AgentPublic/cnil huggingface dataset:
Sur les données traitées
Les données collectées dans le cadre du présent traitement sont, en fonction du type de la mesure de protection (sauvegarde de justice, curatelle ou tutelle), du contenu précis de la mesure prononcée par le juge et de la nature des actes à accomplir, relatives :
à  l’identification des personnes (nom, prénom, adresse, date et lieu de naissance) ;
à leur vie personnelle (situation familiale, habitudes de vie) ;
à leur vie professionnelle (situation professionnelle) ;
à des informations d’ordre économique et financier (revenus, situation financière) ;
aux opinions politiques et religieuses, ainsi qu’à l’appartenance syndicale des personnes concernées ;
aux infractions, condamnations ou mesures de sûreté, dans les limites prévues par les dispositions législatives en vigueur ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), uniquement dans le cadre d’échanges avec des professionnels de santé, des organismes de sécurité sociale, de prévoyance ou de retraite, ainsi que des financeurs de prestations sociales ou médico-sociales ;
à des appréciations sur les difficultés sociales des personnes.
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie, dès lors qu’elles s’avèrent nécessaires à l’exercice d’un mandat de représentation.
Sur les destinataires
Seul le responsable de traitement et, le cas échéant, les membres habilités de son personnel soumis à une obligation de confidentialité peuvent accéder au présent traitement. Le responsable de traitement exerçant en nom propre et à titre indépendant est habilité à transmettre des données aux destinataires suivants. Le juge des tutelles compétent peut être destinataire de l’intégralité des données du traitement.La direction départementale de la cohésion sociale et les organismes financeurs, au nombre desquels figurent notamment les caisses d’allocations familiales ou de mutualité sociale agricole, la caisse des dépôts et  consignations ou encore les caisses primaires d’assurance maladie, peuvent être destinataires des données d’identification, des données relatives à la vie personnelle et des numéros de sécurité sociale.La Commission considère que ces destinataires présentent un intérêt légitime à connaître de ces données.Elle estime, par ailleurs, que le responsable du traitement peut également communiquer des données aux organismes en relation avec les personnes représentées, sous réserve que ces transmissions soient indispensables à ces relations, d’une part, et que les données concernées soient limitées au strict nécessaire, d’autre part. 
Sur les durées de conservation
Les données à caractère personnel enregistrées dans le présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et le droit d’accès 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales figurant sur la charte du majeur protégé remise par le responsable de traitement aux personnes concernées lors de l’ouverture de la mesure.La Commission considère que cette modalité d’information des personnes est satisfaisante. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de Madame Alexandra MASSE, par courrier, fax ou courriel.  La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes. 
Sur les mesures de sécurité
Autorise, conformément à la présente délibération, Madame Alexandra MASSE, en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel,  à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1792052)
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre hospitalier universitaire de Bordeaux d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la création d’un dossier médical informatisé et partagé ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6321-1, L. 1110-4,  L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Centre hospitalier universitaire de Bordeaux (ci-après, le CHU) est un établissement public de santé.
Sur la finalité
Le traitement mis en œuvre consiste en un dossier médical partagé intitulé PELICAN (Patient Entouré et Liaison entre Intervenants en Cancérologie)  permettant, via une plateforme internet, le partage de données de santé relatives aux patients ayant un diagnostic de cancer primitif, en rechute ou en progression.
Ce dispositif a pour objectif de permettre d’améliorer la coordination du parcours de soins en cancérologie des patients entre la ville et l’hôpital.
Le traitement projeté poursuit les finalités suivantes : 
Permettre, par la mise en place d’un dossier médical partagé, une mise en commun sécurisée d’informations médicales entre l’ensemble des acteurs prenant en charge des patients ;
Favoriser l’accès aux soins, la coordination, la continuité ou l’interdisciplinarité des prises en charge sanitaires de ces  patients ;
Etudier la faisabilité et l’acceptabilité de l’outil « PELICAN » testé en conditions réelles.
Permettre, par la mise en place d’un dossier médical partagé, une mise en commun sécurisée d’informations médicales entre l’ensemble des acteurs prenant en charge des patients ;
Favoriser l’accès aux soins, la coordination, la continuité ou l’interdisciplinarité des prises en charge sanitaires de ces  patients ;
Etudier la faisabilité et l’acceptabilité de l’outil « PELICAN » testé en conditions réelles.
Permettre, par la mise en place d’un dossier médical partagé, une mise en commun sécurisée d’informations médicales entre l’ensemble des acteurs prenant en charge des patients ;
Favoriser l’accès aux soins, la coordination, la continuité ou l’interdisciplinarité des prises en charge sanitaires de ces  patients ;
Etudier la faisabilité et l’acceptabilité de l’outil « PELICAN » testé en conditions réelles.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes conformément à  l’article 6 de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme par l’espèce, par l’intérêt public.
La Commission rappelle, par ailleurs, qu’il conviendra, le cas échéant, de se conformer aux dispositions des chapitres IX et X de la loi du 6 janvier 1978 modifiée dès lors que des études seraient menées sur la base des informations traitées pour les finalités relevant des dispositions précitées.
Sur les données traitées
Concernant les patients, peuvent faire l’objet d’un traitement : 
- les données d’identification (nom, prénom, date de naissance, adresses postale et électronique, téléphone) ;
- les données relatives à la santé nécessaires à la prise en charge du patient :
produites par le CHU de Bordeaux : les comptes rendus de consultation, les comptes rendus d’hospitalisation, les comptes rendus de réunion de concertation pluridisciplinaire (dite « RCP »), le plan personnalisé de soins ;
produites à l’initiative du patient : taille, poids, tension, température, questionnaire scoré « Hospital Anxiety and Depression scale » et questionnaire qualitatif sur la qualité de vie à domicile ;
les données de connexions à l’outil afin de mesurer son utilisation réelle.
Concernant les professionnels de santé chargés du suivi des patients, peuvent faire l’objet d’un traitement: les données d’identification (nom, prénom) et coordonnées professionnelles.
La Commission estime que ces données sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Les destinataires des informations sont les suivants : - les professionnels de santé médicaux et paramédicaux exerçant à l’hôpital (oncologue, radiothérapeute, chirurgien, infirmière de coordination en cancérologie [IDEC]) ou en ville (médecin traitant, infirmière, kinésithérapeute) dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge du patient ;- les professionnels médico-sociaux (les assistantes sociales notamment) qui interviennent dans la prise en charge médico-sociale des seuls patients pour lesquels ils sont sollicités, dans le strict cadre des informations nécessaires à l’exercice de leurs missions ;- les aidants désignés par le patient lesquels ne seront destinataires d’aucune donnée de santé individuelle. La Commission considère que la liste des destinataires du traitement est appropriée au regard de la finalité du traitement.
Sur les droits des personnes
Le patient est informé des modalités de mise en œuvre du dossier médical partagé, ainsi que des droits qui lui sont reconnus et des modalités d’exercice de ceux-ci, par la remise d’un document d’information et de recueil du consentement, dans des conditions conformes aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.Le consentement exprès du patient à la constitution de son dossier médical partagé est recueilli préalablement à sa mise en œuvre.Le consentement du patient ou, le cas échéant, de ses représentants légaux porte également sur l’hébergement de ses données auprès du CHU de Nantes, agréé pour l’hébergement de données de santé au sens de l’article L.1111-8 du code de la santé publique.Le patient peut exercer ses droits d’accès et de rectification au dossier et à la liste des personnes qui y ont accès auprès du centre de coordination en cancérologie du CHU de Bordeaux.Le patient a la possibilité de quitter le projet à tout moment sans conséquence sur la qualité des soins qui lui sont dispensés. Il  en est clairement informé à travers le support d’information précité.Dans ces conditions, la Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La plateforme centrale est hébergée auprès d’un hébergeur agréé au sens de l’article L.1111-8 du code de la santé publique. Les accès des professionnels de santé et des patients sont soumis à une authentification de type login-mot de passe respectant les recommandations de la Commission et complétée par une mesure de verrouillage par seuil avec déverrouillage automatique temporel. La Commission rappelle toutefois que conformément aux dispositions de l’article L. 1110-4 du code de la santé publique, les professionnels de santé doivent s’authentifier par l’utilisation d’une carte de professionnel de santé (CPS) ou d’un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS.Des mesures visant à assurer la disponibilité ainsi que l’intégrité des données en cas de panne sont mises en œuvre (sauvegarde, redondance physique et logique des composants critiques).Les données échangées sur Internet sont sécurisées via le protocole TLS. Les SMS transmis par la plateforme, pour signaler l’arrivée d’une alerte sur la plateforme, et invitant l’utilisateur à se connecter, ne contiennent aucune donnée de santé.Dans ces conditions, la Commission estime que les conditions de mise en œuvre de ce traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la période de l’expérimentation de l’outil (un an). A l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.Un bilan de l’expérimentation devra être adressé à la Commission avant sa généralisation.
Autorise, conformément à la présente délibération, le Centre hospitalier universitaire de Bordeaux à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1757175)
La Commission nationale de l'informatique et des libertés,
Saisie par l’UNADEV d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi social des bénéficiaires et adhérents de l’association ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, et notamment ses articles 25-I-1° et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Laurence Dumont, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’UNADEV, située rue de Cursol à Bordeaux (33300) est une association régie par la loi de 1901 qui œuvre dans le champ de l’accompagnement et de l’intégration des personnes atteintes de déficiences visuelles.
Sur la finalité
Le traitement mis en œuvre a pour finalité le suivi social des adhérents et des bénéficiaires de l’association.Au regard des missions poursuivies par l’association, le traitement justifié par l’intérêt public peut faire apparaitre des données relatives à l’état de santé des personnes concernées, il convient de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée.En outre, il convient également de faire application de l’article 25-I-7° de la loi du 6 janvier 1978, autorisant les traitements automatisés ou non à collecter des données relatives aux appréciations sur les difficultés sociales des personnes concernées.La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
Sur les données traitées
Les catégories de données traitées sont relatives :- à l’identification des personnes concernées (nom, prénom, adresse, date et lieu de naissance, téléphone, mail) ;-  à la vie personnelle (situation familiale, personne à contacter en urgence) ;-  à la vie professionnelle (situation professionnelle) ;- aux données de santé (certificat médical d’ophtalmologie ou carte d’invalidité) ;- à la situation sociale et aux appréciations sur les difficultés sociales des personnes ;La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée, dès lors qu’elles s’avèrent nécessaires et proportionnées dans le cadre du présent traitement.
Sur les destinataires
Les données sont accessibles en interne par les personnels de l’association dûment habilités en raison de leurs fonctions.La liste des destinataires n’appelle pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées conformément à l’article  32 de la loi du 6 janvier 1978 modifiée  par des mentions légales figurant sur le formulaire de collecte et oralement.Les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès du service informatique de l’UNADEV.La Commission rappelle que cette information doit être fournie selon des modalités adaptées à l’état des personnes suivies.Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission rappelle  que des mesures de protection  physiques et logiques doivent être mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs doit être assurée par des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les habilitations d’accès au système d’information doivent être définies en fonction des attributions des utilisateurs. Les échanges de données effectués sur internet doivent être sécurisés par des procédés de chiffrement du transport des données.La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.Les mesures de sécurité mises en œuvre doivent être conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle qu’une mise à jour des mesures de sécurité doit être réalisée au regard de la réévaluation régulière des risques.
 Sur les autres caractéristiques du  traitement
Les données à caractère personnel  sont conservées le temps nécessaire au suivi et à l’accompagnement des personnes.A l’issue de cette durée de conservation, les données seront  détruites.La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de sa finalité poursuivie.
Autorise, conformément à la présente délibération, l’UNADEV à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1826940)
La Commission nationale de l'Informatique et des Libertés,
Saisie par l’Agence Régionale de Santé du Poitou-Charentes, ci-après désignée « l’ARS », d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité d’identifier les déterminants du renoncement aux soins en Poitou-Charentes et d’en mesurer l’ampleur selon les différentes populations et territoires infrarégionaux ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1°, 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
L’ARS Poitou-Charentes a saisi la Commission Nationale de l’Informatique et des Libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel nécessaire à la réalisation d’une enquête et à l’évaluation de ses résultats.
Cette expertise de terrain prend la forme d’un partenariat entre l’ARS Poitou-Charentes, l’Université de Poitiers et la Plateforme Régionale de l’Observation Sociale en Poitou-Charentes (PROSPEC).
Responsable du traitement
L’ARS Poitou-Charentes, garante de l’égalité d’accès aux soins de la population, pilote cette étude et oriente les modalités d’enquête.
Sur la finalité
Cette enquête, dénommée « Analyses socioéconomique et territoriale du renoncement aux soins en Poitou-Charentes », a pour objectifs d’identifier les caractéristiques socioéconomiques, géographiques et culturelles des individus éprouvant des difficultés de recours aux soins en Poitou-Charentes et d’en mesurer l’ampleur selon les différents territoires et populations infrarégionaux.
Les résultats de cette enquête permettront à l’ARS d’adapter ses actions en fonction des disparités sociales et territoriales.
Cette enquête est mise en œuvre par un ensemble de partenaires :
l’Université de Poitiers organise des workshops en économie de la santé réunissant des chercheurs dans le cadre de programmes de recherche liés notamment au renoncement aux soins,
la Commission thématique « Renoncement aux soins » de PROSPEC, créée en 2013, réunit des professionnels de terrain qui proposent des axes d’enquête afin de comprendre les causes et conséquences du renoncement aux soins.
La Commission considère les finalités poursuivies comme étant déterminées, explicites et légitimes au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données collectées relatives aux habitants de la région Poitou-Charentes et des territoires infrarégionaux concernent :
leurs données d’identification (nom, prénom, adresse, date et lieu de naissance, sexe, et nationalité afin d’évaluer le poids de la culture sur le renoncement aux soins) ;
les données relatives à leurs habitudes de vie (situation familiale, nombre de personnes dans leur foyer) ;
les données relatives à leur situation professionnelle (scolarité, formation, commune du lieu de travail, catégorie socioprofessionnelle) ;
les données relatives à leur situation financière.
à la santé (soins, comportements à risques, état de santé perçu, nombre de maladies chroniques, renoncement aux soins) ;
à l’appréciation sur les difficultés sociales des personnes (causes du renoncement aux soins, bénéfice de la CMU, CMU-C, ACS, relations sociales, activités, loisirs), des travaux ayant révélé une corrélation entre le faible taux de couverture maladie et le non-recours aux soins.