AgentPublic/cnil huggingface dataset:
Sur l'utilisation du numéro de sécurité sociale   Le Ministère de l'emploi, du travail et de la cohésion sociale envisage l'utilisation du numéro de sécurité sociale (NIR) des salariés bénéficiaires du dispositif "CATS" dans le cadre des opérations de gestion et de contrôle des conventions de cessation d'activité.  En application de l'article 18 de la loi "informatique et libertés", le Ministère a saisi la Commission d'un projet de décret en Conseil d'Etat autorisant une telle utilisation du NIR.   Le projet de décret présenté à la Commission répond à un double objectif : d'une part, permettre aux employeurs et aux organismes gestionnaires d'utiliser le NIR dans le cadre de la gestion quotidienne du dispositif "CATS" et, d'autre part, permettre à la DGEFP et aux DDTEFP de recevoir et de traiter cet identifiant dans le cadre du contrôle de ce dispositif.   S'agissant du premier objectif, la Commission relève que les organismes gestionnaires du dispositif doivent notamment reverser aux institutions de retraite complémentaire obligatoire (AGIRC et ARRCO) - pour le compte des employeurs signataires d'une convention - les cotisations des salariés bénéficiaires du dispositif "CATS", identifiés au sein de ces deux institutions par leur NIR ainsi que les articles R. 115-1 et R. 115-2 du code de la sécurité sociale les autorisent.   La Commission considère par conséquent que l'utilisation du NIR par les entreprises signataires d'une convention et les organismes gestionnaires (ou
les employeurs assurant leur propre gestion du dispositif) dans les phases de gestion du dispositif "CATS" est pertinente, adéquate et non excessive.
A cet égard, elle appelle l'attention du Ministère sur la nécessité que le projet de décret prévoie expressément une autorisation d'utilisation du NIR pour cette finalité au bénéfice des entreprises signataires d'une convention et des organismes gestionnaires du dispositif, et non une simple mention de leur intervention dans le cadre des transferts d'informations au titre desquels figure le NIR.   S'agissant de l'utilisation du NIR des salariés au titre du second objectif de contrôle des conventions "CATS" par la DGEFP et les DDTEFP, la Commission prend acte des éléments communiqués par le Ministère de l'emploi, du travail et de la cohésion sociale afin de légitimer une telle utilisation.   Elle relève en particulier que l'utilisation du NIR est présentée comme nécessaire à la résolution d'éventuels problèmes d'identification des salariés dans le cadre du suivi des versements pour un même bénéficiaire qui reprend une activité au sein de l'entreprise avant de basculer à nouveau dans le dispositif CATS ou qui fait l'objet d'une opération de transfert dans le cadre d'une fusion ou d'une cession d'entreprise.   Ces problèmes d'identification seraient liés à l'insuffisance des données "nom, prénom et date de naissance" portées dans le fichier national pour écarter tout risque d'homonymie. De tels cas d'homonymie seraient notamment statistiquement plus importants au sein de la population de salariés d'origine étrangère au sein de laquelle il ne serait pas rare, d'après le
Ministère, que plusieurs personnes portent les mêmes prénoms et patronymes, et soient inscrites à l'état civil le 31 décembre de leur année présumée de naissance faute de renseignements plus précis.   Il est constant pour la Commission de porter une attention particulière aux motifs invoqués pour justifier l'utilisation du numéro de sécurité sociale.
Dans le cas présent, la Commission relève en premier lieu que le fichier national ne concernerait que quelques dizaines de milliers de salariés. Dès lors, les risques liés à une parfaite identité des nom, prénom et date de naissance de salariés différents lui paraissent très limités.   La Commission observe également que le numéro SIRET, qui permet l'identification de l'établissement employeur concerné, doit être enregistré dans le fichier national. Ainsi, l'identification d'un salarié par la saisie du numéro SIRET de l'établissement dans lequel il exerce une activité professionnelle, de ses nom, prénom et date de naissance paraît susceptible de donner satisfaction dans la mesure où des cas de parfaite homonymie (sur ces trois derniers critères) paraissent peu vraisemblables au sein d'un même établissement.   En tout état de cause, la Commission relève que les éléments qui lui ont été communiqués sur les cas d'homonymie constatés par les services de l'Etat dans le cadre du dispositif CATS ne font pas apparaître l'existence de difficultés sérieuses d'identification des salariés propres à justifier un recours au NIR.   Dans ces conditions, la Commission estime que l'utilisation du NIR par la DGEFP et les DDTEFP ne peut pas être considérée comme adéquate, pertinente et non excessive dans le cadre de la finalité de contrôle assignée au fichier national "CATS". Elle considère que le projet de décret et le projet d'arrêté portant création du fichier national devraient être
modifiés en conséquence.
Sur la durée de conservation des données   Les données transmises par les organismes gestionnaires ou les entreprises sont, dans un premier temps, orientées vers le centre informatique du Ministère de l'emploi (CESLAN).   A ce niveau, les informations sont conservées pendant trois mois afin de permettre la restauration des données nécessaires en cas d'incident technique lors de la phase d'intégration des informations.   Les informations sont ensuite intégrées et stockées sur un serveur de la DGEFP pour constituer le fichier national de contrôle.   Afin de permettre la vérification de la réalité des adhésions, les données relatives aux salariés bénéficiaires et à l'établissement employeur sont conservées dix années au maximum à compter de la fin de la période d'adhésion de la convention concernée. Un salarié peut en effet adhérer au dispositif pendant une période limitée (au plus, cinq années à compter de l'entrée en vigueur de la convention), mais il garde le bénéfice de son adhésion jusqu'à son soixante-cinquième anniversaire s'il ne décide pas de reprendre une activité professionnelle ou de liquider ses droits à retraite.   Au niveau des DDTEFP, les données sont simplement consultables pendant le mois en cours et supprimées par l'envoi suivant.   La Commission considère ces durées de conservation comme non excessives au regard des finalités poursuivies.
Sur la sécurité des données   Compte tenu de la nature des données traitées dans les phases de constitution et d'exploitation du fichier national de contrôle "CATS", la Commission estime nécessaire que des mesures de sécurité particulières soient appliquées.   Dans un premier temps, les données nominatives sont transmises par les organismes gestionnaires (ou les entreprises assurant directement la gestion du dispositif) vers la DGEFP.   Les modalités de sécurisation de ces transmissions, qui reposent notamment sur un protocole de transmission destiné à préserver la confidentialité des données circulant sur les réseaux utilisés, n'appellent pas d'observations de la Commission.   Toutefois, dans la mesure où le dispositif proposé par le Ministère de l'emploi afin de crypter les données nominatives transmises par les organismes gestionnaires (hors UNEDIC) et les employeurs vers la DGEFP ne revêt pas un caractère obligatoire, la Commission demande qu'une clause soit intégrée au sein des conventions Etat-entreprise-organisme gestionnaire afin d'imposer le recours, dans le cadre de ces transmissions, au dispositif de cryptage proposé par le Ministère ou à tout autre dispositif équivalent (chiffrement à 128 bits).   Dans un deuxième temps, les données nominatives sont enregistrées et intégrées au fichier national de contrôle "CATS" au sein des services centraux du Ministère de l'emploi.   Des mesures particulières touchant à la définition d'habilitations d'accès limité aux
données nominatives (par l'attribution de mots de passe individuels modifiés régulièrement) et au contrôle de ces accès ("journalisation" des connexions au fichier national) sont mises en oeuvre.   Ces mesures de sécurité n'appellent pas d'observations de la Commission.   Dans un troisième temps, les données nominatives sont transmises par la DGEFP aux DDTEFP sous une forme cryptée.   Les personnels habilités (par l'attribution de mots de passe individuels) de chaque DDTEFP ne pourront consulter que les informations du fichier national relatives à leur département. Une "journalisation" des connexions aux données départementales est mise en oeuvre.   Ces mesures le sécurité n'appellent pas d'observations de la Commission.
Sur l'information des salariés concernés   La Commission observe que chaque organisme gestionnaire du dispositif "CATS" met en oeuvre son propre formulaire de demande d'adhésion lui permettant de recueillir des données personnelles auprès des salariés souhaitant bénéficier de ce dispositif.   Elle relève que le Ministère de l'emploi considère que les mentions d'information prévues à l'article 27 de la loi "informatique et libertés" figurent sur ces formulaires.   La Commission constate cependant que les mentions portées sur le formulaire de l'UNEDIC, organisme gestionnaire désigné dans une majorité des accords "CATS", demeurent incomplètes au regard de cet article en ce qu'elles se bornent à rappeler que les salariés disposent d'un droit d'accès et de rectification aux données les concernant.   Dans ces conditions, la Commission estime nécessaire d'appeler l'attention du Ministère sur le respect des dispositions de l'article 27 de la loi n° 78-17 du 6 janvier 1978 dans le cadre de la mise en oeuvre du fichier national "CATS".   La Commission estime par ailleurs que l'article 4 du projet d'arrêté portant création du fichier national devrait être modifié de façon à ce que le droit d'accès à ce fichier s'exerce non auprès de l'organisme gestionnaire du dispositif ou de l'entreprise, mais uniquement au niveau de la DGEFP et des DDTEFP, seuls services disposant d'un accès audit fichier.
Est d'avis que l'autorisation d'utilisation du NIR prévue par le projet de décret en Conseil d'Etat devrait être circonscrite aux seules opérations de gestion des conventions de cessation d'activité réalisées par les entreprises qui en sont signataires et les organismes gestionnaires visés à l'article R. 322-7-2 du code du travail.   Emet un avis favorable au projet d'arrêté présenté par le Ministère de l'emploi, du travail et de la cohésion sociale et portant création du fichier national de contrôle du dispositif "CATS", sous réserve que l'article 2 du projet d'arrêté ne mentionne pas le NIR au titre des données enregistrées et que l'article 4 soit modifié de façon à ce que le droit d'accès à ce fichier trouve à s'exercer auprès de la DGEFP et des DDTEFP.   Demande qu'une clause soit intégrée au sein des conventions Etat-entreprise-organisme gestionnaire afin d'imposer le recours, dans le cadre de toute transmission de données nominatives à destination de la DGEFP, au dispositif de cryptage proposé par le Ministère (chiffrement à 128 bits) ou à tout autre dispositif équivalent.   Rappelle la nécessité de diffuser auprès des salariés concernés par le fichier national une information conforme à l'article 27 de la loi n° 78-17 du 6 janvier 1978.   Demande à être informée des mesures prises à cet effet.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie par le ministre de la santé, de la famille et des personnes handicapées d'un projet de décret en Conseil d'Etat, pris en application des dispositions de l'article L. 1111-8 du code de la santé publique, relatif aux conditions d'agrément des hébergeurs de données de santé à caractère personnel ;   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés pris ensemble le décret n° 78-774 du 17 juillet 1978 ;   Vu le code de la santé publique, et notamment son article L1111-8 ;   Vu la délibération n° 01-011 de la Commission nationale de l'informatique et des libertés du 8 mars 2001 portant adoption d'une recommandation sur les sites de santé destinés au public ;   Après avoir entendu M. François BERNARD, Commissaire, en son rapport et Mme Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
EMET L'AVIS SUIVANT   Le ministre de la santé, de la famille et des personnes handicapées a saisi la CNIL du projet de décret en Conseil d'Etat relatif aux conditions d'agrément des hébergeurs de données de santé à caractère personnel prévu en application des dispositions de l'article L. 1111-8 du code de la santé publique.   Aux termes de celles-ci : "les professionnels de santé ou les établissements de santé ou la personne concernée peuvent déposer des données de santé à caractère personnel, recueillies ou produites à l'occasion des activités de prévention, de diagnostic ou de soins, auprès de personnes physiques ou morales agréées à cet effet. Cet hébergement de données ne peut avoir lieu qu'avec le consentement exprès de la personne concernée.   Les traitements de données de santé à caractère personnel que nécessite l'hebergement doivent être réalisés dans le respect des dispositions de la loi du 6 janvier 1978.   Les conditions d'agrément des hébergeurs sont fixées par décret en Conseil d'Etat pris après avis de la CNIL et des conseils de l'ordre des professions de santé ainsi que du conseil des professions médicales".   Conformément à ces dispositions, le projet de décret "mentionne les informations qui doivent être fournies à l'appui de la demande d'agrément, notamment les modèles de contrats prévus au deuxième alinéa et les dispositions prises pour garantir la sécurité des données traitées en application de l'article 29 de la loi n° 78-17 du 6 janvier 1978
précitée, en particulier les mécanismes de contrôle et de sécurité dans le domaine informatique ainsi que les procédures de contrôle interne".
Sur le principe de l'hébergement de données personnelles de santé   La Commission rappelle que la nécessité du principe d'un encadrement juridique et technique de l'activité des organismes hébergeurs de données personnelles de santé ainsi posé par le législateur avait été soulignée dans sa délibération n° 01-011 du 8 mars 2001 dans laquelle elle avait également souhaité que le principe de l'interdiction de toute commercialisation de données de santé directement ou indirectement nominatives soit posé dans la loi. Elle avait aussi appelé l'attention des pouvoirs publics sur la nécessité de prévoir des garanties sérieuses de nature à prévenir tout risque de divulgation ou d'utilisation indue des données et d'envisager, le cas échéant, une procédure d'agrément des organismes appelés à héberger ces données.   La Commission a également, à l'occasion de l'examen des dispositifs de gestion de dossiers médicaux sur internet, déterminé les garanties de sécurité que devraient présenter ces sociétés de service hébergeurs de données personnelles de santé et les modalités du respect des droits des personnes recourant à de tels dispositifs.
Sur le champ d'application du projet de décret   Aux termes de l'article R. 1111-9 du projet de décret, l'activité d'hébergement consiste dans l'organisation du dépôt et la conservation des données personnelles de santé, quel que soit leur support, notamment de manière à en assurer la pérennité et la confidentialité ; cela inclut leur mise à disposition des personnes autorisées selon des modalités définies par contrat avec l'établissement de santé, le professionnel de santé ou la personne concernée par ces données à l'origine du dépôt, leur protection contre tous les accès non autorisés et leur restitution en fin de contrat.   La Commission prend acte du fait que ces dispositions seront susceptibles d'encadrer toute activité conduite par un organisme ou une personne qui n'est ni le médecin traitant, ni le patient et qui ne participe pas aux soins de ce dernier mais assure la conservation de données personnelles de santé.   Dès lors, l'hébergement pourra concerner des données gérées sur support informatique ou sur support papier notamment à des fins d'archivage.
Sur le principe de la création du comité d'agrément   L'agrément d'un hébergeur de données personnelles de santé serait délivré par arrêté du ministre chargé de la santé sur avis d'un comité d'agrément et pour une durée de trois ans.   Aux termes de l'article R. 1111-1 du projet de décret, le comité d'agrément serait composé de neuf membres nommés pour cinq ans par arrêté du ministre de la santé, trois membres issus respectivement du Conseil d'Etat, de la Cour des Comptes et de l'Inspection générale des finances et quatre membres représentant respectivement les usagers et les professionnels de santé. Enfin, deux membres seraient des personnalités qualifiées.   La Commission observe qu'aux termes de l'article L. 1111-8 du code de la santé publique dans la rédaction que lui a donné la loi du 4 mars 2002, les demandes d'agrément des hébergeurs de données personnelles de santé doivent être appréciées en particulier au regard des dispositions de la loi du 6 janvier 1978.   La Commission relève à cet égard qu'étant chargée de veiller au respect des dispositions de la loi du 6 janvier 1978 et, en particulier de l'article 29, il lui appartient de se prononcer sur les mesures prises pour garantir la confidentialité des données. Ces mesures doivent lui être soumises à l'occasion des formalités préalables, conformément à l'article 19 de la même loi. En outre, la Commission dispose en vertu des dispositions de l'article 21-3° de la loi de 1978 du pouvoir d'édicter des règlements
types en matière de sécurité.   Dès lors, la Commission estime qu'il n'apparaît pas utile de créer une instance nouvelle mais qu'en revanche la mise en place d'un comité technique composé, notamment, d'experts spécialisés dans le domaine de la sécurité, serait de nature à lui apporter un concours utile.   Par voie de conséquence, la mission confiée par l'article R. 1111-18 du projet de décret au comité concernant la définition et l'actualisation de référentiels d'agrément et la possibilité de diligenter ou faire diligenter des contrôles chez des hébergeurs pourrait être assumée par la CNIL dans les conditions ci-dessus.
Sur les conditions d'agrément   Dès lors que l'obligation d'un contrat entre l'hébergeur et la personne à l'origine du dépôt, visée à l'article R. 1111-16 du projet de décret, est également mentionnée par l'article L. 1111-8 du code de la santé publique qui prévoit expressément que le projet de décret mentionne les modèles-de contrat, la Commission considère qu'un tel modèle devrait figurer en annexe au projet de décret.   La Commission estime qu'à la rédaction du 2° de l'article R. 1111-14 qui précise que la personne physique ou morale qui sollicite l'agrément "doit réaliser le service sur le territoire de l'Union européenne ou dans un Etat avec lequel les conventions juridiques assurent des garanties au moins équivalentes au droit français en matière de protection des données sensibles et de secret médical", laquelle subordonne ses effets à la conclusion de conventions juridiques, doit être substituée la rédaction suivante "... garantissant un niveau de protection au moins équivalent à celui accordé par le droit français en matière de protection des données sensibles et de secret médical dans le respect des dispositions de la loi du 6 janvier 1978".
Sur les adaptations nécessaires des dispositions relatives au droit d'accès   Les dispositions réglementaires existantes décrites aux articles R. 1111-1 et suivants du code de la santé publique, destinées à préciser les modalités d'exercice du droit d'accès aux données personnelles de santé en application de l'article L. 1111-7 du même code, qui peut depuis la loi du 4 mars 2002 sur les droits des malades et la qualité du système de santé, s'exercer directement auprès de la personne qui les détient, nécessitent d'être adaptées au cas où ces données sont déposées chez un hébergeur.   Ainsi, dans le premier cas visé à l'article R. 1111-2, c'est-à-dire lorsque l'hébergement est à l'initiative d'un établissement de santé ou d'un professionnel de santé, le droit d'accès s'exercera directement auprès de l'établissement ou du professionnel ou auprès de l'hébergeur si l'établissement de santé ou le professionnel de santé autorise la personne. Il est également prévu que la communication des informations puisse s'exercer par voie électronique.   Dans le deuxième cas, lorsque la personne elle-même est à l'origine de l'hebergement, elle exercera son droit d'accès directement auprès de l'hébergeur. Les restrictions alors possibles au droit d'accès concement les cas particuliers prévus par la loi et doivent être prises en compte au moment de la transmission de ces données à l'hébergeur par le professionnel de santé ou l'établissement de santé.   La Commission estime nécessaire
d'organiser la mise en oeuvre pratique de ces dispositions et, en particulier, de préciser si, à chaque transmission de données à l'hébergeur ou lorsque les informations concernant la santé des patients sont soit conservées au sein des établissements de santé qui les ont constituées soit déposées par ces établissements auprès d'un hébergeur, l'accord de la personne sera requis ou s'il sera considéré comme acquis lors de la décision de déposer les données chez un hébergeur.
Sur la conservation des archives par les établissements de santé   Le VI de l'article 4 du projet de décret prévoit de modifier l'article R. 1112-7 du code de la santé publique pour autoriser désormais les établissements de soins à faire héberger leurs archives et fixer la durée de conservation des dossiers médicaux. Ainsi, les dossiers médicaux des patients seront soit conservés au sein des établissements concernés, soit déposés par ces établissements auprès d'un hébergeur dans les conditions vues à l'article L. 1111-8 du code de la santé publique.   Le projet de décret indique également une durée de conservation de vingt ans du dossier médical à compter de la date du dernier passage de son titulaire dans l'établissement.   Si le patient décède moins de dix ans après son dernier passage dans l'établissement, le dossier sera conservé pendant une durée de dix ans à compter de la date du décès. S'agissant des mineurs, une disposition a également été insérée afin de garantir la conservation des dossiers au moins jusqu'au 28ème anniversaire de la personne concernée.   A l'issue de ces délais, le dossier pourra être éliminé, le titulaire ou ses représentants légaux pouvant demander qu'on leur transmette ce dossier.   La Commission estime souhaitable sur ce point de prévoir que cette durée de conservation de vingt ans s'applique sans préjudice d'autres dispositions de nature législative ou réglementaire, par exemple pour la gestion des produits sanguins dont la durée de la
conservation est fixée à quarante ans.   Le Président, Alex TURK