ;
Considérant, d'une part, qu'il revient à la Commission de s'assurer que les mentions d'information portées à la connaissance des personnes auprès desquelles des données sont collectées respectent l'article 27 de la loi et assurent à la collecte le caractère loyal qui est exigé par l'article 25 de la loi du 6 janvier 1978 et l'article 5.a de la convention n° 108 du Conseil de l'Europe aux termes duquel les données doivent avoir été "obtenues et traitées loyalement et licitement" ;
Considérant que tel doit être tout particulièrement le cas lorsque les personnes sont incitées à répondre à un questionnaire facultatif par l'offre de cadeaux, de bons d'achats ou coupons de réduction ;
Considérant, d'autre part, que s'agissant de questionnaires comportant plusieurs dizaines de questions et diffusés à des millions d'exemplaires, la Commission doit s'assurer avec une vigilance particulière que les droits des personnes à l'égard du traitement des données, et tout particulièrement le droit d'opposition à la cession de ces données à des sociétés extérieures, peut s'exercer aisément ;
Considérant que l'apposition de la case à cocher sur le support de collecte permettait aux personnes qui souhaitaient répondre au questionnaire de manifester aussitôt leur opposition à la cession de leurs données à des sociétés extérieures ; qu'une telle mesure qui dispensait les personnes d'avoir à accomplir une formalité supplémentaire ou d'engager une dépense pour exercer leur droit, constituait, en l'espèce, une mesure appropriée que la Commission tenait pour substantielle ;
Considérant que X en diffusant, dès le 15 juin 1995 à 20 millions d'exemplaires, et sans attendre la réponse de la Commission, le questionnaire déclaré le 29 mai 1995 duquel avait été retranchée la case à cocher a été défaillante au regard de ses engagements vis-à-vis de la Commission et des exigences de la protection des données ; qu'en effet, le questionnaire n'était plus de nature, sous cette nouvelle forme, et en raison de cette suppression, de permettre aux personnes qui y répondaient d'avoir une claire conscience de ce que leurs réponses étaient destinées à alimenter une base de données comportementales destinée à être commercialisée ;
Considérant qu'il y a lieu de mettre en garde la société X afin que les questionnaires qu'elle diffusera pour l'avenir satisfassent aux exigences de la protection des données personnelles ;
Adresse, à cet effet, en application de l'article 21 alinéa 4 de la loi du 6 janvier 1978, un avertissement à la société X.
La Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, et notamment son article 21 ;   Vu le décret n° 78-774 du 17 juillet 1978, pris pour l'application de la loi susvisée ;   Vu la délibération n° 87-25 du 10 février 1987 fixant le règlement intérieur de la CNIL ;   Vu la déclaration d'un traitement automatisé d'informations nominatives effectuée le 3 février 1995 par la société CONSODATA et enregistrée sous le n° 368759 ;   Vu la déclaration de modification effectuée les 29 novembre et 12 décembre 1995 par la société CONSODATA ;   Après avoir entendu Monsieur Jacques Ribs, commissaire en son rapport et Madame Charlotte-Marie Pitrat, commissaire du Gouvernement en ses observations ;
Considérant que le 3 février 1995, la société CONSODATA a effectué une déclaration de traitement automatisé d'informations nominatives ayant pour finalité principale la "gestion commerciale d'un fichier de prospects" ; que ce fichier est constitué à partir de questionnaires, comportant plus de 160 questions relatives aux habitudes de consommation des ménages, diffusés anonymement par insertion dans des magazines ou distribués dans les boîtes aux lettres ;   Considérant que la base de données, ainsi constituée, a pour finalité d'être cédée à des sociétés commerciales extérieures afin que ces sociétés puissent effectuer des opérations de prospection commerciale auprès de clients potentiels dont des profils précis auront été établis par CONSODATA ;   Considérant que la Commission a constaté, lors de l'examen du dossier en séance le 28 mars 1995, que les mentions destinées à informer les consommateurs des prescriptions de l'article 27 de la loi du 6 janvier 1978 comportaient des "cases à cocher" permettant aux personnes d'exprimer immédiatement leur opposition à ce que les données les concernant soient cédées à des sociétés commerciales extérieures ;   Considérant qu'une telle mesure qui dispensait les personnes d'avoir à accomplir une formalité supplémentaire ou d'engager une dépense pour exercer leur droit, constituait, en l'espèce, une mesure appropriée que la Commission tenait pour substantielle ;   Considérant que le 29 mai 1995, la société CONSODATA a adressé à la
Commission une nouvelle maquette de son questionnaire dans lequel les mentions d'informations ne comportaient plus les "cases à cocher" ;   Considérant que dès le 15 juin 1995, et sans attendre la réponse de la Commission, la société CONSODATA a procédé, selon ses propres dires, à la diffusion des questionnaires ainsi modifiés, à 20 millions d'exemplaires ;   Considérant qu'à la suite d'un échange de correspondances et de plusieurs réunions, la société CONSODATA s'est engagée à soumettre à la Commission de nouvelles mentions d'information appelées à figurer sur les futurs questionnaires ;
Considérant que la société CONSODATA a, les 29 novembre et 12 décembre 1995, effectué auprès de la Commission une déclaration de modification comportant notamment deux propositions de nouvelles mentions d'information, l'une à titre principal, l'autre à titre subsidiaire ;   Considérant que les mentions d'information que CONSODATA propose à titre principal sont les suivantes : "En application des dispositions l'article 27 de la loi du 6 janvier 1978, nous vous informons que vous n'êtes pas obligé de répondre à toutes les questions. Si vous ne souhaitez pas répondre à une question, passez à la suivante. Vous n'êtes pas obligé de répondre aux questions concernant votre conjoint. / Vous disposez d'un droit d'accès et de rectification aux informations enregistrées vous concernant, auprès de CONSODATA, 105, rue Jules Guesde 92532 Levallois-Perret Cedex. / Les informations fournies sont destinées à nos services internes et à nos partenaires commerciaux susceptibles de vous adresser des coupons de réduction, échantillons et ultérieurement des propositions commerciales. Cependant, si vous ne souhaitez pas cette divulgation à nos partenaires il vous suffit de nous écrire en nous indiquant vos nom, prénoms et adresse" ;   Considérant que CONSODATA propose, à titre subsidiaire, les mentions d'information suivantes : "les informations fournies sont destinées à nos services internes et à nos partenaires susceptibles de vous adresser ultérieurement des propositions commerciales. / Si
vous ne souhaitez pas recevoir de propositions commerciales, cochez la case ci-contre. Dans ce cas, nous ne pourrons vous adresser ni coupon de réduction, ni échantillons." / En application des dispositions de l'article 27 de la loi du 6 janvier 1978, nous vous informons que vous n'êtes pas obligé de répondre à toutes les questions. Si vous ne souhaitez pas répondre à une question, passez à la suivante. Vous n'êtes pas obligé de répondre aux questions concernant votre conjoint. / Vous disposez d'un droit d'accès et de rectification aux informations enregistrées vous concernant, auprès de CONSODATA, 105, rue Jules Guesde 92532 Levallois-Perret Cedex" ;
Considérant, d'une part, que la Commission doit s'assurer que l'information portée à la connaissance des personnes auprès desquelles les données sont collectées respecte l'article 27 de la loi du 6 janvier 1978 et assure à la collecte le caractère loyal qui est exigé par l'article 25 de la loi et l'article 5.a de la convention n° 108 du Conseil de l'Europe aux termes duquel les données doivent avoir été "obtenues et traitées loyalement et licitement" ;   Considérant que tel doit être tout particulièrement le cas lorsque les personnes sont incitées à répondre à un questionnaire facultatif par l'offre de cadeaux, de bons d'achats ou coupons de réduction ;   Considérant, d'autre part, que s'agissant de questionnaires comportant plusieurs dizaines de questions relatives au comportement privé des intéressés et diffusés à des millions d'exemplaires, la Commission doit veiller particulièrement à ce que les droits des personnes à l'égard du traitement des données puissent s'exercer aisément, que les données soient obtenues et traitées loyalement, et que l'adhésion des personnes à l'opération soit sincère et éclairée, en particulier s'agissant de leur acceptation ou de leur refus de la cession des données ;
Considérant que dans les mentions d'information proposées, à titre principal, par CONSODATA dans sa déclaration de modification de traitement, la case à cocher destinée à rendre plus aisé l'exercice de l'opposition à cession est supprimée ; que les destinataires des données sont désignés comme susceptibles d'adresser des coupons de réduction et ultérieurement, des propositions commerciales ; que l'opposition à la divulgation des données à des sociétés extérieures n'est mentionnée qu'à la fin du questionnaire en caractères minuscules ; que dès lors, ces mentions d'information ne sont pas de nature à s'assurer que les personnes qui répondent au questionnaire auront la claire conscience que leurs réponses alimentent une base de données comportementales destinée à être commercialisée auprès de tout partenaire commercial, qu'il en résulte, ou non, à terme pour les personnes concernées un quelconque avantage commercial ; Considérant que si les mentions d'information proposées à la CNIL, à titre subsidiaire, par CONSODATA comportent une case à cocher destinée à faciliter l'exercice du droit d'opposition à cession, il y a lieu de relever que la conséquence du fait de cocher cette case est la privation de l'envoi de tout bon de réduction ou échantillon par les services internes de CONSODATA ou ses partenaires commerciaux ; que, dès lors, les personnes concernées, qui auront été incitées à répondre au questionnaire pour obtenir ces réductions, n'auront pas d'autre choix que
d'accepter la cession de leurs données à des tiers ou renoncer à répondre au questionnaire ; que dans ce cas, ce choix devrait être clairement porté à leur connaissance avant même qu'elles commencent à remplir le questionnaire ;   Considérant qu'en présentant sur toute la page de garde de son questionnaire, l'envoi de bons de réduction et d'échantillons comme la contre-partie de la participation et en pénalisant le libre exercice de l'opposition à cession par la suppression totale de ces avantages mentionnée à la fin du questionnaire, après 161 questions et de manière peu apparente, les conditions de la collecte des données nominatives projetée par la société CONSODATA ne répondent pas à l'exigence de loyauté prévue par les dispositions précitées de la convention n° 108 du Conseil de l'Europe et de la loi du 6 janvier 1978 ;
En conséquence, est d'avis, les conditions de mise en oeuvre du traitement n'étant pas conformes aux dispositions de la convention n° 108 du Conseil de l'Europe et à celles de la loi du 6 janvier 1978, qu'en l'état, le récépissé de la déclaration de modification ne peut être délivré.